BYOD: Trend mit Chancen – und Risiken

In den USA hat sich der Trend BYOD bereits etabliert. BYOD steht für „Bring Your Own Device“ – ein Trend, der auch hierzulande immer mehr Anhänger findet. Auch die Anzahl der Unternehmen, die es Mitarbeitern erlauben, privates technisches Equipment im Unternehmen einzusetzen, steigt ständig. Praktisch ist allemal, dass private Geräte den Workflow positiv beeinflussen können. Dennoch gibt es Risiken, die es auszuräumen gilt. Ein BYOD-Konzept gibt passende Rahmenbedingungen vor.

 

Bring Your Own Device: Was ist BYOD?

Bring Your Own Device – kurz: BYOD – ist ein Trend, der es Mitarbeitern erlaubt, ihre eigenen Geräte mit ins Unternehmen zu bringen. Smartphones und Tablets gehören zweifelsfrei zu den häufigsten Geräten, aber auch Notebooks und USB-Sticks oder andere externe Speichermedien können genutzt werden. Private Software und Hardware wird also ins Unternehmen gebracht.

In dem Kontext fällt auch häufig der Begriff BYOT – Bring Your Own Technologie. Dies bezieht sich auf das Verwenden von privaten Endgeräten sowie Anwendungen am Arbeitsplatz. Weitere Begrifflichkeiten gehen ins Detail:

• BYOC – Bring Your Own Computer
• BYOL – Bring Your Own Laptop
• BYOA – Bring Your Own Apps
• BYOPC – Bring Your Own PC
• BYON – Bring Your Own Network

Einige Unternehmen genehmigen ihren Mitarbeitern das Mitbringen eigener Geräte, die dann wie die unternehmenseigene Hardware unterstützt werden. In anderen Unternehmen existiert die sogenannte Schatten-IT: Mitarbeiter bringen eigene Geräte mit, jedoch weiß die zentrale IT-Abteilung davon nichts.

Die Möglichkeiten sind also vielfältig: Einige Konzepte erlauben lediglich das Nutzen privater Endgeräte, bei anderen Konzepten geht es so weit, dass Mitarbeiter einen Kostenanteil an den Geräten übernehmen, sie aber auch privat nutzen dürfen.

Stellen Mobilgeräte eine Verbindung mit dem Unternehmensnetzwerk her oder ist es über sie möglich, auf Unternehmensdaten zuzugreifen, bilden sie immer ein Sicherheitsrisiko für das Unternehmen. Eine entsprechende BYOD-Richtlinie minimiert diese Risiken.

Vorteile von Bring Your Own Device

Einer der Hauptvorteile an BYOD-Konzepten ist natürlich die bessere Erreichbarkeit der Mitarbeiter. Insgesamt steigert sich die Produktivität der Mitarbeiter: BYOD erhöht die Bereitschaft, kleine Aufgaben wie etwa Terminvereinbarungen außerhalb der Arbeitszeiten zu erledigen.

Ein weiterer Vorteil ist die Flexibilität. Denn mit entsprechenden Konzepten ist der Zugriff auf Unternehmensdaten, -anwendungen und -ressourcen gänzlich unabhängig vom Unternehmens- oder Mitarbeiterstandort möglich.

Mitarbeiter sind mit dem Umgang der eigenen Geräte sehr vertraut und die persönlich angeschafften Geräte werden in aller Regel nach den eigenen Wünschen ausgesucht. Dies steigert die Motivation und die Zufriedenheit der Mitarbeiter. Lange Einarbeitungszeiten entfallen.

Ein weiterer Vorteil, der nicht von der Hand zu weisen ist: BYOD kann Kosten senken. In aller Regel beschaffen sich Beschäftigte leistungsfähige Mobilgeräte. Dies spart Kosten im Unternehmen: Einerseits die Anschaffung selbst, andererseits reduziert sich jedoch auch der Aufwand der IT-Abteilung zum Verwalten der Endgeräte.

Nachteile von Bring Your Own

Leider sind die Nachteile von BYOD genauso komplex wie die Vorteile: Private Geräte sind in ihrer Sicherheit oft mangelhaft. So könnte Schadsoftware die Unternehmensinfrastruktur angreifen. Auch veraltete Betriebssysteme oder unüberlegt heruntergeladene Apps (z. B. Spyware) können Gefahren darstellen. Das bedeutet für Unternehmen: Die Mitarbeiter müssen über die Sicherheit ihrer mobilen Endgeräte aufgeklärt werden!

Ein weiteres Problem kann sich aus der meist heterogenen IT-Landschaft in den Unternehmen ergeben. Inkompatibilitäten sind da keine Seltenheit. Die EU-Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz pochen zudem auf Datenschutz. Das Unternehmen ist und bleibt die für die Verarbeitung der Daten verantwortliche Stelle, sodass sich Haftungsfragen ergeben können. Es muss sichergestellt werden, dass technische und organisatorische Maßnahmen effektiv auf den Privatgeräten umgesetzt werden.

Es sollte eine mögliche Trennung von privaten und geschäftlichen Daten bedacht werden, alternativ hilft nur ein sinnvolles Zugriffsrechte-Konzept. So müssen Arbeitgeber etwa das Fernmeldegeheimnis bezüglich privater E-Mails beachten. Dies führt zu einer weiteren Überlegung: Tritt ein Mitarbeiter aus dem Unternehmen aus, muss überlegt werden, was mit den Daten geschieht. Dafür muss vorab geklärt sein, wem die Daten auf den Geräten der Mitarbeiter überhaupt gehören.

Auch steuerrechtliche Umstände müssen berücksichtigt werden. Womöglich bedarf es für die Nutzung privater Geräte im Unternehmen auch einer Vereinbarung mit dem Betriebsrat oder der Arbeitnehmervertretung.

 

Erstellt ein BYOD-Konzept

Ihr seht, dass das Einführen eines BYOD-Konzepts birgt erhebliche Risiken; insbesondere ist bei BYOD der Datenschutz dringend zu beachten. Bereits mit dem Bundesdatenschutzgesetz existieren wichtige einzuhaltende Rahmenbedingungen. Die Forderung nach einem BYOD-Konzept erhöht sich mit dem Inkrafttreten der EU-Datenschutz-Grundverordnung, die den Datenschutz noch mal erheblich verschärft.

Dennoch: Die Vorteile von BYOD-Programmen sind nicht von der Hand zu weisen. Es müssen jedoch Rahmenbedingungen geschaffen werden, die die Nachteile von BYOD berücksichtigen. Bedenkt deshalb: Der Erfolg eines BYOD-Programms richtet sich nach der Strategie. Die folgenden Punkte helfen Euch.

Grundsätzlich sollte die BYOD-Policy die folgenden Fragen beantworten:

• Wer bekommt Zugriffe auf welche Informationen und Dienste? – Zugriffsberechtigungen müssen sinnvoll vergeben werden! So benötigt der Vertrieb keinesfalls Zugriff auf die Kontodaten von Kunden, die Buchhaltung allerdings schon.
• Auf welche Geräte mit welchen Betriebssystemen können Mitarbeiter setzen? – Vermeidet Inkompatibilitäten und damit Sicherheitslücken.
• Von wo aus bzw. über welche Netze greifen Mitarbeiter auf Daten zu? – Sichert die Netze entsprechend ab.
• Gibt es zeitliche Einschränkungen beim Zugriff? – Überlegt, ob es sinnvoll sein kann, den Zugang auf bestimmte Zeiten einzuschränken.

Eine der wichtigsten Sorgen beim BYOD sollte die Sicherheit von Unternehmensdaten auf dem Privatgerät sein. Erstellt eine genehmigte und unternehmensweit geltende Sicherheitsrichtlinie, bevor BYOD zugelassen wird. Komplex muss so eine Sicherheits-Policy nicht sein, jedoch bildet sie die Grundlage für die folgenden Fragen:

• Welche Daten werden als „sensibel“ definiert?
• Wer erhält Zugang zu welchen vertraulichen Daten? Können diese gespeichert oder weitergeleitet werden?
• Welche Vorgehensweise ist bei Verstößen gegen die Policy sinnvoll?

Weiter ist es relevant, konkret zu definieren, was Mitarbeiter beim Zugreifen auf sensible Daten im Unternehmensnetzwerk machen können. Erstellt eine Liste von Aktivitäten, die Ihr ausdrücklich verbietet. Dies kann auf bestimmte Websites, Daten oder Anwendungen bezogen werden. Unerlässlich ist es, Nutzungsvereinbarungen zum Umgang mit vertraulichen Informationen zu erstellen. Dies schützt das Unternehmen vor der Haftung bei fragwürdigen oder gar illegalen Aktivitäten.

Erstellt zudem eine schriftliche und rechtssichere Vereinbarung zwischen Eurem Unternehmen und autorisierten Mitarbeitern. Idealerweise werden alle geplanten Maßnahmen vor dem Konkret werden rechtlich überprüft und erst dann in die Praxis umgesetzt. Die BYOD-Vereinbarung muss sicherstellen, dass alle Interessen der Mitarbeiter sowie des Unternehmens geschützt werden. Weiter definiert sie alle Rechte und Pflichten klar und prägnant.

Zu guter Letzt ist Compliance unabdingbar: Die Mitarbeiter sollten über sämtliche Gefahren, Rechte und Pflichten aufgeklärt sein. Ein Training oder Seminar, in dem alle Richtlinien und Vereinbarungen erklärt werden, hilft weiter.