Apple-Gerätesicherheit nach Schweizer und EU-Datenschutzrecht

Das Schweizer Datenschutzgesetz (DSG, oft nDSG genannt) regelt, welche Pflichten bei der Bearbeitung von Personendaten gelten. Ob zusätzlich die DSGVO gilt, ist eine eigene Frage. Die Antwort steht in Artikel 3 DSGVO. Massgebend ist, wo Sie niedergelassen sind und welche Art von Verarbeitung Sie betreiben. Ein Kunde in der EU allein bedeutet noch nicht, dass die DSGVO für Sie gilt.

Branchenvorschriften und Ihre Verträge können eigene Pflichten mit sich bringen. Klären Sie diese separat. ISO 27001 ist eine Norm für Managementsysteme der Informationssicherheit. Eine Zertifizierung nach dieser Norm und die Einhaltung des Gesetzes sind zwei verschiedene Prüfungen.

Das Schweizer Recht und Artikel 32 DSGVO verlangen beide angemessene technische und organisatorische Massnahmen. Was angemessen ist, hängt vom Risiko ab. Deshalb steht die Risikobeurteilung am Anfang. Verschlüsselung ist eine wichtige Massnahme. Trotzdem enthält keines der beiden Gesetze eine MDM-Checkliste, die Ihnen garantiert, dass Sie das Gesetz einhalten, sobald jeder Punkt abgehakt ist.

Beginnen Sie bei Macs mit FileVault und mit der Frage, wer an die Wiederherstellungsschlüssel kommt. Eine verschlüsselte Festplatte schützt die Daten nur so lange, wie der Schlüssel sicher aufbewahrt ist. Prüfen Sie danach, wer auf welchem Mac Administratorrechte hat und ob die installierte Software noch unterstützt wird. Bei iPhone und iPad geht es um die Vorgaben für den Gerätecode, um die verwalteten Apps und darum, wie Geschäftsdaten aus diesen Apps hinausgelangen können. Verbindungen zu Firmendaten sollten verschlüsselt sein. Ob Sie zusätzlich ein VPN brauchen, hängt davon ab, wie Ihre Mitarbeitenden auf diese Daten zugreifen.

Schreiben Sie jede Richtlinie auf, zusammen mit der verantwortlichen Person und den Geräten, für die sie gilt. Bewahren Sie datierte Nachweise zu Verschlüsselung, Updates und allen vereinbarten Ausnahmen auf. Schauen Sie nach, wann sich jedes Gerät zuletzt beim MDM gemeldet hat. Das MDM kennt nur den Zustand, den ein Gerät beim letzten Kontakt gemeldet hat. Ein alter Eintrag zeigt deshalb nicht, wie das Gerät heute dasteht.

Legen Sie fest, wer Protokolle und Wiederherstellungsschlüssel einsehen darf und wie lange Sie diese aufbewahren. MDM-Berichte können Namen von Mitarbeitenden oder andere Angaben enthalten, die Personen erkennbar machen. Deshalb müssen auch sie geschützt werden.

Wenn Mitarbeitende ihr eigenes iPhone oder ihren eigenen Mac für die Arbeit nutzen, erklären Sie ihnen vorher, welche Vorgaben sie akzeptieren und welche Geschäftsdaten die IT entfernen kann. Weil es ihr privates Gerät ist, sollten sie wissen, wo der Zugriff der Firma aufhört. Testen Sie vor der Einführung die geplante Registrierungsmethode und wie sich die Apps damit verhalten. Stellen Sie bei geteilten Geräten sicher, dass die nächste Person die Sitzung der vorherigen nicht öffnen kann.

Ihre Richtlinie für Firmen- und Privatgeräte sollte festhalten, wer welche Geräte betreut und was mit ihnen passiert, wenn jemand die Firma verlässt. Die technische Trennung von geschäftlichen und privaten Daten muss zu den Apps passen, die Ihre Mitarbeitenden nutzen, und dazu, wohin ihre Daten fliessen.

Geht ein Gerät verloren, beurteilen Sie den Fall rasch. Klären Sie, welche Daten darauf waren, ob FileVault oder ein Gerätecode sie geschützt hat und ob noch jemand darauf zugreifen könnte. In die Beurteilung fliesst ein, ob das Gerät verschlüsselt war und ob der Schlüssel in fremde Hände gelangt sein könnte.

Das Schweizer Recht und die DSGVO setzen die Schwelle für eine Meldung unterschiedlich an. Nach der DSGVO müssen Sie die Aufsichtsbehörde in der Regel innerhalb von 72 Stunden informieren, nachdem Ihnen die Verletzung bekannt geworden ist. Das gilt nicht, wenn die Verletzung voraussichtlich zu keinem Risiko für die betroffenen Personen führt. Artikel 24 DSG verlangt eine Meldung an den EDÖB so rasch als möglich, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko führt. Derselbe verlorene Laptop kann also nach dem einen Gesetz meldepflichtig sein und nach dem anderen nicht. Dokumentieren Sie die Entscheidung und ihre Gründe gemeinsam mit der Person, die bei Ihnen für Datenschutz- oder Rechtsfragen zuständig ist. Fragt später jemand nach, zeigt diese Dokumentation, warum Sie gemeldet haben oder warum nicht.

DSGVO, Artikel 3, 32, 33 und 34 · EDÖB-Leitfaden zu Datensicherheitsverletzungen · Apple Platform Deployment