GEDANKEN & FACHLICHE EINORDNUNG
Blog
Impulse zu Governance, Informationssicherheit und KI.
Im dritten Teil meines Blogs der sich mit der Auswertung der Umfrage meiner Masterthesis beschäftigt, sollen die Vor- und Nachteile, die die befragten Mitarbeiter sehen dargestellt werden.
Wichtig um die Sicherheit der Daten auf einem Endgerät sicherstellen zu können ist eine Verschlüsselung dieser. Knapp die Hälfte der Nutzer verschlüsseln ihre Daten, hier spiegelt sich das Ergebnis wider, dass in vielen Unternehmen keine Einstellungen und somit auch keine Sicherheitseinstellungen an den Endgeräten vorgenommen worden sind. Dies bringt den Unternehmen einen Nachteil, da Daten so leichter abhanden, bzw. von nicht autorisierten Personen gelesen werden können.
Dennoch gibt es noch weitere Schwierigkeiten, die bei und nach der Einführung von ByoD auftreten können. Bei 27% und bei 47% traten weder bei noch nach der Einführung von Bring your own Device Schwierigkeiten auf.
Dennoch traten bei über der Hälfte der Teilnehmer Schwierigkeiten auf, diese gliederten sich in IT Sicherheits- / Complianceaspekte (ca. 30%), sowie rechtliche Aspekte (etwas mehr als 10%) und sonstiges (knapp 10%) auf. Auch nach der Einführung traten am häufigsten IT Sicherheits- / Compliance Probleme (knapp 20%) auf. Daher ist ein Augenmerk auf die IT Sicherheit und Compliance zu legen.
Von den Befragten ohne BoyD, in deren Unternehmen allerdings über die Einführung nachgedacht worden ist, sind die meisten daran gescheitert, dass sie IT Sicherheitsprobleme fürchteten (gut 2/3), am zweithäufigsten wurden rechtliche Aspekte aufgezählt (etwa 40%) und darauf folgten die IT Compliance Probleme mit etwa einem Drittel. Daran sieht man, dass die erwarteten Probleme sich mit den tatsächlich eingetretenen im groben überschneiden. Neben der IT Sicherheit, sollten auch rechtliche Aspekte bedacht werden. Dies führt zu einem Mehraufwand bei der Einführung, was die Kosten für die Umstellung erhöht.
Allerdings haben durch eine Einführung von IT Consumerization nicht nur Unternehmen einen Mehraufwand, sondern ebenso die Mitarbeiter, sofern sie auf ihren privaten Endgeräten die Unternehmensdaten selber verwalten müssen. In mehr als 90% der Fälle müssen die Mitarbeiter ihre Endgeräte, trotz beruflicher Nutzung selber verwalten. Schwierigkeiten kann es an dieser Stelle geben, wenn Unternehmenssoftware auf dem Endgerät installiert worden ist, diese aber nicht funktioniert. Wenn der Fehler an der Unternehmenssoftware liegt, kann sich der Anwender an den IT Support des Unternehmens wenden, liegt es an der Hardware, so muss er den Hersteller um Hilfe bitten. Probleme können daher unter Umständen weniger schnell gelöst werden, als wenn der Mitarbeiter eine zentrale Abteilung hat, die er ansprechen kann.
Dennoch gibt es durch die Einführung nicht nur Nachteile, sondern auch Vorteile.
So gaben mehr als die Hälfte der Teilnehmer an, dass die Einführung keinen oder lediglich einen geringen wirtschaftlichen Nutzen (siehe Grafik) gebracht hat. Im Gegensatz dazu sehen nur 16,7% einen hohen wirtschaftlichen Nutzen. Um diesen Nutzen etwas genauer zu spezifizieren, wurden die Teilnehmer nach der Art dieses gefragt. Etwa ein Viertel nannte hier Mitarbeiterzufriedenheit, und knapp 23% Mitarbeiterproduktivität. Keinen Nutzen sahen 20%, und einen finanziellen Nutzen lediglich 17%. Daran ist erkennbar, dass sich IT Consumerization in erster Linie bei der Mitarbeiterzufriedenheit und der daraus resultierenden Produktivität zeigt. In finanzieller Hinsicht, d.h. durch die Einsparung, die es dadurch gibt, dass keine Endgeräte mehr gekauft werden müssen, zeigt sich nur ein geringer Nutzen.
So wurde auch als wichtigster Nutzen die Mitarbeiterzufriedenheit (etwa 1/3 der Befragten) genannt, während die Kostenreduktion (knapp 20%) für die Einführung von ByoD kaum eine Rolle spielt. Die Kostenreduktion wird auch dadurch gebremst, dass mehr als ein Fünftel die Kosten für die Anschaffung eines Endgerätes unterstützen (davon 10% beim Kauf und 13% mit einer regelmäßigen Kostenübernahme). Bei vielen Unternehmen werden jedoch keine Kosten übernommen (44%).
Mit Hilfe dieser Fragestellung konnte evaluiert werden, dass die im ersten Teil genannte Hypothese „Bring your own Device“ bringt mittelständischen Unternehmen in Deutschland keinen quantifizierbaren Nutzen.“ größtenteils bestätigt ist, da der finanzielle Nutzen sehr gering ist. Durch die Steigerung der Mitarbeiterproduktivität bzw. -zufriedenheit lässt sich allerdings auf lange Sicht hin auch ein wirtschaftlicher, d.h. monetärer Nutzen, ableiten, dieser ist allerdings nur schwierig errechenbar.
Regeln mit einer nachweisbaren Zuständigkeit verbinden. Prüfen Sie für die beschriebene Nutzungsform, wer Anforderungen festlegt, Ausnahmen entscheidet und die Einhaltung kontrolliert. Eine genehmigte Richtlinie allein beantwortet diese Betriebsfragen noch nicht.
Regulatorische Anforderungen entfalten ihren Nutzen erst, wenn sie in Verantwortung, Prozesse und Kontrollen überführt werden. Das Buch beleuchtet diesen Übergang aus einer Management- und Governance-Perspektive.
Von Dr. Markus Groß
Aus „Bring your own Device - verhindern, dulden oder aktiv steuern? - Teil 3“ lässt sich mehr gewinnen als eine Momentaufnahme. Die nachfolgende Vertiefung ordnet für Annahme ein, welche Annahmen geprüft und welche Konsequenzen organisatorisch sauber umgesetzt werden sollten.
Für die heutige Einordnung von „BYOD steuern – Teil 3“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, welche Lücke zuerst behandelt werden muss und warum. Beim Schwerpunkt „BYOD steuern – Teil 3“ geht es um bewusste Risikoentscheidungen und tragfähige Grenzen sowie um den Bezug zu „Frühindikator“; zu entscheiden ist, welches Restrisiko für welches Ziel (hier bezogen auf „Eskalationspunkt“), welchen Zeitraum und unter welchen Annahmen akzeptabel ist. Ein vorschneller Schluss würde diese Grenze ignorieren: Risikobereitschaft ist keine pauschale Zahl (hier bezogen auf „Risikobereitschaft“), sondern eine begründete Entscheidung im konkreten Kontext. Ein schlanker, aber wirksamer Ansatz lautet: Kritikalität, Exposition, Umsetzbarkeit und Abhängigkeiten gemeinsam gewichten. Für Audit und Führung reicht Aktivität nicht aus; für „Eskalationspunkt“ ist das Ergebnis gesondert festzuhalten. Benötigt wird folgender Nachweis: eine begründete Reihenfolge statt einer unverbundenen Maßnahmenliste; bewertet wird außerdem: Veränderung der Exposition, Kontrollausfälle, Annahmeverletzungen, Maßnahmenalter und Eskalationsdauer; „Eskalationspunkt“ liefert dafür den praktischen Anwendungsfall. Für den Dialog unter dem Beitrag ist „die Grenze zwischen privaten und geschäftlichen Interessen“ der passende Belastungstest: Gerade beim Aspekt „Frühindikator“ muss die Regel im Alltag tragen.
Im Mittelpunkt von „Frühindikator“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, welches stärkste sachliche Argument gegen die bevorzugte Lösung spricht. Beteiligt sind hier vor allem Risikoeigentümer, Fachverantwortliche, Kontrollfunktionen, Management und betroffene Leistungserbringer; ihre Perspektiven treffen beim Aspekt „Annahme“ unmittelbar aufeinander. Die Schwachstelle liegt nicht im Schlagwort selbst, sondern dort, wo eine abstrakte Risikozahl ohne Szenario (hier bezogen auf „Kontrollwirkung“), Eigentümer oder erneute Prüfung dauerhaft bestehen bleibt. Statt einer neuen Parallelstruktur genügt zunächst: Gegenargumente nicht abwehren, sondern als Belastungstest verwenden; für „Risikoszenario“ ist das Ergebnis gesondert festzuhalten. Für Audit und Führung reicht Aktivität nicht aus; der Prüfkontext ist hier „Kontrollwirkung“. Benötigt wird folgender Nachweis: eine dokumentierte Abwägung mit verbleibender Unsicherheit; bewertet wird außerdem: der Zusammenhang zwischen „Frühindikator“ und „Annahme“. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Annahme“ später nicht mehr tragen.
Für die heutige Einordnung von „Risikoeigentümer“ ist zunächst eine Unterscheidung entscheidend: Es ist zu klären, wie Störungen, Rückfragen und Ausnahmen zur Verbesserung genutzt werden. Als belastbare Grundlage dienen Szenario, Auswirkung, Annahmen, vorhandene Kontrollen, Entscheidung, Befristung und Überwachungsindikator; für den Aspekt „Risikoeigentümer“ muss ihre Herkunft nachvollziehbar bleiben; die Umsetzung wird dabei an „Kontrollwirkung“ gespiegelt. Die Entscheidung über „Risikoszenario“ sollte deshalb ausdrücklich festhalten, welches Restrisiko für welches Ziel (hier bezogen auf „Risikoszenario“), welchen Zeitraum und unter welchen Annahmen akzeptabel ist. Der nächste Arbeitsschritt lautet: Muster regelmäßig auswerten und Regeln gezielt anpassen; als Bezugspunkt dient „Restrisiko“. Der Prüfpfad endet nicht beim Dokument; im vorliegenden Abschnitt wird dies an „Wiedervorlage“ konkretisiert. Als Verbindung zwischen Nachweis und Messung dienen: eine Änderung, deren Anlass und erwartete Wirkung dokumentiert sind; die beobachtbare Veränderung beim Aspekt „Tests und Lernen aus erkannten Abweichungen“. Die Leserperspektive auf „Tests und Lernen aus erkannten Abweichungen“ schärft den Blick dafür, ob „Risikoszenario“ nur beschrieben oder tatsächlich gesteuert wird.
Der nächste sinnvolle Schritt für „Auswirkung“ trennt Aussage, Voraussetzung und Konsequenz voneinander: Es ist zu klären, welches Arbeitsergebnis Ausführung und Ergebnis glaubhaft belegt. Die alltagstaugliche Übersetzung für „Auswirkung“ lautet: Risiken werden als entscheidbare Szenarien mit Eigentümer, Grenze und Wiedervorlage formuliert. Damit wird zugleich die Grenze beim Aspekt „Restrisiko“ sichtbar: Risikobereitschaft ist keine pauschale Zahl (hier bezogen auf „Entscheidungsgrenze“), sondern eine begründete Entscheidung im konkreten Kontext. Für die belastbare Umsetzung gilt als Auftrag: Nachweise möglichst im normalen Prozess entstehen lassen; im Fokus steht dabei „BYOD steuern – Teil 3“. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine datierte Spur aus Soll, Ausführung, Ergebnis und Abweichung; die Umsetzung wird dabei an „Frühindikator“ gespiegelt. Relevant bleibt dabei: Veränderung der Exposition, Kontrollausfälle, Annahmeverletzungen, Maßnahmenalter und Eskalationsdauer; der konkrete Prüfmaßstab wird aus „Frühindikator“ abgeleitet. Im Managementdialog muss beim Aspekt „Auswirkung“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird.
Für die belastbare Anwendung von „Annahme“ muss aus der Beobachtung ein prüfbarer Arbeitsauftrag werden: Es ist zu klären, welcher konkrete Ablauf Nutzen und Risiko gleichzeitig sichtbar macht. Die gewählte Lösung muss auch dann tragen, wenn eine abstrakte Risikozahl ohne Szenario (hier bezogen auf „Wiedervorlage“), Eigentümer oder erneute Prüfung dauerhaft bestehen bleibt. Für die beteiligten Rollen – Risikoeigentümer, Fachverantwortliche, Kontrollfunktionen, Management und betroffene Leistungserbringer – braucht der Aspekt „Annahme“ daher einen vorab geklärten Entscheidungsweg. Für die belastbare Umsetzung gilt als Auftrag: Auslöser, Beteiligte, Entscheidungen und Folgen Schritt für Schritt durchspielen. Der vorgesehene Nachweis lautet: ein getesteter Fall mit erkannten Lücken; „Annahme“ liefert dafür den praktischen Anwendungsfall. Als Messperspektive dient: der Zusammenhang zwischen „Annahme“ und „BYOD steuern – Teil 3“. Die bisherige Diskussion liefert mit „Messbarkeit und nachgewiesene Wirkung“ einen zusätzlichen Prüfstein; er sollte mit „BYOD steuern – Teil 3“ verbunden und nicht isoliert bewertet werden.
Der Praxistest für Risikoeigentümer bleibt bewusst einfach: Die Regel zu Auswirkung muss im Normalbetrieb verständlich, beim Aspekt Annahme im Ausnahmefall entscheidbar und nach einer Änderung erneut prüfbar sein. Fehlt eine dieser Eigenschaften, besteht bei Eskalationspunkt weiterer Handlungsbedarf.
| Hinweis: Teile dieses Beitrags könnten unter Einsatz von KI-gestützten Tools erstellt oder überarbeitet worden sein. Weitere Informationen finden Sie im Impressum/Disclaimer. | Marken- und Bildrechte: Dargestellte Logos und genannten Marken liegen ausschließlich bei den jeweiligen Rechteinhabern. Nutzung erfolgt ausschließlich zu illustrativen Zwecken. |
Deine Bewertung hilft bei der Einordnung der Inhalte.
Interessant für dein Netzwerk? Teile den Beitrag direkt.
Wenn Sie den Blog-Beitrag abonnieren, senden wir Ihnen eine E-Mail, sobald es Updates auf dieser Website gibt.
Wir nutzen Cookies auf unserer Website. Einige von ihnen sind essenziell für den Betrieb der Seite, während andere uns helfen, diese Website und die Nutzererfahrung zu verbessern. Sie können selbst entscheiden, ob Sie die Cookies zulassen möchten. Bitte beachten Sie, dass bei einer Ablehnung womöglich nicht mehr alle Funktionalitäten der Seite zur Verfügung stehen.
Kommentare 23
Spannend finde ich die praktische Seite: woran sich der praktische Nutzen des beschriebenen Vorgehens zuerst erkennen lässt. Reicht dafür zunächst ein kleiner Pilot oder braucht es sofort einen breiteren Ansatz?
Ein kleiner Pilot erscheint mir sinnvoll. Wichtig wäre nur, vorher festzulegen, welches Ergebnis als Verbesserung gilt und wer es beurteilt.
Ich würde außerdem festhalten, welche Annahmen hinter der Bewertung stehen. Ändern sie sich, sollte nicht einfach derselbe Status fortgeschrieben werden.
Beides gehört zusammen: ein überschaubarer Einstieg und eine klare Konsequenz bei Abweichungen. Ohne diese Konsequenz bleibt auch eine gute Kennzahl letztlich informativ statt steuernd.
Das überzeugt mich. Ein konkreter Fall mit klarer Zuständigkeit und Nachprüfung dürfte mehr zeigen als ein umfangreiches Modell ohne praktische Rückkopplung.
Eine Frage zur Umsetzung: Wie würdest du Zuständigkeiten für private Geräte und betriebliche Anwendungen voneinander abgrenzen?
Ich würde zuerst klären, welche Daten und Anwendungen betroffen sind. Daraus lassen sich Supportgrenzen und Verantwortlichkeiten ableiten.
Ich würde bei privaten Geräten vor dem Start noch festlegen, welche Information für eine spätere Entscheidung unbedingt verfügbar sein muss. Damit könnte die Lösung im Alltag wachsen, ohne beliebig zu werden. Das sollte möglichst im normalen Arbeitsablauf sichtbar werden.
Für eine nachvollziehbare und im Alltag tragfähige Umsetzung sollte auch feststehen, welche Annahmen der Bewertung zugrunde liegen. Sonst wird ein Status leicht länger fortgeschrieben als sinnvoll.
Wann wäre bei Ausscheiden und Verlust des privaten Geräts eine erneute Entscheidung sinnvoller als die bloße Fortschreibung eines Status?
Eine neue Entscheidung wäre für mich erforderlich, wenn Grenzen oder tragende Annahmen nicht mehr passen. Eine Statusmeldung allein erklärt noch nicht, wie die Veränderung bewertet wurde. Für Ausscheiden und Verlust des privaten Geräts würde ich den ersten Prüfschritt bewusst klein halten.
Bei eine nachvollziehbare und im Alltag tragfähige Umsetzung würde ich nicht nur die Durchführung betrachten. Aussagekräftig wird es erst, wenn auch die Wirkung sichtbar bleibt.
Welche Entscheidung müsste zu Ausscheiden und Verlust des privaten Geräts zuerst fallen, wenn die verfügbaren Nachweise lückenhaft sind?
Ich würde zunächst die Lücke offen dokumentieren und einen überprüfbaren nächsten Schritt vereinbaren, statt Vollständigkeit zu unterstellen. Das schafft eine begrenzte, überprüfbare Arbeitsgrundlage für die weitere Umsetzung. Bei Ausscheiden und Verlust des privaten Geräts sollte die Prüfung aus meiner Sicht auf den im Beitrag beschriebenen Zusammenhang begrenzt werden.
Bei eine nachvollziehbare und im Alltag tragfähige Umsetzung würde ich nicht nur die Durchführung betrachten. Aussagekräftig wird es erst, wenn auch die Wirkung sichtbar bleibt.
Aus der Praxis würde ich besonders auf eine nachvollziehbare und im Alltag tragfähige Umsetzung achten. Ohne klare Verantwortung bleibt selbst ein guter Ansatz schnell unverbindlich.
Ergänzend würde ich den Blick auf eine nachvollziehbare und im Alltag tragfähige Umsetzung richten. Welche Mindestinformation wird dafür im Alltag wirklich benötigt?
Wer trägt beim privaten Gerät eigentlich die Kosten für Support, Reparatur und einen möglichen Ausfall? Das bezieht sich für mich auf den hier beschriebenen Ansatz.
Eine BYOD-Regelung müsste diese Fälle ausdrücklich unterscheiden. Der Kaufpreis allein sagt wenig darüber aus, ob das Modell insgesamt wirtschaftlich ist. Diese Unterscheidung finde ich beim Thema dieses Beitrags besonders wichtig.
Mir wäre die laufende Pflege wichtiger als die perfekte erste Fassung. Wie könnte man das mit überschaubarem Aufwand organisieren? Das bezieht sich für mich auf den hier beschriebenen Ansatz.
Das würde ich an einem konkreten Szenario prüfen. Eine Beschreibung zeigt die Absicht; die gemeinsame Durchführung zeigt, wo Informationen oder Übergaben fehlen. Ich würde das am konkreten Anwendungsfall dieses Artikels festmachen.
Da kommen wir näher zusammen. Ein gemeinsamer Ablauf wäre überzeugender als zwei Verfahren, die im Ernstfall unterschiedliche Antworten geben. Die Ausgangsfrage „Wer trägt beim privaten Gerät eigentlich die Kosten für Support, Reparatur und einen möglichen Ausfall?“ ist damit für mich noch nicht vollständig beantwortet.
Damit bin ich noch nicht ganz zufrieden. Wie würde man prüfen, ob die vorgeschlagene Lösung im Alltag tatsächlich eingehalten wird? Meine Ausgangsfrage bleibt: Wer trägt beim privaten Gerät eigentlich die Kosten für Support, Reparatur und einen möglichen Ausfall?