GEDANKEN & FACHLICHE EINORDNUNG
Blog
Impulse zu Governance, Informationssicherheit und KI.
Immer mehr Firmen in Deutschland nutzen BYOD für sich, auch wenn dies bedeutet, dass man sich für einen guten Vertrag zwischen Arbeitnehmer und Arbeitgeber an einen Anwalt wenden muss und dass man alles tun muss, um die Firmensicherheit zu gewährleisten und auch den Mitarbeiterdaten den bestmöglichen Schutz zu bieten.
Erst einmal klingt das Thema BYOD sehr schwierig, ist es aber nicht, wenn man nur ein gutes Konzept entwickelt. Dabei sollte man an die Administration der mobilen Geräte denken, an die Sicherheitsstrategien für alle mobilen Geräte, an die Performance der Anwendungen, an den Schutz der Mitarbeiterdaten und der eigenen Firmensicherheit und natürlich auch an die Kosten. Jeder einzelne Punkt verdient Aufmerksamkeit und zwar so lange, bis man passende Lösungen gefunden hat. Und auch an die mobilen Arbeitsplätze muss man denken, an die IT Geräte und mehr. Es gibt Lösungen für die mobilen Geräte wie MDM oder auch EMM, die das Endgerät dann überwachen können, die eine Zugriffsverwaltung aufweisen und vieles mehr. Man muss nur wissen, wie man damit umgeht. Natürlich müssen die Mitarbeiter damit umgehen können. Ganz wichtig ist, daran zu denken, dass man alle firmenrelevanten Daten von einem Gerät löschen kann, weil dieses für den Firmendienst nicht mehr tragbar ist oder weil ein Mitarbeiter entlassen wurde oder selbst gekündigt hat. Man sieht, es gibt schon einiges zu bedenken, aber ganz so schwierig ist es nicht.
Hat man erst einmal die optimalen Lösungen zu allen Punkten für sich gefunden, wird man von BYOD profitieren können. Die Sicherheit ist ein enorm wichtiger Punkt, denn man muss an seine Firma denken. Von daher sollte man sich für den Zugang über SSL VPN entscheiden, man sollte Schutz gegen Malware nutzen, ebenso auch vor Angriffen von Hackern geschützt sein. Alle Sicherheitsstrategien müssen gut durchdacht werden. Vor allem sollte man mit DLP arbeiten, kurz für Data Loss Prevention. Denn so kann man festlegen, welcher Mitarbeiter welche Berechtigung für welche Daten bekommt. Und wenn man dann noch alle Daten stark verschlüsselt, tut man schon ganz viel für die Sicherheit des Unternehmens.
Wer es ganz sicher mag, sollte sich für VDI entscheiden, eine virtuelle Desktop Lösung, die sehr beliebt ist. Denn immerhin geht es hier darum, dass sie sich leicht administrieren lässt und auch automatisch verwaltet werden kann. Auch die IT Sicherheit spielt hier mit ein, weil somit auf dem Gerät nur der virtuelle Client zum Einsatz kommt und keinerlei Anw3endungen installiert werden müssen. Es werden keine Daten auf dem Gerät gespeichert, sondern alle Vorgänge laufen über den Terminal Server. Arbeitgeber können das mobile Gerät als Eingabegerät ansehen, bei dem die Daten einen hohen Schutz für sich haben. Perfekt für alle Unternehmen und so gut für die BYOD Strategie im Unternehmen. Und was die rechtliche Seite anbelangt, sollte man sich einen Sicherheitsberater heranziehen, damit weder das Unternehmen Schäden nehmen kann, noch der Mitarbeiter. Fragen, wie was mit den Daten passiert, wenn er Mitarbeiter die Firma verlässt, wenn er das Gerät verliert oder mehr, lassen sich so gezielt aus der Welt schaffen. Gut wäre, wenn man sich alle aufkommenden Fragen vorab notiert, damit man genau weiß, wozu man die Antworten braucht.
Das Konzept an einem vollständigen Ablauf prüfen. Gehen Sie mit einem Testnutzer von der Beantragung über Einrichtung und Support bis zur Beendigung. Jede ungeklärte Übergabe zeigt eine Stelle, an der das Konzept vor dem breiteren Einsatz ergänzt werden sollte.
Regulierung, Verantwortung und Steuerung werden als zusammenhängende Führungsaufgabe betrachtet. Die Managementperspektive stellt die Frage in den Mittelpunkt, wie aus regulatorischen Vorgaben handhabbare Entscheidungen, Zuständigkeiten und Steuerungsprozesse entstehen.
Von Dr. Markus Groß
Man sollte immer bedenken, dass BYOD nicht einfach nur eine Modeerscheinung aus Amerika darstellt, sondern sich immer mehr in Firmen durchsetzen wird. Umso eher man sich damit vertraut macht, desto besser ist s. Und umso mehr Zeit man sich erst einmal mit diesem Thema lassen kann, desto besser kennt man sich später damit aus. Fakt ist, es bringt viele Vorteile mit sich und die Nachteile lassen sich schnell reduzieren, wenn man richtig vorgeht und sich zur Not auch noch beraten lässt.
Die damalige Beobachtung zu „Resümee: Das BYOD Konzept“ wird hier nicht ersetzt, sondern praktisch weitergedacht. Im Fokus stehen bei Nutzungsbedarf überprüfbare Voraussetzungen, erkennbare Grenzen und ein im Alltag belastbarer Umgang.
Der Beitrag gewinnt beim Aspekt „Resümee: Das BYOD Konzept“ an Aktualität, sobald sein Kerngedanke in eine heutige Entscheidung übersetzt wird: Es ist zu klären, ob die Maßnahme das beabsichtigte Risiko oder Ergebnis tatsächlich verändert. Beim Schwerpunkt „Resümee: Das BYOD Konzept“ geht es um Einführung, Akzeptanz und praktische Steuerung von Consumerisation und BYOD sowie um den Bezug zu „Rückbau“; zu entscheiden ist, ob verhindert, geduldet oder innerhalb klarer Leitplanken aktiv ermöglicht werden soll. Für die Abwägung ist besonders wichtig: Akzeptanz allein beweist keine sichere oder wirtschaftliche Umsetzung (hier bezogen auf „Supportgrenze“); Ablehnung beseitigt den Bedarf ebenfalls nicht. Ein schlanker, aber wirksamer Ansatz lautet: Design, Ausführung und Wirkung getrennt beurteilen; die Umsetzung wird dabei an „Nutzungsregel“ gespiegelt. Der vorgesehene Nachweis lautet: eine Wirkungsprüfung mit Gegenbeispiel und Folgemaßnahme; die Bewertung erfolgt hier aus der Perspektive „Umgehungslösung“. Als Messperspektive dient: Nutzungsgrad, Ausnahmen, Umgehungslösungen, Supportaufwand und erreichte Arbeitsergebnisse; „Umgehungslösung“ liefert dafür den praktischen Anwendungsfall. Die bisherige Diskussion liefert mit „klare Zuständigkeiten und Entscheidungsrechte“ einen zusätzlichen Prüfstein; er sollte mit „Rückbau“ verbunden und nicht isoliert bewertet werden.
Im Mittelpunkt von „Rückbau“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, welches stärkste sachliche Argument gegen die bevorzugte Lösung spricht. Beteiligt sind hier vor allem Geschäftsleitung, Fachbereiche, IT, Informationssicherheit, Personal und Nutzende; ihre Perspektiven treffen beim Aspekt „Nutzungsregel“ unmittelbar aufeinander; die Umsetzung wird dabei an „Umgehungslösung“ gespiegelt. Die gewählte Lösung muss auch dann tragen, wenn die offizielle Regel vom tatsächlichen Arbeitsverhalten abweicht und Schattenlösungen zum Normalfall werden – betrachtet im Kontext „Akzeptanz“. Statt einer neuen Parallelstruktur genügt zunächst: Gegenargumente nicht abwehren, sondern als Belastungstest verwenden; als Bezugspunkt dient „Einführungsmodell“. Die Dokumentation hält zwei Dinge fest – eine dokumentierte Abwägung mit verbleibender Unsicherheit; zusätzlich sichtbar wird: der Zusammenhang zwischen „Rückbau“ und „Nutzungsregel“. Im Managementdialog muss beim Aspekt „Rückbau“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird.
Eine nüchterne Fortführung trennt bei „Pilotgruppe“ den damaligen Anlass von der bleibenden Organisationsfrage: Es ist zu klären, wie Störungen, Rückfragen und Ausnahmen zur Verbesserung genutzt werden. Als belastbare Grundlage dienen Nutzungsfälle, Bedarfsanalyse, Pilotbefunde, Ausnahmen, Supportdaten und dokumentierte Entscheidungen; für den Aspekt „Pilotgruppe“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Einführungsmodell“ sollte deshalb ausdrücklich festhalten, ob verhindert, geduldet oder innerhalb klarer Leitplanken aktiv ermöglicht werden soll; im Fokus steht dabei „Skalierung“. Operativ folgt daraus: Muster regelmäßig auswerten und Regeln gezielt anpassen. Der Prüfpfad endet nicht beim Dokument; im Fokus steht dabei „Betriebsmodell“. Als Verbindung zwischen Nachweis und Messung dienen: eine Änderung, deren Anlass und erwartete Wirkung dokumentiert sind; die beobachtbare Veränderung beim Aspekt „die Grenze zwischen privaten und geschäftlichen Interessen“. Die Leserperspektive auf „die Grenze zwischen privaten und geschäftlichen Interessen“ schärft den Blick dafür, ob „Einführungsmodell“ nur beschrieben oder tatsächlich gesteuert wird.
Beim Aspekt „Nutzungsbedarf“ hilft ein enger Blick auf Entscheidung und Betriebswirkung: Es ist zu klären, ob die vorgesehene Regel im Arbeitsablauf verständlich und praktikabel ist. Die alltagstaugliche Übersetzung für „Nutzungsbedarf“ lautet: Reale Arbeitsweisen werden erhoben und in ein abgestuftes, überprüfbares Betriebsmodell überführt; die Bewertung erfolgt hier aus der Perspektive „Betriebsmodell“. Damit wird zugleich die Grenze beim Aspekt „Schatten-IT“ sichtbar: Akzeptanz allein beweist keine sichere oder wirtschaftliche Umsetzung (hier bezogen auf „Skalierung“); Ablehnung beseitigt den Bedarf ebenfalls nicht. Die praktische Konsequenz heißt: typische Aufgaben mit echten Nutzenden erproben und Reibung messen. Für Audit und Führung reicht Aktivität nicht aus; als Bezugspunkt dient „Rückbau“. Benötigt wird folgender Nachweis: beobachtbare Nutzung statt bloßer Kenntnisnahme; bewertet wird außerdem: Nutzungsgrad, Ausnahmen, Umgehungslösungen, Supportaufwand und erreichte Arbeitsergebnisse; „Rückbau“ liefert dafür den praktischen Anwendungsfall. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Nutzungsbedarf“ noch nachvollziehbar wäre; für „Pilotgruppe“ ist das Ergebnis gesondert festzuhalten.
Der nächste sinnvolle Schritt für „Nutzungsregel“ trennt Aussage, Voraussetzung und Konsequenz voneinander: Es ist zu klären, welche offene Annahme in kleinem Rahmen geprüft werden soll. Das relevante Negativszenario entsteht, wenn die offizielle Regel vom tatsächlichen Arbeitsverhalten abweicht und Schattenlösungen zum Normalfall werden – betrachtet im Kontext „Betriebsmodell“. Für die beteiligten Rollen – Geschäftsleitung, Fachbereiche, IT, Informationssicherheit, Personal und Nutzende – braucht der Aspekt „Nutzungsregel“ daher einen vorab geklärten Entscheidungsweg; für den Aspekt „Pilotgruppe“ wird daraus ein eigener Prüfschritt. Der nächste Arbeitsschritt lautet: Erfolg, Abbruch, Beobachtungszeitraum und Übertragungskriterium vorab bestimmen; die Umsetzung wird dabei an „Nutzungsbedarf“ gespiegelt. Der Prüfpfad endet nicht beim Dokument; die Bewertung erfolgt hier aus der Perspektive „Nutzungsregel“. Als Verbindung zwischen Nachweis und Messung dienen: ein Pilotprotokoll mit Ergebnis und bewusster Folgeentscheidung; der Zusammenhang zwischen „Nutzungsregel“ und „Resümee: Das BYOD Konzept“. Die Leserperspektive auf „Messbarkeit und nachgewiesene Wirkung“ schärft den Blick dafür, ob „Resümee: Das BYOD Konzept“ nur beschrieben oder tatsächlich gesteuert wird.
Für die heutige Einordnung von „Umgehungslösung“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, welche Alternativen zwischen vollständigem Verbot und uneingeschränkter Freigabe liegen. Folgende Messperspektive zeigt, ob sich der Aspekt „Umgehungslösung“ tatsächlich verbessert oder nur formell bearbeitet wurde: Nutzungsgrad, Ausnahmen, Umgehungslösungen, Supportaufwand und erreichte Arbeitsergebnisse; der Belastungstest erfolgt mit Blick auf „Nutzungsregel“. Für „Nutzungsbedarf“ bleibt dabei verbindlich: Akzeptanz allein beweist keine sichere oder wirtschaftliche Umsetzung (hier bezogen auf „Betriebsmodell“); Ablehnung beseitigt den Bedarf ebenfalls nicht. Der nächste Arbeitsschritt lautet: Optionen nach Nutzen, Risiko, Aufwand und Rückbaubarkeit vergleichen; der Prüfkontext ist hier „Supportgrenze“. Ob der Ansatz trägt, wird an folgendem Ergebnis geprüft: eine dokumentierte Optionsentscheidung mit verworfenen Alternativen; für „Einführungsmodell“ ist das Ergebnis gesondert festzuhalten. Die Ergebnisbeobachtung richtet sich auf: die beobachtbare Veränderung beim Aspekt „klare Zuständigkeiten und Entscheidungsrechte“; „Einführungsmodell“ liefert dafür den praktischen Anwendungsfall. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Nutzungsbedarf“ später nicht mehr tragen.
Als Abschluss für Resümee: Das BYOD Konzept genügen drei verbindliche Antworten zu Rückbau: Wer entscheidet über Pilotgruppe, woran wird Wirkung bei Nutzungsbedarf erkannt und welcher Auslöser führt zur erneuten Prüfung? Sind diese Punkte geklärt, wird aus dem historischen Impuls zu Nutzungsregel eine belastbare Arbeitsgrundlage; die Umsetzung wird dabei an „Resümee: Das BYOD Konzept“ gespiegelt.
| Hinweis: Teile dieses Beitrags könnten unter Einsatz von KI-gestützten Tools erstellt oder überarbeitet worden sein. Weitere Informationen finden Sie im Impressum/Disclaimer. | Marken- und Bildrechte: Dargestellte Logos und genannten Marken liegen ausschließlich bei den jeweiligen Rechteinhabern. Nutzung erfolgt ausschließlich zu illustrativen Zwecken. |
Deine Bewertung hilft bei der Einordnung der Inhalte.
Interessant für dein Netzwerk? Teile den Beitrag direkt.
Wenn Sie den Blog-Beitrag abonnieren, senden wir Ihnen eine E-Mail, sobald es Updates auf dieser Website gibt.
Wir nutzen Cookies auf unserer Website. Einige von ihnen sind essenziell für den Betrieb der Seite, während andere uns helfen, diese Website und die Nutzererfahrung zu verbessern. Sie können selbst entscheiden, ob Sie die Cookies zulassen möchten. Bitte beachten Sie, dass bei einer Ablehnung womöglich nicht mehr alle Funktionalitäten der Seite zur Verfügung stehen.
Kommentare 26
Der Beitrag trifft einen wichtigen Punkt. Mich würde interessieren, woran sich der praktische Nutzen des beschriebenen Vorgehens zuerst erkennen lässt. Welche Mindestinformation sollte dafür immer vorliegen?
Entscheidend wäre für mich, nicht nur die Durchführung zu dokumentieren. Auch die Wirkung und eine mögliche Abweichung sollten später nachvollziehbar sein.
Ein konkreter Fall hilft, aber die Zuständigkeit muss von Anfang an klar sein. Sonst ist zwar das Problem sichtbar, die notwendige Entscheidung bleibt aber liegen.
Beides gehört zusammen: ein überschaubarer Einstieg und eine klare Konsequenz bei Abweichungen. Ohne diese Konsequenz bleibt auch eine gute Kennzahl letztlich informativ statt steuernd.
Die Trennung zwischen Durchführung und Wirkung hilft. So könnte man klein anfangen, ohne die spätere Bewertung dem Bauchgefühl zu überlassen.
Das wirft eine praktische Frage auf. Wie würdest du Zuständigkeiten für private Geräte und betriebliche Anwendungen voneinander abgrenzen?
Ich würde zuerst klären, welche Daten und Anwendungen betroffen sind. Daraus lassen sich Supportgrenzen und Verantwortlichkeiten ableiten.
Wie lässt sich bei Supportgrenzen und Kostenverteilung vermeiden, dass offene Punkte zwischen mehreren Zuständigkeiten liegen bleiben?
Ich würde den offenen Punkt mit einem Verantwortlichen, einem Termin und einem überprüfbaren Ergebnis verbinden. Bei mehreren Beteiligten sollte außerdem klar sein, wer eine Entscheidung herbeiführt. Für Supportgrenzen und Kostenverteilung würde ich den ersten Prüfschritt bewusst klein halten.
Wo würdet ihr bei Ausscheiden und Verlust des privaten Geräts anfangen, wenn die Zuständigkeit beim Übergang in den Betrieb unklar bleibt?
Mein Vorschlag wäre, die Übergabe erst mit benanntem Verantwortlichen und nachvollziehbaren Abnahmekriterien abschließen. Anschließend sollte klar sein, wer die Wirkung prüft und wann erneut entschieden wird. Bei Ausscheiden und Verlust des privaten Geräts sollte die Prüfung aus meiner Sicht auf den im Beitrag beschriebenen Zusammenhang begrenzt werden.
Was passiert beim Ausscheiden mit den Firmendaten, wenn das Gerät weiterhin privat benutzt wird? Das bezieht sich für mich auf den hier beschriebenen Ansatz.
Der Austritt gehört für mich schon in die Planung. Zugriff entziehen und Unternehmensdaten entfernen sind unterschiedliche Aufgaben, die getrennt beschrieben werden sollten. Diese Unterscheidung finde ich beim Thema dieses Beitrags besonders wichtig.
Könnte diese Lösung nicht gerade bei kleinen Teams zu viel Aufwand verursachen? Ich würde die Mindestanforderung deutlicher abgrenzen. Diese Unterscheidung finde ich beim Thema dieses Beitrags besonders wichtig.
Der praktische Wert von eine nachvollziehbare und im Alltag tragfähige Umsetzung hängt für mich an einer Frage: Führt die Information rechtzeitig zu einer besseren Entscheidung?
Spannend ist für mich, wie eine nachvollziehbare und im Alltag tragfähige Umsetzung in bestehende Abläufe passt. Eine zusätzliche Parallelstruktur wäre schwer dauerhaft zu betreiben.
Ein weiterer Punkt: Wie lässt sich die Trennung zwischen privaten und geschäftlichen Daten praktisch überprüfen? Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Ich sehe darin vor allem eine Gestaltungsfrage. Für mich wäre eine klare Grenze beim Zugriff entscheidend. Ein geschäftlicher Container wäre ein Ansatz; die privaten Inhalte sollten nicht einfach zum administrierbaren Unternehmensbestand werden. Ich würde das am konkreten Anwendungsfall dieses Artikels festmachen.
Mir wäre die laufende Pflege wichtiger als die perfekte erste Fassung. Wie könnte man das mit überschaubarem Aufwand organisieren? Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Ein vorhandener Nachweis wäre für mich zunächst nur ein Hinweis. Seine Aussagekraft hängt davon ab, ob er wirklich den betrachteten Ablauf und Zeitraum abdeckt. Gerade bei dieser Fragestellung würde ich die Abwägung offen dokumentieren.
Genau an der Übergabe sehe ich ebenfalls die Schwierigkeit. Ohne die nötige Information kann auch eine klar benannte Person wenig entscheiden. Das bezieht sich für mich auf den hier beschriebenen Ansatz.
Für eine nachvollziehbare und im Alltag tragfähige Umsetzung braucht es aus meiner Sicht keine Vielzahl neuer Kennzahlen. Zwei oder drei klar interpretierbare Signale wären oft hilfreicher.
Bei eine nachvollziehbare und im Alltag tragfähige Umsetzung scheint mir die zeitliche Perspektive wichtig. Eine einmalige Prüfung sagt wenig darüber aus, ob die Lösung dauerhaft funktioniert.
Aus der Praxis würde ich besonders auf eine nachvollziehbare und im Alltag tragfähige Umsetzung achten. Ohne klare Verantwortung bleibt selbst ein guter Ansatz unverbindlich.
Wer trägt beim privaten Gerät eigentlich die Kosten für Support, Reparatur und einen möglichen Ausfall?
Daran würde ich anknüpfen. Eine BYOD-Regelung müsste diese Fälle ausdrücklich unterscheiden. Der Kaufpreis allein sagt wenig darüber aus, ob das Modell insgesamt wirtschaftlich ist. Ich würde das am konkreten Anwendungsfall dieses Artikels festmachen.