Das neue Firmenhandy ist eingerichtet, die erste geschäftliche Nachricht kommt an und am liebsten würdest du gleich deine gewohnten Apps installieren. Dass der Arbeitgeber die Rechnung bezahlt, macht das Gerät allerdings noch nicht zur Außenstelle deiner privaten App-Sammlung.
Auf einem Diensthandy kommen häufig Kundendaten, interne Nachrichten und Zugänge zu Firmenkonten zusammen. Wer das Smartphone sicher nutzen möchte, muss deshalb wissen, welche Einstellungen und Anwendungen erlaubt sind. Diese sieben Regeln helfen dir beim Start und schützen vor Fehlern, die sich später nur mühsam rückgängig machen lassen.
Bild: Wer ein Firmenhandy bekommt, sollte die Sicherheitsregeln des Arbeitgebers kennen. Sichere Zugänge, freigegebene Apps und der richtige Umgang mit WLAN helfen, Firmendaten zu schützen.
Bevor du private Konten einrichtest, solltest du die Nutzungsvereinbarung oder IT-Richtlinie deiner Firma lesen. Darin sollte stehen, ob du das Diensthandy privat verwenden darfst und welche Einschränkungen gelten. Ist das unklar, lass dir die Erlaubnis und ihren Umfang möglichst schriftlich bestätigen. Dass Kollegen auf ihrem Gerät private Apps haben, beantwortet diese Frage für dich noch nicht.
Arbeitgeber können innerhalb der rechtlichen Grenzen Vorgaben für die Nutzung betrieblicher Arbeitsmittel machen. Arbeitsvertrag, Betriebsvereinbarungen und gesetzliche Bestimmungen setzen dabei den Rahmen. Werden personenbezogene Daten verarbeitet, verlangt außerdem Artikel 32 der Datenschutz-Grundverordnung einen angemessenen technischen und organisatorischen Schutz. Der Gerätepreis ist dafür nicht ausschlaggebend: Auch ein günstiges Smartphone kann vertrauliche Daten enthalten.
Frage bei der Übergabe nach deinem Ansprechpartner für technische Probleme. Lass dir auch erklären, ob das Handy zentral verwaltet wird und welche Daten die Geräteverwaltung erfassen kann. Solche Systeme können beispielsweise Einstellungen vorgeben und Arbeits-Apps bereitstellen. Entferne ein eingerichtetes Verwaltungsprofil nicht eigenmächtig.
Eine wirksame Gerätesperre gehört zur Grundausstattung. Verwende den von deiner Firma geforderten Code und ergänze Fingerabdruck oder Gesichtserkennung, wenn diese freigegeben sind. Der Gerätecode bleibt trotzdem wichtig, etwa nach einem Neustart.
Prüfe außerdem diese 3 Punkte:
Für Firmenkonten solltest du die vorgesehene Mehrfaktor-Authentifizierung vollständig einrichten. Dabei kommt zur Anmeldung ein zusätzlicher Nachweis hinzu, beispielsweise eine Bestätigung in einer Authenticator-App. Bestätige ausschließlich Anmeldungen, die du selbst gerade gestartet hast, und gib Bestätigungscodes nicht weiter.
Wie die verschiedenen Verfahren funktionieren, erklärt unser Ratgeber zu Zwei-Faktor-Authentifizierung und sicheren Logins am Smartphone. Für geschäftliche Zugänge verwendest du die von deiner IT freigegebene Methode.
Bevor du mit dem Firmenhandy im Hotel oder Café auf geschäftliche Daten zugreifst, solltest du die Vorgaben deiner IT-Abteilung kennen. Ein zentral verwaltetes VPN für Unternehmen kann die Verbindung verschlüsseln und den Zugriff auf freigegebene Dienste absichern. Nutze dafür die vorgesehene Lösung und ändere ihre Einstellungen nicht eigenmächtig.
Ein öffentliches WLAN bedeutet nicht automatisch, dass andere Gäste deine Nachrichten mitlesen können. Viele Apps und Webseiten verschlüsseln ihre Übertragungen bereits. Trotzdem können gefälschte Hotspots, manipulierte Anmeldeseiten oder unverschlüsselte Verbindungen Probleme verursachen. Prüfe den Netzwerknamen beim Betreiber und ignoriere keine Zertifikatswarnungen.
Wenn das WLAN eine unbekannte App, ein Zertifikat oder ein zusätzliches Geräteprofil installieren möchte, brich den Vorgang ab und frage bei deiner IT nach. Funktioniert der vorgesehene Zugang nicht, sind mobile Daten eine mögliche Alternative, sofern Tarif und Firmenrichtlinie das erlauben. Ein vorgeschriebenes VPN kann auch dabei erforderlich bleiben.
Die VPN-Verbindung schützt zudem nicht vor jedem Fehlgriff: Wer sein Passwort auf einer gefälschten Seite eingibt, gibt es auch durch einen verschlüsselten Tunnel an den falschen Empfänger weiter.
Updates beheben Fehler und schließen bekannte Sicherheitslücken. Das betrifft sowohl Android beziehungsweise iOS als auch installierte Apps. Auch das BSI empfiehlt in seinen Hinweisen zum Schutz von Smartphones und Tablets, Aktualisierungen zeitnah einzuspielen. Die Schaltfläche Später hat bisher leider noch keine Sicherheitslücke geschlossen.
Bei einem verwalteten Firmenhandy kann die IT festlegen, wann Updates bereitstehen und installiert werden. Halte dich an diese Freigaben und Fristen. Sorge für ausreichend Akku, freien Speicher und die vorgesehene Internetverbindung. Plane auch einen nötigen Neustart ein.
Scheitert eine Installation wiederholt oder bleibt das Gerät längere Zeit ohne Sicherheitsupdates, melde das Problem. Installiere keine Testversionen des Betriebssystems und versuche nicht, eine zentrale Update-Steuerung zu umgehen.
Die Erlaubnis zur privaten Nutzung bedeutet nicht automatisch, dass jede App auf dem Diensthandy erlaubt ist. Manche Firmen stellen einen eigenen App-Katalog bereit, andere geben bestimmte Anwendungen und Bezugsquellen frei. Benötigst du eine zusätzliche App für deine Arbeit, frage nach dem vorgesehenen Freigabeweg.
Achte bei der Einrichtung darauf, welche Zugriffe verlangt werden. Eine Scanner-App braucht möglicherweise die Kamera. Möchte sie zusätzlich dein gesamtes Adressbuch kennenlernen, ist sie für ein Blatt Papier erstaunlich kontaktfreudig.
Verweigere unnötige Zugriffe, soweit die Firmenkonfiguration das zulässt. Bei verwalteten Arbeits-Apps klärst du unverständliche Berechtigungen mit der IT, bevor du Einstellungen änderst. Auch eine App aus einem offiziellen Store ist dadurch noch nicht für vertrauliche Geschäftsdaten freigegeben.
Auf Android macht der grüne Punkt für Kamera- und Mikrofonzugriffe solche Aktivitäten sichtbar. Erscheint er unerwartet, kannst du prüfen, welche Anwendung ihn auslöst. Die Anzeige allein ist allerdings kein Beweis für eine heimliche Überwachung.
Du fotografierst ein Dokument für einen Kunden und wenige Sekunden später liegt es in deiner privaten Cloud. Dafür braucht es keinen Angriff: Eine aktivierte Fotosicherung kann ausreichen. Prüfe deshalb vor der ersten geschäftlichen Aufnahme, welche Anwendung dafür vorgesehen ist und wohin sie die Datei speichert.
Nutze für Arbeitsunterlagen die freigegebenen Firmenkonten und Speicherorte. Leite Dokumente nicht aus Bequemlichkeit an deine private E-Mail-Adresse weiter und lade sie nicht ohne Freigabe in private Messenger, Übersetzungsdienste oder KI-Apps hoch.
Ein Android-Arbeitsprofil trennt geschäftliche Apps und Daten vom privaten Bereich; die Arbeits-Apps erkennst du üblicherweise am Aktentaschensymbol. Auf verwalteten iPhones können ebenfalls Regeln festlegen, zwischen welchen Apps Dateien ausgetauscht und welche Daten gesichert werden dürfen. Die Möglichkeiten hängen von der Einrichtung ab.
Wenn sich eine Datei nicht in deine private App kopieren lässt, kann das also eine beabsichtigte Schutzfunktion sein. Frage nach einer freigegebenen Lösung, statt die Sperre über Screenshots oder einen anderen Übertragungsweg zu umgehen.
Ein verschwundenes Diensthandy, eingegebene Zugangsdaten auf einer verdächtigen Webseite oder eine versehentlich bestätigte Anmeldung gehören sofort zur zuständigen IT- oder Sicherheitsstelle. Warte nicht darauf, ob sich bereits ein Schaden bemerkbar macht.
Damit die Firma schnell reagieren kann, sind 3 Schritte hilfreich:
Setze ein auffälliges Smartphone nicht auf eigene Faust zurück und lösche verdächtige Nachrichten nicht vorschnell. Solche Eingriffe können Informationen beseitigen, die bei der Untersuchung helfen. Folge stattdessen dem Notfallplan deiner Firma.
Speichere die Kontaktdaten der zuständigen Stelle auch außerhalb des Diensthandys. Bei einem Geräteverlust sollte nicht ausgerechnet die einzige erreichbare Hilfestelle mit verschwunden sein.
Lass dir beim Empfang des Geräts die wichtigsten Einstellungen und den vorgesehenen Umgang mit Arbeitsdateien zeigen. Wenn etwas fehlt oder unverständlich bleibt, ist die Übergabe der passende Moment zum Nachfragen.
Bei einem späteren Gerätewechsel solltest du außerdem rechtzeitig klären, wie Firmenkonten, Anmeldebestätigungen und gegebenenfalls erlaubte private Daten übertragen werden. So bleibt dein Diensthandy vom ersten Einschalten bis zur Rückgabe ein verlässlich nutzbares Arbeitsmittel.
Auf einem Diensthandy kommen häufig Kundendaten, interne Nachrichten und Zugänge zu Firmenkonten zusammen. Wer das Smartphone sicher nutzen möchte, muss deshalb wissen, welche Einstellungen und Anwendungen erlaubt sind. Diese sieben Regeln helfen dir beim Start und schützen vor Fehlern, die sich später nur mühsam rückgängig machen lassen.
Bild: Wer ein Firmenhandy bekommt, sollte die Sicherheitsregeln des Arbeitgebers kennen. Sichere Zugänge, freigegebene Apps und der richtige Umgang mit WLAN helfen, Firmendaten zu schützen.
1. Kläre, was auf deinem Firmenhandy erlaubt ist
Bevor du private Konten einrichtest, solltest du die Nutzungsvereinbarung oder IT-Richtlinie deiner Firma lesen. Darin sollte stehen, ob du das Diensthandy privat verwenden darfst und welche Einschränkungen gelten. Ist das unklar, lass dir die Erlaubnis und ihren Umfang möglichst schriftlich bestätigen. Dass Kollegen auf ihrem Gerät private Apps haben, beantwortet diese Frage für dich noch nicht.
Arbeitgeber können innerhalb der rechtlichen Grenzen Vorgaben für die Nutzung betrieblicher Arbeitsmittel machen. Arbeitsvertrag, Betriebsvereinbarungen und gesetzliche Bestimmungen setzen dabei den Rahmen. Werden personenbezogene Daten verarbeitet, verlangt außerdem Artikel 32 der Datenschutz-Grundverordnung einen angemessenen technischen und organisatorischen Schutz. Der Gerätepreis ist dafür nicht ausschlaggebend: Auch ein günstiges Smartphone kann vertrauliche Daten enthalten.
Frage bei der Übergabe nach deinem Ansprechpartner für technische Probleme. Lass dir auch erklären, ob das Handy zentral verwaltet wird und welche Daten die Geräteverwaltung erfassen kann. Solche Systeme können beispielsweise Einstellungen vorgeben und Arbeits-Apps bereitstellen. Entferne ein eingerichtetes Verwaltungsprofil nicht eigenmächtig.
2. Schütze das Handy und deine Firmenkonten vor fremdem Zugriff
Eine wirksame Gerätesperre gehört zur Grundausstattung. Verwende den von deiner Firma geforderten Code und ergänze Fingerabdruck oder Gesichtserkennung, wenn diese freigegeben sind. Der Gerätecode bleibt trotzdem wichtig, etwa nach einem Neustart.
Prüfe außerdem diese 3 Punkte:
- Das Display sperrt sich nach der vorgesehenen Zeit automatisch.
- Vertrauliche Nachrichteninhalte bleiben auf dem Sperrbildschirm verborgen.
- Du sperrst das Handy auch manuell, bevor du es unbeaufsichtigt ablegst.
Für Firmenkonten solltest du die vorgesehene Mehrfaktor-Authentifizierung vollständig einrichten. Dabei kommt zur Anmeldung ein zusätzlicher Nachweis hinzu, beispielsweise eine Bestätigung in einer Authenticator-App. Bestätige ausschließlich Anmeldungen, die du selbst gerade gestartet hast, und gib Bestätigungscodes nicht weiter.
Wie die verschiedenen Verfahren funktionieren, erklärt unser Ratgeber zu Zwei-Faktor-Authentifizierung und sicheren Logins am Smartphone. Für geschäftliche Zugänge verwendest du die von deiner IT freigegebene Methode.
3. Beachte bei WLAN und VPN die Vorgaben deiner IT
Bevor du mit dem Firmenhandy im Hotel oder Café auf geschäftliche Daten zugreifst, solltest du die Vorgaben deiner IT-Abteilung kennen. Ein zentral verwaltetes VPN für Unternehmen kann die Verbindung verschlüsseln und den Zugriff auf freigegebene Dienste absichern. Nutze dafür die vorgesehene Lösung und ändere ihre Einstellungen nicht eigenmächtig.
Ein öffentliches WLAN bedeutet nicht automatisch, dass andere Gäste deine Nachrichten mitlesen können. Viele Apps und Webseiten verschlüsseln ihre Übertragungen bereits. Trotzdem können gefälschte Hotspots, manipulierte Anmeldeseiten oder unverschlüsselte Verbindungen Probleme verursachen. Prüfe den Netzwerknamen beim Betreiber und ignoriere keine Zertifikatswarnungen.
Wenn das WLAN eine unbekannte App, ein Zertifikat oder ein zusätzliches Geräteprofil installieren möchte, brich den Vorgang ab und frage bei deiner IT nach. Funktioniert der vorgesehene Zugang nicht, sind mobile Daten eine mögliche Alternative, sofern Tarif und Firmenrichtlinie das erlauben. Ein vorgeschriebenes VPN kann auch dabei erforderlich bleiben.
Die VPN-Verbindung schützt zudem nicht vor jedem Fehlgriff: Wer sein Passwort auf einer gefälschten Seite eingibt, gibt es auch durch einen verschlüsselten Tunnel an den falschen Empfänger weiter.
4. Spiele Sicherheitsupdates rechtzeitig ein
Updates beheben Fehler und schließen bekannte Sicherheitslücken. Das betrifft sowohl Android beziehungsweise iOS als auch installierte Apps. Auch das BSI empfiehlt in seinen Hinweisen zum Schutz von Smartphones und Tablets, Aktualisierungen zeitnah einzuspielen. Die Schaltfläche Später hat bisher leider noch keine Sicherheitslücke geschlossen.
Bei einem verwalteten Firmenhandy kann die IT festlegen, wann Updates bereitstehen und installiert werden. Halte dich an diese Freigaben und Fristen. Sorge für ausreichend Akku, freien Speicher und die vorgesehene Internetverbindung. Plane auch einen nötigen Neustart ein.
Scheitert eine Installation wiederholt oder bleibt das Gerät längere Zeit ohne Sicherheitsupdates, melde das Problem. Installiere keine Testversionen des Betriebssystems und versuche nicht, eine zentrale Update-Steuerung zu umgehen.
5. Installiere nur freigegebene Apps und prüfe ihre Berechtigungen
Die Erlaubnis zur privaten Nutzung bedeutet nicht automatisch, dass jede App auf dem Diensthandy erlaubt ist. Manche Firmen stellen einen eigenen App-Katalog bereit, andere geben bestimmte Anwendungen und Bezugsquellen frei. Benötigst du eine zusätzliche App für deine Arbeit, frage nach dem vorgesehenen Freigabeweg.
Achte bei der Einrichtung darauf, welche Zugriffe verlangt werden. Eine Scanner-App braucht möglicherweise die Kamera. Möchte sie zusätzlich dein gesamtes Adressbuch kennenlernen, ist sie für ein Blatt Papier erstaunlich kontaktfreudig.
Verweigere unnötige Zugriffe, soweit die Firmenkonfiguration das zulässt. Bei verwalteten Arbeits-Apps klärst du unverständliche Berechtigungen mit der IT, bevor du Einstellungen änderst. Auch eine App aus einem offiziellen Store ist dadurch noch nicht für vertrauliche Geschäftsdaten freigegeben.
Auf Android macht der grüne Punkt für Kamera- und Mikrofonzugriffe solche Aktivitäten sichtbar. Erscheint er unerwartet, kannst du prüfen, welche Anwendung ihn auslöst. Die Anzeige allein ist allerdings kein Beweis für eine heimliche Überwachung.
6. Halte Firmendaten aus privaten Clouds und Backups heraus
Du fotografierst ein Dokument für einen Kunden und wenige Sekunden später liegt es in deiner privaten Cloud. Dafür braucht es keinen Angriff: Eine aktivierte Fotosicherung kann ausreichen. Prüfe deshalb vor der ersten geschäftlichen Aufnahme, welche Anwendung dafür vorgesehen ist und wohin sie die Datei speichert.
Nutze für Arbeitsunterlagen die freigegebenen Firmenkonten und Speicherorte. Leite Dokumente nicht aus Bequemlichkeit an deine private E-Mail-Adresse weiter und lade sie nicht ohne Freigabe in private Messenger, Übersetzungsdienste oder KI-Apps hoch.
Ein Android-Arbeitsprofil trennt geschäftliche Apps und Daten vom privaten Bereich; die Arbeits-Apps erkennst du üblicherweise am Aktentaschensymbol. Auf verwalteten iPhones können ebenfalls Regeln festlegen, zwischen welchen Apps Dateien ausgetauscht und welche Daten gesichert werden dürfen. Die Möglichkeiten hängen von der Einrichtung ab.
Wenn sich eine Datei nicht in deine private App kopieren lässt, kann das also eine beabsichtigte Schutzfunktion sein. Frage nach einer freigegebenen Lösung, statt die Sperre über Screenshots oder einen anderen Übertragungsweg zu umgehen.
7. Melde Verlust und verdächtige Vorgänge sofort
Ein verschwundenes Diensthandy, eingegebene Zugangsdaten auf einer verdächtigen Webseite oder eine versehentlich bestätigte Anmeldung gehören sofort zur zuständigen IT- oder Sicherheitsstelle. Warte nicht darauf, ob sich bereits ein Schaden bemerkbar macht.
Damit die Firma schnell reagieren kann, sind 3 Schritte hilfreich:
- Kontaktiere die vorgesehene Notfallstelle, bei einem verlorenen Handy über ein anderes Gerät.
- Beschreibe, was passiert ist und wann. Nenne beispielsweise den letzten bekannten Aufenthaltsort oder die betroffene App.
- Stimme die nächsten Maßnahmen ab. Je nach Vorfall können Gerätesperrung, SIM-Sperre, das Sperren von Kontozugängen oder eine Fernlöschung erforderlich sein.
Setze ein auffälliges Smartphone nicht auf eigene Faust zurück und lösche verdächtige Nachrichten nicht vorschnell. Solche Eingriffe können Informationen beseitigen, die bei der Untersuchung helfen. Folge stattdessen dem Notfallplan deiner Firma.
Speichere die Kontaktdaten der zuständigen Stelle auch außerhalb des Diensthandys. Bei einem Geräteverlust sollte nicht ausgerechnet die einzige erreichbare Hilfestelle mit verschwunden sein.
Firmenhandy von Anfang an sicher nutzen
Lass dir beim Empfang des Geräts die wichtigsten Einstellungen und den vorgesehenen Umgang mit Arbeitsdateien zeigen. Wenn etwas fehlt oder unverständlich bleibt, ist die Übergabe der passende Moment zum Nachfragen.
Bei einem späteren Gerätewechsel solltest du außerdem rechtzeitig klären, wie Firmenkonten, Anmeldebestätigungen und gegebenenfalls erlaubte private Daten übertragen werden. So bleibt dein Diensthandy vom ersten Einschalten bis zur Rückgabe ein verlässlich nutzbares Arbeitsmittel.