Geräte

Diensttelefon: Android, iPhone oder gar keins

Ein ehrlicher Vergleich der beiden Plattformen für den professionellen Einsatz in einer eingeschränkten Umgebung, mit den realen Kompromissen.

Veröffentlicht am 24. April 2025 16 Min. Lesezeit Exponiert

Zuletzt überprüft: 1. März 2026

Geöffneter Laptop auf einem Schreibtisch

Ein CFO ruft mich drei Tage nach dem Platzen eines M&A-Deals an. Sein Telefon: ein privates iPhone im BYOD, sämtliche Familien-Apps darauf, die Dienst-Mail vom MDM der Firma verwaltet. Nur trennte das MDM nichts von seiner privaten iCloud. Die Due-Diligence-Dateien waren in iCloud Photos gelandet — automatisches Backup — und dann über die Familienfreigabe in das mit seinem Ehepartner geteilte Album. Fünf verschiedene Apple-Konten hatten die Dokumente gesehen. Niemand hatte irgendetwas „gehackt”. Das Telefon hatte nur das getan, wofür es gebaut ist: alles synchronisieren, überall, jederzeit.

Angle de lecture

Particulier RSSI / DSI

Die übliche Falle

„Wir haben ein MDM, wir sind geschützt.” Das ist der Satz, den ich am häufigsten höre, wenn ich die Frage nach dem Diensttelefon stelle. Er ist in der Mehrzahl der von mir auditierten Rollouts falsch, und er ist genau dort falsch, wo es darauf ankommt. Ein MDM steuert die Enrollment, kann eine PIN erzwingen, kann das Gerät aus der Ferne löschen, kann die Liste der installierten Apps und ihre Versionen sehen. Was es nicht kann: verhindern, dass iCloud ein dienstliches Dokument in das Familien-Fotoalbum synchronisiert, einen in der privaten Galerie gespeicherten Screenshot ungeschehen machen oder kontrollieren, was der Nutzer mit einer Datei macht, nachdem er sie geöffnet und über WhatsApp weitergeleitet hat. Das Problem ist nicht das MDM. Das Problem ist der Glaube, ein auf ein privates Gerät gesetztes MDM löse die Trennung der Daten. Es löst sie nicht. Es kaschiert sie.

Die zweite Falle ist der Glaubenskrieg Android gegen iPhone. Man wird Ihnen erklären, iOS sei „geschlossen, also sicher” oder Android sei „offen, also gefährlich”, und das Gegenteil mit ebenso viel Selbstsicherheit im gegnerischen Lager. Beide Behauptungen sind Slogans. Die Plattform zählt weniger als die Konfiguration, das daran gebundene Konto und der reale Gebrauch. Ein brandneues iPhone, das an eine mit drei Teenagern geteilte Familien-iCloud angeschlossen und mit Gratis-Apps vollgestopft ist, ist weniger sicher als ein altes Pixel unter einem gehärteten System, das für zwei ausgewählte Apps genutzt wird. Die Debatte Plattform gegen Plattform ist ein intellektueller Komfort, der die echte Frage vermeidet: Was läuft über dieses Telefon, und wer will es?

Die dritte Falle ist heimtückischer. Man behandelt das Telefon als Detail gegenüber dem Laptop, während es längst umgekehrt ist. Das Telefon ist das Endgerät, das nie die Tasche verlässt, das die MFA-Codes empfängt, das die Mail beherbergt, das permanent ortet, das die Grenzen in der Tasche und nicht im Koffer passiert. Es ist der dichteste Single Point of Failure Ihres digitalen Lebens, und es wird mit einer Lässigkeit behandelt, die man einem Arbeitsplatzrechner nie zugestehen würde. Die richtige Frage lautet nicht „welches Telefon ist am sichersten”, sondern „wovor soll mich dieses Telefon schützen, und was bin ich bereit, dafür an Komfort zu zahlen”.

Reales Bedrohungsmodell: wer es will und wie

Bevor man eine Plattform wählt, muss man den Gegner benennen. Das Telefon eines Vertriebsmitarbeiters ohne Zugriff auf sensible Daten und das eines Geschäftsführers mitten in einer M&A-Operation stehen nicht denselben Bedrohungen gegenüber, und ihnen dieselbe Konfiguration zu verpassen ist ein Fehler in beide Richtungen: Den ersten zu überschützen erzeugt unnötige Reibung, den zweiten zu unterschützen erzeugt einen Schaden.

Der erste Vektor, der banalste und häufigste, ist die passive Exfiltration durch die Apps selbst. Die Mehrzahl der mobilen Datenlecks kommt nicht von einem ausgefeilten Exploit, sondern von völlig legalen Apps, die absaugen, was man ihnen erlaubt hat: an Datenhändler weiterverkaufte Ortung, „zur Verbesserung des Dienstes” hochgeladenes Adressbuch, Zugriff auf die Zwischenablage, in der eingefügte Passwörter herumliegen. Eine kostenlose Wetter-App, die Ihre Position rund um die Uhr metergenau kennt, erzeugt ein Bewegungsprofil, das, abgeglichen, Ihr Zuhause, Ihr Büro, Ihre wiederkehrenden Termine und Ihre ungewöhnlichen Reisen offenbart. Das sind Metadaten, und sie sprechen oft lauter als der Inhalt.

Der zweite Vektor ist das Konto statt des Geräts. Ein Angreifer muss Ihr iPhone nicht physisch berühren, wenn er die Kontrolle über Ihre Apple-ID oder Ihr Google-Konto übernehmen kann. Ein erfolgreicher SIM-Swap, gefolgt von einem Passwort-Reset per SMS, und der Gegner gelangt an Ihre Cloud-Backups, Ihre Fotos, manchmal Ihre Nachrichten — ohne dem Gerät je nahezukommen. Deshalb beginnt die Sicherheit des Diensttelefons mit der Sicherheit des Kontos, das es speist, nicht mit der gepanzerten Hülle.

Der dritte Vektor, vorbehalten wirklich gezielten Profilen, ist die aktive Ausbeutung: IMSI-Catcher, die den Mobilfunkverkehr in der Nähe abfangen, forensische Extraktionswerkzeuge vom Typ Cellebrite oder GrayKey, die an Grenzen und bei Festnahmen eingesetzt werden, und mietbare Spyware der Pegasus-Klasse, fähig zu einer Kompromittierung ohne Klick. Diese Bedrohungen sind selten, aber real für exponierte Führungskräfte, Journalisten, Wirtschaftsanwälte und jeden, der in Risikozonen reist. Es ist dieses letzte Drittel, das die härtesten Konfigurationen rechtfertigt — Lockdown Mode, gehärtetes System, wegwerfbares Einsatztelefon. Sie auf Otto Normalverbraucher anzuwenden ist Theater; sie nicht auf ein nachgewiesenes Ziel anzuwenden ist ein Fehler.

iPhone gegen Android: der Vergleich ohne Folklore

Stellen wir die technischen Fakten dar, ohne Slogan. Bei der Hardwaresicherheit sind sich beide Plattformen im Oberklassesegment inzwischen ebenbürtig: Apples Secure Enclave und der Titan M2 der Pixel sind dedizierte Koprozessoren, die die Verschlüsselungsschlüssel und die Biometrie vom Hauptsystem isolieren. Das Entsperren per Fingerabdruck oder Gesicht gibt den Schlüssel nicht außerhalb dieses Chips frei, und die Zahl der Versuche ist hardwareseitig gedeckelt. Auf diesem Terrain bieten ein aktuelles iPhone und ein aktuelles Pixel vergleichbaren Schutz gegen die Brute-Force-Extraktion des Codes.

Der wahre Unterschied entscheidet sich an drei konkreten Achsen. Die erste ist das Tempo und die Universalität der Updates. Apple verteilt eine iOS-Version am selben Tag an den gesamten kompatiblen Bestand, und ein kritischer Patch erreicht in wenigen Tagen Hunderte Millionen Geräte. Auf Android-Seite bleibt die Fragmentierung ein Problem: Nur die Pixel und eine Handvoll Hersteller garantieren schnelle und dauerhafte Patches; auf dem Rest des Bestands erhält ein vor zwei Jahren gekauftes Mittelklasse-Telefon womöglich keinen Sicherheitspatch mehr. Für den professionellen Einsatz disqualifiziert das faktisch die Mehrzahl der Consumer-Android-Geräte und reduziert die ernsthafte Android-Wahl auf die Pixel-Reihe — oder auf ein darauf gehärtetes System.

Die zweite Achse ist das App-Modell. Die Kontrolle des App Store eliminiert den Großteil der Consumer-Malware, zum Preis eines verriegelten Ökosystems. Android erlaubt die Installation außerhalb des Stores (Sideloading), was zugleich eine wertvolle Freiheit für ein versiertes Profil und eine offene Tür für einen Nutzer ist, der auf eine per Nachricht erhaltene APK klickt. Die Granularität der Berechtigungen wirkt in die Gegenrichtung: Android, und vor allem die darauf gehärteten Systeme, erlauben eine deutlich feinere Kontrolle dessen, was eine App tun darf — insbesondere den Netzzugang einer App zu kappen und ihr die übrigen Berechtigungen zu lassen, was iOS nativ nicht kann.

Die dritte Achse ist die forensische Extraktion und die Grenzen. Werkzeuge vom Typ Cellebrite oder GrayKey nutzen permanent Schwachstellen, um den Inhalt eines beschlagnahmten Telefons zu extrahieren. Keine Plattform ist dauerhaft immun, aber der Zustand, in dem sich das Gerät zum Zeitpunkt der Beschlagnahme befindet, ändert alles: Ein Telefon, das seit dem Neustart nicht entsperrt wurde (Zustand BFU, Before First Unlock), hat seine Daten im Ruhezustand verschlüsselt und widersteht weit besser als ein bereits einmal entsperrtes Gerät (Zustand AFU). Die operative Disziplin — das Telefon vor einer sensiblen Grenzpassage vollständig auszuschalten statt es zu sperren — zählt mehr als die Marke. In diesem Punkt bewältigt man eine Grenzkontrolle nicht mit einer Hülle, sondern mit einer Prozedur: vollständiges Ausschalten, langer Code, keine aktive Biometrie in der Risikozone.

Der richtige Ansatz: ein Spektrum, kein Lager

Es gibt kein „bestes Telefon”. Es gibt ein Spektrum der Isolation, vom praktischsten zum härtesten, und man setzt den Regler nach dem Bedrohungsmodell und dem Komfort, den man zu opfern bereit ist. Hier sind die vier Stufen, die ich tatsächlich verwende.

Stufe 1 — Standard-iPhone, dediziertes Konto. Für die Mehrzahl der professionellen Einsätze im nicht kritischen Unternehmen ist das die ehrliche Baseline. iOS bringt eine gute Grundsicherheit: Isolation der Apps (Sandboxing), Secure Enclave für biometrische und Verschlüsselungsschlüssel, schnelle, gleichzeitig an den gesamten Bestand verteilte Updates, strenge App-Store-Kontrolle, die den Großteil der Malware eliminiert. Der Hebel, der alles ändert, ist nicht das Gerät, sondern das Konto: eine dem Dienst gewidmete Apple-ID, ohne Familienfreigabe, mit deaktivierten iCloud Photos und Backup der sensiblen Dokumente. Das ist kostenlos, für den Nutzer unsichtbar, und es eliminiert nahezu alle ungewollten Lecks, die ich im Audit sehe.

Stufe 2 — iPhone + Lockdown Mode. Für Profile mit Risiko gezielter, fortgeschrittener Angriffe — Führungskräfte, Wirtschaftsanwälte, Journalisten, medial exponierte Personen. Der Lockdown Mode deaktiviert oder beschränkt die Funktionen, die als Einfallstor für dokumentierte Angriffe dienten: JIT-Kompilierung in WebKit (eliminiert eine ganze Klasse von Browser-Exploits zum Preis langsameren Surfens), Link-Vorschauen in Nachrichten, kabelgebundene Verbindungen zu einem unbekannten Gerät, wenn das Telefon gesperrt ist (was die Kabel-Extraktion erschwert), nicht signierte Konfigurationsprofile. Der ergonomische Preis ist real, aber tragbar: Manche Web-Apps ruckeln, einige Funktionen verschwinden. Vor dem Erzwingen bei einem Geschäftsführer eine normale Woche lang zu testen, sonst schaltet er ihn schon am ersten Freitagabend ab.

Stufe 3 — Pixel unter GrapheneOS. Wenn das Bedrohungsmodell rechtfertigt, das Consumer-Ökosystem zu verlassen. GrapheneOS ist ein gehärtetes Android, unabhängig von Google entwickelt, das nur auf den Pixel läuft. Es bringt Dinge, die es nirgends sonst gibt: Netzwerk-Berechtigung pro App (Sie erlauben einer App das Mikrofon, kappen ihr aber jeden Internetzugang — sie nimmt auf, kann aber nichts exfiltrieren), optionaler Play Store, der in einer Sandbox ohne Systemprivilegien läuft, keine standardmäßig aktiven Google-Dienste, ernsthafte Kernel-Härtungen. Der Nachteil ist ehrlich: Manche Banking- oder Unternehmens-Apps verweigern den Dienst mangels Play Integrity, und die Einführung verlangt die Akzeptanz eines kargeren Ökosystems. Für einen sensiblen operativen Einsatz mit einer Handvoll ausgewählter Apps ist das die solideste auf einem Smartphone verfügbare Lösung.

Stufe 4 — Dediziertes Einsatztelefon. Für Situationen mit hohem und zeitlich begrenztem Risiko: M&A-Operation, sensible Verhandlung, Reise nach China oder Russland. Ein wegwerfbares Telefon mit einer temporären eSIM, minimaler Konfiguration, ohne persönliche Apps und Konten, ohne Zugriff auf Unternehmenssysteme außer über ein streng kontrolliertes VPN. Das Prinzip ist das des Reise-Laptops: Das Gerät ist dafür konzipiert, verloren, beschlagnahmt oder kompromittiert zu werden, ohne dass es ein Schaden ist. Das Haupttelefon bleibt im Heimatland oder geht in den Flugmodus und verlässt nicht den Safe.

Über dieses ganze Spektrum hinweg zählen drei übergreifende Maßnahmen mehr als die Wahl der Plattform. Erstens: das Konto sichern, das das Telefon speist — Hardware-MFA, keine Wiederherstellung per SMS, Überwachung des SIM-Swaps beim Provider. Zweitens: sensible Gespräche auf Signal umlenken, den einzigen Messenger, der Ende-zu-Ende-Verschlüsselung (E2EE) und minimale Metadatensammlung verbindet — WhatsApp verschlüsselt den Inhalt, liefert aber an Meta, wer mit wem spricht, wann und wie oft, was genügt, um einen Deal zu rekonstruieren. Drittens: die Apps inventarisieren und die missbräuchlichen Berechtigungen kappen. Diese drei Handgriffe kosten null Euro und schließen mehr Türen als jeder Telefonwechsel.

BYOD oder dediziertes Telefon: die ehrliche Abwägung

Die Frage kehrt bei jedem Rollout wieder: Soll man die Leute ihr eigenes Telefon nutzen lassen (BYOD, Bring Your Own Device) oder ein dediziertes Diensttelefon stellen? Die theatralische Antwort — „alle ein dediziertes” — ist finanziell und menschlich nicht haltbar. Die ehrliche Antwort hängt, wieder einmal, von den Daten ab, die durchlaufen.

BYOD hat zwei reale Vorteile, die man nicht wegwischen kann. Es kostet weniger, und vor allem wird es besser angenommen: Die Leute kümmern sich um ihr eigenes Telefon, haben es immer dabei, lassen es nicht „am Wochenende im Büro”. Rollout-Studien zeigen systematisch eine höhere Akzeptanzquote der Sicherheitsrichtlinien auf Geräten, die den Nutzern gehören. Aber BYOD hat eine strukturelle Grenze: Man erzwingt eine Abschottung auf einer Maschine, die jemand anderem gehört und deren Nutzungen den dienstlichen Rahmen weit überschreiten. Familien-iCloud, private Messenger, Freizeit-Apps, private Fotos — alles koexistiert mit den Unternehmensdaten. Ein MDM kann Richtlinien durchsetzen, aber es kann nicht entscheiden, was der Nutzer mit einer Datei macht, nachdem er sie in einer privaten App geöffnet hat.

Das dedizierte Telefon bietet eine reale Isolation: ein für den Dienst erstelltes Cloud-Konto, ohne Verbindung zum Privatleben, keine Familienfreigabe, keine private Galerie, die Dokumente absaugt. Im Gegenzug zahlt man das doppelte Gerät, akzeptiert eine mitunter mäßige Akzeptanzquote und nimmt in Kauf, dass der Nutzer nach einigen Monaten drei private Apps auf dem Diensttelefon installiert — was einen Teil der Vermischung, die man vermeiden wollte, wieder einführt. Disziplin lässt sich nicht verordnen, sie wird konzipiert: ein dediziertes Telefon ohne Kontrollprozedur driftet zu einem getarnten BYOD.

Meine Abwägung ist einfach. Unterhalb einer gewissen Sensibilitätsschwelle — ein Vertriebsmitarbeiter, ein Projektleiter ohne Zugriff auf strategische Daten — ist ein korrekt konfiguriertes BYOD mit abgeschottetem Cloud-Konto und Arbeitscontainer akzeptabel. Darüber — Geschäftsleitung, Finanzleitung im Einsatz, Rechtsabteilung im Streitfall — ist es dediziertes Gerät, Punkt. Und für die Extremstufe, Reise in eine Risikozone, ist es ein Einsatztelefon, das die Reise nicht überlebt.

Was das MDM kann und was nicht

Da das MDM das Werkzeug ist, auf das sich alle verlassen, seien wir präzise zu seinem realen Umfang. Ein MDM kann eine PIN oder Biometrie erzwingen, den Arbeitscontainer verschlüsseln, das Gerät oder allein das dienstliche Profil aus der Ferne löschen, bestimmte Apps oder Kategorien blockieren, ein permanentes VPN erzwingen, automatisch die WLAN- und Mail-Konfigurationen verteilen, die Liste der installierten Apps und ihre Versionen sehen und prüfen, ob das Betriebssystem aktuell ist, bevor es den Zugriff auf die Unternehmensressourcen erlaubt (die Integritätsattestierung, ein Baustein eines Zero-Trust-Ansatzes).

Ein MDM kann nicht den Inhalt verschlüsselter Gespräche lesen — Signal, iMessage, WhatsApp bleiben für es undurchsichtig, das ist gewollt und gesund. Es kann keinen Screenshot eines angezeigten Dokuments verhindern, auch nicht das mit einem anderen Gerät abfotografierte Foto eines Bildschirms. Es kontrolliert nichts von dem, was in den außerhalb seines Perimeters installierten privaten Apps geschieht. Und auf einem BYOD kann es technisch nicht garantieren, dass ein Kopieren von einer Dienst- in eine Privat-App die Daten nicht leckt, es sei denn, man rollt eine aggressive applikative DLP-Richtlinie aus, die die Nutzer schnell umgehen, wenn sie zu lästig ist.

Die operative Lehre lässt sich in einem Satz fassen: Ein MDM gibt eine Illusion der Kontrolle über die privaten Geräte. Wenn Ihre Sicherheitsrichtlinie auf der Überzeugung beruht, das MDM verhindere das Datenleck von einem BYOD, managen Sie ein Risiko, das Sie für beherrscht halten, während es das nicht ist. Das MDM ist notwendig, es ist nie hinreichend, und es ersetzt nie die Abschottung durch das Konto und durch das Gerät.

Was das konkret bedeutet

Für Sie als Privatperson

Drei Dinge diese Woche, unter 200 €, die Ihre Exposition real verringern, ohne das Telefon zu wechseln.

Trennen Sie das Konto, nicht unbedingt das Gerät — Richten Sie auf Ihrem iPhone eine saubere dienstliche Nutzung ein: Deaktivieren Sie die Familienfreigabe für Ihre sensiblen Dokumente, kappen Sie iCloud Photos für die Arbeitsordner, prüfen Sie, dass kein geteiltes Album Ihre Screenshots synchronisiert. Kostenlos, zehn Minuten, und es eliminiert das häufigste Leck.
Räumen Sie bei den Berechtigungen auf — Gehen Sie App für App durch, wer auf Ihre Position, Ihr Mikrofon, Ihre Kontakte zugreift. Kappen Sie die „immer aktive” Ortung für alles, was keine Karte ist, die Sie live benutzen. Deinstallieren Sie Gratis-Apps für Wetter, Taschenlampe, kostenlose VPNs und Hilfsprogramme: Ihr Geschäftsmodell sind Sie. Kostenlos.
Verlagern Sie das Sensible auf Signal — Für jedes Gespräch, das Sie nicht von einem Dritten gelesen sehen möchten, nutzen Sie Signal und aktivieren Sie verschwindende Nachrichten. Und schützen Sie das Konto, das Ihr Telefon trägt: Hardware-MFA oder Authenticator-App, nie SMS, und rufen Sie Ihren Provider an, um einen Schutz gegen den SIM-Swap zu aktivieren. Kostenlos.

Für Sie als CISO / IT-Leitung / Geschäftsführung

1. Ein MDM ohne Dienst-/Privat-Segmentierung ist für Führungskräfte nicht akzeptabel. Ein intrusives MDM auf dem privaten Gerät eines Geschäftsführers zu erzwingen — das seine Apps sieht, alles löschen kann, seine Position liest — erzeugt einen legitimen und völlig vorhersehbaren Widerstand: Er wird die Ausrüstung ablehnen oder, schlimmer, sie umgehen. Die modernen MDMs (Jamf, Intune) erlauben die Trennung der Daten über Arbeitscontainer oder applikative DLP-Profile. Direkte Konsequenz: Wenn Ihr BYOD-Rollout das Dienstliche nicht technisch vom Privaten trennt, haben Sie ein DSGVO-Rechtsrisiko bei den personenbezogenen Daten, die Sie verwalten, zusätzlich zu einem unbeherrschten Leck dienstlicher Daten.

2. Definieren Sie das Telefon über das Risikoniveau der Daten, nicht über den Nutzerkomfort. Kartieren Sie, welche Rollen auf was zugreifen: Ein Vertriebsmitarbeiter ohne Zugriff auf strategische Daten kann bei einem gut konfigurierten BYOD bleiben; ein Mitglied der Geschäftsleitung im Einsatz muss ein dediziertes Gerät mit abgeschottetem Konto haben. Direkte Konsequenz: Ohne diese Kartierung wenden Sie dieselbe Richtlinie auf die gesamte Flotte an, also zu viel Reibung für die einen und zu wenig Schutz für die anderen — und genau die exponierte Führungskraft erhält die gefährlichste Ausnahme.

3. Schreiben und testen Sie die Austritts-Prozedur. Was passiert auf dem Telefon eines BYOD, wenn der Mitarbeiter kündigt? Löscht der partielle Wipe wirklich nur den Dienst-Container? Prüfen Sie das unter realen Bedingungen, nicht auf dem Datenblatt des Anbieters. Direkte Konsequenz: Ein schlecht konfigurierter Wipe löscht die Familienfotos eines Ex-Mitarbeiters (Rechtsstreit garantiert) oder lässt die Dienstdaten auf einem in die Wildnis entlassenen Gerät zurück (Leck garantiert).

Fehler, die man ständig sieht

BYOD mit aktiver iCloud-Familienfreigabe: Die auf dem „dienstlichen” Telefon empfangenen oder heruntergeladenen Dateien wandern in die mit der Familie geteilten Alben. Ungewollt, systematisch und unsichtbar bis zum Schaden.
Glauben, der Lockdown Mode schütze vor allem: Er härtet die Angriffsfläche gegen bestimmte Exploits. Er tut nichts gegen einen Nutzer, der ein sensibles Dokument freiwillig über WhatsApp weiterleitet.
WhatsApp für Deal-Gespräche: Der Inhalt ist verschlüsselt, gut. Aber die Metadaten — wer, wann, wie oft — haben einen Wert an sich und gehen an Meta.
GrapheneOS jemandem aufgezwungen, der seine Banking-App braucht: Die schönste Konfiguration der Welt nützt nichts, wenn der Nutzer parallel ein zweites, nicht gehärtetes Telefon behält, um zu tun, was das erste nicht mehr tut.
Das Endgerät sichern und das Konto vergessen: Ein per TPM gesperrtes Gerät ist nichts wert, wenn sich die Apple-ID per einer durch SIM-Swap abfangbaren SMS zurücksetzen lässt.
Das Diensttelefon zählen und das andere vergessen: Das nicht inventarisierte Gerät — das alte private Android, das mit demselben Konto verbundene Tablet der Kinder — ist das Leck per Voreinstellung.

Umsetzbare Checkliste

N1 Ein dem Dienst gewidmetes Konto (Apple-ID / Google) anlegen, getrennt vom privaten und familiären Konto
N1 Familienfreigabe und iCloud Photos für sensible dienstliche Daten deaktivieren
N1 Berechtigungen App für App auditieren und überflüssige 'immer aktive' Ortung kappen
N1 Gratis-Apps mit Werbemodell deinstallieren (Wetter, kostenlose VPNs, Hilfsprogramme)
N1 Sensible Gespräche auf Signal mit verschwindenden Nachrichten umlenken
N2 Das Konto mit Hardware-MFA oder App schützen, nie per SMS, und beim Provider den Anti-SIM-Swap-Schutz aktivieren
N2 Lockdown Mode für Profile mit Risiko gezielter Angriffe aktivieren, nach einer Testwoche
N2 Ein MDM mit dokumentierter Dienst-/Privat-Trennung und getesteter Austritts-Prozedur ausrollen
N2 Die Rollen nach dem Risikoniveau der vom Mobilgerät zugänglichen Daten kartieren
N3 Ein Pixel unter GrapheneOS für die sensibelsten operativen Profile evaluieren
N3 Ein wegwerfbares Einsatztelefon mit temporärer eSIM für Reisen in Risikoländer vorsehen
N3 Alle an die Dienstkonten gebundenen Geräte inventarisieren und verwaiste Geräte neutralisieren

Zum Weiterlesen

Die GrapheneOS-Dokumentation beschreibt konkret das Modell der Netzwerk-Berechtigungen und die Funktionsweise des Play Store in der Sandbox, zu lesen vor jedem realen Rollout. Die Lockdown-Mode-Anleitung von Apple listet die genau deaktivierten Funktionen auf, unverzichtbar, um die ergonomische Erwartung eines Geschäftsführers zu kalibrieren. Der Apple Platform Security Guide dokumentiert die Secure Enclave und die Verschlüsselungskette, und die BSI-Empfehlungen zur sicheren Nutzung mobiler Geräte rahmen das Thema aus Sicht einer deutschen Unternehmenspolitik. Zu den angrenzenden Vektoren siehe den SIM-Swap, den Reise-Laptop und die Vorbereitung einer Reise nach China, behandelt in den verlinkten Artikeln.

Quellen und weiterführende Literatur

GrapheneOS — Documentation [official]
Apple — Lockdown Mode [official]
BSI — Sichere Nutzung von mobilen Geräten [official]
Apple Platform Security Guide [official]