BYOD einfach erklärt
Übersetzt bedeutet die Abkürzung so viel wie „das eigene Gerät mitbringen“. Der Begriff kam auf, als Smartphones im Privatleben üblich wurden und viele Beschäftigte ihre Mails und Termine auch beruflich auf dem eigenen Gerät lesen wollten. In manchen Unternehmen ist BYOD nicht förmlich beschlossen worden, sondern einfach entstanden: Jemand hat das Firmenpostfach auf dem privaten Handy eingerichtet, andere haben es nachgemacht.
Genau darin liegt das Problem. Firmendaten liegen dann auf Geräten, über die das Unternehmen keine Übersicht hat. Geht ein solches Smartphone verloren oder verlässt jemand die Firma, lassen sich die dienstlichen Daten kaum gezielt entfernen. Für personenbezogene Daten bleibt das Unternehmen dennoch verantwortlich, auch wenn sie auf einem privaten Gerät verarbeitet werden; die Grundlagen fasst der Begriff DSGVO zusammen.
BYOD und verwandte Gerätemodelle
Neben BYOD gibt es weitere Modelle, die sich in Eigentum und Freiheit unterscheiden:
- BYOD: Eigentum und Kosten des Geräts liegen bei den Mitarbeitenden; geregelt wird allein die dienstliche Nutzung.
- CYOD (Choose Your Own Device): Mitarbeitende wählen aus einer Liste von Geräten, die das Unternehmen kauft und verwaltet.
- COPE (Corporate Owned, Personally Enabled): Das Firmengerät darf auch privat genutzt werden, nach festgelegten Regeln.
- Reines Firmengerät: Das Gerät dient ausschließlich der Arbeit und wird umfassend verwaltet.
Welches Modell zu welchem Betrieb passt, hängt von den Daten auf dem Gerät und vom Aufwand ab, den ein Unternehmen tragen will. Die Kriterien stellt unser Vergleich BYOD vs. Firmengerät gegenüber.
Wie Firmendaten auf privaten Geräten geschützt werden
Ein privates Gerät komplett unter Firmenkontrolle zu stellen, wäre unverhältnismäßig. Infrage kommen abgestufte Wege:
- Nur über den Browser: Firmenanwendungen werden im Browser genutzt, auf dem Gerät bleibt kaum etwas zurück. Das passt für gelegentliche Zugriffe.
- Geschützte Apps: Regeln gelten nur für die dienstlichen Apps und das Firmenkonto, etwa eine eigene PIN oder ein Verbot, Inhalte in private Apps zu kopieren. Mit Microsoft Intune lässt sich das je nach Lizenz ohne Einbindung des ganzen Geräts einrichten.
- Getrennter Arbeitsbereich: Manche Betriebssysteme bieten einen abgeschotteten Bereich für Firmen-Apps, der sich getrennt vom privaten Teil löschen lässt.
Ergänzend kann der Zugriff auf Microsoft 365 an Bedingungen geknüpft werden, etwa an eine aktuelle Betriebssystemversion oder die Nutzung geschützter Apps. Solche Anmelderegeln sind Teil der Microsoft 365 Verwaltung und hängen von der Lizenz ab. Den Hintergrund zur zentralen Geräteverwaltung erklärt der Begriff Mobile Device Management.
Regeln, Datenschutz und Mitbestimmung
Vor der Technik steht eine schriftliche Vereinbarung. Sie klärt unter anderem, ob die Teilnahme freiwillig ist, für welche Apps sie gilt und welche Einblicke das Unternehmen in das Gerät erhält. Ebenso gehört hinein, wie bei Verlust zu verfahren ist und was beim Austritt mit den Firmendaten geschieht. Sinnvoll sind außerdem Absprachen zu einem Zuschuss für das Gerät und dazu, wobei die IT hilft und wobei nicht.
Datenschutz gilt dabei in beide Richtungen. Das Unternehmen muss die Firmendaten schützen, darf aber nicht mehr über das private Gerät erfassen als nötig. Gibt es einen Betriebsrat, kann sein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG berührt sein. Ob das zutrifft, klären Sie am besten frühzeitig; diese Hinweise sind keine Rechtsberatung.
Private Smartphones der Schichtleitungen im Hotel
Angenommen, in einem Hotel mit 40 Beschäftigten nutzen die Schichtleitungen ihre privaten Smartphones für dienstliche Mails und für Chats in Microsoft Teams. Per Mail kommen täglich Anreiselisten mit Namen, Telefonnummern und Sonderwünschen der Gäste. Die Anhänge landen im Download-Ordner, in der privaten Cloud-Sicherung des Telefons und gelegentlich in einem privaten Messenger.
Nach der Umstellung laufen Mail und Teams in geschützten Apps mit eigener PIN. Anhänge lassen sich nur noch in der Firmenablage speichern, und Inhalte aus den Firmen-Apps lassen sich nicht mehr in private Apps einfügen. Verlässt eine Schichtleiterin das Hotel, werden nur die dienstlichen Daten entfernt; ihre privaten Bilder und Nachrichten bleiben unberührt.
Wie ProNet unterstützt
Wir richten mit Microsoft Intune die Trennung von dienstlichen und privaten Daten ein, per App-Schutz oder getrenntem Arbeitsbereich. Mit Ihnen legen wir fest, unter welchen Bedingungen private Geräte auf Microsoft 365 zugreifen dürfen. Wie wir Geräte darüber hinaus einrichten und betreuen, beschreibt unsere Seite Mobile Device Management für Unternehmen.