Mindeststandard BSI: Mobile Device Management

In den letzten Jahren haben Smartphones, Phablets und Tablets vermehrt Einzug in die Geschäftswelt gehalten. Auch in der Bundesverwaltung besteht ein erhöhter Bedarf zur Nutzung mobiler Endgeräte, der auch die Speicherung und Verarbeitung sensibler Informationen umfasst. Aufgrund von Art und Umfang der anfallenden Daten können daher vielfältige Bedrohungen und Risiken entstehen. Aber auch die Komplexität – verursacht durch eine Vielzahl von installierten Applikationen und zahlreichen Ökosystemen - bildet einen entscheidenden Einflussfaktor für die potenzielle Bedrohungslage. Dieser muss auch mit technischen Hilfsmitteln begegnet werden.

Mithilfe von Systemen für Mobile Device Management (MDM) können mobile Endgeräte in die IT-Infrastruktur einer Stelle des Bundes integriert und zentral verwaltet werden. Mit Blick auf die Sicherheit ist die Kernfunktion des MDM-Systems die wirksame Durchsetzung definierter Sicherheitsrichtlinien und Konfigurationsparameter auf die mobilen Endgeräte. Der Mindeststandard definiert daher funktionale und nicht-funktionale Mindestsicherheitsanforderungen, die ein MDM-System zu erfüllen hat, wenn es in einer Stelle des Bundes eingesetzt werden soll. Diese können somit bereits im Rahmen eines Vergabeverfahrens herangezogen werden.

Darüber hinaus stellt der Mindeststandard auch Sicherheitsanforderungen an den Betrieb des MDM. Durch die Umsetzung sowohl technischer als auch organisatorischer Maßnahmen ermöglicht der Mindeststandard die Erreichung eines Mindestsicherheitsniveaus beim Einsatz eines MDM.

Aktualisierung September 2022:

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Mindeststandard für Mobile Device Management (MDM) in der neuen Version 2.0 veröffentlicht. Dieser macht klare Vorgaben zur sicheren Integration und zentralen Verwaltung mobiler Endgeräte in der IT-Infrastruktur der Bundesverwaltung. Die aktualisierte Fassung wurde umfassend überarbeitet sowie an das aktuelle IT-Grundschutz-Kompendium (Edition 2022) mitsamt Referenztabelle angepasst. Diese berücksichtigt die im Mindeststandard erwähnten IT-Grundschutz-Bausteine.

Die Struktur des neuen Mindeststandards wurde von Grund auf neugestaltet: Sicherheitsanforderungen sind nach Themen anstatt wie bisher nach Adressat sortiert. Analog zum IT-Grundschutz-Kompendium werden Modal-Verben in den Sicherheitsanforderungen durchgängig genutzt. Außerdem sind die Sicherheitsanforderungen stärker mit den Bausteinen des IT-Grundschutz-Kompendiums verzahnt. Dies gilt besonders für die IT-Grundschutzbausteine SYS.3.2.2 "Mobile Device Management" sowie SYS.3.2.1 "Allgemeine Smartphones und Tablets". Viele Sicherheitsanforderungen wurden darüber hinaus aktualisiert und mit dem kürzlich veröffentlichten Common-Criteria-Schutzprofil für Mobile Device Management - Trusted Server abgeglichen. Zu den Themen Strategie, Arbeitsweise des MDMs, Vertrauenswürdige Kommunikation, Sichere Konfiguration der mobilen Endgeräte und Betriebsprozesse wurden neue Sicherheitsanforderungen erarbeitet.

Die vorgenommenen Anpassungen werden in der Änderungsübersicht zum Mindeststandard für Mobile Device Management aufgelistet.

Mindeststandard des BSI für Mobile Device Management
nach § 8 Absatz 1 Satz 1 BSIG – Version 2.0 vom 05.09.2022:

© 2022
Bundesamt für Sicherheit in der Informationstechnik
Postfach 20 03 63
53133 Bonn

verinice Mindeststandard Mobile Device Management: