Smartphones und Tablets absichern

Grundlagen im IT-Grundschutz

Das IT-Grundschutz-Kompendium behandelt mobile Geräte in mehreren Bausteinen:

• SYS.3.2.1 «Allgemeine Smartphones und Tablets»: Grundanforderungen unabhängig vom Betriebssystem.
• SYS.3.2.2 «Mobile Device Management (MDM)»: zentrale Verwaltung.
• SYS.3.2.3 «iOS (for Enterprise)» und SYS.3.2.4 «Android»: plattformspezifische Anforderungen.
• APP.1.4 «Mobile Anwendung (Apps)».

In den WiBA-Checklisten des BSI ist das Thema unter «Mobile Endgeräte» zu finden.

Grundkonfiguration jedes Geräts

Sperre und Verschlüsselung

Eine Bildschirmsperre mit ausreichend langer PIN oder Passwort, ergänzt durch Biometrie, und eine kurze automatische Sperrzeit. Aktuelle Smartphones verschlüsseln den Speicher, sobald eine Sperre gesetzt ist; das sollte überprüft werden.

Updates

Das BSI empfiehlt, Updates zeitnah zu installieren und die automatische Update-Funktion zu nutzen. Bei der Beschaffung ist wichtig, wie lange der Hersteller Sicherheitsupdates zusagt. Neue Geräte sollten vor der Inbetriebnahme auf den aktuellen Stand gebracht werden.

Apps

Apps nur aus den offiziellen Stores der Hersteller, Berechtigungen kritisch prüfen und nicht benötigte Apps entfernen. Im Betrieb kann ein MDM festlegen, welche Apps erlaubt sind, und dienstliche Apps zentral verteilen.

Schnittstellen

Bluetooth, WLAN und Standortdienste nur einschalten, wenn sie gebraucht werden. Automatisches Verbinden mit offenen WLANs vermeiden.

Mobile Device Management

Was ein MDM leistet

• Geräte zentral registrieren und einer Person zuordnen,
• Sicherheitsrichtlinien durchsetzen, etwa Sperre, Verschlüsselung und Mindestversion des Betriebssystems,
• E-Mail, WLAN und VPN zentral konfigurieren,
• Apps verteilen, sperren oder entfernen,
• Updates überwachen und veraltete Geräte erkennen,
• verlorene Geräte orten, sperren oder löschen,
• den Zugriff auf Firmendaten nur von konformen Geräten erlauben.

Firmen- und private Geräte

Für Firmengeräte kann das MDM das gesamte Gerät verwalten. Für private Geräte, die dienstlich genutzt werden, sind getrennte Arbeitsbereiche das Mittel der Wahl: Android bietet ein Arbeitsprofil, Apple eine getrennte Verwaltung dienstlicher Daten bei privaten Geräten. Der Betrieb verwaltet dann nur den dienstlichen Teil und kann diesen gezielt löschen, ohne private Fotos oder Kontakte anzutasten.

Einführung

1. Bestand erfassen: Welche Geräte greifen auf Firmendaten zu?
2. Entscheidung treffen: nur Firmengeräte oder auch private Geräte mit Arbeitsbereich?
3. Richtlinien festlegen: Sperre, Mindestversion, erlaubte Apps, Umgang mit Verlust.
4. Geräte registrieren, beginnend mit denen der Geschäftsleitung und der Administration.
5. Zugriff auf E-Mail und Cloud-Daten für nicht registrierte Geräte sperren.

Datenschutz und Transparenz

Ein MDM kann je nach Konfiguration Standort, installierte Apps oder Gerätedaten sehen. Mitarbeitende sollten wissen, was der Betrieb einsehen kann und was nicht. Bei privaten Geräten ist das besonders wichtig. Gegebenenfalls sind Datenschutzbeauftragte und Betriebsrat einzubinden.

Smartphone als zweiter Faktor

Häufig dient das Diensthandy als zweiter Faktor für E-Mail, VPN oder Cloud-Dienste. Geht es verloren, müssen die Konten trotzdem erreichbar bleiben. Deshalb gehören Ersatzfaktoren und ein geregelter Ablauf zum Zurücksetzen dazu. Das BSI empfiehlt, mehr als einen zweiten Faktor zu hinterlegen.

Verlust und Diebstahl

1. Sofort melden, rund um die Uhr erreichbar.
2. Gerät per MDM sperren und, wenn keine Aussicht auf Wiederfinden besteht, löschen.
3. Passwörter der auf dem Gerät gespeicherten Konten ändern und Sitzungen beenden.
4. Den Mobilfunkanbieter informieren, damit die SIM-Karte gesperrt wird.
5. Prüfen, ob personenbezogene Daten betroffen und Meldepflichten zu beachten sind.

Ausmusterung

Vor Rückgabe, Weitergabe oder Verkauf werden Geräte vollständig auf Werkseinstellungen zurückgesetzt und aus dem MDM sowie aus den Konten der Hersteller entfernt. Andernfalls bleibt das Gerät für den neuen Besitzer gesperrt oder alte Daten sind noch zugänglich.

Beschaffung und Plattformwahl

Bei der Beschaffung entscheidet sich viel. Wichtig sind die Dauer der zugesagten Sicherheitsupdates, die Unterstützung durch das gewählte MDM und die Möglichkeit, Geräte direkt bei der Beschaffung für die zentrale Verwaltung zu registrieren. Hersteller und Händler bieten dafür Verfahren an, mit denen ein neues Gerät beim ersten Einschalten automatisch die Firmenkonfiguration erhält. Einheitliche Modelle vereinfachen Verwaltung, Ersatz und Support.

Messenger und Kommunikation

Messenger sind praktisch, aber dienstliche Kommunikation mit Kundendaten über private Konten ist kaum zu kontrollieren. Legen Sie fest, welcher Dienst für dienstliche Nachrichten genutzt wird, und sorgen Sie dafür, dass Inhalte beim Austritt einer Person beim Betrieb bleiben. Für vertrauliche Inhalte sollte ein Dienst mit Ende-zu-Ende-Verschlüsselung gewählt werden, der zu Ihren Datenschutzanforderungen passt.

Typische Lücken

• Firmenmail auf privaten Handys ohne jede Verwaltung.
• Gemeinsam genutzte Tablets ohne Sperre, etwa in Werkstatt oder Lager.
• Alte Geräte ohne Updates, die als Zweitgerät weiterlaufen.
• Messenger-Gruppen mit Kundendaten auf privaten Geräten.

Diese Lücken lassen sich meist mit der ohnehin vorhandenen Geräteverwaltung schließen, sobald klar ist, welche Geräte überhaupt auf Firmendaten zugreifen.