Richtlinien für Mobile Device Management (MDM) und BYOD

Mobile Geräte — Smartphones und Tablets — enthalten geschäftliche E-Mails, VPN-Anmeldedaten, Authentifizierungs-Apps und vertrauliche Dokumente, verlassen den physischen Sicherheitsbereich der Organisation jedoch täglich. Ein verlorenes oder gestohlenes Gerät stellt unmittelbar ein Risiko für einen Datenverstoß dar. Beschäftigte verwenden bei der Arbeit außerdem persönliche Geräte (BYOD), wodurch geschäftliche und persönliche Daten auf Hardware vermischt werden, die nicht von der Organisation kontrolliert wird. Mobile Device Management (MDM) verschafft IT-Teams Transparenz und Kontrolle über mobile Endpunkte, um Sicherheitsrichtlinien unabhängig davon durchzusetzen, wohin die Geräte mitgenommen werden.

Drei verwandte Abkürzungen decken das Spektrum der mobilen Verwaltung ab. MDM (Mobile Device Management) steuert das gesamte Gerät: Verschlüsselung erzwingen, Bildschirme sperren, Fernlöschung und Zertifikatsbereitstellung. MAM (Mobile Application Management) verwaltet nur bestimmte Unternehmens-Apps — nützlich bei BYOD, wenn eine vollständige Gerätekontrolle nicht angemessen ist. EMM (Enterprise Mobility Management) ist der Oberbegriff für MDM + MAM + Mobile Content Management. Moderne Plattformen (Microsoft Intune, Jamf, VMware Workspace ONE) integrieren alle drei Funktionen und verwalten neben mobilen Geräten auch Laptops und Desktopcomputer.

Geräte müssen im MDM registriert werden, bevor Richtlinien angewendet werden können. Unternehmenseigene Geräte können über eine Massenbereitstellung registriert werden: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch oder Windows Autopilot weisen beim ersten Start automatisch ein MDM-Profil zu — das Gerät wird verwaltet, bevor die beschäftigte Person es überhaupt in die Hand nimmt. Für die BYOD-Registrierung muss die beschäftigte Person eine Company-Portal-App installieren oder einen QR-Code scannen. Das MDM-Profil installiert ein Verwaltungszertifikat, mit dem der MDM-Server Richtlinien übertragen, das Gerät löschen oder den Compliance-Status abfragen kann.

Nach der Registrierung setzt MDM Sicherheitsrichtlinien auf dem Gerät durch. Anforderungen an Passcode/PIN: Mindestlänge, Komplexität, Sperrung nach fehlgeschlagenen Versuchen. Verschlüsselung: vollständige Geräteverschlüsselung erzwingen (FileVault, BitLocker, Android FBE). Timeout der Bildschirmsperre: spätestens nach 5 Minuten Inaktivität sperren. Erkennung von Jailbreak/Root: manipulierte Geräte automatisch markieren oder unter Quarantäne stellen. Mindestversion des Betriebssystems: Geräten mit veralteten, nicht mehr unterstützten Betriebssystemversionen den Zugriff auf Unternehmensressourcen verweigern. Allowlist/Blocklist für Apps: Auf Unternehmenseigenen Geräten nur genehmigte Apps zulassen.

Fernlöschung ermöglicht es der IT, alle Daten auf einem verlorenen oder gestohlenen Gerät zu löschen. MDM-Plattformen bieten zwei Arten: vollständige Löschung (Zurücksetzen auf die Werkseinstellungen, alle Daten werden gelöscht) und selektive Löschung (nur Unternehmensdaten werden entfernt — E-Mails, VPN-Profile, verwaltete Apps — während persönliche Fotos und Apps erhalten bleiben). Bei BYOD ist die selektive Löschung unverzichtbar, da Beschäftigte dem Verlust persönlicher Daten nicht zugestimmt haben. Durch die Kombination von Fernlöschung und Standortverfolgung lässt sich feststellen, ob ein Gerät tatsächlich verloren gegangen oder gestohlen worden ist, bevor die Löschung ausgelöst wird. Dadurch wird ein versehentlicher Datenverlust reduziert.

MDM kann digitale Zertifikate unbemerkt auf verwaltete Geräte übertragen und so eine starke Authentifizierung ohne Beteiligung der Benutzer ermöglichen. Anwendungsfälle: Wi-Fi-802.1X-Zertifikate, die das Gerät ohne gemeinsam genutzte Passphrase am Unternehmens-WLAN authentifizieren, VPN-Clientzertifikate für die zertifikatsbasierte VPN-Authentifizierung sowie Zertifikate zur E-Mail-Signierung und -Verschlüsselung (S/MIME) für die Ende-zu-Ende-Sicherheit von E-Mails. Von der unternehmenseigenen PKI ausgestellte und über MDM bereitgestellte Zertifikate vermeiden die Schwäche von PSK-Wi-Fi-Netzwerken, bei denen ein einziger gemeinsam genutzter Schlüssel jedem Gerät im Netzwerk Zugriff gewährt.

Eine BYOD-Richtlinie regelt, wie persönliche Geräte auf Unternehmensressourcen zugreifen dürfen. Zentrale Richtlinienbestandteile: Berechtigung (unterstützte Betriebssystemversionen und Gerätetypen), Registrierungspflicht (verpflichtende MDM- oder MAM-Registrierung vor dem Zugriff), Datentrennung (Unternehmensdaten ausschließlich in verwalteten Apps/Containern), Supportgrenzen (die IT unterstützt Unternehmens-Apps, nicht Probleme mit persönlichen Geräten), Datenschutzhinweis (welche Daten MDM vom Gerät erfasst — eine App-Inventarliste ist üblich, persönliche Fotos jedoch nicht) und Beendigungsverfahren (selektive Löschung beim Ausscheiden).

Mobile-Threat-Defense-(MTD)-Tools (Lookout, Zimperium, Microsoft Defender for Endpoint on mobile) ergänzen mobile Geräte um verhaltensbasierte Bedrohungserkennung, ähnlich wie EDR auf Desktopcomputern. MTD erkennt: schädliche Apps, Netzwerkangriffe (MITM in nicht vertrauenswürdigen WLANs), Exploits auf Betriebssystemebene und abnormales Geräteverhalten. MTD ist in MDM integriert, sodass ein Ereignis der Bedrohungserkennung das Gerät automatisch als nicht konform markiert und den Zugriff auf Unternehmensressourcen über Conditional Access blockiert, bis die Bedrohung behoben ist. Damit wird die Lücke geschlossen, die einfache MDM-Compliance-Richtlinien hinterlassen.

Mobile Geräte, die außerhalb des Büros auf Unternehmensressourcen zugreifen, sollten ein mobiles VPN oder ein Per-App-VPN verwenden, das nur den Datenverkehr bestimmter Apps tunnelt. Ein Per-App-VPN (von MDM unterstützt) leitet den Datenverkehr verwalteter Apps durch das VPN, während der Datenverkehr persönlicher Apps direkt ins Internet geht — dadurch werden Datenschutzbedenken und der VPN-Bandbreitenbedarf reduziert. In Verbindung mit Conditional-Access-Richtlinien (Azure AD, Okta) können Organisationen verlangen, dass ein Gerät MDM-registriert und konform ist, bevor der Zugriff auf Unternehmens-E-Mails, SharePoint oder interne Anwendungen gewährt wird.

MDM kann umfangreiche Daten über ein Gerät erfassen: Standortverlauf, installierte Apps, Netzwerkverbindungen und Statistiken zur Gerätenutzung. Auf BYOD-Geräten entsteht dadurch ein Spannungsfeld zwischen den Sicherheitsanforderungen des Unternehmens und der Privatsphäre der Beschäftigten. Bewährte Vorgehensweisen: Legen Sie vor der Registrierung in der BYOD-Richtlinie klar offen, welche Daten MDM erfasst, verwenden Sie bei BYOD ausschließlich MAM, um persönliche Bereiche nicht anzutasten, und vermeiden Sie die kontinuierliche Standortverfolgung auf persönlichen Geräten. In einigen Rechtsordnungen ist die Überwachung persönlicher Geräte durch Arbeitgeber gesetzlich eingeschränkt. Eine rechtliche Prüfung der BYOD-Richtlinie vor ihrer Einführung ist in global tätigen Organisationen unerlässlich.

Eine Alternative zu vollständigem MDM bei BYOD ist ein Ansatz mit einem containerisierten Arbeitsbereich. Lösungen wie Samsung Knox, BlackBerry Dynamics und Microsoft Managed Home Screen erstellen einen verschlüsselten, verwalteten Container auf dem Gerät. Unternehmens-Apps und -Daten befinden sich innerhalb des Containers, persönliche Apps außerhalb. Die IT kann ausschließlich den Container löschen, sodass persönliche Daten unangetastet bleiben. Der Container setzt unabhängig von den Betriebssystemeinstellungen des Geräts eine eigene PIN, Verschlüsselung und App-Richtlinie durch und bietet damit hohe Sicherheit, ohne eine geräteweite MDM-Registrierung zu erfordern.

Testen Sie Ihr Verständnis der CompTIA Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: MDM setzt Verschlüsselungs-, Passcode-, Sperr- und Compliance-Richtlinien auf Mobilgeräten durch und bietet die Möglichkeit zur Remote-Löschung. BYOD-Richtlinien bringen Unternehmenssicherheit und den Datenschutz der Mitarbeitenden mithilfe selektiver Löschung und einer reinen MAM-Verwaltung ins Gleichgewicht. MDM in Kombination mit Conditional Access stellt sicher, dass nur registrierte und konforme Geräte auf Unternehmensressourcen zugreifen können. Als Nächstes geht es um hostbasierte Firewalls und Application Allowlisting.