Private Mobilgeräte ohne Risiko nutzen

Transkript

1 Bring Your Own Device (BYOD) Private Mobilgeräte ohne Risiko nutzen Der Einsatz privater Smartpho nes, Tablets und Notebooks verändert di e IT in Untern ehm en. I n einem Punkt sind sich die meisten Unternehmen einig: Die Beschäftigten sollen flexibler und produktiver arbeiten. Ein Mittel, um da s zu erreichen, ist derverstärkte Einsatz von mobilen Endgeräten. Sie ennögüchen es Mitarbeit ern. unabhängig von Ort und Arbeitszeit ihre Aufgaben zu erle digen, sei es im Büro, unterwegs oder im Hom eoffice. Laut einer Studie, die da s Ma~ktforschung sunt emehmen IDC Deutschland im Nov ember 2014 veröffentlichte. profitieren Unternehmen in erhe bliche m Maß durch den Einsatz von Mobiltechniken. Rund 38 Prozentkonnten mithilfe von Enterprise-Mobility-Lösungen ihre Geschäftsprozesse optimieren und jeweils mehr als 30 Prozent verzeichneten eine höhere Flexibilität, Mobilität und Produktivität ihrer Mita rbeiter. Hinzu kommt als weiterer Faktor die Zufriedenheit der Beschäftigten. Spezielljünqere. hoch qualifizierte Arbeitskräfte wollen nicht mit dem abgelegten Smartphone ihres Vorgängers oder einem ve ralteten Pirm en-note boo k arbeiten. Sie möchten vielmehr dieselben mod emen Mobilgeräte und Apps verwende n, die sie auch privat nutzen. Kann ein Arbeitgeber dies nicht zusichern, be steht die Gefahr, dass sich speziell Besch äftige zwischen 25 und End e 40 einen anderen Job suchen. 14 3/2015 corni professional

2 BYOD Brennpunkt Die 5 größten Vorteile für Unternehmen durch mobile Technologie Optimierung von Geschäftsprozess e n 11 Erhöhte Flexibilität und Mobilität de r Mitarbe iter 28% 27% 34% Erhöhte Produkt ivität I Effizie nz der Mitarbeiter 11 31% 38% Verbesserte Zusa mmena rbe it der Mita rbeiter unt ereinander Schne lle Entsc heid ungs prozesse Vorteile du rch mob ile Techno logie: Der Einsatz mobiler Endgeräte bringt deutschen Untern ehmen nach eigener Einschätzung e rhe bliche Vorte ile, et wa be i de r Opt imierung von Geschäftsprozessen. " Freie Wahl bei Mobilgeräten Ein Mittel, um die Produktivität un d Zufrie de nheit de r Mitarbeiter zu er höhe n, besteht da rin, ihnen de n Einsatz eigener mobiler Endgeräte für berufliche Zwecke zu gestatten - Bring Your Own Device (BYOD). Laut eine r Unte rsuc hung von Deli und Intel verwende n de rzeit 43 Prozent der Beschäftigt en weltweit von sich aus private Note bocks. Smartphones oder Tablets. um berufliche Aufga be n zu erledige n. Für Deu tschland kommt der Hightech -Verba nd Bitkom auf de utlich höhere Zahlen. Demnach qriffen 2013 sogar 71 Prozent der Berufstätige n auf eige ne Handys und Rechner zurüc k. So manch er Arbe itgebe r ste ht solchen Aktiv itäten durchaus positiv gegenüber, weil er sich dadurch eine Kostensenkung erhofft. Statt Mitarbeitern ein firmeneigenes Smartphone oder Note book zur Verfügung zu ste llen, wir d die Nutzung private r En dg eräte billigend in Kauf ge nommen. Hinzu komm t, dass es beispielswe ise für den Besitze r eines Tab lets mit Apples ios-betriebssystem oder eines Smartphones unter Android od er Windows Phone 8 deutlich einfache r ist, mit ;g dem gewohnten Betrieb ssystem und den entsprechenden I Anwendungen umz~g ehen, als sich in eine neue Syste mwelt "&. einzuarbeiten. - i ~ Eigene Anwendungen BYOD bezieht sich jedoch nicht nur auf die Hardware, so Mark Alexander Schulte, Consultant und Projektleiter bei IDC: "An die 62 Prozent der Mita rbeite r aus Unternehmen, in dene n das BYOD-Konzep t um ge set zt wird, verwenden auch private Software auf den Geräte n für be rufliche Aufgaben." Der Grun d ist, da ss die Mitarbeit er lie ber auf die ge wo hnten Apps zurückgreife n. Zu de m stellen laut Schulte viele IT-Abteilungen keine passen den Ente rprise-lösun ge n zu r Verfügung. Ein Großteil d er IT-Entscheider in Deutschl and sieht die Vermischun g von privater un d firmeneigene r Hard- und Softwa re allerdings "mit Grausen", so der IDC Fachmann. Andere geh en dag egen offensiv mit der Nutzun g privater Ap ps um. Fast 80 Prozent der Firmen, die den Einsatz privater Ha rdware erlau ben, gestatten dem nach auc h die Nutzung entsprechender Software. "Letz tlich ist die IT-Abteilung in diesem Punkt abe r ein Stück weit mach t los ", so Schulte. Das heißt, die Anwender informie ren die IT-Abteilungen oft nicht über die Verwendung privater Tools. Doch da s ist nicht ohne Risiko. Eine Untersuchun g, die1'am sung zum Th ema Risiken durc h BYOD durchführen ließ, ergab, dass 29 Prozent der deutschen Unternehmen mit mehr als 1000 Mita rbe ite rn be-... comt professional 3/

3 BYOD retts mindestens einmal geschäftskritische Daten verloren haben, nachdem sie die Nutzung privater Endgeräte gestatteten. Dem stehen Vorteile gegenüber wie etwa um 17 Prozent niedrigere Telefonkosten. weil Beschäftigte ihr eigenes Smartphone für Geschäftste lefonate nutze n, sowie eine um bis zu 37 Prozent höh er e Produktivitä t bei 40 Prozent der Finnen. Kein Allheilmittel Selbst Anbieter von Lösungen, mit denen sich mobile Endgeräte verwalten lassen, warnen vor einer Überbewertung von Bring Vour Own Devtce:. BYOD ist vor allem als Mittel zu sehen, mit dem Unternehmen ihre Mitarbeiter motivieren und sich für Nachwu chskräfte interessant machen können, und nicht vorren- gig als strategische Ausrichtunq", sagt beispielsweise Hans-Hein rich Aenishänslin, Regional Sales Manager Endpoint Systems bei Dell...Anders sieht es da gegen mit dem mobiler Devtces und der Absicherung vor Datenverlus t aus. Dieses Th ema beschäftigt die Unternehm en in Deutschland sehr wohl." Eine ähnliche Position vertritt Mark us Sche pp, Vice President und Managing Director Deu tschlan d, Öste rre ich und Schw eiz bei g ood Technology:. Des Stre ben nach Produktivität ist für Unte rnehmen de r wichtigste Antrieb für die Akzep tan z mobiler Lösungen. Häufig wird angenommen, dass BYOD schon ausreicht, um Mit arbeiter zu steigender Produktivität zu verhelfen. Das ist je doch ein Trugschluss." Laut Markus Schepp sind we itere Prozesse notwendig, damit Unternehmen die Vorteile aus-.. Konzepte für die Verwaltung mobiler Systeme Im Zusammenhang mit Ent erprise Mobility haben sich diverse Konzepte und Abkürzungen etabliert. Hier eine Kurzfassung der wichtigsten Ansätze: Bring Yaur Own Devic e (BYOD): Im Rahmen ein es BYOD-Konzepts könn en Mitarbeite r ihr privates 5martp hon e, Notebook oder einen Tablet-Rechner für berufliche Zwecke verwe nden. Choose Your Own Devi ce (CYOD): Bei evod können Mitarbeiter ein mob iles Gerät aus einer Liste von Systemen wählen, die von der IT-Abteilu ng freigegeben wurden. Im Untersc hied zu BVOD ist das Unt ernehmen Eigentüm er der Geräte und behält somit auch die Kont rolle über die Inhalt e und Anwend ungen auf die sen Systemen. Für Mitarbeiter hat CYOD den Vortei l, dass ihnen im Idealfall ein Endgerät mit Betriebssystem und Anwend ungen zurverfügung steht, mit denen sievertraut sind und die einen niedrigeren Einarbeitungsaufw and erfordern. Company Owned - Persona ll y Enabled (COPE): Das Endgerät bleib t in diesem Fall Eigentum des Unternehmens. Der Nutzer kann es jedoch auch für private Zwecke verwe nden. Allerdi ngs gelten dafürje nach Branche Einschränkungen. In vielen Firmen sind beispielsweise Apps für WhatsApp oder Facebook nicht erwünscht, ebenso das eigenständige Install ieren von Apps, die nicht von der IT-Abteilung freigegeben wurden. Teilweise set zen Untern ehmen Dual-Persona-Endgeräte ein, auf denen sich zwei separate Nutzungsbereiche einrichten lassen - einer für betr iebliche Zwecke und einer für private. Corp orate Only - Busi ness Onl y (COBO): COBO ist der restrikti vste Ansatz, denn sowoh l das Endgerät als auch die Anwendu ngen werden ausschließlich vom Arbeitgeber bereitgestellt. Zudem darf der Beschäftigte das System nur für geschäftliche Zwecke nutzen. Solche Vorgaben sind in Branchen mit besonders hohen Sicherheitsanforderungen zu finden, etwa dem Finanzsektor, dem Gesundheitswesen oder in Behörden. Enterprise Mability (EMM): Darunter sind Mobile üevlce, Mobile Application und Mo- bile Content zusammengefasst. Firmen können ein EMMaufbauen, indem sie separate Produkte für MDM, MAM und MCM einsetzen. Zudem stehen EMM-Paket e zurve rfügung, die alle drei Funktionen vereinen. Mobile Apptication Manageme nt (MAM): Mit einer MAM-Software kann die IT-Abteilun g mobile Applikationen verwalten. Das schließt Backups und das Roll out solcher Apps mit ein. Zudem lassen sich Regelwerke (Policies) erstellen und umsetzen. Solche Polici esdefi nieren beispielsweise, welc he Konfigurationseinstell ungen für Apps gelten und aufweiche Daten der Nutzer damit zugreifen darf. MAM-Lösungen werden entweder als Addon eines MDM-Toolsoder als Einzellösungen angebo ten. Mobile Cont ent Manage me nt (MCM): Eine MOo1-Software bietet der Unternehmens-IT einen Weg, um aufinhalte, Dateien oder Dokumente auf mo bilen Geräten zuzugreifen. Daserfolgt unabhängig davon, ob diese Daten im internen Speicher der Systeme oder auf SO-Karten oder anderen Speichermedien abgelegt werden. MCM-Lösungen erla uben es zudem, Dokumente zwischen Kollegen, Kunden und Partnern auszutauschen (Sharing, Colla boratio n). Auch ist im Idealfall eine Synchronisatio n von Inhalt en über verschiedene nevlces hinweg möglich. Mobile Devic e (MDM): Die Kernfunktion ist die Verwaltung unterschiedliche r Typen von mobilen Geräten in einem Unte rneh mensnetz. Solche Lösungen lassen sich um zusätzliche Funktionen erwe itern, etw a die Verwalt ung von Applikationen, Asset- oder Sicherheitsfunktionen. Mob ile Risk Manage me nt (MRM): Das Kernziel von MRM besteht darin, das Speichern und Bearbeiten von Firmen daten an potenziell unsicheren Orten zu verhindern. Dazu zählen urwerschlüsselte Cloud-Storage-Ressou rcen, aber auch ungeschützte Speichermedien in Endgeräten. Zudem können Funktionen integriert werden, die ein sicheres Synchronisieren von Daten zwischen unterschiedlichen Systemen ermöglichen, etwa Smart phcnes, Notebooks und Büro-Pcs. 16 3/2015 coml professional

4 BYOD End-User Products ITProducts \}) (i) AppS@Work Docs@Work Web@Work Help@Work (j Tunnel e DataView e - Ap"connoct AppCo nnect Ecosyste m a m Da a CORf Reporting & Analytics Tools Cansole Insight MobiteAdmin Interface Ente rprise Resou tces Intelligent $ENTRY Gateway n App Delivery c:... Network I >.!1 Enterp rise Mobility : Aufden Endsystemen werden Clients installiert, über die Sicherheitsvorgaben umgesetzt werden. Der Datenverkehr läuft über ein Sicherheits-Gateway (Sent ry). Das Kernst ück ist eine Server-Komponente (core). & schöpfen können, die eine höhere Mobilität von Mita rbeitern mit sich brin gt. "Benötigt wird vor allem ein e Siche rhei tsst rateqte, bei der es darum geht, Mitarbeiter für Daten schutz zu se nsibilisiere n und gleich zeitig mit IT-Lösungen und Plattforme n zu arbeite n, die Unternehmensdaten schü tze n", so Me rkus Schepp weiter. Restriktive Strategien Doch ge rade an Strateg ien für die privat e und geschäftliche Nutzung von Mobilsystemen und anderen IT-Komponenten mangelt es in deutschen Unternehmen häufig. Lau t einer Unte rsuchung der Beratungsgesellschaft Delottte schwanken IT-Abteilungen zwisc hen einer Laissez-faire -Ha ltung, strik ten Verboten und dem Aufsetzen von BYOD-Programmen. Nutzen Sie auf Ihrem BYOD-Gerät private Apps für geschäft liche Zwecke? corni profeulona1 3/lS Bring Your Own App (BYOA) Ertauben Sie Mita rbeite rn die Nutzung privater Apps auf BYOD-Gerät en für geschäftliche Zwecke? Quelle: IDC Ein typisches Vorge hen ist laut Deloltte das strikte Verbot, privat e Endgerä te zu ve rwenden. Als Gründe führen IT-Fachleu te Sicherheitsrisiken und mögliche Verstöße gegen Complia nce-req eln en. Eine solche Strategie wird als Compa ny Owned - Busin ess Only (COBO) bezeichnet: Das Unternehme n stattet den Mitarbeiter mit einem Endgerät aus und gi bt vor, welche Anwendunqen d arau f laufen dürfen und für weiche Zwecke das System eingesetzt wird. Vor allem in Bereichen wie de m Finanzwesen, bei Beh örden oder im Gesundheitssekto r ist dieses Modell hä ufig ve r breite t. Dort kommen in vielen Fällen noch Blackberry Smartphones zum Einsatz, in Verbindung mit einem hausintern betriebenen Blackberry Enterprise Server 10 (BES) oder der neuesten Version 12 von BES. Eine abgemilderte Form von COBO ist COPE (Company Owned - Personally Enabled). In diesem Fall dürfen Mitarbeiter ein finn eneigenes Endgerät au ch für private Zwecke nutzen. Allerdings sind die ser Freizügigkeit Grenzen geset zt, etwa was die Nutzung von Apps betrifft. Ein Problem einer solchen restriktiven Vorgehensweise: Sie verärgert Mitarbeiter und kann zudem deren Produktivität einschränken, weil Geschäftsprozesse immer kürzere Reaktionszeiten erfordern. Außerdem muss die IT-Abteilung spätes tens dann Kompromisse eingehen, wenn Führungskräfte und Abteilungsleiter darauf bestehen, dass sie selbst oder ihre Abteilungen mit Mobilsystemen ein es bestimmten Typs au sgestattet werden. Dem stehen Vorteile gegenüber wie das hohe Sicherheitsniveau, weil das Unternehmen die volle Kontrolle über das Endgerät behält. Das gilt auch für Faktoren wie das Einspielen von Sicherheitssoftware und Patches. Solche Systemmanagement-Aktionen erfordern einen ge ringere n Aufwand, wenn nur wenige Systemplattfo rme n im Einsatz sind. 18 3/2015 com! professional

5 BYOD Anwendungen sperren Eine zweite Strategie lässt sich mit "Alle Schotten dich t" umschr eiben. In diesem Fall deaktiviert die IT-Abteilung alle poten ziell gefährliche n Funktionen auf einem Mobilsys tem, etwa Anwen dungen wie Fa ceb ook, Wha tsapp ode r ortsbezogene Services (Location -based Services), mit de nen sich der Standort eines Nutze rs ermi t tein läss t. Das ist aus rechtlichen Gründen höchst problematisch, weil da s Endgerät im Fall von BYOD dem Besc häftig - ten gehört, nicht de m Unternehmen. Zudem lässt sich eine solche Strategie n ur dann um setzen. we nn die Endgeräte in da s unternehmen sweite Syste m und Anwe ndungsma nag ement einbezogen we rden. Das kann Problem e be reiten. vor alle m dann, wenn un terschiedliche Plattformen unte rstützt werden mü ssen, etwa ios, Android, Windows Pho ne und Blackberry OS. In der Praxi s führen solche Vorgaben vielfach dazu, da ss Beschäftigte private Systeme ohne Wissen der IT-Fachleute ve rwende n. Das schließt häufig den Einsatz von Cloud -Storage -Die nsten wie Drop box, On edrive oder Google Drive mit ein. Dort werde n dann au ch gesch äftli che Daten gespeichert, und das meist ohne Versc hlüsselung. Diese Strategie kann also dazu führen, dass eine soge nannte Schatten-IT im Unte rnehme n entsteht. Sie entzieht sich der Kontrolle der rr-abteilung und bringt erhe bliche Sicherheitsrisiken mit sich. Choose Your Own Device Ein dritter Ansatz, um Mobilsysteme, privat e Endgeräte eingeschlo ssen, in einer geordneten Weise bereitzu stellen, ist CYOD (Ch oose Your Own Device ). CYOD ist ein Kompromis s zwis chen einem Laissez faire und dem restriktiven Ans atz, Hardware Single/ Dual Care Applicat ion Processor Peripheral üevlces Provisioning Configuration Installation I Update Analytics Virtual Devices JeOS Virtu alisierung: Unternehmen wie Red Send und VMwar e bieten Lösungen a n, die direkt auf der Hardwar e des Mobilsystems install iert werde n. wie ihn etwa COBO vorsieht. Der Mitarbeiter ka nn in diesem Fall zwischen meh reren Endgeräte -Typen und Syst emplattforme n wä hlen. Das Sma rtphone ode r Tablet bleib t jed och im Besitz des Unternehmens un d wird von dessen I'I' -Abteilunq zentral verwaltet. Dies es Konzept hat den Vorteil, dass es dem Nutze r eine höhere Flexibilität ein räumt. Gleichzeitig behält das Unte rneh men die Kontrolle über das Syst em. Da s schließt die Install ation und Nutzung von Anwendungen mit ein sowie Syste mwartungsaufgaben wie d as Aufspielen von Upda tes und neuen Systemversione n. Für die Beratungsfinna Experton Group ist CYOD im Vergleic h zu BYOD die be ssere Alte rnative: udamit lasse n sich die drängendsten Her au sford erungen im Zusammenhang mit BYOD umg eh en ", erläute rt Wollgang Schweb, Manag er Advis or und Prog ram Manag er Effident Infrastructure bei der Experton Group, in einem Beitrag im Weblog de s Unternehmens. "Dies gilt für die Kostenverrechnung, steuerliche Fragen, Haftung sausschlüsse sowie den technischen Su pport. U Auc h die Marktforscher von IDC sehen Choose Your Own Device auf de m Vormars ch. Demnach setzen in Deu tschl and mittlerweile etwa 50 Prozent der Unternehmen auf ein CYOD-Konz ep t, nu r 40 Prozent auf BYOD. "Unternehmen sind bereit, die höheren Kosten zu tragen, die CYOD mitsich' bringt", sagt m C-Fachmann Mark Alexande r Schulte. Denn bei CYOD muss da s Unte rnehmen die Endgeräte ansc haffen. "Anwender sind jed och mit be ide n Konzepten zufrieden. Denn ihnen geh t es primär darum, ein Gerät zu verwende n, das die gleichen Funktionen bietet wi e ihr privates Mobilsystem ", so Schulte weiter. Mobile Device Eg al ob ein Unte rnehmen auf BYOD, CYOD, CO HO od er COPE setzt, das Konzept sollte alle Mobilsysteme, auch priva te, in ein System- und Anwendungsmana ge me nt einbinden. Da s erfolg te bislang in de r Praxi s mit Hilfe eines Mobile Device-Maneqemen t-system s (MDM). Eine solche Lösung besteht in de r Regel aus einer Client-Sottware auf dem End - gerät sowie einer Serve r-komponente im hau seigen en Reche nzentrum oder dem eines Cloud-Servtce-Provtd ers. Diese Server wer den im Normelfall in einer DMZ (demilitarisierte n Zone) eines Ne tzwe rks implementiert un d mit Firewa lls und Intru sion-preven~ion-sys teme n (IPS) abgesichert. Er- '" gän zt wird dies durch ein Gateway, das für die Verschlüssei lung der Daten beim Transpo rt zwische n den Endge räten l und Backend-Systemen im Firmennetz zustä ndig ist. '& Der zeit gibt es auf dem Markt etwa 15 bis 20 Produkte von ~ namhaften Syste mhä usern. Hinzu kommen Lösungen von Ö kleineren Anbiete m und Mobilfunk-Se rvice- Providern wi e Tt-Mobile, Voda fone un d 02. Oft arbeiten diese Anbieter mit den etablierten He rstellern von MDM- und Ente rprise-mobi Iity-M eneqemen t-lösunqen zu sammen.... coml professional 3/

6 BYOD Ein Mob ile Device Manage ment stellt in der Regel folgende Kemfunktionen bereit: Eine Unte rstützung alle r gängigen Mobilbetriebssysteme, also ios. Android. Windows Phone 8 und Blackberry OS. Einige Lösun gen sin d auch für ältere Mobiltelefone ausgelegt, die beispielsweise un ter Symbian laufen. Ge ge benenfalls sollten auch Betriebssystem e wie Chrome OS und Linux für mobile Client-Rechner un terstützt we rden Erkennen und Unterbinden gerätespezifis cher Bedrohungen (Jail -Breakin g von JOS-System en. Rooten von Android -Systemen): Wenn sich ein Nutzer Super-User-Rechte einrichte t, erleic htert das Cy be rkriminellen die Arbeit, sich Zugang zu diesenendgeräten zu verschaffen Im Idealfall eine Mehrfaktor-Authentifizierung d es Nutze rs mittels Techniken wie PIN. SMS, Token und so weiter Fernlöschen de s Systems bei Verlust (Remote Wiping) sowie ein Auto-Locking bei Inaktivität. dabei wird da s System nach einigen Sekunde n oder Minuten gespent un d ist erst na ch der Eingabe eine r PIN ode r eines Passworts wie der zugänglich Die Integration in Verze ichnisdienste wie Microsoft Activ e Directory und LDAP Die Option. Security-Policies und alle Berechtigungsk onzepte aus Actlv e Directory oder LDAP abzule ite n un d umzusetze n Eine Mul tiple-proxy-struktur, um kom plexe, individuelle Sicherheitsarchite kturen abzubilden Die Einb indung in Monitoring-, Security- und Helpdesk Lösungen Eine sichere Versc hlüsselung der Dat en auf dem Endgerät, im Ideell all mitt els AES und 256-Bit-Schlüsseln. zude m die Vorga be, da ss Firmendaten ausschließlich übe r verschlüsselt e Verbindungen übermittelt we rden dürfen Self-Service-Funktionen, mit deren Hilfe der Nutze r kleinere Prob leme selbst löst. Das kann übe r ein entsprechendes Webportal erfolgen Zu den bek anntesten Anbiet ern von Lö sungen für das Manageme nt mobiler End gerate zählen m M, AirWatchlVMware, Good Technology, 9trix, Mobile Iron sowie SAP. der Newcome r Soti und Microsoft. Zudem bewegen sich immer mehr Anbieter von Sicherheitssoftwa re in diese Richtung. Dazu ge hören unter ande re m Symantec,. ophos. InteVMcAfee und Kespersky. Enterprise Mobility Der zeit vollzieh t sich allerdings ein Wandel weg vom rein em Mobile Device hin zum Ent erprise Mobility (EMM). Während sich MDM auf die Verwaltung der physischen Endgeräte und der en Betri ebssysteme konzentriert, bezieh t EMM das von Apps und Content mit ein, der auf diesen Endgeräten bearbeitet und gespeiche rt wir d. Nach Angabe n der Ma rktforschung sge seilschaft Gartner stellt eine EM M-Suite folgende Kernfunk Honen bereit: Eine Inventarisierung von Ha rd ware und Anw endung en in de r firmeneigenen Infrastru ktur Ein Konfigurationsmanagement der Betriebssysteme Die Möglichkeit, Apps zu implementieren, zu verwa lte n und nötigenfalls remote zu entfernen. Das gilt beispielsweise für Apps au s zweüelhaften Qu ellen.. Eckpunkte eines Mobile Content s Statt der Verwaltung von mob ilen Endgeräten rückt das von Content in den Mittelpunkt des Interesses. Der Grund ist, dass es letztlich die geschäftsrelevanten Informationen sind, die vordem ZugriffUnbefugter geschützt werden müssen, und di es nicht nur auf dem Endgerät selbst, sondern auch beim Transport über Mob ilfunkn etze oder öffentliche Wireless LANs. Ein Mobile Content (MCM) besteht aus drei Kom pon enten: sicheren Containern auf dem Mobilgerät einer Push-Funktion einer Zugriffskontroll e für Dokumente und Daten, die auf Servern im Firmennetzwerk oder bei einem Cloud -Servlce Provider lagern Ein Container ist ein separater, abgesicherter Speicherort für Daten und Apps. Dazu gehören unteranderem -Attachmentsoder Dokumente, die der Nutzer aus dem Firmen netz bezieht. Dies könn en beispielsweise Daten sein, die ein Mit arbeitet gemeinsam mit Kollegen bearbeitet und die auf einer Collaboration-Plattform lagern. Die Content-Push-Funktion ist für die Überm ittlung vo n neuen Dokumenten zuständig, außerd em für die Versionsverwaltungvon gemei nsam bearbeiteten Daten. Die Zugriffskontroll e wiederum stellt sicher, dass nur dazu auto risierte Mitarbe iter auf ihrem Mobil system Zugang zu bestimmten Daten haben. Diese Funkti on stellt auch die Verbindung zwischen einem Möhilsystem und Datenspeichern im Backend her. Bestandteile der MCM Komponente eines Enterpri se Mobile Managemen ts sind zudem Sicherheitsfunktionen, etwa ein l ogging. um zu protokollieren, wer wann auf welche Daten zugreift, und eine Einschränku ng vo n Download-Möglichkeiten. Solche Beschränku ngen kommen dann zum Einsatz, wenn der Nutzer beispielsweise über ein potenziell unsicheres Netzwerk wie ein Hotel-WLANauf das Firme nnetz zugreift. 20 3/ 2015 com! professiona l

7 Brennpunkt BYOD Die Option, Reg elwerke (Polides) für den Zugriff auf Anwendungen und Daten im Firmennetz auf- und umzusetzen. Solche Polieres räumen beispielsweise Finnenmitarbette m entsprechend ihrer Rolle (Position, Mitarbeit in bestimmten Arbeitsgruppe n) den Zugan g zu Dat en ein Einen Fernzugriff auf die Mobilgeräte, etwa für Wartungszwecke oder um Daten und Anwendungen zu löschen. Das kann bei Verlust eines Endgeräts erforderlich sei n oder dann, we nn ein Mitarbeiter das Unternehmen verlässt un d se in privates Mobilsystem mitnimmt Funktionen für die Verwaltung aller Art von mobilem Conte nt Hinzu kommen ergänzenden Featur es für das Logging wie das Aufzeichnen von Nutzer- und Systemaktivitäten. Container für die Daten Um Daten und Anwendungen auf Mobilsyste men zu schützen, stehen mehrere Techniken zur Wahl. Eine Möglichkeit sind Container auf einem Endgerät. Dies sind verschlüs selte, durch ein Passwort geschützte Bereiche auf dem Mobilgerät. Ein Container ist von der Arbeitsumgebung des Smartphones, Tablets oder Note books separiert. In ihm lassen sic h Daten und Anwe ndungen able ge n, einschließlich E-Ma ils, Kontakte n und Office-Dokumenten. Gleiches gilt fü r unterne hmensspezifische Appli kationen. Zu de n Vorzügen der Container-Technik zählen da s hohe Sicherheitsniveau und die Möglichkeit, den Einsatz privater Endgeräte für geschäftliche Zwecke zu erlauben, ohne dass private und berufliche Dat en und Anwendungen vennengt werden. Die IT-Abteilung hat zudem die Kontrolle über die Conta iner, kann also deren Inhalt ändern oder einen Behälter löschen, etwa wenn ein Mitarbeiter die Firma verlässt. Zu den Nachteile n zählt, dass viele Container-Technologien herstellerspezifisch sind. Dies bed eutet, dass sich der Anwender an einen bestimmten Anbiete r bindet. Darüber hinaus erfordern einige Lösungen ein Ne ukom pilieren der ursprünglich en Anwendung mit Hille von Software Development Kits (SDKs). Das schränkt die Zahl der unterstützten Applikationen ein. Anbieter solcher Container-Lösungen sind unter anderem Citrix, Samsung (Knox) und Good Technology. App Wrapping Eine Alternative zu SDKs sind App w rapper. Eben so wie SDKs eig ne n sie sich für de n Einsatz auf Mobilgeräten, deren Betriebssystem keine umfassenden Remote funktionen unterstützt. Außerdem sind App Wrapper für Anwender interessant, die laut Gartnei keine MDM Client-Softw are auf den Endsystemen installi eren woll en. App Wrapping stelle n unter anderem Mobilelron und VMware zur Verfügung, d as mit AirWatch einen Anbieter solcher Lösungen übernommen hat. Beim App Wrapping wird der eusführbere Code ein er Anwendung geändert, etwa inde m Polteies (Sich erheitsregeln) hinzu gefü gt werden. ~o lche Policies ge ben beispielsweise vor, wo bestimm te Daten gespe ichert u nd übe r welche Verbindungen sie transp ortiert we rden. Eine Regel ka nn in letzte rem Fall fes tlegen, dass bestimmte Virtual Private Netwo rks (VPN) für den Datentransfer genutzt werden müssen. Zu den potenzie llen Prob lemen zählt, da ss manche Hersteller von Anwendungen es untersagen, deren Code zu modifizieren. Zud em ist das Patchen von solchen eingebetteten Anwendungen komplexer als bei Original-Applikationen. Vor allem bei Standard-Applikationen, die beispielsweise über di e App-Stores von Google, Apple, Microsoft oder RIWBlack- Rechtliche Aspekte von BYOD Ein Punkt, der im Zusammenhang mit dem Einsatz privater Mobilgeräte im Unternehmen oft übersehen wird, ist die Rechtslage. Bei der Nutzung vo n privaten IT-Systemen mü ssen fol gende Faktoren berücksichti gt werden: Der Schutz von Unt ernehme nsdaten: Laut 9 des Bundesdatenschutzgesetzes (BSDG) muss ein Unternehm en beisp ielsweise den Schutz von personen bezogenen Daten, etwa Kundeninformationen, sicherstellen. Geht ein pri vates Gerät mit solchen Daten vertoren, haftet derarbeitgeberfürdie Folgen. Auch ein Speichernvon personenbezogenen Daten durchden Nutzer in einer Cloud, etwa auf Dropbo x, ist unzulässig. Wer ein BYDD-Konzept umsetzen will, muss also die Sicherheit von Unternehmensdaten garantieren. Das kann du rch Verschlüsselung, eine skhere Auth entifizlerung des Nutzers und Schutzsoftware wie Virenscanner erfolgen. Im Idealfall werden priva te und Betriebsdaten sowie entsp rechendeanwendungen separat in Containern auf dem Endgerät gespeichert und bearbeitet. Der Schutz der privaten Daten des Beschäft igen: Auch der Mitarbeiter hat einen Anspruch darauf, dass seine persönlichen Daten auf dem Endgerät nicht von der IT-Abteilung mit gelesen oder gar gelöscht werde n. Diese Informationen unterliegen dem Fernmeldege heimnis. lizenzrechtliche Vorgaben : Geschäftsdaten dürfen nur mit Hilfevon Anwendungen, die für den gewerblichen Einsatz freigegeben wurden, bearbeitet werden. Das ist bei Apps nicht der Fall, die ausdrücklich Privatnutzern kostenfrei zur Verfügung gesteil t werden. Wer sich darüber hinwegsetzt, verstö ßt gegen das Urheberge setz und das BGB. Auch in diesem Fall drohen ihm und seinem Arbei tgeber Sanktionen wie Strafen und eine teure Nachlizenzierung von Progra mmen, so der Münchner Rechtsanwalt Cr. Christian Oster maler im Law-Blog ( 22 3/ 2015 eemt professional

8 BYOD berry bezogen werden, sind Techniken wie Wrapping mit einem höheren Aufwand verbunden und lassen sich wegen des mangelnden Zugriffs auf de n Programmeode nur sehr schwer umsetzen. Mittlerweile we rben Anbieter wie etwa Good Technology mit einem uapp-wrapping oh ne Codinq". So ersetzt beispielsweise die Good Dynamies Seeure Mobility Platform Sta ndard-systema ufrufe durch Secure Calls von Sicherheitsbibliotheken von Goo d. Auch IT-Fachleute ohne profunde Prog rammierkenntnisse können so laut Gcod mobile Anwendungen mittels App Wrapping sichern. Mit einem SDK lassen sich dagegen Conta ine r erzeugen, indem der Programmeode der Anwend ungen ge än de rt wird. Dieses Verfahren eig net sich vorz ugsweise für Ap ps, die ein Unternehmen se lbst entwickelt hat. Virtualisierung Unte rnehmen wie Citrix, VMware und Red Bend offerie re n mit Mobile Virtu alization eine weite re Option, um eine Trennung von Privatem und Geschäftlichem auf Mob ilsystemen zu erreichen. De facto handelt es sich um einen Dual-Persona-Ansatz: Auf de m Endgerät we rden für beide Anwen dungsfelder separate Bereiche einge rich tet. Dem Anwender stehen dadurch gewissermaßen zwei Endgeräte auf derselben Hardware zur Verfügung, eines für private Zwecke un d eines für die beruflich e Nutzung. Bei Mobile Virtua lizatio n gibt es zwei Ansätze: Typ-l-Hypervisors: Sie setzen direk t auf der Ha rdware des Mobilgeräts auf. Es handelt sich also um Bare -Metal -Irnplementierungen. Betriebssystem und Apps werde n in Form von Virtua l Machines (VM) auf dem Hyp ervisor ausgeführt. Dadu rch ist es möglich, zwei ge trennte Syste me, sprich Virtual Mac htnes, aufzusetzen. Zude m ist eine Verschlüsselung de r Daten möglich, sowohl auf dem Endgerät auf der VM -Ebene als auch beim Transport. Der Nachteil: Dieses Verfahren ist aufwen dig und erfordert eine na chh altige Unterstützung du rch de n Herstelle r de s Mobilgeräts. Die Firmen Red Bend und Citrix ste llen solche Typ -1-Virtu alisierungsplattform en zur Verfügung. Typ-2-Hypervisors: Sie we rde n wie eine App auf dem End gerät ausgefüh rt und erzeuge n dort ein zweites, virtu alistertes Smartphone oder Tablet. Auch in diesem Fall lassen sich BYOD und CYOD: Verbreitung und Pläne Bring YourOwn uevrce (BYOD).10O chocse YourOwn Device (CYOD) Heute In 24Monatengeplant Wederim Einsatznoch geplant Viele Unterne hmen haben bere its Brlng-vour-Own-Device- und Choose-Your-Own-Oevice-Konze pte umgesetzt ode r we rden dies in den kommende n Monaten t un. corniprofessional 3/15 Mobility-Strategie Mobile Device -Device Provisioning & Configuration Remot e Cont rol/ Wipe Aut henticati on Manage ment Pclicy & Compliance Managemen t Mobile Application App Distribution / Enterprise App Sto re App White-/ Blacklists Version User Aut hentication App Development Mobile Security (Mobile) UC&C Back End Systems Integration Analytics & Reporting Mobility Services Mobile Content Access to Files/ Conte nt/ Data Enab le Secure Collabora tion & Communication Access Manage men t Control of Data Flow Die drei Säulen de r Mobility-Strategie: Lau t IOCsollten Unternehmen ihre BYO D-Strategie au f drei Säu len aufbauen: einer zent ralen Verwa ltun g mobiler Geräte (MDM), der e nts prechenden Anwe ndungen (MAM) und der bearbeiteten Daten (MCM). private u nd berufliche Bereiche auf dem Endg erät tre nnen: Alle rdings wir ken sich Typ-2-Hypervisors angeblich neg ativ auf die Batterielaufzeit und die Performan ce des Endgeräts aus. Zudem mu ss die Virtua lisie rungsfunktion Zug riff auf zentrale Funktionen des Betrie bssystems haben. Für diesen Ansatz, de n be ispielsweise VMware/AirWatch bei seinen Elvllvl-Lösunqen ve rwendet, spricht je doc h, dass ein solcher Hyp ervisor auf einem besteh en den Betriebssyste m impleme ntie rt werden ka nn. Eine spezielle Virtua lisie rungslösung, die mit Container Technologien anderer He rstell er zusammenarbe ite t, ha t Samsung mit Sams ung Knox entwickelt. Die Grundlage bildet Security Enhanced Androi d (SE A nd rotd). Diese Systemsoftware wird in die Herd- un d Software eines Sems unq-galaxy-systems eingebunde n. Knox bie te t eine Verschlüsselung mittels AES (Adva nced Encryption Standard) mit 256-Bit-Schlüsseln auf de r Hardware-Ebene. Der User ka nn das End gerät wie gewohnt einsetzen. Der Start der virt ualisierten Arbeitsumge bung erfolgt über ein en Angaben in Prozent Quelle:tue Button auf der Bedieno berfläche. Zudem ist die Anbindu ng an MDM -Lösungen von anderen Anbietern wie MobileIron möglich. Außerdem stellt Samsung seit 2014 eine eigene MDM- Funktion zur Verfügung.. Ein Nachteil dieser Lösung ist, dass Security Enhanced Android vom US-Ge heimdienst NSA entwickelt wurde. Zwar soll die Software keine Hinter tür en ent halten, über die NSA- Fach-... com! pr ofes sional 3/

9 BYOD leute auf Mobilge räte mit Knox zugreifen können. Ein gewisser Beigeschmack bleibt dennoch. Betriebsvereinbarungen Um juristische Fallstricke im Zusammenhang mit BYOD. CYOD oder ähnlichen Ansätzen zu vermeiden. empfiehlt sich der Abschluss einer Betriebsvereinbarung zwischen der Ge schäftsführung. dem Betriebsrat und der IT-Abteilung. Gegebenenfalls sollten Compliance-Beauftragte un d Fachleute für Tl-Recht eingebunden we rden. Eine solche Vereinbarung kann folgende Regelungen enthalten: Wer private Mobilgeräte nutzen darf: Davon ausgeschlossen werden können beispielsweise Mitarbeiter, die Zugang zu sensiblen Infonnationen haben. etwa Geschäftsführer, Ff-Leiter und Entwicklungsleiter Wie Wartung und Support des Systems geregelt sind: Es sollte klar sein, ob das der Mitarbeiter oder die IT-Abteilung erledigt Welche Einschränk ungen für die Nutz ung des Endgeräts gelten: Das gilt vor allem für das Aufspielen potenziell ge fährlicher Softwa re oder das Rooten (Android) beziehungsweise Jail-Breaking (Apple ios) von Tablet s und Sma rtphones Welche Zugriffsrechte der Arbeitgeber hat: Hier sind die erwähnten Datensc hutzregeln und das Fernmeldeg eh eimnis zu beachten, Stichwort Vertraulichkeit privater Daten Wann der Arbeitgeb er welche Daten auf dem Mobilgerät löschen darf: Das ist bei Diebstahl oder dem Verlust eines Mobilgeräts wichtig. Außerde m muss geregelt sein, was beim Ausscheiden des Mitarbeiters aus dem Unternehmen passiert. Der Arbe itgeber sollte auch in diese m Fall geschä ftliche Daten löschen können, nicht jedoch die privat en Informationen und Apps des Nutzers Wie es mit der Kostenverte ilung aussieht: Es sollte kla r se in, welche Aufwendungen dem Mitarbeiter ersetzt we rde n, zum Beispiel Kosten von GeSChäftste -~JL~~!~~~~~~~~ lefonaten oder die Aufwendungen für den Intem etzugriff aus betrieblichen Gründen Wer für den Verlust eines Endgeräts haftet: Eine Möglichkeit besteht darin, dass der Arbeitgeber für alle BYOD-Systeme eine Versicherung gegen Verlust oder Beschädigung abschließt Weitere Infos mobilefirst/us/en/ bring-your-own-device/ byod.htm l Wh itepapers zu de n Themen BYOD und MDM(englisch) resources/white-papers Wh itepapers zu EMM, MCM und vielem mehr (englisch) Brin g Your Own öevrce (BYOD) Angaben in Prozent :n 55 1" c hoc se Your Own Device (CYOD) " Erhöht Unverändert Gesunken ~m.1 p rofftsiollal l/15 IT-Kost en durch BYOD und CYOD Weiß nicht In der Regel führ en wede r BYODnoch CYOD zu niedrigeren IT-Kosten. Allerdings zahlen sich für Firmen Faktoren wie die höhere Agilität der Mitarbeite r au s, we nn diese (eige ne) Mobitgerä te verwenden dürfen. Zeitbegrenzung der dienstlichen Nutzung: Hier spielt bei spielsweise die Arbeitszeitbegrenzung eine Rolle (keine Rund-um -die-uhr-erreichbarkeit, Regelungen für Urlaub, Feiertage und so weiter) Fazit Die anfängliche Euphorie in Bezug auf Bring Your Own Deviceist eine r nücht ernen Betrachtung gewiche n. Gerade Branc hen mit besonders hohen Sicherheitsa nforde rungen wie Banken, Versicherunge n und Behörden setzen nach wie vor auf strikte Vorgaben, teilweise auf Modelle wie Compeny Owned - Business Only. Doch dieser zen tralistische Ansa tz ist in anderen Wirtschaftsbereichen kaum noch durchz uhalten. Eine Alte rnative besteht darin, Beschäftigten eine Auswahl an Mobilgeräten anzubieten und ihnen die private Nutzun g zu erlauben, Stichwort Choose Your Own Device. Dieses Konzept ist für viele Unternehmen die bessere Wahl als BYOD, nicht nur aus Gründen de r Datensicherheit, sondern auch, weil der Aufwand für die Systemverwaltung sowie Haftungsrisike n minimiert werden. Bereits absehbar ist jedoch, dass auch Konzepte wie CYOD nur ein Zwischenschritt sind. Der unaufhaltsame Trend, von mehreren Endgeräten und unterschiedlichen Orten aus auf Unternehmensdaten und en tsprechende Anwendungen zugreüen zu können, erfordert letztlich neue Ansätze. Dazu zählen etwa Mobile Workspaces und virtualisierte Desktop- Umgebungen, die jederzeit an jedem Ort und über jedes Endgerät zugänglich sin d. Unternehmen wie Citrix. Matrix42 und IBM. aber auch Systemh äuser wie Cancoml Pironet NDH bieten solche mob ilen Arbeitsplätze an oder übernehmen de n Aufb au einer solchen Umg ebung. Bernd Reder/hs hs@com-profession al.de 24 3/2015 com! professional