Besseres Sicherheitsmanagement für BYOD am Arbeitsplatz

Die Nutzung von Privatgeräten (Bring Your Own Device, BYOD) am Arbeitsplatz erfreut sich zunehmender Beliebtheit, aber solche Richtlinien öffnen Angriffen Tür und Tor. Hier erfahren Sie, worauf Sie achten sollten und wie Sie die Unternehmensinteressen schützen.

Der exponentielle Anstieg der BYOD-Richtlinien in der Geschäftswelt hat das Gesicht der IT-Sicherheit revolutioniert und viele Unternehmen gezwungen, ihre Netzwerkmanagement-Strategien grundlegend zu überarbeiten, um sensible Informationen vor potentiellen Sicherheitslücken zu schützen.

Die möglichen Gefahren bei der Umsetzung einer BYOD-Initiative liegen nicht sofort auf der Hand und viele Organisationen erkennen die Notwendigkeit von verstärkten Sicherheitsmaßnahmen erst, wenn ein Problem auftritt. Unabhängig davon, ob Sie bereits eine BYOD-Richtlinie an Ihrer Arbeitsstelle haben oder die Einführung einer solchen erwägen, ist es wichtig, die Risiken sowie die zu ergreifenden Maßnahmen zu kennen, um sich selbst und die Interessen des Unternehmens zu schützen.

Einen Mittelweg für BYOD finden

Obwohl Bedenken im Hinblick auf Sicherheitsprobleme in Verbindung mit BYOD-Richtlinien weit verbreitet sind, versäumen es viele Unternehmen, ihre Maßnahmen angemessen zu verschärfen. Der Grund hierfür ist die Tatsache, dass die Einführung mehrschichtiger Sicherheitsstrategien oftmals als Hindernis für die inhärente Flexibilität von BYOD angesehen werden. In anderen Fällen gehen Unternehmen einfach davon aus, dass ihre Sicherheitsvorkehrungen ausreichen, ohne das Ausmaß der Risiken zu erkennen, die sich aus der Öffnung des Netzwerks für Privatgeräte ergeben.

Das muss aber nicht der Fall sein, denn eine wirklich umfassende Sicherheitsstrategie betrachtet auch ein Worst-Case-Szenario. Das heißt, wenn Ihre erste Sicherheitsschicht versagt, sind Ihre Interessen trotzdem noch geschützt. Als erstes sollten Sie Ihre sensiblen Daten verschlüsseln und dafür sorgen, dass nur diejenigen Zugang zu den Entschlüsselungstools haben, die ihn benötigen.

Verschlüsselung ist wichtig

Sie können und sollten Daten auf mehreren Ebenen verschlüsseln. Neben der Verschlüsselung der Daten selbst ist die Verschlüsselung auf Gerätebene sehr wichtig, und zwar auf allen Geräten mit Zugang zu Ihrem Netzwerk oder Ihren Dateien. Die meisten modernen Mobiltelefone und Tablets haben eine eingebaute Verschlüsselung und schützen Daten mit einer PIN, einem Passwort oder Fingerabdruckscanner. So wird verhindert, dass Daten auf ein anderes System heruntergeladen werden, während das Gerät gesperrt bleibt.

Nach Möglichkeit sollten Geräte die Multi-Faktor-Authentifizierung (MFA) nutzen. Das heißt, es werden zwei oder mehr Authentifizierungsmethoden angewendet, um auf ein Gerät zuzugreifen.

Schließlich sollten Sie auch die Netzwerkverschlüsselung in Betracht ziehen. Sie schützt gegen das Abfangen und den Diebstahl von Daten, während deren Transfer, indem der unbefugte Zugriff auf das Netzwerk verhindert wird. Leider nutzen nicht alle Websites und Applikationen sichere Datenübertragungskanäle und können zu einer Hintertür für Hacker und Malware werden.

Mobilgerätemanagement

Nicht alle Sicherheitsverstöße geschehen vorsätzlich. Leider ist es für einen Mitarbeiter sehr leicht, Ihr Unternehmen versehentlich Bedrohungen von außen auszusetzen. Das kann auf so einfache Weise geschehen wie sich in einem ungesicherten WLAN-Netzwerk anzumelden oder die Berechtigungen einer App zu akzeptieren, ohne die Auswirkungen zu verstehen. Beispielsweise, wenn eine App vollen Zugriff auf das Google-Konto eines Nutzers haben möchte, könnten dazu alle persönlichen Daten gehören, darunter geschäftliche E-Mails und Dokumente, wenn dieses Konto auch beruflich genutzt wird.

Bei der Einführung einer BYOD-Richtlinie müssen Sie sicherstellen, dass alle Nutzer über die potenziellen Risiken informiert werden und wie diese vermieden werden können. Setzen Sie einen umfassenden Vertrag auf mit detaillierten Angaben zur Unternehmensrichtlinie über die Verwendung von BYOD-Geräten. Der Vertrag sollte eine Liste mit zugelassenen Applikationen enthalten sowie einen Überblick über die Protokolle zum Umgang mit Fahrlässigkeit und für die Meldung potentieller Verstöße.

Ehemalige Mitarbeiter

Die sorgfältige Führung von BYOD-Mitarbeitern, die später das Unternehmen verlassen, ist ebenfalls wichtig. Sie müssen wissen, dass alle Informationen des Unternehmens sowie der Zugriff vom Gerät entfernt wurden. Es ist allgemein üblich, diesen Fall in den Nutzerverträgen zu behandeln. Einige BYOD-Programme sehen vor, die Geräte von Nutzern komplett zu löschen, wenn sie das Unternehmen verlassen. Andere enthalten Klauseln, die dem Arbeitgeber erlauben, Daten jederzeit zu löschen, sollten Sicherheitsbedenken bestehen.

Selbst dann besteht die Gefahr, dass ein Mitarbeiter externe Kopien angefertigt haben könnte. Sie können das vielleicht nicht unbedingt verhindern, aber Sie können dennoch eine Klausel hinzufügen, die den Mitarbeiter rechtlich verpflichtet, alle derartigen Informationen nach Beendigung des Arbeitsverhältnisses zu vernichten.

Der Gedanke, dass ihr Gerät gelöscht wird, ist bei vielen Mitarbeitern unbeliebt. Es liegt in Ihrem Ermessen, es als ausreichend zu erachten, wenn die Mitarbeiter Ihnen vorführen, dass sie alle relevanten Applikationen und Dateien gelöscht haben. Andererseits haben Sie auch das Recht darauf hinzuweisen, dass die Richtlinie eine wichtige Sicherheitsanforderung für die Teilnahme am BYOD-Programm ist. Ihre Unternehmenssicherheit ist wichtig und Sie sollten sich nicht verpflichtet fühlen, diese zu gefährden.

Gibt es keine andere Möglichkeit?

Zwar handelt es sich bei diesen Risiken um ernste Angelegenheiten, Sie sollten sich davon aber nicht abschrecken lassen und das Potential eines BYOD-Programms in Ihrem Betrieb prüfen. Wenn Sie eine gründliche und umfassende Richtlinie umsetzen und Maßnahmen ergreifen, um sich gegen die oben beschriebenen Risiken zu schützen, können Sie alle Vorteile einer mobilen Belegschaft nutzen und gleichzeitig die volle Kontrolle über Ihre Vermögenswerte und sensiblen Daten behalten.

Es gibt natürlich auch andere Optionen, die für Ihr Unternehmen besser geeignet sein könnten oder weniger Sorgen in Sachen Sicherheit bereiten. Die erste Alternative ist CYOD (Choose Your Own Device). Das funktioniert ähnlich wie BYOD, nur dass der Arbeitgeber eine Liste mit geeigneten, zugelassenen Geräten bereitstellt, von der Mitarbeiter wählen können. Das Gerät kann dann mit den notwendigen Applikationen und Sicherheitsmaßnahmen eingerichtet werden.

Die Kehrseite ist allerdings, dass Ihre Mitarbeiter weniger Freiheiten haben und einige Teammitglieder vielleicht Geräte wählen müssen, mit denen sie nicht so vertraut sind. Das kann dazu führen, dass sie weniger produktiv sind und bei der Gewöhnung an das neue Gerät häufiger technische Probleme haben. Außerdem ist Ihr Unternehmen für die Bearbeitung der Rechnungen für alle Geräte in einem CYOD-Programm verantwortlich.

Die andere Option ist COPE (Corporate Owned Personally Enabled). Bei diesem Programm wählen die Mitarbeiter ihr Gerät und einen Plan, der ihren Anforderungen entspricht und der normalerweise durch eine Vereinbarung zwischen Arbeitgeber und Netzbetreiber subventioniert wird. Ihr Unternehmen kann das Gerät dann mit den erforderlichen Sicherheitsfunktionen und Applikationen ausstatten, ähnlich wie CYOD.

Die Kontrolle über das Gerät, die Rechnungsbearbeitung und die Art des Plans liegt hier beim Nutzer. Allerdings gehört das Gerät grundsätzlich dem Unternehmen. Der Hauptvorteil besteht darin, dass sich die Datenschutzrichtlinien für den Fall, dass ein Mitarbeiter das Unternehmen verlässt, leichter durchsetzen lassen.

Was immer passt

Der letzte Punkt, den Sie beim Abwägen dieser Optionen beachten sollten, ist, dass diese sich nicht gegenseitig ausschließen. Sie stellen vielleicht fest, dass es für Ihr Geschäftsmodell günstig ist, wenn einige Teammitglieder ein CYOD-Programm haben, andere dagegen BYOD oder COPE nutzen, je nach Funktion, Zugriffsrechten oder individuellen Bedürfnissen. Alle drei Optionen können durch menschliches Versagen und Kontakt mit ungesicherten Netzwerken ausgenutzt werden. Deshalb muss ein mehrschichtiges Sicherheitsmanagementsystem umgesetzt werden, egal, welche Option Sie wählen.

Sie müssen eventuell auch Ihre Netzwerkkapazität erhöhen, um BYOD zu ermöglichen, damit es in der Lage ist, den Zugriff durch zahlreiche Geräte zu bewältigen. Ein veraltetes System kann langsam sein und abstürzen, die Produktivität reduzieren und Ihr IT-Team unnötig belasten.

Letztendlich ist eine differenzierte IT-Sicherheitsstrategie sehr wichtig, auch ohne die Verwendung von Privatgeräten. Sollten Sie sich gegen BYOD entscheiden, können die oben beschriebenen Maßnahmen trotzdem helfen, die allgemeine Sicherheit Ihres Unternehmens zu verbessern. Sollten Sie Ihre Meinung in der Zukunft ändern oder entscheiden, alternativ COPE oder CYOD zu wählen, haben Sie bereits die Grundlage für eine reibungslose Einführung neuer Richtlinien.