Introduction

Data from Statista suggests that almost every person owns at least one personal device they can use to communicate with coworkers, access company networks, or complete other forms of work. This ubiquitous nature of Internet-connected devices was particularly handy during the pandemic. Facing shelter-in-place orders, organizations found it easier to implement remote working protocols, with most employees already owning personal desktops, laptops, smartphones, or tablets.
However, many organizations were unprepared for the increasing security risks linked to remote working and personal device usage.

According to our Enduring from Home: COVID-19’s Impact on Business Security report, remote working resulted in a spike of 20% in cybersecurity breaches. 24% of our survey respondents said their organizations paid unexpected costs due to cybersecurity breaches.

Although the COVID-19 threat may be diluting, organizations continue to allow personal device usage to improve productivity and employee morale and reduce costs. However, they do so without sufficient mobile security.

As research from Zippa shows, 75% of employees use their devices for work. Some don’t even inform their IT departments that they’re utilizing personal devices for company-related matters.

Implementing BYOD (Bring Your Own Device) policies is important in securing remote employees from threats. A robust BYOD policy can also shield your organization, clients, and business partners from several cybersecurity risks.

Bedeutung von BYOD

Was verbirgt sich hinter BYOD?

Beginnen wir mit der offensichtlichsten Frage: Wofür steht BYOD? BYOD steht für Bring Your Own Device. Wie der Name schon sagt, geht es darum, persönliche Geräte für die Arbeit zu nutzen.

BYOD-Definition: Was bedeutet BYOD?

Companies implement BYOD policies to let employees use personally owned laptops or smartphones for work-related activities. At the same time, some schools carry BYOD policies to let children use their devices in the classroom.

Work-related BYOD tasks can include checking emails, connecting to company networks, and downloading and using company data and software.

But a BYOD policy is about more than allowing or disallowing people to use personal devices for official activities. Good BYOD guidelines set a framework for safe personal device usage.

For instance, a BYOD policy may outline that employees can only use personal devices for work when on a privacy VPN (Virtual Private Network) that improves their online security. Or it may ask workers to sign agreements outlining their responsibilities for top password security.

BYOD-Beispiele und Risiken

• Smartphones: Nach Angaben des Pew Research Center besitzen 85 % der Amerikaner ein Smartphone. Bedrohungsakteure können diese Geräte angreifen, um einen Dateneinbruch durchzuführen.
• Tablets: Statista berichtet, dass die meisten amerikanischen Erwachsenen mindestens ein Tablet besitzen. Diese größeren Cousins der Smartphones sind genauso anfällig für Cyberangriffe wie Smartphones. 
• Personal Computer: Die meisten amerikanischen Haushalte verfügen über irgendeine Art von PC, einschließlich Windows-Desktops und -Laptops, Macs und MacBooks. Fast alle Personalcomputer können von Malware befallen werden. Ja, sogar Macs können Viren und andere Arten von Malware bekommen. 
• Laptops: Laptops können aus mehreren Gründen ein größeres Sicherheitsrisiko darstellen als Desktops und Smartphones. Mitarbeiter, die in Restaurants, Einkaufszentren und Flughäfen mit Laptops arbeiten, sind bei ungesichertem öffentlichem WLAN möglicherweise Sicherheitsrisiken im Netzwerk ausgesetzt. Laptops sind auch anfälliger für Malware-Infektionen wie Viren als Smartphones. Und im Gegensatz zu Desktops können Laptops auch verlegt oder gestohlen werden. 
• USB-Laufwerke: Persönliche USB-Laufwerke können ein Infektionsvektor für Viren, Trojaner oder Ransomware sein. Bedrohungsakteure können USB-Laufwerke auch für Social-Engineering-Angriffe wie Köder nutzen.
• Festplatten: Wie USB-Laufwerke können auch tragbare Festplatten ein Infektionsvektor für Malware sein. Sicherheitsfunktionen wie die Gerätekontrolle können dazu beitragen, das Risiko von Malware-Angriffen durch nicht autorisierte tragbare Geräte zu verringern.

Wie funktioniert BYOD?

BYOD ermöglicht es den Mitarbeitern, persönliche Geräte für die Arbeit zu nutzen und gleichzeitig die Richtlinien für die Nutzung dieser Geräte zu akzeptieren. Es basiert auf einem Vertrauenssystem. Die Unternehmen vertrauen darauf, dass ihre Mitarbeiter Unternehmensdaten, Anwendungen, Benutzernamen und Passwörter nicht missbrauchen werden. Mit BYOD erwarten die Unternehmen auch, dass ihre Mitarbeiter persönliche Geräte verantwortungsvoll nutzen.

Bewährte Verfahren für BYOD-Richtlinien

Eine wirksame BYOD-Richtlinie kann die folgenden Punkte enthalten:

• Arten von Geräten, die Mitarbeiter bei der Arbeit verwenden dürfen.
• Liste der Unternehmensanwendungen, die von persönlichen Geräten aus zugänglich sind.
• Grad der Unterstützung für persönliche Geräte.
• Art der sensiblen Daten, die ein persönliches Gerät speichern kann.
• Installation der SoftwareEndpoint Detection and Response (EDR) auf privaten Geräten, die geschäftlich genutzt werden.
• Installation von Software zur Rückverfolgung von Geräten und zur Löschung von Unternehmensdaten. 
• Aktualisierung und Patching von Protokollen.
• Verwendung von Unternehmens-VPN-Konten für die Netzwerksicherheit.
• Verfahren zur Sicherung von Daten.
• Liste der auf der schwarzen Liste stehenden Anwendungen.
• Notfallpläne für Angriffe auf die Cybersicherheit und den Verlust von Geräten.
• Planen Sie die Entlassung von Mitarbeitern.
• Politik zur Erstattung von Kosten, die während der Arbeit entstehen.

Employees may also have to agree to rules that invade their privacy and personal freedoms in order to use personal devices for work. For instance, some organizations may install monitoring tools to ensure that employees are working during company hours. Other companies may demand that staff avoid visiting high-risk websites on personal machines.

Organizations usually implement cybersecurity training courses as a part of their BYOD policies too. For instance, any employee using personal devices for work must undergo basic online security training that covers phishing attack mitigation practices, good password hygiene, and more.

Die Bedeutung der BYOD-Sicherheit

BYOD security is essential because we’re creatures of habit and threat actors are on the prowl for endpoint vulnerabilities.

As mentioned, employees are habitually using personal devices for work. Some fail to inform IT departments of personal device usage. Even high-profile figures like national leaders are not immune to breaking protocol and using personal devices to manage sensitive files.

So, what’s the big deal? Well, BYOD security risks are higher because personal devices are usually less secure than company machines. Personal devices may not have cybersecurity tools. Employees may also use personal devices for riskier activity, like visiting unsafe websites, downloading potentially malicious software, or implementing modifications.

Good BYOD security policies reduce the risk of:

• Ransomware und andere Malware-Angriffe.
• Erpressung.
• Datenexfiltration.
• Datenverlust.
• Social-Engineering-Angriffe.

BYOD-Sicherheitslösungen

The best BYOD security solutions can improve security visibility, reduce endpoint risk, and offer incident management. Two of the top BYOD security tools include Endpoint Detection and Response (EDR) solutions and Managed Detection and Response (MDR) services.

In the EDR vs. MDR comparison, what is best for your organization?

EDR solutions leverage threat hunting, data analysis, and remediation to remediate various online attacks. Such attacks targeting remote devices may include malware like ransomware, brute force, and zero-day inclusions.

On the other hand, MDR is a service that meshes threat intelligence technologies and the human aspect of top experts. MDR delivers round-the-clock monitoring and detection, proactive threat hunting, prioritization of alerts, correlated data analysis, managed threat investigation, and remediation.

The primary difference between the two solutions is scale. In a nutshell, EDR solutions enhance a business’s cybersecurity measures but need resources and IT personnel. MDR services combine threat intelligence with human expertise. With MDR, your business gains outsourced cybersecurity professional services at a reasonable cost, reducing in-house alert fatigue.

And instead of just detecting and responding, your organization can expertly hunt cyberthreats with MDR by utilizing past and newly reported indicators of compromise (IOCs).

We believe that MDR can drive business growth in the following ways:

• Verkürzung der Verweilzeit: Je mehr Zeit ein Bedrohungsakteur hat, nachdem er über einen anfälligen Endpunkt in Ihr Netzwerk eingedrungen ist, desto mehr Schaden kann er anrichten. MDR kann mit Hilfe eines forschungsbasierten und aktiven Jagdansatzes seitliche Bewegungen stoppen, bevor sie sich ausbreiten.
• Ressourcenmanagement: Ihr IT-Team hat vielleicht Besseres zu tun, als Ihre Umgebung rund um die Uhr zu überwachen. Ermüdung durch ständige Überwachung kann zu Datenverlusten und Betriebsausfällen führen. Ein MDR-Team fördert das Wachstum durch die Freisetzung von Ressourcen.
• Verbesserte Produkte/Dienstleistungen: Mit mehr Zeit und Ressourcen können Sie das Unternehmenswachstum vorantreiben. Außerdem können Sie BYOD-Richtlinien sicherer umsetzen, Kosten senken, Arbeitsabläufe verbessern und den Umsatz steigern.

Ihr Unternehmen sollte bei der Auswahl einer BYOD-Sicherheitslösung die folgenden Fragen beantworten:

• Welcher Art von Risiken ist meine Organisation ausgesetzt?
• Wer wird die Sicherheitslösungen verwalten?
• Wie viel Fachwissen und Zeit hat mein IT-Team, um die Sicherheitsaufgaben zu bewältigen?
• Benötigt mein Unternehmen eine schlüsselfertige Lösung, oder verfügt es über das nötige Cybersecurity-Talent, um EDR zu nutzen?
• Wo liegen die Ressourcengrenzen meiner Organisation?

Vor- und Nachteile von BYOD: Vorteile und Nachteile von BYOD

Die Erlaubnis für Mitarbeiter, persönliche Geräte für die Arbeit zu nutzen, hat Vor- und Nachteile. Zu den wichtigsten Vorteilen von BYOD gehören niedrigere Betriebskosten und eine höhere Produktivität. Die größten Risiken sind Sicherheitsverstöße. Einige Unternehmen mit ausreichenden Ressourcen verringern die mit BYOD verbundenen Risiken, indem sie ihren Mitarbeitern unternehmenseigene Smartphones und Laptops zur Verfügung stellen.

Vorteile von BYOD

Niedrigere Kosten

BYOD ermöglicht es Unternehmen, die Kosten für Hardware und Software vom Arbeitgeber auf den Arbeitnehmer zu verlagern. Mit BYOD sparen Unternehmen bei Einkauf, Wartung, Upgrades, Ersatz und anderen Ausgaben.

Vertrautheit mit der Technik

Die Vertrautheit mit der Technologie, die sie bereits besitzen, macht die Mitarbeiter effizienter. Andererseits kann das Erlernen der Nutzung eines neuen Laptops oder Mobiltelefons mit einem ungewohnten Betriebssystem Zeit in Anspruch nehmen.

Bessere Technologie

Unternehmen stellen ihren Mitarbeitern in der Regel einfache Geräte und Computer zur Verfügung, um Kosten zu sparen. Im Vergleich dazu verfügen ihre Mitarbeiter über modernere persönliche Geräte, die Produktivitätsanwendungen schneller ausführen können.

Schnelles Onboarding

Die Einarbeitung neuer Mitarbeiter in die Nutzung von Firmengeräten mit unbekannter Software und Hardware kann zeitaufwändig sein. Außerdem kann der Versand von Firmengeräten teuer sein und Wochen dauern. Mit einer BYOD-Richtlinie können neue Mitarbeiter viel schneller mit der Arbeit beginnen.

Höhere Produktivität

Einige Studien legen nahe, dass BYOD-Mitarbeiter effektiver sein könnten. Möglicherweise arbeiten sie auch mehr pro Tag. So zeigt eine interne Überprüfung des BYOD-Programms von Intel, dass die Produktivität um fast eine Stunde pro Tag gestiegen ist.

Bequemlichkeit

Mitarbeiter mit privaten und firmeneigenen Laptops und Smartphones müssen mehrere Geräte verwenden, aufbewahren, mitführen und warten. Mehrere Geräte in der Tasche oder im Rucksack sind schwieriger zu verfolgen und für die Arbeit zu nutzen. Andererseits können die Mitarbeiter mit einem Gerät leicht von der Arbeit zur privaten Nutzung wechseln.

Mangelnde Kontrolle über die Hardware

Unternehmen können verschiedene Arten von Überwachungs-, Ortungs- und Sicherheitstools auf einem persönlichen Gerät installieren, müssen aber dennoch darauf vertrauen, dass der Mitarbeiter die Unternehmensrichtlinien befolgt. Letztendlich haben sie nicht so viel Kontrolle über persönliche Geräte wie über die Hardware des Unternehmens.

Risiko von Schadsoftware

Sowohl Firmen- als auch Privatgeräte sind durch Phishing-Angriffe in E-Mails oder Textnachrichten anfällig für Malware. Persönliche Geräte können jedoch stärker gefährdet sein, da Mitarbeiter über sie möglicherweise bösartige Websites besuchen oder Seiten mit Malware herunterladen. 

Anfälligkeit für Datenschutzverletzungen

Eine BYOD-Richtlinie macht eine Organisation anfälliger für Datenschutzverletzungen. Beispielsweise können Unbefugte, die Zugriff auf ein persönliches Gerät haben, dieses zur Datenexfiltration nutzen. Verärgerte ehemalige Mitarbeiter können auch Unternehmensanwendungen auf privaten Geräten verwenden, um Daten anzugreifen.

Gestohlene und verlorene Geräte

Nach Angaben von Gartner wird alle 53 Sekunden ein Laptop gestohlen. Ein verlegter Laptop oder ein Gerät, auf dem Unternehmensdaten gespeichert sind oder das auf Unternehmensnetzwerke zugreift, kann ein erhebliches Risiko für die Cybersicherheit darstellen.

Hacken

Selbst bei guten Sicherheitsrichtlinien bedeutet BYOD, dass Ihr Unternehmen mehr anfällige Endpunkte hat. Mit anderen Worten: Hacker haben eine größere Angriffsfläche, um Ihr Unternehmen anzugreifen.

Zugang zu ungesichertem WiFi

Mitarbeiter, die ihre eigenen Geräte sowohl für die Arbeit als auch für private Zwecke nutzen, zögern vielleicht nicht, über ungesicherte WiFi-Verbindungen ihre E-Mails abzurufen oder über soziale Medien zu kommunizieren. Bei solchen Verbindungen sind alle Daten auf einem Gerät angreifbar, persönliche und Unternehmensdaten.

Mangel an Privatsphäre

Eine BYOD-Richtlinie kann zu Datenschutzproblemen für einen Mitarbeiter und das Unternehmen führen. Die sensiblen Daten eines Mitarbeiters können für das IT-Team eines Unternehmens zugänglich sein. Ebenso können das geistige Eigentum eines Unternehmens, Marketingmaterial und andere vertrauliche Informationen für jeden, der das persönliche Gerät eines Mitarbeiters kontrolliert, zugänglich sein.

Ablenkungen

Obwohl die Daten darauf hindeuten, dass BYOD die Produktivität verbessert, können persönliche Geräte für einige Personen, die Unterhaltungs-Apps auf persönlichen Geräten haben, ablenkender sein. Auch die Recherche auf einem privaten Gerät kann ablenkender sein, da Cookies zu gezielterer Online-Werbung führen.

Mehrere Benutzer

Es ist wahrscheinlich, dass die Mitarbeiter ihre vom Unternehmen zur Verfügung gestellten Geräte nach der Arbeitszeit weglegen, aber das gilt nicht für private Geräte. In einem geschäftigen Haushalt bedeutet ein BYOD-Modell, dass ein Gerät mit Unternehmensressourcen für den Partner, die Kinder und Gäste eines Mitarbeiters zugänglich sein kann. Außenstehende können auf einem privaten Gerät geheime Informationen einsehen, Phishing-Links öffnen oder auf der schwarzen Liste stehende Apps herunterladen, was zu Datenlecks führen kann.

CYOD vs. BYOD

CYOD steht für Choose Your Own Device. Beim CYOD-Modell können die Mitarbeiter aus einer begrenzten Anzahl von vom Unternehmen zugelassenen Geräten für die Arbeit wählen. Die Geräte werden in der Regel von der Organisation gekauft und verwaltet. CYOD bietet den Unternehmen mehr Sicherheit und den Mitarbeitern die Freiheit, Hardware zu wählen, mit der sie vertraut sind.

COPE vs. BYOD

COPE steht für Company Owned Personally/Enabled. In einem COPE-Programm kann ein Mitarbeiter ein Firmen-Smartphone für einige grundlegende persönliche Funktionen wie Anrufe und Nachrichten nutzen. COPE-Programme erlauben es den Mitarbeitern, nur ein Gerät zu verwenden, auch wenn sie möglicherweise zwei Geräte besitzen. So können sie beispielsweise nach Feierabend von einem Firmengerät auf ein privates Gerät wechseln. COPE bietet Unternehmen ausgezeichnete Sicherheit und den Mitarbeitern gleichzeitig ein wenig Flexibilität.

Die Geschichte von BYOD

Obwohl der Begriff BYOD vom VoIP-Dienstleister BroadVoice im Jahr 2004 geprägt wurde, erlangte er erst 2009 Popularität, als Intel feststellte, dass seine Mitarbeiter persönliche Geräte für die Verbindung mit dem Unternehmensnetzwerk nutzten. Ein paar Jahre später bemerkten auch der IT-Dienstleister Unisys und der Softwareanbieter Citrix Systems, dass BYOD zum Trend wurde.

Die Zukunft von BYOD am Arbeitsplatz

Despite the security risks, BYOD shall continue to be a feature of workplaces in the future. Organizations reap significant benefits from BYOD, including enhanced productivity, faster onboarding, lower costs, and higher earnings. Employees enjoy familiarity, flexibility, and creativity.

Expect larger organizations to mitigate BYOD risks with stronger security policies, better endpoint protection, and greater control over personal devices. Smaller businesses may continue BYOD with a Bring Your Own Security (BYOS) setup, packaged with computer hygiene training, VPN usage, data encryption policies, and fair guidelines.

In a report called BYOD and Enterprise Mobility – Global Market Trajectory & Analytics, Global Industry Analysts (GIA) claims that the market size for BYOD and enterprise mobility will jump from over $84.4 billion in 2022 to $157.3 billion by 2026, rowing at a CAGR of 16.7% over the analysis period. Is your organization ready?

Ausgewählte Ressourcen

• Was ist endpoint detection and response (EDR)?
• Was bedeutet Managed Detection and Response (MDR)?