05.06.2013 — Online-Redaktion Verlag Dashöfer. Quelle: Deloitte.
Die zunehmende Kombination aus privater und geschäftlicher Nutzung von technischen Geräten wie Smartphones & Co stellt Unternehmen und Institutionen vor neue datenschutz- und arbeitsrechtliche Herausforderungen. Wie die Praxis zeigt, agieren hierzulande MitarbeiterInnen und Führungskräfte bei BYOD („Bring your own device“) viel zu oft im regelfreien Raum. Angesichts zunehmender Cyber-Kriminalität und Hacking-Attacken, die ganze Organisationen lahmlegen, erscheint dieser unbekümmerte Umgang mit dem Thema geradezu fahrlässig.
Der Arzt einer Klinik, dessen Kinder in einem unbeobachteten Moment E-Mails mit Krankenakten von seinem iPad verschicken. Der Vorstand eines High-Tech-Forschungsunternehmens, dessen Smartphone mit hochsensiblen Daten-Codes am Flughafen vertauscht wird. Die plötzliche Erkrankung einer Schlüsselmitarbeiterin in der Versicherungsbranche, die vertrauliche Analysen auf ihrem Tablet gespeichert hat: Im Zusammenhang mit BYOD sollte aus diesem Grund ein Hauptaugenmerk auf Datensicherheit und -schutz gelegt werden. Besonders für Führungskräfte, die sensible Daten auf ihren eigenen IT-Geräten gespeichert haben oder für die Sicherheit von Firmendaten auf den privaten Geräten ihrer MitarbeiterInnen verantwortlich sind, ist ein klarer Rahmen das Gebot der Stunde.
Wie sich jedoch in der Praxis zeigt, bleiben selbst die umfassendsten Regelungen graue Theorie, wenn sie in Unternehmen und Institutionen nicht gelebt und von allen – also auch von Vorständen oder der Geschäftsführung – angewendet werden, erklärt Mag. Karin Mair, Certified Fraud Examiner und Partner Deloitte Österreich: „Die Tragweite wird in vielen Unternehmen grob unterschätzt. Um alle schutzwürdigen Daten zu definieren und solide BYOD-Vereinbarungen zu entwickeln, müssen nicht nur die klassischen Fachabteilungen IT und HR eingebunden werden, sondern idealerweise auch Sicherheitsbeauftragte, Compliance-Verantwortliche und der Betriebsrat.“
Dies wäre auch der sicherste Weg, um für Fälle von Unregelmäßigkeiten wie z.B. dem Diebstahl von Unternehmensdaten durch MitarbeiterInnen oder Industriespionage gewappnet zu sein, so die Deloitte-Expertin. Mit den drei Services Computer Forensics, Data Analytics und Electronic Discovery unterstützt Deloitte Forensic vor allem Kunden im Public Sector, in Gesundheitsinstitutionen, der Finanzindustrie und Unternehmen der Produktionsindustrie. Der erste Schritt sei, sie grundsätzlich mit BYOD-Risiken vertraut zu machen. „Es braucht ein Umdenken bei den EntscheidungsträgerInnen in zweierlei Hinsicht. Erstens geht es darum, die datenschutzrechtliche Tragweite von BYOD zu verstehen, und zweitens muss ein Bewusstsein dafür geschaffen werden, dass ein lascher Umgang mit technischen Geräten dem vorsätzlichen Missbrauch geradezu in die Hände spielt und heutzutage fahrlässig ist“, unterstreicht Karin Mair. Auch Top-Führungskräfte, für die der Einsatz der neuesten technischen Devices in ihrem beruflichen und privaten Alltag eine Selbstverständlichkeit ist, unterschätzen, wie einfach und schnell oft auf ihre Daten zugegriffen werden kann und wie umfangreich die Missbrauchsmöglichkeiten sind.
So vorteilhaft und kostengünstig BYOD für das Unternehmen auf den ersten Blick erscheinen mag, wenn MitarbeiterInnen ihre neuen und oft teuren Geräte für ihre Arbeit verwenden, so unangenehm ist die Überraschung, wenn es im Zuge der dienstlichen Nutzung zu einem Datenmissbrauch, einer Beschädigung oder dem Verlust des Gerätes kommt. Werden technische Geräte auch (dienst-)zeitunabhängig und ortsunabhängig verwendet, ist allein die Zuordnung zur dienstlichen oder privaten Nutzung schon schwierig. „Problematisch ist auch die Synchronisation privater Endgeräte mit anderen privaten IT-Geräten oder privat genutzten Online-Diensten, da in diesen Fällen die dienstlichen Daten nicht mehr durch die vom Unternehmen getroffenen Datenschutzmaßnahmen gesichert sind“, warnt Datenschutzexperte Dr. Rainer Knyrim von Preslmayr Rechtsanwälte.
Deshalb raten die RechtsexpertInnen zum Einsatz einer MDM (Mobile-Device-Management)-Software, die eine getrennte Speicherung von privaten und beruflichen Daten sicherstellt. Selbstverständlich muss der Besitzer des Gerätes der Installation der MDM-Software – und damit auch einem etwaigen externen Datenzugriff, beispielsweise im Falle eines Verlustes des Gerätes – zustimmen. Um das Bewusstsein für die datenschutzrechtlichen Aspekte bei den MitarbeiterInnen zu erhöhen und missbräuchlicher Verwendung vorzubeugen, empfiehlt sich weiters eine schriftliche Vereinbarung. „Hier geht es vor allem darum, die Rechte, aber auch die Pflichten aufzuzeigen, die mit BYOD einhergehen“, meint Rainer Knyrim. Damit werde ein verbindlicher Rahmen für die Aufbewahrung des Gerätes, die ausschließlich verschlüsselte Aufbewahrung von Unternehmensdaten sowie den Einsatz und regelmäßigen Wechsel sicherer und komplexerer Passwörter geschaffen.
„Obwohl viele Unternehmen bereits strenge Regelwerke für die Nutzung der unternehmenseigenen Technik und allgemeine Datenschutzrichtlinien haben, fehlt in den meisten Fällen die dringend notwendige Ausweitung und Adaptierung in Hinblick auf den BYOD-Trend“, meint die Deloitte-Expertin Karin Mair. Um auf die Risiken von BYOD aufmerksam zu machen, führen Forensiker gerne Demonstrationen mit privat genutzten Geräten durch. Der „Aha“-Effekt stelle sich meist sehr schnell ein, erzählen Michael Meixner und Lukas Reiter von Deloitte Forensic. Als weiteren Schritt in Richtung Bewusstseinsbildung empfehlen die Experten, sich mit folgenden Fragen auseinanderzusetzen:
X
