Stellen Sie sich eine einfache Frage: Wie viele Personen in Ihrem Unternehmen lesen dienstliche E-Mails auf dem Handy? Nach unserer Erfahrung lautet die Antwort fast immer „alle“. Nun die zweite Frage: Wie viele dieser Handys könnte das Unternehmen sperren oder löschen, wenn sie heute verschwänden? Die Antwort lautet meist „keines“.
Unternehmen achten auf Computer: Virenschutz, Updates, Verschlüsselung, Passwortrichtlinien. Handys bleiben im privaten Bereich, obwohl auf ihnen dieselben E-Mails, dieselben Teams-Unterhaltungen, OneDrive-Dokumente, Kundenkontakte und oft auch der zweite Anmeldefaktor für jedes Firmensystem liegen. Für einen Dieb oder Finder ist das ein vollständiger Schlüsselbund.
In diesem Artikel erklären wir, was bei einem Handyverlust tatsächlich passiert, wie sich das Risiko zwischen privaten und Firmengeräten unterscheidet, was ein Mobile-Device-Management-System (MDM) in der Praxis leistet und wie Sie es so einführen, dass die Mitarbeitenden nicht das Gefühl haben, das Unternehmen greife in ihr Privatleben ein.
Was passiert, wenn ein Handy mit Firmen-E-Mail verschwindet
Stellen Sie sich eine alltägliche Situation vor: Ein Vertriebsleiter lässt am Freitagabend sein Handy im Taxi liegen. Er bemerkt es am Samstagmorgen. Am Montag sagt er der IT Bescheid, weil er am Wochenende „niemanden stören wollte“.
In diesen 60 Stunden konnte das Handy entsperrt werden, wenn es eine einfache PIN hatte oder gar keine. Darauf ist Outlook mit allen E-Mails geöffnet, auch denen, in denen Kollegen Verträge und Passwörter verschicken. Teams ist mit den internen Chats geöffnet. In OneDrive liegen die Preistabellen. Und vor allem ist dort die Authenticator-App, die Anmeldungen bei Microsoft 365 bestätigt. Mit dem Handy und dem Zugriff auf das Postfach kann jemand das Passwort zurücksetzen und den zweiten Faktor auf demselben Gerät freigeben.
Ohne MDM kann das Unternehmen hier nur das Passwort der Person ändern und hoffen, dass das Handy gesperrt war. Es kann nicht prüfen, ob das Gerät verschlüsselt war, nicht aus der Ferne Firmendaten entfernen und einem Auditor oder der Datenschutzaufsichtsbehörde nicht belegen, dass personenbezogene Daten für Dritte nicht zugänglich waren. Nach der DSGVO müssen Sie genau das innerhalb von 72 Stunden beurteilen.
Mit MDM sieht dieselbe Situation anders aus: Die Person meldet es, die IT sperrt das Gerät und entfernt innerhalb von Minuten die Firmendaten aus der Ferne, und das System zeigt, dass das Gerät verschlüsselt und mit einem starken Code geschützt war. Der Vorfall endet als Protokolleintrag, nicht als Meldung an eine Aufsichtsbehörde.
BYOD oder Firmengeräte: anderes Risiko, andere Regeln
Die meisten Unternehmen fahren ein gemischtes Modell: Manche Mitarbeitende nutzen Firmenhandys, andere ihre eigenen (BYOD, Bring Your Own Device). Beides kann sicher sein, verlangt aber unterschiedliche Ansätze.
Ein Firmengerät ist Eigentum des Unternehmens. Es lässt sich vollständig verwalten: Sie legen fest, welche Apps erlaubt sind, erzwingen Verschlüsselung, verlangen Updates, blockieren unbekannte App-Quellen und löschen das ganze Gerät, wenn die Person ausscheidet. Die Mitarbeitenden wissen, dass es ein Arbeitsmittel ist, deshalb gibt es wenig Widerstand.
Ein privates Gerät gehört der Mitarbeiterin oder dem Mitarbeiter, und das Unternehmen hat kein Recht, Fotos, Nachrichten oder Apps zu sehen. Hier arbeitet MDM anders: Es legt ein getrenntes Arbeitsprofil an oder verwaltet nur Firmen-Apps. Das Unternehmen sieht und steuert nur diesen Teil: Outlook, Teams, OneDrive, die Authenticator-App. Geht das Handy verloren, wird nur dieser Teil gelöscht, die privaten Daten bleiben. Scheidet die Person aus, gilt dasselbe.
Mit dieser Tabelle erklären wir Führungskräften den Unterschied:
| Frage | Firmengerät | Privates Gerät (BYOD) |
|---|---|---|
| Was das Unternehmen verwaltet | Das ganze Gerät | Nur das Arbeitsprofil oder die Apps |
| Was das Unternehmen sieht | Apps, Einstellungen, Standort (falls aktiviert) | Nur den Zustand der Arbeits-Apps |
| Bei Verlust des Handys | Das ganze Gerät wird gelöscht | Nur Firmendaten werden gelöscht |
| Beim Ausscheiden der Person | Das Gerät wird zurückgegeben und gelöscht | Das Arbeitsprofil wird entfernt |
| Datenschutzrisiko | Gering, das Gerät dient der Arbeit | Durch technische Grenzen kontrolliert |
Keines der Modelle ist besser. Wichtig ist, dass es bewusst gewählt und in einer Richtlinie festgehalten wird, statt von selbst zu entstehen.
Was MDM tatsächlich leistet
Mobile Device Management ist keine einzelne Funktion, sondern ein Satz von Regeln, die das System automatisch anwendet. Die wichtigsten:
- Verschlüsselung und Bildschirmsperre. Das Gerät muss verschlüsselt sein und einen Code mit mindestens sechs Ziffern oder Biometrie haben. Ohne das öffnet sich die Firmen-E-Mail schlicht nicht.
- Sperren und Löschen aus der Ferne. Geht ein Handy verloren oder wird es gestohlen, erledigen Sie das innerhalb von Minuten über die Verwaltungskonsole, ohne Mitwirkung der Person.
- App-Richtlinie. Firmen-Apps werden automatisch installiert, und Sie können verbieten, Daten aus Outlook in ein privates WhatsApp zu kopieren oder Anhänge in einer privaten Cloud zu speichern.
- Update-Anforderungen. Ein Handy mit einem zwei Jahre alten Betriebssystem verliert den Zugriff, bis es aktualisiert ist.
- Conditional Access. Die Anmeldung bei Microsoft 365 ist nur von Geräten möglich, die die Richtlinie erfüllen. Das verbindet MDM mit Microsoft Entra ID und blockiert Anmeldungen von beliebigen Geräten.
- Bestandsverzeichnis. Das Unternehmen weiß jederzeit, wie viele Geräte auf seine Daten zugreifen können, welche Versionen darauf laufen und wann sie sich zuletzt verbunden haben.
- Offboarding. Wird ein Konto in Entra ID deaktiviert, werden die Arbeitsdaten automatisch von allen Geräten dieser Person entfernt.
Diese Regeln erwarten auch NIS2 und DORA bei Zugriffskontrolle und Verwaltung von Assets. Fragt ein Auditor „Wie verwalten Sie mobile Geräte?“, hat ein Unternehmen ohne MDM keine Antwort.
Wie Sie es ohne Widerstand der Mitarbeitenden einführen
Der häufigste Grund, warum MDM scheitert, ist nicht technisch. Die Mitarbeitenden hören „Das Unternehmen kontrolliert mein Handy“ und melden sich einfach nicht an. Einiges hat sich bei uns bewährt.
Erstens: Sagen Sie die Wahrheit darüber, was das Unternehmen sieht und was nicht. Zeigen Sie die Konsole. Wer sieht, dass sie nur den Zustand des Arbeitsprofils enthält und keine Fotos und Nachrichten, beruhigt sich. Halten Sie es in der Richtlinie in einfachen Sätzen fest.
Zweitens: Beginnen Sie bei der Führung. Wenn Geschäftsführung und Abteilungsleiter sich zuerst anmelden, ist es für alle anderen keine „Kontrolle“ mehr, sondern die normale Arbeitsweise.
Drittens: Machen Sie es einfach. Die Anmeldung sollte wenige Minuten dauern und in einigen Screenshots beschrieben sein. Wenn jemand beim Helpdesk anrufen muss, hilft Ihnen Ihr IT-Support-Team, aber die meisten schaffen es allein.
Viertens: Verbinden Sie es mit einem Vorteil für die Mitarbeitenden. Verlieren sie ein Handy, wissen sie, dass niemand an ihre Arbeitsdaten kommt und sie nichts erklären müssen. Ein neues Gerät erhält alle Arbeits-Apps automatisch.
Fünftens: Setzen Sie eine Frist und aktivieren Sie danach Conditional Access. Solange MDM freiwillig ist, werden einige Mitarbeitende sich nie anmelden. Sobald die Firmen-E-Mail ohne MDM nicht mehr öffnet, erledigt sich die Frage innerhalb einer Woche.
Wo Sie anfangen
- Zählen Sie, wie viele Geräte heute Zugriff auf die Firmen-E-Mail haben. Im Microsoft-365-Admin-Center sehen Sie das sofort, und die Zahl überrascht meist.
- Entscheiden Sie sich für ein Modell: Firmengeräte, BYOD oder gemischt. Schreiben Sie eine einseitige Richtlinie, was das Unternehmen verwaltet und was es nicht sehen kann.
- Aktivieren Sie die Mindestregeln: Verschlüsselung, Bildschirmsperre und Löschen aus der Ferne. Das beseitigt das größte Risiko in der ersten Woche.
- Verknüpfen Sie MDM mit Conditional Access für Microsoft 365, damit die Richtlinie eine Bedingung ist und keine Empfehlung.
- Kann sich intern niemand darum kümmern, deckt unser Dienst Mobile Device Management Einführung, Einrichtung der Richtlinien und tägliche Verwaltung ab, und bei einem Handyverlust die Reaktion des Helpdesks.
Ein Handy ist nur ein Firmencomputer, bloß kleiner und häufiger verloren. Behandeln Sie es entsprechend.
