Rechtliche Anforderungen - Mobile Device Management

Transkript

1 Rechtliche Anforderungen - Mobile Device Management Rechtsanwalt Dr. Oliver Hornung Partner bei SKW Schwarz Rechtsanwälte

2 Inhalt 01 Neue Mobile Devices 02 Company owned Device / User owned Device 03 Rechtliche Herausforderungen 04 Hinweise für die praktische Umsetzung 2

3 Zu SKW Schwarz Rechtsanwälte SKW Schwarz Rechtsanwälte ist eine unabhängige deutsche Anwaltskanzlei mit über 100 Anwälten Herausragende Kompetenz im Bereich IT-Recht, Internet und E-Business sowie Datenschutzrecht JUVE Kanzlei 2011 für IT-Recht 30 Anwälte arbeiten in dem Fachbereich IT-Recht, Internet und E-Business National und International 3

4 Neue Mobile Devices Smartphones: Mobiltelefon, Bluetooth, Media-Player, Digitalkamera, Zugang zu Internet und Netzwerken, W-LAN, UMTS, LTE Personal Information Manager (PIM) -System, Internet-Browser, GPS-System, Gyroskop, Beschleunigungsmesser, Annäherungssensoren, ( ) Tablet PCs, kurz Tablets: Funktional und technisch gleichen sie oft Smartphones ohne Telefonie Form und Größe ähnlich einer Schreibtafel Enorme Vielfalt Bedienung via Touchscreen Mobile Devices integrieren viele Funktionen 4

5 Neue Mobile Devices Mehr als ein Telefon: Lifestyle Internet Fotografie Träger von Innovation Spracherkennung Messaging Video Streaming für Multimedia Anbindung an "Cloud" "App" Kurzform für "Application" Software, die auf einem Endgerät betrieben wird (Smartphone, etc.) Kann auch Internet- Services repräsentieren "App Store" Digitaler Marktplatz Vertrieb von Apps Angebote von Herstellern und Dritten Je nach Betriebssystem- Plattform Ständige Innovation, Starke Marktbewegung, Hohes Wachstum 5

6 Comany owned Device / Bring your own Device Company owned Device [COD] Company owned Device used in a company and in a private context Beispiel: Firmen-Blackberry mit erlaubter Privatnutzung Bring your Own Device [BYOD, user owned Device] Personal Owned Device used in a company or enterprise context Beispiele: Eigene Werkzeuge der Steinmetze beim Kathedralenbau Citrix-Nutzung via Notebook 6

7 Company owned Device / Bring your own Device Gerät SIM-Karte Daten Software Nutzungsart Klass. Firmengerät Nutzung rein geschäftlich COD oder Misch- Privat Privat Privat nutzung BYOD Privat oder Misch- Privat Privat Privat nutzung 7

8 Rechtliche Herausforderungen Datenschutz: Das Bundesdatenschutzgesetz gilt für geschäftliche Daten. Das Bundesdatenschutzgesetz gilt nicht für ausschließlich für persönliche und familiäre Tätigkeiten ( 1 II Nr. 3, 27 I S. 2 BDSG). Bei einer Mischnutzung gilt der Datenschutz - für "private" Daten im Unternehmen und - für geschäftliche Daten im Privatbereich. Das will weder das Unternehmen noch der Nutzer! Bei Vermischung geschäftlicher und privater Daten auf dem Gerät ist eine getrennte Behandlung nicht umsetzbar. Geschäftliche und private Daten sind auf dem Gerät zu trennen. 8

9 Rechtliche Herausforderungen Datensicherheit: BYOD-Geräte stehen im privaten Bereich auch Dritten zur Verfügung (Familie, Freunde, ) Apps können unbemerkt und ohne Kontrolle des Nutzers auf Daten auf dem Gerät zugreifen und Daten an Dritte übertragen. Sicherheitslücken treten auch bei Mobile Devices auf. Backups und Synchronisation mit privaten Geräten oder Cloud-Services führen zu Datenabfluss aus dem geschäftlichen Bereich. Im privaten Bereich werden Daten häufig unverschlüsselt übertragen. Geschäftliche Daten sind auf dem Gerät zu verschlüsseln. Verbot privater Backups und Synchronisation geschäftlicher Daten. 9

10 Rechtliche Herausforderungen Nutzungsrechte und Haftung: Nutzungsrechte für Gerät (Betriebssystem) und Software (Apps) müssen "dual use" (private und geschäftliche Nutzung) erlauben. Apps werden für private und geschäftliche Nutzung teilweise unterschiedlich "lizenziert". Die Nutzung von Content (Medieninhalten) unterliegt teilweise differenzierten Nutzungsrechten (regional, Nutzungszweck ). Das Unternehmen kann für Rechtsverletzungen durch Personal als Störer (mit-) haften. Prüfung der Lizenzen für Gerät, Betriebssystem und Apps. "Whitelisting" von Apps für geschäftliche Nutzung. 10

11 Rechtliche Herausforderungen Weitere Themen (Auswahl): Haftung des Managements für Umsetzung (Compliance) Haftung des Personals für Verstöße (nach Verschuldensgrad) Beteiligung und Mitbestimmung des Betriebsrats ( 87 I Nr. 6 BetrVG) Verhaltensrichtlinien und Nutzungsvereinbarungen für BYOD (Updatepflicht, Zugriff auf geschäftliche Daten, remote wipe ) Steuerrecht: 9. Gesetz zur Änderung des Gemeindefinanzreformgesetztes ändert 3 Nr. 45 EStG (kein geldwerter Vorteil durch Privatnutzung betrieblicher Hard- und Software) Für Einführung von BYOD ist ein ganzheitlicher rechtlicher und technischer Projektansatz notwendig. 11

12 Lösungsansätze für Mobile Device Management im Unternehmen Es kann keine Pauschalrezepte geben - jedes Unternehmen ist anders und braucht ein eigenes, in sich stimmiges Konzept. BYOD zu verbieten ist höchst wahrscheinlich keine Lösung. Es bedarf eines auf das Unternehmen abgestimmten integrierten Gesamtkonzeptes mit einem ganzheitlichen technischen und rechtlichen Ansatz. Nur bei abteilungsübergreifender Zusammenarbeit kann ein solches Konzept funktionieren. 12

13 Lösungsansätze für Mobile Device Management im Unternehmen Ein Konzept für BYOD muss sich an den festgestellten Risiken und der Sensitivität der betroffenen Daten orientieren. Die Mitarbeiter brauchen klare, praktikable Anweisungen für den Umgang mit dem Privatgerät im Unternehmensumfeld. BYOD muss nicht für alle Mitarbeiter eingeführt werden, es kann - und sollte - nach Funktion und Aufgabe differenziert werden. Eine Beschränkung von BYOD auf ein bestimmtes Betriebssystem (ios, Android, ) kann sinnvoll sein, dann kann die interne IT-Abteilung spezielles Know-how aufbauen. 13

14 Lösungsansätze für Mobile Device Management im Unternehmen Je nach Unternehmen kann auch eine Einschränkung der Hardware für BYOD sinnvoll sein. Bei Apps muss entschieden werden, ob ein Whitelisting-Ansatz (also die ausdrückliche Freigabe bestimmter Apps) oder ein Blacklisting-Ansatz (Verbot konkreter Apps) für das Unternehmen und die festgestellten Risiken passend ist. Beim Blacklisting-Ansatz muss die IT-Abteilung Berichte über Apps aufmerksam verfolgen, um bei drohender Gefahr handeln zu können. 14

15 Lösungsansätze für Mobile Device Management im Unternehmen Für bestimmte Tätigkeiten können ausgewählte Apps zur Nutzung vorgeschrieben werden; es bieten sich "Container"-Lösungen an, in denen Unternehmensdaten gesondert verschlüsselt werden. Apps, die sich mit einem virtuelle Desktop verbinden, können einen erheblichen Sicherheitszuwachs bringen. Daher: Verbot geschäftlicher Nutzung kritischer Apps. Geschäftliche Daten sind sicher zu verschlüsseln (Gerät und Übertragung). Weniger ist mehr - auf mobilen Endgeräten sollten so wenig Daten aus dem Unternehmen sein wie möglich und nötig; z. B. kann eine - Synchronisation von wenigen Tagen ausreichend sein. 15

16 Lösungsansätze für Mobile Device Management im Unternehmen Unternehmensdaten und private Daten müssen so gut wie möglich voneinander getrennt werden, z. B. durch - Verschiedene -Clients - Einsatz viruteller Desktops - Nutzung von Office-Apps nur für geschäftliche Zwecke - Verschlüsselung von Unternehmensdaten Backups und Synchronisationen sollten so eingerichtet werden, dass private Daten nur zu Hause verarbeitet werden und Unternehmensdaten nur im Unternehmen. 16

17 Lösungsansätze für Mobile Device Management im Unternehmen Das Logging bestimmter Nutzungen kann wesentlich zur Sicherheit beitragen. Logging muss datenschutzkonform erfolgen und ist in aller Regel mitbestimmungspflichtig. Für spezifische Anwendungsfälle kann die Entwicklung einer eigenen App sinnvoll sein. Die Zahl qualifizierter App-Entwickler ist in den vergangenen Jahren rasant gestiegen, es gibt einen breiten Markt und die Möglichkeit individuelle Anwendungen für vernünftiges Geld entwickeln zu lassen. 17

18 Hinweise für die praktische Umsetzung Mobile Device Management erfordert einen angemessenen Ausgleich zwischen Unternehmens- und Privatinteressen. Eine technische und organisatorische Lösung soll ermöglichen: - Größtmöglichen Schutz für geschäftliche Daten und Know-how des Unternehmens - Größtmögliche Eigenkontrolle des Mitarbeiters über sein Gerät und seine privaten Daten sowie hohe "Usability" im Privatbereich Der Einsatz geeigneter technischen Maßnahmen ist erforderlich. Es sind klare Vereinbarungen mit den Nutzern für ein Mobile Device Management zu treffen. Vergleiche auch Überblickspapier des BSI vom zum Thema "Consumerisation und BYOD ( 18

19 Noch Fragen? Dr. Oliver Hornung Rechtsanwalt SKW Schwarz Rechtsanwälte Mörfelder Landstraße Frankfurt am Main T +49 (0) F +49 (0) o.hornung@skwschwarz.de Tätigkeitsbereiche IT-Recht, Internet & E-Business Datenschutzrecht Gewerblicher Rechtschutz/Wettbewerbsrecht 19