Diensthandy absichern: Die Methode in zehn Einstellungen

Kurz gesagt: Ein Diensthandy sichern Sie mit rund zehn einfachen Einstellungen ab, die sich auf die Empfehlungen des BSI stützen: Sperre, Updates, sichere Anmeldung, Schutz der SIM-Karte, sparsame Apps, Trennung von dienstlichen und privaten Daten und ein vorab geschriebener Notfallplan. Das Risiko ist real: In der Wirtschaftsschutz-Studie 2025 des Bitkom gaben 54 % der Unternehmen an, vom Diebstahl von IT- oder Telekommunikationsgeräten betroffen oder vermutlich betroffen gewesen zu sein.

Auf einem Smartphone liegen heute E-Mails, die Codes für die Zwei-Faktor-Anmeldung, Banking-Apps, Kundendaten und oft das CRM. Wer es verliert oder kompromittieren lässt, öffnet all diese Türen auf einmal.

Warum ist das Diensthandy ein so beliebtes Ziel?

Weil es der Schlüssel zu Ihren Konten ist. Die Bitkom-Studie, für die 1.002 Unternehmen ab zehn Beschäftigten befragt wurden, beziffert den Gesamtschaden durch Diebstahl, Spionage und Sabotage in Deutschland für 2025 auf rund 289,2 Milliarden Euro, 70 % davon direkt durch Cyberangriffe. 87 % der Unternehmen waren betroffen oder vermuten es. Drei Befunde betreffen das Smartphone direkt:

• Gerätediebstahl: 54 % meldeten den Diebstahl von IT- oder Telekommunikationsgeräten, tatsächlich oder vermutet.
• Ausgespähte Kommunikation: 62 % berichteten vom Ausspähen von E-Mails, Messenger-Nachrichten oder Videocalls.
• Phishing: Bei 22 % der Unternehmen verursachten Phishing-Angriffe einen Schaden.

Ein Handy bündelt diese Risiken: Es geht verloren, wird gestohlen, empfängt präparierte SMS und verbindet sich unterwegs mit fremden Netzen und Ladegeräten.

Welche Einstellungen sollten Sie am ersten Tag ändern?

Die Liste kombiniert die Empfehlungen des BSI für Mobilgeräte mit dem Leitfaden der US-Cybersicherheitsbehörde CISA vom Dezember 2024, der sich an besonders gefährdete Personen richtet, aber nach eigener Aussage für alle gilt. Fast alles kostet nichts und ist in einer Sitzung erledigt, Handy in der Hand.

1. Bildschirmsperre und automatische Sperre. Das BSI rät, Standardcodes durch eigene zu ersetzen und leicht zu erratende Folgen wie „12345“ oder Geburtstage zu meiden. Fingerabdruck oder Gesichtserkennung sind möglich, ein Wischmuster gilt als weniger sicher. Aktivieren Sie zusätzlich die PIN-Abfrage beim Start.
2. Automatische Updates für Betriebssystem und Apps. Laut BSI nutzen viele Angriffe Schwachstellen, die Hersteller mit Updates schließen.
3. Datensicherung von Kontakten, Nachrichten und Dateien, in den Cloud-Dienst, den Ihr Unternehmen vorgibt und für den ein Auftragsverarbeitungsvertrag besteht.
4. Ortung aktivieren („Wo ist?“ beim iPhone, „Mein Gerät finden“ bei Android), damit Sie ein verlorenes Gerät orten, sperren oder löschen können.
5. Kundenkennwort beim Mobilfunkanbieter. CISA empfiehlt eine PIN für das Kundenkonto, die bei heiklen Vorgängen wie einer Rufnummernmitnahme oder einer Ersatz-SIM abgefragt wird. Das ist der wichtigste Schutz gegen SIM-Swapping, bei dem Betrüger Ihre Nummer auf ihre Karte umleiten und Ihre SMS-Codes empfangen.
6. Phishingresistente Anmeldung. Die Reihenfolge von CISA: zuerst FIDO-Sicherheitsschlüssel oder Passkeys, dann Codes aus einer Authenticator-App, weg von SMS-Codes, die weder verschlüsselt noch phishingresistent sind.
7. Ein Passwortmanager für alle Konten, geschützt durch eine lange Passphrase.
8. IMEI-Nummer notieren, und zwar nicht nur auf dem Gerät: *#06# wählen, dann erscheint sie. Nach einem Diebstahl lässt sich das Gerät damit sperren.

Welche Apps und Netze sollten Sie zulassen?

Apps. Installieren Sie nur aus vertrauenswürdigen Quellen und nur, was Sie brauchen, löschen Sie Ungenutztes und prüfen Sie die Berechtigungen bei der Installation und nach Updates, denn ein Update kann sie erweitern. Entziehen Sie Zugriff auf Standort, Kamera und Mikrofon, wenn eine App ihn zum Funktionieren nicht braucht. Unter Android sollte Google Play Protect aktiv sein.

Ein deutscher Sonderfall ist WhatsApp auf dem Diensthandy. Der automatische Abgleich des Adressbuchs überträgt die Nummern aller gespeicherten Kontakte an den Anbieter, auch von Kunden, die dem nie zugestimmt haben. Datenschützer sehen das seit Jahren kritisch. Regeln Sie schriftlich, welcher Messenger dienstlich erlaubt ist, oder nutzen Sie eine Lösung mit getrenntem Adressbuch.

Funk und Netze. Das BSI rät, Bluetooth, WLAN und NFC abzuschalten, wenn sie nicht gebraucht werden, öffentliche Hotspots vorsichtig zu nutzen und eigene Hotspots mit einem starken Passwort zu schützen. Ein VPN, das Ihr Unternehmen für den Zugriff auf eigene Systeme vorgibt, erhöht die Sicherheit in fremden Netzen. CISA rät zudem zu aktuellen Geräten von Herstellern, die mindestens fünf Jahre lang monatliche Sicherheitsupdates zusagen, denn Software kann keine Schutzfunktionen nachrüsten, die alte Hardware nicht unterstützt.

Besonders exponierte Personen. Für Inhaber, Geschäftsführung oder alle, die gezielt angegriffen werden könnten, empfiehlt CISA beim iPhone den Blockierungsmodus, der bestimmte Funktionen einschränkt und so die Angriffsfläche verkleinert.

Wie gehen Sie mit Nachrichten, SMS und Phishing um?

• Ende-zu-Ende-verschlüsselte Messenger für vertrauliche Gespräche nutzen.
• Nie auf Links in SMS klicken, die ein Paket, eine Gebühr, ein Bußgeld oder ein Bankproblem melden. Öffnen Sie Website oder App selbst.
• Auflegen und zurückrufen, unter der offiziellen Nummer, wenn ein angeblicher Mitarbeiter einen Code oder eine Freigabe verlangt, selbst wenn die angezeigte Nummer echt aussieht.
• Keine Geheimnisse im Klartext: keine Passwörter in Notizen, keine PINs in Kontakten.
• Geänderte Bankverbindungen telefonisch prüfen, unter einer bereits bekannten Nummer, bevor Sie auf eine E-Mail mit neuer IBAN reagieren.

Dieselbe Vorsicht gilt für Dateien auf dem Handy: Unser Ratgeber zum Versenden großer Dateien zeigt, wie Sie einen gefälschten Download-Link erkennen. Gegen Spam hilft eine Wegwerf-E-Mail-Adresse, die Ihre Hauptadresse bei Anmeldungen schützt.

Firmenhandy oder Privathandy: Was darf der Arbeitgeber?

Am einfachsten ist ein Diensthandy, das dem Unternehmen gehört und nur dienstlich genutzt wird. Erlaubt der Arbeitgeber die private Nutzung, bleibt sie für Beschäftigte nach § 3 Nr. 45 EStG steuerfrei. Dürfen Mitarbeitende eigene Geräte verwenden (Bring Your Own Device, BYOD), hängen die Regeln von der Einrichtung ab:

• Bei vollständiger Geräteverwaltung kontrolliert das Unternehmen das ganze Gerät, einschließlich der kompletten Löschung. Das passt zu firmeneigenen Handys.
• Bei der Benutzerregistrierung von Apple, gedacht für private Geräte, kann die IT laut Apple nur Konten, Einstellungen und Daten der Organisation verwalten, nie den privaten Account. Android bietet eine ähnliche Trennung über ein separates Arbeitsprofil.

Halten Sie die Regeln in jedem Fall schriftlich fest: was die Firma sehen darf, was sie löschen darf, welche Sicherheitseinstellungen Pflicht sind und was beim Ausscheiden passiert. Gibt es einen Betriebsrat, hat er nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen, denn eine Verwaltungssoftware ist geeignet, Verhalten und Leistung zu überwachen. Und die DSGVO verlangt, dass jede Kontrolle verhältnismäßig bleibt.

Brauchen Sie eine Mobilgeräteverwaltung (MDM)?

Ab einer Handvoll Geräte wird es unrealistisch, alles einzeln einzustellen. Ein Tool für Mobile Device Management erlaubt es,

• Sperrcode und Verschlüsselung auf allen Geräten zu erzwingen;
• dienstliche Apps zu verteilen und zu entfernen;
• auf privaten Geräten einen getrennten Arbeitsbereich anzulegen;
• ein verlorenes Gerät aus der Ferne zu sperren oder zu löschen.

Apple und Google bieten Registrierungsprogramme für Unternehmen an, und die meisten Bürosoftware-Pakete für Firmen enthalten eine einfache Geräteverwaltung. Für ein sehr kleines Team reichen gut dokumentierte manuelle Einstellungen. Darüber hinaus rechnet sich das Tool durch gesparte Zeit und schnellere Reaktion, wenn ein Handy fehlt.

Verloren, gestohlen, gehackt: Welchen Notfallplan brauchen Sie?

Schreiben Sie dieses Vorgehen auf eine Seite, bevor Sie es brauchen, und geben Sie es allen Nutzern:

1. Orten, sperren, dann aus der Ferne löschen, wenn das Gerät nicht schnell auftaucht.
2. Den Mobilfunkanbieter anrufen, um die SIM-Karte sperren zu lassen, und die IMEI für die Gerätesperre angeben.
3. Passwörter ändern für E-Mail und alle Konten, die auf dem Handy offen waren, und alle aktiven Sitzungen abmelden.
4. Wichtige Kontakte warnen, wenn eine Kompromittierung möglich ist, damit sie ungewöhnlichen Bitten in Ihrem Namen misstrauen (Zahlungen, neue Bankverbindung).
5. Melden. Erstatten Sie bei Diebstahl Anzeige bei der Polizei, in vielen Bundesländern auch über die Onlinewache. Prüfen Sie, ob personenbezogene Kundendaten betroffen sind: Nach Art. 33 DSGVO ist eine meldepflichtige Datenpanne binnen 72 Stunden der zuständigen Datenschutzaufsichtsbehörde zu melden, bei hohem Risiko müssen nach Art. 34 auch die Betroffenen informiert werden.

Denken Sie auch an die Geschäftsdaten: Hatte das Handy Zugriff auf Ihr CRM, beenden Sie die Sitzung dieses Geräts in der Verwaltungskonsole. Und war ein Social-Media-Konto des Unternehmens angemeldet, sichern Sie es sofort. Unser Ratgeber, wie Sie den Facebook-Support kontaktieren, listet die Wege nach einem gehackten Konto.

Ein Diensthandy abzusichern, braucht weder Budget noch Spezialwissen. Es braucht einmal saubere Einstellungen und einen klaren Plan für den Tag, an dem das Gerät verschwindet.