Das BSI verkündet: Apples Datenschutz für Behörden ausreichend

MDM Service


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nach intensiver Prüfung die eingebetteten Sicherheitsvorkehrungen der iOS und iPadOS Geräte festgestellt, dass Apples Datenschutz für Behörden ausreichend ist. Diese Entscheidung kommt einer Freigabe der Geräte für bestimmte Abteilungen von Behörden und öffentlichen Einrichtungen gleich.

Wichtig hierbei zu beachten ist, dass das BSI voraussetzt, dass mobile Geräte, die frei auf dem Markt verfügbar sind, dennoch mit zusätzlichen Sicherheitsvorkehrungen in Behörden genutzt werden. Dazu gehören ein Mobile Device Management System (MDM) und ein Virtual Private Network (VPN).
Auch wenn Apples Datenschutz ausreichend für die Nutzung in Behörden ist, so können also die iOS Geräte nicht einfach verwendet werden, wie sie sind, sondern müssen mit zusätzlichen Maßnahmen abgesichert werden.

Im folgenden Artikel klären wir nun auf, was der Einsatz eines MDM zur Unterstützung von Apples Datenschutz für Behörden in der Praxis bedeutet.


Wie genau wurde eingeschätzt, dass Apples Datenschutz für Behörden ausreicht?

 

Das BSI stellt in seiner Ankündigung vom 05.10.2022 dar, dass die von Apple bereits im System integrierten Sicherheitsvorkehrungen (insbesondere in den Anwendungen E-Mail, Kalender und Kontakte) ausreichend sind, um die unterste Sicherheitsstufe der Behörden zu erfüllen.

Die unterste Sicherheitsstufe wird als 'Verschlusssache - nur für den Dienstgebrauch” (abgekürzt V-NfD) bezeichnet und für Informationen verwendet, die aus staatlichem Interesse unter Verschluss gehalten werden. Diese Informationen dürfen nur von berechtigten Personen eingesehen und verarbeitet werden.

Dementsprechend müssen bei der Arbeit mit diesen Informationen weitere Sicherheitsvorkehrungen getroffen werden. Dazu gehören unter anderem ein Zugriffs-und Rechtemanagement, die Möglichkeit, Daten vom Gerät zu löschen und eine zertifizierte Datenlöschung nach Ablauf der Nutzungsdauer des Gerätes. Zusätzlich kann es erforderlich sein, weitere BSI Mindeststandards zur sicheren Nutzung von IT anzuwenden.


Wie können öffentliche Einrichtungen und Behörden den Datenschutz bei der Verwendung  von Apple-Geräten gewährleisten?

 

Um mobile Geräte wie iPhones und iPads sicher für die mobile Arbeit einsetzen zu können, ist es wichtig, dass zusätzlich Software installiert wird, die diese Geräte übergeordnet verwaltet. Eine solche Software stellt ein Mobile Device Management System (MDM) dar.

Ein MDM ist so konzipiert, dass es wichtige Sicherheitsrelevante Funktionen umfasst und Sicherheitslücken, die bei der Nutzung mobiler Geräte entstehen können, schließt. Mithilfe eines MDMs ist es möglich, mobile Geräte wie Smartphones oder Tablets mit deren dazugehörigen Nutzer*innen an einer zentralen Stelle zu verzeichnen. Weitere Funktionen eines MDMs sind die Installation und Updates von Apps, die Einrichtung von Nutzungsrichtlinien für die mobilen Geräte, die Festlegung von Befugnissen uvm. Der vorhandene Datenschutz auf Apple Geräten wird durch ein MDM demnach sinnvoll ergänzt.


Warum wird die Nutzung eines MDMs grundsätzlich empfohlen, wenn unternehmenseigene Geräte geschützt werden sollen?

 

Ein MDM stellt eine Art sichere Plattform im Hintergrund des Gerätes dar, auf der die anderen Apps arbeiten können. Zusätzlich tragen die Einschränkungen und Richtlinien, die vergeben werden können, zur sicheren Nutzung bei, indem festgelegt wird, welches WLAN verwendet werden darf, welche Apps installiert und genutzt werden dürfen.

In Kombination mit einem generell als sicher eingestuften Betriebssystem wie Apples iOS und iPadOS kann ein Gerät so weit gesichert werden, dass es für eine Nutzung in öffentlichen Einrichtungen oder Behörden in Frage kommt. Gerade Apple Geräte zeichnen sich durch Langlebigkeit und ein sehr stabiles Betriebssystem aus. Damit können Behörden also gute Geräte auf dem freien Markt erwerben. Eine flexiblere Nutzung mobiler Geräte trägt nicht nur zu höherer Effektivität bei, sondern auch dazu, dass Behörden und Ämter weiterhin attraktive Arbeitgeber bleiben. Denn auch hier ist ein Fachkräftemangel in Aussicht.

Laut BSI arbeitet Apple sehr eng mit den Prüfer*innen zusammen und möchte auch in Zukunft auf eine enge Zusammenarbeit mit dem BSI setzen. Der Fokus auf den Datenschutz könnte für Apple dazu beitragen, dass diese Geräte häufiger in öffentlichen Einrichtungen genutzt werden.


Doch was bedeutet die Einstufung des BSI, dass Apples Datenschutz ausreichend für Behörden ist?

 

Informationen, die mit “V-NfD” gekennzeichnet sind, dürfen nur von berechtigten Personen verarbeitet werden. Die Anwendungen, mit denen diese Informationen verarbeitet werden, müssen den Anforderungen an “V-NfD” genügen.

 

Über ein MDM können Informationen für verschiedene Personen zugänglich gemacht werden.
Sind die Informationen in einer gesonderten Ordnerstruktur abgelegt, erhält das MDM Zugriff auf diese Schnittstelle. Durch die Zuteilung von Nutzungsrechten mithilfe des MDMs wird der Zugang für nicht berechtigte Personen verhindert. Der Zugang kann auch nur teilweise verhindert werden, wenn z.B. auf bestimmte Informationen Zugriff besteht, auf andere jedoch nicht.

Ein Rollenmanagement, sowie eine Einteilung der Nutzer*innen in Gruppen ermöglicht die Einrichtung unterschiedlicher Zugriffsrechte über das MDM. So können alle Nutzer*innen, die Zugriff auf bestimmte Anwendungen und Informationen erhalten sollen, in dieselbe Gruppe zugeordnet werden. Die benötigten Anwendungen können per Installationsbefehl direkt an die mobilen Geräte gesendet werden.

 

Apples Datenschutz ist für Behörden grundsätzlich geeignet. Um die Nutzung mobiler Geräte für die Arbeit zusätzlich abzusichern, empfiehlt es sich, nicht nur festzulegen, welche Anwendungen von wem genutzt werden dürfen, sondern auch, was aus Datenschutzgründen nicht verwendet werden darf.

 

Diese Herausforderung ist vielschichtiger, als man zuerst annimmt: Zum Einen muss sichergestellt werden, dass die Einschränkungen, die unweigerlich vorgenommen werden müssen, die Mitarbeitenden nicht so sehr begrenzen, dass die Arbeit nicht erledigt werden kann (oder mit Workarounds versucht wird, den Sicherheitsvorkehrungen zu entkommen). Zum Anderen kann nur durch Vorgaben sichergestellt werden, dass Sicherheits- und Datenschutzvorschriften eingehalten werden.

Vorgaben können zum Beispiel die Festlegung von sicheren WLAN Verbindungen sein, mit denen sich das Gerät verbinden darf und der Ausschluss aller ungesicherten oder unbekannten Netzwerke. Weiterhin können bestimmte Websites komplett geblockt werden und es können nur arbeitsrelevante Online-Anwendungen erlaubt sein. Auch Apps können vollständig von Download und Nutzung ausgeschlossen werden. Erwünschte Apps müssen nicht aus dem App-Store heruntergeladen werden, sondern können auch direkt als Datei auf das Gerät gesendet werden, wo sie sich automatisch installieren.

 

Eine wichtige Schnittstelle, die gern von Angreifer*innen attackiert wird, ist der Datentransfer innerhalb der Behörde und/oder mit Außenstehenden, wie zum Beispiel Klienten oder anderen öffentlichen Einrichtungen. Daher muss der Datentransfer besonders abgesichert werden.

 

Der Datentransfer und Informationsaustausch sind Tätigkeiten, die einen Großteil der Arbeit in einer Behörde ausmachen. Da hier mit wichtigen und teilweise sensiblen Daten gearbeitet wird, ist es unerlässlich, dass diese abgesichert versendet werden. Dafür können mithilfe eines MDMs bestimmte Datenschutz-Konfigurationen vorgenommen werden. Besonders empfehlenswert ist aber die direkte Nutzung einer sicheren E-Mail Anwendung, z.B. MobiVisor Secure Mail, die eingebettet in das MDM, als eigenständige E-Mail Anwendung funktioniert.

Um noch schneller und unkomplizierter intern zu kommunizieren, kann auch ein Messenger eingesetzt werden. Gehört dieser zum MDM dazu, wie z.B. der MobiVisor Messenger , ist eine sichere Kommunikation gewährleistet.

Auch die Verwendung einer sicheren Kalenderanwendung ist für den Datenschutz besonders wichtig. Oftmals wird nicht bedacht, dass Kalenderapps private und sensible Daten speichern, da sie zum Beispiel mit Kontaktdaten verknüpft werden. Schädliche Kalenderapps können die Daten dabei abgreifen und an Dritte weitergeben. Dementsprechend ist die Einschätzung des BSI, dass die Kalenderapp von Apples Datenschutz für Behörden ausreicht und die Geräte als sicher gelten besonders bedeutsam, denn die mobile Arbeit ist ohne eine sichere Kalenderapp fast unmöglich.

 

Apples Datenschutz ist für Behörden ausreichend. Doch um dort und in anderen Einrichtungen mit besonders strengen Datenschutzverordnungen mobile Geräte wie z.B. iPhones oder iPads nutzen zu können, müssen diese mit sicherheitsrelevanten Funktionen ergänzt werden.

 

Für die Geräteadministration und die Absicherung der Geräte ist es wichtig, dass auf diese im Notfall oder zur Fehlerbehebung schnell zugegriffen werden kann. Ein MDM bietet hierfür eine zentrale Verwaltungsplattform, über die Administrator*innen Benachrichtigungen im Falle eines Verstoßes gegen Nutzungsrichtlinien erhalten. So kann jederzeit festgestellt werden, von welchem Gerät der Verstoß ausging und schnell reagiert werden. Das betreffende Smartphone oder Tablet kann entweder direkt gesperrt werden, um weitere Verstöße und einen Zugriff auf das Unternehmensnetzwerk zu verhindern oder alle Daten werden per Fernbefehl gelöscht. Letzteres ist auch hilfreich, sollte das mobile Gerät verloren gehen oder gestohlen worden sein.

Da Apples Datenschutz für Behörden ausreicht, bedeutet dies, dass automatisch eine höhere Sicherheit der Daten durch den Aufbau der Geräte gegeben ist. Dennoch kann es sinnvoll sein, das Gerät speziell nur für die Nutzung auf der Arbeit einzurichten.

 

Mobile Geräte erfordern einen hohen administrativen Aufwand, um stets technisch auf dem neuesten Stand zu bleiben und fehlerfrei zu funktionieren. Dennoch kann es zu Ausfällen oder Fehlern kommen, die schnellstmöglich behoben werden müssen.

 

Die Benutzung mobiler Geräte, die über verschiedene Schnittstellen mit dem Unternehmensnetzwerk und allen darin verfügbaren Ressourcen verbunden sind, erfordert auch bei technisch versierten Mitarbeitenden eine gewisse Übung. Doch nicht immer liegt ein Fehler auf Seiten der Benutzer*innen: manchmal funktionieren auch die Geräte selbst nicht so, wie sie sollen. Schädlich ist es in diesem Fall, den Fehler zu spät zu melden und/oder zu viel Zeit bis zur Behebung verstreichen zu lassen, da dadurch entstandene Sicherheitslücken noch größer werden könnten. Um schnelle Hilfe geben zu können, können sich Administrator*innen nach Zustimmung  des Nutzers oder der Nutzerin über MobiVisor MDM aus der Ferne auf das Gerät schalten und die Fehlerquelle 1:1 erkennen.

 

Damit ein MDM in einer Behörde eingesetzt werden darf, muss es bestimmte Voraussetzungen erfüllen. Es dürfen weder personenbezogene Daten erhoben, noch in irgendeiner Weise weiterverarbeitet werden.

 

Bei dem Einsatz eines MDMs in einer öffentlichen Einrichtung oder einer Behörde muss außerdem sichergestellt werden, dass das Hosting sicher ist und keine Daten des Unternehmens an Unbefugte gelangen können. Ein erster wichtiger Schritt ist das Hosting in Deutschland, da hier ein strengerer Schutz gilt als in vielen anderen Ländern. Auch MobiVisor MDM wird in Deutschland gehostet. Des Weiteren werden durch das MDM keine geräte- oder personenbezogenen Daten gespeichert, sondern nur die Daten, die zur Nutzung und Verwaltung des Gerätes notwendig sind. Dadurch wird sichergestellt, dass im Falle eines Zugriffs keine Daten preisgegeben werden.


Fazit:

  • Apples Datenschutz reicht für die Nutzung in Behörden, auf der untersten Sicherheitsstufe, aus
  • Laut BSI muss das Betriebssystem der Geräte um weitere Sicherheitsvorkehrungen ergänzt werden, z.B. ein VPN und ein Mobile Device Management System
  • MobiVisor bietet Ihnen mit unserem MDM und dem MobiVisor VPN ein sicheres Rundum-Paket für die Nutzung mobiler Geräte
  • Durch flexibleren Einsatz von mobilen Geräten bleiben Behörden und öffentliche Einrichtungen als attraktive Arbeitgeber interessant

Sie möchten mehr zum sicheren Einsatz von Apple Geräten mithilfe eines MDMs erfahren? Kontaktieren Sie uns einfach!

    ÄHNLICHE INHALTE

    FAQ V: Welche mobilen Geräte passen zu Ihrem MDM?

    FAQ V: Welche mobilen Geräte passen zu Ihrem MDM?

    In Teil 5 unserer FAQs befassen wir uns diesmal mit den richtigen mobilen Geräten für Ihr MDM.

    Weiterlesen
    MDM-Pflicht für große Praxen und Labore

    MDM-Pflicht für große Praxen und Labore

    Für große Praxen und Labore besteht die Pflicht, die mobilen Geräte abzusichern und vor Datenverlust zu schützen. Dies gelingt mithilfe eines Mobile Device Management Systems.

    Weiterlesen