Das Handy ist im Elektronikmarkt gekauft worden, die Rechnung läuft auf den Betrieb. Ein Mitarbeiter hat es aus der Schachtel genommen, ein Konto angelegt und sich angemeldet. Seitdem läuft es: Aufträge, Fotos von der Baustelle, das Postfach, die Nummer, unter der Kunden anrufen.
Die Rechnung liegt im Ordner. Das Gerät gehört dem Betrieb.
Der Tag, an dem sich das als halbe Wahrheit herausstellt, ist der Tag, an dem jemand geht. Das Gerät kommt zurück, wird zurückgesetzt — und verlangt beim Einschalten das Konto, mit dem es eingerichtet wurde. Dieses Konto gehört nicht dem Betrieb. Es gehört einer Person, die nicht mehr da ist.
Das Zurücksetzen ist genau der Handgriff, der es zu spät macht
Android schützt Geräte gegen Zurücksetzen durch Fremde. Google beschreibt den Mechanismus offen: Nach dem Zurücksetzen muss man sich mit einem Google-Konto anmelden, „das zuvor dem Gerät als Konto oder Nutzer hinzugefügt oder mit dem Gerät synchronisiert wurde“. Und dann folgt der Satz, der den Fall beschreibt: „Falls Sie die erforderlichen Angaben bei der Einrichtung nicht machen können, ist eine Nutzung des Geräts nach dem Zurücksetzen auf die Werkseinstellungen nicht mehr möglich.“
Bei Apple heißt das Gegenstück Aktivierungssperre. Sie wird laut Apple automatisch aktiviert, sobald „Wo ist?“ eingerichtet wird, und sie verhindert auch nach einer Fernlöschung, „dass jemand dein Gerät ohne deine Erlaubnis erneut aktiviert“. Wer ein Gerät weitergibt, muss es vorher löschen und aus seinem Apple Account entfernen. Beides setzt voraus, dass die Person mitwirkt.
Für den Betriebsfall hat Google eine eigene Variante, den Schutz für zurückgesetzte Geräte von Unternehmen. Damit legt die IT fest, „über welche Google-Konten ein Gerät aktiviert werden kann“, das zurückgesetzt wurde. Der entscheidende Hinweis auf derselben Seite lautet aber: „Sie müssen den Schutz für zurückgesetzte Geräte deaktivieren bzw. den Schutz für zurückgesetzte Geräte von Unternehmen aktivieren, bevor das Gerät auf die Werkseinstellungen zurückgesetzt wird.“ Vorher. Nicht danach.
Ohne Verwaltung fehlt auch der Knopf für das verlorene Gerät
Der zweite Fall ist banaler und kommt häufiger vor: Das Handy bleibt im Zug liegen. Darauf sind Kundennummern, Termine, das Postfach, vielleicht Lichtbilder von Ausweisen.
Das BSI beschreibt in seinem Baustein zum Mobile Device Management genau diese Lücke. Wenn zu einem verlorenen Gerät keine Verbindung besteht, können „die Daten nicht mehr aus der Ferne gelöscht werden“. Umgekehrt soll ein MDM nach SYS.3.2.2.A22 sicherstellen, „dass sämtliche dienstliche Daten auf dem mobilen Endgerät aus der Ferne gelöscht werden können (Remote Wipe bei bestehender Datenverbindung)“.
Ohne Verwaltungssoftware gibt es diesen Knopf nicht. Es gibt allenfalls das persönliche Konto der Person — und damit hängt die Löschung eines Betriebsgeräts daran, ob jemand sein privates Passwort noch weiß und bereit ist, es zu benutzen.
Was in diesem Fall an Meldepflichten hängt, steht in Datenschutzvorfall: die 72 Stunden.
Das BSI verlangt weniger Software, als man denkt
Hier lohnt der genaue Blick in die Systematik. Der Baustein SYS.3.2.1 hat acht Basis-Anforderungen, die „vorrangig erfüllt werden“ MÜSSEN. Keine davon verlangt ein MDM. Sie verlangen Entscheidungen:
- A1: eine Richtlinie, bevor Geräte bereitgestellt werden, samt der Festlegung, „wer mit Smartphones auf welche Informationen der Institution zugreifen darf“.
- A4: ein „angemessen komplexer Gerätesperrcode“, eine genutzte Bildschirmsperre und die Anzeige vertraulicher Informationen auf dem Sperrbildschirm deaktiviert.
- A5: schon bei der Beschaffung darauf achten, dass der Hersteller angibt, „über welchen geplanten Nutzungszeitraum Sicherheitsaktualisierungen für die Geräte bereitgestellt werden“. Geräte ohne Aktualisierungen MÜSSEN ausgesondert werden.
- A8: regeln, ob und welche Apps Beschäftigte selbst installieren dürfen und aus welchen Quellen.
Die MDM-Pflicht steht dagegen in SYS.3.2.1.A32 — und die ist eine Standard-Anforderung: „Smartphones und Tablets SOLLTEN durch ein MDM-System verwaltet werden.“ Standard heißt beim BSI Stand der Technik, nicht Minimum.
Die Registrierung entscheidet sich beim Einkauf
Wer doch verwalten will, trifft die entscheidende Weiche früher, als es aussieht. Das BSI formuliert es in SYS.3.2.2.A4 unmissverständlich: Alle Geräte MÜSSEN vor dem Einsatz in das MDM integriert werden, und „wenn die Geräte die Grundkonfiguration erhalten, MÜSSEN sie sich im Werkszustand befinden“. Bei bereits benutzten Geräten MÜSSEN vorher alle institutionsbezogenen Daten gelöscht werden.
Apple unterscheidet drei Registrierungswege. Die accountgesteuerte Benutzerregistrierung ist für private Geräte gedacht; dort beschränkt sich die Verwaltung auf den verwalteten Apple Account und die verwalteten Apps. Die automatische Geräteregistrierung ist laut Apple „für neue oder gelöschte Geräte“ und geht am weitesten: „Der während des Konfigurationsassistenten verwendete verwaltete Apple Account wird zum einzigen iCloud-Account auf dem Gerät.“
Damit ein Gerät dort überhaupt auftaucht, muss es über einen autorisierten Händler oder Mobilfunkanbieter gekauft worden sein, dessen Händlernummer im Konto hinterlegt ist — erst dadurch wird der Händler autorisiert, die Seriennummern an Apple zu übermitteln. Ein Telefon aus dem Markt um die Ecke steht in dieser Liste nicht.
Private Nutzung ist der Punkt, an dem es unangenehm wird
Das BSI nennt die private Nutzung dienstlicher Geräte ausdrücklich als eigene Gefährdung: Beschäftigte könnten „selbstständig Apps installieren, die Schadfunktionen enthalten“, und viele privat installierte Apps seien ein Risiko für die dienstlichen Informationen auf dem Gerät, weil sie etwa „Adressbücher auslesen und zu unbekannten Servern übertragen“.
Deshalb verlangt A2 als Basis-Anforderung, festzulegen, „ob und in welchem Umfang Cloud-Dienste bei privater Nutzung der Geräte erlaubt sind“.
Die technische Trennung dagegen — getrennte Arbeitsumgebungen nach A25, gekapselte Daten im PIM-Container nach A26 — sind Anforderungen bei erhöhtem Schutzbedarf. Auf Android gibt es den entsprechenden Weg serienmäßig: Beim Arbeitsprofil auf einem unternehmenseigenen Gerät sind laut Google „corporate apps, data, and management policies“ auf das Arbeitsprofil beschränkt, während die Organisation keinen Einblick in das private Profil hat.
Umgekehrt gilt für private Geräte im Dienst, was das BSI unter BYOD auflistet: Muss das MDM im Notfall dienstliche Daten löschen, „kann dies auch Auswirkungen auf die privaten Daten auf dem Gerät haben“. Und ausdrücklich ein Risiko ist es, wenn „nicht geregelt ist, was mit den Daten auf dem Gerät geschehen soll, wenn Mitarbeitende aus der Institution ausscheiden“.
Dass in kleinen Betrieben Dienstliches und Privates auf denselben Geräten zusammenläuft, ist kein Disziplinproblem — dazu steht mehr in Schatten-IT im Betrieb.
Was ein kleiner Betrieb davon nicht braucht
Der MDM-Baustein enthält eine Reihe von Anforderungen für erhöhten Schutzbedarf, die in einem Handwerksbetrieb nichts zu suchen haben.
Geofencing (A19) gehört dazu. Das BSI benennt die Kehrseite in der Gefährdungslage selbst: Dadurch entstünden „detaillierte Bewegungsprofile der Geräte und somit auch der Benutzenden“, und Geofencing könne „dazu missbraucht werden, um Mitarbeitende unzulässig zu kontrollieren“. Dasselbe gilt für die Überwachung der Gerätenutzung (A17), die automatisierte Durchsetzung von Compliance-Regeln bis zur Fernlöschung (A23) und für besonders abgesicherte, zertifizierte Endgeräte (A27).
Wer ein Firmenhandy zum Ortungsgerät ausbaut, löst kein Sicherheitsproblem. Er schafft ein arbeitsrechtliches.
Was diese Woche zu tun ist
- Aufschreiben, welche Geräte es gibt — wer sie benutzt und welches Konto darauf angemeldet ist. Bei Apple unter „Einstellungen“ ganz oben, bei Android unter „Konten“.
- Für jedes Gerät entscheiden: privates Konto oder Betriebskonto? Wo ein privates Konto darauf liegt, ist der Wechsel jetzt möglich und nach dem Ausscheiden nicht mehr.
- Sperrcode und Bildschirmsperre prüfen und die Anzeige von Inhalten auf dem Sperrbildschirm abschalten. Das ist die einzige Maßnahme, die sofort und ohne Software wirkt.
- Nachsehen, wie lange es noch Updates gibt. Geräte, für die keine Sicherheitsaktualisierungen mehr kommen, gehören ersetzt — dieselbe Logik wie bei Zugangsdaten in Passwörter im Betrieb.
- Erst dann über Verwaltungssoftware reden. Sie ist die Antwort auf die Frage, wie man Schritt 1 bis 4 dauerhaft hält, nicht der Ersatz dafür. Wo das zu einer laufenden Betreuung gehört, ist es Teil der IT-Betreuung für kleine Betriebe.
Der datenschutzrechtliche Aufhänger ist Artikel 32 Absatz 1 DSGVO. Die Norm verlangt „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“, und nennt darunter ausdrücklich die Fähigkeit, „die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen“. Ein Gerät, das der Betrieb weder löschen noch zurückbekommen kann, fällt in diese Frage hinein.
Dieser Text gibt wieder, was in den BSI-Bausteinen, in der Dokumentation von Apple und Google und in Artikel 32 DSGVO steht, und nicht mehr. Ob eine konkrete Regelung im konkreten Betrieb trägt — besonders dort, wo private Nutzung erlaubt ist oder ein Betriebsrat mitzureden hat —, gehört zu einem Anwalt und nicht in einen Blogbeitrag.