Mobile Device Management (MDM) bezeichnet die zentrale Verwaltung von Mobilgeräten wie Smartphones und Tablets in einem Unternehmen mit einer entsprechenden Software, mit der sich Sicherheitsregeln durchsetzen und Notfallaktionen auslösen lassen.
Auf einen Blick
Neue Regelungen und die Fernlöschung dienstlicher Daten setzen eine bestehende Verbindung zum Gerät voraus.
Der IT-Grundschutz-Baustein SYS.3.2.2 behandelt mobile Betriebssysteme wie Android oder iOS, aber keine BYOD-Aspekte.
Die Delegierte Verordnung (EU) 2024/1774 zu DORA nennt für tragbare Endgeräte eine Lösung für ihr Management und für die Löschung von Daten des Finanzunternehmens durch Fernzugriff; sie richtet sich an Finanzunternehmen.
Was ist Mobile Device Management?
MDM dient der zentralen Verwaltung mobiler Geräte wie Smartphones, Tablets und unterstützter Notebooks. Nach dem BSI-Schutzprofil ist sein Zweck, die Sicherheit und Funktionalität mobiler Geräte gemäß den Unternehmensrichtlinien zu gewährleisten und das Unternehmensnetzwerk vor unberechtigtem Zugriff zu schützen. Der IT-Grundschutz-Baustein SYS.3.2.2 versteht unter Mobile Devices im Sinne dieses Bausteins Smartphones, Tablets und Phablets mit mobilen Betriebssystemen wie Android oder iOS. Notebooks und Tablets mit Desktop-Betriebssystemen werden in anderen Bausteinen der Schicht SYS beschrieben, Aspekte von „Bring your own device“ (BYOD) behandelt der Baustein nicht.
Stattet ein unter DORA fallender Versicherer seinen Außendienst mit Smartphones und Tablets aus, könnte er sie etwa per Mobile Device Management zentral verwalten und sichern; nach Artikel 11 Absatz 2 Buchstabe f Ziffer i der delegierten DORA-Verordnung gehört zu den Anforderungen an tragbare Endgeräte eine Lösung für ihr Management und für die Löschung von Unternehmensdaten durch Fernzugriff. Die delegierte Verordnung richtet sich dabei an Finanzunternehmen, die im Rahmen ihrer IKT-Sicherheitsrichtlinien ein Verfahren für die Daten- und Systemsicherheit entwickeln, dokumentieren und implementieren (Artikel 11 Absatz 1).
Wie funktioniert Mobile Device Management?
Nach SYS.3.2.2 soll das MDM die Installation, Deinstallation und Aktualisierung von Apps erzwingen, sobald eine Verbindung zum mobilen Endgerät besteht. Ist ein Gerät über einen längeren Zeitraum nicht mit dem MDM verbunden, können beispielsweise neue oder aktualisierte Regelungen nicht aufgespielt werden. Auch die Fernlöschung dienstlicher Daten setzt eine bestehende Datenverbindung voraus. Die delegierte DORA-Verordnung unterscheidet dabei zwischen tragbaren Endgeräten und privaten nicht tragbaren Endgeräten, für die sie jeweils Anforderungen an die sichere Nutzung nennt; zu beiden gehört eine Lösung für das Management der Endgeräte.
Zu den MDM-Funktionen zählen nach NIST SP 1800-21, einer Veröffentlichung des National Institute of Standards and Technology der USA, das Bereitstellen von Konfigurationsprofilen auf Geräten, das Durchsetzen von Sicherheitsrichtlinien auf den Geräten und das Überwachen der Einhaltung dieser Richtlinien durch die Geräte. Der Grundschutz-Baustein SYS.3.2.2 ergänzt, dass bei erhöhtem Schutzbedarf Verstöße gegen die Regelungen der Institution oder eine Manipulation des Betriebssystems mit einer geeigneten Lösung erkannt werden sollten.
Mobile Device Management (MDM) im Vergleich
Nach dem BSI-Schutzprofil für den Server-Teil einer MDM-Lösung ist Mobile Device Management ein wesentlicher Bestandteil von Enterprise-Mobility-Management (EMM) und Unified-Endpoint-Management-Systemen (UEM). Während MDM das mobile Gerät als Ganzes zentral verwaltet und darüber auch Apps verteilt, bezieht sich Mobile Application Management auf dienstliche Apps: Für deren zentrales Konfigurieren sollte nach dem Baustein APP.1.4 bei erhöhtem Schutzbedarf, falls möglich, ein Mobile Application Management verwendet werden. EMM-Lösungen enthalten nach NIST SP 1800-21 gewöhnlich eines oder mehrere der Elemente Mobile Application Management, Mobile Content Management und Container-Lösungen.
Welche Aufgaben übernimmt Mobile Device Management im Unternehmen?
| Aufgabe | Worauf es ankommt |
|---|---|
| Verstöße und Manipulation erkennen | Bei erhöhtem Schutzbedarf sollten Verstöße gegen die Regelungen der Institution oder sogar eine Manipulation des Betriebssystems mit einer geeigneten Lösung erkannt werden (Anforderung des Bausteins SYS.3.2.2). |
| Geräte vor dem Einsatz einbinden | Alle mobilen Endgeräte müssen, bevor sie eingesetzt werden, in das MDM integriert werden (Anforderung des Bausteins SYS.3.2.2). |
| Apps verteilen und aktualisieren | Apps sollten gemäß den Anforderungen des geplanten Einsatzszenarios über das MDM installiert, deinstalliert und aktualisiert werden (Anforderung des Bausteins SYS.3.2.2). |
| Zertifikate zentral verwalten | Zertifikate zur Nutzung von Diensten auf dem mobilen Endgerät sollten zentral über das MDM installiert, deinstalliert und aktualisiert werden (Anforderung des Bausteins SYS.3.2.2). |
| Gerätestatus und Konfigurationshistorie protokollieren | Der Lebenszyklus einschließlich der Konfigurationshistorie eines mobilen Endgerätes sollte ausreichend protokolliert und zentral abrufbar sein (Anforderung des Bausteins SYS.3.2.2). |
| Nutzung auf einen geografischen Bereich beschränken | Bei erhöhtem Schutzbedarf sollte durch eine Geofencing-Richtlinie sichergestellt werden, dass Geräte mit schutzbedürftigen Informationen nicht außerhalb eines zuvor festgelegten geografischen Bereichs verwendet werden können (Anforderung des Bausteins SYS.3.2.2). |
Schutz im Ernstfall
Vorbeugen
- Der Baustein SYS.3.2.2 verlangt, dass eine Strategie erarbeitet wird, die festlegt, wie Mitarbeiter mobile Endgeräte benutzen dürfen und wie die Geräte in die IT-Strukturen der Institution integriert sind. Mit Geofencing entstehen Bewegungsprofile der Geräte und damit auch der Benutzer; werden diese Daten erhoben, ohne die Benutzer in geeigneter Weise darüber zu informieren, verstoßen die Verantwortlichen unter Umständen gegen datenschutzrechtliche Bestimmungen.
- Ein nicht über MDM konfiguriertes Endgerät darf nach SYS.3.2.2 nicht auf Informationen der Institution zugreifen können.
- Das MDM sollte sicherstellen, dass dienstliche Daten auf dem mobilen Endgerät aus der Ferne gelöscht werden können (Remote Wipe bei bestehender Datenverbindung).
Was tun im Ernstfall
- Geht ein Gerät verloren, können die dienstlichen Daten über das MDM aus der Ferne gelöscht werden, solange eine Datenverbindung besteht; ohne Verbindung zum Gerät ist das nach SYS.3.2.2 nicht mehr möglich. Das Entfernen dienstlicher Daten ist zudem vom Löschen des gesamten Geräts zu trennen.
- Wird ein Gerät außer Betrieb genommen, soll der Prozess der Außerbetriebnahme (Unenrollment) sicherstellen, dass keine schutzbedürftigen Daten auf dem Gerät oder eingebundenen Speichermedien verbleiben.
Beispiele aus der Praxis
- Soll ein Firmen-Smartphone Dienste des Unternehmens nutzen, sollten die dafür vorgesehenen Zertifikate nach SYS.3.2.2 zentral über das MDM installiert, deinstalliert und aktualisiert werden.
- Verliert ein Außendienstmitarbeiter ein Firmen-Tablet und besteht zu dem Gerät keine Verbindung, können die Daten nicht mehr aus der Ferne gelöscht werden.
- Ein Versicherer könnte seinem Außendienst Smartphones und Tablets zur Verfügung stellen und sie per MDM zentral verwalten; für Finanzunternehmen nennt die delegierte DORA-Verordnung dafür eine Lösung für das Management der Endgeräte und die Löschung von Daten durch Fernzugriff.