Kurz vorweg: BYOD ist 2026 in der Schweiz Realität – fast jedes KMU lässt Mitarbeitende mit privaten Smartphones auf Mail und Teams zugreifen. Stille Duldung ist allerdings keine Strategie. Pflicht sind: eine schriftliche BYOD-Vereinbarung pro Mitarbeitender, Mobile Application Management (Intune MAM oder Kandji/Jamf), eine pauschale Auslagen-Entschädigung gemäss OR 327a und ein klares Offboarding mit „Corporate Wipe“. Für Geräte, die in regulierten Bereichen genutzt werden (Finanz, Health), ist BYOD oft gar nicht zulässig – COPE oder COBO sind dann der Weg.
BYOD vs. CYOD vs. COPE vs. COBO
BYOD – Bring Your Own Device
Mitarbeitender bringt sein privates Gerät und verwendet es auch geschäftlich. Günstig, beliebt, aber rechtlich komplex. Pflicht: MAM und Vereinbarung.
CYOD – Choose Your Own Device
Firma bietet Geräteauswahl, kauft das Gerät und überlässt es dem Mitarbeitenden. Eigentum bleibt bei der Firma. Pragmatischer Mittelweg.
COPE – Company Owned, Personally Enabled
Firmen-Gerät, private Nutzung erlaubt. Firma installiert MDM, Mitarbeitender hat einen privaten Bereich (Android Work Profile, iOS User Enrollment).
COBO – Company Owned, Business Only
Striktes Firmen-Gerät, keine private Nutzung. Häufig in Finanz, Health, OT. Vollkontrolle, einfachste Compliance.
Was rechtlich Pflicht ist
- OR Art. 327 / 327a: Arbeitgeber stellt Geräte oder erstattet Auslagen. Bei BYOD: pauschale Entschädigung Pflicht.
- revDSG Art. 8: Datensicherheits-Pflicht. Firmendaten auf BYOD-Gerät brauchen technische Massnahmen (Verschlüsselung, MAM, MFA).
- revDSG Art. 12: Bearbeitungsverzeichnis. BYOD-Geräte als Bearbeitungs-Mittel erfassen.
- ArG / ArGV: Bei Erfassung der Arbeitszeit auf BYOD-Gerät → Zeiterfassung Pflicht. Erreichbarkeit ausserhalb der Arbeitszeit klären.
- OR Art. 328: Persönlichkeits-Schutz – keine versteckte Überwachung des privaten Geräts. Kein Vollzugriff aufs Privatgerät erlaubt.
- GeBüV: Geschäfts-Korrespondenz auch auf BYOD-Geräten unterliegt 10-Jahres-Archivierungspflicht (über M365/Server, nicht auf dem Gerät selbst).
- NIS2/ISG (sofern relevant): Endgeräte-Sicherheit als kritisches Kontrollziel. BYOD ohne MAM ist faktisch nicht compliance-fähig.
- Quellensteuer und AHV-Beiträge: Höhere BYOD-Pauschalen können Lohnbestandteil werden – ESTV-Spesenreglement vorab klären.
Tools für BYOD-Schutz
Microsoft Intune – App Protection Policies (MAM)
Schützt Firmen-Daten in Microsoft-Apps (Outlook, Teams, OneDrive, Word) per Container. Kein Geräte-Enrollment nötig, kein Zugriff auf private Daten. Selektives Wipe möglich. In M365 Business Premium und E3/E5 inkludiert.
Preis-Indikation
In M365 Business Premium CHF 21.10/MA/Mo, Intune Standalone ab USD 8/User.
Empfehlung
Standard-Empfehlung für 95% aller Schweizer KMU mit M365.
Jamf School / Jamf Now / Jamf Pro
Apple-spezialisiertes MDM/MAM. User Enrollment auf iOS trennt Firmen- und Privatbereich technisch sauber. Sehr feine Policy-Möglichkeiten.
Preis-Indikation
Jamf Now ab USD 4/Gerät, Jamf Pro ab USD 7.20.
Empfehlung
Erste Wahl wenn überwiegend Apple-Geräte (Mac, iPhone) und kein vollständiger Microsoft-Stack.
Kandji
Modernes Apple-MDM, sehr Schweiz-tauglich und mit starkem Zero-Touch-Setup für BYOD-Macs.
Preis-Indikation
ab USD 6/Gerät/Monat.
Empfehlung
Top für Design-/Tech-KMU mit primär macOS-Stack.
Google Workspace Endpoint Management
Basis-MDM im Workspace inkludiert, Advanced-Stufe für detailliertere Steuerung. Android Work Profile für BYOD nativ.
Preis-Indikation
In Workspace Business Plus enthalten (CHF 18/MA/Mo).
Empfehlung
Für Workspace-KMU pragmatisch – Android-zentriert.
VMware Workspace ONE / Omnissa
Enterprise-MDM/MAM mit starkem App-Wrapping und Cross-Platform-Support. Seit Broadcom-Abspaltung als Omnissa unterwegs.
Preis-Indikation
ab USD 7–15/Gerät, Volume-Lizenzen verhandelbar.
Empfehlung
Für mittlere KMU mit gemischtem Stack und EMM-Anspruch.
Hexnode / Scalefusion / Miradore
Günstige Multi-OS-MDM/MAM-Tools für KMU. Solide Funktionen, einfache UI.
Preis-Indikation
ab USD 1.50–3/Gerät/Monat.
Empfehlung
Top-Wahl bei knappem Budget und gemischter Geräte-Flotte.
Inhalt einer BYOD-Vereinbarung
- Zweck: Welche Aufgaben dürfen auf dem privaten Gerät erledigt werden? (z. B. Mail, Teams, OneDrive – aber keine ERP-/Lohn-Software).
- Erlaubte Geräte: Mindest-OS-Version, Hersteller-Support, Jailbreak/Root verboten. Beispiel: „iOS 17 oder höher, Android 13 oder höher mit aktuellen Sicherheitsupdates.“
- Sicherheits-Pflichten: Bildschirmsperre mit ≥ 6-stelligem PIN/Biometrie, automatische Sperre nach 5 Min., Verschlüsselung aktiv, MFA für Firmen-Konten.
- MAM/MDM-Zugriff: Genaue Beschreibung was die Firma sehen / steuern darf (Firmen-Apps und -Daten ja, private Apps/Fotos nein). Transparenz schafft Vertrauen.
- Auslagen-Entschädigung: Pauschale CHF X/Mo für Datentarif, Abnutzung, Versicherung. Klare Zahlmodalität (Lohn-Zusatzzeile vs. Spesen).
- Verlust/Diebstahl: Sofortige Meldepflicht an IT. Recht der Firma auf Remote-Wipe der Firmen-Daten („Corporate Wipe“).
- Beendigung: Bei Austritt Corporate Wipe Pflicht, bestätigt durch IT-Ticket. Mitarbeitender hat danach keinen Zugriff mehr auf Firmen-Daten.
- Haftung & Schaden: Klare Regelung wer für Geräteschaden, Datenverlust, Daten-Pannen haftet. Reisekrankenversicherung und Haftpflicht prüfen.
- Arbeitszeit & Erreichbarkeit: BYOD ≠ 24/7-Bereitschaft. Klare Regelung der Erreichbarkeit ausserhalb der Arbeitszeit (ArG).
- revDSG-Information: Welche Daten werden durch das MDM/MAM verarbeitet, Aufbewahrungsdauer, Lösch-Recht.
4-Wochen-Einführung
Woche 1 – Status & Policy-Draft
Welche Mitarbeitenden nutzen heute BYOD inoffiziell? Welche Apps? Policy-Draft mit HR und Geschäftsleitung schreiben.
Woche 2 – Tool & Pilot
Intune App Protection Policies konfigurieren (Encrypt, PIN, Save-As-Block, Copy-Paste-Block). 3–5 Pilot-User testen.
Woche 3 – Vereinbarung & Roll-out
Mitarbeiter-Information, Unterschrift BYOD-Vereinbarung, Enrollment-Anleitung. Pauschale via HR aktiv setzen.
Woche 4 – Offboarding-Prozess & Monitoring
Corporate-Wipe-Checkliste in HR-Offboarding integrieren. Monitoring (Compliance-Reports, Versuche umgehen) aufsetzen.
Typische Stolpersteine
- „BYOD läuft schon, ohne Probleme“: Bis zur ersten Datenpanne. revDSG-Meldepflicht (72h) trifft auch BYOD-Pannen. Pflicht: schriftliche Vereinbarung jetzt.
- Volles MDM auf Privatgerät: Übergriff in Persönlichkeitsrecht. Pflicht: MAM für BYOD, MDM nur für Firmen-Geräte.
- Keine Entschädigung gezahlt: OR-327a-Verletzung. Mitarbeitender kann Pauschale rückwirkend einklagen.
- Offboarding ohne Corporate Wipe: Firmen-Daten bleiben auf privatem Gerät. Pflicht: Wipe protokolliert, IT-Ticket geschlossen.
- Kein Conditional Access: Veraltete Geräte greifen weiterhin auf M365 zu. Pflicht: Conditional Access mit Geräte-Compliance-Anforderung.
- Quellensteuer vergessen: Hohe BYOD-Pauschalen ohne Spesenreglement → Lohnnachweis-Risiko. ESTV-Spesenreglement schreiben.
- Familienmitglieder nutzen Gerät: PIN zu schwach, Kinder „spielen“. Pflicht: BYOD-Vereinbarung schliesst geteilte Nutzung aus.
- Mitarbeiter-Schulung fehlt: BYOD-Risiken (Public-WLAN, Phishing, Lost-Device) nicht thematisiert. Pflicht: Awareness-Training auch für BYOD.
Fazit: BYOD ohne Policy ist Versicherungs-Russisch-Roulette
BYOD ist 2026 nicht das Problem – fehlende Policy, fehlendes MAM und fehlende Entschädigung sind es. Jedes Schweizer KMU mit BYOD braucht: schriftliche Vereinbarung, Intune App Protection Policies (oder Jamf/Kandji), pauschale Auslagen-Entschädigung und ein klar definiertes Offboarding mit Corporate Wipe. Dann ist BYOD ein Effizienz- und Mitarbeiter-Zufriedenheits-Hebel statt ein Compliance-Risiko.
Für regulierte Bereiche (FINMA, Finanzdaten, Patientendaten) bleibt: BYOD nein, COPE oder COBO ja. Für alle anderen ist BYOD plus MAM die pragmatische Lösung – günstiger als Firmen-Smartphone für alle, sicher genug für M365-Standard-Workloads, rechtskonform mit OR, revDSG und ArG.
BYOD rechtssicher aufsetzen
Wir schreiben Ihre BYOD-Vereinbarung, konfigurieren Intune App Protection (oder Jamf/Kandji) und übergeben Offboarding-SOP und Audit-Doku schlüsselfertig.
Beratung anfragen