Source: https://www.hausarbeiten.de/document/209819
Timestamp: 2019-10-23 16:30:04+00:00

Document:
BYOD im MS Exchange Umfeld. | Hausarbeiten publizieren
Eine Evaluierung von Mobile Device Management Lösungen auf Basis einer Nutzwertanalyse
2.1 Microsoft Exchange
2.1.1 Microsoft Exchange Server
2.1.2 Microsoft Exchange ActiveSync
2.2 Mobile Device Management
2.2.4 Basisfunktionen
2.2.4.1 Provisionierung
2.2.4.2 Richtlinienverwaltung
2.2.4.3 Softwareverteilung
2.2.4.4 Inventarmanagement
2.2.5 Lösungen
2.2.5.1 AirWatch
2.2.5.2 Good for Enterprise
2.2.5.3 MaaS
2.2.5.4 MobileIron
2.2.5.5 MobileManager
2.3 Betriebssysteme mobiler Endgeräte
2.3.2 Appsle iOS
2.3.3 Symbian
2.3.4 Windows Mobile/Phone
2.4 Standards zur IT-Sicherheit
3.4 Organisatorische Herausforderungen
3.4.1 Wahrung des Persönlichkeitsrechts
3.4.2 Arbeitszeit
3.4.3 Kostentragung
3.4.4 Löschen von Daten oder Zurücksetzen des mobilen Endgerätes
3.4.5 Festes setzten von Geräteeinstellungen
3.4.6 Entfernen der geschäftlichen Daten beim Ausscheiden
3.4.7 Nutzung durch Dritte und Weitergabe an Dritte
3.4.8 Mitteilungspflicht bei Verlust
3.4.9 Reparaturfall
3.4.10 Wartung & Softwareaktualisierungen
3.4.11 Support
3.4.12 Lizenzmanagement
3.4.13 Reglungen zur Haftung & Kündigung
3.5 Technische Herausforderungen
4.2 Kriterien Bestimmung
4.2.1 Funktionalität
4.2.1.1 Rollenmanagement
4.2.1.2 Unterstützte Betriebssysteme
4.2.1.3 Benutzerverwaltung
4.2.1.4 Monitoring & Log Management
4.2.1.5 Hochverfügbarkeit
4.2.1.6 Trennung von Privat- und Unternehmensdaten
4.2.1.7 Abgleichmöglichkeiten der Datenbestände
4.2.2.1 Bereitstellen von Unternehmensrichtlinien
4.2.2.2 Freigeben von mobilen Endgeräten
4.2.2.3 Schwachstellenmanagement
4.2.2.4 Behandlung bei Geräteverlust
4.2.2.5 Handhabung des Betriebssystems
4.2.2.6 Softwaremanagement
4.2.3 Benutzerfreundlichkeit
4.2.3.1 Self-Service
4.2.3.2 Provisionierung
4.2.3.3 Mehrsprachigkeit
4.4 Beschreibung der Alternativen
4.4.1 Funktionalität
4.4.1.1 Rollenmanagement
4.4.1.2 Unterstützte Betriebssysteme
4.4.1.3 Benutzerverwaltung
4.4.1.4 Monitoring & Log Management
4.4.1.5 Hochverfügbarkeit
4.4.1.6 Trennung Privat- und Unternehmensdaten
4.4.1.7 Abgleichmöglichkeiten der Datenbestände
4.4.2.1 Bereitstellen von Unternehmensrichtlinien
4.4.2.2 Freigeben von mobilen Endgeräten
4.4.2.3 Schwachstellenmanagement
4.4.2.4 Behandlung bei Geräteverlust
4.4.2.5 Handhabung des Betriebssystems
4.4.2.6 Softwaremanagement
4.4.3 Benutzerfreundlichkeit
4.4.3.1 Self-Service
4.4.3.2 Provisionierung
4.4.3.3 Mehrsprachigkeit
4.4.5 Kosten
Abb. 1: Weltweiter Absatz von Smartphones von 2007 bis
Abb. 2: AirWatch Rollenmanagement
Abb. 3: Good Rollenmanagement
Abb. 4: MaaS360 Rollenmanagement
Abb. 5: MobileIron Rollenmanagement
Abb. 6: Zenprise Rollenmanagement
Abb. 7: AirWatch Privatsphäreneinstellung
Abb. 8: Good Privatsphäreneinstellung
Abb. 9: MaaS360 Privatsphäreneinstellung
Abb. 10: MobileIron Privatsphäreneinstellung
Abb. 11: AirWatch Architektur
Abb. 12: Good Architektur
Abb. 13: MaaS360 Architektur
Abb. 14: MobileIron Architektur
Abb. 15: Zenprise Architektur
Abb. 16: Marktanteile von mobilen Betriebssystemen am Smartphone-Absatz in Europa 2011/2012
Abb. 17: Risikomatrix
Abb. 18: Gartner Hype
Abb. 19: Apple Over-the-Air Provisionierung
Abb. 20: OMA DM Bootstrapping
Abb. 21: MDM Richtlinienverteilung
Abb. 22: MDM Provisionierungsablauf
Abb. 23: Gartner Magic Quadrant 2012 für MDM Software
Anhang 1: Weltweiter Absatz von Smartphones
Anhang 2: Nutzwertanalyse
Anhang 3: Screenshots zum Rollenmanagement
Anhang 4: Screenshots zur Privatsphäreneinstellung
Anhang 5: Vergleichslisten
Anhang 6: AirWatch Architektur
Anhang 7: Good Architektur
Anhang 8: MaaS360 Architektur
Anhang 9: MobileIron Architektur
Anhang 10: Zenprise Architektur
Anhang 11: Marktanteile von mobilen Betriebssystemen
Anhang 12: Risikomatrix
Anhang 13: Gartner Hype
Anhang 14: Apple Over-the-Air Provisionierung
Anhang 15: OMA DM Bootstrapping
Anhang 16: MDM Richtlinienverteilung
Anhang 17: MDM Provisionierungsablauf
Anhang 18: Gartner Magic Quadrant für MDM Software
Tabelle 1: Transformationsfunktion der Nutzwertanalyse
Tabelle 3: Sprachunterstützung
Tabelle 4: Self-Service Funktionen
Tabelle 5: Datenhaltung
Tabelle 6: Schwachstellen Management
Tabelle 7: Provisionierung
Tabelle 8: Gerätefreigabe
Tabelle 9: Benutzerverwaltung
Die in den letzten Jahren zunehmende Verbreitung von mobilen Endgeräten wie Smartphones[1] und Tablet PCs, führt dazu, dass sich unsere Arbeitswelt verändert.[2] So erlauben viele Arbeitgeber den Arbeitnehmern, dass sie mit mobilen Endgeräten, orts- und zeitabhängig, auf Ressourcen und Informationen des Unternehmens zugreifen können.[3] Laut einer Studie der IDC, die im Auftrag von Unisys erstellt wurde, nutzten im Jahr 2010 schon 30% und 2011 40% der Befragten ihre privaten Endgeräte im Unternehmensumfeld.[4] Eine andere Studie aus dem Jahre 2011, die von Accenture durchgeführt wurde, kommt auf einen ähnlich hohen Wert von 52%.[5] Es ist daher davon auszugehen, dass immer mehr Arbeitnehmer die ihnen bekannten mobilen Endgeräte, auch im Unternehmen nutzen möchten.[6] Daher dürfen sich Arbeitgeber diesem Trend nicht mehr verschließen, wenn sie weiterhin gut ausgebildete Fachkräfte für sich gewinnen wollen.[7] Jedoch erhöht der Einsatz mobiler Endgeräte „die Risiken der Verletzung der Informationssicherheit signifikant und erfordert eine umfassende Integrationsstrategie“[8]. Laut den Studien der Unternehmen Gartner und Ponemon kann eine Mobile Device Management (MDM) Lösung helfen, die Risiken, die dabei auftreten können, zu minimieren.[9]
Das Ziel der vorliegenden Thesis besteht darin, dem Leser ein Überblick über das Thema ‚Bring Your Own Device‘ (BYOD) zu bieten. Darüber hinaus soll sie Handlungsempfehlungen für eine Implementierung in einem Microsoft Exchange Umfeld aufzeigen. Um dieses Ziel erreichen zu können, bedarf es mehrerer Teilziele. So sollen neben dem Themenkomplex rund um das Thema BYOD zuerst die technischen Grundlagen des Mobile Device Managements, sowie der Nutzwertanalyse vermittelt werden. Anschließend sollen dem Leser die Herausforderungen des BYOD-Modells erläutert und für eine Nutzwertanalyse aufbereitet werden. Die anschließend durchgeführte Nutzwertanalyse wird eine Mobile Device Management Lösung herausarbeiten, die am besten für das BYOD-Modell geeignet ist.
Die vorliegende Thesis beschäftigt sich mit der Einbindung von mobilen Endgeräten, mit den am häufigsten verbreiteten Betriebssystemen Apple iOS, Microsoft Windows Mobile/Phone, Symbian und Android,[10] in einem BYOD-Szenario unter Verwendung von Microsoft Exchange ActiveSync (EAS). Um einen fachlichen Rahmen für die vorliegende Thesis zu definieren, wird auf folgende Bereiche nicht eingegangen:
- Auf das von HP stammende WebOS (und nun Gram genannt[11] ), da es der Vertrieb seitens HP eingestellt[12] wurde.
- Auf das von Nokia und Intel stammende Meego, das nun von dem Unternehmen Jolla Ltd. (unter dem Namen Sailfish) weiter entwickelt wird,[13] da Nokia in Zukunft auf ihren mobilen Endgeräten Windows Phone einsetzen wird.[14] Darüber hinaus ist noch kein mobiles Endgerät mit dem Meego oder Sailfish Betriebssystem verfügbar.
- Auf das von Intel und Samsung entwickelte Tizen Betriebssystem,[15] da zum Zeitpunkt des Erstellens dieser Thesis noch kein mobiles Endgerät damit käuflich zu erwerben ist.
- Auf das von Samsung entwickelte Bada Betriebssystem, da es kaum verbreitet ist. Zudem wird es wahrscheinlich von Samsung nicht mehr weiter entwickelt und in Tizen integriert.[16]
- Auf die derzeitigen Blackberry-Geräte des Unternehmens RIM und deren Blackberry Infrastruktur, da die Geräte sich zum Zeitpunkt des Erstellens der Thesis nicht ohne eine solche Infrastruktur verwenden lassen.
- Auf Rechtsprechungen (auch außerhalb Deutschlands), die das Thema dieser Thesis betreffen könnten, sowie auf tief greifende rechtlichen Bestimmungen (Rechtskonformität).
- Auf andere Mobile Device Management Lösungen, die in dem zum Zeitpunkt der Thesis aktuellen Gartner Report nicht als Leader (siehe Abb. 23: Gartner Magic Quadrant 2012 für MDM Software) geführt werden.[17]
- Auf die Kostenaspekte zwischen Cloud und On-Premises Lösungen.
Darüber hinaus werden Technische Grundlagen wie z.B. das Wissen über die DMZ im Netzwerkbereich vorausgesetzt.
Die vorliegende Thesis ist in fünf Oberkapitel gegliedert, die aufeinander aufbauen. Das Einleitungskapitel dient dazu, die Motivation sowie die Zielsetzung näher zu beschreiben. Im Grundlagenkapitel werden zunächst die Themen behandelt, die zum bessere Verständnis der Thesis benötigt werden, und in der dafür benötigten Detailtiefe nicht im Glossar abgehandelt werden können. Hier finden sich die Grundlagen zum Themenbereich der Betriebssysteme, der mobilen Endgeräte sowie Grundlagen zu Exchange und dem Mobilen Device Management. Das dritte Kapitel soll dem Leser dann das BYOD-Modell näher bringen und dessen Vor- und auch Nachteile aufzeigen. In dem Kapitel werden sowohl die organisatorischen, wie auch die technischen Herausforderungen erarbeitet, die für die Umsetzung des BYOD-Modells gelöst werden müssen. Das vierte Kapitel stellt die Nutzwertanalyse dar, die dafür genutzt wird, um eine Mobile Device Management Lösung auszuwählen, mit der die technischen Herausforderungen des BYOD-Modells gelöst werden können. Das letzte Kapitel dieser Thesis beinhaltet eine Schlussbetrachtung sowie einen Ausblick auf mögliche Entwicklungen.
Exchange bzw. Microsoft Exchange ist ein Server Produkt aus dem Hause Microsoft, das Funktionen wie Mailing- und Adressverwaltung, Aufgaben und Kalender sowie Email bereitstellt.[18] Es zählt zu den Groupware-Lösungen, die die Teamarbeit durch das gemeinsame Bearbeiten und Verteilen von digitalen Elementen fördern soll und beruht auf dem Client/Server Prinzip.[19] Dabei stellt Microsoft Exchange die Server Komponente und z.B. Microsoft Office oder ein über EAS angeschlossenes mobiles Endgerät den Client dar. Laut dem Gartner ‘MarketScope for Email Systems’ gibt es eine Vielzahl von unterschiedlichen Produkten, wobei die Microsoft Exchange Lösung die am häufigsten eingesetzte ist,[20] und daher als technische Grundlage für die Thesis dient.
Microsoft Exchange ActiveSync (EAS) ist ein von Microsoft entwickeltes Protokoll, das ursprünglich zur Synchronisation von Emails, Kalendern und Kontakten zwischen mobilen Endgeräten über http/https[21] und dem Microsoft Exchange Server entwickelt wurde.[22] Dieses Protokoll hat sich mittlerweile als Standard etabliert[23] und wird von vielen Herstellern mobiler Betriebssystemen lizenziert[24] und damit unterstützt. Das Protokoll wurde mit jeder Microsoft Exchange Version weiterentwickelt und unterstützt mittlerweile zusätzlich zur Synchronisation eine Reihe von Sicherheitsmerkmalen wie z.B. das Fernlöschen.[25] In der derzeit vorliegenden Version 14.1 werden unter anderem die folgenden Sicherheitsmerkmale unterstützt:[26]
- Fernlöschen (remote wipe)
- Deaktivieren von WLAN, Bluetooth, SMS, Kamera, POP3 und Wechselspeicher
- Verbieten von nicht signierten Apps
- Geräteverschlüsselung
- Passwortverwaltung (z.B. Passwortlänge und Qualität)
- Blockieren und Erlauben von Apps (Positiv- & Negativliste)
Allein betrachtet ist das Protokoll aber unzureichend um mobile Endgeräte zu verwalten, da es z.B. keine Jailbreak- und Root-Erkennung besitzt[27] und nicht alle mobilen Betriebssysteme vollständig die von EAS zu Verfügung gestellten Sicherheitsmerkmale unterstützen.[28] Der Vollständigkeit halber sei an dieser Stelle erwähnt, dass andere Groupware-Hersteller ebenfalls begonnen haben, dass EAS-Protokoll in ihre Produkte aufzunehmen und damit zu unterstützen.[29] Somit können auch auf diese Groupware-Systeme Teilbereiche der Thesis Anwendung finden.
Das Mobile Device Management (MDM) bezeichnet eine Softwarelösung für das Systemmanagement von mobilen Endgeräten, mit dem diese verwaltet und kontrolliert werden können.[30] Bei allen auf dem Markt befindlichen Lösungen haben sich über die Zeit bestimmte Basis Funktionen herausgebildet, die mittlerweile von jeder Lösung angeboten werden.[31] Zu den Basisfunktionen, welche in einem Unterkapitel detaillierter betrachtet werden, gehört die mobile Endgeräte Provisionierung, die Richtlinienverwaltung, die Softwareverteilung sowie das Inventarmanagement.[32]
Im Rahmen des Mobile Device Managements haben sich über die Zeit einige Standards etabliert. Federführend hierbei ist die Open Mobile Alliance (OMA), die sich aus mehr als 350 unterschiedlichen Mitgliedern (wie z.B. Nokia, IBM, Vodafone, Microsoft) aus dem Mobilfunksektor zusammensetzt.[33] Von ihr wurde 2007 das OMA Device Management (OMA DM), ein Standard mit einer Reihe von Protokollen zum Remote Management (z.B. Softwareaktualisierungen, Konfiguration, usw.) von mobilen Endgeräten veröffentlicht.[34] Zu den genaueren Spezifikationen von OMA DM gehört auch die Implementierung von Firmware over-the-air (FOTA)[35] mittels dem Firmware Update Management Object (FUMO).[36] Kommt FOTA zum Einsatz wird hier jeweils nur der Bestandteil der Firmware drahtlos übertragen der ausgetauscht werden muss.[37] Nach dem Übertragen erfolgt dann die Installation im Hintergrund ohne den Anwender zu stören oder persönliche Daten zu verändern, die im Anschluss mit einem Neustart abgeschlossen werden muss.[38] Eine Weiterentwicklung von FOTA stellt Software over-the-air (SCOTA) mittels dem Software Component Management Object (SCOMO) dar,[39] mit der gezielt nur einzelne Bestandteile auf dem mobilen Endgerät drahtlos ausgetauscht werden können.[40]
Bei der Integration einer MDM wird unterschieden zwischen einer selbst verwalteten Lösung im Unternehmens eigenen Rechenzentrum (ein sogenanntes On-Premise Modell) oder einer Cloud Lösung[41] (dem On-Demand Modell oder auch ‚Software as a Service‘ Modell; kurz SaaS genannt), die vom Hersteller bereitgestellt und größtenteils administriert wird.[42] Entscheidet sich der Arbeitgeber für eine Lösung außerhalb des eigenen Rechenzentrums, könnten gleich mehrere Bestandteile des deutschen Datenschutzrechts, zum Schutz personenbezogener Daten, Anwendung finden. Denn abhängig davon, ob es sich bei den über die MDM erfassten Daten, um Gesetzlich schützenswerte personenbezogene Daten handelt[43] oder nicht, wird der Anbieter laut Gesetz zum Auftragsdatenverarbeiter[44] mit entsprechenden Pflichten.[45] Hier ist insbesondere zu kontrollieren ob die Daten nur innerhalb oder auch außerhalb der Europäischen Union gespeichert werden.[46] Im Einzelfalle sollte ein Fachanwalt hinzugezogen werden, der einen Auftragsdatenverarbeitungsvertrag ausarbeitet und den Arbeitgeber darüber hinaus zu dem Thema beraten kann.[47] Hat sich der Arbeitgeber für ein On-Premise Modell entscheiden, wird der jeweilige MDM-Server in der DMZ des Unternehmens installiert, sodass die mobilen Endgeräte aus dem Internet heraus Zugriff auf den Server haben.[48] Anschließend muss verhindert werden, dass die Arbeitnehmer, denen die Verwendung von EAS freigeschaltet wurde, ihre mobilen Endgeräte ohne die Verwendung der MDM-Komponente (auf ihrem mobilen Endgerät) mit dem Firmen-Exchange-Server verbinden können. Hier bietet es sich an, das EAS auf zertifikatsbasierte Authentifizierung umzustellen und die für den Zugriff benötigten Zertifikate vom MDM entsprechend verwalten bzw. verteilen zu lassen.[49] Einige Hersteller schalten ihre Lösung auch vor die EAS-Schnittstelle[50] und/oder integrieren sich in den Microsoft Exchange Server. Auf der Seite der mobilen Endgeräte muss bei jedem auf dem Markt befindlichen Herstellern eine Software Komponente installiert werden.[51] Dies ist nötig, da die Hersteller aufgrund des Aufbaus der derzeitigen Betriebssysteme nicht tief genug in dass jeweilige Betriebssystem eingreifen können, wie es eigentlich für sie erforderlich wäre.[52] Die installierte Komponente verbindet sich mit der eigentlichen MDM-Lösung und erlaubt damit eine zentrale Administration und Überwachung der mobilen Endgeräte. Zu beachten ist, dass die derzeitigen Betriebssysteme für mobile Endgeräte keine Rechtevergabe unterstützten, wie es z.B. vom Windows Betriebssystem her bekannt ist.[53] Das bedeutet, dass der Anwender jederzeit die komplette Kontrolle über sein mobiles Endgerät behält und die MDM-Software-Komponente auch selbst deinstallieren kann.[54]
Provisionierung (engl. Provisioning) beschreibt den Prozess der Bereitstellung bzw. Verteilung von Hilfsmitteln zur Nutzung eines elektronischen Dienstleistungsangebotes.[55] Zu den Hilfsmittel gehören u.a. Einstellungen, Profile, Konfigurationen und Apps. Sie werden in der Regel over-the-air (OTA), also drahtlos übertragen (siehe Abb. 19: Apple Over-the-Air Provisionierung und Abb. 20: OMA DM Bootstrapping), wobei auch eine kabelgebundene Übertragung möglich wäre, aber bei einer großen Anzahl von mobilen Endgeräten nicht praktikabel ist.[56] Laut den Autoren Campagna, Iyer und Krishnan läuft dieser Prozess (siehe auch Abb. 22: MDM Provisionierungsablauf) so ab, dass die Arbeitnehmer sich an der Webseite der MDM-Lösung anmelden, ein Konfigurationsprofil herunterladen und anschließend installieren müssen.[57] Als ein Schritt im Rahmen der Provisionierung wird häufig auch die Installation der MDM-Komponente auf dem mobilen Endgerät angesehen.[58]
Eine Hauptaufgabe einer MDM-Lösung ist die Richtlinienverwaltung (engl. Policy Management). Die Richtlinienverwaltung hat die Aufgabe bestimmte Konfigurationsmöglichkeiten, die der Administrator zentral als Richtlinie(n) vorgibt, drahtlos im Hintergrund auf die mobilen Endgeräte zu übertragen (siehe auch Abb. 21: MDM Richtlinienverteilung).[59] Dabei besteht eine Richtlinie systemintern aus ein oder mehreren XML-Dateien, die gerätespezifische Sicherheitsrichtlinien und Einschränkungen, sowie Konfigurations- und Einstellungsinformationen (z.B. WLAN, Email, usw.) beinhalten.[60] Das Ziel der Richtlinienverwaltung ist es, das jeweilige mobile Endgerät soweit einzuschränken, wie es für die Sicherheit des Unternehmens notwendig ist. Ein Bestandteil einer solchen Richtlinie könnte z.B. das Aktivieren und Erzwingen eines PIN-Codes für die Tastatur auf dem mobilen Endgerät sein.
Eine weitere Aufgabe von MDM-Lösungen ist die Softwareverteilung. Mittels dieser ist es (abhängig von dem Betriebssystem des mobilen Endgerätes)[61] möglich, Unternehmens-Apps zu definieren und auf die mobilen Endgeräte zu übertragen bzw. dem Arbeitnehmer die Möglichkeit zugeben freigegebene Unternehmens Apps selbst zu installieren.[62] Auch die Aktualisierungen von Apps, wie z.B. der MDM-Komponente und des Betriebssystems fallen in diesen Bereich.[63]
Das Inventarmanagement hat die Aufgabe alle der vom MDM verwalteten mobilen Endgeräte aufzulisten und diese ggf. zwecks einer besseren Übersicht zu gruppieren.[64] Das Inventar Management dient ebenfalls als Startpunkt für die Fernwartung (engl. Remote Management), um so z.B. ein mobiles Endgerät zu löschen (engl. Remote Wipe).[65]
Im folgenden Kapitel werden die in der Thesis betrachteten Hersteller und deren MDM-Lösungen kurz vorgestellt.
AirWatch ist ein in Atlanta, Georgia, USA ansässiges Unternehmen, mit ca. 800 Mitarbeitern.[66] Ihr gleichnamiges Produkt AirWatch läuft auf Microsoft Windows und verwendet das .Net Framework sowie Silverlight für die web basierende Managementkonsole.[67] Die Lösung kann im unternehmenseigenen Rechenzentrum oder in der Cloud betrieben werden.[68] AirWatch ermöglicht zudem die Administration von Endgeräten mit Mac OS X.[69]
Good for Enterprise (im weiteren Verlauf der Thesis ‚Good‘ genannt) ist ein Produkt des Unternehmens Good Technology mit Sitz in Sunnyvale, Kalifornien, USA.[70] Die Lösung besteht aus einer Container-App, die auf dem mobilen Endgerät installiert wird und die die Verbindung zur Unternehmensinfrastruktur bereitstellt. Vergleichbar wie Research in Motion (RIM) mit der Blackberry-Lösung, wird hierbei ein Server, der sich im Good Technology Rechenzentrum befindet (siehe auch Abb. 12: Good Architektur), vor die Good Server im Unternehmen vorgeschaltet.[71] Die Administration erfolgt über eine webbasierte Konsole.
2.2.5.3 MaaS360
MaaS360 ist ein Produkt des 1991 gegründeten Unternehmens Fiberlink mit Sitz in Blue Bell, Pennsylvania, USA.[72] MaaS360 steht nur als Cloud-Lösung zu Verfügung und wird über eine Weboberfläche administriert. Aufgrund der Historie der Lösung unterstützt MaaS360 auch das Laptop-Management mit den Betriebssystemen Microsoft Windows und Mac OS X.[73]
MobileIron ist ein 2009 gegründetes Unternehmen mit Sitz in Mountain View, Kalifornien, USA.[74] Ihr gleichnamiges Produkt kann im unternehmenseigenen Rechenzentrum oder in der Cloud betrieben werden.[75] Die Administration erfolgt über eine webbasierte Konsole.
Der MobileManager (im weiteren Verlauf der Thesis ‚Zenprise‘ genannt) ist ein Produkt des 2003 gegründeten Unternehmens Zenprise mit Sitz in Redwood City, Kalifornien, USA.[76] Die Lösung kann im unternehmenseigenen Rechenzentrum oder in der Cloud betrieben werden.[77] Die Administration erfolgt über eine webbasierte Konsole.
Der Softwarehersteller Android Inc. wurde 2005 von Google gekauft und zusammen mit 34 anderen Anbietern von Software und Hardware sowie Telekommunikationsdiensten wurde 2007 die 'Open Handset Alliance' gegründet.[78] Ein Jahr später, im Jahre 2008, veröffentlichte die Open Handset Alliance die erste offizielle Opensource-Version von Android.[79] Aufgrund der Tatsache, dass Android als Opensource verfügbar ist, gibt es zahlreiche Entwickler alternativer Betriebssysteme.[80] So passen viele Hardwarehersteller die auf ihren mobilen Endgeräten installierte Android Version ihrer Hardware an.[81] Derzeit verwendet jede dieser Android Versionen den Linux-Kernel 2.6.[82] Seit der Version 2.x unterstützt Android Sicherheitsfunktionen wie die Advanced Encryption Standards (AES) für Samsung- und Motorola-Geräte.[83] Ab Android 3.0 (Codename Honeycomb)[84] kann das mobile Endgerät „so geschützt werden, dass beim Booten ein Passwort zum Entschlüssen des Datenträgers eingegeben werden muss.“[85] Zusätzlich zu diesen Sicherheitsfunktionen bauen die Hersteller der mobilen Endgeräte häufig das OMA DM in ihre Version des mobilen Betriebssystems ein, um MDM-Herstellern mehr Sicherheitsfunktionen zu bieten.[86] Die zum Erscheinen der Thesis aktuellste Android-Version, ist die Version 4.2 (Codename Jelly Bean).[87] Apps laufen unter Android aus Sicherheitsgründen isoliert voneinander „und können auch nur unter strikten Sicherheitsbeschränkungen auf System Ressourcen oder Hardware zugreifen.“[88] Die Apps können von Android Benutzern über den von Google bereitgestellten Online-Store, dem Google Play Store, direkt über ihre mobilen Endgeräte installiert werden.[89] Google verzichtet aber auf die inhaltliche Überprüfung der dort von Entwicklern bereitgestellten Apps.[90] Lediglich auf Malware werden die eingestellten Apps untersucht.[91] Laut den Autoren Kersten und Klett können Apps für Android auch direkt von den Webseiten einiger Entwickler sowie einiger anderer Stores, wie z.B. Amazon Appstore, auf die mobilen Endgeräte installiert werden.[92] Möchte der Benutzer allerdings eine modifizierte Android Version, oder eine App installieren, die die Android Sicherheitsfeatures umgeht, muss das Betriebssystem des mobilen Endgerätes modifiziert werden (dieses Vorgehen wird als rooten bezeichnet).[93] Die Entwicklung von Apps „findet gegen eine Java-ähnliche API statt, die vom Umfang der Bibliotheken zwischen Java SE und Java ME angesiedelt ist.“[94] Entwickelt werden kann unter Windows, Mac OS X oder Linux.[95]
2.3.2 Apple iOS
Laut dem Autor Rodewig stammt OS X von dem Ur-Unix Vi ab, das 1971 von AT&T entwickelt wurde.[96] Er führt an, dass aus dem Ur-Unix das BSD-Unix entwickelt wurde, welches den Match Mikrokernel beinhaltete.[97] „Das ist ein Betriebssystemkern mit einem bewusst klein und übersichtlich gehaltenen Funktionsumfang.“[98] Um 1988 entwickelte das Unternehmen NeXT unter der Leitung von Steve Jobs mit dem Match Mikrokernel und der Programmiersprache Objective-C das Betriebssystem NEXTSTEP.[99] 1996 wurde das Unternehmen von Apple gekauft und entwickelte aus NEXTSTEP die erste Version von Mac OS X.[100] Für das iPhone und iPad wurde das Mac OS X angepasst und von Apple iOS genannt.[101] Im weiteren Verlauf der Entwicklung wurde ab der iOS 4 Version „über 1.500 neue APIs für Entwickler freigegeben, die umfangreiche Funktionen für das zentrale Mobile Device Management ermöglichen.“[102] Die aktuellste iOS Version ist derzeit Version 6.[103] Laut den Autoren Surendorf und Hardt führte die Optimierung des Betriebssystems für den mobilen Einsatz dazu, dass Apple einige Restriktionen einbauen musste, damit die Sicherheit des mobile Endgerätes nicht kompromittiert werden kann.[104] So sind in einem nicht modifizierten iOS „Apps gegenüber anderen Apps sowie dem Kernel des Betriebssystems isoliert und haben keinen Zugriff auf die Daten anderer Apps.“[105] Die Apps können von iOS-Benutzern über den von Apple bereitgestellten Online-Store, dem App Store, direkt über ihr mobilen Endgerät installiert werden.[106] „Apple prüft jede App im Online-Store vor deren Veröffentlichung, um einen möglichst hohen Qualitätsstandard der Programme zu erreichen.“[107] Laut Rodewig bewahrt dieses Konzept „den Benutzer vor der Entscheidung, Software aus nicht überprüfbaren Quellen zu installieren“[108]. „Große Firmen haben außerdem die Möglichkeit, firmenspezifische Apps zu erstellen und über Ad-hoc-Distributionen direkt auf die mobilen Endgeräte der Arbeitnehmer zu verteilen.“[109] Das Konzept des Stores ist der einzige Weg den Apple vorsieht, um Apps auf die iOS Geräte zu installieren.[110] Eine Möglichkeit, eine App-Installation zu erzwingen, ist derzeit nicht möglich.[111] Um dieses Sicherheitskonzept und damit das Geschäftsmodell von Apple zu umgehen, muss das Betriebssystem modifiziert werden (dieser Vorgang wird als Jailbreak bezeichnet).[112] Eine zuvor von Apple eingeführte Funktion, die es den MDM-Herstellern erlaubte solche Jailbreaks zu erkennen, wurde in der iOS Version 4.2 wieder entfernt.[113] Laut dem Autor Rodewig greift die Modifikation für einen Jailbreak tief in das Betriebssystem des mobilen Endgerätes ein, so das beliebige Apps installiert werden können und Zugriff auf gesperrte Systemfunktionen möglich werden, was zu unvorhersehbaren Verhalten führen kann.[114] Die Umgehung der Sicherheitsfunktionen öffnet darüber hinaus das mobile Endgerät für alle möglichen Angriffsarten.[115] Apps für das iOS werden in Objective-C entwickelt[116] und können laut den Autoren Kersten und Klett derzeit nur auf einem Mac OS X entwickelt werden. Darüber hinaus ist laut ihnen ein kostenpflichtiger Zugang notwendig, um die entwickelten Apps, im Apple Store zur Verfügung zu stellen.[117]
Laut Tanenbaum gründeten die derzeit führenden Hersteller in der Mobiltelefonindustrie Nokia, Ericsson, Motorola, Matsushita (Panasonic) und der Hersteller Psion um das Jahr 2000 ein Joint Venture das als Symbian bekannt wurde.[118] Das Joint Venture Symbian entwickelte aus dem Kern des EPOC Betriebssystem des Unternehmens Psion das heutige Symbian-Betriebssystem.[119] Im weiteren zeitlichen Verlauf erwarb Nokia die Hälfte aller Anteile am Joint Venture, bis im Jahre 2009 die Symbian Limited komplett von Nokia gekauften wurde und sämtliche Rechte der Symbian Foundation/Stiftung übertragen wurden.[120] Zu der Zeit war auf über 94 der aktuellen Nokia Modellen das Symbian Betriebssystem im Einsatz.[121] 2011 vergab Nokia die Weiterentwicklung von Symbian an das Unternehmen Accenture und kündigte zur gleichen Zeit an, Smartphones nur noch mit Windows Phone 7[122] und höher zu installieren. Da laut Tanenbaum Symbian direkt für mobile Endgeräte konzipiert wurde und nicht angepasst werden musste, finden sich hier Merkmale von vielen größeren Betriebssystemen,[123] angefangen „über die Speicherverwaltung bis hin zu Sicherheitsaspekten.“[124] Laut Lehner ist eines dieser Sicherheitsaspekte das Zertifikatmanagement.[125] Allerdings wurde erst im Jahre 2010 das Code Signing eingeführt[126] und so „wurde das Symbian Betriebssystem schon recht früh von mobilen Computerviren heimgesucht“[127]. Ein weiteres Sicherheitsfeature ist OMA DM, das Bestandteil des Symbian Betriebssystem ist.[128] Apps für das Symbian Betriebssystem können über den Nokia-Store (ehemals Nokia Ovi Store) heruntergeladen werden.[129] Nokia prüft hier jede App, die von einem Entwickler eingestellt wird, vor der Veröffentlichung. 2011 führte Nokia, das ‚Store in Store‘ Konzept ein, über das es den Mobilfunkanbietern möglich war, ihre eigenen Apps und Dienste anzubieten.[130] Die Entwicklung der Symbian Apps erfolgt laut den Autoren Kersten und Klett nach hauptsächlich in C++ und Qt, kann aber auch in Phyton, JavaMe, .NET sowie Flash lite erfolgen.[131]
Windows Mobile ist das Betriebssystem für mobile Endgeräte aus dem Hause Microsoft.[132] Die Version 6 „basiert auf Windows CE und unterstützt das .NET Compact Framework 3.5“[133] für App-Entwicklungen. Apps „für Windows Mobile tragen in der Regel keine Signatur und können aus beliebigen Quellen stammen."[134] Seit Herbst 2010 bietet Microsoft mit Windows Phone 7 den Nachfolger des Betriebssystems Windows Mobile 6 an.[135] Im Vergleich zu Windows Mobile 5 und 6 bietet Windows Phone 7 nur wenige für die Fernadministration brauchbare Schnittstellen.[136] Für diese Funktion wird in Windows Mobile 5.0 das OMA DM 1.1.2 und Windows Mobile 6.0/6.5 das OMA DM 1.2 verwendet.[137] Am 29.10.2012 veröffentliche Microsoft Windows Phone 8, den Nachfolger von Windows Phone 7,[138] das nicht mehr auf CE, sondern auf Windows 8 RT basiert.[139] Wie auch die Vorgänger unterstützt Windows Phone 8 OMA DM 1.2.[140] Dieses Betriebssystem enthält Teile des Programmcodes von Windows 8 und wurde für ARM-Prozessor und die Touch Bedienung optimiert.[141] Die Apps für das Windows Phone Betriebssystem können über den von Microsoft bereitgestellten Marketplace bezogen werden.[142] Apps werden in der Programmiersprache C# entwickelt, wobei für die Entwicklung der Oberfläche XAML verwendet wird.[143]
Laut den Autoren Pohlmann und Blumberg stellt die internationale ISO/IEC 27001 Norm, „die seit 2005 in englischer und seit 2008 in deutscher Sprache vorliegt“[144] und der Bundesamt für Sicherheit in der Informationstechnik (BSI) IT-Grundschutz[145] geeignete IT-Mindestanforderungen zum Schutz sämtlicher IT-Werte einer Organisation dar.[146] Beide Werke listen IT-Sicherheitsrisiken und mögliche Methoden zur Risikovermeidung auf.[147] Daneben gibt es einige weitere Werke wie z.B. CobiT mit einem vergleichbaren Ansatz. Doch aufgrund der Tatsache, dass die ISO 27001 Konkretisierungen für CobiT darstellt,[148] wird es in der Thesis nicht weiter betrachtet.
Bei der Nutzwertanalyse („auch als Punkteverfahren oder Multifaktorentechnik bezeichnet“[149] ) handelt es sich um einen, in der Praxis am häufigsten,[150] verwendeten entscheidungstheoretischen Modellansatz, mit dessen Hilfe Entscheidungsfindungen (beim Vergleich von mehreren Alternativen) getroffen werden können.[151] Laut Hartel ist die Herkunft des Modellansatzes nicht eindeutig geklärt, wurde aber in den USA unter dem Begriff ‚utility analysis‘ bekannt und in Deutschland Anfang der 1970er Jahre durch Christof Zangemeister aufgegriffen.[152] Zangemeister definierte die Nutzwertanalyse wie folgt: Die „Nutzwertanalyse ist die Analyse einer Menge komplexer Handlungsalternativen mit dem Zweck, die Elemente dieser Menge entsprechend den Präferenzen des Entscheidungsträgers bezüglich eines multidimensionalen Zielsystems zu ordnen. Die Abbildung dieser Ordnung erfolgt durch die Angabe der Nutzwerte (Gesamtwerte) der Alternativen.“[153] Hier lässt sich erkennen, dass die Nutzwertanalyse vor allem die subjektiven Werte der Entscheidungsträger in die Entscheidungsfindung einbezieht.[154]
Für die Durchführung sind folgende fünf Schritte erforderlich:[155]
Schritt 1: Zielkriterienbestimmung
Im ersten Schritt werden die relevanten Zielkriterien in einer Tabelle zusammengetragen.[156] Zu den Zielkriterien gehören Anforderungen, Eigenschaften und Funktionen, die an die Alternativen gestellt werden.[157] Hierbei sind laut Litke „zusammengehörige Ziele in einen Oberbegriff zu fassen, der schließlich wieder zu einem Oberbegriff höherer Ordnung führt, bis alle Ziele mit einem gemeinsamen Begriff zusammengefasst sind.“[158] Der Oberbegriff benennt hier das Gesamtziel, darauf folgt das Gruppenziel und zum Ende folgen die Elementarziele, „die der Entscheidende nach messbaren Kriterien beurteilen und quantitativ bewerten muss.“[159] Ist die Bewertung an der Stelle nicht möglich, muss weiter gegliedert werden.[160] Laut Zangemeister ist darüber hinaus auf eine Nutzenunabhänigkeit, d.h. die Erfüllung eines Zieles ist unabhängig von dem Erreichen eines anderen Zieles, der Zielkriterien zu achten.[161] Er weist aber drauf hin, dass eine vollkommene Nutzenunabhänigkeit nicht immer zu erreichen ist und eine bedingte Nutzenabhänigkeit als ausreichend angesehen werden kann.[162]
Schritt 2: Zielkriteriengewichtung
Im zweiten Schritt werden die gesammelten Zielkriterien mit unterschiedlichen Gewichtungsfaktoren versehen, da den Zielkriterien in der Regel nicht die gleiche Bedeutung beigemessen werden kann. Hier empfiehlt es sich laut Schulte zuerst die Gruppenziele zu gewichten und drauf zu achten, dass die Summe aller Gruppenziele immer 1 bzw. 100% ergibt.[163] Anschließend werden die einzelnen Elementarziele jedes Gruppenziels nach dem gleichen Vorgehen gewichtet. Hierbei ist drauf zu achten, dass die Summe aller Elementarziele eines Gruppenziels, gleich dem Wert des jeweiligen Gruppenziels ist, sodass die Summe aller Elementarziele aller Gruppenziele, wieder 1 bzw. 100% ergibt.[164] Laut Gruner, Jost und Spiegel „bietet es sich an, eine Unterscheidung der definierten Ziele nach Kann- und Mussausprägungen vorzunehmen. In Summe sollten die Muss-Ziele bereits eine Gewichtung von 75% ausmachen.“[165] Um die Subjektivität des Verfahrens zu objektivieren, schlägt Hartel vor, die Auswahl der Kriterien und deren Gewichtung mit einem zeitlichen Abstand von zwei bis drei Tagen vor dem Bewerten der Alternativen durchzuführen, um sie nicht in direkten Zusammenhang zu bringen.[166]
Schritt 3: Teilnutzenbestimmung
Im dritten Schritt wird zuerst ermittelt, wie gut die einzelnen Elementarziele pro Alternative ausgeprägt sind (Zielerreichungswerte/Zielerreichungsgrad).[167] Laut Litke und Feyhl bieten sich zur Beurteilung hier folgende Möglichkeiten an:[168]
- Nominalskalen (z.B. ausreichende Wasserversorgung vorhanden / nicht vorhanden)
- Ordinalskalen (z.B. Facharbeiterangebot gut / befriedigend / unbefriedigend [Schulnotensystem])
- Kardinalskalen (Punkteskala 1-10)
„Anschließend werden die gemessenen Zielerreichungswerte jeweils in einen Teilnutzenwert transformiert.“[169] Da laut Götze „die Überführung der Zielerreichungswerte in Teilnutzenwerte subjektive Beurteilungen erfordert, sollte sie - um die Nachvollziehbarkeit zu verbessern - mit Hilfe von Transformationsfunktionen erfolgen.“[170] Laut ihm gibt es drei verschiedene Funktionen, die hierfür in Betracht gezogen werden können.[171] So können mit der diskreten Transformationsfunktion ordinale Werte direkt in einen Teilnutzwert überführt werden.[172] Beispielweise würde ein mit sehr gut bewerteter Zielerreichungsgrad einen Teilnutzenwert von vier Punkten bekommen und einer mit ungenügend nur einen Punkt. Eine weitere Transformationsfunktion ist die stückweise-konstante. Mit ihr können kardinale Werte in einen Teilnutzwert überführt werden. Hierbei „werden alle Werte eines bestimmten Intervalles in einen spezifischen Teilnutzenwert umgewandelt.“[173] Beispielweise würde ein Zielerreichungsgrad zwischen 40% - 49% einen Teilnutzenwert von 20 Punkten bekommen und ein Zielerreichungsgrad zwischen 0% - 9% gar keine.[174] Die letzte Funktion ist die stetige Transformationsfunktion. Sie unterscheidet sich von der stückweisen-konstanten Transformationsfunktion nur dadurch, dass auch kleine Unterschiede bei den Zielerreichungsgraden zu unterschiedlichen Teilnutzwerten führen.[175]
Schritt 4: Nutzwertermittlung
Im vierten Schritt werden die ermittelten Teilnutzwerte der untersten Hierarchieebene zuerst durch Multiplikation mit den Kriterien Gewichten vergleichbar gemacht.[176] Anschließend werden die Teilnutzwerte addiert, sodass der Gesamtnutzwert pro Alternative ermittelt werden kann.[177]
Schritt 5: Beurteilung der Vorteilhaftigkeit
„Aus der Nutzwertermittlung ergibt sich die Vorteilhaftigkeitsbewertung.“[178] Laut Goetz ist eine Alternative „absolut vorteilhaft, wenn sein Nutzwert größer ist als ein vorzugebender Grenzwert“[179] und relativ vorteilhaft, „wenn sein Nutzwert größer ist als der eines anderen zur Wahl stehenden Objektes.“[180]
Bring Your Own Device (BYOD), das ins Deutsche wörtlich übersetzt ‚bring dein eigenes Gerät mit‘ bedeutet, ist ein Trend,[181] der aus den USA stammt. Er beschreibt ein Modell, das private mobile Endgeräte, wie z.B. Smartphones und Tablets, in die Unternehmens-IT integriert.[182] Aktuell bezieht sich das BYOD-Modell nur auf mobile Endgeräte, ist aber auch für private Laptops bzw. Notebooks sowie die Einrichtung von Heimarbeitsplätzen denkbar.[183] Bei dem BYOD-Modell wird das mobile Endgerät durch den Arbeitnehmer gekauft und privat wie auch beruflich genutzt.[184] Dieses Modell hat Vor- und auch Nachteile sowohl für Arbeitgeber als auch Arbeitnehmer. Für eine Vielzahl der mit dem BYOD-Modell auftretenden Herausforderungen in unterschiedlichen Bereichen wie Datenschutz-, Arbeits-, Lizenz- und Zivilrecht[185] müssen Arbeitgeber und Arbeitnehmer allerdings klare Vereinbarungen treffen und Kompromisse eingehen sowie technische Lösungen implementieren.
Der in der Literatur am häufigsten aufgeführte Grund, der für das BYOD-Modell spricht, ist eine Motivationssteigerung und höhere Zufriedenheit bei den Arbeitnehmern, da sie die mobilen Endgeräte verwenden können, für die sie sich auch privat entschieden haben.[186] Ein weiterer Vorteil, der sich daraus ergibt, ist der, dass Arbeitnehmer sich in der Regel mit den privat genutzten mobilen Endgräten besser auskennen, pfleglicher umgehen, seltener verlieren und somit weniger Supportanfragen bei der IT auflaufen.[187] Zudem geht das BYOD-Modell davon aus, das viele Arbeitnehmer ihre geschäftlichen Emails zwischendurch auch mit dem mobilen Endgerät kontrollieren und somit die Produktivität steigt.[188] Darüber hinaus sind die privat verwendeten mobilen Endgeräte meist moderner und bieten mehr Funktionen, als die, die von den Arbeitgebern den Arbeitnehmern gestellt werden.[189] Ein weiterer in der Literatur häufig aufgeführter Grund für das BYOD-Modell ist jedoch die seitens des Arbeitgebers eingesparten Anschaffungskosten der mobilen Endgeräte,[190] da diese in der Regel vollständig von den Arbeitnehmern getragen werden.
Da die Arbeitnehmer beim BYOD-Modell über ihre eigentliche Arbeitszeit hinaus arbeiten können, fallen ggf. Überstunden an,[191] die ausgeglichen oder ausgezahlt werden müssen.[192] Hier droht auch die Gefahr von Erschöpfungszuständen, bis hin zu einem Burnout, wenn der Arbeitsdruck zu hoch ist und viel Arbeit in den Feierabend mitgenommen wird.[193] Auch sollten die Kosten beachtet werden, die durch die Administration und für Lizenzen z.B. für die MDM-Komponente entstehen. Darüber hinaus erhöht sich das Risiko von Datenverlust mit jedem zusätzlichen mobilen Endgerät. Je nach Unternehmensform könnte es aufgrund von gesetzlichen Bestimmungen, wie z.B. durch das Gesetzt zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), auch notwendig werden, das BYOD-Modell in dem Risikobericht aufzunehmen.[194]
Entscheidet sich ein Arbeitgeber für das BYOD-Modell, sind einige organisatorische Herausforderungen zu lösen. Zu kontrollieren ist zuerst, ob der Arbeitgeber die Nutzung von privaten Endgeräten überhaupt erlaubt, da in den meisten IT-Betriebsvereinbarungen geregelt ist, dass die Arbeitnehmer ihre privaten Endgeräte nicht beruflich einsetzen dürfen.[195] Würden sie es dennoch tun, „kann der Arbeitgeber arbeitsrechtlich vorgehen und gegebenenfalls Schadensersatz fordern - zum Beispiel für die Beseitigung von Viren, die über ein ungenügend geschütztes Notebook ins Firmennetz eindringen konnten.“[196] Aber auch Arbeitgeber, die die private Nutzung, z.B. aufgrund einer fehlenden Regelung, bis jetzt geduldet haben, sollten diese Strategie überdenken. Denn duldet ein Arbeitgeber diesen Zugriff, kann dies aus juristischer Sicht zu einer sogenannten betrieblichen Übung führen und mit der Zeit ein Rechtsanspruch seitens der Arbeitnehmer entstehen.[197] Der Arbeitgeber, der sich für das BYOD-Modell entscheidet, sollte daher die IT-Betriebsvereinbarung um eine entsprechende Nutzungsvereinbarung (engl. Use Agreement) erweitern,[198] die die Nutzung von privaten mobilen Endgeräten regelt.[199] Die Nutzungsvereinbarung sollte den Hinweis beinhalten, dass es sich bei der Bereitstellung, des für das BYOD-Modell benötigten Services um eine freiwillige Leistung des Arbeitgebers handelt und kein Rechtsanspruch drauf besteht.[200] So kann der Arbeitgeber das BYOD-Modell auch wieder einstellen und dem Arbeitnehmer die Rechte entziehen. Möchte der Arbeitnehmer den Service in Anspruch nehmen, muss er zuerst der Nutzungsvereinbarung zustimmen.[201] Dabei sieht das Gesetz standardmäßig die Einwilligung in der Schriftform vor.[202] Die Nutzungsvereinbarung sollte dabei mindestens folgende Punkte regeln, die im weiteren genauer aufgeführt werden.[203]
Um die Wahrung des Persönlichkeitsrechts bei der Verarbeitung und Nutzung von Daten im Rahmen des BYOD-Modells zu gewährleisten, sind einige Regelungen im Unternehmen zu treffen. So unterliegt aufgrund des Betriebsverfassungsgesetz[204] „die Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen[,] der Mitbestimmung“[205] durch den Betriebsrat.[206] Da bei der Einführung von einer MDM-Lösung, im Rahmen des BYOD-Modells, solche Daten protokolliert werden könnten, ist eine entsprechende Regelung mit dem Betriebsrat in Form einer Betriebsvereinbarung abzuschließen.[207] Als Beispiel für das Protokollieren dieser Daten kann das Erheben von Zeit und Dauer von Telefonaten,[208] oder wann und wie lange eine Tastensperre aktiviert bzw. deaktiviert war, angesehen werden. In diesem Zusammenhang ist es ratsam eine Auflistung aller über die MDM erhobenen Daten der BYOD-Nutzungsvereinbarung hinzuzufügen,[209] um Transparenz zu gewährleisten und die Erlaubnis zur Erhebung einzuholen.[210] Ein weiterer Punkt betrifft die privaten und geschäftlichen Daten auf den mobilen Endgeräten. Hier muss eine IT-Vereinbarung regeln, dass private Daten des Arbeitnehmers weder ausgelesen, verändert, unterdrückt oder gelöscht werden, ohne das er sein Einverständnis dazu gegeben hat.[211] Der Arbeitnehmer wiederum muss sich in der Nutzungsvereinbarung verpflichten, bestimmte Zugriffe, z.B. im Rahmen eines Lizenzaudits,[212] seitens der IT zu erlauben.[213] Zusätzlich muss er sich dazu verpflichten, seine privaten und geschäftlichen Daten zu trennen und eine Vermischung zu vermeiden.[214]
Da die Arbeitnehmer beim BYOD-Modell über ihre eigentliche Arbeitszeit hinaus dienstliche Aufgaben wahrnehmen könnten, fallen ggf. Überstunden an, die vergütet werden müssen.[215] Wobei das kurzzeitige freiwillige Kontrollieren und ggf. das Beantworten von dienstlichen Emails laut Steinau-Steinrück nicht als Arbeitszeit gewertet werden kann, da es sich sehr wahrscheinlich um unerhebliche Splitterzeiten handelt und es somit an Zurechenbarkeit mangelt.[216] Es sollten allerdings Regelungen getroffen und deren Einhaltung kontrolliert werden, damit Arbeitnehmer die gesetzlich geregelte Arbeitszeit von acht Stunden[217] möglichst nicht überschreiten.[218] Darüber hinaus sollte in der Nutzungsbedingung zum BYOD-Modell drauf hinzuweisen werden, dass kein Anspruch auf zusätzliche Vergütung oder Freizeitausgleich besteht, wenn Arbeitnehmer ohne Anordnung oder Duldung des Arbeitgebers außerhalb ihrer Arbeitszeit dienstlich tätig werden.[219] Schlussendlich sind, die Arbeitnehmer in der Nutzungsbedingung zu einem selbstverantwortlichen Umgang mit den mobilen Endgeräten anzuhalten.[220]
Die Autoren Kielkowski und Zöll geben zu bedenken, dass sollte der Arbeitgeber auf die Nutzung des privaten mobilen Endgerätes bestehen, es zu einer gesetzlich begründeten[221] Benachteiligung des Arbeitnehmers kommen könnte.[222] Um dies zu verhindern, schlagen sie vor, dass der Arbeitgeber zwar ein mobiles Endgerät stellt, wenn gewünscht, der Arbeitnehmer aber auch die Wahl hat, ein Privates zu verwenden.[223] Um hier allerdings die Gefahr eines gesetzlich begründeten Annahmeverzuges[224] abzuwenden, muss der Arbeitgeber ausreichend mobile Endgeräte für die Arbeitnehmer bereitstellen, die sich anders entscheiden.[225] Darüber hinaus ist abzuklären, ob der Arbeitnehmer aufgrund von gesetzlichen Bestimmungen[226] für dienstlich angeordnete Telefongespräche und übertragene Datenvolumina zu entschädigen ist.[227] Eine Ausnahme kann bestehen, wenn die Aufwendungen bereits durch einen entsprechenden Arbeitsvertrag über das Gehalt abgegolten sind.[228] Über den Arbeitsvertrag hinaus, sind weitere Möglichkeiten zur Kostenregelung denkbar. Zum einen könnte der Arbeitgeber einen Mobilfunkvertrag mit entsprechenden Flatrate-Tarifen um die Kosten zu kontrollieren, stellen. Die Mitnutzung dieses Vertrages durch den Arbeitnehmer ist gesetzlich[229] geregelt steuerfrei,[230] aber es könnten sich hier Regelungen nach dem Telekommunikationsgesetzt (TKG) ergeben, die beachtet werden müssen.[231] Eine andere Alternative wäre die Pauschalierung des Aufwendungsersatzanspruchs.[232] Wobei ein zu niedrig angesetzter Pauschalbetrag eine unangemessene Benachteiligung des Arbeitnehmers darstellt könnte.[233] Eine Abrechnung mittels Einzelnachweis wäre eine weitere denkbare Möglichkeit, aber aufgrund des Aufwands, soweit es bei dem Volumen der Datenübertragung überhaupt möglich ist, zumeist unverhältnismäßig.[234] Zu beachten bei den beiden letzteren Möglichkeiten ist, dass die zum privaten Mobilfunkvertrag gehörende Telefonnummer dem Arbeitnehmer gehört, und er sie entsprechend beim Verlassen des Unternehmens mitnimmt, inklusive etwaiger Kundenkontakte, die noch dort anrufen.[235]
Der Arbeitnehmer sollte in der Nutzungsbedingung darüber aufgeklärt werden, dass das mobile Endgerät im Falle eines Verlustes vollständig zurückgesetzt wird und damit nicht nur geschäftliche Daten, sondern auch private Daten gelöscht werden.[236]
Möchte der Arbeitnehmer sein privates mobiles Endgerät für Unternehmenszwecke einsetzen, muss er dem Arbeitgeber Rechte einräumen, das mobile Endgerät zu verwalten. Dafür muss er in der Nutzungsbedingung zustimmen, dass auf seinem mobilen Endgerät eine Software Komponente installiert wird,[237] die entsprechende Einstellungen vorgibt und auch vornimmt.[238] Sollte der Arbeitgeber bestimmte Apps auf dem mobilen Endgerät nicht erlauben, sollte dies ebenfalls in die Nutzungsvereinbarung aufgenommen werden.[239] Würde der Arbeitgeber Elemente ohne diese Zustimmung des Arbeitnehmers verändern, würde dies eine widerrechtliche Handlung[240] darstellen.[241] Der Arbeitnehmer ist zudem in der Nutzungsvereinbarung darüber aufzuklären, dass er wenn er die Komponente entfernt oder Einstellungen ändert, automatisch vom Dienst ausgeschlossen wird.
Scheidet ein Arbeitnehmer aus dem Unternehmen aus, ist im Vorfeld zu klären,[242] was mit den, auf dem mobilen Endgerät gespeicherten Unternehmensdaten geschehen soll. Kundendaten, die im Adressbuch des mobilen Endgerätes gespeichert sind, gelten häufig als Geschäftsgeheimnisse und müssen, auch wenn der Arbeitnehmer sie selbst angelegt hat, auf Wunsch des Arbeitgebers gelöscht,[243] oder herausgegeben werden.[244] Um Probleme im Vorhinein auszuschließen, sollte dazu eine Löschverpflichtung in der Nutzungsvereinbarung aufgeführt werden.[245] Gleichwohl ist es empfehlenswert, in der Nutzungsvereinbarung festzuhalten, wer die entsprechenden Daten entfernt bzw. überträgt und ggf. dieses schriftlich bestätigt.[246]
Der Arbeitnehmer muss sich mit der Zustimmung zur Nutzungsvereinbarung verpflichten, Zugriffe auf das mobile Endgerät seitens Dritter wie z.B. Freunde, Kinder oder Lebenspartner zu verhindern.[247] Des weiteren muss er sich zudem verpflichten es nicht unbeaufsichtigt zu lassen,[248] wie bspw. bei Abgabe an der Pforte eines anderen Unternehmens.[249] Diese ist erforderlich, da ansonsten eine gesetzlich begründete unzulässige Übermittlung personenbezogener Daten[250] vorliegen kann und ggf. sogar eine gesetzlich vorgeschriebene Informationspflicht[251] nach sich ziehen könnte.[252] Darüber hinaus könnten Geschäftsgeheimnisse offen gelegt werden, „zu deren Geheimhaltung sich das Unternehmen gegenüber Dritten vertraglich verpflichtet hat“.[253] Es ist darüber hinaus weiterhin denkbar, dass Geräteinstellungen unbemerkt verändert werden, oder potenziell schädliche Programme installiert werden.[254]
Ein Unternehmen ist gesetzlich[255] dazu verpflichtet, bei unrechtmäßiger Kenntniserlangung von personenbezogenen Daten seitens Dritter, dies offen zu legen.[256] Daher ist es notwendig, dass sich der Arbeitnehmer in dem Zusammenhang, mit der Nutzungsvereinbarung dazu verpflichtet, den Arbeitgeber unverzüglich über den Verlust des mobilen Endgerätes zu informieren.[257] Der Arbeitgeber oder der Arbeitnehmer selbst, kann dann entsprechende Maßnahmen einleiten, um diese Daten unverzüglich auf dem mobilen Endgerät zu löschen, sodass es hier zu keinem Zugriff seitens Dritter kommt.[258] Um dies zu gewährleisten, müssen entsprechende Prozesse im Unternehmen implementiert werden, die den Arbeitnehmer auch bekannt sein müssen. Zu bedenken bei der Ausarbeitung der Prozesse ist, dass der Arbeitnehmer ggf. kein mobiles Endgerät mehr hat, um die Nummer vom Servicedesk nachzuschlagen, um den Verlust zu melden.
Eine Veröffentlichung des BSI besagt, dass „bei Wartungs- und Reparaturarbeiten des mobilen Endgerätes außerhalb des eigenen Vertrauensbereiches (z.B. des Unternehmens)“[259] sicherheitsrelevante Probleme durch den Zugriff Seitens Dritter entstehen können. Um dies zu unterbinden, muss ein Prozess im Unternehmen geschaffen werden, damit die Daten auf dem mobilen Endgerät vor einer Reparatur entfernt werden, sofern dies technisch noch möglich ist.[260] Zu beachten ist auch, dass es hier einen gesetzlich[261] veranlassten Grund geben kann, wonach der Arbeitgeber die Kosten tragen, oder ein neues mobiles Endgerät stellen muss.[262] Laut Göpfert müsste dies im Einzelfall und abhängig davon, ob die Nutzung des mobilen Endgerätes betrieblich veranlasst, oder vom Arbeitnehmer selbst gewünscht wurde, geklärt werden.[263]
Der Arbeitnehmer muss darüber informiert werden, dass auf seinem mobilen Endgerät periodische Softwareaktualisierungen durchgeführt werden müssen. Diese Aktualisierungen sind notwendig, um die Sicherheit der Daten zu gewährleisten, können aber auch Einstellungsänderungen oder auch Systemstabilitätsprobleme mit sich bringen.[264] Der Arbeitnehmer muss sich in der Nutzungsvereinbarung dazu verpflichten pro aktiv mit zu wirken und die Updates durchzuführen und nicht zu verhindern.[265] Sollte er die Softwareaktualisierungen unterlassen, muss er im Voraus darüber informiert werden, dass ihm die Rechte entzogen werden, das mobile Endgerät weiterhin in der Unternehmensinfrastruktur zu betreiben.[266]
Für den reibungslosen Betrieb eines BYOD-Modells ist es zwingend erforderlich eine Instanz zu schaffen, bei der sich der Arbeitnehmer melden kann, wenn er Probleme mit seinem mobilen Endgerät hat, wie z.B. Passwort vergessen oder das mobile Endgerät als verloren melden.[267] Diese Instanz wird bei vielen Unternehmen bereits durch den Servicedesk erfüllt.[268] Wichtig hier ist zu klären, in welchem Maße der Arbeitnehmer unterstützt wird, da es unwahrscheinlich ist, dass die Instanz hier alle mobilen Endgeräte kennt und unterstützen kann.[269]
Eine große Herausforderung beim BYOD-Modell besteht im Lizenzmanagement für die vom Arbeitnehmer auf dem mobilen Endgerät eingesetzten Apps. Denn „häufig sind Softwarepakete für den privaten Gebrauch billiger als für einen geschäftlichen Einsatz“[270], oder Regelungen im jeweiligen Lizenzvertrag verbieten die kommerzielle Verwendung.[271] Der Arbeitnehmer muss daher in der Nutzungsvereinbarung dazu verpflichte werden, seine Sorgfaltspflicht zu erfüllen und die Nutzungsbedingungen der App vor der Installation genauestens zu kontrolliert.[272] Sollte er hier einzelne Punkte nicht verstehen, muss er Rücksprache mit dem Arbeitgeber halten. Der Arbeitnehmer könnte auch versucht sein, nicht lizenzierte Apps (sogenannte Raubkopien) auf seinem mobilen Endgerät einzusetzen, weil der Arbeitgeber die von ihm bevorzugte App nicht bereitstellt.[273] Nutzt der Arbeitnehmer dieses mobile Endgerät, dessen Inhalte gegen Lizenzrichtlinien verstoßen, zu dienstlichen Zwecke, kann auch der Arbeitgeber aufgrund des Urheberrechtsgesetzes[274] dafür belangt werden,[275] selbst wenn es hiervon keine Kenntnis hat.[276] Aufgrund dieser Punkte sollte die App-Installation daher ohne ausdrückliche Genehmigung verboten werden.[277] Der Arbeitgeber sollte jeweils im Einzelfall genauer prüfen, ob die App installiert werden darf. Ein Problem ergibt sich allerdings mit Lizenzen, die der Arbeitnehmer selbst beschafft hat. Um das Problem zu lösen, schlägt Herrnleben in einem Artikel vor, die Datenträger inklusive Lizenzen der Software der Arbeitnehmer im jeweiligen Unternehmen aufzuheben,[278] sodass sie für Lizenzprüfungen bereitstehen. Eine andere Lösung ist in regelmäßigen und anlassunabhängigen Intervallen einen schriftlichen Nachweis des Arbeitnehmers „zu verlangen, dass die von ihm zu betrieblichen Zwecken eingesetzte Software ordnungsgemäß lizenziert ist, und dies durch stichprobenartige Überprüfungen, zu denen der Arbeitnehmer sein Einverständnis erklärt hat, abzusichern.“[279] Darüber hinaus ist es beim Thema Lizenzen ratsam, einen Fachanwalt zurate zu ziehen, der sich mit dem Lizenzrecht auskennt.[280]
Mittels einer MDM, einer Nutzungsvereinbarung und Schulungen der Arbeitnehmer können einige in der Thesis erläuterte Risiken beschränkt werden.[281] Kommt es zur Haftungsfrage, gelten zuerst die allgemeinen Grundsätze der Arbeitnehmerhaftung.[282] Dies bedeutet, dass der Arbeitnehmer nicht haftet, wenn ihm nur „leichteste Fahrlässigkeit vorzuwerfen ist; der Schaden wird geteilt, wenn dem Arbeitnehmer (einfache) Fahrlässigkeit vorzuwerfen ist; der Arbeitnehmer haftet voll, wenn er vorsätzlich bzw. grob fahrlässig gehandelt hat.“[283] Damit bleibt für den Arbeitgeber trotz aller Regelungen weiterhin ein hohes Haftungsrisiko offen und er ist gegenüber Dritten, den Geschädigten, schadensersatzpflichtig.[284] Der Arbeitgeber hat allerdings ein Gesetzlich[285] festgeschriebenes Regressrecht gegenüber den Arbeitnehmer.[286] Es ist zudem ratsam eine Kündigungsklausel in die Betriebsvereinbarung für den Fall aufzunehmen,[287] dass es zu solcher Fahrlässigkeit, einer entsprechenden Pflichtverletzung oder einem Verstoß gegen die Nutzungsvereinbarung kommen sollte.[288]
Die Organisatorische Herausforderungen können, wie bereits erwähnt, mit einer Nutzungsvereinbarung gelöst werden.[289] Anders sieht es auf der technischen Seite aus, denn mobile Endgeräte stellen ein zusätzliches Gefährdungspotenzial dar.[290] Sie „können leicht in unsicheren Umgebungen betrieben werden“[291] und stellen ein Einfallstor in die IT-Infrastruktur dar.[292] Daher müssen die Weisungen an die Arbeitnehmer, die sich aus den Nutzungsvereinbarungen ergeben, mit technischen Möglichkeiten ergänzt werden. Hier gibt es auf dem Markt mittlerweile eine sehr große Anzahl von Anbietern sogenannter Mobile Device Management Lösungen, mit der sich mobile Endgeräte plattformübergreifend verwalten lassen.[293]
[1] Vgl. Abb. 1: Weltweiter Absatz von Smartphones von 2007 bis
[2] Vgl. Albrecht et al. (2012), S. 1545; Heinrich, Gerhard (2012),
[3] Vgl. Heinrich, Gerhard (2012),
[4] Vgl. Gens et al. (2012),
[5] Vgl. Accenture Institute for High Performance (2011),
[6] Vgl. Hemker (2012), S. 165; Paulus (2012), S. 103; Osterhage (2010),
[7] Vgl. Paulus (2012), S. 109; Midgley (2012),
[8] Heinrich, Gerhard (2012),
[9] Vgl. Ponemon Institute LLC (2012), S. 9; Redman et al. (2012)
[10] Siehe auch Abb. 16: Marktanteile von mobilen Betriebssystemen am Smartphone-Absatz in Europa 2011/2012
[11] Vgl. Labs (2012)
[12] Vgl. Hewlett-Packard (2011); Wirtgen (2011)
[13] Vgl. dpa-AFX (2012)
[14] Vgl. Nokia Group (2011)
[15] Vgl. Leemhuis (2011)
[16] Vgl. Woyke (2012)
[17] Vgl. auch Redman et al. (2012)
[18] Vgl. Bullinger (2007),
[19] Vgl. Computerworld (2007), S. 145; Bullinger (2007),
[20] Vgl. Gartner (2012a)
[21] Vgl. Stidley, Gustafson (2010), S. 140; Campagna et al. (2011),
[22] Vgl. Heinrich, Gerhard (2012), S. 113; Joos (2006),
[23] Vgl. Gartner (2012a); Winstead (2010), S. 63 ff
[24] Vgl. Joos (2011); Winstead (2010), S. 63 ff
[25] Vgl. Joos (2006), S. 299; Microsoft (2012a)
[26] Vgl. Heinrich, Gerhard (2012), S. 111 f; Microsoft (2012a)
[27] Vgl. Redman, Basso (2012)
[28] Vgl. Apple Inc. (2009)
[29] Vgl. IBM (2010a); o.V. (2012e),
[30] Vgl. Hemker (2012), S. 166; Verclas, Linnhoff-Popien (2011),
[31] Vgl. Puppe (2012),
[32] Vgl. Sathyan et al. (2012), S. 481; Edge (2010),
[33] Vgl. Heinrich, Gerhard (2012),
[34] Vgl. Brenner, Unmehopa (2008), S. 276 ff; Alleven (2007), S. 22; Asif (2011),
[35] Vgl. Heinrich, Gerhard (2012),
[36] Vgl. Brenner, Unmehopa (2008),
[37] Vgl. Heinrich, Gerhard (2012),
[39] Vgl. Brenner, Unmehopa (2008), S. 284 f
[40] Vgl. Heinrich, Gerhard (2012),
[41] Vgl. o.V. (2012d), S. 30 f
[42] Vgl. Heinrich, Gerhard (2012), S. 183; Schwab (2012),
[43] Siehe § 3 Abs. 3 BDSG
[44] Siehe § 11 BDSG
[45] Vgl. Stiemerling, Hartung (2012), S. 62 ff
[47] Vgl. Splittgerber (2011)
[48] Vgl. Amaris et al. (2010),
[49] Vgl. Edge (2010), S. 218; Meyler et al. (2012), S. 1109 ff
[50] Vgl. Thurman (2011), o.S.
[51] Vgl. Puppe (2012), S. 134; Weber (2012),
[52] Vgl. Puppe (2012),
[53] Vgl. Puppe (2012),
[54] Vgl. Puppe (2012), S. 134; Weber (2012),
[55] Vgl. Kirchmann, Köhler (2010), S. 189; Campagna et al. (2011), S. 89 ff; Verclas, Linnhoff-Popien (2011), S. 139; Campagna et al. (2011),
[56] Vgl. Verclas, Linnhoff-Popien (2011),
[57] Vgl. Campagna et al. (2011), S. 108 f
[58] Vgl. auch Meyler et al. (2012),
[59] Vgl. Edge (2010), S. 236; Kaspersky Lab GmbH (2012),
[60] Vgl. Google Inc. (2012b); Apple Inc (2012b), S. 3; Microsoft (2010b)
[61] Vgl. Edge (2010),
[62] Vgl. Edge (2010),
[63] Vgl. Puppe (2012),
[64] Vgl. Puppe (2012), S. 135 f; Edge (2010),
[65] Vgl. Edge (2010),
[66] Vgl. Cooper (2012)
[67] Vgl. Edge (2010),
[68] Vgl. AirWatch LLC (2012e)
[69] Vgl. AirWatch LLC (2012f)
[70] Vgl. Redman et al. (2012)
[71] Vgl. Good Technology Inc. (2012a)
[72] Vgl. Redman et al. (2012)
[73] Vgl. AirWatch LLC (2012f)
[74] Vgl. Redman et al. (2012)
[75] Vgl. MobileIron Inc. (2012b); MobileIron Inc. (2012d)
[76] Vgl. Redman et al. (2012)
[77] Vgl. Zenprise Inc. (2012b)
[78] Vgl. Gargenta (2011), S. 3; Mosemann, Kose (2009),
[79] Vgl. Gargenta (2011),
[80] Vgl. Heinrich, Gerhard (2012),
[81] Vgl. Heinrich, Gerhard (2012),
[82] Vgl. Mosemann, Kose (2009), S. 6; Heinrich, Gerhard (2012),
[83] Vgl. Stemmler (2011), o.S.; Hill (2011),
[84] Vgl. Google Inc. (2012b)
[85] Hill (2011),
[86] Vgl. Samsung (2011b); Sony Mobile Communications AB (2010); Motorola (2010)
[87] Vgl. Google Inc. (2012a)
[88] Mosemann, Kose (2009),
[89] Vgl. Heinrich, Gerhard (2012),
[90] Vgl. Heinrich, Gerhard (2012),
[92] Vgl. Heinrich, Gerhard (2012),
[93] Vgl. Heinrich, Gerhard (2012),
[94] Verclas, Linnhoff-Popien (2011),
[95] Vgl. Heinrich, Gerhard (2012),
[96] Vgl. Rodewig, Wagner (2011),
[97] Vgl. Rodewig, Wagner (2011),
[98] Rodewig, Wagner (2011),
[99] Vgl. Koller (2010),
[100] Vgl. Koller (2010),
[101] Vgl. Rodewig, Wagner (2011), S. 18; Koller (2010),
[102] Heinrich, Gerhard (2012),
[103] Vgl. Apple Inc (2012a)
[104] Vgl. Surendorf, Hardt (2009),
[105] Heinrich, Gerhard (2012),
[106] Vgl. Rodewig, Wagner (2011),
[107] Rodewig, Wagner (2011),
[109] Rodewig, Wagner (2011),
[110] Vgl. Rodewig, Wagner (2011),
[111] Vgl. Edge (2010),
[112] Vgl. Rodewig, Wagner (2011),
[113] Vgl. Cox (2010), o.S.
[114] Vgl. Rodewig, Wagner (2011),
[115] Vgl. o.V. (2012f),
[116] Vgl. Schreckling, Posegga (2011),
[117] Vgl. Heinrich, Gerhard (2012),
[118] Vgl. Tanenbaum (2009), S. 1068; Lehner (2003),
[119] Vgl. Tanenbaum (2009),
[120] Vgl. Mosemann, Kose (2009), S. 15; Heinrich, Gerhard (2012),
[121] Vgl. Wagner (2010),
[122] Vgl. Heinrich, Gerhard (2012),
[123] Vgl. Tanenbaum (2009),
[124] Tanenbaum (2009),
[125] Vgl. Lehner (2003),
[126] Vgl. Heinrich, Gerhard (2012),
[127] Heinrich, Gerhard (2012),
[128] Vgl. Morris (2007), S. 153 f; Campbell et al. (2007), S. 22 f
[129] Vgl. Heinrich, Gerhard (2012),
[130] ebenda
[131] Vgl. Heinrich, Gerhard (2012),
[132] Vgl. Verclas, Linnhoff-Popien (2011),
[133] Verclas, Linnhoff-Popien (2011),
[134] Schüler (2011),
[135] Vgl. Heinrich, Gerhard (2012),
[136] Vgl. Stemmler (2011), o.S.; Schüler (2011), S. 175; Weber (2012), S. 47; Schreckling, Posegga (2011),
[137] Vgl. Redmond (2007), S. 18; Microsoft (2010a)
[138] Vgl. Microsoft (2012b)
[139] Vgl. Sigel et al. (2012), S. 50 ff
[140] Vgl. auch Samsung (2011a); AT&T Inc. (2012)
[141] Vgl. Sigel et al. (2012), S. 50 ff
[142] Vgl. Barczok (2012),
[143] Vgl. Burns (2012), S. 44 ff
[144] Heinrich, Gerhard (2012),
[145] Vgl. Pohlmann, Blumberg (2006),
[146] Vgl. Pohlmann, Blumberg (2006),
[147] Vgl. Hofmann et al. (2010), S. 298 ff; Grechenig (2010),
[148] Vgl. Falk (2012),
[149] Gruner et al. (2003),
[150] Vgl. Daum et al. (2010),
[151] Vgl. Jung (2006),
[152] Vgl. Hartel (2009),
[153] Zangemeister (1976),
[154] Vgl. Gruner et al. (2003),
[155] Vgl. Götze (2008),
[156] Vgl. Litke (2007), S. 139 f
[157] Vgl. Litke (2007), S. 139 f
[158] Litke (2007),
[160] Vgl. Litke (2007),
[161] Vgl. Zangemeister (1976),
[162] ebenda
[163] Vgl. Schulte (2001),
[164] Vgl. auch Grob et al. (2004),
[165] Gruner et al. (2003),
[166] Vgl. Hartel (2009),
[167] Vgl. Götze (2008),
[168] Vgl. Litke (2007), S. 140; Feyhl (2004),
[169] Götze (2008),
[170] ebenda
[171] Vgl. Götze (2008),
[172] Vgl. Feyhl (2004),
[173] Götze (2008),
[174] Vgl. Litke (2007),
[175] Vgl. Götze (2008),
[176] Vgl. Zangemeister (1976), S. 281 f
[177] Vgl. Zangemeister (1976), S. 281 f; Schulte (2001),
[178] Jung (2006),
[179] Götze (2008),
[180] ebenda
[181] Vgl. auch Abb. 18: Gartner Hype
[182] Vgl. Hemker (2012), S. 165; Wolschann (2011); Burt (2011), S. 30 f
[183] Vgl. Hoormann (2012),
[184] Vgl. Hemker (2012), S. 165; Burt (2011),
[185] Vgl. Haar (2010), S. 52; Albrecht et al. (2012), S. 1545; Arning et al. (2012),
[186] Vgl. Karin (2012); Arning et al. (2012), S. 592; Midgley (2012),
[187] Vgl. Gneiting (2012), S. 70; Söbbing, Müller (2011), S. 263; Koch (2012),
[188] Vgl. auch Gillies (2012),
[189] Vgl. Karin (2012); Arning et al. (2012), S. 592; Midgley (2012),
[190] Vgl. Gneiting (2012), S. 70; Göpfert, Wilke (2012), S. 765; Söbbing, Müller (2011), S. 263; Burt (2011), S. 30; Ehmann (2012),
[191] Vgl. Schütz (2012), o.S.
[192] Vgl. auch ArbRB (2012), S. 232; Bauer et al. (2012), S. 1986 ff
[193] Vgl. Holy (2011), o.S.
[194] Vgl. Speichert (2007),
[195] Vgl. Zöll, Kielkowski (2012),
[196] Hoormann (2012),
[197] Vgl. Haar (2010), S. 53; Arning et al. (2012), S. 592; Trappehl, Schmidl (2009), S. 988; Koch (2012),
[198] Vgl. Burt (2011),
[199] Vgl. Pohle (2012), S. 34; ISO/IEC 27001, A.11.7
[200] Vgl. Arning et al. (2012),
[201] Vgl. Arning et al. (2012), S. 592; Midgley (2012), S. 53; ISO/IEC 27001, A.8.1
[202] Siehe § 4a BDSG
[203] Vgl. Kirsch (2011),
[204] Siehe § 87 BetrVG
[205] Haar (2010),
[206] Vgl. Arning et al. (2012), S. 593; Koch (2012),
[207] Vgl. Göpfert 2012 #102: 770}; Zöll, Kielkowski (2012),
[208] Vgl. Haar (2010),
[209] Vgl. auch Kraska, Meuser (2012), S. 6 ff; Roßnagel et al. (2006), S. 38 ff
[210] Siehe § 32 BDSG
[211] Vgl. Söbbing, Müller (2011), S. 265 ff
[212] Vgl. Herrnleben (2012),
[213] Vgl. Pohle (2012),
[214] Vgl. Bierekoven (2012), S. 107; Koch (2012),
[215] Vgl. Schütz (2012), o.S.; Zöll, Kielkowski (2012),
[216] Vgl. Steinau-Steinrück (2012),
[217] Siehe § 3 ArbZG
[218] Vgl. Arning et al. (2012), S. 593; Göpfert, Wilke (2012),
[219] Vgl. Arning et al. (2012), S. 593; Steinau-Steinrück (2012),
[220] Vgl. Steinau-Steinrück (2012),
[221] Siehe § 307 Abs. 2 Nr. 1 BGB
[222] Vgl. Zöll, Kielkowski (2012),
[223] ebenda
[224] Siehe § 615 BGB
[225] Vgl. Zöll, Kielkowski (2012),
[226] Siehe § 670 BGB; § 675 BGB
[227] Vgl. Arning et al. (2012), S. 593; Zöll, Kielkowski (2012),
[228] Vgl. Arning et al. (2012),
[229] Siehe § 3 Abs. 45 EStG
[230] Vgl. Göpfert, Wilke (2012),
[231] Vgl. Zöll, Kielkowski (2012),
[232] Vgl. Arning et al. (2012), S. 593 f
[233] Siehe § 307 Abs. 1 BGB
[234] Vgl. Arning et al. (2012),
[235] Vgl. Haar (2010), S. 54; Dysart (2012),
[236] Vgl. Wolschann (2011); Burt (2011), S. 31; Schmidt (2012), S. 25; Dysart (2012),
[237] Vgl. Arning et al. (2012),
[238] Vgl. Burt (2011), S. 31; Pohle (2012),
[239] Vgl. Campagna et al. (2011), S. 123; ISO/IEC 27001, A.8.1.1
[240] Siehe § 858 Abs. 1 BGB
[241] Vgl. Koch (2012),
[242] Vgl. ISO/IEC 27001, A.8.3
[243] Vgl. DB (2009), S. 839
[244] Siehe § 667 BGB
[245] Vgl. Pohle (2012),
[246] Vgl. Arning et al. (2012),
[247] Vgl. Kaspersky Lab GmbH (2012), S. 38; Arning et al. (2012), S. 592; Bierekoven (2012), S. 107 f
[248] Vgl. Osterhage (2010),
[249] Vgl. Bundesamt für Sicherheit in der Informationstechnik (2006),
[250] Siehe § § 3 Abs. 4 Nr. 3 BDSG
[251] Siehe § 42a BDSG
[252] Vgl. Arning et al. (2012),
[253] Arning et al. (2012),
[254] Vgl. Bundesamt für Sicherheit in der Informationstechnik (2006),
[255] Siehe § 42a BDSG
[256] Vgl. Kirsch (2011), S. 317327; Kraska, Meuser (2012), S. 6 ff
[257] Vgl. Dysart (2012), S. 29; ISO/IEC 27001, A.13.1
[258] Vgl. Arning et al. (2012), S. 596; Kraska, Meuser (2012), S. 6 ff
[259] Bundesamt für Sicherheit in der Informationstechnik (2006),
[260] Vgl. Kraska, Meuser (2012), S. 6 ff
[261] Siehe § 670 BGB
[262] Vgl. Göpfert, Wilke (2012), S. 768 f; Koch (2012), S. 38; Zöll, Kielkowski (2012), S. 2627 f
[263] Vgl. Göpfert, Wilke (2012),
[264] Vgl. Campagna et al. (2011),
[265] Vgl. Koch (2012), S. 37 f
[266] Vgl. Campagna et al. (2011),
[267] Vgl. auch Weber (2012),
[268] Vgl. Stych, Zeppenfeld (2009),
[269] Vgl. auch Schmidt (2012), S. 25; Ehmann (2012),
[270] Haar (2010),
[271] Vgl. Haar (2010), S. 56; Göpfert, Wilke (2012), S. 767; Schneider (2012),
[272] Vgl. Göpfert, Wilke (2012),
[273] Vgl. Herrnleben (2012),
[274] Siehe § 99 UrhG
[275] Vgl. Herrnleben (2012), S. 205; Göpfert, Wilke (2012), S. 767; Söbbing, Müller (2012), S. 15 f
[276] Vgl. Herrnleben (2012),
[277] Vgl. Haar (2010),
[278] Vgl. Herrnleben (2012),
[279] Söbbing, Müller (2012),
[280] Vgl. auch Herrnleben (2012),
[281] Vgl. Karin (2012); ISO/IEC 27001, A.8.2.2
[282] Vgl. auch Pohle (2012), S. 34 f
[283] Zöll, Kielkowski (2012),
[284] Vgl. Gründer, Schrey (2007), S. 251 ff
[285] Siehe § 619a BGB
[286] Vgl. Gründer, Schrey (2007),
[287] Vgl. Arning et al. (2012),
[288] Vgl. Schütz (2012), o.S.; Arning et al. (2012), S. 593; Trappehl, Schmidl (2009),
[289] Vgl. Hemker (2012),
[290] Vgl. Osterhage (2010),
[291] Osterhage (2010),
[292] Vgl. Osterhage (2010),
[293] Vgl. Wolschann (2011); Karin (2012); Gneiting (2012), S. 72; Midgley (2012),
B. Wieczorek (Autor)
V209819
9783656375142
BYOD MDM Mobile Device Management Bring-Your-Own-Device Mobile-Device-Management Exchange ActiveSync Softwareverteilung Provisionierung Richtlinienverteilung
B. Wieczorek (Autor), 2013, BYOD im MS Exchange Umfeld., München, GRIN Verlag, https://www.hausarbeiten.de/document/209819

References: § 3
 § 11
 § 4
 § 87
 § 32
 § 3
 § 307
 § 615
 § 670
 § 675
 § 3
 § 307
 § 858
 § 667
 § 3
 § 42
 § 42
 § 670
 § 99
 § 619