Schlüsselpunkte
- Mobile Risiken drehen sich zunehmend um Datenabfluss: Die größten Bedrohungen betreffen heute die Frage, wie auf Informationen zugegriffen wird, wie sie geteilt werden und wie sie verloren gehen, nicht die Art der Gerätenutzung.
- Vollständige Gerätekontrolle ist nicht immer sinnvoll: Bei privaten und gemischt genutzten Geräten sind pauschale Sperren unpraktisch und unbeliebt.
- Informationszentrierte Kontrollen schützen Daten überall: Der Fokus verlagert sich darauf, Informationen zu schützen, unabhängig davon, wem das Gerät gehört.
- Dieser Wandel verändert Governance und Vertrauensverhältnisse: Verantwortlichkeiten, Datenschutzerwartungen und Durchsetzungsmodelle entwickeln sich weiter.
- Der Erfolg hängt von der Akzeptanz der Benutzer:innen ab: Strategien funktionieren am besten, wenn die Ziele des Datenschutzes zur tatsächlichen Arbeitsweise passen.
Heute besitzen praktisch alle ein Smartphone, von jung bis alt. Was inzwischen „normal“ wirkt, war vor wenigen Jahren noch keineswegs selbstverständlich. Tatsächlich setzte sich die Nutzung von Mobiltelefonen vor allem im beruflichen Umfeld erst richtig durch, als sich hybrides Arbeiten etablierte. Damals basierten klassische Modelle der Mobile-Security auf der Kontrolle des Geräts, natürlich unter der Annahme, dass dem Unternehmen sowohl die Hardware als auch das Risiko gehört. (Mehr dazu in diesem Artikel: Erwartungen an hybrides Arbeiten vs. IT-Realität: Neuer Bericht zeigt deutliche Ergebnisse).
Da sich BYOD-Richtlinien jedoch stetig weiterentwickeln, trifft diese Annahme in modernen MSPs nicht mehr zu und ist auch nicht mehr realistisch. IT-Expert:innen beobachten: Mit veränderten Eigentums- und Nutzungsmustern ist es nicht immer die richtige Antwort, ein Gerät vollständig zu sperren. Das führt zu einer schrittweisen Verlagerung hin zu Strategien der mobilen Information Governance, die vor allem die Daten schützen, auf die es wirklich ankommt, egal wo sie liegen.
Darum stößt gerätezentrierte Kontrolle an ihre Grenzen
Vollständige Gerätekontrolle funktioniert am besten, wenn ein Unternehmen die Hardware besitzt und vorgibt, wie sie genutzt wird. Das ist nachvollziehbar: Kontrollieren lässt sich nur, was einem gehört.
Und doch genügt ein Blick auf moderne Unternehmen, um zu erkennen, wo die ersten Risse entstanden sind. Privat genutzte Geräte brachten Datenschutzbedenken mit sich, denn Benutzer:innen wollten nicht, dass Arbeitgeber ihre Fotos, Nachrichten oder privaten Apps verwalten. Gemischt genutzte Geräte verwischten diese Grenzen noch weiter und machten es äußerst schwierig, wenn nicht unmöglich, strenge Kontrollen durchzusetzen, ohne die alltägliche Nutzbarkeit zu beeinträchtigen. Hinzu kommt, dass regionale Gesetze und Vorschriften einschränken können, was Unternehmen auf privaten Endpunkten überwachen oder verwalten dürfen. (Eine ausführlichere Diskussion finden Sie in diesem Beitrag: Umfassender Leitfaden zum Schutz von Kundendaten.)
In solchen Szenarien erzeugt die Durchsetzung auf Geräteebene oft Reibung. Benutzer:innen wehren sich dagegen, die Akzeptanz sinkt, und IT-Teams verbringen mehr Zeit mit der Bearbeitung von Beschwerden als mit der tatsächlichen Risikoreduzierung.
Informationen als eigentliche Angriffsfläche
Kommt es zu mobilen Sicherheitsvorfällen, entsteht der Schaden nur selten durch das Gerät selbst, auch wenn das durchaus vorkommt. Fast immer hängt er damit zusammen, was mit den ausgenutzten Daten passiert. Ein Blick in unsere IT-Horrorgeschichten zeigt, wie viele Unternehmen das bereits erlebt haben.
Sensible oder personenbezogene Daten können von der falschen App abgerufen, über ungesicherte Kanäle geteilt und im Darknet verkauft werden oder verloren gehen, wenn ein Gerät den Besitzer wechselt. Diese Risiken bestehen unabhängig davon, ob ein Gerät vollständig gesperrt oder nur leicht verwaltet wird. Wer Informationen statt Hardware in den Mittelpunkt stellt, setzt an der Ursache an statt an den Symptomen.
Indem Unternehmen absichern, wie auf Daten zugegriffen wird und wie sie gespeichert und geteilt werden, lässt sich das Risiko auch dann verringern, wenn sie den Endpunkt nicht vollständig kontrollieren.
Darauf setzt informationszentrierte Governance
Modernes mobiles Informationsmanagement bedeutet eine robustere Daten-Governance. Statt das Gerät selbst zu kontrollieren, steuern IT-Verantwortliche, wie sie mit relevanten (und geschäftlichen) Daten umgehen. Ziel ist es, Risiken zu senken, ohne das gesamte Gerät zu übernehmen.
- Geschäftsdaten schützen statt des gesamten Geräts: Richtlinien gelten für die Geschäftsinformationen selbst, etwa Unternehmensdateien, E-Mails oder Apps. So können Unternehmen absichern, worauf es ankommt, ohne private Daten anzurühren.
- Datenzugriff steuern: Regeln legen fest, wer Geschäftsdaten öffnen darf, unter welchen Bedingungen und aus welchen Apps heraus. Das verhindert unbefugten Zugriff, selbst wenn das Gerät selbst nicht streng gesperrt ist.
- Teilen und Kopieren von Daten begrenzen: Informationszentrierte Kontrollen können Aktionen einschränken, etwa das Kopieren von Daten in private Apps oder das Teilen über ungesicherte Kanäle. So sinkt das Risiko eines versehentlichen Datenabflusses, ohne die normale Gerätenutzung zu blockieren.
- Geschäftliche und private Inhalte trennen: Geschäftsdaten bleiben innerhalb definierter Grenzen, private Inhalte bleiben privat. Diese Trennung ist entscheidend für das Vertrauen der Benutzer:innen, besonders auf privaten Geräten.
- Richtlinien geräteübergreifend konsistent anwenden: Da die Kontrollen den Daten folgen, gelten dieselben Regeln, ob die Person ein Smartphone, ein Tablet oder einen anderen Endpunkt nutzt. Das macht Governance planbarer und einfacher zu verwalten.
- Verantwortung auf Governance verlagern statt auf Sperren: Sicherheit beruht dann auf klaren Regeln, eindeutigen Zuständigkeiten und Data Lifecycle Management statt auf harten technischen Einschränkungen. Teams konzentrieren sich stärker darauf, zu definieren, was geschehen soll, als darauf, zu erzwingen, was Benutzer:innen nicht dürfen.
Dieser Ansatz macht Geräteverwaltung nicht überflüssig, aber er verschiebt die Gewichtung. Das Gerät wird zum Container, die Daten werden zur Priorität.
Vertrauen, Datenschutz und Benutzererfahrung im Blick behalten
Informationszentrierte Strategien funktionieren nur, wenn Benutzer:innen sie verstehen. Ein wirksames datenzentriertes Sicherheitsmodell zeichnet sich dadurch aus, dass alle Beteiligten wissen, was geschützt wird und welche Daten konkret überwacht werden.
Deshalb ist es entscheidend, dass Ihre IT-Abteilung Vertrauen, Datenschutz und Aspekte der Benutzererfahrung klar kommuniziert. Benutzer:innen müssen wissen, welche Daten der Governance unterliegen, warum das wichtig ist und was das Unternehmen sehen kann und was nicht. Wenn private Inhalte wirklich unangetastet bleiben und Richtlinien sich konsistent verhalten, ist die Kooperationsbereitschaft deutlich höher.
Schlechte Kommunikation kann dagegen selbst die besten technischen Kontrollen unterlaufen und zu Schatten-IT oder zur Umgehung von Richtlinien führen.
Diese Szenarien sprechen für informationszentrierte Ansätze
Um es klar zu sagen: Informationszentrierte Ansätze sind nicht immer passend, insbesondere nicht für Unternehmen mit strengen Vorgaben dazu, welche Hardware ihre Beschäftigten nutzen dürfen, etwa in stark regulierten Branchen, in denen von der Nutzung privater Geräte für geschäftskritische Daten dringend abgeraten wird. Ebenso wenig greifen sie, wenn Geräte einem einzigen, festen Zweck dienen, etwa als Kassensystem oder Kiosk-Gerät. In diesen Fällen brauchen Sie die vollständige Kontrolle über das Gerät.
Dafür sind solche Strategien in Umgebungen mit gemischten Eigentums- und Nutzungsmodellen sehr beliebt. Besonders wirksam sind sie, wenn:
- Beschäftigte private Geräte für die Arbeit nutzen (BYOD): Gehören die Smartphones oder Tablets den Benutzer:innen selbst, ist eine vollständige Gerätekontrolle oft nicht akzeptabel. Schützt man stattdessen die Geschäftsdaten, lassen sich Risiken senken, ohne in die Privatsphäre einzugreifen.
- Auftragnehmer:innen oder Aushilfskräfte Zugriff benötigen: Externe benötigen häufig nur begrenzten Zugriff auf bestimmte Informationen. Datenbezogene Kontrollen erleichtern es, Zugriff zu gewähren, ohne weitreichende Geräteberechtigungen zu vergeben.
- Berufliches und Privates eng verschmelzen: Viele Benutzer:innen wechseln im Lauf des Tages ständig zwischen privaten und beruflichen Apps. Informationszentrierte Kontrollen lassen diese Flexibilität zu und schützen trotzdem sensible Geschäftsdaten.
- Die Datensensibilität je nach Rolle variiert: Nicht alle brauchen Zugriff auf dieselbe Informationsebene. Governance-Regeln können sich an Rolle, Kontext oder Risiko anpassen, statt jedes Gerät gleich zu behandeln.
Entscheidend ist: Keine einzelne Strategie passt auf jede Situation. Die wirksamsten Programme für Sicherheit mobiler Geräte richten den Ansatz am Eigentumsmodell, an den Erwartungen der Benutzer:innen und am realen Risiko aus, statt überall dasselbe Kontrollmodell zu erzwingen.
Typische Stolperfallen bei der Governance
Da diese Strategien stark vom jeweiligen Anwendungsfall abhängen, fällt die Auswahl für die eigenen Anforderungen womöglich schwer. Ein Strategiewechsel kann schließlich neue Herausforderungen mit sich bringen, wenn er nicht sorgfältig umgesetzt wird.
Zu den häufigsten Herausforderungen in Unternehmen zählen:
- Die Annahme, Informationskontrollen beseitigten jedes Geräterisiko: Daten zu schützen ist zentral, aber Geräte bleiben wichtig. Ignorieren Teams den Gerätezustand, Zugriffswege oder grundlegende Sicherheitshygiene, entstehen blinde Flecken, selbst bei starken Datenkontrollen.
- Unklare Verantwortung für Datenbesitz und Lebenszyklus: Ist nicht klar, wem Geschäftsdaten gehören, wer Zugriffe genehmigt oder wer für Bereinigung und Entzug von Berechtigungen zuständig ist, wird die Durchsetzung inkonsistent. Das führt oft zu Lücken zwischen Richtlinie und Realität.
- Zu viel Datenschutz versprechen: Benutzer:innen zu sagen, dass private Daten unangetastet bleiben, funktioniert nur, wenn sich die Richtlinien genau so verhalten. Wirken Kontrollen invasiv oder unberechenbar, riskieren Sie, das Vertrauen der Beschäftigten sehr schnell zu verlieren.
- Den Wandel als rein technisches Thema behandeln: Ein Strategiewechsel erfordert aktualisierte Richtlinien, klare Kommunikation und Einigkeit zwischen IT, Security und dem Business darüber, wie mit Daten umzugehen ist.
In der Praxis entscheidet sich der Erfolg von Information Governance ebenso sehr an Menschen und Prozessen wie an der Technik. Klare Erwartungen, geteilte Verantwortung und ehrliche Kommunikation zählen genauso viel wie die Kontrollen selbst.
Mobiles Informationsmanagement richtig aufsetzen
Während sich mobile Umgebungen weiterentwickeln, rücken viele Unternehmen von der vollständigen Gerätekontrolle ab und schützen stattdessen die Informationen selbst. Dieser Wandel spiegelt veränderte Eigentumsverhältnisse, Datenschutzerwartungen und reale Risiken wider. Wer versteht, warum dieser Übergang stattfindet, kann Sicherheitsstrategien wählen, die praxistauglich sind, Vertrauen schaffen und zur tatsächlichen Arbeitsweise passen.
Verwandte Themen:
