Explosionsgeschützte Smartphones werden unter anspruchsvollen Bedingungen eingesetzt: in der chemischen Industrie, in Raffinerien, Energieanlagen, der Logistik sowie in Bereichen der kritischen Infrastruktur. Bei der Geräteauswahl stehen daher meist die ATEX-Zulassung, die geeignete Gerätekategorie, die IP-Schutzart und die mechanische Belastbarkeit im Vordergrund.
Ein modernes ATEX-Smartphone ist jedoch nicht nur ein Kommunikationsmittel. Es hat häufig Zugriff auf E-Mails, Unternehmensanwendungen, Wartungsdaten, Produktionsinformationen, Kamerabilder, Cloud-Dienste und interne Netzwerke. Deshalb sollte neben dem Explosionsschutz auch die Cybersicherheit über die gesamte geplante Nutzungsdauer berücksichtigt werden.
ATEX-Zulassung schützt nicht vor Cyberangriffen
Die ATEX-Kennzeichnung bestätigt, dass ein Gerät für den Einsatz in einem bestimmten explosionsgefährdeten Bereich geeignet ist und dort keine unzulässige Zündquelle darstellt.
Sie sagt jedoch nichts darüber aus,
wie lange das Betriebssystem Sicherheitsupdates erhält,
wie schnell bekannte Schwachstellen geschlossen werden,
ob das Gerät zentral verwaltet werden kann,
welche Android-Version installiert ist,
ob ein Schwachstellenmanagement des Herstellers existiert,
oder wie lange Ersatzgeräte und Softwareunterstützung verfügbar bleiben.
Explosionsschutz und Cybersicherheit sind daher zwei unterschiedliche Anforderungen. Bei professionell eingesetzten Mobilgeräten müssen beide gemeinsam betrachtet werden.
Die Android-Version allein genügt nicht
Beim Vergleich von Smartphones wird häufig nur auf die installierte Android-Version geachtet. Eine höhere Versionsnummer kann Vorteile bieten, ist aber noch kein ausreichender Beleg für ein sicheres Gerät.
Mindestens ebenso wichtig ist der im Gerät angezeigte Android-Sicherheitspatch-Level. Google veröffentlicht regelmäßig Android-Sicherheitsbulletins mit Korrekturen für bekannte Schwachstellen. Ein aktuelles Betriebssystem kann trotzdem einen veralteten Patch-Level besitzen, wenn der Gerätehersteller die verfügbaren Aktualisierungen nicht oder nur mit großer Verzögerung bereitstellt. Google bezeichnet monatliche Geräteupdates ausdrücklich als wichtiges Mittel zum Schutz von Android-Geräten.
Bei der Beschaffung sollten daher mindestens drei Angaben getrennt betrachtet werden:
die installierte Android-Version,
das Datum des Sicherheitspatch-Levels,
die zugesicherte verbleibende Updateversorgung.
Ein Gerät mit einer etwas älteren Android-Version und einer klar dokumentierten, langfristigen Updatezusage kann für ein Unternehmen geeigneter sein als ein neueres Gerät ohne verlässliche Angaben zur weiteren Unterstützung.
Wie lange werden Sicherheitsupdates bereitgestellt?
Explosionsgeschützte Smartphones werden häufig erheblich länger genutzt als private Mobiltelefone. Eine Nutzungsdauer von mehreren Jahren ist aufgrund der Anschaffungskosten, der Zertifizierung und des verfügbaren Zubehörs nicht ungewöhnlich.
Deshalb sollte vor dem Kauf geklärt werden:
Bis zu welchem Datum sind Sicherheitsupdates zugesichert?
Bezieht sich die Zusage auf monatliche, vierteljährliche oder unregelmäßige Updates?
Sind auch größere Android-Versionsupdates vorgesehen?
Werden vorinstallierte Anwendungen ebenfalls aktualisiert?
Wie schnell reagiert der Hersteller auf kritische Schwachstellen?
Gibt es eine öffentlich erreichbare Stelle zur Meldung von Sicherheitslücken?
Gilt die Updatezusage für das konkrete Modell oder nur allgemein für eine Geräteserie?
Das BSI nennt für mobile Endgeräte unter anderem ein wirksames Schwachstellenmanagement, eine veröffentlichte Kontaktmöglichkeit für Schwachstellenmeldungen und die zeitnahe Bereitstellung von Sicherheitsupdates für Gerät und vorinstallierte Anwendungen als wichtige Sicherheitsmerkmale.
Vage Formulierungen wie „regelmäßige Updates“ sind für eine langfristige Investitionsentscheidung nur eingeschränkt aussagekräftig. Besser ist ein konkretes Enddatum für den Herstellersupport.
Ein nicht mehr unterstütztes Gerät bleibt funktionsfähig – aber nicht sicher
Ein ATEX-Smartphone hört nach dem Ende des Supports nicht sofort auf zu funktionieren. Telefonie, Kamera, Anwendungen und WLAN können weiterhin nutzbar sein.
Das Problem liegt in neu entdeckten Schwachstellen. Werden diese nicht mehr geschlossen, steigt das Risiko mit der Zeit. Ein solches Gerät kann beispielsweise zum Einfallstor für folgende Angriffe werden:
Diebstahl von Zugangsdaten,
Zugriff auf E-Mails und Dateien,
Manipulation von Anwendungen,
Ausspähung interner Netzwerke,
Missbrauch von Kamera oder Mikrofon,
Einschleusen schädlicher Software,
Umgehung von Sicherheitsrichtlinien,
Weiterleitung eines Angriffs auf andere Systeme.
Gerade in der Industrie können mobile Endgeräte eine Verbindung zwischen Büro-IT, Cloud-Diensten und produktionsnahen Bereichen herstellen. Ein Smartphone darf deshalb nicht isoliert betrachtet werden.
NIS 2 erhöht die Bedeutung sicher verwalteter Mobilgeräte
Seit dem Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 gelten für zahlreiche wichtige und besonders wichtige Einrichtungen erweiterte Pflichten im Bereich der IT-Sicherheit. Nach Angaben des BSI sind davon rund 29.500 Unternehmen und Institutionen betroffen.
NIS 2 schreibt nicht vor, welches konkrete ATEX-Smartphone ein Unternehmen kaufen muss. Die Regelungen verlangen jedoch angemessene und verhältnismäßige Maßnahmen zum Umgang mit Cyberrisiken. Dazu gehören unter anderem Sicherheitskonzepte, Schwachstellenmanagement, Zugriffskontrollen und die Absicherung der Lieferkette.
Für die Praxis bedeutet das: Ein Unternehmen sollte nachvollziehbar begründen können, warum ein eingesetztes Mobilgerät hinsichtlich seiner Updateversorgung, Konfiguration und Verwaltung für den vorgesehenen Einsatz geeignet ist.
Der Cyber Resilience Act nimmt auch Hersteller stärker in die Pflicht
Mit der europäischen Cyberresilienz-Verordnung, dem Cyber Resilience Act, werden horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen eingeführt. Hersteller sollen Sicherheitsrisiken bereits bei Entwicklung und Produktion berücksichtigen und während des vorgesehenen Nutzungszeitraums ein geeignetes Schwachstellenmanagement gewährleisten.
Ein Ziel der Verordnung ist es, die Transparenz darüber zu verbessern, wie lange ein Produkt unterstützt wird. Die EU nennt ausdrücklich unzureichende und uneinheitliche Sicherheitsupdates sowie fehlende Informationen für Anwender als bisherige Probleme.
Die Verordnung gilt überwiegend ab dem 11. Dezember 2027. Bestimmte Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelten bereits ab dem 11. September 2026.
Für Beschaffungen mit einer geplanten Nutzungsdauer von mehreren Jahren ist das Thema deshalb bereits heute relevant.
Mobile Device Management sollte unterstützt werden
In Unternehmen sollten ATEX-Smartphones möglichst nicht als unverwaltete Einzelgeräte betrieben werden. Ein Mobile-Device-Management-System, kurz MDM, ermöglicht die zentrale Konfiguration und Kontrolle der eingesetzten Geräte.
Das BSI beschreibt als Kernfunktion eines MDM die wirksame Durchsetzung definierter Sicherheitsrichtlinien und Konfigurationsparameter auf mobilen Endgeräten.
Je nach Einsatzbereich kann ein MDM unter anderem folgende Aufgaben übernehmen:
Erzwingen einer Displaysperre,
Vorgabe sicherer Passwörter oder PINs,
Verteilung freigegebener Anwendungen,
Sperrung nicht zugelassener Apps,
Einrichtung von WLAN, VPN und Zertifikaten,
Trennung privater und geschäftlicher Daten,
Kontrolle des Patch-Levels,
Sperrung veralteter oder manipulierter Geräte,
Fernsperrung bei Verlust,
Löschen geschäftlicher Daten,
Inventarisierung der eingesetzten Geräte.
Android bietet hierfür verschiedene Verwaltungsfunktionen, beispielsweise vollständig verwaltete Geräte und Arbeitsprofile zur Trennung geschäftlicher und privater Daten.
Vor der Bestellung größerer Stückzahlen sollte geprüft werden, ob das konkrete Gerätemodell mit der bereits eingesetzten MDM-Lösung kompatibel ist und welche Verwaltungsfunktionen tatsächlich unterstützt werden.
Keine Aktivierung mit privaten Mitarbeiterkonten
In der Praxis werden dienstliche Smartphones teilweise mit dem privaten Google-Konto oder der privaten Apple-ID eines Mitarbeiters eingerichtet. Das erscheint bei der Inbetriebnahme zunächst unkompliziert, führt jedoch zu erheblichen Sicherheits- und Organisationsproblemen.
Ein privates Benutzerkonto kann unter anderem mit folgenden Funktionen verbunden sein:
App-Installationen und App-Lizenzen
Cloud-Backups
gespeicherte Kontakte und Kalender
Standort- und Suchfunktionen
Gerätesperren
Passwörter und Zugangsdaten
Wiederherstellungsoptionen
Mehrfaktor-Authentifizierung
Dadurch können geschäftliche und private Daten unkontrolliert miteinander vermischt werden. Zudem hat das Unternehmen häufig keine vollständige Kontrolle darüber, welche Daten synchronisiert, gesichert oder auf weiteren privaten Geräten angezeigt werden.
Besonders problematisch wird die Situation, wenn ein Mitarbeiter das Unternehmen kurzfristig verlässt. Ist das dienstliche Smartphone weiterhin mit seinem privaten Konto verknüpft, können notwendige Passwörter, Bestätigungscodes oder Wiederherstellungsdaten fehlen. Im ungünstigsten Fall lässt sich das Gerät nicht vollständig zurücksetzen, neu einrichten oder einem anderen Mitarbeiter übergeben.
Bei Apple-Geräten kann beispielsweise eine Aktivierungssperre an die persönliche Apple-ID gebunden sein. Auch bei Android-Geräten können Kontoschutzfunktionen nach einem Zurücksetzen die erneute Anmeldung mit dem zuvor verwendeten Google-Konto verlangen. Ohne Mitwirkung des früheren Mitarbeiters kann das Gerät dadurch vorübergehend oder dauerhaft nicht nutzbar sein.
Dienstliche ATEX-Smartphones sollten deshalb grundsätzlich nicht mit privaten Mitarbeiterkonten aktiviert werden. Empfehlenswert sind stattdessen:
zentral verwaltete Unternehmenskonten,
eine Einrichtung über ein Mobile-Device-Management-System,
verwaltete App-Verteilung ohne persönliche Benutzerkonten,
dokumentierte Administrator- und Wiederherstellungszugänge,
sowie ein geregelter Prozess für Eintritt, Gerätewechsel und Ausscheiden von Mitarbeitern.
Das Unternehmen sollte jederzeit in der Lage sein, ein Gerät zu sperren, zurückzusetzen, neu zu konfigurieren und einem anderen Benutzer zuzuweisen. Diese organisatorische Kontrolle gehört ebenso zur Cybersicherheit wie ein aktueller Patch-Level oder eine langfristige Updateversorgung.
Auch installierte Apps müssen betrachtet werden
Ein aktuelles Betriebssystem allein reicht nicht aus. Auch Anwendungen können Sicherheitslücken enthalten oder Daten an unerwünschte Empfänger übertragen.
Unternehmen sollten deshalb festlegen,
welche Apps installiert werden dürfen,
aus welchen Quellen Anwendungen bezogen werden,
welche Berechtigungen Apps erhalten,
ob private App-Stores oder APK-Dateien zulässig sind,
wie Updates für Unternehmensanwendungen verteilt werden,
und was bei nicht mehr unterstützten Apps geschieht.
Besondere Aufmerksamkeit verdienen Anwendungen, die Zugriff auf Kamera, Mikrofon, Standort, Bluetooth, Kontakte, Dateien oder interne Systeme erhalten.
Google-Dienste oder Android Open Source Project?
Nicht jedes Android-Gerät enthält automatisch die vollständigen Google-Mobile-Services. Für bestimmte Unternehmensanwendungen können der Google Play Store, Google Play Protect oder spezielle Android-Enterprise-Funktionen erforderlich sein.
Vor der Beschaffung sollte daher geklärt werden:
Sind Google Mobile Services vorhanden?
Ist das Gerät für Android Enterprise geeignet?
Funktionieren die benötigten Unternehmens-Apps?
Können Apps zentral und ohne private Google-Konten verteilt werden?
Gibt es Einschränkungen bei Banking-, Authentifizierungs- oder Sicherheitsanwendungen?
Unterstützt das Gerät die notwendige MDM-Plattform?
Ein grundsätzlich Android-basiertes Gerät ist nicht automatisch mit jeder Unternehmensumgebung vollständig kompatibel.
Veraltete Geräte gehören in das Risikomanagement
Unternehmen sollten für ihre ATEX-Smartphones ein festes Lifecycle-Management einführen. Dazu gehören mindestens:
Erfassung aller eingesetzten Geräte und Seriennummern,
Dokumentation von Android-Version und Patch-Level,
Erfassung des zugesicherten Supportendes,
regelmäßige Kontrolle verfügbarer Updates,
Definition eines verbindlichen Austauschzeitpunkts,
sichere Löschung ausgesonderter Geräte,
Prüfung der ATEX-Zulassung bei Reparaturen oder Veränderungen.
Ein Mobilgerät sollte nicht erst ersetzt werden, wenn es technisch ausfällt. Das planbare Ende der Sicherheitsunterstützung kann bereits vorher einen Austausch erforderlich machen.
Checkliste für die Beschaffung eines ATEX-Smartphones
Neben ATEX-Zone, Gerätekategorie und Explosionsgruppe sollten Unternehmen folgende Fragen stellen:
Welche Android-Version ist bei Auslieferung installiert?
Wie aktuell ist der Sicherheitspatch-Level?
Bis zu welchem konkreten Datum werden Sicherheitsupdates zugesichert?
In welchem Rhythmus erscheinen diese Updates?
Sind Android-Versionsupdates vorgesehen?
Unterstützt das Gerät Android Enterprise?
Ist es mit der vorhandenen MDM-Lösung kompatibel?
Sind Google Mobile Services vorhanden, falls diese benötigt werden?
Gibt es einen dokumentierten Prozess zur Meldung von Schwachstellen?
Können Ersatz- oder Austauschgeräte mit identischer Software bereitgestellt werden?
Wie werden Geräte nach dem Ende der Unterstützung ersetzt?
Diese Informationen sollten möglichst bereits während der Produktauswahl dokumentiert und nicht erst nach dem Kauf angefragt werden.
Fazit
Bei einem explosionsgeschützten Smartphone ist die ATEX-Zulassung unverzichtbar. Sie allein macht das Gerät jedoch noch nicht zu einem geeigneten Unternehmensgerät.
Ebenso wichtig sind:
eine langfristige und nachvollziehbare Updateversorgung,
ein aktueller Sicherheitspatch-Level,
die Unterstützung zentraler Geräteverwaltung,
ein zuverlässiges Schwachstellenmanagement des Herstellers,
sowie ein klar definierter Austauschprozess am Ende des Supports.
Insbesondere Unternehmen aus der Energieversorgung, Chemie, Produktion, Logistik und kritischen Infrastruktur sollten die Cybersicherheit von ATEX-Smartphones bereits bei der Beschaffung berücksichtigen. Das vermeidet später kostenintensive Geräteaustausche und reduziert das Risiko, dass ein eigentlich robustes und explosionsgeschütztes Gerät zur Schwachstelle der Unternehmens-IT wird.
ATEXshop.de unterstützt Unternehmen bei der Auswahl explosionsgeschützter Smartphones und Tablets. Neben der erforderlichen ATEX-Zulassung können dabei auch Betriebssystem, Updateversorgung, MDM-Kompatibilität und die geplante Nutzungsdauer berücksichtigt werden.