Smartphones und Tablets: Richtlinie für Firmen- und Privatgeräte

Smartphones und Tablets gehen leichter verloren als ein Bürorechner und werden an Orten genutzt, die das Unternehmen nicht kontrolliert (NIST SP 800-124 Rev. 2, 3.1.2). Das IT-Grundschutz-Kompendium des deutschen BSI (Edition 2023) verlangt als Basis-Anforderung: Bevor eine Institution Smartphones oder Tablets einsetzt, MUSS sie eine Richtlinie für Nutzung und Kontrolle der Geräte festlegen, auch dazu, wer damit auf welche Informationen zugreifen darf (SYS.3.2.1.A1). Der Baustein gilt für alle dienstlich eingesetzten Geräte; seine Gefährdungslage nennt ausdrücklich auch private Geräte (BYOD).

Eine verbindliche Richtlinie für Mitarbeitende SOLLTE Nutzung, Pflege, Aufbewahrung und Verlustmeldung regeln und verbieten, Verwaltungssoftware zu entfernen, das Gerät zu rooten oder Sicherheitseinstellungen zu ändern (SYS.3.2.1.A10). Wer ein Mobile Device Management (MDM) einsetzt, MUSS eine schriftliche Strategie festlegen, die auch das Betriebsmodell regelt: Privatgeräte, persönlich zugeordnete oder gemeinsam genutzte Firmengeräte (SYS.3.2.2.A1).

Pflicht oder Empfehlung? IT-Grundschutz und NIST sind in Österreich keine Gesetze, sondern anerkannte Standards. Das BSI teilt Anforderungen in Basis- (B), Standard- (S) und Anforderungen bei erhöhtem Schutzbedarf (H) ein; innerhalb jeder Anforderung ist MUSS unbedingt zu erfüllen, von SOLLTE darf nur nach sorgfältiger Abwägung und mit stichhaltiger Begründung abgewichen werden. Die Vorlage ist eine Empfehlung von TOMORIS. Gesetzlich zu beachten sind vor allem DSGVO, ArbVG und AVRAG (Abschnitt 03), für NIS2-Einrichtungen auch § 32 Abs. 4 lit. i NISG 2026 (Abschnitt 06).

Das BSI warnt bei BYOD, dass eine Löschung über das MDM auch private Daten treffen kann und Firmendaten bei einer Reparatur unbefugt eingesehen werden oder beim Austritt ungeregelt auf dem Gerät bleiben können (SYS.3.2.1, Gefährdung 2.9). Empfehlung von TOMORIS: Für Privatgeräte genügen in vielen KMU App-Schutzrichtlinien; eine Registrierung lohnt sich, wenn Zertifikate, WLAN- oder VPN-Profile nötig sind. Sehr einschränkende oder überwachend wirkende Vorgaben können Mitarbeitende laut NIST dazu verleiten, auf Schatten-IT auszuweichen (3.1.13).

Bei App-Schutzrichtlinien und beim Android-Arbeitsprofil können Administratoren laut Microsoft Daten, die den Benutzern gehören oder von ihnen kontrolliert werden, weder lesen noch löschen. Die Tabelle zeigt, was die Organisation bei einem in Intune registrierten Gerät sieht; bei anderen MDM-Produkten prüfen Sie die Angaben des Herstellers.

Für HR: Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren, bedürfen der Zustimmung des Betriebsrats (§ 96 Abs. 1 Z 3 ArbVG). Systeme, die Arbeitnehmerdaten über allgemeine Angaben zur Person und fachliche Voraussetzungen hinaus automationsunterstützt ermitteln, verarbeiten oder übermitteln, brauchen ebenfalls seine Zustimmung, soweit ihre Verwendung über Pflichten aus Gesetz, Normen der kollektiven Rechtsgestaltung oder Arbeitsvertrag hinausgeht; diese Zustimmung kann die Schlichtungsstelle ersetzen (§ 96a Abs. 1 Z 1 und Abs. 2 ArbVG). Ohne Betriebsrat sind Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Zustimmung der Arbeitnehmerin oder des Arbeitnehmers zulässig (§ 10 Abs. 1 AVRAG). Ob das auf Ihre Konfiguration zutrifft, ist im Einzelfall zu klären; dieser Hinweis ersetzt keine Rechtsberatung.

Informieren Sie vor der Registrierung über Zwecke und Rechtsgrundlage, Empfänger und Speicherdauer (Art. 13 Abs. 1 lit. c und e, Abs. 2 lit. a DSGVO), nennen Sie dabei die erhobenen Gerätedaten und erheben Sie nur, was nötig ist (Art. 5 Abs. 1 lit. c DSGVO). Standortdaten sollten laut NIST nur mit Zustimmung und klarer Beschreibung genutzt werden (3.1.11); Geofencing erzeugt Bewegungsprofile und kann zur unzulässigen Kontrolle missbraucht werden (BSI SYS.3.2.2, Gefährdung 2.4).

Konkrete Werte wie Sperrzeit oder Länge des Sperrcodes nennt das BSI nicht; der Mustertext enthält dafür Vorschläge von TOMORIS. Auf Privatgeräten ohne Registrierung prüfen App-Schutzrichtlinien beim Start der Firmen-App etwa die Mindestversion des Betriebssystems, Jailbreak oder Root und unter Android die Gerätesperre und sperren sonst den Zugriff (Microsoft, Datenschutzframework).

1. 1

   Lizenzen und Rollen klären

   App-Schutzrichtlinien: je Benutzer ein Microsoft-Entra-Konto mit zugewiesener Intune-Lizenz; für Outlook zusätzlich ein Exchange-Online-Postfach mit Microsoft-365-Lizenz, für Word, Excel und PowerPoint Microsoft 365 Apps for Business oder Enterprise. App-basierter bedingter Zugriff: Microsoft Entra ID P1 oder P2, auch für die erfassten Benutzer; einrichten können ihn Sicherheitsadministratoren und Administratoren für bedingten Zugriff.

2. 2

   App-Schutzrichtlinien anlegen

   Im Microsoft Intune Admin Center je eine Richtlinie für iOS/iPadOS und Android. Microsoft empfiehlt für die meisten mobilen Benutzer Stufe 2 seines Datenschutzframeworks: Organisationsdaten verschlüsseln, PIN, Sicherungen blockieren, Kopien nur in OneDrive for Business, SharePoint und Fotobibliothek, Ausschneiden und Kopieren nur in verwaltete Apps (Einfügen in Firmen-Apps bleibt erlaubt), Mindestversion des Betriebssystems, Firmendaten nach 30 Tagen offline löschen, Geräte mit Jailbreak oder Root blockieren.

3. 3

   Bedingten Zugriff verlangen

   Erst wenn die App-Schutzrichtlinien gelten: im Microsoft Entra Admin Center unter Entra ID › Conditional Access › Policies (Richtlinien) für alle Benutzer und Ressourcen auf Android und iOS die Gewährung „App-Schutzrichtlinie erforderlich“ verlangen, ein Notfallkonto ausnehmen, zuerst im Modus „Nur Bericht“ prüfen. „Genehmigte Client-App erforderlich“ ist seit 30.6.2026 schreibgeschützt: Richtlinien damit lassen sich nicht mehr anlegen oder bearbeiten, nur deaktivieren oder löschen; bestehende wirken weiter. Die Geräte registrieren sich über Microsoft Authenticator (iOS) oder das Unternehmensportal (Android) in Entra ID.

4. 4

   Geräte registrieren

   Firmengeräte vor der Ausgabe im Werkszustand ins MDM aufnehmen (SYS.3.2.2.A4), etwa über die automatisierte Geräteregistrierung von Apple oder Zero-Touch von Android (NIST 5.3.4.2). Privatgeräte über das Android-Arbeitsprofil, die Apple-Benutzerregistrierung oder nur mit App-Schutzrichtlinien.

Abweichung bewusst entscheiden: Das BSI empfiehlt, Smartphones und Tablets per MDM zu verwalten (SOLLTE, SYS.3.2.1.A32); der Baustein SYS.3.2.2 behandelt BYOD nicht. Wer Privatgeräte nur mit App-Schutzrichtlinien absichert, begründet das nachvollziehbar und dokumentiert es, etwa im Sicherheitskonzept. Damit App-Schutzrichtlinien erzwungen werden, rät Microsoft zum bedingten Zugriff. Menüs und Bezeichnungen: Microsoft Learn, Oktober 2026.

Fernlöschung allein schützt nicht: Mit den Bordmitteln von iOS und Android wirkt sie nur bei eingeschaltetem, verbundenem Gerät, und Angreifer können Daten vorher auslesen (NIST 4.3.3). Sperrcode und Verschlüsselung sind die erste Schutzschicht. Löschen Sie Privatgeräte nie ohne Zustimmung vollständig; das Löschen von Daten, die nicht dem Unternehmen gehören, kann laut NIST rechtliche Probleme verursachen (4.3.12).

Beim Austritt setzt die IT zurückgegebene Firmengeräte vor der Weitergabe auf Werkseinstellungen zurück. SIM- und SD-Karten löscht das nicht: SD-Karten entnehmen und löschen, SIM-Karten nach der Regelung zur Rufnummer behandeln; bei der Entsorgung empfiehlt NIST, beide zu entnehmen und zu vernichten (5.5). Nach der Außerbetriebnahme sollen keine schutzbedürftigen Daten auf Gerät oder Speichermedien bleiben (SYS.3.2.2.A22).

NIS2-Einrichtungen: § 32 Abs. 4 lit. i NISG 2026 verlangt Maßnahmen zu Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen. Konkretisiert wird das in Anhang Nr. 12 der Durchführungsverordnung (EU) 2024/2690, den § 2 NISV 2026 für alle wesentlichen und wichtigen Einrichtungen anwendbar macht: Nach Nr. 12.5 sind Abgabe, Rückgabe oder Löschung von Anlagen und Werten wie Geräten bei Ende des Beschäftigungsverhältnisses zu regeln und zu dokumentieren; sonst dürfen sie nicht mehr auf die Systeme zugreifen können.

Ersetzen Sie die Platzhalter in eckigen Klammern, wählen Sie bei | eine Möglichkeit und streichen Sie, was nicht zutrifft; in Variante A (nur Firmengeräte) entfällt § 6. Zahlen wie [5] Minuten sind Vorschläge von TOMORIS ([30] Tage offline ist Microsofts Wert aus Stufe 2), Regeln ohne Fundstelle organisatorische Ergänzungen von TOMORIS. Stimmen Sie den Text mit Datenschutz, Personalabteilung und, falls vorhanden, Betriebsrat ab.

• Bestand erheben, welche Geräte heute auf E-Mail, Chats und Dateien zugreifen (NIST 5.1.2); Variante A oder B und private Nutzung von Firmengeräten entscheiden (SYS.3.2.2.A1).
• Zugelassene Geräte und Mindestversionen festlegen, Update-Zeitraum bei der Beschaffung prüfen (SYS.3.2.2.A2, SYS.3.2.1.A5).
• Lizenzen prüfen: Microsoft Intune, Microsoft Entra ID P1 oder P2.
• HR und Betriebsrat einbinden, Betriebsvereinbarung oder Zustimmung klären (§§ 96, 96a ArbVG, § 10 AVRAG).
• Datenschutzinformation erstellen (Art. 13 DSGVO) und den Datenschutztext im Unternehmensportal anpassen.
• App-Schutzrichtlinien (Stufe 2) einrichten, bedingten Zugriff erst im Modus „Nur Bericht“ prüfen, dann einschalten.
• Mit einer kleinen Pilotgruppe beginnen, dann für alle einführen (NIST 5.3.6).
• Mitarbeitende schulen: Phishing, Updates, Apps aus vertrauenswürdigen Quellen, welche Daten erhoben werden (NIST 4.3.10).
• Meldeweg für Verluste einrichten, Löschaktionen an einem Testgerät üben, Austrittsprozess ergänzen.
• Richtlinie und Einstellungen [jährlich] und vor neuen Betriebssystemversionen prüfen (SYS.3.2.2.A20).

Checkliste und Mustertext sind Empfehlungen von TOMORIS. Gesetzlich vorgegeben sind die genannten Pflichten aus DSGVO, ArbVG und AVRAG, für NIS2-Einrichtungen zusätzlich aus § 32 Abs. 4 lit. i NISG 2026, § 2 NISV 2026 und Anhang Nr. 12.5 DVO (EU) 2024/2690.