Sicherheit von
iPad-Raumdisplays

Kurzantwort: Die vier Dinge, die Sie vor der Freigabe jeder Raum-Display-App prüfen sollten: (1) Anmeldedaten in hardwaregestütztem Speicher (iOS Keychain), (2) Kalender-Scopes auf das Nötige begrenzt, (3) ob Daten über die Server des Anbieters laufen oder direkt von Gerät zu API gehen, und (4) physische Sperre (Kioskmodus + abschließbare Halterung). Bekommen Sie diese vier richtig, ist ein Flur-iPad ein risikoarmes Gerät.

Ein wandmontiertes iPad, das Firmenkalender liest, ist genau die Art kleiner Anschaffung, die für eine Sicherheitsfreigabe auf dem Schreibtisch der IT landet. Hier die eigentliche Prüfung, in der Reihenfolge, die zählt.

1. Wo liegen die Anmeldedaten?

Die Anmeldedaten (OAuth-Token oder Servicekonto-Schlüssel) sollten im iOS Keychain gespeichert sein — hardwaregestützt, im Ruhezustand verschlüsselt, für andere Apps unzugänglich. The Room Display speichert Anmeldedaten so. Warnsignale bei jeder App: Anmeldedaten in Klartextdateien, in App-Einstellungen oder in eine Anbieter-Cloud synchronisiert.

2. OAuth 2.0 vs. Servicekonto — was sollten Sie nutzen?

OAuth 2.0 (empfohlener Standard): Das Display authentifiziert sich als ein dediziertes Benutzerkonto, das Sie erstellen (z. B. raeume@ihrefirma.com). Der Zugriff ist in Ihrer Admin-Konsole sichtbar, mit einem Klick widerrufbar und wie jeder Nutzer auditierbar. Geben Sie diesem Konto nur Zugriff auf Raumressourcen.

Servicekonto mit domänenweiter Delegierung (Google) / App-Registrierung (Microsoft): besser für Flottenbereitstellungen — kein interaktiver Login pro iPad, zentrale Schlüsselverwaltung. Die nötige Disziplin: die Delegierung eng fassen. Domänenweite Delegierung gewährt die Scopes, die Sie autorisieren, also autorisieren Sie nur Kalender-Scopes, niemals weitreichende Admin-Scopes.

So oder so ist das Prinzip identisch: Das Display bekommt eine eigene Identität, niemals den Login eines echten Mitarbeitenden.

3. Scope-Minimierung

Ein Raum-Display muss: Raumkalender lesen, Termine darin erstellen und Raumressourcen auflisten. Konkret heißt das Kalender-Lese-/Schreib-Scopes plus Ressourcenverzeichnis-Lesen. Es braucht nicht: E-Mail-Scopes, Drive/SharePoint, Benutzerverzeichnis-Schreiben oder Admin-Scopes. Fordert eine App mehr als Kalender- + Ressourcen-Scopes, fragen Sie vor der Freigabe nach dem Warum.

4. Wohin fließen die Daten?

Die Architekturfrage, die Anbieter ungern hören: Laufen Kalenderdaten durch die Server des Anbieters? Viele Plattformen synchronisieren Ihren Kalender in ihre Cloud (so funktionieren ihre Dashboards). The Room Display spricht direkt vom iPad mit den Google-/Microsoft-APIs — Meetingdaten berühren nie unsere Infrastruktur, weil wir keine im Datenpfad haben. Für eine Datenschutzprüfung ist das die Kurzfassung: Es gibt keinen Dritten zu bewerten.

5. Checkliste physische Sicherheit

• Abschließbares Gehäuse — das iPad sollte nicht mit einem Besucher verschwinden
• Geführter Zugriff oder Einzel-App-Modus — kein Entkommen zu Einstellungen oder Safari (unser Kiosk-Leitfaden)
• Meeting-Titel auf dem Display: Policy festlegen. „Belegt bis 15:00" statt „M&A-Gespräch mit Acme" anzuzeigen ist eine Ein-Schalter-Datenschutzentscheidung, die man für kundensichtbare Flure bewusst treffen sollte
• Dediziertes WLAN/VLAN, falls Ihre Netzwerk-Policy Geräte der IoT-Klasse segmentiert — das Display braucht nur HTTPS-Ausgang zu Google/Microsoft

FAQ

Kann ein gestohlenes Display-iPad Daten verlieren? Es enthält eine im Keychain gespeicherte, auf Raumkalender beschränkte Anmeldung. Widerrufen Sie das Konto/den Schlüssel in Ihrer Admin-Konsole, und das Gerät ist inert. Mit aktiviertem „Wo ist?" + Aktivierungssperre ist es zudem ein Briefbeschwerer.

Braucht die App MDM? Nein, aber MDM macht Flotten angenehmer — siehe unseren ABM/MDM-Leitfaden.

SSO-Unterstützung? Der OAuth-Flow nutzt Ihre normale Google-/Microsoft-Anmeldung — bestehende SSO- und Conditional-Access-Richtlinien gelten für das Raumkonto wie für jeden Nutzer.

Dieser Beitrag ist so geschrieben, dass er unverändert an die Sicherheitsprüfung weitergeleitet werden kann — er sollte deren erste sechs Fragen schon vor dem Meeting beantworten.