Hallo zusammen,

ich stehe aktuell vor der Abgabe meines IHK-Projektantrags zum Fachinformatiker für Systemintegration (FISI) und möchte mir gerne Feedback aus der Community einholen.

Ein Kollege meinte zu meinem Entwurf, dass das Projekt eventuell den 40 Stunden Rahmen sprengt und die Lösung im Antrag bereits zu stark vorweggenommen wird. Ich würde mich freuen, wenn ihr mal drüberschauen könntet.



IHK-Projektantrag (Fachinformatiker für Systemintegration)

1. Projektbezeichnung

Einführung einer Mobile Device Management Lösung (MDM) zur Absicherung mobiler Endgeräte und Erweiterung der Netzwerksicherheit durch VLAN-Segmentierung und zertifikatsbasierte Netzwerkzugriffskontrolle.

2. Geplanter Bearbeitungszeitraum

Beginn:
Ende:

3. Einsatzgebiet / Fachbereich

Das Projekt wird im Bereich IT-Betreuung und Systemadministration bei der…..GmbH in ….. durchgeführt. Zu den Aufgaben gehören die Betreuung von Windows-Servern, Terminalservern und RDP-Umgebungen, die Netzwerkadministration sowie der First- und Second-Level-Support.

4. Projektbeschreibung

4.1 Ausgangssituation / Ist-Analyse

Der Kunde XYZ beschäftigt ... Mitarbeiter. Für die tägliche Arbeit wird Microsoft 365 Business Standard mit Exchange Online und Outlook genutzt. Zusätzlich ist eine lokale Windows-Server-Infrastruktur vorhanden. Die Mitarbeiter greifen über einen zentralen Terminalserver auf die Branchensoftware EasySoft zu.

Die vorhandenen PCs und Notebooks sind bereits durch eine Zyxel-Hardware-Firewall sowie durch ESET Endpoint Security geschützt. Die rund ... mobilen Endgeräte mit iOS und Android werden dagegen bislang nicht zentral verwaltet. Die Mitarbeiter nutzen ihre privaten Geräte im Rahmen eines BYOD-Modells auch für dienstliche Zwecke.

Eine klare Trennung zwischen privaten und geschäftlichen Daten gibt es derzeit nicht. Dadurch lassen sich beispielsweise Daten aus Outlook in private Apps oder Messenger übertragen. Geht ein Gerät verloren, lassen sich geschäftliche Daten außerdem nicht gezielt aus der Ferne löschen.

Auch die Betreuung der Mobilgeräte ist dadurch aufwendiger. Einstellungen und Probleme müssen telefonisch mit dem jeweiligen Mitarbeiter geklärt oder direkt am Gerät überprüft werden. Eine zentrale Verwaltung der Geräte und ihrer Einstellungen gibt es bisher nicht.

4.2 Projektziel / Soll-Konzept

Das Ziel des Projekts ist die Auswahl und Einführung einer geeigneten MDM-Lösung. Dadurch werden die mobilen Endgeräte künftig zentral verwaltet, geschäftliche Daten besser geschützt und der Supportaufwand reduziert.

Die MDM-Lösung soll geschäftliche Daten von privaten Inhalten trennen und verhindern, dass Unternehmensdaten ohne Weiteres in private Apps oder Messenger übertragen werden. Bei Verlust eines Geräts oder beim Ausscheiden eines Mitarbeiters sollen ausschließlich die geschäftlichen Daten aus der Ferne gelöscht werden können.

Zusätzlich soll der Zugriff auf das interne WLAN abgesichert werden. Dazu wird der Windows Network Policy Server (NPS) als RADIUS-Server eingesetzt. Verwaltete Geräte sollen sich mithilfe eines Client-Zertifikats über EAP-TLS authentifizieren. Geräte ohne gültige Authentifizierung erhalten keinen Zugriff auf das interne Netzwerk. Für andere Geräte steht ein getrenntes Gäste-WLAN beziehungsweise Gäste-VLAN mit Internetzugriff zur Verfügung.

Vor der Einführung wird die Lösung mit Testgeräten unter iOS und Android geprüft. Getestet werden die Geräteverwaltung, die Trennung der Daten, die Fernlöschung, die Zertifikatsverteilung und der Netzwerkzugriff. Nach Abschluss des Projekts werden die vorgenommenen Einstellungen und Arbeitsschritte dokumentiert. Zusätzlich wird dem Kunden eine Anleitung zur Registrierung neuer Geräte sowie eine Kostenübersicht bereitgestellt.

4.3 Im Projekt zu treffende Entscheidungen

Für das Projekt werden mehrere geeignete MDM-Lösungen miteinander verglichen. Die Auswahl erfolgt anhand technischer und wirtschaftlicher Kriterien mithilfe einer Nutzwertanalyse.

Bewertet werden die Unterstützung der eingesetzten Betriebssysteme, die vorhandenen BYOD-Funktionen, die zentrale Geräteverwaltung, die Einbindung in die bestehende Infrastruktur sowie die anfallenden Lizenzkosten. Dabei werden auch die bereits vorhandenen Microsoft 365 Business Standard-Lizenzen berücksichtigt.

Wichtige Client-Zertifikate werden bereitgestellt und auf die verwalteten Geräte verteilt.

4.4 Technische Einrichtungen und Arbeitsmittel

Für die Umsetzung werden folgende Komponenten genutzt:

• Windows-Serverinfrastruktur mit Active Directory und Network Policy Server

• Zyxel-Hardware-Firewall

• vorhandene WLAN-Access-Points

• auszuwählende MDM-Lösung

• Testgeräte mit iOS und Android

• Client-Zertifikate für die WLAN-Authentifizierung

4.5 Technologische und organisatorische Einschränkungen

Die MDM-Lösung muss mit den vorhandenen mobilen Endgeräten und der bestehenden IT-Infrastruktur des Kunden kompatibel sein. Da private Geräte eingesetzt werden, muss sich die Verwaltung auf den geschäftlichen Bereich beschränken und private Daten dürfen nicht verändert oder gelöscht werden.

Vor der Einführung wird geprüft, welche Geräte und Betriebssystemversionen von der ausgewählten Lösung unterstützt werden. Änderungen an der Netzwerkinfrastruktur erfolgen in einem abgestimmten

Wartungsfenster, um den laufenden Betrieb möglichst wenig zu beeinträchtigen.

5. Projektumfeld

Das Projekt wird von der ... GmbH in ... für den Kunden XYZ durchgeführt. Die IT-Infrastruktur des Kunden wird bereits von der …. GmbH betreut und administriert.

Von der Einführung sind 30 Mitarbeiter betroffen, die ihre privaten mobilen Endgeräte auch für dienstliche Zwecke nutzen. Die technische Abstimmung erfolgt mit dem zuständigen Ansprechpartner des Kundenunternehmens.

Zum technischen Umfeld gehören Microsoft 365 Business Standard mit Exchange Online, eine lokale Windows-Server-Infrastruktur mit Active Directory und einem Terminalserver, eine Zyxel-Hardware-Firewall sowie die vorhandene WLAN-Infrastruktur. Die ausgewählte MDM-Lösung soll in diese Umgebung integriert werden.

6. Projektphasen und Zeitplanung

Projektphase	Tätigkeit	Zeit
Analyse	Ist-Analyse	2 h
	MDM-Vergleich / Nutzwertanalyse	3 h
	Wirtschaftlichkeitsanalyse	2 h
Planung	Soll-Konzept	2 h
	Netzwerk- und Sicherheitskonzept	3 h
	Test- und Wartungsplanung	1 h
Umsetzung	MDM-Einrichtung und Grundkonfiguration	3 h
	BYOD-Richtlinien und Fernlöschung	3 h
	NPS/RADIUS und Zertifikatsauthentifizierung	3 h
	WLAN-, VLAN- und Firewall-Konfiguration	3 h
	Einrichtung der Testgeräte	2 h
Test und Qualitätssicherung	MDM-Funktionstests	2 h
	Netzwerk- und Authentifizierungstests	2 h
	Fehlerbehebung / Abschlussprüfung	1 h
Dokumentation und Abschluss	Projektdokumentation	6 h
	Kurzanleitung und Übergabe	1 h
	Fazit	1 h
Gesamt		40 h

vor 2 Stunden, pierre hat gesagt:

Einführung einer Mobile Device Management Lösung (MDM) zur Absicherung mobiler Endgeräte und Erweiterung der Netzwerksicherheit durch VLAN-Segmentierung und zertifikatsbasierte Netzwerkzugriffskontrolle.

Einführung eines MDM ist durchaus ein geeignetes Projekt. Den Netzwerkteil würde erstmal rauslassen, dass taucht doch in den Lösungsansetzen zum trennen der Firmengeräte von den BYOD Geräten auf.

vor 3 Stunden, pierre hat gesagt:

MDM-Vergleich / Nutzwertanalyse 3 h

Wirtschaftlichkeitsanalyse 2 h

Planung

Soll-Konzept 2 h

Soll- Konzept gehört vor den MDM Vergleich. Dort definierst du was das MDM System können soll, welches du suchst.

Eventuell noch eine Schutzubedarfsanalyse oder eine datenschutzrechtlichen Betrachtung, weils mit den privaten Geräten etwas tricky sein kann und der Antrag sollte stehen.

vor 18 Minuten, cortez hat gesagt:

Einführung eines MDM ist durchaus ein geeignetes Projekt. Den Netzwerkteil würde erstmal rauslassen, dass taucht doch in den Lösungsansetzen zum trennen der Firmengeräte von den BYOD Geräten auf.

Soll- Konzept gehört vor den MDM Vergleich. Dort definierst du was das MDM System können soll, welches du suchst.

Eventuell noch eine Schutzubedarfsanalyse oder eine datenschutzrechtlichen Betrachtung, weils mit den privaten Geräten etwas tricky sein kann und der Antrag sollte stehen.

Wird hier nicht schon ein konkreter Lösungsbestandteil genannt, der eigentlich erst im Rahmen der Projektumsetzung erarbeitet werden soll?

"Dazu wird der Windows Network Policy Server (NPS) als RADIUS-Server eingesetzt. Verwaltete Geräte sollen sich mithilfe eines Client-Zertifikats über EAP-TLS authentifizieren"

Wie gesagt, den Netzwerkteil würde ich erstmal rauslassen. Es kann ja auch sein, dass du eine MDM Lösung findest, welche das Ziel softwareseitig voll abdeckt.