"Bring your own device": Freiheit mit Tücken

Immer mehr Angestellte verwenden ihre privaten Smartphones, Tablets und Laptops auch im Job. Dies wird als "Bring Your Own Device" (BYOD) bezeichnet.

IT-Experten meinen, dass Unternehmen kaum noch eine Chance haben, BYOD zu verbieten. Mobilität für jeden, jederzeit und überall sei in den Unternehmen bereits Realität. Dabei wird ein grundlegendes Umdenken von IT-Sicherheitsleuten und Juristen gefordert, den Einsatz privater mobiler Geräte und Applikationen grundsätzlich zu erlauben und das Augenmerk auf taugliche Sicherheitslösungen zu richten.

Was also tun? Alles erlauben oder verbieten? Wie rechtlich absichern?

Gibt der Arbeitgeber keine klaren Richtlinien vor, besteht die Gefahr, dass Mitarbeiter ihre Geräte eigenmächtig einsetzen. Der unkontrollierte Einsatz privater Geräte bedeutet aber das höchste Sicherheits- und Haftungsrisiko für das Unternehmen. Denn die IT-Sicherheit im Unternehmen und ein wirksames Kontrollsystem und Risikomanagement gehören zu den Pflichten der Geschäftsführung.

Persönliche Haftung des Geschäftsführers

Hier kann der Geschäftsführer dem Unternehmen gegenüber sogar persönlich haften. Umgekehrt können Schadenersatzansprüche des Unternehmens gegenüber Dritten (Hackern) aufgrund von Mitverschulden des Unternehmens beschränkt sein, wenn keine geeigneten Schutzmaßnahmen gegen Datenverlust und -missbrauch getroffen werden. Auch Versicherungen springen in solchen Fällen unter Umständen nicht ein. Jedes Unternehmen sollte daher prüfen, in welchem Umfang mobiles Arbeiten in seiner Organisation notwendig ist. Ist diese Frage geklärt, kann es in IT- und BYOD-Richtlinien die Rahmenbedingungen für das mobile Arbeiten schaffen. Kommen private Geräte zum Einsatz, ist zusätzlich zum Arbeitsvertrag eine individuelle Nutzungsvereinbarungen mit jedem Mitarbeiter zu schließen; denn hier ist das Privateigentum des Mitarbeiters betroffen, über welches der Arbeitgeber ohne Zustimmung des Mitarbeiters nicht einseitig verfügen kann.

Da bei der Überwachung der IT-Sicherheit oft auch ein Fernzugriff des Arbeitgebers auf die mobilen Geräte notwendig ist, ist der Betriebsrat einzubinden. Die Checkliste für eine solche Nutzungsvereinbarung:

Festlegen, welche Software, inklusive Antivirensoftware, und Apps zu verwenden sind.

Strenge Trennung von beruflichen und privaten Daten auf den Geräten der Mitarbeiterinnen und Mitarbeiter vereinbaren.

Richtlinien zur sicheren Verwahrung und Verwendung des Geräts definieren.

Ausschluss beziehungsweise Beschränkung der Haftung im Fall von Beschädigung, Verlust oder Diebstahl des Geräts erfassen.

Fernzugriff-Genehmigung vereinbaren, um insbesondere bei Verlust, Diebstahl oder Kündigung des Mitarbeiters Daten löschen zu können.

Sicherstellung der regelmäßigen Vornahme von Updates und Synchronisierung des privaten Geräts.

Klare Regeln festlegen, um das Haftungsrisiko einzugrenzen, wenn Kundendaten verloren gehen oder Dritte zu Schaden kommen.