iCloud und DSGVO: In Unternehmen vereinbar? (Teil1)

Viele von Apple infizierte Unternehmen stehen nun womöglich vor einem größeren Problem: Mal abgesehen von der Tatsache, dass unschuldige Mitarbeiter zur Nutzung von Macsystemen gezwungen werden, ergibt sich dank der brandneuen Datenschutzgrundverordnung ein datenschutzrechtlicher Fallstrick. Womit sich die Frage stellt: Ist die Nutzung von iCloud, dem Apple’schen Cloud-Dienst, in Unternehmen eigentlich DSGVO-konform? Spoiler: Wir haben nicht ohne Grund eine Liste mit Alternativen für euch.

tastatur

Mehr als einen Monat nach Inkrafttreten der Datenschutzgrundverordnung und einer stressigen „wir müssen alle auf den letzten Drücker unsere Websites auf Vordermann bringen“-Phase bleiben immer noch viele Fragen ungeklärt und damit einige Checkboxen auf der DSGVO-Liste ohne Haken. Eine solche Frage, die viele Unternehmen betrifft: Ist die Nutzung von Apples iCloud im Unternehmen eigentlich zulässig? Die verblüffende Antwort: Nein, ist sie nicht. Zumindest nur teilweise, aber eben nicht ausreichend.

iCloud: Offiziell nur für den privaten Gebrauch bestimmt

Nach überwiegend kreisförmig verlaufenden Diskussionen, haben die beiden Rechtsanwälte Martin Steiger und Stephan Hansen-Oest (Datenschutz-Guru.de) jüngst detailliert dargelegt, weshalb die iCloud-Nutzung in Unternehmen im Sinne der DSGVO nicht wasserdicht ist: Zwar nutzen Teildienste wie iMessage und der Schlüsselbund die notwendige Ende-zu-Ende-Verschlüsselung, Kontakte und Kalender hingegen nicht. Das ist ein Problem: Zwar wandern die Informationen verschlüsselt durch das Netz, den Schlüssel dafür hält aber Apple. Sprich: Sollte beispielsweise eine entsprechende Anfrage einer Sicherheitsbehörde vorliegen, kann Apple auf die Daten zugreifen. Als Auftragsbearbeiter sieht sich Apple nach Art. 10a DSG nicht und durch Bestätigung der Nutzungsbedingungen der iCloud verzichten Nutzer darauf „iCloud in einer Art und Weise zu verwenden, durch die Apple (oder jegliche Apple-Tochtergesellschaft) zu deinem Business Associate oder zum Business Associate eines Dritten wird.“ An anderer Stelle ist sogar explizit von ausschließlich privatem Gebrauch die Rede. Mehr dazu lest ihr im iCloud-Beitrag auf datenschutz-guru.de.

Okay – und jetzt? Alternativen zu iCloud

Um den internen und externen Datenverkehr in den Griff zu bekommen und nicht nur Macs und PCs, sondern auch Mobilgeräte DSGVO-konform abzusichern, integrieren immer mehr Unternehmen sinnigerweise eine explizit für zahlende Firmenkunden vorgesehene Office-Lösung, darunter zum Beispiels Googles G-Suite. Gepaart mit einer MDM-Lösung (Mobile Device Management) wird alles vom Cloud-Speicher über den Kalender und den Mailverkehr bis zum Chat-Programm für die alltägliche Kommunikation abgesichert, sowohl auf den stationären Computern im Büro als auch den Mobilgeräten wie Smartphones, Tablets und Notebooks. Dadurch können Geschäftsgeräte wie Smartphones auch privat genutzt werden – oder andersrum. Die MDM-Lösungen schaffen auf den Geräten Container, die private und geschäftliche Applikationen und Daten strikt trennen. Wer sich vielleicht schweren Herzens von den iCloud-Diensten trennt, um auf der sicheren Seite zu sein, wird dabei nicht über einen Mangel an Alternativen klagen. Eine Reihe davon findet ihr folgend in der Übersicht.

Was ist MDM eigentlich?

Weil die Bezeichnung MDM teils unterschiedlich interpretiert wird, ist der Markt nicht unbedingt sehr übersichtlich. Fälschlicherweise wird MDM oft als Synonym für Enterprise Mobility Management (EMM) genutzt, das allerdings auch Komponenten wie Mobile App Management (MAM) oder Mobile Content Management (MCM) umfasst. Im Grunde geht es aber eben nur um das, wofür die Bezeichnung steht: Mobilgeräte managen. In Deutschland ist es datenschutzrechtlich erforderlich, private und geschäftliche Daten strikt zu trennen.

MDM-Systeme für kleine und mittlere Unternehmen

VMware AirWatch (Android, iOS)

AirWatch gilt als eine der, wenn nicht sogar die führende Lösung auf dem Markt. Dank des etablierten Mutterkonzerns VMWare wird AirWatch sicherlich nicht so schnell verschwinden und überzeugt durch umfassende Funktionen, simple Bedienung und eine individualisierbare Benutzeroberfläche. Somit bietet AirWatch vor allem einen Komfortvorteil gegenüber vielen anderen MDM-Lösungen.

Citrix XenMobile (Android, iOS)

Als offizieller Microsoft-Partner ist Citrix vor allem für Anwender interessant, die beispielsweise Microsofts Intune oder Azure AD nutzen und sich etwas durchdachtere Applikationen wünschen. Ziel von Citrix ist es, mit XenMobile eine intuitive Arbeitsumgebung zu schaffen, die sich in der alltäglichen Nutzung möglichst nicht bemerkbar macht und quasi „dazwischenfunkt“.

SecurePIM Office (Android, iOS)

Die deutsche Virtual Solution AG vereint alle Features in einem sicheren Container, die im Arbeitsalltag notwendig sind, vom Browser über den Kalender bis hin zum sicheren Zugang zu Unternehmensdaten im firmeneigenen Intranet. Alles DSGVO-konform und einfach zu bedienen.

SimpleMDM (iOS)

Hält, was der Name verspricht: SimpleMDM ist sehr einfach zu bedienen. Ausschließlich auf iOS-Geräte ausgelegt, eignet sich diese Lösung natürlich ausschließlich nur für Unternehmen, die mit Apple-Geräten arbeiten. Außerdem handelt es sich nicht um ein deutsches Unternehmen, was Support-Angelegenheiten womöglich erschwert. Nichtsdestotrotz ist SimpleMDM Privacy Shield-zertifiziert und Daten werden DSGVO-konform behandelt.

JamF Now (iOS)

JamF Now ist auf Kleinunternehmen mit Apple-Geräten ausgelegt. Android-Nutzer gehen leer aus. Umfangreich ausgestattet und effektiv, zählt JamF Now zu den vermutlich am besten ausgestatteten Lösungen, doch Nutzer klagen teilweise über die Performance bei der Verwaltung vieler Geräte und die fehlende Möglichkeit, JamF Pro auf eigenen Servern statt in der Cloud des Anbieters speichern zu können.

G-Suite (Android, iOS)

Google vereint mit der G-Suite alles für eine sichere und produktive Arbeitsumgebung: Kommunikation, Zusammenarbeit, Verwaltung und der dazugehörige Speicherplatz sind gewährleistet. Was administrative Einstellungsmöglichkeiten betrifft, sind Konkurrenten zwar teils voraus, doch bietet Google doch ein insgesamt sehr umfassendes Paket.

Mobile Device Management mit iPhone-Geräten

Möchtet ihr iPhones oder andere macOS-Geräte beispielsweise mit der G-Suite oder einer anderen MDM-Lösung verknüpfen, geht das nur mit dem dem Apple Push Certificate. Dieses MDM-Pushzertifikat wird von der verwaltenden Person erstellt, ist an dessen Apple ID geknüpft und muss jährlich erneuert werden. Nur dann lässt Apple zu, dass via MDM mit den Geräten kommuniziert werden darf. Erstellen könnt ihr das Zertifikat auf dem Apple Push Certificates Portal. Anschließend muss dieses in der entsprechenden MDM-Software hinterlegt werden.

Apple Push Certificate mit G-Suite

Apple Push Certificate mit Microsoft Intune


Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.