Alternativen zu iOS und Android: Wege zur mobilen Unabhängigkeit

Die Abhängigkeit deutscher Unternehmen von ausländischen Technologieanbietern hat laut einer Bitkom-Studie ein bedenkliches Ausmaß erreicht. Die Untersuchung „Digitale Souveränität – Wie abhängig ist unsere Wirtschaft?“ offenbart, dass 90 Prozent der deutschen Unternehmen Endgeräte importieren. Bei Software-Anwendungen sind es 75 Prozent, bei Cybersicherheitslösungen 72 Prozent.

Besonders problematisch: 81 Prozent der Firmen sehen sich als abhängig von Digitalimporten aus den USA an, davon bezeichnen sich 41 Prozent als stark abhängig. Zudem bereiten die politischen Entwicklungen den Verantwortlichen Sorgen – 78 Prozent zeigen sich beunruhigt wegen der Dominanz der USA, 68 Prozent wegen der Chinas.

Eines ist klar: Angesichts der Weltlage und der politischen Entwicklungen müssen sich Organisationen dringend mit diesem Thema befassen und prüfen, wie sie Abhängigkeiten reduzieren können.

Mobile Geräte mitbedenken

Wer sich mit dem Thema digitale Souveränität beschäftigt, sollte auch mobile Geräte in seine Überlegungen einbeziehen. Längst sind sie keine kleinen Gimmicks mehr, sondern leistungsfähige Computer, ohne deren Funktionsfähigkeit in manchen Organisationen das Chaos ausbricht oder die Arbeit stillsteht.

Smartphones und Tablets dienen der Datenerfassung, der Kommunikation, Unternehmen setzen sie teilweise zum Remote-Arbeiten ein, ermöglichen den entfernten Zugriff auf wichtige Daten, sind nötig für die Zwei-Faktor-Authentifizierung oder öffnen die Bürotür. In vielen Branchen nutzen Mitarbeiter Apps auf den Geräten, die komplette Arbeitsprozesse abbilden. Die Systeme übertragen diese dann teilweise automatisiert, beispielsweise an Abrechnungssysteme.

Gerade für kritische Infrastrukturen wie Strom- und Wasserversorgung, Gesundheitswesen oder den öffentlichen Verkehr ist digitale Souveränität von zentraler Bedeutung, da Ausfälle oder Abhängigkeiten von einzelnen Diensten unmittelbare Auswirkungen auf die Versorgungssicherheit und die öffentliche Ordnung haben können. Doch auch für andere Unternehmen – unabhängig von Größe und Branche – gilt: Wer bei mobilen Geräten die eigene digitale Handlungsfähigkeit nicht sichert, setzt sich einem erheblichen Risiko aus.

Alternative zum Google-Monopol

Bei Smartphones zeigt sich schnell, wie groß die Abhängigkeit beispielsweise von den USA ist, denn mit iOS und Android gibt es nur zwei dominierende Systeme. Bei iPhones oder iPads ist es aktuell völlig unmöglich, eine US-unabhängige

Lösung zu finden. Anders bei Android: Hier gibt es zwar den beherrschenden US-Riesen Google, aber es gibt auch das Android Open Source Project (AOSP), eine quelloffene Alternative zum „Google Android“.

Ein Beispiel für ein Betriebssystem, das auf AOSP basiert, ist /e/OS. Das Gesamtpaket von Google-Anwendungen und -Schnittstellen, das auf zertifizierten Android-Geräten vorinstalliert ist – etwa Google Play Store, Gmail, Google Maps oder YouTube –, fehlt auf diesen Geräten. Darüber hinaus gibt es noch einige andere Projekte wie GrapheneOS, CalyxOS oder iodéOS, die ähnliche Ansätze verfolgen. Für den Einsatz solcher Google-unabhängigen Betriebssysteme sind kompatible Geräte erforderlich.

Die jeweiligen Anbieter listen unterstützte Modelle auf ihren Webseiten auf. Auf der Liste von /e/OS-Anbieter Murena finden sich beispielsweise die nachhaltigen Fairphones aus den Niederlanden, aber auch verschiedene Google-Pixel-Modelle. Letzteres mag paradox erscheinen, hat aber technische Gründe: Pixel-Geräte eignen sich aufgrund ihrer offenen Architektur besonders gut für die Installation alternativer Betriebssysteme.

Wer andere Geräte einsetzen möchte, die nicht auf den Listen der Anbieter stehen, stößt derzeit oft auf Einschränkungen. Theoretisch könnte man zwar auch andere Android-Geräte rooten und Open Source darauf installieren, doch es gibt Einschränkungen. Nicht alle Androiden eignen sich für das Rooten oder Aufspielen von benutzerdefinierten Betriebssystemen. Daher empfiehlt es sich vor allem für Unternehmen, auf die geprüften Modelle zu setzen.

Verwaltung erfordert europäische Lösungen

Nach der Auswahl des Google-unabhängigen Betriebssystems und passender Geräte fehlt noch ein Mobile-Device-Management-(MDM)-System. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt MDM-Systeme bei allen Mobility-Projekten zwingend, um den Datenschutz zu gewährleisten. Sie sorgen für die sichere und nach der Datenschutzgrundverordnung (DSGVO) konforme Verwaltung der Geräte. Das BSI erklärt: „Mit Blick auf die Sicherheit ist die Kernfunktion des MDM-Systems die wirksame Durchsetzung definierter Sicherheitsrichtlinien und Konfigurationsparameter auf den mobilen Endgeräten.“ Diese Empfehlung gilt grundsätzlich, egal ob Unternehmen mit iOS-Geräten, Google-fähigen oder entgoogelten Geräten arbeiten.

Ein Mobile Device Management verwaltet und kontrolliert mobile Endgeräte in einem Unternehmen. Dazu gehören die zentrale Einrichtung und das Ausrollen von Konfigurationen (E-Mail, WLAN und VPN), die Implementierung von Sicherheitsrichtlinien, die Bereitstellung von Anwendungen und Updates, die Verwaltung und der Schutz von Daten auf den Geräten sowie Remote Wipe und Remote Lock bei Geräteverlust. Will man mobil digital souverän agieren, muss natürlich auch das MDM-System aus Europa oder aus Deutschland sein. Ein US-System oder eines aus einem Land außerhalb Europas widerspricht der digitalen Souveränität.

Praktische Hürden beim Verzicht auf Google-Dienste

Bei Geräten ohne Google sind neben den normalen MDM-Aufgaben primär zwei Bereiche für Unternehmen relevant: die Inbetriebnahme der Geräte ohne manuelles Einrichten und das Verteilen von Apps.

Nutzt man Google in Verbindung mit einer passenden MDM-Lösung, werden beim Zero-Touch-Enrollment von Android Enterprise die Geräte automatisch mit Einstellungen, Anwendungen und Richtlinien konfiguriert, wenn die Benutzer sie zum ersten Mal einschalten. Zur Identifikation der Geräte nutzt das System bei der Anmeldung Geräteinformationen und Konfigurationsprofile.

Bei Android ohne Google, also bei Open-Source-Lösungen, funktioniert das nicht. Derzeit gibt es keine Möglichkeit, die Geräte automatisch mit dem MDM zu verbinden. Das geht nur manuell. Zudem gibt es nur wenige Geräte, die ab Werk ohne Google gekauft werden können. Häufig müssen Unternehmen die Geräte erst „entgoogeln“ und danach mit dem MDM verbinden.

Anschließend erhalten sie automatisch den MDM-Payload mit den Konfigurationen. Der Unterschied zum Zero-Touch besteht darin: Das Gerät muss entgoogelt und manuell mit dem MDM verbunden werden. Deswegen übernehmen einige Google-unabhängige MDM-Anbieter für Kunden, die Geräte über sie beziehen, den gesamten Inbetriebnahmeprozess.

Die zweite Herausforderung besteht darin, Apps ohne den sonst üblichen Weg über den Google Play Store zu verteilen. Spezialisierte MDM-Anbieter lösen das, indem sie auf dem Gerät die Apps in Form signierter Android Package Kits (APK) einspielen. Dieser Weg wird auch genutzt, um Eigenentwicklungen von Unternehmen auf den Geräten zu verteilen.

Diese APKs lassen sich zentral verwalten und ohne Google-Dienste installieren. Einer datenschutzkonformen Nutzung der Apps steht damit nichts im Weg. Auch App-Updates können Unternehmen so zentral installieren und verwalten. Die Einrichtung von Exchange-Konten, VPNs und WLAN erfolgt über die Profile im MDM oder über die verwalteten Konfigurationen der gewünschten App.

Schrittweise Umsetzung als realistischer Weg

Wer sein Unternehmen digital souverän aufstellen möchte, der findet schon heute Wege zur Realisierung. Wichtig dabei: eine schrittweise Umsetzung der Strategie. Die Umstellung sollte bei besonders sicherheitssensiblen Bereichen beginnen. Die Verantwortlichen müssen aber bedenken, dass ein Ersetzen von nicht-europäischen Diensten auch Funktionseinschränkungen mit sich bringen kann. Nicht alles wird genauso wie vorher funktionieren. Zudem können zusätzliche Kosten entstehen.

Trotz dieser Herausforderungen sollten sich Unternehmen mit dem Thema digitale Souveränität auseinandersetzen und vorsorgen. Eine vollständige digitale Unabhängigkeit ist derzeit jedoch nicht realistisch, aber Organisationen können bereits jetzt prüfen, was möglich ist.