Wien. Die zunehmende Kombination aus privater und geschäftlicher Nutzung von technischen Geräten wie Smartphones & Co stellt Unternehmen und Institutionen vor neue datenschutz- und arbeitsrechtliche Herausforderungen.
Mitarbeiter und Führungskräfte in Österreich agieren bei „Bring your own device“ (kurz „BYOD“) viel zu oft im regelfreien Raum, warnt Deloitte. Angesichts zunehmender Cyber-Kriminalität und Hacking-Attacken, die ganze Organisationen lahmlegen, erscheine dieser unbekümmerte Umgang mit dem Thema geradezu fahrlässig, heißt es.
Das Grundproblem der Präsenz von privaten Handys und Tablets im Berufsalltag: Jedes dieser Geräte vergrößert die Zahl potenzieller Sicherheitslücken und Gefahrensituationen – und die unternehmenseigene IT-Abteilung hat nur beschränkt bis gar nicht die Möglichkeit, Einfluss zu nehmen. Beispiele:
- Der Arzt einer Klinik, dessen Kinder in einem unbeobachteten Moment E-Mails mit Krankenakten von seinem iPad verschicken.
- Der Vorstand eines High-Tech-Forschungsunternehmens, dessen Smartphone mit hochsensiblen Daten-Codes am Flughafen vertauscht wird.
- Die plötzliche Erkrankung einer Schlüsselmitarbeiterin in der Versicherungsbranche, die vertrauliche Analysen auf ihrem Tablet gespeichert hat.
Im Zusammenhang mit BYOD sollte laut Deloitte daher ein Hauptaugenmerk auf Datensicherheit und -schutz gelegt werden.
Besonders für Führungskräfte, die sensible Daten auf ihren eigenen IT-Geräten gespeichert haben oder für die Sicherheit von Firmendaten auf den privaten Geräten ihrer MitarbeiterInnen verantwortlich sind, sei ein klarer Rahmen das Gebot der Stunde, heißt es in einer Aussendung.
„Wie sich jedoch in der Praxis zeigt, bleiben selbst die umfassendsten Regelungen graue Theorie, wenn sie in Unternehmen und Institutionen nicht gelebt und von allen – also auch von Vorständen oder der Geschäftsführung – angewendet werden“, erklärt Karin Mair, Certified Fraud Examiner und Partnerin bei Deloitte Österreich.
„Tragweite wird unterschätzt“
„Die Tragweite wird in vielen Unternehmen grob unterschätzt. Um alle schutzwürdigen Daten zu definieren und solide BYOD-Vereinbarungen zu entwickeln, müssen nicht nur die klassischen Fachabteilungen IT und HR eingebunden werden, sondern idealerweise auch Sicherheitsbeauftragte, Compliance-Verantwortliche und der Betriebsrat“, so Mair.
Mit den drei Services Computer Forensics, Data Analytics und Electronic Discovery unterstützt Deloitte Forensic vor allem Kunden im Public Sector, in Gesundheitsinstitutionen, der Finanzindustrie und Unternehmen der Produktionsindustrie.
Der erste Schritt sei, sie grundsätzlich mit BYOD-Risiken vertraut zu machen: „Es braucht ein Umdenken bei den Entscheidungsträgern in zweierlei Hinsicht. Erstens geht es darum, die datenschutzrechtliche Tragweite von BYOD zu verstehen, und zweitens muss ein Bewusstsein dafür geschaffen werden, dass ein lascher Umgang mit technischen Geräten dem vorsätzlichen Missbrauch geradezu in die Hände spielt und heutzutage fahrlässig ist“, erklärt Mair.
Unternehmen verlieren Kontrolle über Daten
„Problematisch ist auch die Synchronisation privater Endgeräte mit anderen privaten IT-Geräten oder privat genutzten Online-Diensten, da in diesen Fällen die dienstlichen Daten nicht mehr durch die vom Unternehmen getroffenen Datenschutzmaßnahmen gesichert sind“, warnt Datenschutzexperte Rainer Knyrim von Preslmayr Rechtsanwälte.
Mair und Knyrim raten zum Einsatz einer MDM (Mobile-Device-Management)-Software, die eine getrennte Speicherung von privaten und beruflichen Daten sicherstellt. Dazu muss der Besitzer des Gerätes der Installation der MDM-Software – und damit auch einem etwaigen externen Datenzugriff, beispielsweise im Falle eines Verlustes des Gerätes – zustimmen.
Um das Bewusstsein für die datenschutzrechtlichen Aspekte bei den Mitarbeitern zu erhöhen und missbräuchlicher Verwendung vorzubeugen, empfiehlen sie weiters eine schriftliche Vereinbarung. „Hier geht es vor allem darum, die Rechte, aber auch die Pflichten aufzuzeigen, die mit BYOD einhergehen“, so Knyrim.
Um auf die Risiken von BYOD aufmerksam zu machen, führen Forensiker Demonstrationen mit privat genutzten Geräten durch. Der „Aha“-Effekt stelle sich meist sehr schnell ein, erzählen Michael Meixner und Lukas Reiter von Deloitte Forensic.
Link: Deloitte