Private Geräte im Firmennetzwerk. Das gilt es bei “Bring Your Own Device” zu beachten.

Oder anders gesagt: Arbeitnehmer nutzen nicht ausschließlich die vom Unternehmen zur Verfügung gestellte IT-Hardware, sondern auch ihre privaten Geräte. Besonders häufig war hier in den vergangenen Jahren das Smartphone-Thema betroffen, da die meist veralteten Firmenhandys im Regelfall nicht mehr den hohen technologischen Ansprüchen der Mitarbeiter genügen.

Zusätzliche Brisanz hat dieses Thema jetzt aber durch die verstärkte Home Office-Tätigkeit während der Corona-Pandemie bekommen. Längst sind es nämlich nicht mehr nur fremdgehende Smartphones, auch viele private Notebooks und Tablets müssen inzwischen regelmäßig für dienstliche Angelegenheiten herhalten.

Das klingt auf den ersten Blick wie eine tolle kostengünstige Lösung für Unternehmen, immerhin erspart man es sich so, alle Mitarbeiter mit eigenen Notebooks oder Smartphones auszurüsten. Auf der anderen Seite können die privaten Geräte im Unternehmensnetzwerk zu einer tickenden Sicherheitszeitbombe werden – vor allem im Hinblick auf den Datenschutz bzw. die betriebliche DSGVO-Konformität.

BYOD ist im Grunde die logische Konsequenz unseres digitalisierten Lebensstils. Da wir fast rund um die Uhr online sind vermischen sich zunehmend auch die privaten und beruflichen Welten. Was liegt demnach also näher, als die dienstliche Mail schnell mal am privaten Smartphone zu beantworten.

Immerhin tippt es sich auf einem neuen iPhone schneller und bequemer, als am veralteten Dienst-Handy. Die privaten Geräte sind nämlich in der Regel komfortabler Handzuhaben, was letzten Endes auch die Produktivität erheblich steigert. Auf der anderen Seite ist BYOD ein wahrer Alptraum für alle IT-Administratoren, Datenschützer und Juristen. Das ist übrigens auch einer der Hauptgründe, wieso sich BYOD bislang nicht flächendeckend durchgesetzt hat.

IT-Verantwortliche sind im Regelfall nämlich bemüht, die IT-Landschaft möglichst homogen aufzustellen, um den späteren Administrationsaufwand in Grenzen zu halten. Werden nur Geräte einer Marke bzw. eines Typs eingesetzt, können diese mit nur einem Mausklick auf dem neuesten Stand gehalten werden.

Nicht umsonst sind in den meisten Unternehmen entweder nur iOS- oder eben nur Android-Smartphones beziehungsweise nur Windows- bzw. macOS  Computer zu finden. Werden die Systeme gemischt, entsteht sofort ein enorm hoher Implementierungs- und Wartungsaufwand sowie damit verbundenen Kosten.

Diese Komplexität im Betriebsablauf steht der verbreiteten Strategie, die IT und die Organisation zu vereinheitlichen klar entgegen. Dafür müssen die Arbeitnehmer dann aber auch auf einen höheren Komfort in ihrem Arbeitsalltag verzichten, da die Firmen-Hardware meist seltener aktualisiert wird, als beispielsweise das eigene Smartphone.

Nicht zuletzt deswegen gehen die Bemühungen in Richtung BYOD im Regelfall auch von den Arbeitnehmern aus. Teilweise gehen Unternehmen inzwischen sogar so weit, eine bereits vorhandene BYOD-Strategie aktiv als wertvollen Incentive bei der Mitarbeitersuche einzusetzen.

So will man demonstrieren, dass einem die Mitarbeiterzufriedenheit am Herzen liegt und hofft – natürlich – gleichzeitig auf eine höhere Produktivität, da die Menschen mit ihren privaten Geräten auch bestens vertraut sind.

IBM geht hier sogar noch einen Schritt weiter und sieht die Integration privater Endgeräte sogar als ideale bzw. unerlässliche Voraussetzung fürs Home Office und flexibles Arbeiten. Ökonomisch und ökologisch steht BYOD ohnehin außer Frage, da sich Unternehmen einerseits (Hardware-)Kosten ersparen und damit gleichzeitig ihren ökologischen Fußabdruck verringern können.

BYOD könnte also so schön sein, wären da nicht die bereits erwähnten technischen und organisatorischen Herausforderungen, sowie die erheblichen Sicherheitsrisiken. Was passiert beispielsweise, wenn auf einem Fremdgerät sensible Kunden- oder Firmendaten verarbeitet und gespeichert werden und dieses dann verloren geht bzw. gestohlen wird?

Oder wenn das Endgeräte bereits mit Malware infiziert ist und es sich dann ins Firmennetzwerk einwählt? Nicht zuletzt aufgrund der DSGVO muss der Datenschutz nämlich auch auf den privaten Geräten gewahrt bleiben. Schließlich zeichnet das Unternehmen dafür voll verantwortlich – und nicht der Arbeitnehmer.

Schon allein aus diesem Grund muss sich das Unternehmen eine gewisse Kontrollbefugnis über das Endgerät sichern. Das wiederum dürfte allerdings dem Arbeitnehmer nicht gefallen: Wahrscheinlich hört es ja niemand gerne, dass die IT-Abteilung im privaten Smartphone „herumschnüffeln“ kann – auch das kann übrigens zu einem gewaltigen Datenschutz-Problem führen.

Für viele – aber bei Weitem nicht alle – offene Fragen hat sich die Implementierung eines Mobile Device Managements (MDM) als praktikabelste technische Lösung erwiesen. Vereinfacht gesagt ist das eine Software mit der man den gesamten Endgerätepool eines Unternehmen zentral verwalten kann.

Zu den bekanntesten Systemen zählen hier etwa Knox Manage von Samsung, SecurePIM oder 7P. Sobald die Software installiert ist, lassen sich seitens des Unternehmens auch Updates einspielen, Nutzungseinschränkungen und Berechtigungen für bestimmte Apps vergeben. Dabei wird der private Bereich des Geräts nicht eingeschränkt oder überwacht, sondern vielmehr ein zusätzlicher sicherer „Container“ erstellt, in dem dann alle geschäftlichen Vorgänge ablaufen – privat und beruflich werden praktisch getrennt.

Betriebliche Apps, Firmenzugänge oder Daten werden ausschließlich in diesem gesicherten Bereich abgelegt und so mit einer weiteren Sicherheitsschranke gegen fremden Zugriff geschützt. Dass diese Daten nur verschlüsselt abgelegt werden, versteht sich dabei ohnehin von selbst. Geht das mobile Gerät verloren oder wird gestohlen, lässt es sich über die MDM-Software zudem lokalisieren beziehungsweise sogar von der Ferne löschen.

Neben all den technischen Herausforderungen lauern mitunter auch rechtliche Probleme aufs Unternehmen. Da es bislang noch kaum gesetzliche Grundlagen oder gerichtliche Grundsatzurteile gibt, sollte mit den betroffenen Arbeitnehmern unbedingt eine schriftliche Vereinbarung für den Einsatz von Privatgeräten abgeschlossen und auch entsprechende Richtlinien dafür aufgesetzt werden.

Je umfangreicher dieser Richtlinie ist, desto geringer ist später die Gefahr, in einen Rechtsstreit zu schlittern. Unter anderem sollte in der Vereinbarung klar geregelt werden, wer für die Kosten der Geräte bzw. deren Nutzung aufkommt. Ebenfalls schriftlich geregelt sollte die Frage des Supports (wer ist für Updates und bei technischen Problemen zuständig) und was geschieht, wenn das Gerät kaputt oder gestohlen wird (wer trägt die Kosten usw.). Nicht schaden kann es außerdem, wenn man fürs fahrlässige Nichteinhalten der Vereinbarung entsprechende Folgen für den Mitarbeiter definiert. Dadurch nutzen Mitarbeiter ihre privaten Geräte dann auch verantwortungsvoller.

Eine gute Möglichkeiten bietet auch das so genannten COPE-Modell (Corporate Owned Personally Enabled) handeln. Der Mitarbeiter kann sich ein Gerät frei aussuchen, das Unternehmen trägt die vollen Kosten. Ähnlich gelagert ist auch das CYOD-Konzept (Choose Your Own Device) – wenngleich mit ein paar Einschränkungen. Dem Mitarbeiter wird hier eine Palette von Geräten vorgeschlagen, von der er sich eines aussuchen kann. Der große Unterschied zu BYOD: Sowohl bei COPE, wie auch bei CYOD bleiben die Geräte alleiniges Eigentum des Unternehmens.