Mobile Device Management: Mobile Device Management (MDM) ist eine zentrale Softwarelösung, mit der Unternehmen Smartphones, Tablets und Notebooks verwalten, konfigurieren, absichern und im Verlustfall aus der Ferne sperren oder löschen können.
Typische Funktionen umfassen die zentrale Durchsetzung von Passwortrichtlinien, automatische Verschlüsselung, Trennung dienstlicher und privater Daten auf demselben Gerät sowie das Fernlöschen bei Verlust oder Diebstahl. Besonders bei Bring-your-own-device-Konzepten (BYOD), bei denen Mitarbeitende private Geräte dienstlich nutzen, ist MDM praktisch unverzichtbar.
- Zentrale Durchsetzung von Sicherheitsrichtlinien
- Trennung von dienstlichen und privaten Daten
- Fernlöschung bei Verlust oder Diebstahl
- Automatisiertes Einspielen von Sicherheitsupdates
ISO 27001 adressiert mobile Endgeräte in Anhang A insbesondere über Control 8.1 zu Nutzerendgeräten und Control 6.7 zu Remote Working. Ein MDM-System liefert für beide Controls konkrete technische Umsetzung, ersetzt aber nicht die zugrunde liegende Richtlinie, die festlegt, welche Geräte überhaupt dienstlich genutzt werden dürfen.
Ohne MDM verlassen sich viele Unternehmen ausschließlich auf das Verantwortungsbewusstsein einzelner Mitarbeitender – ein Risiko, das bei verlorenen oder gestohlenen Geräten schnell zum Datenschutzvorfall wird.
Bei der Einführung von MDM sollten Unternehmen frühzeitig auch die Mitbestimmungsrechte des Betriebsrats berücksichtigen, da die Software potenziell auch zur Verhaltens- und Leistungskontrolle von Beschäftigten geeignet ist. Eine transparente Betriebsvereinbarung, die Umfang und Grenzen der Überwachung klar regelt, schafft hier Akzeptanz und verhindert spätere Konflikte über den tatsächlichen Einsatzzweck der Software.
Relevanz für die Zertifizierung
Im ISO-27001-Audit wird häufig konkret nachgefragt, wie mobile Geräte mit Zugriff auf Unternehmensdaten abgesichert sind – ohne MDM oder vergleichbare technische Maßnahme fällt es schwer, Control 8.1 glaubhaft nachzuweisen. Für kleinere Betriebe ohne eigene IT-Abteilung gibt es mittlerweile auch schlanke, cloudbasierte MDM-Lösungen, die sich ohne großen Implementierungsaufwand einführen lassen und damit auch für den Mittelstand praktikabel sind. Für Unternehmen ohne eigene IT-Abteilung bieten viele Managed-Service-Anbieter mittlerweile MDM als Teil eines Gesamtpakets an, wodurch sich die technische Umsetzung auslagern lässt, während die grundsätzliche Richtlinie zur zulässigen Gerätenutzung weiterhin im eigenen Unternehmen festgelegt werden sollte.
Häufige Fragen zu Mobile Device Management
Die Norm schreibt kein bestimmtes Produkt vor, verlangt aber in Anhang A Control 8.1 Maßnahmen zum Schutz von Nutzerendgeräten. Bei geschäftlicher Nutzung von Smartphones oder Tablets mit Zugriff auf Unternehmensdaten gilt MDM als praxisübliches, effektives Mittel, diese Anforderung nachvollziehbar zu erfüllen.
Wenn dienstliche oder private Geräte auf Unternehmensdaten zugreifen, ja – unabhängig von der Unternehmensgröße. Cloudbasierte MDM-Lösungen ohne eigene Serverinfrastruktur machen den Einstieg mittlerweile auch für kleinere Betriebe mit überschaubarem Aufwand möglich, statt sich allein auf individuelles Verhalten der Mitarbeitenden zu verlassen.
Ohne MDM bleibt oft nur die Sperrung der SIM-Karte und betroffener Zugänge über die jeweiligen Dienste, während lokal gespeicherte Daten auf dem Gerät ungeschützt bleiben. Mit MDM lässt sich das Gerät dagegen aus der Ferne sperren oder vollständig löschen, was das Risiko eines Datenschutzvorfalls erheblich reduziert.