Bring Your Own Device (BYOD) – Digital-Trend mit Tücken

In der heutigen di­gi­ta­li­sier­ten Welt ver­mi­schen sich Be­ruf­li­ches und Privates zunehmend mit­ein­an­der. Das zeigt sich auch in einem Trend, der seit Jahren immer mehr aus den USA nach Deutsch­land her­über­schwappt: BYOD – Bring Your Own Device. Viele Ar­beit­neh­mer nutzen bereits ihre eigenen Laptops, Tablets und Smart­phones für ihre be­ruf­li­che Tätigkeit. Das ist kom­for­ta­bler und kann die Pro­duk­ti­vi­tät fördern. Zugleich ist BYOD aber auch ein wahrer Alptraum für Da­ten­schüt­zer und Juristen, weshalb sich das Prinzip hier­zu­lan­de noch nicht flä­chen­de­ckend durch­ge­setzt hat.

„Bring Your Own Device“ heißt übersetzt so viel wie „Bring dein eigenes Gerät mit“. Das bedeutet im Klartext: Anstatt an einem fir­men­ei­ge­nen Rechner im Büro zu arbeiten, nutzt man seine privaten Mo­bil­ge­rä­te (z. B. Laptop, Tablet oder Smart­phone). Dies ist aber in jedem Fall frei­wil­lig, denn ein Fir­men­chef kann seine An­ge­stell­ten im Rahmen seines Di­rek­ti­ons­rechts nicht dazu zwingen, mit privater Hardware zu arbeiten. Statt­des­sen ist er grund­sätz­lich dazu ver­pflich­tet, alle für die Ar­beits­tä­tig­keit nötigen Be­triebs­mit­tel be­reit­zu­stel­len.

Der BYOD-Begriff findet aber nicht nur im be­ruf­li­chen Kontext, sondern auch in Bezug auf Uni­ver­si­tä­ten, Bi­blio­the­ken, Schulen und andere (Bildungs-)In­sti­tu­tio­nen Anwendung. Auch hier geht es darum, sich mit selbst mit­ge­brach­ten mobilen End­ge­rä­ten im internen Netzwerk der je­wei­li­gen Ein­rich­tung zu bewegen, anstatt das vor­han­de­ne Hardware-Angebot zu nutzen. Zur Umsetzung eines solchen BYOD-Prinzips braucht es eine ein­deu­ti­ge Leitlinie (im Eng­li­schen: BYOD policy). Diese legt fest, wie die Nutzer ihre eigenen elek­tro­ni­schen Geräte im Netzwerk verwenden dürfen, welche si­cher­heits­tech­ni­schen Vorgaben es gibt und welche Ver­hal­tens­re­geln zu beachten sind.

In einem Un­ter­neh­men wird solch eine Leitlinie zumeist in Ko­ope­ra­ti­on mit dem Ar­beit­neh­mer bzw. dem Be­triebs­rat erstellt und in einer Zu­satz­ver­ein­ba­rung im Ar­beits­ver­trag fest­ge­schrie­ben. Dies ist auch notwendig, denn mit BYOD sind zahl­rei­che komplexe Fra­ge­stel­lun­gen verbunden, die einer genauen Klärung bedürfen, etwa zu Kontroll- und Zu­griffs­rech­ten, zur Pri­vat­sphä­re der Mit­ar­bei­ter und zum Da­ten­schutz im Un­ter­neh­men. Da „Bring Your Own Device“ in Deutsch­land immer noch ju­ris­ti­sches Neuland darstellt, schafft der Ar­beit­ge­ber somit die er­for­der­li­che Rechts­grund­la­ge, an der sich alle Be­tei­lig­ten ori­en­tie­ren können.

Eine „Bring Your Own Device“-Politik ergibt überall dort Sinn, wo elek­tro­ni­sche Ar­beits­plät­ze zur Verfügung stehen, deren Funk­ti­ons­um­fang auch von privaten Geräten abgedeckt werden kann. Bislang findet BYOD vor allem im Bil­dungs­sek­tor sowie innerhalb von Un­ter­neh­men Anwendung.

BYOD im Bil­dungs­sek­tor

Dass Studenten ihre Laptops auf den Campus mit­brin­gen, um in den Frei­stun­den zwischen den Vor­le­sun­gen Prä­sen­ta­tio­nen und Haus­ar­bei­ten vor­zu­be­rei­ten, ist an den meisten Uni­ver­si­tä­ten längst selbst­ver­ständ­lich. Aber auch an immer mehr Schulen werden eigene oder mit­ge­brach­te Computer sowie Smart­phones als Hilfs­mit­tel ins Cur­ri­cu­lum ein­ge­bun­den. Bei der Frage nach dem tat­säch­li­chen Bil­dungs­nut­zen solcher BYOD-Systeme halten sich Pro- und Contra-Po­si­tio­nen jedoch die Waage.

Gemäß einer Forsa-Studie von 2014 bei­spiels­wei­se un­ter­stüt­zen 43 Prozent der Lehrer an deutschen Schulen die Ver­wen­dung elek­tro­ni­scher Geräte und digitaler Medien im Un­ter­richt, während 48 Prozent diese für über­flüs­sig halten. Ein Argument gegen BYOD an Schulen liefert etwa die OECD-Studie „Students, Computers and Learning: Making the Con­nec­tion“: Diese ergab, dass die­je­ni­gen Schüler die besten Prü­fungs­er­geb­nis­se erzielen, die nur selten mithilfe digitaler Medien lernen.

Das oft genannte Ge­gen­ar­gu­ment zu dieser Ansicht lautet, dass elek­tro­ni­sche Geräte im Un­ter­richt nicht vorrangig der Ver­bes­se­rung von Prü­fungs­leis­tun­gen, sondern in erster Linie der Ver­mitt­lung von IT-Kom­pe­ten­zen für den di­gi­ta­li­sier­ten Alltag und die moderne Ar­beits­welt dienen sollen. Sinnvoll ein­ge­setzt, passen laut den BYOD-Un­ter­stüt­zern somit auch private Smart­phones in den zeit­ge­mä­ßen Bil­dungs­auf­trag der Bun­des­re­pu­blik.

Aus diesem Grund wird das Projekt weiterhin vor­an­ge­trie­ben, wenn auch mit bisher mäßigem Erfolg. Nach dem Willen der Kul­tus­mi­nis­ter­kon­fe­renz sollten Schüler bereits ab Sommer 2018 re­gel­mä­ßig und sys­te­ma­tisch mithilfe elek­tro­ni­scher Geräte auf digitalen Schul­platt­for­men lernen. Erste Pi­lot­pro­jek­te in den Bun­des­län­dern sind aber bislang an Mängeln bei der tech­ni­schen Umsetzung und beim Da­ten­schutz ge­schei­tert. Zudem konnten viele Probleme noch nicht zu­frie­den­stel­lend gelöst werden, etwa die Ver­ein­bar­keit des BYOD-Prinzips mit den geltenden Prü­fungs­richt­li­ni­en – zu groß sei die Ver­lo­ckung, über das Smart­phone im Internet nach den korrekten Prü­fungs­ant­wor­ten zu suchen, wenn der Lehrer gerade nicht hinsieht.

BYOD im Un­ter­neh­men

Für An­ge­stell­te bedeutet die Ein­füh­rung eines BYOD-Prinzips vor allem eines: höherer Komfort im Ar­beits­all­tag. Anstatt mit teilweise langsamer, da selten ak­tua­li­sier­ter Firmen-Hardware zu arbeiten, können sie auf ihre eigenen Geräte zu­rück­grei­fen, die oft auf dem neuesten Stand der Technik sind. Auf Ge­schäfts­rei­sen ist es zudem eine Er­leich­te­rung, neben dem privaten Laptop nicht auch noch ein zweites Gerät mitnehmen zu müssen. Die In­itia­ti­ve für eine BYOD-Politik im Un­ter­neh­men kommt daher zumeist von den An­ge­stell­ten, ins­be­son­de­re von den jüngeren, die mit mobilen End­ge­rä­ten auf­ge­wach­sen sind.

Aus diesem Grund haben Ar­beit­ge­ber, die sich offen gegenüber „Bring Your Own Device“ zeigen, ein wert­vol­les Incentive an der Hand, das bei der Be­wer­ber­su­che helfen kann – schließ­lich de­mons­triert das Un­ter­neh­men damit, dass ihm die Mit­ar­bei­ter­zu­frie­den­heit am Herzen liegt. Bei BYOD-Vor­rei­tern wie IBM erhofft man sich gleich­zei­tig eine höhere Pro­duk­ti­vi­tät, wenn die An­ge­stell­ten mit den Geräten arbeiten, mit denen sie sich am besten auskennen. Zudem bietet die In­te­gra­ti­on privater Endgeräte in den Ar­beits­all­tag eine ideale Vor­aus­set­zung für Ho­me­of­fice und flexibles Arbeiten. Ebenfalls zu nennen sind die öko­no­mi­schen und öko­lo­gi­schen Vorteile: Ar­beit­ge­ber sparen Kosten für die Be­schaf­fung neuer Bü­ro­ge­rä­te und ver­rin­gern somit auch ihren negativen Einfluss auf die Umwelt.

Auf der anderen Seite stehen der hohe Im­ple­men­tie­rungs- und War­tungs­auf­wand sowie die damit ver­bun­de­nen Kosten. BYOD kann zu mehr Kom­ple­xi­tät im Be­triebs­ab­lauf führen und steht damit der weit ver­brei­te­ten Strategie zur Ver­ein­heit­li­chung der IT-In­fra­struk­tur in Or­ga­ni­sa­tio­nen entgegen. Eine Um­setz­bar­keit ist also von der in­ten­si­ven Ko­ope­ra­ti­on der An­ge­stell­ten abhängig. Nur so können die ver­schie­dens­ten tech­ni­schen sowie or­ga­ni­sa­to­ri­schen Her­aus­for­de­run­gen ge­meis­tert werden, die damit ein­her­ge­hen.

Und auch für die Ar­beit­neh­mer kann BYOD einige Schat­ten­sei­ten haben: Nach der auf­wen­di­gen Ein­rich­tung sämt­li­cher not­wen­di­ger Dienste auf dem Heim-PC müssen sie sich mitunter damit abfinden, dass die Firma eine gewisse Kontrolle über das Gerät ausübt, um die Si­cher­heit ge­schäft­li­cher Daten und des haus­ei­ge­nen Netzwerks zu ge­währ­leis­ten. Außerdem muss sich der Nutzer mitunter an den an­fal­len­den Kosten be­tei­li­gen. Ein weiteres Problem ist die po­ten­zi­el­le Be­ein­träch­ti­gung der Work-Life-Balance: Hat man auf Büro-An­wen­dun­gen wie etwa das E-Mail-Postfach auch von zuhause aus fort­wäh­rend Zugriff, sieht man sich eher gezwungen, ständig er­reich­bar zu sein – Be­ruf­li­ches und Privates ver­mi­schen sich so immer mehr. Umgekehrt ist die Frage, ob man sich bei der Arbeit am privaten Laptop leichter ablenken lässt als am Firmen-Computer.

Obgleich BYOD of­fen­kun­di­ge Vorteile für Lehrer und Schüler sowie Ar­beit­ge­ber und An­ge­stell­te hat, ist es doch mit einigen si­cher­heits­po­li­ti­schen und recht­li­chen Risiken verbunden.

BYOD und Da­ten­schutz

Egal ob im Un­ter­neh­men oder einer anderen Art von Or­ga­ni­sa­ti­on – „Bring Your Own Device“ stellt immer ein nicht zu un­ter­schät­zen­des Si­cher­heits­ri­si­ko dar. Um zu verstehen, wie brisant das Thema Da­ten­schutz in diesem Zu­sam­men­hang ist, stelle man sich folgende Szenarien vor:

• Szenario 1: Sensible Kunden-, Mit­ar­bei­ter- und Fir­men­da­ten werden auf einem nicht oder nur teilweise kon­trol­lier­ba­ren Fremd­ge­rät ge­spei­chert und ver­ar­bei­tet. Da es sich hierbei um Hardware und Software handelt, die bisher vorrangig für den privaten Gebrauch ein­ge­setzt wurde, könnte der Besitzer schwä­che­re Si­cher­heits­me­cha­nis­men in­stal­liert haben, als in einer un­ter­neh­mens­in­ter­nen IT-Umgebung üblich wäre. Womöglich geht er aus Ge­wohn­heit auch laxer mit Spam-Nach­rich­ten und ominösen Links um, was das Risiko für er­folg­rei­ches Phishing erhöht. Denkbar ist auch, dass das Gerät gestohlen wird oder verloren geht, was einer si­cher­heits­po­li­ti­schen Ka­ta­stro­phe gleich­kommt.
   
• Szenario 2: An­ders­her­um stellt ein privates Endgerät auch ein Si­cher­heits­ri­si­ko für das interne Fir­men­netz­werk dar. Wählt es sich über eine un­ver­schlüs­sel­te Ver­bin­dung ein oder ist bereits durch Malware kon­ta­mi­niert, kann es die IT-In­fra­struk­tur stören oder gar (un­be­ab­sich­tigt) geheime Da­ten­ban­ken aus­spio­nie­ren.

Nun muss der Da­ten­schutz – ins­be­son­de­re der von per­so­nen­be­zo­ge­nen Daten gemäß DSGVO – auch auf privaten Geräten gewahrt bleiben. Und das Un­ter­neh­men – nicht der Ar­beit­neh­mer – hat dafür die volle Ver­ant­wor­tung. Das stellt die Füh­rungs­ebe­ne wie auch die IT-Abteilung vor große le­gis­la­ti­ve, tech­ni­sche sowie ad­mi­nis­tra­ti­ve Her­aus­for­de­run­gen, vor allem, wenn eine Vielzahl ver­schie­de­ner Geräte mit un­ter­schied­li­chen Be­triebs­sys­te­men und Pro­gram­men im selben Netzwerk in­te­griert werden muss.

Unter diesen Umständen ist es absolut legitim, dass sich der Chef eine gewisse Kon­troll­be­fug­nis über die Geräte her­aus­neh­men muss. Dazu gehört, die Umsetzung der er­for­der­li­chen Da­ten­schutz­maß­nah­men zu über­wa­chen, die strenge Trennung von ge­schäft­li­chen und privaten Daten si­cher­zu­stel­len und im Zwei­fels­fall Daten aus der Ferne zu löschen oder wie­der­her­zu­stel­len. Gleich­zei­tig müssen diese Be­mü­hun­gen mit dem Recht zur in­for­ma­tio­nel­len Selbst­be­stim­mung des Nutzers gemäß DSGVO über­ein­ge­bracht werden – eine komplexe und zugleich kon­flikt­rei­che An­ge­le­gen­heit, bei der man jedes noch so kleine Detail bedenken muss.

Sämtliche re­le­van­ten Fragen müssen also eindeutig be­ant­wor­tet sein, z. B. „Darf auch die Familie eines Ar­beit­neh­mers das Gerät verwenden?“ und „Was passiert mit den fir­men­ei­ge­nen Daten, wenn der Ar­beit­neh­mer kündigt?“. Diese an­fäng­li­chen Un­klar­hei­ten zu beheben, kann einen nicht zu un­ter­schät­zen­den Mehr­auf­wand für das Un­ter­neh­men dar­stel­len. Die fertige BYOD policy muss dann offen und trans­pa­rent gegenüber dem Mit­ar­bei­ter­stab kom­mu­ni­ziert werden, um die Gefahr für Daten-Leaks und Ver­let­zun­gen des Da­ten­schutz­rechts zu ver­rin­gern. Ein gewisses Rest­ri­si­ko bleibt aber immer bestehen, da der Ar­beit­ge­ber durch das Vertrauen in seine An­ge­stell­ten auch einen Teil seiner Kontrolle aufgibt.

Was die tech­ni­sche Seite anbelangt, bedienen sich IT-Ab­tei­lun­gen, die mit der Umsetzung eines BYOD-Konzepts betraut wurden, ver­schie­de­ner Lö­sungs­an­sät­ze:

• Gängige Zu­griffs­hür­den: Dazu gehören u. a. ver­schlüs­sel­te Ver­bin­dun­gen via VPNs, ein­ge­schränk­te Dienst­an­ge­bo­te sowie die Zwei-Faktor-Au­then­ti­fi­zie­rung.

• Container-Lösungen: Um die Si­cher­heit sensibler Daten auf privaten End­ge­rä­ten zu ge­währ­leis­ten, setzen viele Un­ter­neh­men auf ver­schlüs­sel­te „Container“. Dabei handelt es sich um isolierte und zu­griffs­be­schränk­te Par­ti­tio­nen auf dem lokalen Fest­plat­ten­spei­cher, in denen Daten ge­spei­chert und von denen aus die Ver­bin­dung zum Fir­men­netz­werk her­ge­stellt wird.
   
• Mobile Device Ma­nage­ment: MDM-Software wie AirWatch oder Mo­bileI­ron dient der zentralen In­te­gra­ti­on und Ad­mi­nis­tra­ti­on privater Geräte im Un­ter­neh­men. Über die pro­fes­sio­nel­len Be­nut­zer­ober­flä­chen verwaltet man Daten, in­stal­liert Updates und kon­fi­gu­riert Sperren für unsichere WLAN-Ver­bin­dun­gen und Apps un­be­kann­ter Dritt­an­bie­ter. Da man als Mit­ar­bei­ter jedoch zwischen den von­ein­an­der ge­trenn­ten Ar­beits­plät­zen für Privates und Be­ruf­li­ches hin- und her­schal­ten muss, geht Mobile Device Ma­nage­ment zulasten der Nut­z­er­fah­rung. Die stärkere Kontrolle durch den Ar­beit­ge­ber hat zudem negative Im­pli­ka­tio­nen für die Pri­vat­sphä­re.
   
• Sandbox-Lösungen: Eine häufig genutzte Al­ter­na­ti­ve zu den genannten Lö­sungs­an­sät­zen sind zudem virtuelle Desktop-In­fra­struk­tu­ren sowie Web­an­wen­dun­gen, die einen Remote-Zugriff vom Pri­vat­ge­rät auf den Fir­men­rech­ner erlauben und somit keine sensiblen Daten auf Fremd­ge­rä­ten speichern. Dazu gehören etwa Cloud-Dienste und Online-Kol­la­bo­ra­ti­ons­platt­for­men wie Microsoft Exchange.

Anhand der bil­dungs­tech­ni­schen, un­ter­neh­me­ri­schen, si­cher­heits­po­li­ti­schen und ju­ris­ti­schen Ge­sichts­punk­te in Bezug auf BYOD wird er­sicht­lich, dass den Vorteilen des Prinzips scheinbar ebenso viele Nachteile ge­gen­über­ste­hen. Im Folgenden fassen wir die daraus ab­ge­lei­te­ten Pro- und Contra-Argumente von BYOD noch einmal zusammen:

Of­fen­kun­dig bietet das BYOD-Prinzip viele Vorteile, und zwar sowohl für Ar­beit­neh­mer als auch für Ar­beit­ge­ber. Dennoch hat es sich in Deutsch­land noch nicht umfassend durch­ge­setzt, was vor allem auf die strengen (da­ten­schutz-)recht­li­chen Re­ge­lun­gen zu­rück­zu­füh­ren ist. Laut einer Bitkom-Umfrage von 2013 lehnen knapp die Hälfte der deutschen Un­ter­neh­men BYOD ab, mit der Be­grün­dung, dass die er­war­te­ten Kos­ten­er­spar­nis­se durch den Wartungs- und Si­cher­heits­auf­wand wei­test­ge­hend kom­pen­siert würden. Andere Studien geben sogar noch viel höhere Werte an.

In den USA, wo das Konzept ur­sprüng­lich herkommt, zeichnet sich zudem bereits eine Trend­wen­de ab: Gemäß einer Umfrage des in­ter­na­tio­na­len IT-Bran­chen­ver­bands CompTIA sei die Anwendung von BYOD-Systemen in den letzten Jahren wieder deutlich zu­rück­ge­gan­gen. Die Ära der Pri­vat­ge­rä­te am Ar­beits­platz sei vorbei, statt­des­sen hätten sich vor allem zwei Ge­gen­kon­zep­te etabliert, die dem Ar­beit­ge­ber wieder mehr Kontrolle über ihren Daten sichern:

• Choose Your Own Device (CYOD): Mit­ar­bei­ter können aus einer breiten Palette an Geräten wählen, die von der Firma fi­nan­ziert werden und sich deshalb de facto in ihrem Eigentum befinden. Die Nutzung für private Zwecke muss jedoch explizit in einer policy gewährt werden.
   
• Corporate Owned, Per­so­nal­ly Enabled (COPE): Mit­ar­bei­tern ist es aus­drück­lich erlaubt, ein fir­men­ei­ge­nes Gerät auch privat zu nutzen. Da sie dann aber für die grund­sätz­li­che Ein­rich­tung und den Basis-Support des Geräts ver­ant­wort­lich sind, setzt dieses Prinzip eine gewisse tech­ni­sche Ver­siert­heit voraus.

Ob der BYOD-Trend auch hier­zu­lan­de wieder abebben wird, bevor er überhaupt richtig Fuß gefasst hat, wird sich zeigen.