Warum BYOD an den Geräten scheitert

businessman-2682712_1920Bring-Your-Own-Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

Nun, soweit die Theorie. Die BYOD-Realität sieht vor allem in deutschen Unternehmen ganz anders aus. Die Entscheidung für BYOD ist für Unternehmen äußerst weitreichend, da zahlreiche verschiedene Aspekte berücksichtigt werden müssen. In den meisten Fällen ist weniger der Effizienzgedanke ausschlaggebend für die Einführung von BYOD. Denn schon aus arbeitsrechtlichen Gründen kann BYOD nur eine Option oder Erweiterung eines mobilen Konzepts sein: Unternehmen können Mitarbeitern die Nutzung ihrer Privatgeräte für Unternehmenszwecke nicht vorschreiben. Meist kommt BYOD daher als Maßnahme in Frage, wenn es darum geht, wertvolle Mitarbeiter an das Unternehmen zu binden. Für Unternehmen ist dies keinesfalls eine einfache Lösung. Allein die Ausarbeitung eines BYOD-Konzepts stellt Unternehmen vor viele Herausforderungen, da zahlreiche Anforderungen miteinander in Einklang gebracht werden müssen.
BYOD – Kopfzerbrechen in rechtlicher und technischer Hinsicht

Vor allem die rechtliche Seite sorgt bei deutschen Unternehmen für Kopfzerbrechen. Datenschutzrechtliche Auflagen verlangen die strikte Trennung von privaten und Unternehmensdaten auf den Endgeräten der Arbeitnehmer. Es muss sichergestellt werden, dass Unternehmensdaten problemlos wiederhergestellt werden können, gleichsam sollen private Daten von jeglicher Unternehmensnutzung unbeeinträchtigt bleiben. Neben den Daten ist auch die Nutzung der Unternehmenssoftware eine entscheidende Frage: Softwareanbieter stellen unterschiedliche Bedingungen an privaten und gewerblichen Gebrauch. Für Unternehmen bedeutet dies, sie müssen prüfen, inwieweit die Nutzung auf privaten Geräten mit ihrer erworbenen Lizenz abgedeckt ist. Auch können im Zuge dessen steuerrechtliche Fragen auftreten – etwa des geldwerten Vorteils für die Mitarbeiter oder eine Ertragssteuer für das Unternehmen – die einer Klärung bedürfen. Und schließlich müssen auch personelle interne Bestimmungen sowie Haftungsfragen gelöst werden.

Ist der rechtliche Rahmen abgesteckt, geht es an die Ausarbeitung einer geeigneten technischen Lösung, die sowohl rechtlichen als auch IT-Sicherheitsanforderungen gerecht werden kann. In der Regel können nicht sämtliche Aspekte softwareseitig von der IT-Abteilung abgebildet werden – entweder, weil es schwierig ist, dies zu verwalten oder weil durch die Verwaltungssoftware eine einfache Nutzung der Mobilgeräte der Mitarbeiter nicht mehr möglich ist. Diese Lücke wird durch das Aufstellen von Verhaltensregeln für die Nutzung geschlossen, die von den Mitarbeitern erfüllt werden müssen. Doch auch hier lauern Stolpersteine, die genaueres Hinsehen seitens des hauseigenen Rechtsanwalts oder Betriebsrats erfordern: Nicht allen Verhaltensregeln müssen Mitarbeiter zustimmen – beispielsweise liegt ein Verbot der Nutzung des Handys im Ausland nicht in der Hand des Arbeitgebers – der Arbeitnehmer darf in solchen Fällen von seinem Mitspracherecht Gebrauch machen. Gleichsam erfordert BYOD auch ein hohes Maß an Verantwortungsbewusstsein und Unterstützung von Seiten der Arbeitnehmer. Rechtlich kommt ihnen nämlich die Verantwortung für die Nutzung der Unternehmensdaten zu, weshalb die Bereitschaft, erhöhte Sicherheitsmaßnahmen auf ihren Geräten, wie zum Beispiel die Aktivierung der Geräte- bzw. SD-Kartenverschlüsselung, die strikte Trennung privater und geschäftlicher Daten, sowie das zuverlässige Einspielen von Softwareupdates, vorausgesetzt wird. Ein gewisses Restrisiko, dass Arbeitnehmer dennoch entgegen den von ihnen akzeptierten Auflagen handeln, bleibt für Unternehmen trotz allem gegeben.
Was bleibt also von BYOD? Ein Konzept, dass sich theoretisch äußerst innovativ und schwungvoll anhört, entpuppt sich als restriktiv und wenig hilfreich. Tatsache ist allerdings auch: Mobiles Arbeiten ist bereits Realität und auf Grund seiner Vorteile wird sich die mobile Nutzung von Unternehmensanwendungen durchsetzen.

Schatten-IT ist der Weg des geringeren Widerstands

Ein gutes Beispiel hierfür ist die Urlaubssaison: Sind Arbeitnehmer zu Beginn ihres Urlaubs noch heilfroh, dem Büro entflohen zu sein, verleitet mit fortschreitender Dauer die Möglichkeit, den Ablauf im Büro verfolgen zu können, aber dennoch nicht für die Kollegen greifbar sein zu müssen, dazu, unbemerkt einen Blick in den Alltag im Büro zu werfen. Kommt die Urlaubsvertretung mit dem schwierigen Kunden klar? Ist das Großprojekt, an dem man wochenlang mit großem Einsatz mitgearbeitet hat, zu einem erfolgreichen Abschluss gekommen? Ein Blick in die E-Mailapp genügt, und man ist vorbereitet auf alles, was bei Arbeitsbeginn wieder auf einen einstürzen könnte.
Das Plus an Kontrolle auf Arbeitnehmerseite bedeutet in der Gleichung jedoch einen Verlust für die Unternehmen: Ihnen entgeht die Kontrolle über ihre Daten. Mit Blick auf künftige Regularien, wie beispielsweise die Datenschutzgrundverordnung (DSGVO), ist eine derartige Schatten-IT kein akzeptables Szenario. Es sind zwei Dinge, die aufeinandertreffen: Nutzer, die sich der Konsequenz ihrer Gerätenutzung für ihre Daten nicht bewusst sind. Auf der anderen Seite die IT-Abteilung, die dazu angehalten ist, mittels der Sicherung der Privatgeräte die Unternehmensdaten zu schützen. Werden beide Dinge nicht miteinander vereinbart, bleibt stets eine suboptimale Lösung zurück: Die Möglichkeit, dass sich ein Mitarbeiter doch über ein ungesichertes Privatgerät Zugang zu Unternehmensdaten verschafft hat. Unternehmen helfen sich daher meist folgendermaßen: Um BYOD umsetzen zu können, kommt MDM-Software zum Einsatz, die in der Regel vorwiegend für unternehmenseigene Geräte konzipiert ist. Diese stellt sicher, dass alle Sicherheitsauflagen erfüllt werden, Updates rechtzeitig eingespielt, unsichere WLAN-Verbindungen abgelehnt und andere Apps keinerlei Zugriff auf Unternehmensdaten haben können. Dies geht jedoch häufig zu Lasten der Nutzerfahrung und stellt auch ein Risiko für die Privatsphäre der Nutzer dar. Das Ergebnis ist meist folgendes: Mitarbeiter lehnen die Nutzung derartiger Managed Devices ab, was wiederum zu Lasten der Workflows und auch der Sicherheit geht.

Die Zeit der Geräte ist vorüber

Eduard Meelhuysen, Vice President Sales EMEA, Bitglass
Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

Die Sicherung von Geräten und den darauf befindlichen Inhalten ist historisch gewachsen und einleuchtend, wirft man einen Blick auf die Entwicklung der IT in den vergangenen Jahrzehnten. Künftig liegt das Augenmerk jedoch mehr auf den Daten. Diese Entwicklung zeigt sich unter anderem auch an den neuen gesetzlichen Richtlinien. Für Unternehmen ist es daher an der Zeit, künftig auch von der technischen Seite aus an die Daten zu denken sowie das Bewusstsein ihrer Mitarbeiter für deren Sensibilität zu schärfen. Die Zeit, in der die Sicherung von Geräten auch mit Datensicherheit gleichzusetzen war, läuft langsam ab.

Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

#Netzpalaver #Bitglas