Das steckt hinter BYOD
Die Idee hinter „Bring Your Own Device“ (BYOD) ist schnell erklärt. Die Beschäftigten nutzen privat beschaffte IT, etwa Notebook und Smartphone, und zwar eben auch im Zusammenhang mit der Arbeit für Ihr Unternehmen. Auf den ersten Blick bringt die Idee viele Vorteile mit sich. So kann jeder Mitarbeiter das Gerät nutzen, mit dem er am besten zurechtkommt. Das steigert die Zufriedenheit. Und Ihr Unternehmen muss nicht viel Geld für Geräte, Management und Support ausgeben. Das macht der Mitarbeiter selbst. Ihr Unternehmen spart richtig viel Geld. Doch was wie Werbeversprechen aus Hochglanzbroschüren daherkommt, steckt voller Risiken.
Ziehen Sie den Zahn schnellstens
Kommen Sie in die Situation, dass Sie als Datenschutzbeauftragter zu BYOD Stellung nehmen sollen, brauchen Sie nicht lange grübeln. Zeigen Sie die folgenden Risiken auf. Diese lassen sich meist nicht wirklich so minimieren, dass man sie hinnehmen könnte. Im Ergebnis muss es heißen: Finger weg von BYOD!
Risiko Nr. 1: BYOD ist selten ein Kostensenker
Meist wird nur Pi mal Daumen kalkuliert. Zwar sieht man die Kosten, die man sich für Geräte sparen könnte. Übersehen werden jedoch die Kosten, die unter Umständen durch BYOD sogar in die Höhe getrieben werden. Zu nennen sind hier Kosten für Support, für ein Device-Management oder Lizenzen. So muss der Support viele Gerätetypen und Modelle abdecken, etwa im Zusammenhang mit Sicherheitseinstellungen und Updates. Auch bei Software erhöht sich nicht nur der Betreuungsaufwand. Auch Lizenzkosten können steigen, wenn etwa Mengenrabatte nicht mehr greifen.
Risiko Nr. 2: Kontrollverlust
Ihr Unternehmen ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Um die Verarbeitung sicher zu machen, müssen angemessene Schutzmaßnahmen ergriffen werden. Genau das kann mit BYOD zum Ding der Unmöglichkeit werden. Ihr Unternehmen bleibt für seine Verarbeitungen durch die Beschäftigten voll verantwortlich. Da ist es egal, ob die auf deren Geräten stattfindet. Die Kontrolle, was wie mit den Daten passiert, gibt es jedoch in die Hände der Beschäftigten. Meist ist das keine gute Idee.
Risiko Nr. 3: Freiwilligkeit kann zum Problem werden
Schon arbeitsrechtlich ist klar: Ihr Unternehmen muss den Beschäftigten einen funktionsfähigen Arbeitsplatz zur Verfügung stellen. Das gilt auch für die Arbeitsmittel. Kein Arbeitnehmer muss diese mitbringen oder bereitstellen. Also geht BYOD nur freiwillig und auf Einwilligungsbasis. Gerade wenn Ihr Unternehmen auf Privatgeräten Software installieren oder darauf Zugriff nehmen will, braucht es die Einwilligung des Betroffenen. Und die ist im Beschäftigungsverhältnis immer problematisch. Außerdem: Einwilligungen können ohne Weiteres widerrufen werden. Sagt ein Mitarbeiter Nein zu BYOD, muss Ihr Unternehmen Alternativlösungen haben. Und die werden dann aufwendig und teuer.
Risiko Nr. 4: Ärger mit Lizenzen
Nur weil Software funktioniert, darf sie noch lange nicht für Ihr Unternehmen genutzt werden. Privat beschaffte Software, Shareware oder Open-Source-Programme dürfen oft eben nur für nicht gewerbliche Zwecke eingesetzt werden. Das bedeutet, dass Ihr Unternehmen alle Lizenzen der auf den Privatgeräten eingesetzten Software prüfen muss. Macht es das nicht und wird dem Rechteinhaber ein Lizenzverstoß bekannt, wird es meist sehr teuer. Nachlizenzierungen oder Schadensersatzforderungen sprengen schnell jede Portokasse.
Risiko Nr. 5: Sicherheit ist Glückssache
Sie wissen als Datenschutzexperte: Um die Sicherheit bei der Verarbeitung personenbezogener Daten zu gewährleisten, muss die eingesetzte Technik auf der Höhe der Zeit sein. Das gilt besonders für Betriebssysteme und Software. Doch wie will Ihr Unternehmen z. B. das unverzügliche Aktualisieren bei Privatgeräten sicherstellen? Passiert das nicht, haben Cyberkriminelle leichtes Spiel.
Risiko Nr. 6: Unbefugte sind ein großes Risiko
Privatgeräte werden unter Umständen auch von Familienangehörigen oder Freunden genutzt. Was diese mit dem Gerät anstellen oder welchen Cyberrisiken sie sich aussetzen, kann Ihr Unternehmen nicht steuern. Weiteres Problem: Unbefugte dürfen keinen Zugriff auf die personenbezogenen Daten aus Ihrem Unternehmen haben. Auch das wäre eine meldepflichtige Datenpanne.
Risiko Nr. 7: Bestimmte Daten oder Personengruppen wären außen vor
Auch bei BYOD müsste Ihr Unternehmen weiterhin für bestimmte Daten (etwa Gesundheitsdaten) bzw. Personengruppen (z. B. Betriebsrat) Geräte und Software bereitstellen. Sensible Daten oder Informationen im Zusammenhang mit Beschäftigten haben nichts auf Privatgeräten verloren.
