Apple-Geräte nach revDSG und DSGVO: Pflichten, Maßnahmen, Nachweise

Welche Regeln für Sie gelten

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG, oft auch nDSG genannt). Die Datenschutzverordnung (DSV) konkretisiert die Anforderungen an die Datensicherheit.

In der EU gilt die Datenschutz-Grundverordnung (DSGVO). Sie betrifft auch Schweizer Unternehmen, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Art. 3 Abs. 2 DSGVO). Viele Firmen in Basel, Zürich oder mit deutschen Tochtergesellschaften arbeiten deshalb mit beiden Regelwerken.

Maßnahmen nach Risiko wählen

Beide Gesetze verlangen Maßnahmen, die dem Risiko angemessen sind. Für Laptops und Smartphones haben sich diese Grundlagen bewährt, und mit einem MDM setzen Sie sie für alle Geräte gleich durch:

• Verschlüsselung: FileVault auf jedem Mac, auf iPhone und iPad ist die Datenverschlüsselung mit gesetztem Code aktiv. Wiederherstellungsschlüssel liegen im MDM, nicht bei der Person.
• Updates: Betriebssystem und Apps werden zeitnah aktualisiert, mit Fristen statt freiwilliger Hinweise.
• Bildschirmsperre und Anmeldung: Code-Pflicht, automatische Sperre und starke Anmeldung, idealerweise mit Zwei-Faktor über Ihren Identitätsanbieter.
• Zugriffsrechte: keine Administratorrechte im Alltag, Firmendaten nur in verwalteten Apps und Konten.
• Fernlöschung: Verlorene Geräte lassen sich sperren und löschen.
• Getrennte Daten bei privaten Geräten: Bei BYOD trennt die kontobasierte Registrierung Firmen- und Privatdaten.

Brauchbare Nachweise aufbewahren

Im Ernstfall reicht es nicht, Maßnahmen zu haben. Sie müssen zeigen können, dass sie zum Zeitpunkt des Vorfalls wirksam waren. Ein MDM liefert dafür die Belege:

• Geräteliste mit Seriennummer, Nutzerin und Zuweisung
• Verschlüsselungsstatus und Zeitpunkt der letzten Prüfung pro Gerät
• Betriebssystemversion und Patchstand
• Protokoll der Sperr- und Löschbefehle
• Dokumentierte Richtlinien und deren Änderungen

Ein Plan für verlorene Geräte

1. Mitarbeitende melden den Verlust sofort, mit einem klaren Kontakt, auch am Wochenende.
2. Die IT setzt das Gerät in den verlorenen Modus oder löscht es aus der Ferne.
3. Sie prüfen im MDM, ob das Gerät verschlüsselt war, wann es zuletzt online war und welche Daten darauf lagen.
4. Sie bewerten das Risiko und dokumentieren die Entscheidung, auch wenn Sie nicht melden.
5. Bei voraussichtlich hohem Risiko melden Sie in der Schweiz an den EDÖB, in der EU an die zuständige Aufsichtsbehörde.
6. Zugangsdaten und Sitzungen der Person werden zurückgesetzt.

Ein verschlüsselter, gesperrter Mac ist in der Regel ein deutlich geringeres Risiko als ein unverschlüsselter. Die Bewertung bleibt aber eine Entscheidung im Einzelfall und gehört dokumentiert.

Anbieter und Datenstandort

MDM-Anbieter verarbeiten Geräte- und Nutzerdaten in Ihrem Auftrag. Schließen Sie einen Auftragsverarbeitungsvertrag ab und klären Sie den Datenstandort. Für Übermittlungen in die USA können sich Schweizer Unternehmen seit dem 15. September 2024 auf das Swiss-U.S. Data Privacy Framework stützen, wenn der Empfänger zertifiziert ist. Die EU hat die Angemessenheit des Schweizer Datenschutzniveaus bestätigt, Übermittlungen aus der EU in die Schweiz sind damit ohne Zusatzverträge möglich.