Mobile Security im Unternehmen fristet in vielen IT-Sicherheitskonzepten noch immer ein Nischendasein, obwohl Smartphones längst vollwertige Endpunkte der Unternehmens-IT sind. Über sie laufen E-Mails, Cloud-Zugriffe, Microsoft 365, CRM-Systeme und häufig auch die Zwei-Faktor-Authentifizierung für andere Konten. Im Interview erklärt Benjamin Richter, Geschäftsführer der auf Informationssicherheit spezialisierten Cyber Complete GmbH und der neu gegründeten Mobile Complete Group, warum genau diese Selbstverständlichkeit zum blinden Fleck vieler Sicherheitsstrategien wird. Er ordnet ein, welches Risiko BYOD-Modelle tatsächlich bergen, weshalb klassisches Mobile Device Management allein nicht mehr ausreicht und welche vier Bausteine aus seiner Sicht eine belastbare Mobile-Security-Strategie ausmachen.
| Zur Person | |
|---|---|
| Name | Benjamin Richter |
| Funktion | Geschäftsführer Cyber Complete GmbH, Geschäftsführer Mobile Complete Group |
| Schwerpunkt | Informationssicherheit, Mobile Device Management, Mobile Threat Defense |
| Standort | Schmallenberg |
Die Verlagerung geschäftskritischer Prozesse aufs Smartphone ist in den vergangenen Jahren nahezu unbemerkt passiert. Freigaben für Rechnungen, Zugriff auf das Kundenmanagementsystem, die Authenticator-App für den VPN-Zugang: Vieles, was früher ausschließlich am Bürorechner erledigt wurde, läuft heute selbstverständlich über das Mobiltelefon. Genau diese Selbstverständlichkeit sorgt dafür, dass mobile Endgeräte in vielen IT-Sicherheitskonzepten immer noch nachrangig behandelt werden, obwohl sie faktisch längst zu den kritischsten Zugangspunkten zählen.
Warum Smartphones in Unternehmen häufig unterschätzt werden
Viele Unternehmen betrachten mobile Endgeräte laut Richter noch immer als reine Kommunikationsgeräte. Tatsächlich seien sie heute vollwertige Endpunkte der Unternehmens-IT. Über mobile Geräte liefen E-Mails, Cloud-Zugriffe, Microsoft 365, CRM-Systeme, Messenger, Kalender und Freigaben für Unternehmensanwendungen, gleichzeitig dienten sie häufig als zweiter Faktor für Authentifizierungen. „Wer Smartphones nicht konsequent in seine Sicherheitsstrategie integriert, schafft eine Angriffsfläche, über die Cyberkriminelle direkt auf Unternehmensdaten zugreifen können“, so Richter.
Mobile Security im Unternehmen: Das Risiko im BYOD-Modell richtig einschätzen
Bring Your Own Device sei dabei nicht per se das Problem, stellt Richter klar: „BYOD ist nicht das Problem. Fehlende Transparenz und fehlende Sicherheitsrichtlinien sind es.“ Private Geräte unterschieden sich bei Betriebssystemen, Sicherheitsupdates, installierten Apps und Nutzerverhalten erheblich. Ohne zentrale Verwaltung und klare Compliance-Vorgaben verliere die IT-Abteilung schnell den Überblick. Mit einem professionellen Mobile Device Management (MDM) ließen sich Geräte sicher verwalten, Unternehmensdaten schützen und Richtlinien zentral durchsetzen, unabhängig davon, wem das jeweilige Smartphone gehört.
Regulatorischer Druck als zusätzlicher Treiber
Neben dem reinen Sicherheitsrisiko wächst auch der regulatorische Druck, mobile Endgeräte in ein durchgängiges Sicherheitskonzept einzubinden. Artikel 32 der DSGVO verlangt technische und organisatorische Maßnahmen, die dem Stand der Technik entsprechen, wozu bei mobiler Verarbeitung personenbezogener Daten regelmäßig auch Verschlüsselung, Zugriffskontrolle und eine Möglichkeit zur Fernlöschung verlorener Geräte zählen. Auch im Kontext der NIS2-Richtlinie, die zunehmend mehr mittelständische Unternehmen als wichtige oder besonders wichtige Einrichtungen erfasst, gehört ein dokumentiertes Mobile-Device-Konzept zu den Mindesterwartungen an ein funktionierendes Risikomanagement.
Für betroffene Unternehmen bedeutet das konkret, dass sich mobile Endgeräte nicht länger außerhalb der offiziellen Risikoanalyse bewegen dürfen. Wer im Rahmen von NIS2 oder eines ISO-27001-Zertifizierungsprozesses ohnehin ein Informationssicherheits-Managementsystem aufbaut oder pflegt, sollte Mobile Device Management und Mobile Threat Defense von Beginn an als eigenen Kontrollbereich mitdenken, statt sie im Nachgang notdürftig zu ergänzen. Das erspart nicht nur doppelte Dokumentationsarbeit, sondern verhindert auch, dass mobile Geräte bei der nächsten externen Prüfung als offensichtliche Lücke auffallen. Auditoren fragen bei ISO-27001-Rezertifizierungen inzwischen regelmäßig gezielt nach dem Umgang mit mobilen Endgeräten, sodass ein fehlendes Konzept an dieser Stelle zunehmend als eigenständiger und ernstzunehmender Feststellungspunkt im Auditbericht auftaucht.
Welche Daten im Ernstfall besonders schnell in falsche Hände geraten
Angreifer interessierten sich selten für das Smartphone selbst, sondern für die Daten und Zugänge darauf, erklärt Richter. Dazu gehörten E-Mails, Cloud-Speicher, Kundendaten, interne Dokumente, Messenger-Kommunikation sowie Zugangsdaten und Authenticator-Apps. Ist ein Smartphone kompromittiert, kann daraus schnell ein Angriff auf das gesamte Unternehmensnetzwerk entstehen. Gestohlene Zugangsdaten ermöglichen Identity Theft und den Zugriff auf weitere Unternehmenssysteme.
Warum klassisches Mobile Device Management allein oft nicht ausreicht
MDM und Mobile Threat Defense (MTD) erfüllten aus Richters Sicht zwei unterschiedliche Aufgaben. Ein Mobile Device Management sorge dafür, dass Geräte verwaltet werden: Es verteilt Richtlinien, erzwingt Passwortrichtlinien, verschlüsselt Geräte und stellt Compliance sicher. Mobile Threat Defense gehe deutlich weiter und erkenne aktive Bedrohungen in Echtzeit, etwa Phishing-Angriffe, schädliche Apps, unsichere WLAN-Netzwerke, Jailbreaks oder Rooting, und könne Risiken automatisch bewerten sowie Gegenmaßnahmen einleiten.
| Baustein | Aufgabe | Typische Funktionen |
|---|---|---|
| Mobile Device Management (MDM) | Geräte zentral verwalten | Richtlinien verteilen, Passwortrichtlinien erzwingen, Geräte verschlüsseln, Compliance sicherstellen |
| Mobile Threat Defense (MTD) | Aktive Bedrohungen erkennen | Phishing-Erkennung, Malware-Scan, Analyse unsicherer WLANs, Jailbreak-/Root-Erkennung, automatische Risikobewertung |
| Kontinuierliches Monitoring | Sicherheitsstatus laufend im Blick behalten | Regelmäßige Sicherheitsupdates, Statusüberwachung aller Geräte |
| Awareness-Schulungen | Menschliches Verhalten absichern | Erkennen von Phishing/Smishing, sicherer Umgang mit Apps und öffentlichen WLANs |
„Erst die Kombination aus MDM und MTD schafft einen ganzheitlichen Schutz für mobile Endgeräte“, fasst Richter zusammen. Genau darauf setze man bei der Mobile Complete Group, die Unternehmen bei Aufbau und Betrieb entsprechender Sicherheitsstrukturen begleitet.
Typische Stolperfallen bei der Einführung von Mobile Security
- Reine Geräteverwaltung ohne Bedrohungserkennung: Wer sich allein auf MDM verlässt, erkennt zwar nicht compliant konfigurierte Geräte, aber keine aktive Attacke in Echtzeit.
- Fehlende Einbindung privater BYOD-Geräte: Werden private Smartphones stillschweigend geduldet, ohne sie ins Sicherheitskonzept einzubeziehen, entsteht ein blinder Fleck in der Angriffsflächenanalyse.
- Awareness als einmalige Maßnahme statt fortlaufendem Prozess: Eine einzelne Schulung beim Onboarding verpufft, wenn neue Angriffsmuster wie KI-gestütztes Phishing nicht regelmäßig nachgeschärft werden.
- Fehlende Notfallprozesse bei Geräteverlust: Ohne klar dokumentierten Ablauf für Sperrung, Fernlöschung und Passwortwechsel verstreicht im Verlustfall wertvolle Zeit.
Technik oder Mensch: Wo liegt die größere Schwachstelle?
Die meisten erfolgreichen Angriffe beginnen laut Richter nicht mit einer Sicherheitslücke in der Technik, sondern mit einer Entscheidung eines Menschen. Ein Klick auf einen Phishing-Link, eine manipulierte App oder die Verbindung mit einem unsicheren WLAN genüge oft bereits. Deshalb brauche moderne Mobile Security im Unternehmen immer zwei Bausteine: technische Schutzmechanismen und regelmäßige Awareness-Schulungen.
Die größte Fehleinschätzung beim Thema Mobile Security
Viele Unternehmen gingen davon aus, dass ihre klassische Endpoint-Security Smartphones automatisch mit schützt, sagt Richter. „Das ist jedoch nicht der Fall.“ Mobile Geräte bewegten sich außerhalb des Unternehmensnetzwerks, nutzten öffentliche WLANs, installierten Apps und griffen von überall auf Unternehmensdaten zu. Genau deshalb benötigten sie eine eigene Sicherheitsstrategie mit Verwaltung, Bedrohungserkennung und kontinuierlichem Monitoring. Mobile Security sollte aus seiner Sicht heute fester Bestandteil einer Zero-Trust-Strategie sein.
Mobile Security als Baustein einer Zero-Trust-Strategie
Der Verweis auf Zero Trust ist mehr als ein Schlagwort. Im klassischen Sicherheitsmodell galt ein Gerät innerhalb des Unternehmensnetzwerks als vertrauenswürdig, sobald es sich einmal authentifiziert hatte. Bei mobilen Endgeräten, die sich ständig zwischen Firmennetz, Mobilfunk und öffentlichen WLANs bewegen, trägt dieses Modell nicht mehr. Zero Trust verlangt stattdessen, jeden Zugriff unabhängig vom Standort und Netzwerk erneut zu bewerten, etwa anhand des Gerätezustands, des Nutzerkontexts und aktueller Bedrohungsindikatoren.
Für mobile Endgeräte bedeutet das konkret, dass ein kompromittiertes oder nicht konformes Gerät automatisch von sensiblen Unternehmensressourcen ausgeschlossen wird, bevor es zum Einfallstor werden kann. Diese sogenannte konditionale Zugriffssteuerung lässt sich in der Praxis mit den meisten modernen MDM- und MTD-Lösungen umsetzen und sollte nach Richters Einschätzung fester Bestandteil jeder Mobile-Security-Architektur sein, statt als optionales Zusatzmodul behandelt zu werden.
Für die technische Umsetzung bedeutet das in der Regel eine Kopplung von MDM, MTD und Identity-Management-System: Erst wenn Gerätestatus, Bedrohungslage und Nutzeridentität gemeinsam ausgewertet werden, lässt sich eine belastbare Zugriffsentscheidung treffen. Unternehmen, die bereits eine Zero-Trust-Architektur für ihre Arbeitsplatzrechner aufgebaut haben, sollten mobile Endgeräte deshalb konsequent in dasselbe Regelwerk integrieren, statt eine separate, parallele Sicherheitslogik für Smartphones zu pflegen.
Kosten und Nutzen: Warum sich Investitionen in Mobile Security auszahlen
Die Einführung von MDM, MTD und begleitenden Schulungen verursacht zunächst sichtbare Kosten, Lizenzgebühren, Implementierungsaufwand und Zeit für die Mitarbeiterschulung. Diesen Kosten steht das potenzielle Schadensausmaß eines erfolgreichen Angriffs gegenüber, das bei kompromittierten Zugangsdaten oder gestohlenen Kundendaten schnell ein Vielfaches der Investitionssumme erreichen kann, etwa durch Betriebsunterbrechung, Meldepflichten nach Artikel 33 DSGVO oder Reputationsschäden gegenüber Kunden und Partnern.
Für die interne Priorisierung empfiehlt es sich, die Investition nicht isoliert als IT-Kostenposition zu betrachten, sondern als Teil des unternehmensweiten Risikomanagements. Eine einfache Gegenüberstellung der Lizenzkosten je Gerät mit dem geschätzten Schadenspotenzial eines einzigen erfolgreichen mobilen Angriffs liefert in den meisten Fällen ein überzeugendes Argument für die Geschäftsführung, gerade weil mobile Endgeräte, anders als Server oder Arbeitsplatzrechner, häufig noch komplett unberücksichtigt in der bisherigen Sicherheitsbudgetierung sind.
Hinzu kommt ein Effekt, der in der Kostenbetrachtung leicht übersehen wird: Ein zentral verwaltetes Gerätemanagement reduziert nicht nur das Sicherheitsrisiko, sondern auch den administrativen Aufwand der IT-Abteilung. Softwareverteilung, Passwort-Resets und die Einrichtung neuer Geräte lassen sich weitgehend automatisieren, was insbesondere in kleineren IT-Teams spürbar Kapazität für andere Aufgaben freisetzt. Die Investition in Mobile Security zahlt sich damit häufig doppelt aus, einmal als Risikoreduktion und einmal als operative Entlastung.
Smartphones sind heute längst kein Nebenschauplatz der IT mehr. Sie sind ein fester Bestandteil der Unternehmensinfrastruktur und sollten genauso professionell geschützt werden wie Server, Arbeitsplatzrechner oder Cloud-Dienste.
Was Unternehmen jetzt konkret tun sollten
Der erste Schritt sei Transparenz, so Richter. Unternehmen sollten genau wissen, welche Smartphones und Tablets auf Unternehmensdaten zugreifen, welchen Sicherheitsstatus diese Geräte haben und ob aktuelle Risiken bestehen. Darauf aufbauend empfiehlt er eine ganzheitliche Mobile-Security-Strategie aus vier Bausteinen: Mobile Device Management für die zentrale Verwaltung, Mobile Threat Defense zur Erkennung von Phishing, Malware und unsicheren Netzwerken in Echtzeit, kontinuierliches Monitoring mit regelmäßigen Sicherheitsupdates sowie Awareness-Schulungen, damit Mitarbeitende mobile Risiken früh erkennen und richtig reagieren.
Für die praktische Umsetzung empfiehlt sich, diese vier Bausteine nicht isoliert einzuführen, sondern als Teil eines bestehenden Informationssicherheits-Managementsystems zu verankern, etwa im Rahmen von ISO 27001 oder eines vergleichbaren Rahmenwerks. So lässt sich Mobile Security nicht nur technisch, sondern auch organisatorisch nachhaltig in der Unternehmens-IT verankern, statt als isoliertes Einzelprojekt zu verpuffen.
Mobile Security im Unternehmen: Kleine Betriebe brauchen andere Lösungen als Konzerne
Nicht jedes Unternehmen benötigt von Beginn an die vollständige Ausbaustufe aus MDM, MTD, Monitoring und Awareness-Programm. Kleinere Mittelständler mit überschaubarer Gerätezahl fahren häufig gut damit, zunächst ein cloudbasiertes MDM mit integrierten Basisfunktionen für Bedrohungserkennung einzuführen, statt separate Speziallösungen für jeden Baustein zu beschaffen und zu betreiben. Viele Anbieter haben ihre Portfolios inzwischen genau auf diesen kombinierten Bedarf zugeschnitten.
Größere Mittelständler mit mehreren Hundert mobilen Endgeräten und komplexeren Compliance-Anforderungen, etwa aus der NIS2-Richtlinie oder branchenspezifischen Vorgaben, profitieren dagegen eher von dedizierten MDM- und MTD-Lösungen mit granularer Steuerung und eigenem Reporting. Entscheidend ist in beiden Fällen weniger die Frage nach dem größtmöglichen Funktionsumfang, sondern eine Lösung, die zur tatsächlichen Gerätelandschaft, zur vorhandenen IT-Kapazität und zum realistischen Schutzbedarf des jeweiligen Unternehmens passt. Eine ehrliche Bestandsaufnahme der eigenen Gerätelandschaft, Anzahl, Alter, Betriebssysteme und Nutzungskontext, liefert dafür meist bessere Anhaltspunkte als der Blick auf die Feature-Liste eines Anbieters.
Schritt-für-Schritt: Mobile Security im Unternehmen aufbauen
- Bestandsaufnahme durchführen: Alle Smartphones und Tablets erfassen, die auf Unternehmensdaten zugreifen, unabhängig davon, ob firmeneigen oder BYOD.
- Sicherheitsstatus bewerten: Betriebssystemversion, Patchstand und installierte Sicherheitsfunktionen je Gerät prüfen.
- MDM einführen oder ausbauen: Zentrale Richtlinien für Verschlüsselung, Passwortschutz und Compliance definieren und automatisiert durchsetzen.
- MTD ergänzen: Eine Lösung zur Erkennung aktiver Bedrohungen wie Phishing, Malware oder unsicherer Netzwerke implementieren.
- Notfallprozesse dokumentieren: Klare Abläufe für Verlust, Diebstahl oder Kompromittierung eines Geräts festlegen, inklusive Fernlöschung.
- Awareness-Programm etablieren: Regelmäßige, kurze Schulungseinheiten statt einmaliger Einführungsveranstaltung einplanen.
Häufige Fragen zu Mobile Security im Unternehmen
Was unterscheidet Mobile Device Management von Mobile Threat Defense?
MDM verwaltet Geräte zentral und setzt Richtlinien durch, MTD erkennt aktive Bedrohungen wie Phishing oder Malware in Echtzeit. Erst beide Bausteine zusammen ergeben einen vollständigen Schutz.
Ist BYOD ein grundsätzliches Sicherheitsrisiko?
Nicht das Modell selbst ist laut Benjamin Richter das Problem, sondern fehlende Transparenz und fehlende Sicherheitsrichtlinien für die genutzten privaten Geräte.
Reicht klassische Endpoint-Security auch für Smartphones aus?
Nein. Mobile Geräte bewegen sich außerhalb des Unternehmensnetzwerks und benötigen eine eigene Sicherheitsstrategie mit Verwaltung, Bedrohungserkennung und Monitoring.
Welche vier Bausteine empfiehlt Benjamin Richter für Unternehmen?
Mobile Device Management, Mobile Threat Defense, kontinuierliches Monitoring und regelmäßige Awareness-Schulungen für Mitarbeitende.
Warum reicht ein einmaliges Security-Awareness-Training nicht aus?
Angriffsmuster entwickeln sich laufend weiter, etwa durch KI-gestütztes Phishing. Ohne regelmäßige Auffrischung verliert eine einzelne Schulung schnell an Wirkung.
Welche Rolle spielt Zero Trust bei Mobile Security im Unternehmen?
Zero Trust sorgt dafür, dass jeder Zugriff eines mobilen Geräts unabhängig vom Standort neu bewertet wird, sodass kompromittierte Geräte automatisch von sensiblen Ressourcen ausgeschlossen werden können.
Verwandte Themen
- Berechtigungskonzepte im Unternehmen
- IT-Compliance Dokumentationspflichten
- IT-Notfallübung als Tabletop-Exercise
Weiterführend: Praxisnahe Hinweise zum Schutz mobiler Endgeräte bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI).
