Ausgangslage
Eine Einzelhandelskette mit 20 Filialen in ganz Litauen und rund 300 Mitarbeitenden. Jede Filiale hat 2–4 Kassenrechner, einen Laptop und ein Handy für die Filialleitung; weitere etwa 40 Handys und Tablets sind bei Regionalleitern, in der Logistik und bei Vertriebsmitarbeitern im Einsatz. Die Geräte wurden zu unterschiedlichen Zeiten gekauft und vor Ort eingerichtet, jeweils so, wie es die Person eben hinbekam. Als Virenschutz diente, was ab Werk installiert war, oft mit abgelaufener Lizenz.
Die Probleme bauten sich von zwei Seiten auf. Erstens bedeutete jede Störung an einer Kasse eine Fahrt des IT-Mitarbeiters in die Filiale, manchmal 150 km pro Strecke. Zweitens waren Handys mit Zugriff auf E-Mail, Preise und Kundendaten völlig unkontrolliert: keine Bildschirmsperre, private Apps installiert und keine Möglichkeit, ein Handy bei Verlust zu löschen. Innerhalb eines Jahres gingen drei Handys und ein Laptop verloren, und niemand wusste genau, was darauf gespeichert war.
Der Finanzvorstand wandte sich an uns, nachdem eine interne Revision die Geräteverwaltung als unkontrolliertes Risiko benannt hatte. Der Termin war der Beginn der Handelssaison.
Was gebraucht wurde
- Eine Konsole für alle Geräte: Kassen, Computer, Handys und Tablets.
- Geräte per Fernzugriff sperren und löschen, binnen Minuten statt Tagen.
- Ein Schutz, der einen Angriff auf einen Kassenrechner stoppt, ohne dass ein IT-Mitarbeiter eingreifen muss.
- App-Richtlinien: was auf einem Handy mit Unternehmensdaten sein darf und was nicht.
- Weniger Fahrten in die Filialen und ein klarer Ablauf für die Einrichtung eines neuen Geräts.
- Einführung ohne Unterbrechung des Verkaufs: Kassen dürfen während der Öffnungszeiten nicht abgeschaltet werden.
Was wir getan haben
Wochen 1–2: Bestandsaufnahme und Richtlinien
Wir erstellten eine Liste aller Geräte: insgesamt 212, davon 38, die offiziell niemandem zugewiesen waren. Gemeinsam mit dem Finanzvorstand und der Handelsleitung legten wir Richtlinien fest: Bildschirmsperre und Verschlüsselung auf allen Handys, ein eigenes Arbeitsprofil mit Unternehmens-Apps, eine Liste verbotener Apps, und auf den Kassenrechnern nur die Kassenanwendung und ein Browser, der auf freigegebene Adressen beschränkt ist.
Wochen 3–5: Einführung von MDM
Wir führten Mobile Device Management auf Basis von Microsoft Intune ein. Das Unternehmen hatte bereits Microsoft-365-Lizenzen, und Entra ID wurde zur zentralen Quelle der Identitäten. Die Handys registrierten wir per Fernzugriff: Die Filialleitung erhielt eine Anleitung, und binnen 10 Minuten erschien das Gerät mit einem Arbeitsprofil in der Konsole. Die Kassenrechner banden wir nachts nach Ladenschluss an, 3–4 Filialen pro Nacht; keine einzige Kasse wurde tagsüber abgeschaltet.
Wochen 5–7: SentinelOne Singularity
Wir installierten SentinelOne Singularity auf allen Computern, Kassen und Handys. Wir entschieden uns dafür wegen des autonomen Betriebs: An einem Kassenrechner fehlt oft eine stabile Internetverbindung, und SentinelOne stoppt einen Angriff und macht ihn lokal rückgängig, auch ohne Verbindung zur Konsole. Die Einführung lief über das MDM, zusätzliche Fahrten waren daher nicht nötig. In der ersten Woche zeigte die Konsole drei veraltete Fernwartungsprogramme, die irgendwann jemand auf Kassen installiert hatte; sie wurden entfernt.
Woche 8: Prozesse und Übergabe an die IT-Betreuung
Wir erstellten einen Ablauf für die Einrichtung eines neuen Geräts: Es kommt vom Lieferanten direkt in die Filiale, verbindet sich beim ersten Einschalten selbst mit dem MDM und erhält seine vollständige Konfiguration. Der Ablauf bei einem verlorenen Gerät: Die Filialleitung ruft unseren Helpdesk an, und das Gerät wird aus der Konsole gesperrt und gelöscht. Den gesamten Bestand übernahmen wir in die IT-Betreuung mit Helpdesk. Für die Filialleiter erstellten wir eine einseitige Anleitung: wen sie anrufen, was sie sagen und was sie nicht tun sollen, wenn auf dem Kassenbildschirm eine ungewöhnliche Meldung erscheint. Der IT-Mitarbeiter des Unternehmens blieb für die Kassenanwendung und die Beziehung zu deren Hersteller zuständig, während Gerätezustand, Sicherheit und Updates bei uns liegen.
Ergebnis
Das Löschen eines verlorenen Geräts dauert jetzt etwa 5 Minuten ab dem Anruf beim Helpdesk. In den ersten drei Monaten kam das Verfahren bei zwei Handys zum Einsatz, und in beiden Fällen waren die Daten gelöscht, bevor jemand sie entsperren konnte. Alle 212 Geräte und ihre Sicherheitsereignisse sind in einer Konsole sichtbar, und zum ersten Mal kann der IT-Mitarbeiter sagen, wie viele Geräte das Unternehmen hat und in welchem Zustand sie sind.
Die Besuche in den Filialen halbierten sich: Die meisten Kassenstörungen werden aus der Ferne behoben, Anwendungsupdates und Konfigurationsänderungen werden aus der Konsole verteilt. Gemessen wird das einfach: Das Helpdesk-System erfasst, wie viele Anfragen aus der Ferne gelöst wurden und wie viele eine Fahrt erforderten.
„Früher war ein verlorenes Handy einfach ein verlorenes Handy. Jetzt ist es ein Verfahren von fünf Minuten.“
Was wir in einer ähnlichen Situation raten
- Zuerst die Bestandsaufnahme. Solange Sie nicht wissen, wie viele Geräte Sie haben, hilft Ihnen keine Konsole.
- Wählen Sie für Kassen einen Schutz, der ohne Verbindung zur Konsole funktioniert. In einer Filiale fällt das Internet häufiger aus, als es vom Büro aus scheint.
- Trennen Sie auf Handys das Arbeitsprofil vom privaten: Die Mitarbeitenden stimmen leichter zu, und eine Löschung betrifft nur Unternehmensdaten.
- Führen Sie das System nachts und in Etappen ein. Ein paar Filialen pro Nacht, und nach einem Monat ist das ganze Netz erfasst, ohne dass eine einzige Kasse stillstand.
