Ein Begriff der immer wieder aufkommt, wenn es um mobile Endgeräte, Unternehmen und den Schutz der Daten auf diesen Geräten geht. Er steht für die zentralisierte Verwaltung von mobilen Endgeräten wie beispielsweise Smartphones oder Tablets. Auch unser Blog hat sich mehrfach dem Thema gewidmet.

Ziel des Mobile Device Management (MDM) sollte sein, dem Sicherheitsbedürfnis einer Organisation gerecht zu werden, gleichzeitig aber die Benutzung der Mobilgeräte so einfach wie möglich zu halten.

Es geht um Pinncodes und sensible Daten, E-Mails und vieles mehr.

Anforderungen an das MDM

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sich der Thematik angenommen und den „Mindeststandard des BSI für Mobile Device Management“ veröffentlicht. Das als Version 1 veröffentlichte Dokument bietet eine gute Orientierungshilfe für Unternehmen, den Einsatz mobiler Geräte im Arbeitsalltag zu managen.

Im Wesentlichen enthält der Standard Sicherheitsanforderungen für Stellen des Bundes. Selbstverständlich lassen sich die Anforderungen aber auch auf Unternehmen übertragen. Manche Sicherheitsanforderungen sind gesunder Menschenverstand und lassen sich leicht einsehen und umsetzen, so z.B. Anforderung MDM.06:

„Das MDM muss die notwendigen Informationen bereithalten, um eine Sperrung der SIM-Karte veranlassen zu können.“

Weitere Anforderungen, so z.B. MDM.26 – Verschlüsselung des Speichers, stellen Bedingungen an die technische Funktionalität der einzusetzenden Geräte. Gemäß dieser Anforderung soll die systemeigene Verschlüsselung des mobilen Endgerätes aktiviert werden und schützenswerte Daten auf externen Speichermedien (z.B. SD-Karten) verschlüsselt werden. Dies wird aber nicht von allen Endgeräten und Betriebssystemen unterstützt, kann in der Umsetzung unterschiedlich implementiert sein und daher Fachwissen erfordern. Dementsprechend wird im Mindeststandard auch gefordert, dass die Administration des MDM, die Verwaltung und Bedienung der MDM-Software von geschulten Administratoren ausgeführt werden muss (MDM.30).

MDM – nur Datenschutz?

Der Umgang mit sensiblen Daten wie E-Mails, Zugangs- und Geschäftsdaten wird in Zukunft verstärkt auf mobilen Endgeräte stattfinden. Der Verlust oder Diebstahl eines solchen Geräts bringt Gefahren mit sich, die oft erst im Nachhinein klarwerden. So können von einem nicht ausreichend abgesicherten, abhandengekommenen Gerät Drohanrufe getätigt werden, Mails versendet und gelesen oder sogar sensiblere Daten preisgegeben werden. Wird das Endgerät für die Zwei-Faktor-Authentisierung eingesetzt, könnte es zu Kompromittierung und Missbrauch von Zugängen (z.B. Online-Banking) kommen. Diesen Gefahren begegnet der Mindeststandard mit Anforderungen zur Fernlöschung und Außerbetriebnahme von Geräten.

Allerdings sind nicht nur die Daten auf den mobilen Geräten bedroht. Durch ihre Einbindung in das Firmennetz erhöhen Smartphones oder Tablets die mögliche Angriffsfläche. Betriebssysteme und Apps müssen mit Updates gepflegt werden, die Arbeitsplatzrechner und Server des Netzes müssen durch Firewallregeln von den mobilen Geräten getrennt werden. Daher enthält der Mindeststandard auch Anforderungen an den Betrieb, die Versorgung mit Updates und die Verwaltung der jeweiligen Patchstände.

Fazit

Die Anforderungen des Mindeststandards des BSI zum Mobile Device Management bieten eine Grundlage für Planung und Aufbau eines eigenen MDM Systems und können hilfreich bei der Auswahl von Geräten und Softwarelösungen sein.