MDM Essen­ti­als — Mobi­le Device Manage­ment und Daten­schutz: Wor­auf muss man achten?

Mobi­le Device Manage­ment unter­liegt stär­ker als vie­le ande­re Soft­ware­lö­sun­gen dem Daten­schutz, denn nahe­zu alle Daten, die von einem MDM-Sys­tem ver­ar­bei­tet wer­den, sind per­so­nen­be­zo­ge­ne Daten. Inso­fern ist jeder Anwen­der eines MDM-Sys­tems ver­pflich­tet, dem Aspekt Daten­schutz bei der Aus­wahl des MDM-Sys­tems erhöh­te Bedeu­tung bei­zu­mes­sen, da die Ein­hal­tung der ein­schlä­gi­gen Daten­schutz­vor­schrif­ten und ‑geset­ze nicht in das Ermes­sen des Anwen­ders gelegt, son­dern eine gesetz­li­che Vor­ga­be ist. Hier­bei muss man zwi­schen gehos­te­ten und in der eige­nen Infra­struk­tur betrie­be­nen MDM-Lösun­gen unterscheiden.

Gehos­te­te Lösun­gen soll­ten grund­sätz­lich auf Ser­vern in deut­schen Rechen­zen­tren betrie­ben wer­den, die von deut­schen Anbie­tern ange­bo­ten wer­den. In die­sem Fall bestehen die Vor­aus­set­zun­gen, dass die deut­schen Daten­schutz­vor­schrif­ten ein­ge­hal­ten wer­den (kön­nen). Dies ist bei der (häu­fi­gen) Nut­zung von Cloud-Lösun­gen fast immer nicht der Fall, da über 90% der welt­wei­ten Cloud-Infra­struk­tur auf Ser­vern betrie­ben wer­den, die ame­ri­ka­ni­schen Unter­neh­men gehö­ren bzw. sich in deren direk­tem Zugriff befin­den. Mehr zu die­sem The­ma kön­nen Sie beim Unab­hän­gi­gen Lan­des­zen­trum für Daten­schutz Schles­wig-Hol­stein nachlesen.

Aber auch gehos­te­te Lösun­gen von Anbie­tern aus den USA bzw. mit Sitz in den USA auf kon­ven­tio­nel­len Ser­vern — selbst wenn die­se in Deutsch­land betrie­ben wer­den — ent­spre­chen regel­mä­ßig nicht deut­schen Daten­schutz­vor­schrif­ten, da die­se Unter­neh­men welt­weit ame­ri­ka­ni­schem Recht unter­lie­gen, dass kei­nen Daten­schutz in unse­rem Sin­ne kennt. Im Zuge der unter dem Begriff ‘Patri­ot Act’ in den letz­ten Jah­ren in den USA erfolg­ten Gesetz­ge­bung wur­de der Daten­schutz mitt­ler­wei­le so total aus­ge­höhlt, dass ein Unter­neh­men aus den USA bzw. mit Sitz in den USA Daten­schutz nach deut­schen Vor­schrif­ten regel­mä­ßig nicht lie­fern kann. Auch dies kön­nen Sie sich ggf. beim Unab­hän­gi­gen Lan­des­zen­trum für Daten­schutz Schles­wig-Hol­stein oder beim Daten­schutz­be­auf­trag­ten Ihres Bun­des­lan­des bestä­ti­gen lassen.

Etwas anders sieht die Lage bei Instal­la­tio­nen von MDM-Sys­te­men in der eige­nen Infra­struk­tur aus. Hier muss man wis­sen, dass es zwei­er­lei MDM-Sys­te­me gibt. Zum einen Sys­te­me, die die Daten des MDM-Sys­tems über Netz­werk­struk­tu­ren in den USA (soge­nann­te NOCs) zur Ver­ar­bei­tung lei­ten, zum ande­ren Sys­te­me, die dies nicht tun. Sys­te­me, die die Daten über Netz­werk­in­fra­struk­tu­ren in den USA oder unter der Kon­trol­le ame­ri­ka­ni­scher Anbie­ter lei­ten, ent­spre­chen grund­sätz­lich nicht deut­schen Daten­schutz­vor­schrif­ten. Dies gilt allein schon des­halb, weil in den USA kei­ne deut­schen Daten­schutz-Stan­dards ent­spre­chen­den Geset­ze und Vor­schrif­ten in Kraft sind.

Erschwe­rend kommt hin­zu, dass — resul­tie­rend aus den Vor­schrif­ten der Patri­ot-Act-Gesetz­ge­bung — jeder ame­ri­ka­ni­sche Her­stel­ler von Soft­ware, die mit Ver­schlüs­se­lun­gen stär­ker als 56 Bit arbei­tet (und das ist jedes MDM-Sys­tem!), beim Export ver­pflich­tet ist, dem ame­ri­ka­ni­schen Han­dels­mi­nis­te­ri­um (und dadurch indi­rekt der NSA, dem ame­ri­ka­ni­schen Geheim­dienst) sei­ne Ver­schlüs­se­lung offen­zu­le­gen. Wenn man jetzt noch berück­sich­tigt, dass wesent­li­che Tei­le der deut­schen Mobil­kom­mu­ni­ka­ti­on (legal!) von den Ame­ri­ka­nern aus Gries­heim bei Frank­furt mit­ge­schnit­ten wer­den dür­fen, wird auch dem Lai­en das Sicher­heits­ni­veau ame­ri­ka­ni­scher MDM-Lösun­gen schnell klar.

Auf den Punkt gebracht: Der Ein­satz ame­ri­ka­ni­scher Lösun­gen in Deutsch­land ist nicht nur in vie­len Fäl­len schlicht ille­gal, er ist zudem auch noch höchst unsi­cher! Es ist lächer­lich, wenn die Ver­käu­fer und Anbie­ter ame­ri­ka­ni­scher Lösun­gen von Daten­schutz und Sicher­heit im Ver­kaufs­ge­spräch spre­chen, hier wird oft aktiv gelogen.

Aber auch die Lösung selbst soll­te vor der Beschaf­fung inten­siv unter­sucht wer­den, denn in kei­nem ande­ren IT-Markt wird mehr falsch infor­miert und gelo­gen als im MDM-Markt. Des­halb tes­ten Sie das MDM-Sys­tem Ihrer Wahl, das nach den obi­gen Aus­füh­run­gen natür­lich aus Euro­pa kom­men soll­te, gezielt auf fol­gen­de Sicherheitsaspekte:

  • Sämt­li­che Kom­mu­ni­kti­on (nicht nur die zu den mobi­len End­ge­rä­ten) erfolgt min­des­tens über SSL.
  • Gehos­te­te Lösun­gen wer­den über VPN lücken­los in das Anwen­der-Netz­werk eingebunden.
  • Die Kom­mu­ni­ka­ti­on auf dem SSL- oder VPN-Kanal wird zusätz­lich kom­plett ver­schlüs­selt (AES oder 3DES ab 256 Bit).
  • Sämt­li­che Pro­duk­tiv­da­ten auf dem MDM-Ser­ver wer­den ver­schlüs­selt abge­legt (AES oder 3DES ab 256 Bit).
  • Admi­nis­tra­to­ren und Bedie­ner des MDM-Sys­te­mes kön­nen nicht Ein­blick in die Daten der Benut­zer nehmen.

Prü­fen Sie die Ein­hal­tung der oben ange­führ­ten Schutz­mass­nah­men selbst bzw. las­sen Sie sich vom Her­stel­ler auf dem Ser­ver die Orte zei­gen, wo die ent­spre­chen­den Daten lie­gen. Ein Beteu­ern des Ver­käu­fers, dass all dies selbst­ver­ständ­lich sei, ist kom­plett wert­los, denn er weiß es meis­tens wirk­lich nicht bes­ser. Holen Sie sich ggf. auch exter­nen Sach­ver­stand zu die­sem The­ma, denn die Über­prü­fung der Ein­hal­tung des Daten­schut­zes durch MDM-Sys­te­me ist nicht trivial.

Wenn Sie ande­re Fra­gen zur Ein­hal­tung des Daten­schut­zes in der Mobi­li­ty haben, fra­gen Sie uns bit­te. Wir haben die Ant­wort — Garan­tiert! Las­sen Sie auch Ihre Freun­de und Bekann­ten an Ihrem Wis­sen teil­ha­ben und emp­feh­len die­sen Bei­trag doch auf Twit­ter, Goog­le oder Face­book wei­ter. Und zuletzt: Beant­wor­ten Sie bit­te unse­re 3 Fra­gen am Ende des Arti­kels. Vie­len Dank!


Ande­re inter­es­san­te Beiträge:
White­pa­per datomo MDM um neue Fea­tures und EU-DSGVO aktua­li­siert — jetzt anfor­dern!
Wir haben das White­pa­per datomo Mobi­le Device Manage­ment (datomo MDM) aktua­li­siert und um neu­es­te tech­ni­sche Fea­tures und aktu­ells­te The­men zum Daten­schutz wie die im Mai 2018 in Kraft tre­ten­de Euro­päi­sche Daten­schutz­grund­ver­ord­nung (EO-DSGVO) erwei­tert. Lesen Sie in unse­rem aktu­el­len, ausführlic…
Bring Your Own Device – Geben Sie die Rich­tung vor! Die Regeln für BYOD soll­ten immer vom Unter­neh­men kom­men!
Laut einer Stu­die der West­fä­li­schen Wil­helm-Uni­ver­si­tät Müns­ter, For­schungs­grup­pe für Kom­mu­ni­ka­ti­ons- und Kol­la­bo­ra­ti­ons­ma­nage­ment aus dem Novem­ber 2012, bei der 216 Mit­ar­bei­ter aus Unter­neh­men zum The­ma der Nut­zung beruf­li­cher Emails auf pri­va­ten mobi­len End­ge­rä­ten befragt wur­den, wur­de ermittelt, …
Mobi­le Device Manage­ment (MDM) — Good ver­klagt Air­Watch und MobileI­ron wegen Patent­ver­let­zun­gen
In Deutsch­land ist erstaun­li­cher­wei­se noch weit­ge­hend unbe­kannt, dass Good MobileI­ron und Air­Watch wegen zahl­rei­cher Patent­ver­let­zun­gen vor dem Distrikt­ge­richt von San Jose am 14. Novem­ber ver­klagt hat. Wen der Ort San Jose an etwas erin­nert — rich­tig! Apple hat dort vor kur­zem erst mit Pau­ken und T…
MDM-Essen­ti­als — Neu­es White­pa­per für datomo Mobi­le Device Manage­ment anfor­dern
Wir ver­sen­den tag­täg­lich unse­re White­pa­per an inter­es­sier­te Leser und freu­en uns über die über­wäl­ti­gend posi­ti­ve Reso­nanz. Nicht erst ein­mal haben wir gehört, dass unse­re White­pa­per die bes­ten in der gesam­ten MDM-Indus­trie sei­en, was uns immer wie­der freut. Aber am Lob wächst man nicht, viel mehr hi…
datomo MDM — Klei­ne Ein­füh­rung in die Anwen­dungs­ver­wal­tung
Heu­te wol­len wir den Lesern unse­res Blogs die Anwen­dungs­ver­wal­tung in datomo MDM vor­stel­len und die­se in den nächs­ten Arti­keln dann auch ver­tie­fend erläu­tern. In prak­ti­schen Tipps zu datomo MDM infor­mie­ren wir in unre­gel­mä­ßi­ger Fol­ge über wie­der­keh­ren­de Fra­gen unse­rer Anwen­der, die in Bezug auf die…

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

I accept that my given data and my IP address is sent to a server in the USA only for the purpose of spam prevention through the Akismet program.More information on Akismet and GDPR.

Geben Sie bitte das Ergebnis ein: * Time limit is exhausted. Please reload CAPTCHA.