Firmendaten unter Kontrolle, ohne das Privatleben mitzuverwalten

Beim Firmengerät gehört das Gerät dem Unternehmen. Es kann vollständig verwaltet werden: Apps vorgeben, Einstellungen erzwingen, private Nutzung einschränken oder untersagen, im Verlustfall komplett löschen. Der Verwaltungsaufwand ist gering, die Rechtslage klar. Der Preis sind Anschaffungskosten und für viele Mitarbeitende das zweite Gerät in der Tasche.

Beim Privatgerät im dienstlichen Einsatz – BYOD – gehört das Gerät dem Mitarbeitenden. Der Arbeitgeber darf es nicht vollständig kontrollieren, und er sollte es auch nicht wollen: Jeder Zugriff auf private Daten schafft Haftungsrisiken. Technisch löst das ein getrenntes Arbeitsprofil, das nur den dienstlichen Bereich verwaltet.

Auf Android-Geräten funktioniert diese Trennung über Android Enterprise sehr sauber: Dienstliche Apps liegen in einem eigenen Profil mit eigenem Speicher, erkennbar an einem Symbol. Auf iOS gibt es kein vergleichbares zweites Profil; hier arbeitet Intune mit App-Schutzrichtlinien, die die Datenweitergabe aus verwalteten Apps heraus unterbinden. Beide Wege funktionieren, die iOS-Variante ist konzeptionell etwas weicher.

Unsere Empfehlung hängt vom Umfeld ab. Wo regelmäßig mit sensiblen Daten gearbeitet wird, raten wir zu Firmengeräten. Für gelegentlichen Zugriff auf Mail und Kalender ist ein Arbeitsprofil auf dem Privatgerät oft der verhältnismäßigere Weg.

Für Unternehmen, die ohnehin Microsoft 365 einsetzen, ist Intune in den meisten Fällen die naheliegende Wahl: Es ist in vielen Business- und Enterprise-Plänen bereits enthalten, nutzt die vorhandenen Benutzerkonten aus Entra ID und greift mit den Bedingungen des Zugriffs direkt in die Anmeldung an Microsoft-365-Diensten ein.

Damit lässt sich der zentrale Hebel umsetzen: Nur verwaltete und regelkonforme Geräte erhalten Zugriff auf Firmendaten. Ein Smartphone ohne Bildschirmsperre, mit veralteter Systemversion oder mit erkennbar aufgehobenen Systembeschränkungen kommt gar nicht erst an die Postfächer.

Intune verwaltet dabei nicht nur Mobilgeräte, sondern auch Windows-Notebooks und Macs. In vielen Projekten ist das der eigentliche Gewinn: eine Verwaltungsplattform für alle Endgeräte statt getrennter Werkzeuge für Mobil und Desktop.

Richtlinien wirken nur, wenn sie durchgehalten werden. Zu strenge Vorgaben führen dazu, dass Mitarbeitende Wege daran vorbei suchen – Dokumente über den privaten Mail-Account, Dateien in der privaten Cloud. Damit ist für die Sicherheit nichts gewonnen, im Gegenteil.

Wir setzen deshalb auf eine überschaubare Zahl wirksamer Vorgaben: Geräteverschlüsselung, Bildschirmsperre mit angemessener Zeit, aktuelle Systemversion, keine Weitergabe von Firmendaten in nicht verwaltete Apps. Das deckt den überwiegenden Teil des realen Risikos ab.

Ein häufiger Streitpunkt ist die Sperrzeit. Fünfzehn Sekunden sind sicherheitstechnisch gut und im Alltag lästig; fünf Minuten sind bequem und bei Verlust riskant. Wir arbeiten meist mit ein bis zwei Minuten und biometrischer Entsperrung – ein Kompromiss, der akzeptiert wird und deshalb wirkt.

Die Fernlöschung wird oft als Absicherung für den Verlustfall verstanden. Sie funktioniert – unter Bedingungen, die man kennen sollte. Der Löschbefehl erreicht das Gerät nur, wenn es eingeschaltet ist und eine Netzverbindung hat. Ein ausgeschaltetes Gerät oder eines mit entnommener SIM-Karte im Flugmodus führt den Befehl nicht aus. Bei einem gezielten Diebstahl, bei dem das Gerät sofort abgeschaltet wird, läuft die Fernlöschung ins Leere.

Der eigentliche Schutz ist daher die Verschlüsselung in Kombination mit einer Bildschirmsperre. Ein verschlüsseltes, gesperrtes Gerät ist auch ohne Löschung nicht ohne Weiteres auszulesen. Die Fernlöschung ist eine zusätzliche Maßnahme, nicht die erste Verteidigungslinie.

Wichtig ist außerdem die Unterscheidung zweier Löschvarianten. Die selektive Löschung entfernt nur die Firmendaten – Arbeitsprofil, dienstliche Apps, Zugangsdaten – und lässt private Daten unangetastet. Die vollständige Löschung setzt das Gerät zurück. Bei Privatgeräten kommt für uns ausschließlich die selektive Löschung in Betracht, und das steht auch so in der Nutzungsvereinbarung.

Beim Austritt eines Mitarbeitenden ist die selektive Löschung der Regelfall: Firmendaten werden entfernt, private Fotos und Nachrichten bleiben. Das ist technisch sauber und vermeidet Auseinandersetzungen.

MDM-Systeme können Angaben über Gerätezustand und teilweise über Nutzung erfassen. Damit sind sie in Betrieben mit Betriebsrat regelmäßig mitbestimmungspflichtig, weil eine Verhaltens- oder Leistungskontrolle technisch möglich wäre. Das ist keine Hürde, sondern ein normaler Vorgang – aber er braucht Zeit im Projektplan.

In der Praxis bewährt sich, den Betriebsrat früh einzubeziehen und die technischen Möglichkeiten offen darzustellen: Welche Daten werden erfasst, welche Auswertungen sind möglich, welche werden vertraglich ausgeschlossen. Aus dieser Grundlage entsteht üblicherweise eine Betriebsvereinbarung, die die zulässige Nutzung regelt. Wir liefern dafür die technische Beschreibung; die Verhandlung führen Sie mit Ihrem Gremium, die rechtliche Ausgestaltung gehört zu Ihrer Rechtsberatung.

Unabhängig davon halten wir eine verständliche Information aller Mitarbeitenden für notwendig. Eine Seite in Klartext, was verwaltet wird, was der Arbeitgeber sehen kann und was nicht, senkt Widerstände deutlich. Die häufigste Sorge ist der Standort – und die lässt sich meist schnell ausräumen, weil Standortverfolgung in unseren Standardkonfigurationen nicht aktiviert ist.

Wir beginnen mit einer Bestandsaufnahme: Welche Geräte sind im Einsatz, welche gehören dem Unternehmen, wer greift womit auf Firmendaten zu. In dieser Phase kommt fast immer Unerwartetes zutage – Postfächer auf Geräten ausgeschiedener Mitarbeitender oder Systemversionen ohne Sicherheitsupdates.

Danach richten wir die Umgebung ein und testen sie mit einer kleinen Gruppe aus verschiedenen Bereichen. Deren Rückmeldungen bestimmen, wo Richtlinien nachjustiert werden. Erst dann folgt der Ausrollen in Wellen, üblicherweise abteilungsweise.

Für neue Geräte richten wir die automatische Registrierung ein: Ein Firmengerät konfiguriert sich beim ersten Einschalten selbst, ohne dass es zuvor durch die IT-Abteilung gehen muss. Das ist besonders bei verteilten Standorten und im Homeoffice ein spürbarer Unterschied.

Im Betrieb halten wir die Richtlinien aktuell, weil Systemversionen und Plattformvorgaben sich regelmäßig ändern. Ein MDM ohne Pflege verliert innerhalb von zwei Jahren einen erheblichen Teil seiner Wirkung.