Apps sperren auf dem Firmenhandy – wie geht die App-Sperre?

Es gibt gute Gründe, auf einem Firmenhandy bestimmte Apps zu sperren: drohende DSGVO-Verstöße, Datenschutz im Allgemeinen und die Sicherheit der Unternehmensdaten im Besonderen. Und wie setzt man das jetzt um?

Warum Apps sperren?

Mobile Apps können prinzipiell eine Sicherheitslücke auf einem Smartphone darstellen und Unbefugten Zugriff auf das Gerät und die darauf befindlichen Daten gewähren. Manchen Nutzer*innen ist es auch nicht lieb, dass etwa die Bildergalerie oder Messenger-Apps prinzipiell lesbar sind, wenn sie das Mobilgerät einer anderen Person kurzzeitig überlassen möchten. Mit einer App-Sperre wird dies verhindert.

Apps auf einem privaten Gerät sperren

Um auf ausschließlich privat genutzten Geräten Apps zu sperren, gibt es reichlich Lösungen, nachfolgend in Kürze.

Android

Im Google Play Store gibt es zahlreiche Apps, die den Zugriff auf andere Anwendungen per Passwort, Geste oder Fingerabdruck sperren. Am besten suchst du nach Begriffen wie „App Lock“, was auch der Name einer weit verbreiteten Applikation ist. Eine Variante davon ist „MaxLock“.

Zudem bietet Android die Möglichkeit, einen eigenen geschützten Bereich für Apps einzurichten. Dieser heißt bei Samsung „Secure Folder“, bei Huawei/Honor lautet die Bezeichnung „PrivateSpace“.

Eine weitere Möglichkeit ist, ein zweites Nutzerprofil unter Android anzulegen. Mehr dazu list du bei androidpit.de: So sperrt Ihr Apps mit einem Extra-Passwort.

iOS

Apple-User*innen wünschen sich gegebenenfalls auch das kleine Extra an Privatsphäre und möchten die eine oder andere App-Sperre einrichten. Auch unter iOS gibt es Möglichkeiten, Apps zu sperren, beispielsweise über die Funktion „Einschränkungen“. Für temporäre Zugriffsbeschränkungen können Nutzer*innen auch den sogenannten „Geführten Zugriff“ einrichten.

Eine weitere Möglichkeit sind (wie auch bei Android) Third-Party-Applikationen, die allerdings meist ein Jailbreak des iOS-Gerätes voraussetzen.

Wie du zu den einzelnen Einstellungen gelangen kannst und den Namen zweier Drittanbieter erfährst du hier:
4 Wege, Apps auf dem iPhone und iPad sicher zu sperren.

Wie sperrt man Apps auf einem Firmenhandy?

Was bei einem privaten Gerät bereits äußerst heikel sein kann – denken wir etwa an private Fotos, Zugangsdaten von Bezahldiensten, E-Mail-Konten und dergleichen – ist im beruflichen Umfeld noch viel kritischer.

Hier geht es ja nicht nur um die persönlichen Daten der Nutzer*innen, sondern auch um Geschäftskontakte oder wertvolle Unternehmensdaten. Im schlimmsten Fall drohen durch Identitätsdiebstahl oder andere Cyberangriffe Wirtschaftsspionage, Datendiebstahl, Datenverlust und Ransomware/Erpressungsversuche.

Sicherlich kann man durch rein arbeitsrechtliche Schritte wie eine Nutzungsvereinbarung seinen Angestellten bestimmte Nutzungsverhalten vorschreiben. Hier lauern aber erstens rechtliche Fallstricke für die Arbeitnehmer*innen (Abmahnungen, Haftungen, Schadensersatz) und Sicherheitsrisiken für das Unternehmen durch nicht ausreichend sensibilisierte Angestellte.

Zunächst gilt es zu unterscheiden, ob das Unternehmen im Rahmen von „Bring your own Device“ auch den Einsatz von Privatgeräten im Unternehmensumfeld zulässt, auf rein beruflich genutzte Firmengeräte (COBO) setzt oder Firmensmartphones vergibt, die auch privat genutzt werden können (COPE).

Was die einzelnen Vergabemodelle im Detail bedeuten, haben wir in folgendem Artikel ausführlich erläutert: https://www.everphone.com/de/blog/mobile-device-management

Sofern eine rein berufliche Nutzung vorliegt, kann die IT die Geräte so konfigurieren, dass das Installieren, Deinstallieren, Updaten, Ausführen etc. von Anwendungen nur gemäß den gewünschten Unternehmensvorgaben geschieht.

Blacklists

Für ein hieb- und stichfestes Mobile-Security-Konzept kann es notwendig werden, bestimmte Apps zu verbieten („Blacklisting“). Dies kann zum Beispiel der Fall sein, wenn die Anwendungen aus datenschutzrechtlichen Erwägungen nicht sicher sind (lese hierzu: WhatsApp und DSGVO – wo ist das Problem?) und durch die App etwa bei einer Datenschutzkontrolle im Rahmen der EU-DSGVO Strafzahlungen drohen. Auch Apps mit bekannten Sicherheitslücken können von der IT unterdrückt werden.

Whitelists

Ein anderer Ansatz geht genau andersrum an das Problem: Hier wird von der IT eine Positivliste zulässiger Anwendungen erstellt; nur die erlaubten Produktivitäts-Apps können dann heruntergeladen und installiert werden („Whitelisting“).

Per Whitelist zur Verfügung gestellte Produktivitäts-Apps im Google Workspace

Privat genutzte Firmenhandys

Sind die Firmenhandys auch zur privaten Nutzung vorgesehen, wird die Sache etwas komplizierter: Denn erstens gibt es Apps, die im Unternehmenseinsatz kritisch zu sehen sind – für eine rein private Nutzung aber in Ordnung gehen (zum Beispiel WhatsApp). Zweitens macht die DSGVO es bei Firmenhandys im Fall einer Mischnutzung notwendig, die privaten von den beruflichen Daten strikt zu trennen.

Eine rein arbeitsrechtliche Lösung wie eine Nutzungsvereinbarung ist hier dann nicht mehr ausreichend und sorgt übrigens auch nicht für positive Nutzerlebnisse oder hohe Mitarbeiterzufriedenheit.

Deshalb benötigt man in diesem Fall eine Software-Lösung, die die beiden Datensätze trennt und in je einem eigenen Silo aufbewahrt. Diese „Containerisierung“ erreicht man entweder durch den Einsatz einer speziellen Container-App wie zum Beispiel SecurePIM oder durch eine Mobile-Device-Management-Software.

Den Unterschied zwischen App und MDM-Suite erläutern wir in unserem MDM-Whitepaper.

Mobile Application Management: Apps nach Bedarf sperren

Das zentrale Verwalten und Steuern mobiler Applikationen nennt man „Mobile Application Management“ (MAM). Üblicherweise ist das MAM in eine übergeordnete Enterprise-Mobility-Management-Suite integriert.

Mit einem MAM lassen sich alle Anwendungen auf dem Endgerät verwalten. IT-Administratoren können hierzu beispielsweise einen eigenen Enterprise-App-Store einrichten, aus welchem sich Mitarbeiter*innen dann bedienen können. Alternativ kann auch der übliche Android Play Store/Google Play verwendet werden, um bestimmte Apps bereitzustellen oder eben, um Apps zu sperren.

Zudem können per MAM auch Zugriffsrechte der einzelnen Anwendungen administriert und Anwenderdaten erhoben werden. Dazu gehört zum Beispiel:

Erlauben/Verbieten automatischer Updates
Erlauben/Verbieten der Zwischenablage
Erlauben/Verbieten, dass Nutzer*innen Anwendungen starten oder beenden
USB-Zugriff erlauben/verbieten
Benachrichtigungen verwalten
Grundlegende Anwendungsdaten erfassen (z. B. App-Größe)
Statistiken erheben (z. B. Anzahl der Anwendungsstarts, Speicherverbrauch, verwendeter Arbeitsspeicher, Netzwerkstatus)

Unternehmensdaten per Wiping schützen

Abschließend noch ein besonders wichtiger Aspekt beim Mobile Application Management: das sogenannte Wiping. Dadurch können Unternehmensdaten auf abhanden gekommenen Mobilgeräten aus der Ferne gelöscht („gewipt“) werden. Das ist wichtig, wenn etwa ein Firmenhandy gestohlen wird und der Zugriff auf relevante oder gar geschäftskritische Daten befürchtet werden muss.

Fazit zur Sperrung von Apps auf Firmengeräten

Die uneingeschränkte Erlaubnis für Arbeitnehmer*innen, Apps nach Gutdünken zu installieren, empfiehlt sich keinesfalls – oder jedenfalls nur, wenn alle Angestellten im höchsten Maß für die Belange von IT-Security und Mobile Security sensibilisiert sind.

Eine „weiche“ Methode sind arbeitsrechtliche Regelungen wie eine Nutzungsvereinbarung. Hier verbleiben aber auf beiden Seiten Risiken.

Die sichere Methode, Apps auf einem Firmenhandy zu sperren, ist ein Mobile Application Management. Hier administriert die IT den Zugang: Entweder werden Anwendungen genehmigt und in einem Enterprise App Store bereitgestellt oder unerwünschte Apps werden gesperrt.