Der Trend der Consumerisation of IT, als das ubiquitäre verwenden der eigenen digitalen Geräte, wurde erstmalig 2004 von Rafael Ballagas in dem Konferenzpaper "BYOD: Bring Your Own Device" schriftlich erwähnt (Link). Der Wissenschaftler der RWTH Aachen untersucht in der Media Computing Group die unterschiedliche Verwendung der "physical interface for interacting with large public displays based on camera-enabled mobile phones", wobei der wirtschaftliche Fokus der heutigen Definition von BYOD nicht angedacht war.
Für die Mitarbeiter der Unternehmens-IT hat die inzwischen gängige Abkürzung BYOD auf Grund der technischen und rechtlich komplexen Lage oftmals eine ganz andere Bedeutung. "Bring your own Disaster", "Bring your own Dilemma" oder "Bring your own Diaspora" sind nur einige der Verwendeten Umschreibung die IT-Verantwortliche bei dem Akronym gerne verwenden. Auch wenn der Siegeszug solcher Initiativen ungebrochen schein, gibt es gerade in der eigenen Informationstechnologie Widerstand, da BYOD weit mehr als das Mitbringen des eigenen Handys für dienstliche Zwecke ist. Das Instrument, das höhere Mitarbeiterzufriedenheit schaffen und Geschäftsprozesse dynamischer und flexibler machen soll, ist mittlerweile selbst so unübersichtlich geworden.
Das Mitbringen und Nutzen eigener elektronischer Geräte im Geschäftsbereich ist jedoch kein neues Phänomen. So war es bereits in den 90er Jahren, also weit vor der permanenten und drahtlosen Verfügbarkeit des Internets, weit - wenn auch weniger sichtbar - verbreitet. So wurde an Arbeitsplätzen das eigene Modem verwendet, kostenintensive Internetzugänge wurden mittels eigener Software (Proxy) in der Firma verteilt oder aber der private Drucker wurde dem Etagendrucker vorgezogen. Bis zur Verwendung des eigenen Notebooks war dann nur noch ein kleiner Schritt.
Heutzutage nutzen die Mitarbeiter aber sowieso fast die gesamte Bandbreite ihrer elektronischen Kommunikationsmittel, die Sie entweder in Form von Geräten mit zur Arbeit schleppen, oder in Form von Internetdiensten und der Cloud Thematik wie Dropbox oder Evernote immer und überall verwenden können. Nach Smartphone, Tablet und Notebook wird eine permanente Verfügbarkeit des Internets, VoIP, und Cloud-Diensten etc. erwartet, die selbstverständlich auch privat Verwendung finden. Neben dem vordergründigen Vorteil für die Firmen, dass die Mitarbeiter die Geräte und IT-Dienste völlig selbstverständlich - ohne teure und zeitintensive Schulung - nutzen und somit vermutlich auch in der dienstfreien Zeit das Ein oder Andere abarbeiten, stehen auch viele technische und vor allem komplexe datenschutzrechtliche Fragestellungen. Daher sehen viele in der Consumerisation der IT derzeit mehr ein Fluch als ein Segen. Aber auch für die Mitarbeiter selbst ist die neue Geräte-Freiheit nicht nur positiv zu werten. Durch die unvermeidbare Vermischung der privaten mit der geschäftlichen Sphäre kann auch hier der Datenschutz nicht konsequent gewährleistet werden. So könnten beispielsweise private Mails mit heiklen Inhalten in den Händen der Firma landen, ohne das die Mitarbeiter dies beeinflussen können und die privaten Partybilder aus der Dropbox oder Facebook landen früher oder später im Backup der Firmen-IT.
Die Grenze der privaten Infrastruktur sichtbar machen. Erfassen Sie neben dem Gerät auch private Cloudspeicher, Konten, Schnittstellen und ergänzende Dienste. Entscheiden Sie für jeden Datenfluss, ob er betrieblich erlaubt, kontrollierbar und bei einem Austritt beendbar ist. Damit wird der Blick von der Hardware auf das tatsächliche Nutzungsmodell erweitert.
{tmamazon asin="B0HMP565GL" layout="card" align="none" label="Third-Party Governance" text="Die Managementperspektive richtet sich auf die Steuerung von Lieferanten, Cloud-Diensten und digitalen Abhängigkeiten. Im Vordergrund stehen Verantwortung, Transparenz und belastbare Entscheidungsprozesse entlang externer Leistungsketten." shorttext="Die Managementperspektive richtet sich auf die Steuerung von Lieferanten, Cloud-Diensten und digitalen Abhängigkeiten." image="images/mg-publikationen/cover/buch-third-party-governance-wie-unternehmen-lieferanten-cloud-dienste-.jpg" book="1" note="Von Dr. Markus Groß" price="0" rating="0" count="0" features="0" disclosure="1"}
Bring your own X ist somit weit mehr als Smartphone und Tablet, sondern auch Dropbox, Flicker, Facebook, XING, Notebook, UMTS-Stick und und und...
Vertiefung: Bring your own Everything
„Bring your own Everything“ setzt einen klaren historischen Ausgangspunkt. Die Ergänzung trennt diesen Anlass anhand von Freigabeliste von den Fragen, die für Entscheidungen, Betrieb und Kontrolle weiterhin relevant sind.
Was „Bring your own Everything“ für Ausstieg bedeutet
Der konkrete Nutzen von „Bring your own Everything“ zeigt sich erst, wenn eine offene Annahme überprüft wird: Es ist zu klären, wie Daten, Rechte, Geräte und Verpflichtungen am Ende bereinigt werden. Beim Schwerpunkt „Bring your own Everything“ geht es um mobile Kommunikation, Cloudspeicher und nutzergewählte Anwendungen sowie um den Bezug zu „Datenexport“; zu entscheiden ist, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Als fachliche Leitplanke gilt: Verschlüsselung schützt den Transport (hier bezogen auf „Suchbarkeit“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Für den nächsten Review wird vereinbart: Rückgabe, Entzug, Export, Löschung und Bestätigung zusammenführen; für „Kommunikationskanal“ ist das Ergebnis gesondert festzuhalten. Die Dokumentation hält zwei Dinge fest – ein abgeschlossener Austritts- oder Rückbau-Nachweis; zusätzlich sichtbar wird: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Für den Dialog unter dem Beitrag ist „klare Zuständigkeiten und Entscheidungsrechte“ der passende Belastungstest: Gerade beim Aspekt „Datenexport“ muss die Regel im Alltag tragen.
Datenexport – Datenweg praktisch fassen
Eine nüchterne Fortführung trennt bei „Datenexport“ den damaligen Anlass von der bleibenden Organisationsfrage: Es ist zu klären, wo Informationen entstehen, verarbeitet, kopiert und gelöscht werden. Beteiligt sind hier vor allem Fachbereiche, Kommunikation, IT, Datenschutz, Informationssicherheit und externe Gesprächspartner; ihre Perspektiven treffen beim Aspekt „Kommunikationskanal“ unmittelbar aufeinander. Das relevante Negativszenario entsteht, wenn bequeme Werkzeuge geschäftliche Informationen außerhalb kontrollierter Ablagen und Aufbewahrungsregeln verteilen. Ein schlanker, aber wirksamer Ansatz lautet: den tatsächlichen Datenfluss einschließlich lokaler Kopien nachzeichnen. Für Audit und Führung reicht Aktivität nicht aus; für den Aspekt „Nachrichtenverlauf“ wird daraus ein eigener Prüfschritt. Benötigt wird folgender Nachweis: eine Datenflussübersicht mit Speicherort und Löschverantwortung; bewertet wird außerdem: der Zusammenhang zwischen „Datenexport“ und „Kommunikationskanal“. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Datenexport“ noch nachvollziehbar wäre.
Lizenzen im Blick: Cloudablage
Aus dem historischen Befund entsteht für „Freigabeliste“ eine praktische Steuerungsfrage: Es ist zu klären, ob private und geschäftliche Nutzung vom Nutzungsrecht gedeckt sind. Als belastbare Grundlage dienen freigegebene Kanäle, Datenklassifikation, Export- und Löschmöglichkeiten, Vertragslage und Nutzungsprotokolle; für den Aspekt „Freigabeliste“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Cloudablage“ sollte deshalb ausdrücklich festhalten, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Für den nächsten Review wird vereinbart: Lizenztyp, Nutzerkreis, Gerät, Übertragbarkeit und Beendigung prüfen. Ob der Ansatz trägt, wird an folgendem Ergebnis geprüft: ein Lizenznachweis bis zum Entzug oder zur Neuvergabe. Die Ergebnisbeobachtung richtet sich auf: die beobachtbare Veränderung beim Aspekt „die Grenze zwischen privaten und geschäftlichen Interessen“. Die bisherige Diskussion liefert mit „die Grenze zwischen privaten und geschäftlichen Interessen“ einen zusätzlichen Prüfstein; er sollte mit „Cloudablage“ verbunden und nicht isoliert bewertet werden.
Kanalwechsel – Nachweis praktisch fassen
Aus dem historischen Befund entsteht für „Kanalwechsel“ eine praktische Steuerungsfrage: Es ist zu klären, welches Arbeitsergebnis Ausführung und Ergebnis glaubhaft belegt. Die alltagstaugliche Übersetzung für „Kanalwechsel“ lautet: Kommunikationsbedarf und Informationsklasse bestimmen gemeinsam den zulässigen Kanal. Damit wird zugleich die Grenze beim Aspekt „externe Beteiligte“ sichtbar: Verschlüsselung schützt den Transport (hier bezogen auf „Informationsklasse“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Ein schlanker, aber wirksamer Ansatz lautet: Nachweise möglichst im normalen Prozess entstehen lassen. Der Prüfpfad endet nicht beim Dokument; im Fokus steht dabei „Datenexport“. Als Verbindung zwischen Nachweis und Messung dienen: eine datierte Spur aus Soll, Ausführung, Ergebnis und Abweichung; Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Beim Aspekt „externe Beteiligte“ ist nicht die Menge der Aktivitäten entscheidend, sondern die erkennbare Veränderung des Ergebnisses.
Was „Kommunikationskanal“ für Wiedervorlage bedeutet
Für die heutige Einordnung von „Kommunikationskanal“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, wann eine frühere Entscheidung ihre Grundlage verlieren kann. Die gewählte Lösung muss auch dann tragen, wenn bequeme Werkzeuge geschäftliche Informationen außerhalb kontrollierter Ablagen und Aufbewahrungsregeln verteilen. Für die beteiligten Rollen – Fachbereiche, Kommunikation, IT, Datenschutz, Informationssicherheit und externe Gesprächspartner – braucht der Aspekt „Kommunikationskanal“ daher einen vorab geklärten Entscheidungsweg. Für den nächsten Review wird vereinbart: Zeitpunkt und ereignisbasierte Auslöser miteinander kombinieren. Die Dokumentation hält zwei Dinge fest – eine terminierte Neubewertung mit benannten Eingangsdaten; zusätzlich sichtbar wird: der Zusammenhang zwischen „Kommunikationskanal“ und „Bring your own Everything“. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „belastbare Nachweise statt bloßer Dokumentenfülle“ aufnehmen; „Aufbewahrung“ liefert dafür den praktischen Anwendungsfall. Aus der Perspektive „Bring your own Everything“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.
Aufbewahrung – Befähigung praktisch fassen
Die fachliche Vertiefung von „Aufbewahrung“ beginnt nicht mit einer weiteren Methode, sondern mit einer Grenze: Es ist zu klären, welche Entscheidung Nutzende und Führungskräfte selbst sicher treffen müssen. Folgende Messperspektive zeigt, ob sich der Aspekt „Aufbewahrung“ tatsächlich verbessert oder nur formell bearbeitet wurde: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Für „Kanalwechsel“ bleibt dabei verbindlich: Verschlüsselung schützt den Transport (hier bezogen auf „Geschäftskommunikation“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Die praktische Konsequenz heißt: Schulung an realen Situationen statt an abstrakten Verbotslisten ausrichten. Für Audit und Führung reicht Aktivität nicht aus; die Umsetzung wird dabei an „Cloudablage“ gespiegelt. Benötigt wird folgender Nachweis: kurze Fallsimulationen mit nachvollziehbarer Entscheidung; bewertet wird außerdem: die beobachtbare Veränderung beim Aspekt „klare Zuständigkeiten und Entscheidungsrechte“. Beim Aspekt „Kanalwechsel“ ist nicht die Menge der Aktivitäten entscheidend, sondern die erkennbare Veränderung des Ergebnisses.
Suchbarkeit – Trennung praktisch fassen
Der Beitrag gewinnt beim Aspekt „Suchbarkeit“ an Aktualität, sobald sein Kerngedanke in eine heutige Entscheidung übersetzt wird: Es ist zu klären, wie private und geschäftliche Bereiche technisch und organisatorisch auseinanderbleiben. Beim Schwerpunkt „Suchbarkeit“ geht es um mobile Kommunikation, Cloudspeicher und nutzergewählte Anwendungen sowie um den Bezug zu „Suchbarkeit“; zu entscheiden ist, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Ein vorschneller Schluss würde diese Grenze ignorieren: Verschlüsselung schützt den Transport (hier bezogen auf „Löschung“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Für die belastbare Umsetzung gilt als Auftrag: Daten, Konten, Sicherungen und Supportgrenzen getrennt definieren. Die Dokumentation hält zwei Dinge fest – einen getesteten Nachweis für Trennung und gezielte Löschung; zusätzlich sichtbar wird: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Der Diskussionsaspekt „Kosten, Aufwand und eine faire Verteilung“ ergänzt die Betrachtung sinnvoll, weil er „Suchbarkeit“ mit der tatsächlichen Anwendung verknüpft.
Der Praxistest für Freigabeliste bleibt bewusst einfach: Die Regel zu Kanalwechsel muss im Normalbetrieb verständlich, beim Aspekt Kommunikationskanal im Ausnahmefall entscheidbar und nach einer Änderung erneut prüfbar sein. Fehlt eine dieser Eigenschaften, besteht bei Aufbewahrung weiterer Handlungsbedarf.