Software zur BYOD-Unterstützung

Smartphones und Tablets gehören längst zum Firmenalltag. Bislang gaben allerdings die Unternehmen ihren Mitarbeitern vor, welche Geräte verwendet werden durften. Mit dem Aufkommen von Bring your own Device (BYOD) wandelt sich diese Praxis nun aber. Viele Firmen haben längst begriffen, dass sie es nicht verhindern können, dass Mitarbeiter ihre privaten Geräte mit dem Firmennetz verbinden oder darüber geschäftliche E-Mails abrufen. «Die Mitarbeiter wollen mobil sein und auf ihren eigenen Geräten arbeiten. Dieser Trend lässt sich nicht stoppen, und die Arbeitgeber müssen darauf reagieren», ist etwa Edi Truttmann, Sales Leader Borderless Network bei Cisco Schweiz, überzeugt. In dieselbe Kerbe haut Carsten Horst, Senior Architect Security Service bei IBM Schweiz: «Auch wenn Unternehmen BYOD offiziell nicht unterstützen, so ist es doch wahrscheinlich, dass Mitarbeiter persönliche Geräte, insbesondere Smartphones und Tab­lets, für Geschäftszwecke verwenden.» Und auch bei SAP ist man der Ansicht, dass bereits heute viele Mitarbeiter ihre mobilen Geräte auch für geschäftliche Zwecke nutzen, oft ohne Wissen des Arbeitgebers.

Anstatt sich als Unternehmen also dagegen zu sträuben, empfiehlt sich das Aufsetzen einer BYOD-Strategie. Dazu gehört auch der Einsatz von Security- oder Management-Software, die sich um die Sicherheit, die Verwaltung und die Organisation der Geräte kümmert. Die nachfolgende Marktübersicht – ohne Anspruch auf Vollständigkeit – liefert einen Überblick darüber, welche Lösungen für BYOD bereits auf dem Markt verfügbar sind.

Keine Frage der Firmengrösse

Die Mehrheit der an der Marktübersicht teilnehmenden Software-Anbieter ist sich einig, dass die Unternehmensgrösse oder die Branche bei der Umsetzung einer BYOD-Strategie keine entscheidende Rolle spielt. Frank Thonüs, Managing Director bei Symantec Switzerland, etwa meint: «BYOD ist keine Frage der Firmengrösse, sondern der
-Kultur und des -Images.» Allerdings fügt Edi Truttmann von Cisco an: «Wir stellen fest, dass besonders mittlere und grosse Unternehmen Bedarf nach einer BYOD-Strategie haben.» Zustimmung erhält er dabei von Tony Bernal, Country Manager Switzerland bei Citrix Systems, der festhält, dass es für die Einführung von BYOD einiges an Ressourcen und Know-how braucht: «Damit geht sicher auch eine gewisse Mindestgrösse des Unternehmens einher.» «Unternehmen sollen BYOD unabhängig von der Grösse umsetzen, wenn sie folgende Bedingungen umsetzen: Bedürfnis und Nutzen sind vorhanden, und das Unternehmen ist bereit, sich seriös mit den dadurch entstehenden Risiken und allfälligen Massnahmen zu beschaffen», erklärt derweil Roman Hugelshofer, Leiter Abteilung Web Application Security bei Ergon. Und François Tschachtli, Country Manager Switzerland & International bei Norman Data Defense Systems, ergänzt: «Die Frage ist, in welchem Rahmen eine BYOD-Strategie technisch machbar und kommerziell auch vorteilhaft ist.» Vorteile, wenn man den Angestellten bei den Endgeräten die freie Wahl lässt, sind die erhöhte Mitarbeitermotivation und Produktivität, meint ein Grossteil der Software-Hersteller einstimmig. Nebst der grösseren Zufriedenheit der Mitarbeiter spielt aber auch eine mögliche Kostenersparnis eine Rolle. «Generell kann der Betrieb mit einer BYOD-Strategie Geld sparen, da er keine Geräte beschaffen muss», erklärt Martin Ottiger, CEO von Comdirect, und bekommt Unterstützung von Rolf Haas, Principal Security Engineer bei Mcafee: «Die Vorteile liegen klar auf der Hand: Kosteneinsparungen im Bereich Hardware-Beschaffung — da ja die Kosten durch den jeweiligen Mitarbeiter getragen werden.»

Richtlinien ja, aber nicht zu restriktiv

Bevor ein Unternehmen eine BYOD-Strategie umsetzt, muss es einige Dinge beachten. So empfiehlt etwa Pierre Aeschlimann, CTO Office EMEA bei BMC Software, die Erstellung von Unternehmensrichtlinien für die anfängliche Integration, den Betrieb und das Abschalten der Geräte. «Dabei ist die Kompatibilität der vorhandenen internen IT-Anwendungen mit den verschiedensten Endgeräten der Teilnehmer besonders wichtig», so Aeschlimann.
Bei SAP empfindet man derweil die Beachtung von branchenspezifischen, gesetzlichen Bestimmungen als wichtig. Einzelne Industrien wie etwa das Gesundheitswesen oder die Finanzindustrie seien gezwungen, strengere Richtlinien einzuführen, um mit den für die
Branche datenrechtlichen Bestimmungen konform zu sein. Aber auch die Beachtung lokaler Gesetze ist laut SAP nicht zu vernachlässigen. «Nebst technischen und Sicherheitsaspekten sollten geschäftsrelevante Prozesse wie beispielsweise der Support von Mitarbeiter-eigener Hardware sowie rechtliche Fragestellungen geklärt werden», rät Manuel Michaud, Windows-Verantwortlicher bei Microsoft Schweiz. Unterstützung erhält Michaud dabei von François Tschachtli von Norman, für welchen der Sicherheitsaspekt im Vorfeld einer BOYD-Einführung eine zentrale Rolle spielt, aber auch regulatorische Fragen respektive die Einhaltung von Compliance-Richtlinien geklärt sein müssen. Auch Jean-Jacques Suter, CEO von Sage Schweiz, rät zur vorherigen Klärung von rechtlichen Fragen, und meint damit etwa, «was passiert, wenn ein Mitarbeiter mit seinem Gerät einen Schaden verursacht oder wenn ein privates Gerät beschädigt wird».

Frank Thonüs von Symantec warnt indes vor zu starken Restrik­tionen: «Einerseits geht es darum, die Unternehmen vermehrt für die Gefahren aus dem Mobilbereich zu sensibilisieren. Andererseits muss aber auch eine Überreaktion vermieden werden – sprich ein restriktives Mobile Device Management, das die Mitarbeiter mehr am Arbeiten behindert als unterstützt.» Und Pierre Aeschlimann von BMC Software rät: «Die Sperrung und Kontrolle von spezifischen unternehmenskritischen Daten ist individuell und je nach Einsatzgebiet abzuwägen.» Martin Ottiger von Comdirect geht derweil sogar noch ein bisschen weiter: «Es dürfen keine Einschränkungen in Bereichen vorgenommen werden, die der Benutzer im privaten Umfeld nutzt. Zum Beispiel In-App-Käufe, Youtube-Zugriff, Foto und Musik dürfen nicht gesperrt werden.» Dennoch müsse aber sichergestellt werden, dass private und geschäftliche Daten klar getrennt seien. Auch bei Amagu ist man der Meinung, dass das Regelwerk nicht zu streng sein sollte. Denn gerade strenge Regeln würden die Mitarbeiter dazu verleiten, diese zu umgehen und das wiederum erhöhe das Sicherheitsrisiko. Toni Bernal von Citrix Systems erklärt derweil: «Um das Potential dieses Modells wirklich voll ausschöpfen zu können, macht es keinen Sinn, nur punktuell private Geräte zu unterstützen. Erst mit einer vollständig zentralisierten IT-Infrastruktur mit gehosteten virtuellen Desktops, Rollen-basierten Rechtevergabe und zentral verwaltetem Anwendungs- und Datenbestand wird das Maximale aus dem BYOD-Ansatz herausgeholt.»

BYOD ohne Risiko

«Nichts ist ohne Risiko, auch eine BYOD-Strategie nicht», betont François Tschachtli von Norman. Und Stephan Siegrist, Mitglied der Geschäftsleitung von United Security Providers, stellt klar: «BYOD ist immer ein Risiko, hundertprozentige Sicherheit gibt es auch hier nicht.» Um das Risiko aber möglichst klein zu halten, empfiehlt Roman Hugelshofer von Ergon in einem ersten Schritt «auf jedem Gerät eine lokale Authentisierung zu verlangen» und rät zudem zur Sensibilisierung der Mitarbeiter.
Walter Jäger, General Manager DACH bei Kaspersky Lab, meint derweil: «Die Unternehmens-IT muss sich bewusst sein, dass eigene Geräte genutzt werden. Und sie sollte auch wissen, welche Geräte das sind. Denn nur dann können diese in die Sicherheits-Policies eingebunden und das Risiko minimiert werden.» Und Udo Schneider, Solution Architect bei Trend Micro, fordert die Festlegung von Richtlinien, Strategien und Kontrollmechanismen, die festlegen, welche Anwendungen der einzelne Mitarbeiter nutzen darf und wo er die Informa­tionen speichern darf. Unterstützung erhält er dabei von Carsten Horst von IBM, der genau festgehalten haben will, wer mit welcher Geräteklasse unter welchen Sicherheitsmassnahmen berechtigt sei, am BYOD-Programm teilzunehmen. Denn: «Es ist wahrscheinlich, dass nicht alle Job-Rollen, Datentypen und Geräteklassen für ein BYOD-Programm geeignet sind.»
(abr)