Dr. Hermann Granzer: In den beiden vergangenen Jahren sind zwei Entwicklungen parallel gelaufen und haben ihre Wirkungen entfaltet. Erstens sind durch die Pandemie viele Vorbehalte gegen mobiles Arbeiten und Home Office haltlos geworden. Themen wie Remote Working oder Bring your own Device wurden plötzlich auch im Behördenbereich salonfähig. Die Aufgeschlossenheit für moderne Arbeitsformen ist drastisch gestiegen. Der Grund dafür ist einfach: Viele Organisationen und Behörden wären ansonsten schlicht nicht mehr arbeitsfähig gewesen. Es gab plötzlich einen enormen Druck, sich den Gegebenheiten mit moderner Technologie und entsprechend sicheren Kommunikations- und Kollaborationswerkzeugen anzupassen. Das betraf natürlich auch viele Unternehmen, die so ihre Krisenresilienz und Business Continuity verbessert haben. Folgerichtig waren während der Pandemie sichere Messenger mit vollen Audio- und Videotelefonie-Funktionen stark nachgefragt.

Wir kennen ja die Metaphern von den Fast Followern und Early Adoptern. Die haben sich mit der neuen Situation schneller arrangieren und darauf reagieren können als andere. Wer schon vorher Home Office und Remote Working gegenüber aufgeschlossen war, hatte für einen Teil der Belegschaft bereits eine erprobte Infrastruktur, die dann lediglich erweitert werden musste. Schon das war oft angesichts der drastisch steigenden Nachfrage nach Hardware, Software und Netzwerkressourcen problematisch genug. Dramatisch war die Situation dagegen bei den sogenannten Late Adoptern, also Organisationen, die erst spät auf den Innovationszug aufsprangen. Die Berliner Verwaltung etwa besaß für ihre rund 100.000 Beschäftigten ganze 11.000 Notebooks und 4000 VPN-Zugänge. Mit dem traurigen Resultat, dass in Schichten gearbeitet werden musste. Angesichts dieser Befunde ist es nicht verwunderlich, dass einfach auszurollende Lösungen, die auch ohne VPN-Verbindungen sicher arbeiten, stark gefragt waren – und auch weiterhin sind.

Während der Pandemie haben wir erfahren, dass der Spruch "Usability eats Security for Breakfast" keine hohle Phrase ist. Komplizierte, schwer zugängliche und zu bedienende Anwendungen konterkarieren jede Security-Policy. Das betrifft die verschiedenen Nutzergruppen natürlich in unterschiedlichem Maße. Weniger digitalaffine Mitarbeiter reagieren mit Verweigerung, Digital Natives greifen zu bekannten Alternativen wie WhatsApp, eigenen E-Mail-Accounts und Services wie Dropbox oder WeTransfer. Unter DSGVO-Gesichtspunkten ist das schlichtweg eine Katastrophe. Wir dürfen dabei nicht übersehen, dass sich durch den Boom von Home Office und Remote Working die Art und Weise, wie wir kommunizieren und zusammenarbeiten, generell verändert hat. Viele Interaktionsmöglichkeiten sind weggefallen. Der fehlende Spontankontakt am Abteilungsdrucker oder an der Kaffeemaschine ist zum Synonym dafür geworden. Es müssen viel mehr Dinge gezielt abgesprochen und geplant werden. Mit einem Smartphone lässt sich dieser Verlust an Spontanität nur teilweise kompensieren. In der Konsequenz müssen einerseits die technischen Voraussetzungen für den erhöhten Kommunikationsbedarf geschaffen werden. Das betrifft unter anderem Investitionen in Netzwerk und IT-Infrastruktur, mobile Clients, moderne Kollaborationslösungen und einfache Zugriffe auf Legacy-Anwendungen. Andererseits ist neben sicheren und gut funktionierenden technischen Infrastrukturen aber auch eine Weiterentwicklung der Firmenkultur notwendig. Bei der Einbindung der Mitarbeiter in neue Arbeits- und Kommunikationsformen ist neben Schulung und Training auch viel Fingerspitzengefühl gefragt.

Die beiden wichtigsten Aspekte für die IT-Administration sind die Vorgaben der DSGVO und der Privacy. Der Administrator muss die Kontrolle über Firmendaten und die On- und Offboarding-Prozesse haben und beispielsweise Kommunikationsverläufe und Kontakte sicher löschen können, wenn ein Mitarbeiter ausscheidet. In Zeiten von BYOD und DSGVO ist dabei wichtig, dass er keinerlei Zugang oder Einflussmöglichkeit auf die privaten Daten der Mitarbeiter hat, auch zur eigenen Sicherheit. Weder private Login-, noch Tracing-, noch Kommunikationsdaten dürfen für ihn zugreifbar sein. Nicht zuletzt deshalb haben wir uns bei unserer Lösung für eine Container-Technologie entschieden, die berufliche und private Daten und Anwendungen vollständig voneinander trennt. Erst dadurch wird BYOD sicher und kann von allen Mitarbeitern genutzt werden, inklusive solch sicherheitskritischer Apps wie WhatsApp, Instagram oder TikTok. Geschäftsdaten und -anwendungen bleiben ja abgeschottet in ihrem Container. Und der IT-Administrator ist von vorneherein vor dem latenten Verdacht geschützt, er könne Zugriff auf private Daten haben.

Wenn wir bei der Hardware beginnen, dann sind das moderne, leistungsfähige Smartphones, Tablets und Notebooks. Anwender geben sich zu Recht mit weniger nicht mehr zufrieden. Wenn die Firmen-Devices veraltet sind, greifen sie halt zu ihren eigenen Geräten. Rollout, Updates und Upgrades für die professionell genutzten Apps sollten zentral konfigurierbar sein, damit alle Anwender immer auf dem gleichen Stand sind. Das gilt auch für die Sicherheitseinstellungen und die Anwenderverwaltung der Firmen-Apps. Sie sind im Idealfall Device-agnostisch, können also auf jedem beliebigen Gerät laufen, egal ob Laptop oder Smartphone. Dabei sind webbasierte Anwendungen ein Vorteil. Die Anbindung muss den gesicherten Zugriff von mobilen Geräten auf das Firmennetzwerk gestatten. VPN-Verbindungen gelten als sicher, haben jedoch den Nachteil hohen Stromverbrauchs mit entsprechender Akku-Belastung. Eine weniger aufwändige und gleichzeitig Akku-schonendere Alternative sind zentrale Secure Gateways im Firmen-Backend. Die privaten Apps sind von der zentralen Administration natürlich ausgenommen. Dienstliche und private Daten und Anwendungen müssen strikt voneinander getrennt laufen – womit wir wieder bei der Container-Technologie sind.

Für Administratoren ist MDM, also Mobile Device Management, ein wertvolles Werkzeug für die zentrale Konfiguration, die Anwenderverwaltung, die Sicherheitseinstellungen und die Zertifikatsverwaltung. MDM vereinfacht die praktische Umsetzung von Guidelines und Policies. Aber in bestimmten Punkten gilt es mittlerweile als zu rigide und unflexibel, insbesondere aus Sicht der Mitarbeiter. Für die ständig wachsende Zahl ultramobiler Geräte ist ein gutes Application Management, das nur auf die dienstlichen Apps fokussiert ist, moderner und zielgerichteter. Identity and Access Management sollte eine Selbstverständlichkeit sein. Bei der sicheren Authentisierung helfen die vorhandenen Methoden wie Biometrie, PIN mit bestimmter Länge und Re-Authentifizierung nach einer bestimmten Zeit. Aber auch hier gilt Usability als Richtschnur. Biometrische Verfahren wie FaceID sind deshalb quasi ein "Muss". Das gilt auch für die Signierung in der Kommunikation, etwa von E-Mails.

Die Antwort darauf lautet: Die Zukunft ist hybrid! Untersuchungen zeigen, dass Home Office und Remote Working zu einem Teil des Arbeitsplatz-Mix geworden sind. Dafür müssen einerseits die beschriebenen Voraussetzungen geschaffen werden – dazu gehören natürlich auch Anpassungen der arbeitsrechtlichen Rahmenbedingungen – und andererseits muss die Attraktivität von Büroarbeitsplätzen erhöht werden. Eine so weit wie möglich selbstbestimmte Mischung aus Büroarbeit, Home Office und Remote Working samt den dazu gehörenden technischen, organisatorischen und firmenkulturellen Ressourcen sowie frei nutzbaren Optionen zum informellen Austausch ist zu einem wichtigen Recruiting-Faktor geworden. Wer gute motivierte Mitarbeiter haben möchte, muss ihnen ein attraktives, ultramobiles Arbeitsumfeld bieten.