Verwaltung mobiler Geräte: Die kleinen Unterschiede

Egal, ob Sie ein Befürworter der BYOD-Strategie im Unternehmen sind oder strikt auf eine spezifische Produktwahl setzen: an der Auseinandersetzung mit den Möglichkeiten der einzelnen Mobilplattformen kommen Sie nicht vorbei. Dabei ist aber etwas Tiefgang notwendig. Es geht um mehr als nur iOS, Android, Blackberry oder Windows Phone.

Exchange ActiveSync als Steuerzentrale

Die Problematik von Exchange ActiveSync haben wir bereits in einem Beitrag erläutert. An dieser Stelle wollen wir uns mit den Folgen für das Management von mobilen Geräten im Unternehmen befassen. Sicherheit ist natürlich wieder das zentrale Thema, aber es geht um mehr.

Der Exchange Server bietet die Grundlage für alle Arten des Managements – zumindest dessen ActiveSync-Komponente. Sogar die neuen Blackberry-Management Services setzen auf diesen Standard. Der Vorteil: Egal, welches Gerät Sie einsetzen, es gilt dessen ActiveSync-Fähigkeiten zu prüfen. Nochmal: das Gerät – die Plattform alleine genügt nicht.

Steuerung über Richtlinien

Im Prinzip funktioniert die gesamte zentrale Steuerung der mobilen Geräte über die „Policies“. Schön für die IT. Dies ist eine gewohnte Administrationsweise und kann (wir warten noch ein Weilchen) in bestehende Management-Umgebungen integriert werden. Die einfachste Art dieser Verwaltung kann über den Exchange-Server selbst vorgenommen werden. Mobile Management „Out of the Box“, sozusagen.

Das Standard-Management

Die grundlegenden Möglichkeiten zur Geräteverwaltung sind bescheiden. Dies liegt aber nicht nur an der Implementierung in Exchange (ist ja auch ein Mailserver und keine Management-Software), sondern – und da wird es kompliziert – vor allem an der Integration in das Betriebssystem der einzelnen Modelle. Zurück zu den Basisfunktionen, die nahezu täglich gesteuert werden müssen.

• Konfiguration: Der erstmalige Rollout eines Geräts, also die notwendige Vorkonfiguration, ist in allen Umgebungen ein wichtiger Punkt. Unabhängig von Unternehmensgröße oder IT-Budget muss hier ein durchdachter und einheitlicher Ansatz erarbeitet werden. Dazu gehören neben einer Kennwortrichtlinie und der lokalen Verschlüsselung auf dem Gerät auch die Vorgaben zu installierten Apps und Einschränkung von Konfigurationsänderungen.
• Verlust: Der zweite grundlegende Punkt der Gerätekonfiguration dient der Vorbeugung bei Verlust oder Diebstahl. Dann müssen sämtliche Daten vom Smartphone oder Tablet aus der Ferne umgehend gelöscht werden können.

Data Loss Prevention

Auf jedem geschäftlich genutzten Gerät liegen sensible Daten. Sei es nun die Mailkommunikation mit Dateianhängen oder im Speicher abgelegte Dateien und Notizen. Der Begriff „Data Loss Prevention“ (DLP) wird oft falsch verstanden. Hierbei geht es um den Datenverlust – aus Unternehmenssicht. Hier wird nichts verloren, sondern Daten und Informationen – irrtümlich oder absichtlich – über das mobile Gerät unerlaubt nach außen transferiert. Was in der internen IT-Infrastruktur oft mit hohem Budgeteinsatz geregelt wird, kann über ein schlecht konfiguriertes Smartphone einfach umgangen werden. So ist es möglich, berufliche Mails über den (zusätzlich konfigurierten) privaten Mailaccount ohne weitere Kontrolle weiterzugeben. Auch die Integration von Diensten der „Public Cloud“ öffnet dem unerlaubten Datentransfer Tür und Tor. Hier ist die Trennung von privater und geschäftlicher Nutzung (technisch) wichtig (siehe dazu die aktuelle Software-Entwicklung des „BizzTrust“ vom Fraunhofer-Institut).

App-Management

Der dritte wichtige Punkt im Rahmen einer IT-Strategie für mobile Geräte gilt den Anwendungen. Zum einen geht es hier darum, den Anwendern alle benötigten Applikationen zur Verfügung zu stellen (und stets aktuell zu halten). Eine Vereinheitlichung ist nicht nur im Sinne des Supports (Kosten!), sondern erleichtert auch die Schulung und Hilfestellung. Da es dabei meist um kostenpflichtige Software geht (vielleicht sogar um Eigenentwicklungen des Unternehmens), erhöht eine Vorabprüfung auf Tauglichkeit nicht nur die Effizienz, sondern erleichtert auch die Zusammenarbeit.

Einen entscheidenden Sicherheitsfaktor stellt die Möglichkeit zur individuellen Softwareinstallation dar. Auf diesem Gebiet spielt das neue Blackberry-Betriebssystem seine Stärke aus. Für alle anderen Plattformen führt auf diesem Gebiet kein Weg an einer professionellen „Mobile Device Management“ (MDM)-Lösung vorbei. Diese sind aber meist teuer und größtenteils selbst noch in einem besseren Beta-Stadium. Auf diese Art der Gerätesteuerung zu verzichten, ist aber auch kein Weg. Die individuelle Freiheit des Anwenders führt nicht nur zum Wildwuchs, sondern auch zu extremen Sicherheitsrisiken. Das brisanteste Beispiel hierfür ist mit Sicherheit das Android-Betriebssystem und der Umgang von Google mit seinem Play-Store. Android-Geräte ermöglichen die Installation jeglicher Software abseits vom Store. Dazu wimmelt es im Google-Store nur so von Malware. Wer will da (wenn es zu spät ist) dem Anwender die Schuld geben?

Betriebssystem, Hersteller und Modell

Die Managementmöglichkeiten mobiler Geräte sind nicht gerade einfach zu analysieren. Neben der Grundkategorie „OS“ (iOS, Android, Windows Phone, Blackberry) muss – im Fall von Android – vor allem ein Blick auf den Hersteller des Smartphone oder Tablets geworfen werden. Android in Version 2 ist ein klares No-Go. Version 3 und 4 unterscheiden sich in manchen wichtigen Punkten. So z.B. bei der Geräteverschlüsselung. Und dies ändert sich mit jedem Update. Einige Hersteller wie HTC und Samsung haben löblicherweise einige Features für die ActiveSync-Steuerung in Ihren Geräten hinzugefügt. Leider nur in manchen Modellen. Android V4 auf dem einen Gerät unterstützt also andere Funktionen wie Android V4 auf dem zweiten Device – selbst wenn diese vom selben Hersteller in den Markt geworfen wurden. Stirnfalten des Admins sind gewiss.

MDM – Zusätzliche Software zur Geräteverwaltung

Mobile Device Management-Lösungen sind teuer. Für kleinere Unternehmen ist diese Investition eine Hürde, die meistens nicht genommen wird. Aber selbst der Einsatz einer speziellen Verwaltungslösung macht die Problematik nicht trivial. Welche Richtlinien zentral umsetzbar sind, wird damit um eine Variable erweitert. Denn nur wenn auch die MDM-Lösung die gewünschten Management-Möglichkeiten (auf allen eingesetzten Plattformen!) unterstützt, ist man einen Schritt weiter. An einem Excel-Sheet mit den Spalten OS, Hersteller, Modell, etc. führt weiterhin nichts vorbei. Bleibt zu erwähnen, dass viele MDM-Lösungen ActiveSync (EAS)-Features unterstützen, die von Microsoft zwar integriert wurden, aber selbst von der eigenen Verwaltungssoftware in Exchange nicht unterstützt werden.

Windows Phone 8 – auf dem Radar behalten

Zugegeben, das mobile Betriebssystem von Microsoft hat einige Schwächen. Die Oberfläche bzw. die gesamte „User-Experience“ gehört nicht dazu. Die Integration ins Unternehmensnetzwerk ist vorbildlich, selbst eine Integration in das Active Directory ist gegeben. Dies ermöglicht eine immense Erleichterung im Rahmen der Konfiguration mehrerer Geräte. Die verfügbaren Geräte sind zumeist schick und auch die Performance bietet keinen Anlass zur Kritik. Woran liegt es dann? Die Auswahl an Apps ist „stark verbesserungswürdig“. Sogar Blackberry hat nach seinem Neustart mehr Auswahl in seinem Store. Es geht nicht darum, dort abertausende Software-Häppchen zu finden. Es müssen nur die richtigen (für den Business-Betrieb) sein – und dann in entsprechender Qualität. Und „Business“ ist heute mehr als SAP und Handelsblatt. Ich bleibe aber dabei: WP8 sollte jeder Entscheider im Rahmen der Unternehmens-IT im Blickfeld behalten.

Keep it simple

Der aktuelle Status rund um die Verwaltung mobiler Geräte bietet kein Bild für einfache Entscheidungen. Ohne geeignetes Konzept führen iPhone und Co. aber schnell die gesamte IT-Strategie ad absurdum. Sowohl die Sicherheit wie auch die Support-Kosten sollten eine intensivere Auseinandersetzung mit dem Thema rechtfertigen.