Wenn ein Firmenhandy verloren geht, zählt die Reihenfolge: erst das Gerät sperren und orten, dann die SIM-Karte sperren lassen, die Konten schützen, den Verlust dokumentieren und binnen 72 Stunden prüfen, ob eine Datenpanne gemeldet werden muss. Mit MDM, etwa über einen Device-as-a-Service-Anbieter wie Everphone, geht das aus der Ferne.
Die Hardware ist bei einem verlorenen Handy das kleinere Problem. Ein entsperrtes Gerät mit Mailzugang, Kalender und Authenticator-App ist hingegen ein offener Zugang zu deinem Unternehmen.
Dieser Artikel ist deshalb eine Checkliste für die IT und eine Anleitung für Angestellte, die gerade ihr Diensthandy suchen. Wer haftet, klären wir im Artikel zum gestohlenen Firmenhandy.
Was Angestellte in den ersten Minuten tun
Melde den Verlust sofort der IT, nicht erst nach der Suche. Jede Stunde, die du das Gerät allein suchst, läuft gegen die Frist, die dein Arbeitgeber einhalten muss. Das ist der wichtigste Satz für alle, die kein MDM verwalten.
Nenne der IT drei Dinge: wann du das Gerät zuletzt hattest, wo es gewesen sein kann und ob es per PIN oder Biometrie gesperrt war. Mehr braucht die IT für die ersten Schritte nicht.
Ob das Handy gestohlen wurde oder im ICE liegen blieb, weißt du oft nicht. Behandle beides zunächst gleich: als Verlust mit möglichem Fremdzugriff.
Gerät aus der Ferne sperren und orten
Der erste Schritt der IT ist der Verloren-Modus im MDM, nicht das Löschen. Er sperrt das Gerät, zeigt eine Nachricht mit Rückrufnummer auf dem Sperrbildschirm und lässt dich den Standort sehen. Ehrliche Finder können deine IT jetzt kontaktieren.
Bei iPhones und iPads ist der verwaltete Modus „Verloren“ nur möglich, wenn das Gerät betreut ist und über die (automatische) Geräte-Registrierung in der Geräteverwaltung hängt. Dann zeigt Apple den letzten bekannten Standort, auch wenn die Standortdienste ausgeschaltet sind.
Bei Android Enterprise heißt der Befehl START_LOST_MODE. Er sperrt das Gerät und blockiert alle Apps. Voraussetzung hierfür sind vollständig verwaltete Geräte ab Android 11 oder ein Arbeitsprofil auf unternehmenseigenen Geräten ab Android 13.
Ein Haken gilt für beide Plattformen: Das Gerät muss online sein, um den Befehl zu empfangen. Bei Apple wird der Befehl so lange erneut gesendet, bis das Gerät eine Verbindung hat.
Ein Handy, das im Flugmodus oder mit leerem Akku in einer Tasche liegt, ist also erst gesichert, wenn es sich das nächste Mal meldet.
Firmenhandy ist weg - wann löschen besser ist als warten
Lösche sofort, wenn das Gerät sicher gestohlen wurde oder sensible Daten enthält. Warte nur, wenn es sehr wahrscheinlich liegen geblieben ist und der Verloren-Modus bereits aktiv ist.
Der Grund: Mit dem Löschbefehl verschwinden alle Daten vom Gerät, aber auch die Chance auf Ortung. Apple lässt dafür ein bestätigtes Löschen zu, und ein später gefundenes Gerät lässt sich neu registrieren.
Lege die Frist vorher fest, nicht im Stress. Ein Beispiel: Lena aus dem Vertrieb lässt ihr Handy am Freitagabend im Zug liegen. Die IT setzt den Verloren-Modus, und ein Fundbüro-Anruf am Montag bleibt ohne Ergebnis. Steht in eurer Richtlinie „nach 24 Stunden ohne Fund wird gelöscht“, muss niemand mehr diskutieren.
Verschlüsselung und ein starker Gerätecode sind die zweite Verteidigungslinie. Sie entscheiden später auch, ob du eine Datenpanne melden musst.
SIM-Karte sperren und Konten schützen
Lass die SIM-Karte sperren, bevor jemand auf Firmenkosten telefoniert oder SMS-Codes abgreift. Das geht über den Sperr-Notruf 116 116 oder direkt beim Anbieter, bei dem der Vertrag läuft. Wichtig ist der Vertragspartner, nicht der Netzbetreiber: Bei einem Vertrag über einen Reseller ruft man dessen Kundenservice an.
Du brauchst die Mobilfunknummer. Die IMEI-Nummer des Geräts, die du mit *#06# abfragst, gehört in die Anzeige bei der Polizei, sofern das Handy gestohlen wurde. Besser: Die IT hat sie schon im Inventar.
Danach geht es um die Konten, die auf dem Handy angemeldet waren:
- Sitzungen für Mail, Chat und Cloud-Apps beenden.
- Passwörter ändern, vor allem das des Hauptkontos.
- Authenticator und Zweitfaktoren des Geräts im Identity-Provider entfernen.
- Zugriffe der letzten Stunden in den Logs prüfen.
Schritt 3 vergessen viele. Solange der alte Authenticator registriert ist, hilft das neue Passwort nur halb.
Datenpanne? Die 72-Stunden-Frist nach DSGVO
Ein verlorenes Firmenhandy ist meist eine Verletzung des Schutzes personenbezogener Daten, denn der Begriff schließt ausdrücklich den Verlust ein (Art. 4 Nr. 12 DSGVO). Gemeldet wird sie aber nur, wenn voraussichtlich ein Risiko für die Betroffenen besteht.
Die Frist beträgt nach Art. 33 DSGVO „unverzüglich und möglichst binnen 72 Stunden“, nachdem dir der Vorfall bekannt wurde. Sie läuft ab Kenntnis, nicht ab Abschluss deiner Untersuchung. Meldest du später, musst du die Verzögerung begründen.
Dokumentieren musst du jeden Verlust, auch wenn du nicht meldest. Notiere Zeitpunkt, Gerät, betroffene Daten, getroffene Maßnahmen und warum du das Risiko als gering einschätzt.
Die Betroffenen informierst du nach Art. 34 DSGVO nur bei voraussichtlich hohem Risiko. Die Pflicht entfällt, wenn die Daten durch Maßnahmen wie Verschlüsselung für Unbefugte praktisch unzugänglich sind. Ein Handy mit aktiver Verschlüsselung und sechsstelligem Code ist deshalb ein anderer Fall als eines ohne Sperre.
Binde den*die Datenschutzbeauftragte*n ein, bevor du entscheidest. Dieser Artikel ersetzt keine Rechtsberatung. Mehr zum Thema im Artikel Ist Device as a Service DSGVO-konform?.
Checkliste: Wer macht was und bis wann
| Zeitpunkt | Maßnahme | Zuständig |
|---|---|---|
| Sofort | Verlust melden, Zeitpunkt und Ort notieren | Angestellte*r |
| Erste Stunde | Verloren-Modus setzen, Standort prüfen | IT |
| Erste Stunde | SIM sperren lassen | IT oder Angestellte*r |
| Erste Stunden | Sitzungen beenden, Passwörter ändern, Zweitfaktor entfernen | IT |
| Tag 1 | Bei Diebstahl Anzeige erstatten, IMEI angeben | Angestellte*r |
| Vereinbarte Frist | Gerät löschen, wenn nicht gefunden | IT |
| Binnen 72 Stunden | Risiko bewerten, ggf. Meldung an die Aufsichtsbehörde | Datenschutz |
| Danach | Ersatzgerät bereitstellen, Vorfall dokumentieren | IT |
Was ein Mietmodell bei Verlust ändert
Die Schritte oben laufen bei jedem Gerät gleich. Unterschiede gibt es bei Verwaltung und Ersatz.
Bei Device-as-a-Service gehören MDM, Rollout und Geräteaustausch zum Service. Ob ein verlorenes Gerät von Everphone von deiner IT oder eben von Everphone auf verloren gesetzt wird, hängt von der Integrationstiefe des Managed Service für MDM ab.
Ein Gerät lässt sich im Portal oder per API als „Lost/Stolen“ melden. Ist das Flag lost-device für die Organisation aktiv, wird darüber auch ein Ersatzgerät ausgelöst.
Im Verlustfall zählt der Zeitwert des Geräts nach der Restwerttabelle. Abgerechnet wird also nicht zum Neupreis. Bei Verlust können sich Nutzer über das Portal ein neues Gerät bei Everphone bestellen.
Was du vor dem nächsten Verlust regeln solltest
Ein Verlust trifft jedes Unternehmen irgendwann. Der Unterschied liegt in der Vorbereitung.
Setze auf jedem Gerät einen Gerätecode und aktive Verschlüsselung durch. Pflege ein Inventar mit IMEI und Mobilfunknummer. Schreibe die Löschfrist in die Nutzungsvereinbarung. Und leg fest, wer einen Verlust um 22 Uhr entgegennimmt.
Häufige Fragen
Muss ich ein verlorenes Diensthandy der Polizei melden?
Bei Diebstahl ja, bei bloßem Liegenlassen nicht zwingend. Eine Anzeige mit IMEI hilft in beiden Fällen, weil sie den Vorfall belegt. Sie ersetzt aber weder die interne Meldung noch die Prüfung einer Datenpanne.
Ist ein verlorenes Firmenhandy immer eine meldepflichtige Datenpanne?
Es ist meist eine Verletzung des Schutzes personenbezogener Daten, aber nicht immer meldepflichtig. Melden musst du, wenn voraussichtlich ein Risiko für die Betroffenen besteht. Dokumentieren musst du den Vorfall in jedem Fall.
Kann ich ein ausgeschaltetes Handy per MDM löschen?
Der Befehl kommt erst an, wenn das Gerät wieder online ist. Bei Apple sendet das MDM ihn so lange erneut, bis eine Verbindung besteht. Bis dahin schützen nur Gerätecode und Verschlüsselung die Daten.
Soll ich die SIM-Karte auch sperren, wenn das Gerät per MDM gesperrt ist?
Ja. Die MDM-Sperre schützt die Daten auf dem Gerät, aber nicht den Mobilfunkvertrag. Mit der SIM-Karte lassen sich weiter Anrufe führen und SMS-Codes empfangen.