Das steckt hinter BYOD
Die Idee hinter „Bring Your Own Device“ (BYOD) ist schnell erklärt. Die Beschäftigten nutzen privat beschaffte IT, etwa Notebook und Smartphone, und zwar eben auch im Zusammenhang mit der Arbeit für Ihr Unternehmen. Auf den ersten Blick bringt die Idee viele Vorteile mit sich. Jeder nutzt das Gerät mit dem er am besten zurechtkommt. Das steigert die Zufriedenheit. Und Ihr Unternehmen muss nicht viel Geld für Geräte und Support ausgeben. Das macht der Mitarbeiter selbst. Doch was wie Werbeversprechen aus Hochglanzbroschüren daherkommt, steckt voller Risiken.
Ziehen Sie den Zahn schnellstens
Kommen Sie in die Situation, dass Sie als Datenschutzberater zu BYOD Stellung nehmen sollen, brauchen Sie nicht lange grübeln. Zeigen Sie die folgenden Risiken auf. Diese lassen sich meist nicht wirklich so minimieren, dass man sie hinnehmen könnte. Im Ergebnis muss es heissen: Finger weg von BYOD!
Risiko Nr. 1: BYOD ist selten ein Kostensenker
Meist wird nur Pi mal Daumen kalkuliert. Zwar sieht man die Kosten, die man sich für Geräte sparen könnte. Übersehen werden jedoch die Kosten, die unter Umständen durch BYOD sogar in die Höhe getrieben werden. Zu nennen sind hier Kosten für Support, für ein Device-Management oder Lizenzen. So muss der Support viele Gerätetypen und Modelle abdecken, etwa im Zusammenhang mit Sicherheitseinstellungen und Updates. Auch bei Software erhöht sich nicht nur der Betreuungsaufwand. Auch Lizenzkosten können steigen, wenn etwa Mengenrabatte nicht mehr greifen.
Risiko Nr. 2: Kontrollverlust
Ihr Unternehmen ist Verantwortlicher im Sinne des Bundesgesetzes über den Datenschutz. Um die Bearbeitung sicher zu machen, müssen angemessene Schutzmassnahmen ergriffen werden. Genau das kann mit BYOD zum Ding der Unmöglichkeit werden. Ihr Unternehmen bleibt für seine Bearbeitungen durch die Beschäftigten voll verantwortlich. Da ist es egal, ob die auf deren Geräten stattfindet. Die Kontrolle, was wie mit den Daten passiert, gibt es jedoch in die Hände der Beschäftigten. Meist ist das keine gute Idee.
Risiko Nr. 3: Freiwilligkeit kann zum Problem werden
Schon arbeitsrechtlich ist klar: Ihr Unternehmen muss den Beschäftigten einen funktionsfähigen Arbeitsplatz zur Verfügung stellen. Das gilt auch für die Arbeitsmittel. Kein Arbeitnehmer muss diese mitbringen oder bereitstellen. Also geht BYOD nur freiwillig und auf Einwilligungsbasis. Gerade wenn Ihr Unternehmen auf Privatgeräten Software installieren oder darauf Zugriff nehmen will, braucht es die Einwilligung des Betroffenen. Und die ist im Beschäftigungsverhältnis immer problematisch. Ausserdem: Einwilligungen können ohne Weiteres widerrufen werden. Sagt ein Mitarbeiter Nein zu BYOD, muss Ihr Unternehmen Alternativlösungen haben. Und die werden dann aufwendig und teuer.
Risiko Nr. 4: Ärger mit Lizenzen
Nur weil Software funktioniert, darf sie noch lange nicht für Ihr Unternehmen genutzt werden. Privat beschaffte Software, Shareware oder Open-Source-Programme dürfen oft eben nur für nicht gewerbliche Zwecke eingesetzt werden. Das bedeutet, dass Ihr Unternehmen alle Lizenzen der auf den Privatgeräten eingesetzten Software prüfen muss. Macht es das nicht und wird dem Rechteinhaber ein Lizenzverstoss bekannt, wird es meist sehr teuer. Nachlizenzierungen oder Schadensersatzforderungen sprengen schnell jede Portokasse.
Risiko Nr. 5: Sicherheit ist Glückssache
Sie wissen als Datenschutzexperte: Um die Sicherheit bei der Bearbeitung von Personendaten zu gewährleisten, muss die eingesetzte Technik auf der Höhe der Zeit sein. Das gilt besonders für Betriebssysteme und Software. Doch wie will Ihr Unternehmen z. B. das unverzügliche Aktualisieren bei Privatgeräten sicherstellen? Passiert das nicht, haben Cyberkriminelle leichtes Spiel.
Risiko Nr. 6: Unbefugte sind ein grosses Risiko
Privatgeräte werden unter Umständen auch von Familienangehörigen oder Freunden genutzt. Was diese mit dem Gerät anstellen oder welchen Cyberrisiken sie sich aussetzen, kann Ihr Unternehmen nicht steuern. Weiteres Problem: Unbefugte dürfen keinen Zugriff auf die Personendaten aus Ihrem Unternehmen haben. Auch das wäre eine meldepflichtige Datenpanne.
Risiko Nr. 7: Bestimmte Daten oder Personengruppen wären aussen vor
Auch bei BYOD müsste Ihr Unternehmen weiterhin für bestimmte Daten (etwa Gesundheitsdaten) bzw. Personengruppen Geräte und Software bereitstellen. Sensible Daten oder Informationen im Zusammenhang mit Beschäftigten haben nichts auf Privatgeräten verloren.
