Bring your own Device

BYOD ist nicht der Nachfolger von YMCA, sondern ein neues Phänomen, mit dem sich heute jede IT-Abteilung auseinandersetzen muss. Während Mitarbeiter früher glücklich waren, wenn sie ein GeschäftsHandy und ein Notebook gestellt bekamen, wollen sie heute die privat gekaufte Hardware ins Büro nehmen und für die tägliche Arbeit einsetzen. Auf Englisch nennt man dieses Bedürfnis «Bring your own Device» – kurz BYOD. Wenn Firmen das erlauben, verliert der haus­eigene Gerätepark an Homogenität und die Verantwortlichen müssen deutlich mehr Zeit in die Verwaltung der Geräte investieren. Laut den Spezialisten von Aruba Networks zählt jedoch das Einbinden von privaten Geräten ins Firmennetzwerk zu den grössten Herausforderungen von BYOD: «Die Netzwerkkosten können explodieren, wenn sich Mitarbeiter mit ihren persönlichen Geräten ins Firmen-WLAN einwählen», so der Regional Director Roland Messmer. Der Grund dafür liegt auf der Hand: Firmen fehlt die Kontrollmöglichkeit, welche Webseiten Mitarbeiter auf ihren persönlichen Geräten besuchen und das Netzwerk belasten. Darüber hinaus setzen sich Unternehmen zusätzlichen Datenschutzrisiken aus: Sobald Mitarbeiter mit ihren persönlichen Geräten auf kritische Daten zugreifen, stehen diese jeder Person frei zur Verfügung, die sich Zugang zum Gerät verschafft. Denn Firmen können sich nicht darauf verlassen, dass sich ihre Mitarbeiter an wichtige Grundsätze, wie zum Beispiel die Festlegung eines Zugangspassworts, halten. Sollten die IT-Abteilungen ihren Mitarbeitern mit diesen Argumenten das Mitbringen eigener Geräte untersagen?

Roland Messmer von Aruba Networks sieht trotz der gewichtigen Hindernisse nebst den sinkenden Investitionskosten einen grossen Vorteil für Unternehmen: «Durch BYOD erhöht sich die Produktivität von Mitarbeitern, da sich diese an ihre eigenen Smartphones und Tablets gewöhnt haben.» Diese Aussage bestätigt eine Umfrage unserer Schwesterzeitschrift Computerwoche. Knapp zwei Drittel der Umfrageteilnehmer bewerten den Effekt von BYOD auf die Mitarbeiter «eher positiv» und «sehr positiv». Nur gerade sechs Prozent meinen, das Mitbringen von eigenen Geräten hätte einen «negativen» oder «eher negativen» Einfluss auf die Mitarbeiter. Klar ist: Unternehmen müssen sich heute mit BYOD auseinandersetzen. «Seit einigen Monaten ist dies nicht nur ein Trend, sondern eine Tatsache – speziell bei Mitarbeitern des Managements», so Koni Iten, CIO des Reiseveranstalters Hotelplan. Vor allem Kaderleute wollen eine grosse Anzahl an Notebooks, Macs, Tablets und Smartphones mitbringen, erläutert Iten. Es sei intern diskutiert worden, die Möglichkeiten einzuschränken. «Das haben wir aber verworfen.» Allerdings fördere Hotelplan das Mitbringen privater Geräte nicht aktiv, gesteht Koni Iten. «BYOD ist aber nicht mehr aufzuhalten, da es für Mitarbeitende viele Vorteile bringt», ist sich Iten sicher. Der CIO zählt auf: «Alle Mitarbeitende haben von überall Zugriff auf die geschäftlichen Unterlagen. Darüber hinaus können diese genau mit den Geräten arbeiten, die ihnen am vertrautesten sind.» Aber nicht alle Unternehmen handeln so wie Hotelplan – obwohl die Bedürfnisse der Mit­arbeitenden ebenfalls vorhanden sind. Beispiels­weise lehnt die Krankenkasse Helsana derartige Lösungen aus Datenschutzgründen kategorisch ab, wie Sprecherin Claudia Wyss sagt.

Auch bei der St. Galler Privatbank Wegelin wollen die Mitarbeiter ihre privaten Smartphones mitbringen und beispielsweise die E-Mails da­rüber abrufen, erklärt IT-Leiter Christoph Schwalm. Allerdings erlaube die Sicherheits­politik die geschäftliche Nutzung von persön­lichen Geräten mit sehr wenigen Ausnahmen nicht, so Schwalm. Besonders beliebt seien iPhone und iPad sowie Android-basierte Geräte. Diese können in der Bank nicht eingesetzt werden. «Im Moment tolerieren wir nur private, auf Windows-Mobile-6.5-basierte Geräte, sofern die von uns eingesetzte Sicherheits-Software einwandfrei funktioniert.» Schwalm erläutert die Hindernisse bei der Umsetzung von BYOD: Erstens liessen sich Sicherheitsrichtlinien nur sehr schwer durchsetzen. Zweitens müssten private Geräte funktionell stark eingeschränkt werden, was die Mitarbeiter bei deren privaten Nutzung behindere. Koni Iten von Hotelplan ergänzt: «Bei BYOD müssen wir Punkte wie Lizenzierung, Datenhaltung, Sicherheit sowie Kosten respektive Kostenbeteiligung regeln.» Für Letzteres gibt es intern allerdings eine Regelung: Mitarbeitende sind für ihre Geräte selbst verantwortlich und müssen die dabei entstehenden Kosten tragen.

Wie viel Geld Hotelplan durch die sinkenden Investitionen in die Geräte spart, wird nicht verraten. Es gibt bislang keine detaillierte Kostenanalyse. Genauere Zahlen nennt Christoph Schwalm von Wegelin: «Kosten lassen sich wahrscheinlich gar keine sparen.» Da bei BYOD die Anzahl der Geräte im Unternehmen zunimmt, steigt der Aufwand und erzeugt höhere Lizenzkosten. «Dies macht die Einsparungen bei der Anschaffung wieder zunichte.» Ausserdem würden bei Support- oder Schadensfällen von Privatgeräten weitere Kosten anfallen. Diese übernehme Wegelin offiziell nicht, so Schwalm. Auf freiwilliger Basis werde jedoch im Rahmen der freien Kapazitäten der Hotline-Mitarbeiter Basis-Support geleistet. Auch Hotelplan hilft bei privaten Geräten grundsätzlich nicht und macht nur in begründeten Fällen Ausnahmen, so CIO Koni Iten. Ob in Schadensfällen die Firma oder der Mitarbeiter das Recht auf seiner Seite hat, lesen Sie im Interview mit Anwalt Gianni Fröhlich-Bleuler unten.

Die Aussagen von Helsana, Hotelplan und der Privatbank Wegelin zeigen, dass Unternehmen heute nicht mehr am Thema BYOD vorbeikommen. Mitarbeiter stellen die Forderung, eigene Hardware mitbringen und für die tägliche Arbeit einsetzen zu dürfen. Es ist die Aufgabe der IT-Abteilung, den Datenschutz zu gewährleisten und die Anwendung privater Smartphones zu ermöglichen. Ansonsten besteht die Gefahr, dass Mitarbeiterinnen und Mitarbeiter zu Firmen abwandern, die diese Möglichkeit bieten. Roland Messmer von Aruba Networks rät klar davon ab, BYOD zu verunmöglichen: «Ein Verbot von privaten Geräten ist keine adäquate Lösung. Das kann schlimmstenfalls zu grossen Schwierigkeiten und Risiken führen.» Unternehmen müssten sich im Klaren sein, dass BYOD für sie von Nutzen sein könne und es Lösungen gebe, die sowohl Mitarbeitende als auch die IT-Abteilung zufriedenstellten.

Der Anwalt Gianni Fröhlich-Bleuler aus Zürich ist spezialisiert auf IT-Recht. Im Interview beantwortet er die dringendsten Fragen rund um BYOD.

Gianni Fröhlich-Bleuler: Gemäss Arbeitsvertragsrecht rüstet der Arbeitgeber den Arbeitnehmer mit denjenigen Geräten aus, die er für seine Tätigkeit benötigt. Dies gilt, wenn die Parteien nicht etwas anderes vereinbart haben oder wenn es nicht üblich ist, dass der Arbeitnehmer die Geräte selber stellt. Benützt der Arbeitnehmer im Einverständnis mit dem Arbeitgeber seine eigenen Geräte, so hat der Arbeitgeber ihm dafür eine angemessene Entschädigung zu bezahlen. Bei einem Handy hat der Arbeitgeber dem Mitarbeiter neben den monatlichen Verbindungskosten daher auch die Amortisationskosten zu ersetzen. Um die Abrechnung zu vereinfachen, können sich Mitarbeiter und Arbeitgeber schriftlich auf eine Pauschale einigen.

Wie sollen die Kosten aufgeteilt werden?

Der Spielraum für die Regelung der geschäftlichen Benützung von privaten Geräten ist relativ gross. Zudem sind verschiedene rechtliche Punkte in diesem Zusammenhang umstritten. Es lohnt sich daher, diese Punkte zu regeln.

Wer haftet für Schäden und zahlt den Support?

Der Mitarbeiter muss das ihm gehörende Gerät bei Defekt reparieren oder mittels Support unterhalten, wenn es für die Arbeitstätigkeit benötigt wird. Allerdings muss der Arbeitgeber dem Mitarbeiter die dadurch entstandenen Kosten ersetzen. Umstritten ist, ob davon mittels Vereinbarung oder bei einer anderslautenden Übung abgewichen werden kann.

Was müssen Firmen punkto Datenschutz beachten?

Wer Personendaten bearbeitet, ist verpflichtet, die Bestimmungen des Datenschutzgesetzes einzuhalten. Dies gilt auch, wenn der Mitarbeiter die Daten für den Arbeitgeber auf seinem Notebook oder Handy speichert und mit ihnen arbeitet. Der Arbeitnehmer sollte zudem verpflichtet werden, alle geschäftlichen Daten bei Beendigung des Arbeitsverhältnisses zu löschen.

Was ist, wenn ein privates Smartphone gestohlen wird?

Die Rechtslage ist nicht klar. Naheliegend ist, dass der Arbeitgeber dem Mitarbeiter den Wert des gestohlenen Geräts ersetzt. Auf jeden Fall hat der Mitarbeiter den Verlust dem Arbeitgeber möglichst rasch mitzuteilen, damit dieser Sicherungsmassnahmen ergreifen kann.

Lesen Sie das komplette Interview auf www.computerworld.ch