BYOA - “Bring your own Apps” ist stark im Kommen BYOA - “Bring your own Apps” ist stark im Kommen

Lange Zeit galt in der Firmen-IT das Thema BYOD “Bring your own Device” als das neue Problem. Zunehmend wird jedoch das "devicelose"-Trendthema BYOA “Bring your own Apps” zu einem ernstzunehmenden Problem für die Sicherheit der Unternehmens-IT. Eine von der IT-Sicherheitsfirma McAfee durchgeführten Studie unter rund 600 IT-Verantwortlichen und Führungskräften hat ergeben, dass mehr als 80 Prozent der Befragten unerlaubt private Anwendungen (Apps) für berufliche Zwecke nutzen. Neben dem Trend zu “Bring your own Device” geht die Entwicklung inzwischen also auch immer stärker zu “Bring your own Apps”.

Durch diese sogenannte „Schatten-IT“ werden unkalkullierbare Sicherheitslücken geschaffen, um die insbesondere IT-Verantwortliche eigentlich im besonderen Bescheid wissen müssten. Trotzdem nutzen vor allem gerade IT-Spezialisten private Anwendungen an bestehenden Richtlinien und Firmen-Policies vorbei, weil sie sich laut Studie von diesen Vorgaben zu sehr eingeschränkt und inflexibel fühlen.

Zusammengefasst sind die Kernaussagen der Studie:

  • Mehr als 80 Prozent der Befragten gaben an nicht genehmigte SaaS Anwendungen in ihrem beruflichen Umfeld zu nutzen
  • Fast 35 Prozent aller SaaS Anwendungen im beruflichen Umfeld wurden nicht genehmigt und tragen zu einer Schatten IT bei.
  • Mit 9 Prozent ist Microsoft Office 365 die meistbenutzte nicht zugelassene SaaS Anwendung, gefolgt von den Produktivitätstools Zoho mit 8 Prozent sowie LinkedIn und Facebook mit je 7 Prozent.
  • Nur durchschnittlich 15 Prozent der Nutzer von SaaS haben jemals an einer Sicherheitsschulung teilgenommen.
  • IT Experten tragen eher zu einer Schatten IT als Business User. (81% der Business User zu 83% IT Nutzer).
  • Rund 40 Prozent der Befragten mit IT Hintergrund nutzen nicht autorisierte SaaS, da diese es Ihnen erlaubt die IT Prozesse zu umgehen, während 18% zustimmten, dass Restriktionen in der IT es schwierig machen seinen Beruf auszuführen.


Die vollständige Studie finden Sie hier

Vertiefung: BYOA - “Bring your own Apps” ist stark im Kommen

Die damalige Beobachtung zu „BYOA - “Bring your own Apps” ist stark im Kommen“ wird hier nicht ersetzt, sondern praktisch weitergedacht. Im Fokus stehen bei Geschäftskommunikation überprüfbare Voraussetzungen, erkennbare Grenzen und ein im Alltag belastbarer Umgang.

Trennung: BYOA - “Bring your own Apps” ist stark im Kommen

Aus dem historischen Befund entsteht für „BYOA - “Bring your own Apps” ist stark im Kommen“ eine praktische Steuerungsfrage: Es ist zu klären, wie private und geschäftliche Bereiche technisch und organisatorisch auseinanderbleiben. Beim Schwerpunkt „BYOA - “Bring your own Apps” ist stark im Kommen“ geht es um mobile Kommunikation, Cloudspeicher und nutzergewählte Anwendungen sowie um den Bezug zu „Suchbarkeit“; zu entscheiden ist, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Für die Abwägung ist besonders wichtig: Verschlüsselung schützt den Transport (hier bezogen auf „Freigabeliste“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Für den nächsten Review wird vereinbart: Daten, Konten, Sicherungen und Supportgrenzen getrennt definieren. Der vorgesehene Nachweis lautet: einen getesteten Nachweis für Trennung und gezielte Löschung; im vorliegenden Abschnitt wird dies an „externe Beteiligte“ konkretisiert. Als Messperspektive dient: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Der Diskussionsaspekt „klare Zuständigkeiten und Entscheidungsrechte“ ergänzt die Betrachtung sinnvoll, weil er „Suchbarkeit“ mit der tatsächlichen Anwendung verknüpft.

Störungsfall: Suchbarkeit

Der Beitrag gewinnt beim Aspekt „Suchbarkeit“ an Aktualität, sobald sein Kerngedanke in eine heutige Entscheidung übersetzt wird: Es ist zu klären, welche erste Entscheidung bei Verlust, Missbrauch oder Ausfall nötig ist. Beteiligt sind hier vor allem Fachbereiche, Kommunikation, IT, Datenschutz, Informationssicherheit und externe Gesprächspartner; ihre Perspektiven treffen beim Aspekt „Kommunikationskanal“ unmittelbar aufeinander; „externe Beteiligte“ liefert dafür den praktischen Anwendungsfall. Das relevante Negativszenario entsteht, wenn bequeme Werkzeuge geschäftliche Informationen außerhalb kontrollierter Ablagen und Aufbewahrungsregeln verteilen; der konkrete Prüfmaßstab wird aus „Freigabeliste“ abgeleitet. Die praktische Konsequenz heißt: Meldeweg, Sperrung, Beweissicherung und Wiederanlauf vorab erproben. Die Dokumentation hält zwei Dinge fest – ein Zeitablauf vom Signal bis zur wirksamen Begrenzung; zusätzlich sichtbar wird: der Zusammenhang zwischen „Suchbarkeit“ und „Kommunikationskanal“. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Suchbarkeit“ noch nachvollziehbar wäre.

Integration als Konsequenz aus „Kanalwechsel“

Für die heutige Einordnung von „Kanalwechsel“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, welcher bestehende Prozess den neuen Prüfschritt sinnvoll aufnehmen kann. Als belastbare Grundlage dienen freigegebene Kanäle, Datenklassifikation, Export- und Löschmöglichkeiten, Vertragslage und Nutzungsprotokolle; für den Aspekt „Kanalwechsel“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Aufbewahrung“ sollte deshalb ausdrücklich festhalten, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Statt einer neuen Parallelstruktur genügt zunächst: Beschaffung, Berechtigung, Änderung oder Offboarding gezielt erweitern. Der vorgesehene Nachweis lautet: ein eingebetteter Kontrollpunkt ohne parallelen Sonderprozess. Als Messperspektive dient: die beobachtbare Veränderung beim Aspekt „Kosten, Aufwand und eine faire Verteilung“. Die bisherige Diskussion liefert mit „Kosten, Aufwand und eine faire Verteilung“ einen zusätzlichen Prüfstein; er sollte mit „Aufbewahrung“ verbunden und nicht isoliert bewertet werden.

Was „Geschäftskommunikation“ für Kommunikation bedeutet

Der nächste sinnvolle Schritt für „Geschäftskommunikation“ trennt Aussage, Voraussetzung und Konsequenz voneinander: Es ist zu klären, welche Erwartung verständlich erklärt und bei Rückfragen erreichbar sein muss. Die alltagstaugliche Übersetzung für „Geschäftskommunikation“ lautet: Kommunikationsbedarf und Informationsklasse bestimmen gemeinsam den zulässigen Kanal. Damit wird zugleich die Grenze beim Aspekt „Informationsklasse“ sichtbar: Verschlüsselung schützt den Transport (hier bezogen auf „Datenexport“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Statt einer neuen Parallelstruktur genügt zunächst: Regel, Grund, Alternative und Hilfe zielgruppengerecht verbinden; im vorliegenden Abschnitt wird dies an „BYOA - “Bring your own Apps” ist stark im Kommen“ konkretisiert. Für Audit und Führung reicht Aktivität nicht aus; die Bewertung erfolgt hier aus der Perspektive „Suchbarkeit“. Benötigt wird folgender Nachweis: Rückfragen, Fehlanwendungen und Verständnislücken als Lernsignal; bewertet wird außerdem: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Im Managementdialog muss beim Aspekt „Geschäftskommunikation“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird.

Szenario: Kommunikationskanal

Für die heutige Einordnung von „Kommunikationskanal“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, welcher konkrete Ablauf Nutzen und Risiko gleichzeitig sichtbar macht. Kritisch wird die Lage insbesondere dann, wenn bequeme Werkzeuge geschäftliche Informationen außerhalb kontrollierter Ablagen und Aufbewahrungsregeln verteilen. Für die beteiligten Rollen – Fachbereiche, Kommunikation, IT, Datenschutz, Informationssicherheit und externe Gesprächspartner – braucht der Aspekt „Kommunikationskanal“ daher einen vorab geklärten Entscheidungsweg; bezogen auf „Kanalwechsel“ ist die konkrete Ausprägung separat zu entscheiden. Im Regelbetrieb wird folgender Punkt verankert: Auslöser, Beteiligte, Entscheidungen und Folgen Schritt für Schritt durchspielen; für den Aspekt „Geschäftskommunikation“ wird daraus ein eigener Prüfschritt. Der Prüfpfad endet nicht beim Dokument; für „Kommunikationskanal“ ist das Ergebnis gesondert festzuhalten. Als Verbindung zwischen Nachweis und Messung dienen: ein getesteter Fall mit erkannten Lücken; der Zusammenhang zwischen „Kommunikationskanal“ und „BYOA - “Bring your own Apps” ist stark im Kommen“. Die bisherige Diskussion liefert mit „Mindestanforderungen und befristete Ausnahmen“ einen zusätzlichen Prüfstein; er sollte mit „BYOA - “Bring your own Apps” ist stark im Kommen“ verbunden und nicht isoliert bewertet werden.

Was „externe Beteiligte“ für Wiedervorlage bedeutet

Für die belastbare Anwendung von „externe Beteiligte“ muss aus der Beobachtung ein prüfbarer Arbeitsauftrag werden: Es ist zu klären, wann eine frühere Entscheidung ihre Grundlage verlieren kann. Folgende Messperspektive zeigt, ob sich der Aspekt „externe Beteiligte“ tatsächlich verbessert oder nur formell bearbeitet wurde: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Für „Geschäftskommunikation“ bleibt dabei verbindlich: Verschlüsselung schützt den Transport (hier bezogen auf „Nachrichtenverlauf“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Ein schlanker, aber wirksamer Ansatz lautet: Zeitpunkt und ereignisbasierte Auslöser miteinander kombinieren; der Prüfkontext ist hier „Freigabeliste“. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine terminierte Neubewertung mit benannten Eingangsdaten; die Bewertung erfolgt hier aus der Perspektive „Aufbewahrung“. Relevant bleibt dabei: die beobachtbare Veränderung beim Aspekt „klare Zuständigkeiten und Entscheidungsrechte“; bezogen auf „Aufbewahrung“ ist die konkrete Ausprägung separat zu entscheiden. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Geschäftskommunikation“ später nicht mehr tragen.

Ausstieg: Freigabeliste

Beim Aspekt „Freigabeliste“ hilft ein enger Blick auf Entscheidung und Betriebswirkung: Es ist zu klären, wie Daten, Rechte, Geräte und Verpflichtungen am Ende bereinigt werden. Beim Schwerpunkt „Freigabeliste“ geht es um mobile Kommunikation, Cloudspeicher und nutzergewählte Anwendungen sowie um den Bezug zu „Freigabeliste“; zu entscheiden ist, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Ein vorschneller Schluss würde diese Grenze ignorieren: Verschlüsselung schützt den Transport (hier bezogen auf „Cloudablage“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Die praktische Konsequenz heißt: Rückgabe, Entzug, Export, Löschung und Bestätigung zusammenführen; der Belastungstest erfolgt mit Blick auf „Datenexport“. Für Audit und Führung reicht Aktivität nicht aus; im Fokus steht dabei „Informationsklasse“. Benötigt wird folgender Nachweis: ein abgeschlossener Austritts- oder Rückbau-Nachweis; bewertet wird außerdem: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „Tests und Lernen aus erkannten Abweichungen“ aufnehmen; im vorliegenden Abschnitt wird dies an „Nachrichtenverlauf“ konkretisiert. Aus der Perspektive „Freigabeliste“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.

Der Praxistest für Kanalwechsel bleibt bewusst einfach: Die Regel zu Geschäftskommunikation muss im Normalbetrieb verständlich, beim Aspekt Kommunikationskanal im Ausnahmefall entscheidbar und nach einer Änderung erneut prüfbar sein. Fehlt eine dieser Eigenschaften, besteht bei externe Beteiligte weiterer Handlungsbedarf.