Muss unser MDM-Anbieter in der Schweiz ansässig sein?

Nein, aber Ihr MDM-Anbieter ist unter dem nDSG ein Auftragsverarbeiter. Sie benötigen einen Auftragsverarbeitungsvertrag (AVV), der Datenstandort, Sicherheitsmassnahmen und Unterauftragnehmer-Offenlegung regelt. Bei Datenspeicherung ausserhalb der Schweiz müssen Sie sicherstellen, dass das Zielland einen angemessenen Datenschutz bietet oder geeignete Garantien bestehen.

Was passiert bei Verlust oder Diebstahl eines verwalteten Geräts?

Bewerten Sie zunächst, ob Personendaten gefährdet waren. War FileVault aktiviert und das Gerät gesperrt, ist das Risiko minimal — verschlüsselte Daten sind nicht zugänglich. War das Gerät unverschlüsselt oder entsperrt, liegt möglicherweise eine meldepflichtige Datenschutzverletzung vor. Löschen Sie das Gerät umgehend ferngesteuert via MDM und dokumentieren Sie den Vorfall, Ihre Risikobewertung und die ergriffenen Massnahmen.

Brauchen wir die Einwilligung der Mitarbeitenden zur Geräteverwaltung?

Für firmeneigene Geräte wird die Verwaltung typischerweise durch berechtigtes Interesse oder den Arbeitsvertrag gerechtfertigt — eine ausdrückliche Einwilligung ist nicht erforderlich. Bei BYOD ist die Situation differenzierter: Sie benötigen eine klare Dokumentation dessen, was das MDM einsehen und tun kann, und die Registrierung muss transparent kommuniziert werden. Einwilligung ist eine Rechtsgrundlage, aber je nach Situation kann auch das Arbeitsverhältnis ausreichen.

Teil von: Apple Geräteverwaltung: Der umfassende Leitfaden für IT-Teams

Sicherheit

Apple-Geräte-Compliance: Schweizer nDSG und EU-DSGVO in der Praxis

1. März 202610 Min. LesezeitAktualisiert: 10. März 2026

Schweizer Organisationen, die Apple-Geräte einsetzen, bewegen sich in einem mehrschichtigen regulatorischen Umfeld: Das revidierte Datenschutzgesetz (nDSG) stellt Anforderungen an jedes Gerät mit Personendaten, die DSGVO kommt hinzu, sobald EU-Kunden oder EU-Mitarbeitende betroffen sind, und branchenspezifische Vorschriften setzen weitere Massstäbe. Hier erfahren IT-Verantwortliche, was sie konfigurieren, dokumentieren und im Audit nachweisen müssen.

Das Wichtigste

Das Schweizer nDSG (seit September 2023 in Kraft) verlangt technische und organisatorische Massnahmen für Personendaten auf Geräten
Verschlüsselung (FileVault, iOS Data Protection) erfüllt die technische Grundanforderung für ruhende Daten
MDM-Compliance-Richtlinien liefern überprüfbare Nachweise der Sicherheitsdurchsetzung über die gesamte Flotte
BYOD bringt zusätzliche DSGVO/nDSG-Komplexität — User Enrollment trennt persönliche und geschäftliche Daten kryptografisch
Dokumentieren Sie alles: Compliance bedeutet nachzuweisen, was Sie tun — nicht nur, es zu tun

Die regulatorische Landschaft für Schweizer IT-Verantwortliche

Schweizer Organisationen stehen vor einer mehrschichtigen Compliance-Landschaft. Das revidierte Bundesgesetz über den Datenschutz (nDSG), seit September 2023 in Kraft, verlangt angemessene technische und organisatorische Massnahmen zum Schutz von Personendaten. Bedienen Sie EU-Kunden oder beschäftigen Sie EU-Mitarbeitende, kommen die Anforderungen der DSGVO hinzu — einschliesslich strengerer Einwilligungsregeln und Pflichten zur Dokumentation der Datenverarbeitung. Branchenspezifische Vorschriften schichten sich darüber: FINMA-Richtlinien für Finanzdienstleister, kantonale Gesundheitsdatenschutzgesetze für das Gesundheitswesen und ISO 27001/27002 für Organisationen, die eine Zertifizierung anstreben. Ihre Apple-Geräteflotte ist unter all diesen Rahmenwerken ein Datenverarbeitungssystem. Jedes MacBook, iPhone und iPad, das auf Personendaten zugreift, muss verwaltet, abgesichert und auditierbar sein.

Verschlüsselung: Die nicht verhandelbare Grundlage

Sowohl nDSG als auch DSGVO verlangen die Verschlüsselung von Personendaten. Für Apple-Geräte bedeutet das konkret: FileVault muss auf jedem Mac aktiviert sein — erzwingen Sie die Aktivierung via MDM und hinterlegen Sie Wiederherstellungsschlüssel zentral (Key Escrow). iOS und iPadOS verschlüsseln Daten standardmässig, sobald ein Passcode gesetzt ist. Erzwingen Sie allerdings eine Mindestkomplexität von mindestens 6 Zeichen über MDM, damit die Verschlüsselung tatsächlich wirksam ist. Daten im Transit müssen ebenfalls verschlüsselt werden — konfigurieren Sie obligatorisches VPN oder Per-App-VPN für den Zugriff auf Unternehmensressourcen. Das sind keine optionalen Empfehlungen. Ein verlorenes MacBook ohne FileVault, das Mitarbeiterdaten enthält, löst eine Meldepflicht für Datenschutzverletzungen unter nDSG und DSGVO aus — mit potenziellen Bussen und Offenlegungspflicht gegenüber dem EDÖB.

Geräteverwaltung als Compliance-Nachweis

Compliance bedeutet nicht nur, Kontrollen zu implementieren — sondern nachzuweisen, dass Sie sie implementiert haben. Ihr MDM ist die primäre Nachweisquelle. Konfigurieren Sie Compliance-Richtlinien, die überprüfen: FileVault ist aktiviert, Passcode-Anforderungen werden erfüllt, die Betriebssystemversion entspricht den Mindest-Sicherheitsstandards, Endpoint-Schutz ist installiert und aktiv, Geräte sind registriert und unter Supervision. Die meisten MDM-Lösungen bieten Compliance-Dashboards mit flottenweitem Status. Exportieren Sie diese Berichte regelmässig und archivieren Sie sie als Compliance-Nachweis. Wenn ein Auditor fragt «Wie stellen Sie sicher, dass alle Geräte verschlüsselt sind?», ist Ihre Antwort ein MDM-Compliance-Report mit 100 Prozent FileVault-Adoption — keine mündliche Zusicherung.

BYOD und Datentrennung

BYOD-Geräte schaffen die komplexesten Compliance-Herausforderungen. Wenn Personendaten auf einem Gerät liegen, das Ihnen nicht gehört, werden die Anforderungen von nDSG und DSGVO an Datenminimierung, Zweckbindung und Betroffenenrechte deutlich schwieriger zu erfüllen. Apples User Enrollment löst die technische Seite: Es erstellt eine separate verwaltete Partition. Geschäftsdaten befinden sich in einem kryptografisch getrennten Volume, das die IT ferngesteuert löschen kann, ohne persönliche Daten zu berühren. Das erfüllt die Anforderung an Datentrennung — aber Sie müssen die technische Architektur und ihre Einschränkungen dokumentieren. Ihre BYOD-Richtlinie muss klar darlegen, auf welche Daten die Organisation zugreifen kann, auf welche nicht, und wie Geschäftsdaten bei Beendigung des Arbeitsverhältnisses entfernt werden.

Branchenspezifische Anforderungen

Finanzdienstleister unter FINMA-Aufsicht müssen betriebliche Resilienz nachweisen — dazu gehört Geräteverwaltung als Bestandteil des IT-Risikomanagements. Gesundheitsorganisationen unterliegen kantonalen Gesundheitsdatenschutzgesetzen, die bei medizinischen Daten häufig über die nDSG-Anforderungen hinausgehen — wie Organisationen Apple-Geräte im Gesundheitswesen compliant einsetzen, behandeln wir im Detail. Organisationen, die Zahlungsdaten verarbeiten, benötigen PCI-DSS-Compliance auf Geräten, die Karteninhaberdaten verarbeiten. Für jede Branche gilt: Ordnen Sie Ihre Apple-Geräteverwaltungspraktiken den spezifischen regulatorischen Anforderungen zu. Ihr Compliance-Beratungspartner sollte eine Lückenanalyse liefern, die aufzeigt, wo Ihre aktuelle MDM-Konfiguration den Anforderungen genügt und wo zusätzliche Kontrollen nötig sind.

Compliance-Checkliste für Apple-Flotten

FileVault aktiviert und erzwungen auf allen Macs mit zentraler Schlüsselhinterlegung (Key Escrow)
Mindest-Passcode-Komplexität auf allen iOS-/iPadOS-Geräten erzwungen
Alle Geräte in MDM registriert mit aktiven Compliance-Richtlinien
Automatisiertes Compliance-Reporting konfiguriert und monatlich exportiert
Remote-Wipe-Fähigkeit bestätigt und für alle Gerätetypen getestet
BYOD-Richtlinie dokumentiert mit beschriebener Datentrennungsarchitektur
Datenverarbeitungsverzeichnis enthält Geräteverwaltung als Verarbeitungstätigkeit
Lieferantenverträge (MDM-Anbieter, Managed Service) enthalten Auftragsverarbeitungsvereinbarungen
Incident-Response-Plan deckt Szenarien verlorener oder gestohlener Geräte mit Meldefristen ab
Jährliche Sicherheitsbewertung umfasst Review der Apple-Geräteverwaltung

Häufig gestellte Fragen

Fazit

Apple-Geräte-Compliance ist ein fortlaufender Prozess, keine einmalige Einrichtung. Aktivieren Sie Verschlüsselung, erzwingen Sie Sicherheitsrichtlinien über MDM, dokumentieren Sie alles und überprüfen Sie regelmässig. Die Kosten der Compliance sind vorhersehbar und planbar. Die Kosten der Nicht-Compliance — Bussen, Verletzungsmeldungen, Reputationsschaden — sind es nicht.

Compliance-Lücken in Ihrer Apple-Flotte können zu Bussen und gescheiterten Audits führen. Eine strukturierte Bewertung identifiziert Risiken, bevor sie teuer werden.

Bewertung buchen →