Freitagabend, ein Anruf: „Mein Handy ist weg.“ Auf dem Gerät befinden sich das E-Mail-Postfach, Teams mit allen Chats, Kundendokumente aus OneDrive und die Authenticator-App für die Anmeldung. Entscheidend ist jetzt nicht, wo das Handy ist, sondern was jemand damit anfangen kann und wie schnell du reagieren kannst.
Was auf einem Firmenhandy alles steckt
Ein Smartphone ist längst ein vollwertiger Arbeitsplatz. Wer es findet oder gestohlen hat, hat im schlimmsten Fall Zugriff auf:
- E-Mails und Kontakte: Kundenkorrespondenz, Angebote, Rechnungen und personenbezogene Daten.
- Teams und OneDrive: interne Chats, freigegebene Dokumente und Dateien, die offline gespeichert sind.
- Die Authenticator-App: den zweiten Faktor für die Anmeldung. Ohne Ersatz kommt der Mitarbeitende selbst nicht mehr in seine Konten.
- Gespeicherte Anmeldungen: Apps, die dauerhaft angemeldet bleiben, auch nachdem das Passwort geändert wurde.
Szenario 1: Das Gerät ist nicht verwaltet
In vielen Unternehmen haben Mitarbeitende ihr E-Mail-Konto selbst auf dem Smartphone eingerichtet. Niemand weiß genau, welche Daten auf dem Gerät liegen, ob eine Displaysperre aktiv ist oder ob es noch Updates erhält. Im Ernstfall bleibt dann nur, Passwörter zu ändern und auf das Beste zu hoffen. Ob Daten abgeflossen sind, lässt sich kaum sagen, und genau das macht auch die Frage nach einer Datenschutzmeldung schwierig.
Szenario 2: Das Gerät ist mit Intune verwaltet
Ist das Smartphone in Microsoft Intune eingebunden, läuft der Ernstfall in vier klaren Schritten:
1. Unternehmensdaten löschen
Die Firmendaten auf dem Gerät werden aus der Ferne entfernt. Bei privaten Geräten betrifft das nur Outlook, Teams, OneDrive und Co., private Fotos und Apps bleiben unberührt. Reine Firmengeräte lassen sich bei Bedarf komplett zurücksetzen.
2. Sitzungen beenden
In Entra ID werden alle aktiven Anmeldungen des Benutzers widerrufen. Wer das Gerät in der Hand hat, ist abgemeldet und kommt ohne neue Anmeldung nicht mehr an Daten.
3. Anmeldemethode ersetzen
Die Authenticator-App auf dem verlorenen Gerät wird als Anmeldemethode entfernt. Über einen befristeten Zugangscode (Temporary Access Pass) richtet der Mitarbeitende sein Ersatzgerät sicher neu ein und kann direkt weiterarbeiten.
4. Zugriffe nachvollziehen
Über die Anmeldeprotokolle lässt sich prüfen, ob nach dem Verlust noch Zugriffe stattgefunden haben. Das ist die Grundlage, um zu entscheiden, ob ein Datenschutzvorfall vorliegt.
Das dauert wenige Minuten, vorausgesetzt, jemand weiß, was zu tun ist. Warum verwaltete Geräte auch für die Anmeldesicherheit entscheidend sind, liest du in unserem Beitrag Warum MFA allein keine Sicherheitsstrategie ist.
So sorgst du vor
Technisch
- Alle Geräte mit Zugriff auf Firmendaten über Intune verwalten, private Smartphones über App-Schutzrichtlinien.
- Displaysperre und Verschlüsselung als Pflicht festlegen.
- Per Conditional Access nur verwalteten Geräten und geschützten Apps den Zugriff auf Unternehmensdaten erlauben.
- Eine zweite Anmeldemethode hinterlegen, damit der Mitarbeitende am Montag weiterarbeiten kann.
Organisatorisch
- Eine klare Regel: Verlust sofort melden, auch am Wochenende. Ohne Vorwürfe, denn wer Ärger fürchtet, meldet später.
- Eine zentrale Telefonnummer, die jeder im Team kennt.
- Ein dokumentierter Ablauf, damit im Ernstfall niemand improvisieren muss.
Checkliste: Bist du auf den Verlust vorbereitet?
- Du weißt, welche Smartphones auf Firmendaten zugreifen, auch private.
- Alle diese Geräte sind in Intune eingebunden oder durch App-Schutzrichtlinien geschützt.
- Displaysperre und Verschlüsselung sind vorgeschrieben, nicht nur empfohlen.
- Conditional Access blockiert Zugriffe von unbekannten Geräten.
- Jeder Mitarbeitende hat eine zweite Anmeldemethode hinterlegt.
- Das Team kennt die Nummer, unter der ein Verlust gemeldet wird.
- Der Ablauf für Löschen, Abmelden und Ersatzgerät ist dokumentiert.
- Es ist geklärt, wer über eine mögliche Datenschutzmeldung entscheidet.
Wenn du bei mehr als zwei Punkten zögerst, lohnt sich ein genauerer Blick.
So läuft es in der Praxis ab
Ausgangssituation: Samstagabend, ein Außendienstmitarbeiter vermisst sein Diensthandy. Das Gerät ist über Intune verwaltet, und er meldet den Verlust sofort über die Notfall-Hotline.
Vorgehen: Wir löschen die Unternehmensdaten auf dem Gerät, beenden alle Sitzungen und entfernen die alte Authenticator-App. Die Anmeldeprotokolle zeigen, ob es nach dem Verlust noch Zugriffe gab. Am Montag richtet der Mitarbeitende sein Ersatzgerät mit einem befristeten Zugangscode ein.
Ergebnis: Die Firmendaten sind geschützt, der Vorfall ist dokumentiert, und der Mitarbeitende ist nach einer Viertelstunde wieder voll arbeitsfähig, oft bevor im Büro überhaupt jemand davon weiß.
Häufige Fragen
Löscht die Fernlöschung auch private Fotos?
Nicht zwingend. Bei privaten Geräten mit App-Schutzrichtlinien entfernt Intune nur die Unternehmensdaten aus Outlook, Teams, OneDrive und Co. Private Fotos und Apps bleiben unberührt. Nur bei reinen Firmengeräten wird bei Bedarf das komplette Gerät zurückgesetzt.
Reicht es, das Passwort zu ändern?
Nein. Bereits angemeldete Apps bleiben oft trotz neuem Passwort eine Zeit lang verbunden. Zusätzlich müssen die aktiven Sitzungen in Entra ID widerrufen und die Authenticator-App des verlorenen Geräts entfernt werden.
Muss ich den Verlust dem Datenschutz melden?
Möglicherweise. Liegen personenbezogene Daten ungeschützt auf dem Gerät, kann eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig sein. War das Gerät verschlüsselt, gesperrt und wurden die Daten zeitnah gelöscht, sinkt das Risiko deutlich. Dokumentiere den Vorfall in jedem Fall und stimme dich mit deinem Datenschutzverantwortlichen ab.
Wie geht es weiter?
Ob deine Geräte verwaltet sind, zeigt dir unser kostenloser Selbsttest in drei Minuten. Wenn du es genau wissen willst, prüfen wir im Microsoft-365-Sicherheitscheck Geräteverwaltung, Conditional Access und Anmeldemethoden und geben dir einen klaren Fahrplan. Für den Ernstfall selbst hilft ein IT-Notfallplan. Mehr zu unserem Ansatz findest du unter Microsoft 365.
// Autor
Sebastian Drees, Geschäftsführer der Mindbrain GmbH. Er begleitet Unternehmen in NRW dabei, Microsoft 365 sicher und strukturiert aufzustellen.