🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie definiert klare Vorgaben für die sichere Nutzung privater Geräte (Bring Your Own Device – BYOD) zu geschäftlichen Zwecken, um Unternehmensdaten zu schützen, Sicherheitsrisiken zu minimieren und die Einhaltung gesetzlicher sowie regulatorischer Anforderungen zu gewährleisten.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle Mitarbeitenden, die private Geräte (z. B. Smartphones, Tablets, Laptops) für geschäftliche Zwecke nutzen.
- Alle Geräte und Anwendungen, die für den Zugriff auf Unternehmensdaten, IT-Systeme oder Netzwerke verwendet werden.

---

## 3. Richtlinienanforderungen

### **3.1 Gerätesicherheit und Passwortschutz**
- Private Geräte müssen durch ein sicheres Passwort, eine PIN oder biometrische Authentifizierung (z. B. Fingerabdruck, Gesichtserkennung) geschützt sein.
- Der Bildschirm-Sperrmodus muss nach maximal **2 Minuten Inaktivität** automatisch aktiviert werden.
- Geräte müssen über eine aktuelle Sicherheitssoftware verfügen.

### **3.2 Mobile Device Management (MDM)**
- Für den Zugriff auf besonders sensible Daten oder Anwendungen müssen private Geräte in ein **Mobile Device Management (MDM)** integriert werden.
- Alternativ müssen die folgenden Maßnahmen strikt eingehalten werden:
  - **Updates**: Betriebssysteme und geschäftlich genutzte Anwendungen müssen innerhalb von **48 Stunden** nach Veröffentlichung aktualisiert werden.
  - **Antiviren- und Endpoint-Schutz**: Eine aktuelle Endpoint-Sicherheitslösung muss installiert und aktiv sein.
  - **Verschlüsselung**: Die Gerätefestplatte muss verschlüsselt sein.
  - **Datensicherung**: Geschäftliche Daten müssen regelmäßig in genehmigten Backup-Systemen gesichert werden.
  - **Zugriffsrechte**: Nur autorisierte Anwendungen und Daten dürfen auf dem Gerät gespeichert oder genutzt werden.

### **3.3 Zulässige Anwendungen**
- Nur von der [[IT-Verantwortliche(r)]] freigegebene Anwendungen dürfen installiert und genutzt werden.
- Anwendungen ohne offizielle Lizenz oder Sicherheitszertifikate sind verboten.
- Mitarbeitende sind dafür verantwortlich, unsichere oder nicht autorisierte Anwendungen zu entfernen.

### **3.4 Datenspeicherung und -löschung**
- Geschäftliche Daten dürfen ausschließlich in autorisierten Anwendungen oder Speicherorten mit aktivierter Verschlüsselung gespeichert werden.
- Daten müssen unverzüglich gelöscht werden:
  - Nach Verlust des Geräts (Remote-Wipe durch IT).
  - Bei Beendigung der geschäftlichen Nutzung des Geräts.
  - Vor Entsorgung des Geräts.

### **3.5 Verbindungsrichtlinien**
- Der Zugriff auf geschäftliche Anwendungen und Daten ist nur über ein **sicheres VPN** erlaubt.
- Öffentliche WLAN-Netzwerke (z. B. Cafés, Hotels, Bahnhöfe) sind für geschäftliche Zwecke verboten, auch wenn ein VPN verwendet wird.
- Wenn kein WLAN verfügbar ist, ist die Nutzung einer mobilen Datenverbindung (5G oder LTE) vorgeschrieben.

### **3.6 Schulung und Sensibilisierung**
- Alle Mitarbeitenden erhalten eine Schulung zu Sicherheitsanforderungen und Risiken im Zusammenhang mit BYOD.
- Neue Mitarbeitende werden im Onboarding-Prozess auf die BYOD-Richtlinie und potenzielle Risiken hingewiesen.

### **3.7 Verantwortlichkeiten**
- **Mitarbeitende**:
  - Einhaltung der Richtlinienanforderungen und sofortige Meldung von Vorfällen (z. B. Verlust des Geräts) an die [[IT-Verantwortliche(r)]].
  - Verantwortung für die Installation von Updates und Sicherheitsmaßnahmen.
- **[[IT-Verantwortliche(r)]]**:
  - Bereitstellung und Verwaltung von MDM-Lösungen.
  - Unterstützung bei der Einrichtung von Sicherheitsmaßnahmen.

---

🏷️ **Tags:**  
- #BYOD #MobilesArbeiten #ISMS_Policy_01.52 #ISO_Kontrolle_6_2 #ISO_Kontrolle_8_1
