Kon­su­me­ri­sierung in der IT

Das Gegenteil von Gut ist nicht Böse, sondern gut gemeint: Unter­nehmen, die ihren Mit­ar­beitern gestatten mit pri­vaten Smart­phones zu arbeiten sehen vor allem die Vor­teile und über­sehen das Sicher­heits­risiko. Böse sind höchstens die Folgen…

Als auf­merksame Zei­tungs­le­serin stoße ich in letzter Zeit immer häu­figer auf Artikel,  in denen das Ver­schmelzen von Beruf und Pri­vat­leben the­ma­ti­siert wird. Was auf den ersten Blick sehr prak­tisch für Unter­nehmen zu sein scheint, nämlich der mobile, allzeit erreichbare Mit­ar­beiter, erweist sich aller­dings aus dem Blick­winkel der IT-Sicherheit schnell als Fiasko. Hier treffen zwei Welten auf­ein­ander: Auf der einen Seite die  IT-Abtei­­lungen, die bislang auf sichere Lösungen gesetzt haben und Firmen-Note­­books und Smart­phones sorg­fältig in das Unter­neh­mens­netzwerk imple­men­tiert haben, um Sicher­heits­lücken zu ver­meiden. Auf der anderen Seite die Ver­braucher, denn gleich­zeitig steigt die Zahl pri­vater Smart­phones und Tablet-PCs unauf­hörlich. Viele dieser vom Her­steller oft als Gadgets gedachten Geräten sind den Ver­brau­chern so ans Herz gewachsen, dass sie auch beruflich nicht darauf ver­zichten möchten. Daher ist es bereits seit län­gerem gang und gäbe, dass Mit­ar­beiter ihre pri­vaten mobilen Geräte mit an den Arbeits­platz bringen. Zum nächsten Schritt, dass sie diese Geräte auch beruflich nutzen wollen, ist es dann nicht mehr weit. Dieser Trend wird als Kon­su­me­ri­sierung der Unter­­nehmens-IT bezeichnet oder schmis­siger mit „Bring your own device“ umschrieben.

Das Dilemma der IT-Abteilung
Das stellt die IT-Ver­­an­t­­wor­t­­lichen vor ein Dilemma. Hatten bisher die IT-Abtei­­lungen die Mög­lichkeit, die pas­senden Pro­dukte  für das Unter­nehmen sorg­fältig aus­zu­wählen, zu testen und in das Unter­neh­mens­netzwerk ein­zu­binden, bestimmen nun die Ver­braucher, die gleich­zeitig ja auch Mit­ar­beiter sind, den Takt. Für die ist es oft nicht ein­sehbar, dass sie dienstlich andere Geräte nutzen sollen, als die, die sie auch privat nutzen, weil sie benut­zer­freundlich und natürlich auch sehr trendy sind. Da mitt­ler­weile fast schon jeder Grund­schüler ein schickes Smart­phone mit Touch­screen hat, wird sich dieser Trend wohl auch nicht auf­halten lassen. Was aber bedeutet die “Bring your own Device”- Men­ta­lität der Mit­ar­beiter und Unter­nehmen in der Praxis? Urlaubs­fotos und Lieb­lingsongs neben Kun­den­daten und Geschäfts­ter­minen? Das Referat des Kindes, neben der Prä­sen­tation für die wich­tigsten Kunden?

Bei­spiel USA
Viel­leicht hilft auch hier ein Blick in die USA, um solche Pro­bleme zu lösen. Das Daten­schutz­recht dort ist aller­dings in vie­lerlei Hin­sicht nicht so streng, wie das deutsche. Es gibt aber trotzdem ein paar Punkte, die auch dort immer beachtet werden, denn aus Gründen des Daten­schutzes und der IT-Sicherheit müssen hier klare Rege­lungen gefunden werden: getrennte Daten­haltung, also keine Haltung geschäft­licher Daten auf dem End­gerät usw.:

• Unter­nehmen mit höchst ver­trau­lichen und sen­siblen Daten, wie Finanz­dienst­leister oder medi­zi­nische Branchen müssen prin­zi­piell anders agieren. Hier gilt Sicherheit vor Spaß.
• Auch Unter­nehmen mit einer hete­ro­genen Mit­ar­bei­ter­struktur kennen ten­den­ziell eher keine Inte­gration mobiler Mit­ar­bei­ter­geräte in das Firmennetz.
• Anders sieht es bei Unter­nehmen mit einer jungen und/oder tech­ni­kaf­finen Mit­ar­bei­ter­schaft aus. Da dort alle die Risiken kennen, ist hier die Wahr­schein­lichkeit am größten, dass Viren­schutz und andere Sicher­heits­software regel­mäßig und selbst­ver­ständlich genutzt werden.
• Die IT-Abteilung sorgt dafür, dass die geschäft­lichen Daten über vir­tuelle, mobile oder web­ba­sierte Anwen­dungen auf zen­tralen Servern laufen. So sind keine geschäft­lichen Daten lokal auf pri­vaten Geräten vor­handen. Die Vor­teile einer solchen Lösung liegen auf der Hand: Ein ver­hält­nis­mäßig hoher Schutz vor Viren und uner­laubtem Zugriff durch Dritte.

Da ich beruflich viel mit IT-Sicherheit und Daten­schutz zu tun habe, werde ich auf absehbare Zeit eine strikte Trennung pri­vater und beruf­licher Daten ein­deutig bevor­zugen. Ich vermute aber, dass sich auf lange Sicht die Kon­su­me­ri­sierung der IT durch­setzen wird und der Mensch in Zukunft mit einem Gerät auf diverse Clouds zugreifen wird, um seine Belange zu regeln. Bis dahin können wir uns ja schon mal über­legen, wie das am sichersten funk­tio­niert. Oder wie sehen sie das?