Datenschutz und Mobile Device Management. Tobias Mielke

Transkript

1 Datenschutz und Mobile Device Management Tobias Mielke

2 Agenda Was ist Mobile Device Management (MDM)? Datenschutz und MDM Rechtliche Risiken im MDM Lösungswege mit einem MDM 1

3 Was ist MDM? Company owned Devices (CoD) vs. Bring your own Device (BYOD) Company owned Devices Herausgabe durch Unternehmen; private Nutzung erlaubt Mischung zwischen Unternehmen und Privatsphäre Bring your own Device Privates Device das im Unternehmen genutzt wird und Zugriff auf Unternehmensdaten hat Mischung zwischen Unternehmen und Privatsphäre 2

4 Was ist MDM? Vorteile von BYOD und CoD: Motivation der Mitarbeiter Steigernde Produktivität der Arbeitnehmer Kosteneinsparungen für Unternehmen Flexibilität 3

5 Was ist MDM? Risiken bei BYOD und CoD Familie und Freunde oder andere Dritte können theoretisch auch auf das Smartphone zugreifen bzw. dieses einsehen unkontrollierte Installationen von Apps auf dem Device Nutzung von privaten Cloud-Lösungen privates Backup oder Synchronisation keine Nutzung von Datensicherheitsaspekten 4

6 Was ist MDM? Application Management (MAM) 4 Kern-Disziplinen rund um die Strategie eines Enterprise Mobility Management: MIM Information Management Information Management (MIM) Enterprise Mobility Management (EMM) Device Management (MDM) EMC Mobility Consulting MAM Application Management Mobility Consulting (EMC) MDM Device Management 5

7 Was ist MDM? Application Management (MAM) Mobile Device Management stellt die zentrale Verwaltung mobiler Devices dar. Information Management (MIM) Enterprise Mobility Management (EMM) Device Management (MDM) MDM ist eine Softwarelösung, die nach automatisierten Vorgaben, die Devices in die Infrastruktur einbindet und inventarisiert. Mobility Consulting (EMC) Ziel ist es die geschäftlichen Daten und die privaten Daten zu trennen und dies möglichst auf ein und demselben Device. 6

8 Was ist MDM? Datensicherheit Kommunikation Hardwareunterstützung Softwareunterstützung 7

9 Was ist MDM? Softwareverteilung Policy bzw. Richtlinien Management Inventory Management Security Management Service Management für Devices 8

10 Was ist MDM? Geräte lokalisieren Verlust oder Diebstahl unsichere Geräte ausschließen Erkennung von Jailbreak und Root Sperrung von Kamera, App Stores oder bestimmter Apps Löschung von Apps oder dem kompletten Device 9

11 Was ist MDM? Vorteile von MDM: Alle Informationen der Devices auf einen Blick Geräte- und Datensicherheit administrierbar Kostenersparnis (z.b. Support durch Dritte) Implementierung und Unterstützung mehrerer Betriebssysteme 10

12 Was ist MDM? Vorteile von MDM: Devices können vorkonfiguriert werden und somit sofort für das Business eingesetzt werden kontrollierbarer Zugriff auf unternehmensinterne Daten ( , Intranet, Programme) Patchmanagement (Updates, Sicherheit-Patches) Dokumentation Rücknahme und Löschung 11

13 Datenschutz und MDM Private Daten Geschäftliche Daten BDSG Gilt zunächst nicht für ausschließlich persönliche und familiäre Tätigkeiten 1 (2) Nr. 3 BDSG, 27 (1) S. 2 BDSG Vermischung gilt BDSG privat & geschäftlich BDSG Gilt für geschäftliche Daten 1 (2) Nr. 3 BDSG 27 (1) Nr. 1 BDSG TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD 12

14 Datenschutz und MDM Herausforderung bei der Trennung zwischen geschäftlichen, persönlichen und familiären personenbezogenen Daten 13

15 Datenschutz und MDM Quelle:

16 Datenschutz und MDM Datenschutzrechtliche Problematik Einhaltung der technischen und organisatorischen Maßnahmen gemäß 9 BDSG und Anlage zu 9 BDSG keine Berechtigung des Arbeitgebers Kontrolle der personenbezogenen Daten des Mitarbeiters bei privater Nutzung Schutz der Persönlichkeitsrechte 15

17 Datenschutz und MDM Datenschutzrechtliche Problematik Schutz privater Daten des Arbeitnehmers Problematik: Überwachung bzw. Einsicht in private Daten des AN = Datenerhebung bzw. -verarbeitung gem. 3 (3), 4 (1) BDSG nur zulässig bei Einwilligung des AN gem. 4 (1), 4a BDSG oder Erforderlichkeit für die Durchführung des Arbeitsverhältnisses gem. 32 BDSG 16

18 Rechtliche Risiken im MDM Rechtliche Risiken bei BYOD Verschiedene Nutzungsrechte für OS und Apps Private und geschäftliche Nutzung Verschiedene Lizenzrechte für Apps Private und geschäftliche Nutzung Verschiedene Nutzungsrechte für Inhalte (Content) Evtl. Störerhaftung bei Rechtsverletzungen durch Arbeitnehmer 17

19 Rechtliche Risiken im MDM Haftung bei Verstoß und Umsetzung Management Arbeitnehmer Einbindung Betriebsrat ( 87 (1) Nr. 6 BetrVG) Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen 18

20 Rechtliche Risiken im MDM Verlust, Beschädigung, Reparatur und Wartung Wer haftet für Schäden? Existiert ein Anspruch auf ein Ersatzgerät? Rückgabe und Einhaltung von Löschungspflichten Was geschieht bei Rückgabe oder Herausgabe mit den Daten? Wie können gesetzliche Löschungspflichten eingehalten werden? Differenzierung von BYOD und CoD 19

21 Lösungswege mit einem MDM Prüfung von Lizenzen, Übersicht der Lizenzen Gerät, OS und Apps Apps für geschäftliche Nutzung definieren Geschäftliche Daten auf dem Gerät verschlüsseln Verbot privater Synchronisation von Cloud- Lösungen und Backups von geschäftlichen Daten Policies bzw. Richtlinien Regelmäßige Updates Fernlöschung oder Wartung Regelungen zu ToM gemäß 9 BDSG 20

22 Lösungswege mit einem MDM Technische und organisatorische Maßnahmen bei Verlust Zentrale Sperrung (Remote-Lock) Zentrale Löschung (Remote-Wipe) Verschlüsselung der gespeicherten Daten In Kenntnissetzung des betrieblichen DSB oder CISO Wenn erforderlich und immenser Verlust personenbezogener Daten Maßnahmen nach 42a BDSG einleiten Einsatz rechtssicherer Konzepte für Archivierung und Datensicherung 21

23 Lösungswege mit einem MDM Technische Realisierung Datencontainer für dienstliche Daten und Zugänge Verarbeitung der Unternehmensdaten nur auf Servern des Unternehmens Einsatz von virtuellen Maschinen Dual-Boot Lösungen 22

24 Lösungswege mit einem MDM Quelle: Mobile Active Defense 23

25 Lösungswege mit einem MDM Information Management (MIM) Application Management (MAM) Enterprise Mobility Management (EMM) Device Management (MDM) Fragen des Mobile Application Managements (MAM): Welche Apps dürfen geschäftlich genutzt werden? Welche Apps müssen gesperrt werden? Wie werden Security- und Compliance- Regeln auf das MAM angewendet? Wie werden die Sicherheitsergebnisse technisch auf den Geräten durchgesetzt? Einsatz Black- bzw. White Lists Mobility Consulting (EMC) 24

26 Lösungswege mit einem MDM Sicheres Mobile Application Management Sichere App-Kataloge und Übersichten Automatisches Enforcement für ein MDM Lösungen für App-Entwickler sowie Übersicht für Unternehmen 25

27 Lösungswege mit einem MDM Application Security Center Application Security Center Lösungen für Entwickler Lösungen für Unternehmen Trusted App Zertifizierung Security Guidelines Schulungen / Workshops Trusted App Directory Infrastrukturprüfung Enterprise Mobility Consulting Secure Instant Messaging 26

28 Lösungswege mit einem MDM Voller Zugriff auf 750+ getestete prominente Apps (alle OS) Stetig wachsende App-Auswahl für alle Betriebssysteme Sicherheits-Ampel und Detail-Testreport zu jeder App Transparente Sicherheitskriterien (UAG4/BSI) Regelmäßige Überprüfung neuer App-Versionen Modulares System für Zusatzleistungen & Managed Services 27

29 Fazit Frühzeitige Planung Einbindung Betriebsrat und Arbeitnehmer Beachtung datenschutzrechtlicher Aspekte Einhaltung sicherheitsrelevanter Punkte Richtlinien zur Nutzung im Unternehmen implementieren 28

30 Vielen Dank für Ihre Aufmerksamkeit! TÜV Informationstechnik GmbH TÜV NORD GROUP Tobias, Mielke, B.Sc. Business Security & Privacy Langemarckstr Essen Telefon: Telefax: URL: 29