Privates Smartphone auf Arbeit

[smokyly]

Gerald: Du musst die administrativen und sicherheitstechnischen Dinge herausarbeiten und Dir die benannten Nachteile vieler Systeme unterschreiben lassen. Was auch wichtig ist: Was passiert, wenn neue pinke iPhone herauskommt oder das neue Smartphone von Googerola? Tut dann noch das ausgewählte MDM oder geht dann wieder alles von vorne los?

Bernhard

Ja, das ist meine Aufgabe. Allerdings weiß ich schon jetzt, was passiert, wenn Boss meint, das Ding haben zu müssen. Das läuft dann so, wie damals bei der Einführung des BES: "Es muss sich nichts amortisieren, es muss laufen! Egal wie!"

Manchmal hasse ich meinen Job....

[koehlerbv]

Deswegen sage ich ja: Lass es Dir unterschreiben, dass Du auf die potentiellen und gar nicht unwahrscheinlichen Folgen hingewiesen hast.

Das macht zwar nicht glücklicher, aber gegenüber persönlich besonders schlimmen Folgen immun.

Bernhard

[Mandalor]

Es brüllt mich an 

[sw@vpv]

@Ingo: 1. Wie heisst denn die Lösung, mit dem Remote Desktop? 2. Bei uns ist es gerade umgekehrt, mit den Nokias hab ich den meisten Support aufwand. Apples hört man nicht mehr wenn se eingerichtet sind und Androids auch eher selten nach der Einrichtung. Fakt ist, dass die Travelerrichtlinien nicht ohne eine, nennen wir es Security App von Nokia, greifen. So, wie nun diese App (ist glaub ich ne *.sis) auf die Nokia bekommen.

Ich habe mich hier auch mit Händen  und füssen gewehrt, aber wir haben nur noch 10 BB Nutzer und rund 250 Travelernutzer, tenedenz extrem steigend.

Kann mir denn jemand einen Tipp geben, welche MDM Lösungen sinnvoll in der Praxis sind?

[Driri]

Wieso das denn? Lag da keine Bedienungsanleitung bei?

Doch, natürlich. Wir haben auch die wichtigsten Funktionen des Traveler zusätzlich noch als Flash-Filme aufbereitet, die die Benutzer im Mitarbeiterportal abrufen können.

Problem zumindest bei uns im Haus ist : Keine Sau liest die Doku.

@Ingo: 1. Wie heisst denn die Lösung, mit dem Remote Desktop?

smartMan

Installation von Software ist damit u.a. natürlich auch möglich. Bei Symbian auch ohne Benutzerinteraktion.


Nokia haben wir aktuell noch nicht auf dem Traveler. Dafür haben wir noch eine andere Software im Einsatz, die wir allerdings ablösen werden (siehe Signatur).

[Driri]

Kann mir denn jemand einen Tipp geben, welche MDM Lösungen sinnvoll in der Praxis sind?

Ich habe ja oben bereits ein paar aufgelistet. Wir setzen seit Jahren den smartMan ein und sind damit sehr zufrieden.

Wir haben uns vor einigen Monaten trotzdem mal am Markt umgesehen und uns ein paar Lösungen genauer angeschaut. Dies vor allem auch im Hinblick auf die bevorstehende Einführung von Android.

Das waren die Lösungen von ubitexx und 7P.

Afaria haben wir uns bewußt nicht angeschaut, weil wir auf eine weitere Zusammenarbeit mit iAnywhere keinen allzu großen Wert legen. Das soll jetzt keine Wertung des Produktes sein, das ich auch gar nicht beurteilen kann. Wir haben nur einfach mit dem Hersteller unsere Erfahrungen gemacht.

Wenn man ehrlich ist, nehmen sich die meisten MDM Lösungen nicht viel, der Funktionsumfang ist größtenteils identisch, weil er gerade bei iOS und Android noch durch das jeweilige Betriebssystem beschränkt ist.

[oxyd21]

Aber sind wir mal ehrlich, es ist wesentlich cooler ein neues Iphone aus der Tasche zu ziehen und im Meeting auf den Tisch zu legen, als ein BB. Wenn das Management das will, kannste dir deine Argumente sparen. Das ist wie Frauen und das 105. Paar Schuhe.

Du kannst immer wieder auf mögliche Probleme hinweisen und dir das auch unterschreiben lassen (was nur was bringt wenn man ein Externer ist), was keiner hören will oder du nimmst den leichteren Weg und plädierst für das Gerät was der Vorstand/Chef will. Sonst haste die Geräte von den Leuten die was zu sagen haben, und die Marke von den Leuten, die nix zu melden haben. Ich kenn den Käse jetzt aus zwei Firmen. Der gute Sales-Mann bekommt sein Wunschgerät genehmigt, und du kannst schauen wie du es integrierst.

Ich geb's nicht gern zu, aber einfach zu bedienen sind die angefressenen Äpfel schon, auch für den Laien, und zuverlässig mit Traveler ebenso. Da fallen die Kleinigkeiten gar nicht auf, wie zum Beispiel das man in Cupertino keine Kalendereinträge kategorisiert. 

VG, Michael

[Driri]

Das ist bei uns glücklichweise anders abgelaufen. 

Auf unsere Empfehlung hin hat der Vorstand uns den Auftrag erteilt, die Anbindung von Android-Smartphones zu untersuchen, zu testen und letztendlich umzusetzen.

Bei uns wird es daher auch ganz klar keine BYOD-Aktionen geben. Die Anwender haben zukünftig die Wahl zwischen Symbian (solange noch von Nokia verfügbar) und Android als Smartphone-Plattform.

Zumindest für die nahe Zukunft. Was in zwei Jahren ist, kann eh keiner voraussehen.

[sw@vpv]

Ah, danke. ubitexx liegt für uns auch nahe, da diese ja von RIM gekauft worden sind (meines Wissens). Auf dem Prüfstand stehen auch noch die "Good" Lösungen.

[sw@vpv]

Achja, an die die Nokia Devices mit Traveler syncen:

Wie habt ihr das geschafft, die Traveler Policys auf den Nokia Geräten zum laufen zu bringen? Meines Wissen nach benötigt man das "Lotus Traveler Security enablement library SIS-file" auf den Geräten?!?

[smokyly]

Kann man den Traveler eigentlich neben dem BES auf der gleichen Mühle laufen lassen?

Und wie sieht das eigentlich von den Kosten her aus?

Gruß

[Driri]

Kann man den Traveler eigentlich neben dem BES auf der gleichen Mühle laufen lassen?

Kann ich nicht beurteilen. Ich bin allerdings kein Freund solcher Lösungen. Man kann nie ausschließen, daß sich die Produkte nicht doch mal in die Quere kommen.

Und wie sieht das eigentlich von den Kosten her aus?

Die Notes-Lizenz beinhaltet die Traveler-Lizenz. D.h. für jeden Notes-Benutzer ist die Traveler-Nutzung ohne zusätzliche Lizenzkosten möglich.

[smokyly]

Kann ich nicht beurteilen. Ich bin allerdings kein Freund solcher Lösungen. Man kann nie ausschließen, daß sich die Produkte nicht doch mal in die Quere kommen.

Ich auch nicht, aber dann extra noch eine Domino und eine Windows-Server-Lizenz anschaffen... Ich will nur diese Möglichkeit abklären, da ich meine Pappenheimer kenne.

Die Notes-Lizenz beinhaltet die Traveler-Lizenz. D.h. für jeden Notes-Benutzer ist die Traveler-Nutzung ohne zusätzliche Lizenzkosten möglich.

Ich dachte da eigentlich an MDM. Da wird doch sicherlich auch eine Dienstleistung bezüglich Schulung notwendig sein und eventuell sogar die Lizenz etwas kosten. Nur mal so über den Daumen gepeilt.

[Driri]

Klar. So etwas gibt es natürlich nicht kostenlos.

Ob da eine Schulung notwendig ist, hängt sicherlich vom Produkt ab. Man kann sich i.d.R. auch erstmal ein Testsystem freischalten lassen und damit rumspielen.

Die Lizenzkosten fallen meistens je administiertem Gerät an. Was ich bisher gesehen habe, lagen die Preise laut Preislisten meistens so bei ca. 10,- Euro pro Gerät und Monat. Das sollte man aber als verhandelbar betrachten 

[blizzard]

Was hat euch dazu bewogen die Android Geräte zu nutzen?
Die sind ja noch schlechter zu verwalten wie die iOS Geräte. Ausserdem hat man da nicht mal die native Mailanwendung.

Wir setzen jetzt leider neben den BBs noch auf die Apfel Dinger mit Traveler und MobileIron.

[Driri]

In Kurzform :

Gerätevielfalt, Hoffnung auf eine bessere Erweiterung der MDM-Möglichkeiten des OS, Anschaffungspreis, vorhandenes KnowHow im Umfeld der Programmierung für die Plattform.

[Tode]

Ich habe mir den Thread durchgelesen, und im Grossen und ganzen stimme ich überein. Eine Sache fehlt mir allerdings: Nämlich die grundsätzliche Info, WARUM iOs so unsicher ist:

JEDES aktuelle iOS- Gerät kann mit dem entsprechenden KnowHow innerhalb von 6 Minuten geknackt werden, das hat das Frauenhofer Institut vor kurzem bewiesen (natürlich nicht wie, sondern nur dass...).

Die Daten auf dem Gerät liegen zwar verschlüsselt vor, diese Verschlüsselung ist aber aufgrund einer Systemschwäche innerhalb von Minuten zu knacken, und dann hat der Angreifer so ziemlich alle relevanten Kennwörter des Benutzers im KLARTEXT in der Hand (u.a. Mail- Kennwort, WLAN- Passwörter, VPN- Passwörter, etc.)...

Dass man mit einem Mail- Account und dem zugehörigen Kennwort an so ziemlich alle weiteren Kennwörter kommt, brauche ich wohl nicht näher zu beschreiben (bei jeder Website, die ich kenne, kann man sich das Kennwort per Mail zurücksetzen / zusenden lassen).

Ach ja: Der berühmt- berüchtigte "Remote- Wipe": Bei den Blackberries funktioniert der so lange das Gerät IRGENDWIE verbunden ist. Bei den iOS- Geräten reicht es z.B. die Sim- Karte zu tauschen oder einfach Traveler zu deinstallieren, um das zu umgehen...

Alles in allem ist für mich -nach wie vor- Blackberry das Mass aller Dinge wenn es um Unternehmens- Mail geht: Sowohl von der Verwaltbarkeit als auch von der Sicherheit aus gesehen (ja, die Geräte sind nicht sexy, aber das kommt ja vielleicht endlich mit der nächsten Generation und/oder mit dem neuen QNX- Betriebssystem)

[Driri]

Ach ja: Der berühmt- berüchtigte "Remote- Wipe": Bei den Blackberries funktioniert der so lange das Gerät IRGENDWIE verbunden ist. Bei den iOS- Geräten reicht es z.B. die Sim- Karte zu tauschen oder einfach Traveler zu deinstallieren, um das zu umgehen...

Nur als Ergänzung dazu :

Das Remote Wipe-Feature ist auch bei allen anderen Geräten nicht zuverlässig nutzbar. Auch bei Android, Symbian oder WiMo kann man den Traveler einfach deaktivieren oder deinstallieren und das Feature läuft dann ins Leere. Bei Android reicht es auch aus, den Device Admin für den Traveler zu deaktivieren.

Selbiges gilt auch für Remote Wipe-Feature der meisten MDM-Lösungen, da diese den Remote Wipe i.d.R. über eine SMS triggern. Wenn also die SIM-Karte getauscht wird, ist auch hier Feierabend.

[Joachim Römer]

Hallo zusammen,

sorry, wenn ich den Thread wieder aufgreife.

Im aktuellen Traveler-Upgrade gibt es ja schon diverse Sicherheitsfeatures mehr, wie vorher.
( Siehe Anhang )

Meine konkrete Frage nun:

Nutzer mit privat genutzten Smartphones wollen es nicht zulassen, dass z.B. nach 5-maliger falscher Kennworteingabe
das gesamte Smartphone bereinigt wird.  Wie könnte man z.B. realisieren, dass nur die Traveler Daten bei Falscheingabe gelöscht werden.
Es gibt ja so etwas nur bei manuellem Eingriff durch den Administrator, oder habe ich etwas übersehen ?

[Driri]

Ich wüßte nicht, daß man das so einstellen kann.

Evtl. könnte man zwei Einstellungsdokumente anlegen und über die Zuordnung je eins für geschäftliche und private Geräte setzen.
Ich weiß aber nicht, ob das überhaupt funktioniert. Zumindest kann man in der Datenbank selber über Menü oder so kein weiteres Einstellungsdokument anlegen.