Mobile Device Management für die ISO 27001 Compliance

Das Wichtigste in Kürze

• ISO 27001:2022 regelt mobile und andere Endgeräte im Control A.8.1 Endgeräte von Benutzern, das die Mobilgeräte-Richtlinie der Fassung von 2013 abgelöst hat; die Zugangssteuerung steht in A.5.15 bis A.5.18 und A.8.2 bis A.8.5, die Verschlüsselung in A.8.24.
• Auditoren prüfen den Zustand der Geräte, nicht die Richtlinie: in der Praxis Festplattenverschlüsselung, Bildschirmsperre, Passwortmanager und Virenschutz auf jedem Endgerät, dazu Registrierung, BYOD-Trennung und Fernlöschung.
• Ein MDM wie Microsoft Intune setzt diese Einstellungen durch und liefert den Nachweis der Konfiguration; eine reine Leseprüfung wie der Kertos Device Monitor meldet, ob ein Gerät konform ist, ohne es zu verwalten.
• Der Kertos Device Monitor läuft derzeit auf macOS, prüft Festplattenverschlüsselung, Virenschutz und Passwortmanager und synchronisiert den Status jedes Geräts etwa alle 1,5 Stunden mit Kertos.
• Wer eigene Apps entwickelt, kommt mit den Gerätekontrollen nicht aus: A.8.25 bis A.8.29 regeln sicheren Entwicklungslebenszyklus, Sicherheitsanforderungen an Anwendungen, sichere Programmierung und Sicherheitstests.

‍

Mobile Device Management (MDM) ist das Tool, mit dem ein ISMS seine Geräteregeln in durchgesetzte Einstellungen übersetzt. ISO 27001 verlangt, dass Informationen auf jedem Laptop, Smartphone und Tablet mit Unternehmensdaten geschützt sind, und ein Auditor wird sich zeigen lassen, dass dieser Schutz auf jedem Gerät tatsächlich besteht. MDM setzt die Einstellungen zentral durch und erzeugt genau diesen Nachweis. Dieser Beitrag ordnet MDM den Controls der ISO 27001:2022 zu, beschreibt, was eine Richtlinie für mobile Endgeräte enthalten muss, und zeigt, wann eine schlankere Geräteprüfung genügt.

Was ist Mobile Device Management (MDM)?

Die Verwaltung mobiler Endgeräte besteht aus einer Reihe von Softwarelösungen und Strategien, einschließlich der Anwendungen und Konfigurationen auf den Endgeräten, der Unternehmensrichtlinien und der Backend-Infrastruktur. Es ermöglicht der IT-Abteilung die Automatisierung, Sicherung und Durchsetzung von Richtlinien für mobile Geräte, die mit dem Netzwerk eines Unternehmens verbunden sind, und vereinfacht so die IT-Verwaltung von Endbenutzergeräten.  

Die Wurzeln von MDM reichen bis in die frühen 2000er Jahre zurück, als die erste Welle mobiler Endgeräte, insbesondere die Einführung des ersten iPhones von Apple im Jahr 2007, den Unternehmensbereich erreichte. Der jüngste BYOD-Trend (Bring Your Own Device), der Unternehmen für Probleme mit Shadow IT anfällig gemacht hat, hat die Bedeutung des Mobile Device Management noch weiter erhöht.  

Hauptmerkmale und -komponenten des Mobile Device Management

• Überwachung der Endgeräte: In einem MDM-Programm werden jedem Mitarbeiter dedizierte Arbeitsgeräte zugewiesen. Auf diesen Geräten ist ein MDM-Agent installiert, der sie direkt mit dem MDM-Server verbindet. Der MDM-Server sammelt eine Vielzahl von Daten über die Geräte, einschließlich Echtzeit-GPS-Standort, Nutzungsstatistiken, Malware-Erkennung und Einhaltung der Unternehmens- und Branchenrichtlinien.

Jedes Mal, wenn ein unbefugter Zugriff versucht wird, nicht genehmigte Anwendungen installiert werden oder gegen Richtlinien verstoßen wird, löst der MDM-Agent einen Alarm aus, um die IT-Administratoren zu informieren. Die Geräteüberwachung wird auch in Notfällen nützlich, wenn ein Mitarbeiter ein Gerät verliert und Hilfe bei der Wiederbeschaffung benötigt.

• Durchsetzung von Richtlinien: Eine effektive MDM-Lösung ermöglicht es den Administratoren, Regeln festzulegen, die mit den Unternehmenszielen übereinstimmen. Diese Regeln stellen als Teil der Richtliniendurchsetzung sicher, dass mobile Endgeräte, die Teil des Unternehmensvermögens sind oder Zugriff auf sensible Daten haben, die Unternehmensrichtlinien einhalten.  

Zu diesen Richtlinien gehören die Verwaltung von Anwendungen, Netzwerken und Inhalten, die Implementierung von Sicherheitsmaßnahmen wie Kennwortrichtlinien, Remote-Löschungen und Sperrfunktionen, die Bereitstellung von Zugriffskontrollen entsprechend den Rollen und Zuständigkeiten sowie die Überwachung und Berichterstattung über die Einhaltung der Richtlinien.

• Software-Verteilung: Die MDM-Funktion zur Softwareverteilung ermöglicht es Administratoren, Anwendungen auf mobilen Endgeräten aus der Ferne bereitzustellen, zu aktualisieren und zu verwalten. Mobile Device Management ermöglicht die Integration mit App-Stores wie dem Apple App Store und dem Google Play Store sowie mit App-Stores von Unternehmen für die Verteilung und Aktualisierung von Anwendungen. Je nach Richtlinie können Administratoren die Installation von Anwendungen auf verwalteten Endgeräten aus der Ferne vorantreiben, entweder mit Zustimmung des Benutzers oder ohne dessen Zutun. Auf diese Weise wird sichergestellt, dass alle Anwendungen auf den verwalteten Endgeräten mit den aktuellen Versionen der Anwendungen arbeiten und bei Bedarf auf die vorherige Version zurückgesetzt werden können. Damit zahlt die Softwareverteilung direkt auf Control A.8.19 Installation von Software auf Produktivsystemen ein, das regelt, wer welche Software installieren darf, und Freigabe- oder Sperrlisten verlangt.

Mobile Device Management ist ein gutes Beispiel für ein Control, bei dem die Richtlinie nicht der entscheidende Punkt ist. Miriam Mindt, Information Security Expert, erklärt, welche Nachweise ein Auditor für ein Control erwartet und warum das Dokument nur der Anfang ist.

Verbindung zwischen MDM und ISO 27001

Da die Bedrohungen immer raffinierter werden, hat ISO/IEC im Jahr 2022 eine neue Version von ISO 27001 herausgegeben, die die Notwendigkeit widerspiegelt, mobile Endgeräte zu sichern und Richtlinien für ihre Nutzung zu entwickeln. Anhang A der ISO 27001:2022 umfasst 93 Controls in vier Themenbereichen: 37 organisatorische (A.5.1 bis A.5.37), 8 personenbezogene (A.6.1 bis A.6.8), 14 physische (A.7.1 bis A.7.14) und 34 technische (A.8.1 bis A.8.34). Bewährte Praktiken für das Mobile Device Management berühren die folgenden Klauseln und Controls.

Ein Hinweis für den Abgleich mit älteren Unterlagen: Die Nummerierung der Fassung von 2013, in der die Zugangssteuerung unter A.9 und die Kryptografie unter A.10 stand, gilt nicht mehr. Die Übergangsfrist endete am 31. Oktober 2025; Zertifikate auf Basis der alten Normfassung sind seitdem ungültig.

Die Tabelle fasst zusammen, welche MDM-Funktion welches Control stützt und was ein Auditor tatsächlich prüfen kann.

Richtlinien zur Informationssicherheit (Klausel 5.2 und Control A.5.1)

Klausel 5.2 der ISO 27001 verlangt von der obersten Leitung eines Unternehmens, eine Informationssicherheitspolitik zu erstellen.  Sie ist eines der ersten Dokumente, die ein Unternehmen beim Aufbau seines ISMS erstellen muss. Als Annex-A-Control heißt die dokumentierte Fassung A.5.1 Informationssicherheitsrichtlinien. Mit dieser Politik werden allen Mitarbeitern die Ziele und Auswirkungen der Informationssicherheit vermittelt. Wenn die Richtlinie formell kommuniziert wird, gibt sie eine klare Vision und Richtung vor und hilft jedem, die Ziele und den strategischen Ansatz des Unternehmens für die Informationssicherheit zu verstehen.

MDM-Lösungen ermöglichen es Unternehmen, sicherheitsrelevante Richtlinien zu erstellen, z. B. obligatorische Verschlüsselung, Passwortrichtlinien, Zugangskontrollen usw. Diese Richtlinien werden auf alle mobilen Endgeräte angewandt, um sicherzustellen, dass sie den Sicherheitsstandards des Unternehmens entsprechen. Mobile Device Management bietet einen zentralen Überblick über die Leistung aller Geräte und überwacht die Einhaltung der Unternehmensrichtlinien.

Es ermöglicht Unternehmen, die Sicherheitseinstellungen für alle mobilen Endgeräte von einer einzigen Plattform aus zu verwalten und sichere Konfigurationen auf problematischen Geräten durchzusetzen. Push-Benachrichtigungsfunktionen auf MDM-Plattformen ermöglichen es Unternehmen, Software-Updates auf Benutzergeräten direkt zu verwalten und alle Informationen als Benachrichtigung zu übermitteln, die für die Einhaltung der Best Practices durch die Benutzer wichtig sein könnte.

Endgeräte von Benutzern (Control A.8.1)

A.8.1 Endgeräte von Benutzern ist das Control, das in der Fassung von 2022 an die Stelle der früheren Richtlinie für mobile Geräte getreten ist. Es verlangt, dass Informationen geschützt werden, die auf Endgeräten gespeichert oder verarbeitet werden oder über sie erreichbar sind, unabhängig davon, ob das Gerät dem Unternehmen oder dem Mitarbeiter gehört. Damit ist es das Control, an dem sich eine MDM-Einführung am unmittelbarsten messen lässt.

Vier Dinge werden auf Endgeräten regelmäßig geprüft: Festplattenverschlüsselung, Bildschirmsperre, Passwortmanager und Virenschutz. Registrierung und Inventarisierung der Geräte, die Trennung geschäftlicher und privater Daten bei BYOD sowie das Fernlöschen verlorener Geräte kommen hinzu. Alle diese Einstellungen lassen sich über MDM zentral setzen und als Konfigurationsbericht ausgeben. Für einen Auditor ist die Richtlinie dabei nur der Anfang: Nachgewiesen werden muss der Zustand der Geräte, nicht das Dokument.

Zugangssteuerung (Controls A.5.15 bis A.5.18 und A.8.2 bis A.8.5)

Was die Fassung von 2013 als Kapitel A.9 mit 14 Controls führte, verteilt sich in ISO 27001:2022 auf neun Controls in zwei Themenbereichen: A.5.15 Zugangssteuerung, A.5.16 Identitätsmanagement, A.5.17 Authentisierungsinformationen und A.5.18 Zugangsrechte auf der organisatorischen Seite, dazu A.8.2 Privilegierte Zugangsrechte, A.8.3 Einschränkung des Informationszugangs, A.8.4 Zugang zum Quellcode, A.8.5 Sichere Authentisierung und A.8.18 Nutzung privilegierter Hilfsprogramme auf der technischen. Zu einem großen Teil davon trägt Mobile Device Management bei.

• Regeln festlegen (A.5.15): A.5.15 verlangt Regeln für den physischen und logischen Zugang, abgeleitet aus den Anforderungen des Unternehmens, dazu dokumentierte Rollen und Verantwortlichkeiten. MDM-Lösungen bilden diese Regeln als Richtlinien für Anwendungsverwaltung, Inhaltskontrolle und Zugriffsrechte ab und setzen sie auf dem Gerät durch.

• Identitäten und Rechte verwalten (A.5.16 und A.5.18): Der gesamte Lebenszyklus einer Identität, von der Einrichtung über die Änderung bis zum Entzug, gehört zu A.5.16, die Vergabe, Überprüfung und der Entzug der Zugangsrechte zu A.5.18. Prüfbar sind beide Seiten: die Liste aller Konten mit Zugriff auf eine Ressource samt Berechtigung, Zeitpunkt und vergebender Person, und die wiederkehrende Überprüfung, die Abweichungen von der rollenbasierten Vergabe aufdeckt.

• Authentisierung (A.5.17 und A.8.5): A.5.17 regelt die Vergabe und Verwaltung von Authentisierungsinformationen, also Passwörter, Token und Schlüssel; A.8.5 die sichere Anmeldung selbst. MDM erzwingt Passwortrichtlinien, Bildschirmsperren und Mehrfaktor-Authentisierung auf dem Gerät und informiert Benutzer über Benachrichtigungen zu ihren Pflichten.

• Zugang einschränken (A.8.2, A.8.3 und A.8.4): A.8.3 beschränkt den Zugang zu Informationen und Anwendungen auf das, was die Rolle erfordert, A.8.2 regelt privilegierte Konten gesondert und A.8.4 den Zugang zum Quellcode. Auf verwalteten Endgeräten setzen MDM-Plattformen diese Beschränkungen über Konfigurationsprofile, App-Freigaben und Containerisierung durch.

Einsatz von Kryptografie (Control A.8.24)

A.8.24 Einsatz von Kryptografie fasst zusammen, was die Fassung von 2013 auf zwei Controls verteilt hatte: die Richtlinie zum Einsatz kryptografischer Maßnahmen und die Schlüsselverwaltung. Ziel ist es, wirksame kryptografische und Verschlüsselungskontrollen einzurichten, um die Vertraulichkeit, Authentizität und Integrität von Geschäftsinformationen zu gewährleisten. Die Erstellung von Richtlinien für die Verwendung von Verschlüsselung hilft bei der Identifizierung von Geschäftsanforderungen, bei denen die Implementierung von Verschlüsselung unerlässlich sein kann.

Es ist wichtig, die richtigen Verschlüsselungstechnologien und -techniken auszuwählen; andernfalls kann eine schlechte Auswahl und Verwaltung von kryptografischem Material (z. B. Schlüssel und Zertifikate) selbst zu Schwachstellen im System führen. Oft ist die Verwaltung des Schlüsselmaterials die schwächste Stelle, so dass robuste und sichere Prozesse rund um das Schlüsselmaterial, von der Erstellung, Verteilung, Änderung, Sicherung und Speicherung bis hin zur Vernichtung, für die Aufrechterhaltung der Sicherheit des Systems entscheidend sind.

Mobile Device Management (MDM) ermöglicht es Unternehmen, die Verschlüsselung von mobilen Endgeräten zu erzwingen. Dazu gehören die obligatorische Verschlüsselung von Daten im Ruhezustand und bei der Übertragung sowie die Konfiguration von Geräten mit vom Unternehmen genehmigten kryptografischen Standards. Eine gute MDM-Lösung bietet Konfigurationsoptionen für FileVault, das den gesamten Inhalt der Festplatte eines Macs mit Verschlüsselungsmethoden wie XTS-AES-128 verschlüsselt.

Die sichere Verwaltung von kryptografischen Schlüsseln gewährleistet eine kontrollierte Erstellung, Verteilung und Speicherung.  Mit der Escrowing-Key-Funktion ist es selbst bei Verlust oder Vergessen des Primärschlüssels möglich, Daten mit dem verfügbaren Wiederherstellungsschlüssel zu entschlüsseln.

Was eine Richtlinie für mobile Endgeräte nach ISO 27001 enthalten sollte

Ein eigenständiges Control für eine Mobilgeräte-Richtlinie gibt es in der ISO 27001:2022 nicht mehr. A.8.1 verlangt eine themenspezifische Richtlinie für Endgeräte von Benutzern, die allen Nutzern bekannt gemacht wird. Die meisten Unternehmen schreiben sie als kurzes Dokument, das das MDM anschließend durchsetzt. Die Leitlinie ISO/IEC 27002 nennt die Themen, die sie abdecken sollte. Eine praxistaugliche Richtlinie beantwortet diese Fragen:

• Welche Gerätetypen sind erlaubt, und wer trägt sie ins Inventar ein?
• Welche Einstellungen sind Pflicht: Festplattenverschlüsselung, Bildschirmsperre, Betriebssystem-Updates innerhalb einer festen Frist und Virenschutz?
• Welche Software darf installiert werden, und wer genehmigt Ausnahmen (A.8.19)?
• Wie verbinden sich Geräte mit Unternehmensdiensten und öffentlichen Netzen?
• Was passiert mit einem verlorenen oder gestohlenen Gerät: Meldefrist, Fernsperrung und Löschung?
• Wie werden geschäftliche und private Daten auf privaten Geräten (BYOD) getrennt, und was darf das Unternehmen sehen?
• Was passiert mit Gerät und Daten, wenn ein Mitarbeiter das Unternehmen verlässt?

Der häufigste Fehler ist, die Richtlinie zu schreiben und dort aufzuhören. Wie das Video oben zeigt, ist die Richtlinie nur der Anfang; geprüft wird per Stichprobe, ob die Geräte ihr tatsächlich entsprechen. Deshalb sollten Richtlinie und MDM-Konfiguration Zeile für Zeile dasselbe sagen.

ISO 27001 für mobile Anwendungen

Entwickelt Ihr Unternehmen eigene Apps, beantwortet das Gerätemanagement nur die Hälfte der Frage. Die App selbst fällt unter die Entwicklungs-Controls des Annex A, A.8.25 bis A.8.29: sicherer Entwicklungslebenszyklus, Sicherheitsanforderungen an Anwendungen, sichere Systemarchitektur, sichere Programmierung und Sicherheitstests vor der Abnahme. In der Praxis heißt das: dokumentierte Sicherheitsanforderungen je App, Code-Reviews und Abhängigkeitsprüfungen in der Build-Pipeline und Sicherheitstests vor jedem Release, mit Aufzeichnungen, die ein Auditor stichprobenartig prüfen kann.

Nutzen Sie auf Firmengeräten nur Apps von Drittanbietern, sind A.8.19 für die Frage, welche Apps installiert werden dürfen, und A.5.23 für die dahinterliegenden Cloud-Dienste maßgeblich. Unternehmen, die gar keine Software entwickeln, können A.8.25 bis A.8.31 in der Erklärung zur Anwendbarkeit in der Regel begründet ausschließen, solange das zum tatsächlichen Geschäft passt.

MDM oder Kertos Device Monitor: was Sie brauchen

Nicht jedes Unternehmen braucht ein vollständiges MDM, um die Endgeräte-Prüfung zu bestehen. Ein MDM verwaltet Geräte: Es verteilt Konfigurationen, installiert Software und kann ein Gerät aus der Ferne sperren oder löschen. Eine Geräteprüfung liest nur den Zustand eines Geräts aus und meldet, ob es konform ist. Für ein Unternehmen mit 30 Personen und firmeneigenen Macs reicht eine reine Leseprüfung oft aus, um A.8.1 nachzuweisen. Sobald Sie Fernlöschung, App-Verteilung oder BYOD-Trennung brauchen, brauchen Sie ein MDM.

Der Kertos Device Monitor ist diese Leseprüfung. Mitarbeiter installieren ihn aus ihrem Kertos-Dashboard mit einem unternehmensweiten Schlüssel; er meldet Gerätebesitzer, Betriebssystemversion, Festplattenverschlüsselung, Virenschutz und Passwortmanager. Passwörter, E-Mails oder den Browserverlauf erfasst er nicht. Der Status wird etwa alle 1,5 Stunden mit Kertos synchronisiert und erscheint auf den Seiten Assets und Users als konform oder nicht konform. Der Device Monitor läuft derzeit auf macOS. Kertos ist außerdem an Microsoft Intune angebunden; Unternehmen, die ein MDM anbinden, verwalten ihre Geräte stattdessen über das MDM.

Wie Kertos und Deeploi die Endgeräte-Controls abdecken

Kertos deckt das ISMS rund um die Geräte ab: die Endgeräte-Richtlinie, die Risikobewertung, die Erklärung zur Anwendbarkeit und den Nachweis, dass die Controls wirken, zusammen mit zertifizierten Experten, die Sie durch das Audit begleiten. Der Device Monitor oder die Intune-Anbindung spielt den Gerätestatus in dieselbe Plattform ein, sodass der Nachweis für A.8.1 direkt neben dem Control liegt, das er belegt. Wie der gesamte Weg vom Scope bis zum Zertifikat abläuft, beschreibt unser Leitfaden zur ISO-27001-Zertifizierung.

Für Unternehmen ohne eigene IT-Abteilung arbeitet Kertos mit Deeploi zusammen, einer Münchner IT-Management-Plattform für kleine und mittlere Unternehmen, die Gerätemanagement, Onboarding und Offboarding übernimmt. Deeploi betreibt die Geräte; Kertos macht aus ihrem Zustand ISO-27001-Nachweise.

Buchen Sie eine Demo, und wir zeigen Ihnen, wie die Gerätenachweise in Ihr ISMS fließen.

Häufig gestellte Fragen

Schreibt ISO 27001 ein Mobile Device Management vor?

Nein. ISO 27001 nennt kein Tool; A.8.1 verlangt, dass Informationen auf Endgeräten von Benutzern geschützt sind und Sie das nachweisen können. Ab mehr als einer Handvoll Geräte ist MDM der praktische Weg dorthin, für eine kleine Flotte firmeneigener Geräte kann eine reine Geräteprüfung genügen.

Welches ISO-27001-Control regelt mobile Endgeräte?

In der ISO 27001:2022 ist es A.8.1 Endgeräte von Benutzern, das A.6.2.1 Richtlinie zu Mobilgeräten aus der Fassung von 2013 abgelöst hat. Dazu kommen A.5.15 bis A.5.18 und A.8.2 bis A.8.5 für den Zugang, A.8.19 für die Softwareinstallation und A.8.24 für die Verschlüsselung.

Was gehört in eine Richtlinie für mobile Endgeräte?

Erlaubte Gerätetypen und ihre Registrierung, Pflichteinstellungen wie Verschlüsselung, Bildschirmsperre, Updates und Virenschutz, Regeln für Softwareinstallation und Netzverbindungen, das Vorgehen bei verlorenen Geräten einschließlich Fernlöschung, BYOD-Regeln und der Umgang mit dem Gerät, wenn ein Mitarbeiter geht.

Wie setze ich ISO 27001 für mobile Apps um?

Entwickeln Sie die Apps selbst, gelten A.8.25 bis A.8.29: Sicherheitsanforderungen, ein sicherer Entwicklungslebenszyklus, sichere Programmierung und Sicherheitstests vor dem Release, jeweils mit Aufzeichnungen. Nutzen Sie nur Apps von Drittanbietern, steuern Sie, welche Apps installiert werden dürfen (A.8.19), und bewerten Sie die dahinterliegenden Cloud-Dienste (A.5.23).

Ist BYOD nach ISO 27001 erlaubt?

Ja. A.8.1 umfasst private Geräte von Mitarbeitern ebenso wie Firmengeräte. Sie brauchen Regeln für die Trennung geschäftlicher und privater Daten, dafür, worauf das Unternehmen zugreifen darf, und für das Entfernen von Unternehmensdaten bei Verlust des Geräts oder Austritt des Mitarbeiters; ein MDM-Arbeitsprofil leistet diese Trennung in der Regel.