Was ist Bring Your Own Device (BYOD)?

BYOD entstand mit der Einführung von iOS- und Android-Smartphones in den späten 2000ern, als immer mehr Arbeitnehmer diese Geräte den damals üblichen, vom Unternehmen ausgegebenen Mobiltelefonen vorzogen. Das Aufkommen von Remote- und Hybrid-Arbeitsmodellen sowie die zunehmende Integration von Unternehmensnetzwerken mit Lieferanten und Auftragnehmern haben den Bedarf an BYOD-Richtlinien, die über Smartphones hinausgehen, beschleunigt.

In jüngerer Zeit hat die COVID-19-Pandemie zusammen mit Chipknappheit und Unterbrechungen der Lieferkette viele Unternehmen dazu gezwungen, BYOD-Richtlinien einzuführen. Dieser Ansatz ermöglichte es neuen Mitarbeitern, fortzufahren, während sie auf ein vom Unternehmen bereitgestelltes Gerät warteten.

In der Regel wird eine BYOD-Richtlinie vom Chief Information Officer (CIO) und anderen hochrangigen IT-Entscheidern erstellt und legt die Bedingungen fest, unter denen mitarbeitereigene Geräte am Arbeitsplatz verwendet werden können. Außerdem werden die Sicherheitsrichtlinien festgelegt, die Endbenutzer bei der Verwendung einhalten müssen.

Während die Einzelheiten einer BYOD-Richtlinie je nach den Zielen der BYOD-Strategie eines Unternehmens variieren, definieren die meisten Richtlinien für Geräte eine Variante dieser Elemente:

Akzeptable Nutzung: BYOD-Richtlinien legen in der Regel fest, wie und wann Mitarbeiter persönliche Geräte für arbeitsbezogene Aufgaben nutzen können. So können die Richtlinien für die zulässige Nutzung beispielsweise Informationen zur sicheren Verbindung mit Unternehmensressourcen über ein virtuelles privates Netzwerk (VPN) und eine Liste der zugelassenen arbeitsbezogenen Apps enthalten.

In den Nutzungsrichtlinien wird häufig festgelegt, wie sensible Unternehmensdaten mithilfe von Geräten, die sich im Besitz von Mitarbeitern befinden, behandelt, gespeichert und übertragen werden müssen. Sofern zutreffend, können BYOD-Richtlinien auch Datenschutz- und Aufbewahrungsrichtlinien enthalten, die Vorschriften wie dem Health Insurance Portability and Accountability Act (HIPAA), dem Sarbanes-Oxley Act und der Datenschutz-Grundverordnung (DSGVO) entsprechen.

Zulässige Geräte: Eine BYOD-Richtlinie kann die Arten von persönlichen Geräten, die Mitarbeiter für berufliche Zwecke nutzen dürfen, sowie die relevanten Gerätespezifikationen, wie z. B. die Mindestanforderung an das Betriebssystems, festlegen.

Sicherheitsmaßnahmen: BYOD-Richtlinien legen in der Regel Sicherheitsstandards für die Geräte der Mitarbeiter fest. Dazu können Mindestanforderungen für Passwörter und Richtlinien für die Zwei-Faktor-Authentifizierung, Protokolle für die Sicherung sensibler Daten und Verfahren für den Fall, dass ein Gerät verloren geht oder gestohlen wird, gehören. Sicherheitsmaßnahmen können auch die Installation von Sicherheitssoftware auf den Geräten der Mitarbeiter vorschreiben, wie z. B. Tools für das Management mobiler Endgeräte (MDM) oder das Management mobiler Anwendungen (MAM). Diese BYOD-Sicherheitslösungen werden im Folgenden näher erläutert.

Datenschutz und Berechtigungen: BYOD-Richtlinien legen in der Regel die Schritte fest, die die IT-Abteilung unternimmt, um die Privatsphäre der Mitarbeiter auf ihren Geräten zu schützen, einschließlich der Frage, wie das Unternehmen die Trennung zwischen den persönlichen Daten der Mitarbeiter und den Unternehmensdaten gewährleistet. In der Richtlinie können auch die spezifischen Berechtigungen aufgeführt werden, die die IT-Abteilung auf dem Gerät des Mitarbeiters benötigt, einschließlich bestimmter Software, die möglicherweise installiert werden muss, und Apps, die möglicherweise kontrolliert werden müssen.

Rückerstattung: Wenn das Unternehmen Mitarbeitern die Nutzung ihrer persönlichen Geräte erstattet, z. B. durch einen Zuschuss für den Kauf von Geräten oder die Subventionierung von Internet- oder mobilen Datentarifen, legt eine BYOD-Richtlinie fest, wie die Erstattung gehandhabt wird. Außerdem werden die Beträge festgelegt, die Mitarbeiter erhalten können.

IT-Support: Die BYOD-Richtlinie kann festlegen, inwieweit die IT-Abteilung eines Unternehmens Mitarbeitern bei der Fehlerbehebung an defekten oder nicht ordnungsgemäß funktionierenden persönlichen Geräten behilflich ist (oder nicht).

Offboarding: Letztendlich legen BYOD-Richtlinien in der Regel die Schritte fest, die zu befolgen sind, wenn ein Mitarbeiter das Unternehmen verlässt oder sein Gerät aus dem BYOD-Programm abmeldet. Diese Abmeldeverfahren umfassen häufig Pläne zur Entfernung sensibler Unternehmensdaten vom Gerät, zur Aufhebung des Zugriffs des Geräts auf Netzwerkressourcen und zur Deaktivierung des Benutzer- oder Gerätekontos.

BYOD-Programme werfen Sicherheitsbedenken in Bezug auf die Geräte auf, die IT-Abteilungen bei firmeneigenen Geräten nicht oder in geringerem Maße haben. Schwachstellen in der Hardware oder im System von Mitarbeitergeräten können die Angriffsfläche des Unternehmens vergrößern und Hackern neue Möglichkeiten eröffnen, in das Unternehmensnetzwerk einzudringen und auf sensible Daten zuzugreifen. Mitarbeiter können auf ihren privaten Geräten möglicherweise riskanter surfen, E-Mails senden oder Nachrichten senden, als sie es mit einem vom Unternehmen bereitgestellten Gerät täten. Malware, die den Computer eines Mitarbeiters aufgrund der privaten Nutzung infiziert, kann sich leicht auf das Unternehmensnetzwerk ausbreiten.

Bei firmeneigenen Geräten kann die IT-Abteilung diese und ähnliche Probleme vermeiden, indem sie die Geräteeinstellungen, Konfigurationen, Anwendungssoftware und Berechtigungen direkt überwacht und verwaltet. IT-Sicherheitsteams haben jedoch nicht die gleiche Kontrolle über die persönlichen Geräte der Mitarbeiter, und die Mitarbeiter würden sich wahrscheinlich gegen eine solche Kontrolle wehren. Im Laufe der Zeit haben Unternehmen eine Vielzahl anderer Technologien eingesetzt, um BYOD-Sicherheitsrisiken zu minimieren.

Virtuelle Desktops, auch bekannt als virtuelle Desktop-Infrastruktur (VDI) oder Desktop as a Service (DaaS), sind vollständig bereitgestellte Desktop-Computing-Instanzen, die auf virtuellen Maschinen ausgeführt und auf Remote-Servern gehostet werden. Mitarbeiter greifen auf diese Desktops zu und führen sie im Wesentlichen von ihren persönlichen Geräten aus, in der Regel über eine verschlüsselte Verbindung oder ein VPN.

Bei einem virtuellen Desktop findet alles auf der anderen Seite der Verbindung statt – es werden keine Anwendungen auf dem persönlichen Gerät installiert und keine Unternehmensdaten auf dem persönlichen Gerät verarbeitet oder gespeichert. Dadurch werden die meisten Sicherheitsbedenken in Bezug auf persönliche Geräte effektiv beseitigt. Virtuelle Desktops können jedoch teuer in der Bereitstellung und Verwaltung sein. Aufgrund der benötigten Internetverbindung können Mitarbeiter nicht offline arbeiten.

Cloud-basierte Software-as-a-Service (SaaS) kann einen ähnlichen Sicherheitsvorteil mit weniger Verwaltungsaufwand bieten, aber auch etwas weniger Kontrolle über das Verhalten der Endbenutzer.

Vor der Einführung von BYOD verwalteten Unternehmen die von ihnen bereitgestellten Mobilgeräte mithilfe von Software für die Verwaltung mobiler Geräte (MDM). MDM-Tools geben Administratoren die volle Kontrolle über die Geräte – sie können Anmelde- und Datenverschlüsselungsrichtlinien durchsetzen, Unternehmens-Apps installieren, Anwendungsaktualisierungen bereitstellen, den Standort von Geräten verfolgen und Geräte sperren oder löschen, wenn sie verloren gehen, gestohlen werden oder anderweitig beschädigt werden.

MDM war eine akzeptable mobile Managementlösung, bis die Mitarbeiter anfingen, ihre eigenen Smartphones bei der Arbeit zu verwenden, und sich schnell dagegen wehrten, dass IT-Teams diese Art von Kontrolle über ihre persönlichen Geräte, Apps und Daten erhielten. Seitdem sind neue Lösungen für das Management mobiler Endgeräte entstanden, und die Benutzer von persönlichen Geräten und die Arbeitsweisen der Mitarbeiter haben sich geändert:

Management mobiler Anwendungen(MAM): Anstatt das Gerät selbst zu steuern, konzentriert sich MAM auf das App-Management und überlässt IT-Administratoren die Kontrolle über Unternehmens-Apps und -Daten. MAM erreicht dies häufig durch Containerisierung, die Schaffung sicherer Enklaven für Geschäftsdaten und Anwendungen auf persönlichen Geräten. Durch die Containerisierung hat die IT-Abteilung die vollständige Kontrolle über Anwendungen, Daten und Gerätefunktionen innerhalb des Containers, kann aber die persönlichen Daten oder Geräteaktivitäten des Mitarbeiters außerhalb des Containers nicht einsehen oder beeinflussen.

Enterprise Mobility Management (EMM):  Als die Nutzung von BYOD zunahm und sich über Smartphones hinaus auf Tablets und über Blackberry OS und Apple iOS hinaus auf Android ausweitete, hatte MAM Mühe, mit all den neuen Geräten, die von Mitarbeitern in Unternehmensnetzwerke eingeführt wurden, Schritt zu halten. Bald entstanden EMM-Tools (Enterprise Mobility Management), um dieses Problem zu lösen. EMM-Tools vereinen die Funktionen von MDM, MAM und Identity und Access Management (IAM) und bieten IT-Abteilungen eine zentrale Plattform mit einer einzigen Ansicht aller persönlichen und unternehmenseigenen Mobilgeräte im Netzwerk.

Unified Endpoint Management (UEM):  Der einzige Nachteil von EMM bestand darin, dass es nicht mit Microsoft Windows-, Apple MacOS- und Google Chromebook-Computern umgehen konnte, was ein Problem darstellte, da BYOD auf Mitarbeiter und Dritte ausgeweitet werden musste, die von zu Hause aus mit ihren eigenen PCs arbeiten. UEM -Plattformen schlossen diese Lücke und brachten die Verwaltung mobiler Geräte, Laptops und Desktop-Geräte auf einer einzigen Plattform zusammen. UEM ermöglicht es IT-Abteilungen, IT-Sicherheits-Tools, Richtlinien und Workflows für alle Arten von Geräten mit beliebigen Betriebssystemen zu verwalten, unabhängig davon, von wo aus sie verbunden sind.

Die am häufigsten genannten Vorteile von BYOD für Unternehmen sind:

• Kosteneinsparungen und geringere IT-Verwaltungskosten: Der Arbeitgeber ist nicht mehr für den Kauf und die Bereitstellung von Geräten für alle Mitarbeiter verantwortlich. Wenn Unternehmen in der Lage sind, BYOD für die meisten oder alle Mitarbeiter umzusetzen und erfolgreich zu verwalten, können diese Einsparungen beträchtlich sein.
  
  
• Schnelleres Onboarding neuer Mitarbeiter: Mitarbeiter müssen nicht mehr auf ein vom Unternehmen bereitgestelltes Gerät warten, um mit der Arbeit an aufgabenbezogenen Aufgaben beginnen zu können. Dies war besonders während der jüngsten Chipknappheit und anderer Unterbrechungen in der Lieferkette von Bedeutung, die ein Unternehmen daran hindern können, seinen Mitarbeitern rechtzeitig Computer zur Verfügung zu stellen, damit sie ihre Arbeit aufnehmen können.
  
  
• Höhere Mitarbeiterzufriedenheit und Produktivität: Einige Mitarbeiter bevorzugen es, mit ihren eigenen Geräten zu arbeiten, die sie vertrauter oder leistungsfähiger finden als das vom Unternehmen bereitgestellte Equipment.

Diese und andere Vorteile von BYOD können durch Herausforderungen und Kompromisse für Arbeitnehmer und Arbeitgeber ausgeglichen werden:

• Datenschutzbedenken der Mitarbeiter: Mitarbeiter machen sich möglicherweise Sorgen um die Sichtbarkeit ihrer persönlichen Daten und Aktivitäten. Es kann auch unangenehm sein, von der IT-Abteilung angeordnete Software auf ihren persönlichen Geräten zu installieren.
  
  
• Begrenzter Bewerberpool, Bedenken hinsichtlich der Inklusion: Wenn BYOD obligatorisch ist, werden möglicherweise Personen, die sich keine geeigneten persönlichen Geräte leisten können oder nicht besitzen, ausgeschlossen. Manche Menschen ziehen es auch vor, nicht für ein Unternehmen zu arbeiten, das von ihnen verlangt, dass sie ihren privaten Computer benutzen, unabhängig davon, ob der Arbeitgeber ihnen die Kosten erstattet oder nicht.
  
  
• Verbleibende Sicherheitsrisiken: Selbst wenn Lösungen für die Sicherheit und die Geräteverwaltung für BYOD vorhanden sind, halten sich Mitarbeiter möglicherweise nicht immer an Best Practices für die Cybersicherheit, wie z. B. die Verwendung sicherer Passwörter und die physische Gerätesicherheit auf ihren persönlichen Geräten, wodurch Hackern, Malware und Datenschutzverletzungen Tür und Tor geöffnet werden.
  
  
• Probleme mit der Einhaltung gesetzlicher Vorschriften: Arbeitgeber im Gesundheitswesen, im Finanzsektor, in der Regierung und in anderen stark regulierten Branchen können BYOD für einige oder alle Mitarbeiter möglicherweise nicht umsetzen, da der Umgang mit sensiblen Informationen strengen Vorschriften und kostspieligen Strafen unterliegt.