BoxTone wurde im Februar 2014 von Good Technology übernommen und erweitert damit die MDM-Software Good for Enterprise. BoxTone wiederum kaufte zuvor 3LM (»three laws of mobility«) – ein Unternehmen, das Google im Rahmen seiner Übernahme von Motorola Mobility 2011 übernommen hatte. Das Portfolio von 3LM umfasst ein Application Program Interface (API) und eine Anwendungsplattform für Android, die in ihrer Funktionalität vergleichbar mit dem MDM-Interface von Apple sind. Die MDM-Lösung von Good unterstützt damit iOS, Android, Windows Phone sowie das 3LM API und Blackberry OS über seinen Zukauf BoxTone.

Weiter hat Good einen Cloud-Dienst mit Namen Good Pro in sein Portfolio aufgenommen und bietet Unternehmen ein vereinfachtes Management über die Cloud und eine Good Pro App an. Das Management erstreckt sich unter anderem auf Endpoint Security (Passcode, Wipe, WiFi etc.), Microsoft-Exchange-Konten, E-Mail, Kontakte, Termine und Links für File Sharing Services.

Good for Enterprise verwendet Active Directory für das Management des Lebenszyklus der Endgeräte mit Bereitstellung und Grundkonfiguration des Endgeräts sowie der abgesicherten Apps im Good Container, unabhängig von der Art des Beschaffungsmodells (BYOD = Bring your own Device oder COPE = Company owned, personally enabled).

Für die Absicherung von Apps muss nicht zwingend ein MDM eingesetzt werden. Der Datenaustausch zwischen Apps im Good Container und dem Unternehmensnetzwerk erfolgt generell mit einer FIPS^[1]-zertifizierten Verschlüsselung. Der gesamte Datenverkehr mit Benutzer- und Endgeräte-Authentifizierung läuft über das Cloud-basierte Good Network Operation Center (NOC) mit Standort USA (!). Vom Unternehmensnetzwerk wird der Zugriff auf das NOC initiiert und erlaubt Verbindungen mit der DMZ oder VPN Appliances analog zu der bekannten Blackberry-Architektur.

Mit der MDM-Lösung wird für die mit Good abgesicherten Apps ein Enterprise App Store angeboten, in dem die Apps mit verbundenen Sicherheitsanforderungen für die eigenen Mitarbeiter, deren Daten sich in dem Active Directory befinden, als auch für Mitarbeiter von Fremdfirmen und Partnern verteilt werden. Für die gesicherten Apps ist ein Single Sign-On​ implementiert. Ist eine Authentifizierung für eine gesicherte App gültig, kann auf alle gesicherten Apps auf dem Endgerät zugegriffen werden. Wurden beim MDM Richtlinien für Compliance eingegeben, so werden diese bei jeder gesicherten App auf den mobilen Endgeräten überprüft und die mit Verstößen verbundenen Restriktionen wie Blockieren oder Löschen von Daten zur Anwendung gebracht.

Dem Nutzer steht eine begrenzte Anzahl von Aktionen (zum Beispiel die Auflistung aller aktivierten, gesicherten Apps) zur eigenen Ausführung zur Verfügung. Einige Device-Management-Aufgaben können ohne Help-Desk-Unterstützung vom Nutzer selbst durchgeführt werden, einschließlich Selbstregistrierung von Endgeräten, Fernzugriff zum Zurücksetzen des Gerätekennworts oder Sperren des mobilen Endgeräts.

In der MDM-Komponente für die Inventur lässt sich ein detaillierter Überblick über die verwendeten Betriebssysteme und die bereitgestellten Apps erzeugen. Die Herkunft der Apps, die »Wachstums-Rate« der installierten Apps, die bevorzugten Apps – aber auch die installierten, jedoch in einem vorgegebenen Zeitraum nicht verwendeten Apps sowie aktuelle und historische Trends der Nutzung lassen sich in die Reports der Inventarisierung​ aufnehmen.

Alle mit Good gesicherten Apps können erkennen, ob das Betriebssystem des Endgeräts, auf das sie geladen wurden, jailbroken oder rooted ist. Je nach festgelegten Richtlinien kann die App sich dann entweder sperren oder ihre Daten löschen.

Der Ansatz von Good, ohne große Eingriffe in eine bestehende Infrastruktur, sozusagen nicht-invasiv, ein EMM zu etablieren, ist für Unternehmen sehr interessant. Attraktiv für KMU dürfte sein, dass ein MDM nicht Voraussetzung ist. Mit Good abgesicherte Apps können auf demselben Endgerät mit nicht gesicherten, persönlichen Apps koexistieren. Das Unternehmen administriert und kontrolliert die Unternehmensdaten und sonst nichts. Da Apps nebeneinander existieren können, sind Endbenutzer nicht durch den Übergang zwischen Profilen​ (dienstlich, privat) behindert. Mit der Verwendung von Containern wird ein Schutz vor Datenlecks von Apps über alle unterstütze Geräteplattformen hinweg geboten.

Zunächst bestand die Mobile Strategy von Citrix darin, für möglichst viele Plattformen einen Receiver zu entwickeln. Der Receiver ist eine App, mit der auf eine virtuelle Arbeitsumgebung (XenDesktop) mit Apps und Datenquellen auf einem zentralen Server im Unternehmen oder in einer Cloud zugegriffen werden kann. Damit lassen sich beispielsweise Windows-Anwendungen auf fast allen Endgeräten nutzen. Die virtuelle Arbeitsumgebung wird vom Unternehmen bereitgestellt und verwaltet und bietet die bei BYOD zwingend erforderliche Separierung.

Virtuelle Arbeitsumgebungen sind allerdings von der Verfügbarkeit der Kommunikationswege abhängig. Wie greifen Mitarbeiter auch dann von ihrem mobilen Endgerät auf ihre Desktops und Daten zu, wenn keine Internetverbindung oder nur eine langsame Mobilfunk-Kommunikation via EDGE oder gar GPRS verfügbar ist?

Mit dem schnell wachsenden Angebot an nativen Programmen für Android, iOS und andere mobile Betriebssysteme sind virtuelle Desktops als Mobile Application Management alleine nicht ausreichend. Citrix bietet mittlerweile XenMobile MDM und ein Mobile Solutions Bundle an. XenMobile basiert auf dem Zukauf von Zenprise Ende 2012. Kombiniert mit CloudGateway, einer Plattform für das Mobile Application Management, verfügt Citrix nun über ein umfassendes Portfolio für das Enterprise Mobility Management

XenMobile verfügt über die in dieser Produktkategorie typischen Funktionen:

• Rollen-basierte Konfiguration von Geräten (abhängig von der Zugehörigkeit zu Gruppen im Active Directory)

• Software-Verteilung, wobei User ihre Apps über ein Self-Service-Portal selbst auswählen können

• Geräte remote löschen oder sperren, wenn sie verloren oder gestohlen wurden

• Inventarisierung: Monitoring und Reporting, um Auskunft über den Status des Geräts und die Software-Ausstattung zu erhalten

• Remote-Support und Troubleshooting für mobile Anwender

CloudGateway beinhaltet einen App Store für Web- und XenApp-Anwendungen sowie ein Single Sign-on​ für die verschiedenen Applikationen. Unter dem Sammelbegriff MDX bietet CloudGateway folgende Komponenten für das Mobile Application Management:

• MDX App Vault: App Wrapping für iOS und Android. Festlegung von Richtlinien auf Applikationsebene, Verschlüsselung, gezieltes Verwalten, Sperren oder Löschen der Firmen-Apps

• MDX Web Connect: ein sicherer mobiler Webbrowser, der firmeninterne Web-Anwendungen ausführen soll. Er verschlüsselt Cache, History, Cookies und Bookmarks.

• MDX Micro VPN erlaubt App-spezifischen sicheren Remote Access auf das Firmennetzwerk. Damit entfällt die Notwendigkeit für ein geräteübergreifendes VPN, das auch unsicheren Programmen bei korrumpiertem Betriebssystem Zugriff auf IT-Ressourcen im Unternehmen geben würde.

• MDX Policy Orchestration: Administratoren können über Richtlinien die Ausführung von Apps (nativ und Web) kontrollieren, beispielsweise abhängig vom Netzwerk, dem benutzten Gerät oder einem erkannten Jailbreak.

CloudGateway bietet mithilfe des Application Preparation Tools die Möglichkeit, auch selbst entwickelte oder gekaufte Apps zu »wrappen«, das heißt, wie eingangs erläutert, Apps auf der Applikationsebene in eine Sicherheitsschicht »einzuwickeln«, die alle vom Administrator definierten Regeln enthält und bei Bedarf ausführt.

Abbildung 9.5 zeigt das Mobile Solution Bundle im Überblick.

Das Citrix Mobile Solution Bundle dürfte derzeit die umfassendste, aber auch teuerste EMM-Lösung am Markt sein und ist für Unternehmen interessant, die bereits über eine Citrix-Infrastruktur verfügen.

Wie heute üblich, wird auch die EMM-Lösung von MobileIron als Software für die Installation auf eigener Hardware oder als Cloud-Service angeboten. MobileIron umfasst die Administration und Absicherung von mobilen Endgeräten, Dateninhalten sowie Applikationen und hat primär die marktführenden Betriebssysteme Android, iOS und Windows Phone im Fokus.

Explizit werden bei der Integration in bestehende Infrastrukturen die Sicherheitsfunktionen von Samsung KNOX​ und SAFE sowie Active Directory, ActiveSync und Exchange unterstützt.

Im MobileIron EMM lassen sich Unternehmensrichtlinien sowohl für die Einstellungen als auch für Daten im mobilen Endgerät und den Transfer der Daten von und zum Unternehmensnetzwerk hinterlegen, deren Einhaltung vom EMM überwacht wird. Die Architektur von MobileIron besteht hauptsächlich aus drei Komponenten:

• MobileIron Core unterstützt die Integration und Erweiterung der IT-Infrastruktur über Verbindungen zum Active Directory und der Einrichtung von Datenbanken mit den Richtlinien und Konfigurationen für mobile Endgeräte, Daten und Apps.

• MobileIron Client ist die Verwaltungs-App auf den mobilen Endgeräten, die vorgegebene Richtlinien auf dem Gerät umsetzt und deren Einhaltung überwacht.

• MobileIron Sentry dient als Gateway zum sicheren, verschlüsselten Datenaustausch zwischen mobilem Endgerät und Unternehmens-Ressourcen.

Für die Entwicklung eigener Apps gibt es eine Umgebung mit der Bezeichnung MobileIron AppConnect, die eine Absicherung und Verwaltung von selbst programmierten Inhouse Apps erlaubt.

Für die mobilen Endgeräte gibt es eine Reihe zusätzlicher Client-Programme:

• Apps@Work: Zugriff auf einen unternehmenseigenen App Store mit selbst entwickelten Inhouse Apps und Business Apps von Drittanbietern. Der interne App Store lässt sich von der Administration so konfigurieren, dass entsprechende Apps bezogen auf deren Rolle im Unternehmen angeboten werden.

• Docs@Work: Ein sicherer Daten-Container auf dem Endgerät, der auch einen sicheren Zugriff auf SharePoint-Ressourcen ermöglicht. Docs@Work verschlüsselt Dokumente wie beispielsweise E-Mail-Anhänge, die über das MobileIron Gateway übertragen werden, und kann unerwünschten Datenabfluss verhindern.

• Web@Work ist ein sicherer Browser für den Zugriff auf Web-Anwendungen innerhalb des Unternehmens-Intranets, ohne dass der Nutzer komplexe Prozeduren wie das Starten einer VPN-Verbindung ausführen muss.

• Help@Work: Bei gewünschter Unterstützung durch das Help Desk kann der Nutzer von iOS-Endgeräten direkt Hilfe anfordern. Nach Bestätigung durch den Benutzer des mobilen Endgeräts wird für Mitarbeiter des Help Desks der Bildschirm-Inhalt des Geräts direkt auf die Verwaltungskonsole gespiegelt.

• »Tunnel« ermöglicht Apps auf einem mobilen Endgerät mit iOS 8 (einschließlich Safari Browser) auf geschützte Unternehmensdaten und Inhalte hinter einer Firewall über eine Art VPN-Verbindung zuzugreifen, ohne dass das Gerät einen regulären VPN-Tunnel aufbauen muss. »Tunnel« nutzt Sicherheitsfunktionen von MobileIron, um die Gerätesicherheit kontinuierlich zu überwachen, bevor der Zugriff auf Unternehmensressourcen stattfindet. Allerdings basiert »Tunnel« auf SSL, was in der Vergangenheit mehrfach wegen Sicherheitslücken in der Diskussion war.

Schauen wir uns zum Abschluss dieses Kapitels die Erstellung und die Art der administrierbaren Richtlinien etwas näher an.

Die Komponente von MobileIron zur Verwaltung von Richtlinien (Policy Engine) ermöglicht die Administration mehrerer Klassen von Richtlinien in Abhängigkeit von den jeweiligen Risiken, denen die mobilen Endgeräte ausgesetzt sind. Beispielsweise kann ein Unternehmen die Regel in die Richtlinien aufnehmen, dass ein Gerät für einen Außendienst-Mitarbeiter mit einem rooted oder jailbroken Betriebssystem automatisch die betrieblichen Daten löscht.

Nachfolgend einige Klassen von Richtlinien von MobileIron für Endgeräte und Daten:

• Datenschutz: Passwort für Zugriff, Verschlüsselung und Integrität des Betriebssystems (jailbroken, rooted)

• Richtlinien für Container-Sicherheit (Apps und Dokumente): Authentifizierung, Autorisierung, Verschlüsselung, DLP-Maßnahmen, Verwendung von »Tunnel« bei der Übertragung

• Blacklist/Whitelist für Applikationen: Richtlinien für erlaubte, nicht-erlaubte und erforderliche Apps

• Zugriffskontrolle für E-Mail, Apps, Dokumente und Web

• Datenschutz: Aktivieren und Deaktivieren der Nutzungs-Überwachung der auf dem Gerät befindlichen Apps, der geografischen Lokation etc.

• Blockieren von Funktionen des Endgeräts

• Überwachung des Datenverkehrs, insbesondere Roaming

• Konfiguration der E-Mail- und Sicherheitseinstellungen

Die dabei eingesetzten kryptografischen Module sind ebenfalls FIPS-140-2-zertifiziert.