Seit 24. Mai 2016 gilt die EU Datenschutz-Grundverordnung (DSGVO). Seit 25. Mai 2018 gibt’s auch Ärger wenn auffällt, dass man dagegen verstößt. Nun fällt auf: Apps, die Unternehmensdaten analysieren und weiterverkaufen, sind ein Problem – auch bei Smartphone-Kontakten – und gerade Apple kommt hier nicht hinterher. Ein persönlicher Kommentar.
Das Smartphone Dilemma: Desktops, Notebooks, Tablets, Smartphones, Wearables und Co.
“Uh-Oh!” Wer erinnert sich? Anfang des Jahrtausends, bevor Handy und PDA zum Smartphone verschmolzen, waren diverse Messenger im Trend. ICQ war der wohl Populärste – meine Anmeldenummer werde ich wohl nie vergessen. In Punkto Datenschutz standen diese Dienste immer in starker Kritik. Minispiele, die den Nutzer aushorchten, Bots, Phishing-Attacken, mangelnde bis keine Verschlüsselung und Sicherheitslücken – alles vertreten. Auch der Verkauf von ICQ und damit dessen Nutzerdaten von einem kleinen israelischem StartUp, zu America Online (AOL) und dann zu Digital Sky Technologies nach Russland stieß vielen sehr auf.
Und nun stelle ich mir vor, Unternehmen hätten damals weltweit solche Messenger installiert und so mit den eigenen Systemen verbunden, dass sämtliche Kontakt- und Konversationsinformationen zwischen Kunden und Partnern in diese hochgeladen und geheime Konzeptpapiere über sie verschickt wurden. Super Idee. In den meisten Unternehmen wird die Installation solcher “Programme” und Add-Ons am Firmen-PC zumindest durch fehlende Administratorrechte beim Anwender unterbunden.
Messaging Apps
Im Jahr 2009 hatte ein kalifornisches Startup eine bahnbrechende Idee: “Wir bauen ICQ fürs Handy und benutzen die Rufnummer als Anmeldename!” – ungefähr so stelle ich es mir jedenfalls vor. Der Erfolg war bahnbrechend – seit dem iPhone-Boom im Jahr 2007 ging der Trend zu Handys mit Datentarifen und man konnte sich in Windeseile gegenüber den völlig überteuerten SMS-Gebühren behaupten. Der Werdegang von WhatsApp bestreitet sich ähnlich wie der von ICQ: Idee, StartUp, Verkauf an Großunternehmen, dass versucht irgendwie legal (je nach Land und Auffassung) aus den gekauften Daten Profit zu schlagen. Und auch Skype ging z.B. einen ähnlichen Weg.
Aus irgendeinem Grund vergaßen unzählige Menschen die mühsam erarbeiteten Best Practices für Clients und Apps am PC und fingen am Smartphone neu an. Wer schon einmal an einer LAN-Party teilgenommen hat weiß, dass jeder Computer ein mobiler Computer ist – und ein Smartphone ist halt ein Computer, der in die Hosentasche passt (und mittlerweile wieder ein wenig rausguckt). Im Wesentlichen besteht der Unterschied doch nur im Betriebssystem und wie man dieses nun verwalten kann.
Weiträumig wird jedoch zwischen Desktops, Notebooks, Tablets, Smartphones, Wearables und – was auch immer noch – in der Sicherheitsbetrachtung unterschieden. Warum eigentlich?
Für den Einsatz von Computern gibt es zwei Ansätze:
- Ich beschränke die Funktion auf den für das Unternehmen notwendigen Umfang
- Ich gewährleiste die Privat-Nutzung unter Trennung der persönlichen und geschäftlichen Daten
Beides administriert und unter Wahrung der Datenschutz- und Datensicherheits-Ansprüche, die es schon lange gibt.
Kein ADV? Kein Recht zur Datenweitergabe!
WhatsApp ist dabei nur ein Symbol für alle Apps und Cloud-Dienste, die bei der Trennung von persönlichen und geschäftlichen Daten betrachtet werden müssen. Dabei ist allerdings nicht die Lösung einzelne Apps zu verbieten, sondern ein Konzept zur generellen Trennung zu etablieren. Der Einsatz solcher Apps und Dienste war bereits mangels Vertrag zur Auftragsdatenverarbeitung (ADV) für Unternehmen noch nie “Ok”.
Als Vorreiter wird aktuell von der Continental berichtet, die nun WhatsApp und Snapchat auf Dienst-Handys verboten hat. 2 Jahre nach der DSGVO, 9 Jahre seit WhatsApp, 11 Jahre seit dem iPhone. 11 Jahre, in denen der Schutz von Kundendaten auf Smartphones scheinbar egal war, wird nun eine “Vision Zero” für den Datenverkehr gefordert. Verständlich, bei den geringen Gewinnen waren in den letzten 20 Jahren einfach keine Ressourcen zum Schutz von Daten vorhanden.
iOS: Basis super, Kontaktschutz mangelhaft
Apples Betriebssystem für iPhones und iPads ist erstmal sicherheitstechnisch eine gute Grundlage. Stabiles, performantes System, regelmäßige Sicherheitsupdates, ein App-Sand-Box-System, automatische Verschlüsselung des Gerätespeichers, sobald eine PIN gesetzt wird (Standardvorgabe mit 6 Zeichen) und ein Gerät-Update-Lebenszyklus von knapp 5 Jahren. Hersteller, die auf Android oder WindowsPhone gesetzt haben, können hier bei weitem nicht mithalten.
Sobald Daten eine App verlassen und in den Systemspeicher, restriktive iCloud, übergehen, ist jedoch kein richtiger Schutz mehr vorhanden, wenn ich die volle Funktionalität und Privatnutzung des Geräts erhalten möchte. Streicht man die Funktionen auf das Nötigste zusammen, wird es schwer ein iPhone X mit mehr als 1000€ in der Kosten-/Nutzen-Analyse zu rechtfertigen. Dann vielleicht doch alle 1,5 Jahre ein neues Mittelklasse-Android?
Das Kernproblem bei iOS ist, dass die nativen Applikationen wie Fotos, Kontakte, Mail & Kalender kaum gemanaged werden können. Fremd-Applikationen wie Outlook bringen wiederum eigene Verwaltungsmöglichkeiten und Schnittstellen zum Mobile Application Management (MAM) mit. Die nativen Apps gelten jedoch als zentrale Datenbasis für viele Apps und Kontakte müssen im nativen Kontaktbuch sein, um beim Anruf identifiziert zu werden. Außerdem ist es doch so schön einfach, wenn man über so viele Kanäle wie iMessage & WhatsApp kommunizieren kann.
Und Android?
Unter Android wurde dieses Problem einfach und effektiv gelöst. Mit Android for Work können Unternehmensdaten von Privatdaten – oder besser, nicht verwalteten Apps – getrennt werden. Die Apps sind dann in einem separaten Speicherbereich einfach noch einmal vorhanden aber z.B. für die Anruferidentifizierung freigegeben.
Mit iOS 11.3 hat Apple eine Schutz-Funktion für Kontakte implementiert, bei der durch ActiveSync hinzugefügte Kontakte vor Fremdapps geschützt werden können. Problem: Emails und Kontakte kommen in dem Fall auch wieder mit –und sind nicht geschützt, was wesentlich kritischer ist als die Kontaktbuch-Informationen.
Bei anderen Plattformen kein Problem, Apple bietet jedoch keine Schnittstelle bzw. Konfiguration, mit der administrativ Email und Kalendersynchronisation für das ActiveSync-Profil deaktiviert werden können. Mobile Device Management-Lösungen wie Intune haben also technisch gar keine Möglichkeit, dies zu verwalten.
iOS: Wie gehe ich nun mit Unternehmensdaten um?
Ein Umschwung auf Android for Work wäre eine Option, zieht jedoch einen hohen, wiederkehrenden Aufwand bei der Gerätebeschaffung und eine generelle Sicherheitsbetrachtung des Systems mit sich.
Generell sollte auf ein Mobile Application Management (MAM) gesetzt werden. Jedoch kann es durchaus Applikationen geben, die eine solche Verwaltung nicht unterstützen – daher ist es nicht das Allheil-Mittel.
Es bleiben die beiden genannten Ansätze:
Ich beschränke die Funktion auf den für das Unternehmen notwendigen Umfang
iOS Geräte werden über ein Mobile Device Management (MDM) voll verwaltet. Der Anwender erhält keinen Zugriff auf den Appstore und es werden nur Apps installiert, die von Ihnen bewertet und freigegeben wurden.
Ich gewährleiste die Privatnutzung unter Trennung der persönlichen und geschäftlichen Daten
Über ein MAM werden Richtlinien erstellt, welche die Daten vor Abfluss in fremde Apps schützen. Die Apps können ggf. auf privaten oder beruflichen Geräten nutzen – eine Anruferidentifizierung findet nicht statt.
Beide Ansätze können kombiniert werden um z.B. die Freigabe mancher Apps zu vereinfachen – Abstriche führen jedoch wieder zu den genannten Datenschutz-Problemen.
Fazit und Ausblick:
Apple arbeitet scheinbar ein einer Lösung für das Kontakt-Problem. Auch wenn die Anruferidentifizierung dadurch gewährleistet wird, ist das Problem der Datenvermischung nicht behoben. Hier gilt es Nutzer zu sensibilisieren und technische Maßnahmen zu ergreifen, die den Abfluss von Unternehmensdaten in Fremdsysteme verhindern. Wenn es um den Einsatz von iMessage, WhatsApp und Co. geht, ist die Motivation meistens die Einfachheit und Verfügbarkeit bei allen Anwendern. Es gilt also Alternativen zu bieten, die diesen Komfort auch für den geregelten Einsatz unterstützen. Intern und mit Partnern setzen wir bereits auf Microsoft Teams.
Und in Zukunft? Wozu brauchen wir eigentlich noch eine Handynummer? Messaging-Alternativen gibt es. Kunden der Telekom werden bereits auf Voice over LTE und Wifi-Calls umgestellt – anstatt also über das veraltete Edge-Netz zu funken, nutzt der Anwender quasi VOIP mit der Rufnummer als Erkennungsname. Zusätzlich haben die meisten Unternehmen noch eine Telefonanlage im Einsatz – also hat jeder Anwender zwei Rufnummern. Apps wie Skype for Business, Teams oder Cisco nutzen im Endeffekt ebenfalls VOIP. Mit dem Ausbau des Netzes in Deutschland ergibt sich eine andere Strategie, als die Absicherung von Handynummern in unverwalteten Geräten. Wie wäre es mit einem Telefonie- & Messaging-Dienst, der die Anforderungen in einer App zusammenführt? Dann sind andere Apps egal, dann ist das Betriebssystem egal – und wozu eigentlich noch Nummern?