🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie legt Vorgaben für die sichere Nutzung mobiler Geräte (z. B. Smartphones, Tablets, Laptops) fest, die für geschäftliche Zwecke genutzt werden. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensdaten zu gewährleisten und Sicherheitsrisiken durch unsachgemäße Nutzung zu minimieren.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle mobilen Geräte, die für geschäftliche Zwecke genutzt werden, unabhängig davon, ob sie im Besitz des Unternehmens oder privat sind (siehe auch [[01.52 BYOD-Richtlinie]]).
- Alle Mitarbeitenden, externen Partner und Dienstleister, die mobile Geräte zur Verarbeitung oder Speicherung von Unternehmensdaten verwenden.

---

## 3. Anforderungen

### **3.1 Gerätesicherheit**
- Mobile Geräte müssen durch sichere Authentifizierungsmethoden (z. B. Passwort, PIN, biometrische Authentifizierung wie Fingerabdruck oder Gesichtserkennung) geschützt werden.
- Der Bildschirm-Sperrmodus muss nach maximal **1 Minute Inaktivität** aktiviert werden.
- Alle Geräte müssen durch die IT-Abteilung verschlüsselt werden. Für BYOD-Geräte ist eine autorisierte Verschlüsselungssoftware verpflichtend.

### **3.2 Updates und Endpoint Protection**
- Betriebssysteme und geschäftlich genutzte Anwendungen müssen regelmäßig aktualisiert werden. Sicherheitsupdates sind innerhalb von **48 Stunden** nach Veröffentlichung zu installieren.
- Eine aktuelle Endpoint Protection (z. B. Antiviren-Software) muss auf allen Geräten installiert und aktiv sein. Manuelles Deaktivieren der Schutzsoftware ist untersagt.
- Die IT-Abteilung führt regelmäßige Prüfungen durch, um sicherzustellen, dass Geräte den Sicherheitsstandards entsprechen.

### **3.3 Zugriff auf Unternehmensdaten**
- Der Zugriff auf Unternehmensdaten ist ausschließlich über autorisierte Anwendungen und Plattformen erlaubt.
- Das Speichern geschäftlicher Daten auf privaten, nicht autorisierten Geräten oder in nicht genehmigten Cloud-Diensten ist streng verboten.
- Multi-Faktor-Authentifizierung (MFA) muss für den Zugriff auf geschäftliche Systeme verwendet werden.

### **3.4 Backup und Datenverlust**
- Geschäftliche Daten, die lokal auf mobilen Geräten gespeichert werden, müssen regelmäßig in einem autorisierten und sicheren Backup-System gesichert werden.
- Bei Verlust oder Diebstahl eines Geräts ist der Vorfall unverzüglich dem/der [[IT-Verantwortliche(r)]] zu melden. Maßnahmen wie Remote-Wipe werden umgehend eingeleitet.

### **3.5 Nutzung öffentlicher Netzwerke**
- Der Zugriff auf geschäftliche Daten über öffentliche Netzwerke (z. B. WLAN in Cafés oder Hotels) ist nur mit einem aktivierten **sicheren VPN** zulässig.
- Wenn keine sichere WLAN-Verbindung verfügbar ist, muss eine mobile Datenverbindung (z. B. LTE, 5G) genutzt werden.
- Die Nutzung von unbekannten oder ungesicherten Netzwerken ist strikt untersagt.

### **3.6 Rückgabe, Entsorgung oder Weitergabe von Geräten**
- Vor der Rückgabe eines Unternehmensgeräts müssen alle geschäftlichen Daten gemäß den IT-Vorgaben sicher gelöscht werden. Dies wird durch die IT-Abteilung überwacht.
- Private Geräte, die geschäftlich genutzt wurden, müssen vor der Entsorgung oder Weitergabe vollständig von geschäftlichen Daten bereinigt werden. Unterstützung durch die IT-Abteilung kann angefordert werden.

### **3.7 Schulung und Sensibilisierung**
- Mitarbeitende, die mobile Geräte geschäftlich nutzen, nehmen jährlich an Schulungen zur sicheren Nutzung mobiler Geräte teil.
- Schulungsinhalte umfassen:
  - Umgang mit Sicherheitsvorfällen (z. B. Gerätediebstahl),
  - Nutzung von Endpoint-Schutz und VPN,
  - Trennung privater und geschäftlicher Daten.
- Neue Mitarbeitende erhalten im Rahmen des Onboardings eine Einführung in diese Richtlinie.

---

## 4. Überprüfung und Aktualisierung
- Diese Richtlinie wird jährlich durch den/die [[IT-Verantwortliche(r)]] überprüft und an neue Bedrohungen oder technische Entwicklungen angepasst.
- Regelmäßige Überprüfungen der Einhaltung der Richtlinie durch Stichproben oder technische Prüfungen werden durchgeführt.

---

🏷️ **Tags:**  
- #MobileSicherheit #Geräteschutz #ISMS_Policy_01.56 #ISO_Kontrolle_6_2 #ISO_Kontrolle_8_1
