KI-Apps mit MDM verwalten: So behalten IT-Admins die Kontrolle
KI-Apps wie ChatGPT, Claude oder Gemini können im Arbeitsalltag eine große Erleichterung darstellen. Dennoch können von ihnen auch Risiken für die Sicherheit mobiler Geräte ausgehen, wenn sie ohne entsprechende Richtlinien eingesetzt werden.
Vielen Unternehmen fällt es bisweilen schwer, die Risiken der Nutzung von KI-Systemen richtig einzuschätzen, da sie sich rasant weiterentwickeln und extrem komplex sind.
Im folgenden Artikel wollen wir deshalb ein wenig Licht ins Dunkle bringen und erklären, welche Risiken sich durch KI-Apps auf Firmenhandys ergeben, wie Sie den richtigen Umgang mit KI finden und was Sie tun müssen, wenn KI-Apps gar nicht auf Firmenhandys verwendet werden sollen.
Welche Risiken durch KI-Apps gibt es auf mobilen Geräten?
Die Nutzung von KI-Anwendungen auf Firmenhandys bietet allerlei spannende Möglichkeiten, die eigene Arbeit zu ergänzen und zu optimieren. Dennoch gibt es immer wieder Berichte über Datenlecks bei Apps wie ChatGPT oder Claude sowie Cyberangriffe, die durch Schwachstellen der KI-Apps ermöglicht wurden.
Datenschutz & Datensammelwut:
Der größte Punkt, der die Nutzung von KI-Apps auf Firmenhandys betrifft, ist die Einhaltung des Datenschutzes. Viele der derzeit gängigen Anwendungen, z.B. ChatGPT, Perplexity oder Claude, stammen von US-basierten Unternehmen. Um in der EU Verwendung zu finden, müssen diese zwar den Vorgaben der EU entsprechen – dennoch werden die Daten in den USA verarbeitet. Für in der EU ansässige Firmen, die US-basierte KI-Systeme nutzen wollen, gibt es keinen Einblick, wie sicher ihre Daten wirklich sind. Da die KI-Apps die Informationen über das Internet senden und verarbeiten, wird unter Umständen auch die IP-Adresse des Unternehmens offenbar. Der ungeschützte Datenaustausch zwischen KI-Apps und Server kann als Einfallstor für Cyber Security-Attacken dienen. Unternehmen sollten daher in Erwägung ziehen, ein VPN zu verwenden. Zusätzlich sollten keine personenbezogenen oder sensiblen Daten mit der KI-App geteilt werden.
Ein weiterer wichtiger Punkt ist die übermäßige Datensammlung der Apps. Laut DSGVO muss die Sammlung und Speicherung zweckgebunden und angemessen sein. Dies gilt nicht nur für die Daten der Kund*innen, sondern auch für die der Mitarbeiter*innen. Dadurch, dass Apps wie ChatGPT eine große Menge Daten sammeln und speichern – auch wenn die Zweckgebundenheit nicht mehr gegeben ist – führt dies zu Verstößen gegen den Datenschutz.
In jedem Fall sollten Mitarbeitende bei der Nutzung von KI-Apps immer die Berechtigung verwehren, Daten zu Trainingszwecken zu speichern und die Chats mit der KI zu löschen, wenn diese nicht mehr gebraucht werden.
Mobile Endpoint Security Risiken durch KI-Apps
Neben den Datenschutzbedenken stehen noch andere Bedrohungen für mobile Geräte im Raum. Bedingt durch die größere Mobilität der Mitarbeitenden und die gestiegene Interkonnektivität von Geräten, sind mobile Endgeräte (Mobile Endpoints) immer stärker ins Visier von Angreifern gelangt. Über Methoden wie Phishing können Smartphones und Tablets im schlimmsten Fall dazu genutzt werden, Zugang zum gesamten System eines Unternehmens zu erhalten. Die daraus resultierenden Konsequenzen können katastrophal sein, etwa wenn Spy-oder Ransomware von Gerät zu Gerät verbreitet wird.
KI-gestützte Systeme erleichtern es den Angreifern zudem, Attacken in großer Zahl und innerhalb eines kurzen Zeitraums durchzuführen.
Um etwaige Gefahren frühzeitig zu erkennen und nicht auf Betrugsversuche hereinzufallen, müssen Mitarbeitende entsprechend geschult werden. Wichtig sind hier insbesondere der Umgang mit KI-Anwendungen, sowie die Erkennung KI-generierter Inhalte und Deepfakes. Dies ist wichtig, damit täuschend echt aussehende Phishing-Attacken und Scams erkannt werden können. Der EU-AI Act sieht hier für bestimmte Unternehmensgruppen KI-Schulungen vor. Dennoch empfehlen wir auch allen anderen Unternehmen, sich ausreichend mit diesem Thema zu befassen und KI-Schulungen durchzuführen – zumindest um grundsätzlich über Risiken und den Umgang mit KI-Apps auf der Arbeit aufzuklären.
Umgang mit KI auf Firmenhandys: Richtlinien umsetzen
Laut eines aktuellen Berichts verstärken KI-Systeme massiv die Möglichkeiten, Angriffe auf die Sicherheitsstrukturen von Unternehmen durchzuführen. Daher ist es notwendig, dass Unternehmen die Nutzung von Apps wie Gemini, Claude oder ChatGPT nicht einfach unreguliert erlauben, sondern gleichsam konkrete Richtlinien erarbeiten, wie mit diesen Systemen gearbeitet werden soll. Grundsätzlich ist außerdem zu empfehlen, das Thema KI proaktiv zu behandeln, damit Klarheit und Sicherheit geboten ist.
Folgende Fragen bieten dabei über den technischen Aspekt hinaus Orientierung:
1. Welche KIs dürfen im Unternehmen überhaupt genutzt werden?
Nicht selten nutzen Mitarbeitende schon KI-Systeme oder LLMs für Recherchezwecke, um E-Mails zu formulieren, Zusammenfassungen zu erstellen und vieles mehr. Da es mehrere große KI-Anbieter gibt, muss geklärt werden, was vielleicht bereits genutzt wird und ob diese KIs überhaupt den Compliance Richtlinien des Unternehmens entsprechen.
In jedem Fall muss eine Prüfung erfolgen, wo Daten gespeichert werden und wie diese verarbeitet werden.
2. Welche Art von Aufgaben dürfen mit KI bearbeitet werden:
Nicht wenige Apps, die auf den ersten Blick nichts mit KI zu tun haben,verwenden bereits LLMs um beispielsweise automatische Vorschläge für den Nutzer zu erarbeiten, Formulare auszufüllen oder Daten einzutragen. Im Grunde können so immer gleiche, repetitive Aufgaben bereits heute oft verkürzt werden. Nicht jede Aufgabe sollte jedoch an eine KI delegiert werden. Sind Aufgaben hochkomplex, benötigen sie viel Kontrolle bzw. Korrekturen oder sind sie eher iterativer Natur, bietet es sich nicht an, diese komplett an eine KI zu übergeben.
Auch bei medizinischen Diagnosen, Sicherheitsprüfungen oder der Erstellung von Statistiken ist KI nur bedingt zu empfehlen.
Hintergrund ist, dass KI nicht “denkt” im klassischen Sinne, da sie aus den Daten die sie erhalten nur schlussfolgern und neue Daten generieren bzw. Muster erkennen können. Ob Fehler oder Lücken in der Datenbasis sind, erkennt das Programm nicht.
3. Welche Daten dürfen geteilt werden?
Wie bereits oben kurz erwähnt, verbleiben die Daten, die in die KI-Apps eingegeben werden, nicht auf den Geräten, da die KIs, um Ergebnisse zu generieren, auf eine Internetverbindung und die Verbindung zu deren Server angewiesen sind. Die Schwelle zur Nutzung von KI-Apps wie Claude oder ChatGPT ist auf mobilen Geräten außerdem oft weitaus geringer, da schnell etwas “zwischendurch” erledigt werden kann.
Unternehmen sollten ihre Mitarbeitenden dementsprechend darauf hinweisen, dass keine sensiblen, personenbezogenen Daten geteilt werden dürfen.
Auch unternehmensinterne Daten wie z.B. Gehälter, Umsätze oder Ähnliches sollten nie direkt in die KI eingegeben werden.
Was tun, wenn KI auf mobilen Geräten nicht verwendet werden soll?
Aus datenschutzrechtlichen Gründen können sich Unternehmen dazu entschließen, die Nutzung von KI auf mobilen Geräten grundsätzlich nicht zuzulassen. Um KI-Anwendungen auf mobilen Geräten gänzlich zu verbieten, gibt es verschiedene Möglichkeiten. Ein MDM bietet Unterstützung darin, diese Richtlinien schnell und effizient auf allen Unternehmensgeräten umzusetzen. Die radikalste Variante für Android und Apple Geräte ist, die KI-Apps direkt auf eine Blocklist zu setzen. Dadurch wird verhindert, dass Apps wie ChatGPT, Gemini oder Claude gar nicht erst installiert werden können.
Wurden die Apps bereits installiert, können sie per Deinstallationsbefehl auch wieder von mobilen Geräten entfernt werden.
Wir empfehlen neben der Blocklist außerdem den App Katalog der mobilen Geräte entsprechend zu konfigurieren. Bei Android kann per MDM der Google Play Store so eingestellt werden, dass nur vom Unternehmen freigegebene Apps dort erscheinen und überhaupt installiert werden können.
Mehr zur App Vergabe auf Android Geräten können Sie in unserem YouTube Video erfahren: Apps installieren (Android)
Bei Apple DEP Geräten müssen wiederum Apps installiert werden, die im Apple Business Portal vom Admin freigegeben werden. Ohne die VPP Lizenz können Mitarbeitende keine Apps installieren.
Eine Vielzahl an mobiler Hardware hat allerdings mittlerweile eine interne KI, die systemseitig integriert ist. Bei Samsung Geräten ist das zum Beispiel die Galaxy AI, bei Apple wiederum Apple Intelligence. Über die Verwaltung von Apple Intelligence mit MDM können Sie im Abschnitt Apple News für MDM-Nutzer erfahren: Apple Intelligence MobiVisor. Apple Intelligence kann per MDM vollständig deaktiviert werden.
Auch Samsung bietet umfangreiche Möglichkeiten der Verwaltung von KI-Features an: So können zum Beispiel granular Anwendungen wie Note Assist, Circle to Search und Live Translate deaktiviert werden. Zusätzlich kann festgelegt werden, dass KI-Apps nur innerhalb der App verarbeitet werden sollen. Um diese Möglichkeiten nutzen zu können, muss das MDM allerdings die Samsung Enterprise API unterstützen.
Auch andere Android Geräte haben interne KI-Systeme – bei Google Pixel Geräten ist dies beispielsweise Google Gemini. Auch hier kann die App komplett blockiert werden. Um die Nutzung von Gemini in Google Chrome zu verhindern, kann per Browser Konfiguration die Nutzung von KI innerhalb des Browsers verhindert werden. Da auch viele weitere Android Geräte Google Chrome als Standardbrowser verwenden, bietet sich dieses Vorgehen auch für diese an.
Grundsätzlich ist die vollständige Verwaltung von KI-Apps oder Geräte-internen KI Systemen aber nur für vollständig verwaltete mobile Geräte möglich (Company Owned – Business Only Modell). Bei allen anderen Einrichtungsmodellen (BYOD, COPE) besteht auf dem Gerät ein privates Profil, das nicht durch den IT-Admin verwaltet werden kann. Werden mobile Geräte auf diese Weise im Unternehmen eingesetzt, sollten Beschäftigte definitiv auf den richtigen Umgang mit KI-Apps hingewiesen werden. Bei Apple gibt es diese strikte Trennung in Profile nicht – aber auch hier gilt, dass privat installierte Apps nicht verwaltet werden können. Bei Apple Geräten im COPE Modus können KI-Apps aber beispielsweise per MDM installiert werden und sind somit verwaltbar. Mehr dazu erfahren Sie in diesem Artikel: Apple BYOD
Fazit:
Auch wenn der Einsatz von KI-Apps wie ChatGPT, Claude oder Google Gemini zunächst trivial erscheint, so bergen diese Apps und auch die in mobilen Geräte integrierten KI-Systeme weitaus mehr Risiken als auf den ersten Blick ersichtlich wird. Unternehmen müssen sich daher nicht nur Gedanken machen, wie und ob KI grundsätzlich eingesetzt werden darf, sondern auch darüber, wie innerhalb dieser Anwendungen mit ihren sensiblen Daten umgegangen werden soll. Daraus müssen datenschutzkonforme Richtlinien zum Umgang und zur Nutzung von KI erarbeitet werden, die auch technisch umgesetzt werden müssen. Ein MDM bietet hierfür verschiedene Möglichkeiten: Von der kompletten Blockierung von KI-Apps bis hin zur Konfiguration von Google Chrome.
Je nach Nutzungsmodell der mobilen Geräte kommen hier verschiedene Möglichkeiten in Frage. Für Unternehmen ergeben sich also bei der Verwaltung von KI-Anwendungen im Unternehmen mehrere Ebenen, die ineinandergreifen.
