Was ist BYOD (Bring Your Own Device)?

BYOD (bring your own device) ist eine Arbeitsplatzrichtlinie, die Mitarbeitenden erlaubt, ihre privaten Handys, Tablets oder Laptops für die Arbeit zu nutzen, meist unter vereinbarten Sicherheits- und Nutzungsregeln. Statt für jede Rolle ein Firmengerät auszugeben, legt die Organisation fest, welche privaten Geräte auf Unternehmens-E-Mail, Dateien und Systeme zugreifen dürfen - und welche Kontrollen dieser Zugang mit sich bringt. BYOD liegt am unbequemen Rand des Hardware-Asset-Managements: Das Gerät ist kein Firmenasset, aber die Konten, Daten und Lizenzen darauf sehr wohl.

Wie BYOD in der Praxis funktioniert

Die häufigste Form ist das private Handy, das für dienstliche E-Mail und Chat eingebunden wird. Darüber hinaus arbeiten Auftragnehmer und Teilzeitkräfte oft auf eigenen Laptops, und Außendienstmitarbeitende nutzen vor Ort mitunter ein privates Tablet. In jedem Fall gewährt das Unternehmen Zugang - ein Postfach, Dateispeicher, einen Software-Lizenzplatz - zu Hardware, die es nie gekauft hat.

Eine funktionierende BYOD-Vereinbarung ist explizit über drei Dinge: welche Gerätetypen und Betriebssystemversionen zugelassen sind, was das Gerät haben muss, bevor Zugang gewährt wird (Bildschirmsperre, Verschlüsselung, aktuelle Updates), und was am Ende passiert - wenn der Mitarbeitende geht oder das Gerät verloren geht, werden Arbeitskonten entfernt und der Zugang widerrufen.

Beispiele für BYOD

Mit konkreten Fällen lässt sich BYOD leichter greifen. Einige, die in fast jedem kleinen Unternehmen auftauchen:

• E-Mail auf dem privaten Handy - der klassische Einstieg. Ein Tipp fügt einem Gerät, das die IT nie ausgegeben hat, ein dienstliches Postfach und einen Kalender hinzu.
• Der eigene Laptop eines Auftragnehmers - ein Freelancer oder Agenturentwickler arbeitet auf dem eigenen Rechner, angemeldet an Ihrem Code-Repository, Ihren Design-Dateien oder Ihrem gemeinsamen Laufwerk für die Dauer des Auftrags.
• Ein Tablet im Außendienst - ein Monteur, Gutachter oder eine Pflegekraft füllt Auftragsscheine, Fotos oder Checklisten auf einem privaten Tablet vor Ort aus.
• Chat und Video von zu Hause - eine hybrid arbeitende Person nimmt an Teams, Slack oder Zoom von einem privaten iPad oder Heim-PC teil, auf dem auch Familienfotos liegen.
• Ein gespeichertes Passwort im privaten Browser - das leiseste Beispiel und jenes, das am häufigsten übersehen wird: jemand meldet sich auf einem Heimrechner an einem Arbeitssystem an und lässt den Browser es merken.

Was sie eint, ist nicht die Hardware, sondern der Zugang. Jedes Beispiel legt ein Unternehmenskonto, ein Postfach oder eine Lizenz auf ein Gerät, das die Organisation am letzten Arbeitstag nicht einfach einsammeln kann.

Warum Unternehmen es erlauben - und was es sie kostet

Der Reiz ist real. Niemand will zwei Handys mit sich herumtragen, neue Mitarbeitende und Auftragnehmer sind ab dem ersten Tag produktiv, und das Hardware-Budget schrumpft. Außerdem gehen die meisten mit eigenen Geräten sorgsamer um als mit einem Pool-Gerät.

Die Kosten kommen später. Der Support soll Hardware reparieren, die er nie gesehen hat. Unternehmensdaten liegen auf Geräten mit unbekanntem Sicherheitsstand. Die Grenzen des Datenschutzes verschwimmen - Mitarbeitende lehnen die Kontrolle des Arbeitgebers über ein privates Handy zu Recht ab. Und das Offboarding wird zur Schwachstelle: Der Firmenlaptop einer ausscheidenden Person wird eingesammelt, während ihr privater Laptop - noch überall angemeldet - unbemerkt mit aus der Tür geht.

BYOD - Vor- und Nachteile im Überblick

Vorteile: geringere Hardware-Ausgaben, schnelleres Onboarding für neue Mitarbeitende und Auftragnehmer, höhere Zufriedenheit bei Menschen, die Geräte nutzen, die sie bereits kennen, ein Handy statt zwei, und schnellere Einführung neuerer Hardware, als ein Firmen-Austauschzyklus erlaubt.

Nachteile: eine breitere Mischung an Geräten und Betriebssystemen im Support, Unternehmensdaten auf Endpunkten, die die IT nicht vollständig einsehen oder absichern kann, eine echte Datenschutz-Spannung rund um die Kontrolle privater Hardware, härtere Compliance in regulierten Branchen und ein Offboarding, das man leicht falsch macht. Die ehrliche Kurzfassung: BYOD tauscht Investitionskosten und Bequemlichkeit gegen Kontrolle und Überblick. Ob sich der Tausch lohnt, hängt fast ausschließlich davon ab, ob Richtlinie, Sicherheitskontrollen und Austrittsschritt tatsächlich vorhanden sind.

So sichern Sie ein BYOD-Setup ab

Sie können ein privates Gerät nicht so absperren wie einen Firmenlaptop, müssen es aber auch nicht offen lassen. Die meisten kleinen Teams greifen zu einem gestaffelten Satz an Kontrollen:

• Sicherheit auf Kontoebene zuerst. Mehr-Faktor-Authentifizierung und Single Sign-on schützen das Konto, egal von welchem Gerät man sich anmeldet - die günstigste und wertvollste Kontrolle und für ein kleines Team oft schon ausreichend.
• MDM (Mobile Device Management) kann einen Code verlangen, Verschlüsselung erzwingen und ein Gerät aus der Ferne löschen - doch vollständiges MDM auf einem privaten Handy ist eingreifend, und Mitarbeitende wehren sich dagegen.
• MAM (Mobile Application Management) und Container sind die leichtere Antwort: Sie sichern und löschen nur die dienstlichen Apps und Daten und lassen private Fotos und Nachrichten unberührt. Dieses „Arbeitscontainer”-Modell ist das, worauf sich die meisten modernen BYOD-Programme einigen.
• Ein VPN oder eine Zero-Trust-Zugriffsschicht hält den Datenverkehr in nicht vertrauenswürdigen Heim- und öffentlichen WLANs geschützt und prüft Nutzer und Gerät, bevor Zugang gewährt wird, statt dem Netzwerk zu vertrauen.
• Grundlegende Gerätehygiene, in die Richtlinie geschrieben: Bildschirmsperre, Festplattenverschlüsselung und aktuelle OS-Updates als Preis für den Zutritt.

Das Prinzip, das sich durch alles zieht: die Daten und das Konto schützen, statt die Hardware besitzen zu wollen.

BYOD, CYOD und COPE

BYOD hat zwei firmeneigene Nachbarn. CYOD (choose your own device) lässt Mitarbeitende aus einer freigegebenen Liste wählen, aber das Unternehmen kauft und besitzt die Hardware. COPE (corporate-owned, personally enabled) stellt ein Firmengerät bereit, das Mitarbeitende auch privat nutzen dürfen. Beide tauschen etwas BYOD-Bequemlichkeit gegen Kontrolle: Das Unternehmen kann Hardware konfigurieren, prüfen und zurückfordern, die es besitzt. Viele Organisationen mischen Modelle - Firmenlaptops, BYOD-Handys.

Was eine BYOD-Richtlinie abdecken sollte

• Berechtigung - welche Rollen, welche Gerätetypen, welche Mindest-OS-Versionen.
• Sicherheitsanforderungen - Bildschirmsperre, Verschlüsselung, Updates und jede Management-Software, die das Unternehmen vor Zugangsgewährung verlangt.
• Support-Grenzen - wobei IT auf privater Hardware hilft und wobei nicht.
• Kosten und Erstattung - wer Gerät, Tarif und Reparaturen bezahlt.
• Zulässige Nutzung - wie Arbeitsdaten gehandhabt, gespeichert und geteilt werden dürfen. Das steht oft in einer Nutzungsrichtlinie oder verweist auf sie.
• Austrittsverfahren - wie Arbeitsdaten und Zugang entfernt werden, wenn jemand geht oder ein Gerät verloren oder verkauft wird.

BYOD und Schatten-IT

Ungemanagtes BYOD ist eine der häufigsten Einfallstore in die Schatten-IT - Technik, die für die Arbeit genutzt wird, die die IT aber nie freigegeben oder erfasst hat. Ein privates Handy, das leise Firmendateien mit einem privaten Cloud-Konto synchronisiert, oder der Laptop eines Auftragnehmers, der ungeprüfte Apps gegen Ihre Systeme laufen lässt, ist Schatten-IT unter anderem Namen. Die Antwort ist in beiden Fällen dieselbe: den freigegebenen Weg einfach machen und festhalten, was tatsächlich auf Unternehmensdaten zugreift, damit nichts unsichtbar bleibt. Ein Gerät, das Sie notiert haben, können Sie absichern oder abschalten; ein Gerät, das Sie nie erfasst haben, weder noch.

BYOD, Datenschutz und Compliance

BYOD zieht in zwei Richtungen zugleich. Das Unternehmen muss seine Daten auf dem Gerät schützen; der Mitarbeitende hat eine berechtigte Privatsphäre-Erwartung an sein privates Handy. Nach DSGVO und ähnlichen Regimen bleiben personenbezogene Daten, die das Unternehmen auf diesem Gerät erreichen kann, weiterhin in dessen Verantwortung - genau deshalb ist das Container-Modell, das nur Arbeitsdaten absichert, sehr viel leichter zu verteidigen als eine vollständige Gerätekontrolle. Regulierte Branchen (Finanzen, Gesundheit, Recht) fügen Regeln zur Datenhandhabung und -aufbewahrung hinzu, die ein privates Gerät nicht heimlich brechen darf. Eine gute BYOD-Richtlinie benennt diese Grenzen ausdrücklich: was das Unternehmen sehen darf und was nicht, was es löschen darf und worauf sich der Mitarbeitende im Gegenzug für den Zugang einlässt.

BYOD und das Asset-Register

Der wiederkehrende Fehlerfall ist die Unsichtbarkeit: Private Geräte gelangen nie ins IT-Inventar, niemand kann auflisten, welche Geräte Unternehmenszugang haben, und das Offboarding übersieht sie völlig. Die Lösung besteht darin, BYOD-Geräte als Register-Einträge zu erfassen, die als privat gekennzeichnet sind - Inhaber, Gerätetyp und gewährter Zugang - neben den firmeneigenen Smartphones und Tablets. In AMPthilly kennzeichnet ein benutzerdefiniertes Feld am Asset-Datensatz ein Gerät als firmeneigen oder als BYOD, sodass eine Offboarding-Checkliste private Geräte mit Arbeitskonten schon vor dem letzten Arbeitstag der ausscheidenden Person anzeigt.

Verwandte Begriffe

• Hardware Asset Management - die Disziplin, an deren Rand BYOD-Geräte liegen
• IT-Inventar - der Datensatz, in dem BYOD-Geräte erscheinen sollten, als privat markiert
• Asset Discovery - Netzwerk-Scanning, das oft nicht registrierte BYOD-Geräte aufdeckt
• Configuration Item - die ITIL-Sicht auf Komponenten, die einen Service unterstützen
• Software Entitlement - die Lizenzrechte, die dem Nutzer folgen, nicht dem Gerät