Mobile Endgeräte sicher einbinden: BSI veröffentlicht Mindeststandard für Mobile Device Management Mobile Endgeräte sicher einbinden: BSI veröffentlicht Mindeststandard für Mobile Device Management - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


18.05.2017 Manfred Bremmer *

Mobile Endgeräte sicher einbinden: BSI veröffentlicht Mindeststandard für Mobile Device Management

In 40 technischen und organisatorischen Regeln hat das BSI die Mindestanforderungen an MDM-Systeme und deren Betrieb für Behörden festgelegt. Der Leitfaden eignet sich mit Einschränkungen auch für Unternehmen, die Umsetzung mancher Vorgaben ist allerdings nicht ganz unproblematisch.

Das BSI hat Richtlinien für Auswahl und Einsatz von MDM-Systemen in Behörden vorgestellt.

Das BSI hat Richtlinien für Auswahl und Einsatz von MDM-Systemen in Behörden vorgestellt.

© Eugenio Marongiu - shutterstock.com

Obwohl mobile Endgeräte längst zur Standardausstattung in Verwaltung und Wirtschaft gehören, ist vielerorts noch unklar, wie diese ausreichend abgesichert und verwaltet werden. Als Konsequenz hat das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) nun einen neuen Mindeststandard nach §8 BSI-Gesetz (BSIG) für Mobile Device Management (MDM) veröffentlicht. Der Mindeststandard stellt funktionale und nicht-funktionale Sicherheitsanforderungen an ein MDM, die von Behörden bereits bei Vergabeverfahren herangezogen werden können.

Zu den Funktionen, die ein MDM laut BSI aufweisen muss, gehören etwa der Verbleib der Nutzdaten in der IT-Infrastruktur des Betreibers, ein integriertes Rechte-Management, Erkennung und Ausschluss kompromittierter mobiler Endgeräte, Remote-Wipe oder eine verschlüsselte Kommunikation. Zusätzlich muss der MDM-Anbieter etwa dokumentieren, welche Endgeräte mit Betriebssystemversionen unterstützt werden und - in Abhängigkeit davon - welche Funktionalitäten.

Auch ein sicherer Betrieb des MDM wird durch die Vorgabe von technischen und organisatorischen Maßnahmen geregelt. So müssen die Geräte durch Kennwörter oder Gerätecodes geschützt sein und automatisch nach einer angemessenen Phase der Inaktivität (maximal 10 Minuten) gesperrt werden. Das System selbst darf nur von geschulten Administratoren bedient werden, Sicherheitsmechanismen und -einstellungen müssen festgelegt, dokumentiert und regelmäßig geprüft werden.

Praktische Umsetzung nicht immer einfach
Zusammengefasst reichen die BSI-Richtlinien von den absoluten Basics bis hin zu sehr speziellen Vorschriften, deren Umsetzung in der Praxis zum Teil für Schwierigkeiten sorgen könnte. So heißt es etwa in MDM.35 (Aktualisierung der Betriebssysteme): "Es müssen Arbeitsprozesse geplant, getestet und angemessen dokumentiert sein, damit sicherheitsrelevante Patches und Updates unverzüglich eingespielt werden können. Werden sicherheitskritische Aktualisierungen nicht innerhalb von vier Wochen nach der Veröffentlichung eingespielt, ist dies gesondert zu begründen und zu dokumentieren. MDMs und mobile Endgeräte für die keine sicherheitsrelevanten Aktualisierungen mehr bereitgestellt werden, sind aus dem Betrieb zu nehmen."

Angesichts der aktuellen Praktiken, was monatliche Sicherheits-Updates anbelangt, dürfte sich die Geräteauswahl im Android-Lager in sehr engen Grenzen halten (Google, Blackberry und mit Einschränkung Samsung) und selbst bei diesen Devices ist nach zwei, spätestens drei Jahren Schicht im Schacht.

Reiner Fokus auf klassisches Device-Management
Generell ist bei den Richtlinien zu bemängeln, dass das BSI nur klassische mobile Betriebssysteme wie Android, Blackberry-OS oder iOS berücksichtigt, nicht etwa das bei Tablets verbreitete Windows 10. Auch auf die private und berufliche Nutzung mit all ihren Konsequenzen wird nicht eingegangen, genauso wenig wie auf das Mobile Application Management (MAM) oder die Möglichkeiten "modernerer" Verwaltungssysteme wie Enterprise Mobility Management (EMM) und Unified Endpoint Management (UEM), die weit mehr als die klassische MDM-Komponente leisten.



* Manfred Bremmer schreibt für die Computerwoche.

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • SNP AUSTRIA GmbH

    SNP AUSTRIA GmbH Qualitätssicherung, Kaufmännische Software (ERP), Tools, Programmiersprachen, Datenkonvertierung, Übernahme von Softwareprojekten, Systempflege- und Wartung,... mehr
  • Editel Austria GmbH

    Editel Austria GmbH Supply Chain Management, E-Procurement und Supply Chain Management, Datenkonvertierung, Überwachungssysteme, Trust Center/Zertifizierungssoftware, Digitale Signatur, Datensicherung,... mehr
  • Bechtle IT-Systemhaus Österreich

    Bechtle IT-Systemhaus Österreich WLAN-Systeme, Netzwerk-Systeme (LAN, MAN, WAN), Netzwerk-Management, Server-Betriebssysteme, Verschlüsselungs- und Kryptografie Software, Security Audits, Notfalls-Rechenzentren,... mehr
  • customer care solutions - Call Center Betriebs GmbH

    customer care solutions - Call Center Betriebs GmbH B2C Dienste und Lösungen, B2B Dienste und Lösungen, User Helpdesk-Systeme und Hotlines, Systempflege- und Wartung, Outsourcing, IKT-Consulting, Facility Management,... mehr

Hosted by:    Security Monitoring by: