Mobile Device Management (MDM)

Mobile Device Management (MDM) ist ein technisch-organisatorisches Verfahren, mit dem eine Organisation mobile Endgeräte über ihren gesamten Lebenszyklus hinweg zentral steuert: von der Registrierung (Enrollment) und der automatisierten Grundkonfiguration über den laufenden Betrieb bis zur Außerbetriebnahme. Eine MDM-Plattform verteilt Sicherheitsrichtlinien, Zertifikate, WLAN- und VPN-Profile sowie freigegebene Anwendungen an alle eingebundenen Geräte, erzwingt Bildschirmsperre, Gerätepasswort und Geräteverschlüsselung, prüft den Patch- und Betriebssystemstand und meldet abweichende oder kompromittierte Geräte – etwa mit entferntem Herstellerschutz (Jailbreak bzw. Rooting). Moderne Lösungen werden häufig als Unified Endpoint Management (UEM) bezeichnet, weil sie neben Smartphones und Tablets auch Notebooks und IoT-Geräte in derselben Konsole verwalten.

Sicherheitsfachlich schließt MDM die Lücke, die durch mobiles Arbeiten entsteht: Unternehmensdaten verlassen das geschützte Firmennetz und liegen auf Geräten, die verloren gehen, gestohlen oder in unsicheren Netzen betrieben werden können. Die zentralen Schutzmechanismen sind deshalb die Trennung dienstlicher und privater Daten in einem verwalteten Container oder Arbeitsprofil, die erzwungene Verschlüsselung des Gerätespeichers, die Steuerung von Datenabflüssen (etwa Kopieren, Backups in private Clouds oder Weiterleiten aus verwalteten Apps heraus) sowie die Fernsperre und Fernlöschung. Dabei ist zwischen einer vollständigen Löschung (Full Wipe) des gesamten Geräts und einer selektiven Löschung (Selective Wipe) zu unterscheiden, die nur den dienstlichen Container entfernt – bei privateigenen Geräten (BYOD) ist regelmäßig nur die selektive Variante zulässig und verhältnismäßig.

Rechtlich und normativ ist MDM keine Kür: Wer personenbezogene Daten mobil verarbeitet, muss nach Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen ergreifen; Verschlüsselung und die Fähigkeit zur Fernlöschung sind bei Geräteverlust häufig ausschlaggebend dafür, ob überhaupt ein meldepflichtiges Risiko nach Art. 33 DSGVO entsteht. Im Anwendungsbereich der NIS-2-Richtlinie bzw. des BSIG gehören der sichere Umgang mit Endgeräten, Zugriffskontrolle und Kryptografie zu den geforderten Risikomanagementmaßnahmen. ISO/IEC 27001 adressiert das Thema in Anhang A mit den Maßnahmen 8.1 (Endgeräte der Benutzer), 6.7 (Telearbeit) und 8.24 (Einsatz von Kryptografie), der BSI IT-Grundschutz mit den Bausteinen SYS.3.2.2 (Mobile Device Management) und SYS.3.2.1 (Allgemeine Smartphones und Tablets). Da ein MDM technisch zur Verhaltens- und Leistungskontrolle geeignet ist, unterliegt seine Einführung in Betrieben mit Betriebsrat zudem der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG; Umfang der Überwachung und Löschbefugnisse sollten in einer Betriebsvereinbarung und einer Nutzungsrichtlinie festgeschrieben werden.