BYOD: Was tun gegen Risiken und Nebenwirkungen?

Alexander Spörker, Country Manager von VMware Austria, im Interview über die Risiken von BYOD – und wie Unternehmen damit umgehen können. [...]

Welche Risiken gehen von „BYOD“ aus?
Alexander Spörker: Wir haben vor kurzem eine Studie über den Mobile-Trend veröffentlicht, die ganz klar zeigt, dass Arbeitnehmer heute konkrete Vorstellungen von der Art und Weise eines flexiblen Arbeitens mit mobilen Geräten haben. Unternehmen dürfen das nicht unterschätzen und müssen sich für Bring-your-own-Device-Strategien öffnen oder den Mitarbeitern mobile Geräte so zur Verfügung stellen wie sie es brauchen. Bei vielen Unternehmen sind aber weniger BYOD-Strategien das eigentliche Thema, sondern die Einbindung unternehmenseigener mobiler Geräte in die IT-Infrastruktur. Vor der Einführung von BYOD sollten die Risiken aber selbstverständlich genau evaluiert und aus dem Weg geräumt werden. Dazu gehört zum Beispiel alles rund um Datensicherheit und Datenschutz. Wesentlich riskanter als BYOD zuzulassen ist es, die Nutzung von privaten Geräten grundsätzlich zu verbieten. Viele Mitarbeiter verwenden ihre eigenen Geräte nämlich trotzdem und das dann ohne jeglichen Schutz. Zwei Drittel der IT-Verantwortlichen gehen davon aus, dass die Mitarbeiter Unternehmensinformationen auf ihren privaten Geräten speichern und dass 50 Prozent dieser Daten geschäftskritisch sind. Und sie haben Recht: Nur ein Drittel der befragten Angestellten waren sich sicher, dass die Daten, die sie auf ihren privaten Geräten ablegen, nicht sensibel sind. Viele dieser Geräte sind nicht in die Unternehmens-IT integriert und damit nicht geschützt – ein immenses Sicherheitsrisiko.

Wie sollten Unternehmen mit diesen Risiken umgehen?
39 Prozent der Arbeitnehmer würden ihren Job wechseln, wenn sie ihre mobilen Geräte nicht für die Arbeit nutzen dürften – das hat unsere Studie „Mobile Rebels“ ergeben. Zukunftsorientierte Unternehmen steuern hier gegen, fördern die neuen Arbeitsweisen und passen ihre Business-IT entsprechend an. Das ist für Unternehmen ein entscheidender Schritt, um wettbewerbsfähig zu bleiben. Für Unternehmen gilt es also, die Balance zwischen einer flexiblen Arbeitskultur und dem Schutz der Unternehmens- und Kundendaten zu halten. Das heißt auch, sich vorausschauend mit Multi-Device-Management zu beschäftigen, um Sicherheitsrisiken für IT-Abteilungen so gering wie möglich zu halten. Hier müssen die IT- und die Rechtsabteilung Hand in Hand arbeiten.

Warum sollte BYOD gerade in der Rechtsabteilung ein Thema sein?
Offizielle Unternehmensrichtlinien zur Nutzung von privaten Geräten sollten selbstverständlich sein. Aber schon die nationalen Datenschutzvorschriften zu beachten, stellt Unternehmen vor Herausforderungen. Dazu kommen Rechtsfragen aus anderen Fachgebieten. Nur wenn die Rechtsabteilung am Aufbau einer mobilen Unternehmenskultur beteiligt ist, kann die Beachtung von Grundrechten, Datenschutzrecht, Urheberschutzrecht, Nutzungs- und Verwertungsrechten und deren Grenzen gewährleistet werden. Außerdem stellt sich die Frage: Welches Recht gilt? Es bleibt nicht beim nationalen Recht, denn Unternehmen arbeiten international: viele sind grenzübergreifend aufgestellt, haben Zulieferer und Kunden in verschiedenen Ländern. Die Rechtsabteilungen stehen damit vor Fragen des nationalen und internationalen Datenschutzrechtes, des Urheberechtes, des internationalen Privatrechts und vor Compliance-Fragen.
Ein wichtiger Akteur ist übrigens auch der Betriebsrat, den es zu einem möglichst frühen Zeitpunkt mit in den Prozess einzubeziehen gilt. Denn der Betriebsrat achtet genau darauf, ob die Work-Life-Balance und Mitarbeiterschutz noch gewährleistet werden können, wenn die Mitarbeiter potentiell ständig erreichbar sind. Deshalb sollten Regelungen zur Nutzung des mobilen Gerätes, Pflichten und Rechte von Arbeitnehmern und Arbeitgebern unbedingt in der Nutzungsvereinbarung festgehalten werden. Weitere Bestandteile der Nutzungsvereinbarung sind geldwerte Vorteile – die Nutzung ist für einen bestimmten Zeitraum gestattet, Eigentümer bleibt allerdings das Unternehmen – sowie das Fernmeldegeheimnis. Dies ist relevant, da bei erlaubter Privatnutzung des Mobilgeräts die Einwilligung des Mitarbeiters notwendig ist, dass der Arbeitgeber beispielsweise auf der Telefonrechnung den Einzelverbindungsnachweis mit privat gewählten Telefonnummern einsehen könnte.

Wie sieht ein professionelles Zugriffsmanagement nebst entsprechenden Compliance-Regelungen aus?
Es gibt mittlerweile technisch sehr saubere Lösungen, die beide Seiten – die Mitarbeiter, die nicht auf ihr privates iPhone im Arbeitsumfeld verzichten wollen und die IT-Departements – zufriedenstellen. Die VMware Horizon Suite mit dem integralen Bestandteil Horizon Workspace stellt die Technologien und Funktionen bereit, die nötig sind, um auf allen Geräten ein modernes, stabiles und sicheres End-User Computing bereitzustellen und zu verwalten und gleichzeitig für Unternehmens-Governance, Sicherheit und Kontrolle zu sorgen. VMware Horizon Workspace bietet eine konsistente Arbeitsumgebung für Dateien, Anwendungen und Desktops und vereinfacht gleichzeitig den Zugriff auf verteilte Informationen auf beliebigen Geräten. Die Lösung erstellt einen separaten Container für Unternehmensressourcen. Dies verhindert Datenverlust und schützt persönliche Daten, die möglicherweise auf dem Gerät gespeichert sind. Anwender können über eine zentrale Arbeitsumgebung von einem beliebigen Gerät aus auf ihre Anwendungen und Dateien zugreifen, während die IT eine skalierbare Plattform erhält, um diese Ressourcen geräteübergreifend zentral zu verwalten und zu sichern. Wir verfolgen damit streng genommen keinen Mobile Device Management (MDM)-Ansatz, sondern einen Mobile User oder Mobile Application Management-Ansatz.
Von Compliance-Seite her sollten von der Rechtsabteilung mobile Arbeitsrichtlinien eingeführt werden, die die Handhabung von privaten Geräten festlegen. Das Wichtigste bei aller mobiler Freiheit ist, dass die IT die technische Kontrolle behält. (pi)