Bring Your Own Device: Sinnvoll oder riskant?

Die Frage, ob Bring Your Own Device sinnvoll oder riskant ist, lässt sich nicht pauschal beantworten. Entscheidend ist nicht das Konzept selbst, sondern ob die Nutzung privater Geräte im Unternehmen geregelt ist oder einfach passiert. In vielen Betrieben ist BYOD längst Alltag: Mitarbeitende lesen Dienstmails auf dem privaten Smartphone, greifen vom eigenen Laptop auf Dateien zu oder nehmen mit dem privaten Tablet an Videokonferenzen teil – ohne dass je eine bewusste Entscheidung gefallen wäre. Genau darin liegt das eigentliche Risiko.

Was BYOD konkret bedeutet

Bring Your Own Device bezeichnet die Nutzung privater Endgeräte für dienstliche Zwecke. Das Spektrum reicht vom Smartphone, auf dem nebenbei Mails eingehen, bis zum privaten Rechner im Homeoffice, über den auf zentrale Unternehmensdaten zugegriffen wird. Davon abzugrenzen ist das umgekehrte Modell: ein Dienstgerät, das auch privat genutzt werden darf. Beide Modelle stellen unterschiedliche Anforderungen an Regeln und Technik und sollten nicht vermischt werden.

Wo die tatsächlichen Risiken liegen

Das größte Problem ist die Vermischung privater und dienstlicher Daten auf einem Gerät, das das Unternehmen weder besitzt noch vollständig kontrolliert. Daraus ergeben sich mehrere konkrete Risiken:

• Verlust oder Diebstahl: Geht ein privates Gerät verloren, auf dem dienstliche Daten liegen, hängt der Schaden davon ab, ob Verschlüsselung und Sperrung eingerichtet waren – und ob das Unternehmen überhaupt erfährt, dass etwas passiert ist.
• Unbekannter Update-Stand: Ob das private Gerät aktuelle Sicherheitsupdates erhält, entscheidet allein der Besitzer. Ein veraltetes Betriebssystem mit bekannten Schwachstellen wird so zum Einfallstor.
• Schadsoftware aus der Privatnutzung: Apps aus zweifelhaften Quellen, unsichere öffentliche WLANs oder ein Jailbreak betreffen auch die dienstlichen Daten auf demselben Gerät.
• Austritt von Mitarbeitenden: Wenn ein Beschäftigter das Unternehmen verlässt, bleiben dienstliche Daten auf seinem Privatgerät – sofern keine Löschung geregelt und durchgesetzt ist.
• Datenschutz: Werden personenbezogene Daten auf Geräten verarbeitet, die das Unternehmen nicht kontrolliert, lassen sich die Anforderungen der Datenschutz-Grundverordnung an geeignete technische und organisatorische Maßnahmen kaum nachweisen.
• Ungeklärte Haftung: Wer haftet, wenn über ein kompromittiertes Privatgerät ein Schaden entsteht? Ohne schriftliche Vereinbarung ist das im Ernstfall Streitfrage.

Warum Unternehmen BYOD trotzdem zulassen

Die Argumente dafür sind handfest. Die Anschaffung von Geräten entfällt oder reduziert sich. Mitarbeitende arbeiten mit Geräten, die sie kennen und mögen, was Einarbeitung und Supportanfragen verringert. Mobiles Arbeiten und schnelle Erreichbarkeit lassen sich ohne zusätzliche Hardware ermöglichen. Und im Wettbewerb um Fachkräfte ist die freie Gerätewahl für manche Bewerberin und manchen Bewerber ein echtes Argument.

Diese Vorteile relativieren sich allerdings: Was an Anschaffung gespart wird, fließt oft in Verwaltung, Support und Absicherung. BYOD ist kein kostenloses Modell, sondern verlagert den Aufwand.

Erst prüfen, dann erlauben: Die Vorbereitung

Bevor das erste private Gerät angebunden wird, gehören drei Fragen auf den Tisch.

Welche Daten sollen erreichbar sein? Klassifizieren Sie Ihre Daten. Dienstmails und Termine sind etwas anderes als Personalakten, Gesundheitsdaten, Kundenfinanzen oder Konstruktionsunterlagen. Eine sinnvolle Grundregel: Je schützenswerter die Daten, desto weniger geeignet ist das private Gerät.

Wer braucht den Zugriff wirklich? Grenzen Sie den Personenkreis ein. Nicht jede Rolle braucht mobilen Zugriff, und je kleiner der Kreis, desto beherrschbarer das Risiko.

Wer ist zuständig? Die Geschäftsführung entscheidet, ob und in welchem Umfang BYOD erlaubt wird – sie trägt die Verantwortung für den Datenschutz im Unternehmen. Die IT-Verantwortung, ob intern oder extern, definiert die technischen Mindestanforderungen und setzt sie um. Gibt es einen Betriebsrat, ist dieser frühzeitig einzubinden, weil die Einführung von Verwaltungssoftware auf Geräten mitbestimmungspflichtig sein kann. Und jede Mitarbeiterin und jeder Mitarbeiter, die oder der ein privates Gerät nutzt, unterschreibt die Vereinbarung.

Die BYOD-Richtlinie: Was hineingehört

Ohne schriftliche, unterschriebene Richtlinie ist BYOD nicht geregelt, sondern geduldet. Die Richtlinie sollte mindestens Folgendes festhalten:

• Zugelassene Geräte und Mindeststand: aktuelles Betriebssystem mit Sicherheitsupdates, Bildschirmsperre mit sicherem Code, Geräteverschlüsselung, kein Jailbreak oder Root.
• Trennung von dienstlich und privat: Dienstdaten nur in einem verwalteten Bereich (Container oder Arbeitsprofil), nicht in privaten Apps.
• Verhalten bei Verlust oder Diebstahl: unverzügliche Meldung, ferngesteuerte Löschung – und die klare Regelung, ob nur der dienstliche Bereich oder das ganze Gerät gelöscht wird.
• Transparenz über die Verwaltung: Was die IT auf dem Gerät sehen und steuern kann und was nicht. Private Fotos, Nachrichten und Standortdaten sollten ausdrücklich tabu sein.
• Austrittsprozess: Beim Ausscheiden werden die dienstlichen Daten vom Gerät entfernt, idealerweise nachvollziehbar dokumentiert.
• Nutzung durch Dritte: Ob Familienmitglieder das Gerät mitbenutzen dürfen und unter welchen Bedingungen.

Technische Umsetzung: Trennung statt Vertrauen

Der technische Kern ist die Trennung der Welten auf dem Gerät. Dafür gibt es etablierte Mechanismen: ein Arbeitsprofil auf Android-Geräten, die Verwaltung dienstlicher Apps und Daten auf iPhones und iPads über eine Mobile-Device-Management-Lösung oder Container-Anwendungen, die Mails und Dokumente in einem abgeschotteten Bereich halten. Ergänzend sorgt ein bedingter Zugriff dafür, dass nur Geräte auf Unternehmensdaten zugreifen, die die definierten Anforderungen erfüllen. Eine Mehr-Faktor-Authentifizierung sollte ohnehin Standard sein. Wo immer möglich gilt: Zugriff statt Kopie – Daten bleiben auf den Systemen des Unternehmens und werden nicht lokal gespeichert.

Bei der Auswahl der Lösung sollten Sie dem Anbieter konkrete Fragen stellen: Wie genau wird der dienstliche Bereich vom privaten getrennt? Lässt sich eine Löschung auf den dienstlichen Bereich beschränken, ohne private Daten anzutasten? Welche Informationen über das Gerät und die Privatnutzung sind für die Administration sichtbar? Was passiert bei einem Gerätewechsel? Und wie wird sichergestellt, dass Geräte ohne aktuelle Updates den Zugriff verlieren?

Woran Sie merken, dass BYOD schiefläuft

Einige Warnsignale zeigen, dass die Nutzung außer Kontrolle gerät: Niemand kann auf Anhieb sagen, welche privaten Geräte auf welche Daten zugreifen. Die Richtlinie existiert, aber niemand hat sie unterschrieben. Geräte mit längst veralteten Betriebssystemen haben weiterhin Zugriff. Mitarbeitende richten sich den Zugriff selbst ein, weil der offizielle Weg zu umständlich ist. Und beim Offboarding wird an das Dienstgerät gedacht, nicht aber an das private Smartphone der scheidenden Kollegin. Wenn der Supportaufwand für die vielen unterschiedlichen Geräte die eingesparten Anschaffungskosten auffrisst, ist das ebenfalls ein Zeichen, das Modell zu überdenken.

Wann sich BYOD nicht lohnt

Es gibt klare Fälle, in denen von BYOD abzuraten ist. Wenn die betroffenen Mitarbeitenden regelmäßig mit besonders schützenswerten Daten arbeiten – Gesundheitsdaten, Personal- und Finanzdaten, vertrauliche Entwicklungsergebnisse –, gehört der Zugriff auf vollständig kontrollierte Dienstgeräte. Das gilt auch, wenn Kunden oder Branchenanforderungen nachweisbare Kontrolle über alle verarbeitenden Geräte verlangen. Bei nur wenigen betroffenen Personen ist ein Dienstgerät oft der einfachere und am Ende günstigere Weg. Und wer weder die Kapazität hat, eine Verwaltungslösung zu betreiben, noch eine Richtlinie zu pflegen und durchzusetzen, sollte private Geräte gar nicht erst zulassen – denn halbherzig umgesetztes BYOD verbindet die Nachteile beider Welten.

Fazit: Es kommt auf die Regeln an

Bring Your Own Device ist weder per se sinnvoll noch per se riskant. Riskant ist allein die ungeregelte Nutzung, die in vielen Unternehmen längst stattfindet, ohne dass jemand sie beschlossen hätte. Wer seine Daten klassifiziert, den Personenkreis eingrenzt, eine schriftliche Richtlinie durchsetzt und die technische Trennung sauber umsetzt, kann die Vorteile nutzen, ohne die Kontrolle zu verlieren. Wer das nicht leisten kann oder will, fährt mit Dienstgeräten besser. Die Frage aus dem Titel beantwortet sich damit durch eine Gegenfrage: Haben Sie die Nutzung privater Geräte unter Kontrolle – oder findet sie einfach statt?

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.