Title:
Zugangskontrolle auf ein mobiles Kommunikationsendgerät und Bereitstellung einer Zugangsautorisierung für einen Benutzer des mobilen Kommunikationsendgerätes durch ein Zugangskontrollsystem
Kind Code:
B3


Abstract:

Verfahren und Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät und zur Bereitstellung einer Zugangsautorisierung für einen Benutzer des mobilen Kommunikationsendgerätes durch ein Zugangskontrollsystem, wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf einem Zeitparameter bereitgestellt und/oder aktiviert wird und wobei, basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter, für das mobile Kommunikationsendgerät ein dediziertes Risikopotential berechnet und auf ein Zugangskontrollsystem in räumlicher Nähe des mobilen Kommunikationsendgerätes übertragen wird, wobei vom Zugangskontrollsystem für einen Benutzer des mobilen Kommunikationsendgerätes eine Zugangsautorisierung basierend auf dem dedizierten Risikopotential bereitstellt wird. embedded image




Inventors:
Zechlin, Oliver (Zug, CH)
Application Number:
DE102017209316A
Publication Date:
08/30/2018
Filing Date:
06/01/2017
Assignee:
Siemens Schweiz AG (Zürich, CH)
International Classes:



Foreign References:
95891182017-03-07
95914522017-03-07
201302194542013-08-22
201701266492017-05-04
Attorney, Agent or Firm:
Maier, Daniel Oliver, Dipl.-Ing. Univ., 81739, München, DE
Claims:
Verfahren zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät (MG1 - MG3) und zur Bereitstellung einer Zugangsautorisierung für einen Benutzer (P1 - P3) des mobilen Kommunikationsendgerätes (MG1 - MG3), (VS1) wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät (MG1 - MG3) basierend auf dem Aufenthaltsort (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder basierend auf einem Zeitparameter bereitgestellt und/oder aktiviert wird, und wobei, basierend auf dem Aufenthaltsort (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder basierend auf dem Zeitparameter, für das mobile Kommunikationsendgerät (MG1 - MG3) ein dediziertes Risikopotential (RP) berechnet und auf ein Zugangskontrollsystem (ZKS) in räumlicher Nähe des mobilen Kommunikationsendgerätes (MG1 - MG3) übertragen wird, wobei vom Zugangskontrollsystem (ZKS) für den Benutzer (P1 - P3) des mobilen Kommunikationsendgerätes (MG1 - MG3) eine Zugangsautorisierung basierend auf dem dedizierten Risikopotential (RP) bereitstellt wird.

Verfahren nach Anspruch 1, wobei, basierend auf dem Aufenthaltsort (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder basierend auf dem Zeitparameter, ein biometrischer Zugangsmechanismus bereitgestellt wird.

Verfahren nach einem der vorstehenden Ansprüche, wobei es sich bei dem Zeitparameter um eine Zeitzone handelt.

Verfahren nach einem der vorstehenden Ansprüche, wobei es sich bei dem Zeitparameter um ein definiertes Zeitfenster handelt.

Verfahren nach einem der vorstehenden Ansprüche, wobei der Zugangsmechanismus zum mobilen Kommunikationsendgerät (MG1 - MG3) basierend auf einer aktuellen Cell-ID des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder auf einer Netzbetreiberkennung des Netzbetreibers und/oder auf einer Ortsinformation in einem elektronischen Kalender eines Benutzers (P1 - P3) und/oder auf Datenbankeinträge und/oder Ortsinformationen (R1 - R3) und/oder Erdmagnetfeldinformation und/oder Bilderkennungsinformation bereitgestellt wird.

Verfahren nach einem der vorstehenden Ansprüche, wobei der Zugang zu Bedienelementen und/oder zu Applikationen und/oder zu Geräteeinstellungen und/oder zu Bedieneinstellungen und/oder zu Dateien des mobilen Kommunikationsendgerätes (MG1 - MG3) durch den Zugangsmechanismus kontrolliert wird.

Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät (MG1 - MG3) und zur Bereitstellung einer Zugangsautorisierung für einen Benutzer (P1 - P3) des mobilen Kommunikationsendgerätes (MG1 - MG3),
wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät (MG1 - MG3) basierend auf dem Aufenthaltsort (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder basierend auf einem Zeitparameter bereitstellbar und/oder aktivierbar ist,
wobei ein Server (S) eingerichtet ist, basierend auf dem Aufenthaltsort (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder basierend auf dem Zeitparameter für das mobile Kommunikationsendgerät (MG1 - MG3), ein dediziertes Risikopotential (RP) zu berechnen,
und wobei die Anordnung weiter umfasst ein Zugangskontrollsystem (ZKS), und wobei das mobile Kommunikationsendgerät (MG1 - MG3) eingerichtet ist, das Risikopotential (RP) auf das Zugangskontrollsystem (ZKS) zu übertragen, und wobei das Zugangskontrollsystem (ZKS) eingerichtet ist, für einen Benutzer (P1 - P3) des mobilen Kommunikationsendgerätes (MG1 - MG3) eine Zugangsautorisierung basierend auf dem Risikopotential (RP) bereitzustellen.

Anordnung nach Anspruch 7, wobei die Anordnung umfasst:
ein Positionsbestimmungssystem (SAT) zur Bestimmung des Aufenthaltsortes (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3);
wobei der Server (S), datentechnisch verbunden mit dem mobilen Kommunikationsendgerät (MG1 - MG3) ist, und wobei der Server (S) eingerichtet ist, den Zugangsmechanismus (ZKS) zum mobilen Kommunikationsendgerät (MG1 - MG3) basierend auf dem Aufenthaltsort (R1 - R3) des mobilen Kommunikationsendgerätes (MG1 - MG3) und/oder basierend auf dem Zeitparameter bereitzustellen und/oder zu aktivieren.

Description:

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät.

Der Zugang bzw. die Autorisierung des Zugangs auf flottenverwaltete mobile Kommunikationsendgeräte (z.B. Firmen-Laptops, Diensthandys) basiert auf Sicherheitsrichtlinien (Security Policies) des Arbeitgebers. Diese Sicherheitsrichtlinien betreffen den Zugang des Benutzers (Mitarbeiters) auf das Kommunikationsendgerät (z.B. vierstellige PIN-Eingabe ausreichend zur Aufhebung der Bildschirmsperrung), aber auch den Zugang von Drittsoftwareanbietern zum Kommunikationsendgerät, die z.B. Softwareupdates bereitstellen.

Die amerikanische Patentanmeldung US2017/0126649A1 offenbart ein Verfahren und ein System zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät, basierend auf einer abgestuften und föderierten Identifikation und Autorisierung.

Die US Patentschrift US9589118B2 offenbart eine Methode zur Benutzerauthentifizierung basierend darauf, ob ein aktueller Authentifizierungsmodus eines mobilen Gerätes kompatibel ist mit Kontextinformation des mobilen Gerätes und des Benutzers.

Die amerikanische Patentanmeldung US20130219454A1 offenbart ein System und eine Methode für den Zugangsschutz zu portablen elektronischen Geräten, basierend auf Ortsinformation.

Die US Patentschrift US9591452B2 offenbart eine Methode für die Zugangsberechtigung auf Applikationen und Funktionen eines mobilen Gerätes basierend auf der aktuellen Ortsinformation (GPS location information) von mindestens zwei Benutzern.

Die Anwendung der Sicherheitsrichtlinien kann für einen Benutzer zeitaufwändig und lästig sein. In vielen Fällen sind die Zugangssicherheitsrichtlinien strenger als unbedingt erforderlich.

Es ist daher die Aufgabe der vorliegenden Erfindung ein benutzerfreundliches und auf das jeweilige Gefährdungspotential angemessenes Verfahren und eine entsprechende Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät und zur Bereitstellung einer Zugangsautorisierung für einen Benutzer des mobilen Kommunikationsendgerätes durch ein Zugangskontrollsystem bereitzustellen.

Die Aufgabe wird gelöst durch ein Verfahren zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät und zur Bereitstellung einer Zugangsautorisierung für einen Benutzer des mobilen Kommunikationsendgerätes, wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf einem Zeitparameter bereitgestellt und/oder aktiviert wird und wobei, basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter, für das mobile Kommunikationsendgerät ein dediziertes Risikopotential berechnet und auf ein Zugangskontrollsystem in räumlicher Nähe des mobilen Kommunikationsendgerätes übertragen wird, wobei vom Zugangskontrollsystem für einen Benutzer des mobilen Kommunikationsendgerätes eine Zugangsautorisierung basierend auf dem dedizierten Risikopotential bereitstellt wird.

Durch Nutzung von Informationen oder Kombinationen davon, wie Zeitzone, Position des mobilen Kommunikationsendgerätes (GPS-Daten, iBeacon-Daten, Cell-ID, Netzbetreiberkennung, OrtsInformation in Kalendereinträgen, Datenbankeinträge, etc. können Sicher-heitsrichtlinien dynamisch verschärft oder gelockert werden, um z.B. eine regionenspezifische bzw. länderspezifische Gesetzgebung (z.B. Datenschutzgesetze) zu berücksichtigen. Dadurch kann in Ländern mit entsprechender Judikative/Exekutive der Schutz von Informationen auf den mobilen Kommunikationsendgeräten (z.B. Smartphone, Notebook) gewährleistet, und in anderen Ländern/Regionen/Zonen eine benutzerfreundlichere Nutzung erlaubt werden.

Weiterhin lasst sich eine dynamische Profilierung auch vor-Ort nutzen: wird erkannt dass die Nutzung des mobilen Kommunikationsendgerätes z.B. am bekannten Arbeitsplatz bzw. in einem Radius x um den Arbeitsplatz und z.B. in einem bestimmten Zeitfenster erfolgt, kann der Zugriffsschutz gelockert werden - während die Nutzung des mobilen Kommunikationsendgerätes am Abend, z.B. im Ausgang, verschärft wird, da die Wahrscheinlichkeit des Verlustes des mobilen Kommunikationsendgerätes ein höheres Risiko darstellt als tagsüber im Büro.

Das Merkmal „Zugangsmechanismus“ umfasst nicht nur den Zugangsschutz zum Gerät per se (d.h. den physikalischen Zugang, d.h. die „Entsperrung“ zum Gerät für einen Benutzer, z.B. durch Eingabe eines Pin-Codes), sondern auch andere Einschränkungen die die Features (Funktionen) eines Kommunikationsendgerätes betreffen und z.B. seitens der IT Administration oder Netzbetreiber oder anderen stakeholder (Interessengruppen) initiiert werden können. Z.B. Sperrung des Zugriffes auf Foto/Video-Galerie (z.B. wegen nackter Haut bei Reisen in die arabischen Länder).

Eine erste vorteilhafte Ausgestaltung der Erfindung liegt darin, dass basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter, ein biometrischer Zugangsmechanismus bereitgestellt wird. Biometrische Zugangsmechanismen (Fingerabdrucksensor, Stimmerkennung, Iriserkennung, etc.) werden manchmal bzw. in gewissen Situationen als unsicher angesehen, trotz unstrittiger Vorteile hinsichtlich des Bedienerkomforts. Befindet sich das mobile Kommunikationsendgerät am Arbeitsplatz oder auf dem Firmengelände des Bedieners, kann mit hoher Wahrscheinlichkeit davon ausgegangen werden, dass sich das mobile Kommunikationsendgerät in den richtigen Händen, d.h. beim rechtmässigen Benutzer befindet. In diesen Situationen kann ein biometrischer Zugangsmechanismus freigeschaltet werden. Mit Vorteil erfolgt dies automatisch in Abhängigkeit des Aufenthaltsortes des mobilen Kommunikationsendgerätes.

Eine weitere vorteilhafte Ausgestaltung der Erfindung liegt darin, dass es sich bei dem Zeitparameter um eine Zeitzone (Region in denen Datum und Uhrzeit gleich sind) handelt.

Eine weitere vorteilhafte Ausgestaltung der Erfindung liegt darin, dass es sich bei dem Zeitparameter um ein definiertes Zeitfenster handelt. Beim Zeitfenster kann es sich z.B. um eine definierte Arbeitszeit, z.B. 09.00 bis 17.00 Uhr, handeln.

Bei der Erfindung wird basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter, für das mobile Kommunikationsendgerät ein dediziertes Risikopotential berechnet und auf ein Zugangskontrollsystem in räumlicher Nähe des mobilen Kommunikationsendgerätes übertragen, wobei vom Zugangskontrollsystem für einen Benutzer des mobilen Kommunikationsendgerätes eine Zugangsautorisierung basierend auf dem dedizierten Risikopotential bereitstellt wird. Basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter kann ein „Gefährdungspotential“ berechnet bzw. bestimmt werden, und in einer Risikostufe abgebildet werden (vgl. Defense Readiness Conditions (DefCon), grün/gelb/rot Warnstufen) welche auch anderen Applikationen und Geräten weitergereicht werden kann. Das Risikopotential kann z.B. über Entscheidungstabellen oder Mitteln der künstlichen Intelligenz (z.B. neuronale Netze) bestimmt werden. Bei räumlicher Nähe handelt es sich z.B. um einen Radius von 50 Meter, insbesondere 10 Meter, um das mobile Kommunikationsendgerät. Bei räumlicher Nähe kann es sich aber auch um einen Radius um das Zugangskontrollsystem handeln, z.B. 50 Meter, insbesondere 10 Meter.

Beispiel

Nähert sich ein mobiles Kommunikationsendgerät mit aktiver Warnstufe Rot einem geschützten Bereich (z.B. Tür mit Zutrittskontrollsystem) wird der Einlasssuchende aufgefordert drei „credentials“ (Berechtigungsnachweise) zur Türöffnung zu nutzen (z.B. PIN, Biometrie und Badge). Bei einem Gerat mit aktiver Risikostufe Orange, reicht eine zweistufige Authentifizierung.

Eine weitere vorteilhafte Ausgestaltung der Erfindung liegt darin, dass der Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf einer (aktuell) dem mobilen Kommunikationsendgerät zugeordneten Cell-ID und/oder auf einer Netzbetreiberkennung (z.B. DVGW-Netzbetreiberliste, Portierungskennungen der Bundesnetzagentur) des Netzbetreibers und/oder auf einer Ortsinformation in einem elektronischen Kalender eines Benutzers und/oder auf Datenbankeinträge und/oder Ortsinformationen (z.B. basierend auf GPS, Glonass, Galileo, Indoor Positioning Technologien (z.B. BLE, WLAN, iBeacons)) und/oder Erdmagnetfeldinformation und/oder Bilderkennungsinformation (z.B. Mustererkennung über Kameraaufnahmen) bereitgestellt wird. Dadurch ist insbesondere eine Skalierung des Zugangsmechanismuses, z.B. dediziert für bestimmte Benutzer oder Benutzergruppen, möglich.

Eine weitere vorteilhafte Ausgestaltung der Erfindung liegt darin, dass der Zugang zu Bedienelementen und/oder zu Applikationen und/oder zu Geräteeinstellungen und/oder zu Bedieneinstellungen und/oder zu Dateien des mobilen Kommunikationsendgerätes durch den Zugangsmechanismus kontrolliert wird. Dadurch können z.B. bestimmte Apps (z.B. Spiele), Bilder, Filme, Adressbucheinträge (z.B. Firmenadressbucheinträge) für bestimmte Länder (z.B. arabische Länder) freigeschalten oder gesperrt werden.

Die Aufgabe wird weiterhin gelöst durch eine Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät und zur Bereitstellung einer Zugangsautorisierung für einen Benutzer des mobilen Kommunikationsendgerätes, wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf einem Zeitparameter bereitstellbar und/oder aktivierbar ist, wobei ein Server eingerichtet ist, basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter für das mobile Kommunikationsendgerät, ein dediziertes Risikopotential zu berechnen, und wobei die Anordnung weiter umfasst ein Zugangskontrollsystem, und wobei das mobile Kommunikationsendgerät eingerichtet ist, das Risikopotential auf das Zugangskontrollsystem zu übertragen, und wobei das Zugangskontrollsystem eingerichtet ist, für einen Benutzer des mobilen Kommunikationsendgerätes eine Zugangsautorisierung basierend auf dem Risikopotential bereitzustellen. Beim Zugangsmechanismus kann es sich z.B. um einen Mechanismus zur Zugangsautorisierung handeln. Mit Vorteil wird die Anordnung basierend auf Bordmitteln (z.B. GPS, Kommunikationsmittel) des mobilen Kommunikationsendgerätes realisiert.

Eine weitere vorteilhafte Ausgestaltung der Erfindung liegt darin, dass die Anordnung umfasst:

  • - ein Positionsbestimmungssystem (GPS, Galileo, Kamera, IPS) zur Bestimmung des Aufenthaltsortes des mobilen Kommunikationsendgerätes.

Der Server ist datentechnisch verbunden mit dem mobilen Kommunikationsendgerät, wobei der Server eingerichtet ist, den Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter bereitzustellen und/oder zu aktivieren. Diese Infrastrukturmittel sind weitverbreitet und üblicherweise in modernen mobilen Kommunikationsendgeräten (z.B. Smartphone), Gebäuden, IT-Infrastrukturen (Netzwerke, Cloud) bereits vorhanden oder leicht zur Verfügung zu stellen, z.B. als IaaS (Infrastructure as a Service) oder als SaaS (Software as a Service).

Der Server ist eingerichtet, basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter für das mobile Kommunikationsendgerät, ein dediziertes Risikopotential zu berechnen. Das Risikopotential kann z.B. durch Softwareprogramme der künstlichen Intelligenz (z.B. Neuronale Netze, Entscheidungstabellen) berechnet werden. Mit Vorteil werden bei der Berechnung des Risikopotentials auch aktuelle Nachrichten und/oder politische Ereignisse berücksichtigt, insbesondere in den jeweiligen Aufenthaltsorten der jeweiligen mobilen Kommunikationsendgeräte.

Das mobile Kommunikationsendgerät ist eingerichtet, das Risikopotential auf das Zugangskontrollsystem zu übertragen, wobei das Zugangskontrollsystem eingerichtet ist, für einen Benutzer des mobilen Kommunikationsendgerätes eine Zugangsautorisierung basierend auf dem Risikopotential bereitzustellen. Ein bestimmtes Risikopotential für den Benutzer eines mobilen Kommunikationsendgerätes kann auf ein anderes Zugangskontrollsystem (z.B. Zugang zu einem bestimmten Firmenareal, z.B. Labor) übertragen bzw. vererbt werden.

Die Erfindung sowie vorteilhafte Ausführungen der vorliegenden Erfindung werden am Beispiel der nachfolgenden Figuren erläutert. Dabei zeigen:

  • 1 eine beispielhafte Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät, und
  • 2 ein beispielhaftes Flussdiagramm für ein Verfahren zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät.

Zugang (Access) zum mobilen Kommunikationsendgerät (z.B. Smartphone, Notebook, Laptop, PDA) welches vom Arbeit-/ Auftragsgeber zur Verfügung gestellt wurde bedarf auf Grund von (Sicherheitsrichtlinien) „Security Policies“ die Eingabe von PIN, Muster, etc. oder Entsperrung durch biometrischen Ausweis (z.B. Fingerabdruck, Augen-Scan, Iris-Erkennung, Sprachanalyse). Speziell die Eingabe von sehr langen PIN-Codes ist benutzerunfreundlich, da diese bei nahezu jedem Zugriff auf das Gerät eingegeben werden muss. Laut Untersuchungen wird z.B. ein Smartphone im Durchschnitt jeden Tag zwischen 88 und 140 Mal genutzt. Bei jeder Nutzung muss z.B. eine sechsstellige PIN eingegeben, so die (Firmenrichtlinie) „corporate policy“ die Nutzung einer solchen vorschreibt. Dies ist für einen Benutzer zeitaufwändig und lästig.

„Flottenverwaltete“ Kommunikationsendgeräte (z.B. Firmenhandy, Firmenlaptop), d.h. von einem (grösseren) Arbeitgeber zur Verfügung gestellte Kommunikationshardware, werden üblicherweise mit einem spezifischen „Profil“ konfiguriert. Dabei werden Vorgaben des Bereitstellers via Software auf das Kommunikationsendgerät übertragen (online/offline) und entsprechende Parameter im Gerät gesetzt. Diese Einstellungen sind vom eigentlichen Nutzer nicht zu ändern. Die aktivierten Einschränkungen können z.B. Limitationen betreffend Installationen (z.B. Download von Apps oder Softwareupdates) von Drittanbietersoftware sein, Sperrung von Telefonnummernblöcken - oder eben auch der Zwang zur Nutzung von Zugangskontrollmechanismen, wie zum Beispiel die Pflicht zur Nutzung von PIN-Nummern mit x-Stellen.

Weniger störend als die Eingabe von langen PIN-Nummern ist z.B. die Nutzung des endgerätevorhandenen Fingerprint-Sensors als Authentifizierungsmechanismus. Dies geht schneller als eine PIN-Eingabe, und stört auch weniger im Bedienfluss. Aus Sicherheitsgründen ist die Nutzung des biometrischen Sicherheitselements auf mobilen Endgeraten durch die herausgebende Stelle oft deaktiviert. Damit wird die Sicherheit erhöht, aber die Benutzerfreundlichkeit gemindert. Der Grund hinter dieser Entscheidung liegt oftmals in der Gesetzgebung einzelner Länder.

1 zeigt eine beispielhafte Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät MG1 - MG3. Erfindungsgemäss ist ein Zugangsmechanismus zu einem mobilen Kommunikationsendgerät MG1 - MG3 basierend auf dem Aufenthaltsort R1 - R3 des mobilen Kommunikationsendgerätes MG1 - MG3 und/oder basierend auf einem Zeitparameter bereitstellbar und/oder aktivierbar. Die Bereitstellung bzw. die Aktivierung des Zugangsmechanismuses kann z.B. über eine entsprechende Freischaltung auf dem mobilen Kommunikationsendgerät MG1 - MG3 erfolgen. Mit Vorteil erfolgt die Freischaltung über einen entsprechend eingerichteten Server S (z.B. Computer, Personal Computer, Workstation) mit dem die mobilen Kommunikationsendgeräte MG1 - MG3 über entsprechende Kommunikationsverbindungen KV1 - KV3 (z.B. Internet, Funk) verbunden sind. Mit Vorteil ist der Server S in einer Cloud-Infrastruktur C angeordnet. Mit Vorteil hat der Server S Zugriff auf eine Datenbank DB, die z.B. Daten über die Benutzer P1 - P3 und Daten über die den jeweiligen Benutzern zugeordneten mobilen Kommunikationsendgeräten MG1 - MG3 umfasst. Bei den Benutzer P1 - P3 handelt es sich z.B. um Mitarbeiter einer Firma, die jeweils mit Firmenhandys MG1 - MG3 ausgestattet sind. Die Daten über die Benutzer P1 - P3 können z.B. sein: Position in der Firma, Identifizierungsinformation, Autorisierungsinformation, der jeweilige elektronische Kalender (z.B. Outlook). Die Daten der den jeweiligen Benutzern P1 - P3 zugeordneten mobilen Kommunikationsendgeräten MG1 - MG3 können z.B. umfassen: Typ, Geräteidentifizierungsinformation, auf den jeweiligen Geräten installierte Apps.

Beim mobilen Kommunikationsendgerät MG1 - MG3 kann es sich z.B. um ein Smartphone, ein Notebook, einen Tablet-Computer, einen PDA (Personal Digital Assistant) eines jeweiligen Benutzers P1 - P3 handeln. Beim Aufenthaltsort R1 - R3 handelt es sich jeweils um einen räumlichen Bereich, wie z.B. einen Arbeitsplatz (oder ein Bereich um einen Arbeitsplatz), ein Gebäude, ein Firmengelände, ein Land, oder eine Zeitzone. Beim Zeitparameter handelt es sich z.B. um einen definierten zeitlichen Bereich, wie z.B. normale Büroarbeitszeit (z.B. 08.00 bis 17.00 Uhr) oder Kernarbeitszeit (z.B. 10.00 bis 15.00 Uhr) .

Der Zugang bzw. die Autorisierung des Zugangs auf flottenverwaltete mobile Kommunikationsendgeräte (z.B. Firmen-Laptops, Diensthandys) MG1 - Mg3 basiert auf Sicherheitsrichtlinien SP1 - SP3 (Security Policies) des Arbeitgebers. Diese Sicherheitsrichtlinien SP1 - SP3 betreffen den Zugang des Benutzers (z.B. Mitarbeiters) P1 - P3 auf das jeweilige Kommunikationsendgerät MG1 - MG3 (z.B. vierstellige PIN-Eingabe ausreichend zur Aufhebung der Bildschirmsperrung), aber auch den Zugang von Platform-Provider (z.B. Google Play Store) oder Drittsoftwareanbietern zum Kommunikationsendgerät MG1 - MG3, die z.B. Softwareupdates bereitstellen.

Mit Vorteil umfasst die beispielhafte Anordnung zur Zugangskontrolle:

  • ein Positionsbestimmungssystem SAT zur Bestimmung des Aufenthaltsortes R1 - R3 des mobilen Kommunikationsendgerätes MG1 - MG3;
  • einen Server S, datentechnisch verbunden mit dem mobilen Kommunikationsendgerät MG1 - MG3, wobei der Server S eingerichtet ist, den Zugangsmechanismus zum mobilen Kommunikationsendgerät MG1 - MG3 basierend auf dem Aufenthaltsort R1 - R3 des mobilen Kommunikationsendgerätes MG1 - MG3 und/oder basierend auf dem Zeitparameter bereitzustellen und/oder zu aktivieren.

Beim Positionsbestimmungssystem SAT kann es sich um ein satellitengestütztes Positionsbestimmungssystem (z.B. GPS, Galileo) oder ein Indoor-Positionsbestimmungssystem (z.B. WLAN, iBeacons, BLE) handeln.

Mit Vorteil wird der Zugangsmechanismus zum mobilen Kommunikationsendgerät MG1 - MG3 basierend auf einer (aktuell) dem mobilen Kommunikationsendgerät MG1 - MG3 zugeordneten Cell-ID und/oder auf einer Netzbetreiberkennung (z.B. DVGW-Netzbetreiberliste, Portierungskennungen der Bundesnetzagentur) des Netzbetreibers und/oder auf einer Ortsinformation in einem elektronischen Kalender eines Benutzers und/oder auf Datenbankeinträge und/oder Ortsinformationen (z.B. basierend auf GPS, Glonass, Galileo, Indoor Positioning Technologien (z.B. BLE, WLAN, iBeacons)) und/oder Erdmagnetfeldinformation und/oder Bilderkennungsinformation (z.B. Mustererkennung über Kameraaufnahmen) bereitgestellt wird. Dadurch ist insbesondere eine Skalierung des Zugangsmechanismuses, z.B. dediziert für bestimmte Benutzer P1 - P3 oder Benutzergruppen, möglich.

Mit Vorteil ist der Server S eingerichtet, basierend auf dem Aufenthaltsort R1 - R3 des mobilen Kommunikationsendgerätes MG1 - MG3 und/oder basierend auf dem Zeitparameter für das mobile Kommunikationsendgerät MG1 - MG3, ein dediziertes Risikopotential RP oder Gefährdungspotential zu berechnen. In Abhängigkeit vom Risikopotential RP oder Gefährdungspotential kann z.B. ein angemessener Zugangsmechanismus bereitgestellt werden, z.B. ein biometrischer Zugangsmechanismus (Fingerabdrucksensor, Stimmerkennung, Iriserkennung, etc.). Das Risikopotential bzw. das Gefährdungspotential kann z.B. durch Softwareprogramme der künstlichen Intelligenz (z.B. Neuronale Netze, Entscheidungstabellen) im Server S berechnet werden.

Optional umfasst die Anordnung ein Zugangskontrollsystem ZKS, wobei das das mobile Kommunikationsendgerät MG2 eingerichtet ist, das Risikopotential RP auf das Zugangskontrollsystem ZKS zu übertragen, und wobei das Zugangskontrollsystem ZKS eingerichtet ist, für einen Benutzer P2 des mobilen Kommunikationsendgerätes MG2 eine Zugangsautorisierung basierend auf dem Risikopotential RP bereitzustellen. Ein bestimmtes Risikopotential RP für den Benutzer P2 eines mobilen Kommunikationsendgerätes MG2 kann auf ein anderes Zugangskontrollsystem ZKS (z.B. Zugang zu einem bestimmten Firmenareal, z.B. Labor) übertragen bzw. vererbt werden.

In der Darstellung gemäss 1 wird das für den Benutzer P2 vom Server S berechnete Risikopotential RP über die Kommunikationsverbindung KV2 auf das mobile Kommunikationsendgerät MG2 des Benutzer P2 übertragen. Vom mobilen Kommunikationsendgerät MG2 wird das Risikopotential RP über die Kommunikationsverbindung KV4 (z.B. NFC, Nahfeldkommunikation: Bluetooth, BLE) auf das Zugangskontrollsystem ZKS, welches den Zugang EG (z.B. Zugangstüre oder Drehkreuz) zum Gebäude G regelt, übertragen.

2 zeigt ein beispielhaftes Flussdiagramm für ein Verfahren zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät, wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät (z.B. Smartphone, Tablet-Computer, Notebook) basierend auf dem Aufenthaltsort (z.B. Arbeitsplatz, bestimmtes Gebäude, bestimmtes Gelände, bestimmtes Land, bestimmte Zeitzone) des mobilen Kommunikationsendgerätes und/oder basierend auf einem Zeitparameter (z.B. definierte Zeitspanne) bereitgestellt und/oder aktiviert wird (VS1).

Mit Vorteil wird, basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter, ein biometrischer Zugangsmechanismus (z.B. Fingerabdruckerkennung, Iriserkennung, Spracherkennung) bereitgestellt.

Mit Vorteil handelt es sich bei dem Zeitparameter um eine Zeitzone. Eine Zeitzone kann somit über das Merkmal „Ort“ oder über das Merkmal „Zeit“ definiert werden.

Mit Vorteil handelt es sich bei dem Zeitparameter um ein definiertes Zeitfenster (z.B. 08.00 bis 17.00 Uhr).

Mit Vorteil wird, basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf dem Zeitparameter, für das mobile Kommunikationsendgerät ein dediziertes Risikopotential berechnet und auf ein Zugangskontrollsystem in räumlicher Nähe des mobilen Kommunikationsendgerätes übertragen, wobei das Zugangskontrollsystem für einen Benutzer des mobilen Kommunikationsendgerätes eine Zugangsautorisierung basierend auf dem dedizierten Risikopotential bereitstellt. Das Risikopotential kann z.B. mit Mitteln der künstlichen Intelligenz (z.B. Neuronale Netze, Entscheidungstabellen) auf einem entsprechend eingerichteten Computer ermittelt werden, mit dem das mobile Kommunikationsendgerät datentechnisch verbunden ist, z.B. über Funk.

Mit Vorteil wird der Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf einer aktuellen Cell-ID des mobilen Kommunikationsendgerätes und/oder auf einer Netzbetreiberkennung des Netzbetreibers und/oder auf einer Ortsinformation in einem elektronischen Kalender eines Benutzers und/oder auf Datenbankeinträge und/oder Ortsinformationen und/oder Erdmagnetfeldinformation und/oder Bilderkennungsinformation (z.B. über die Auswertung von Kameraaufnahmen) bereitgestellt.

Mit Vorteil wird der Zugang zu Bedienelementen und/oder zu Applikationen und/oder zu Geräteeinstellungen und/oder zu Bedieneinstellungen und/oder zu Dateien (z.B. Video- oder Fotodateien) des mobilen Kommunikationsendgerätes durch den Zugangsmechanismus kontrolliert. Auch der Zugang zu bestimmten Internetseiten kann durch das Verfahren geregelt werden.

Der Aufenthaltsort eines mobilen Kommunikationsendgerätes kann z.B. satellitengestützt (z.B. via GPS, Galileo) oder über ein Indoor-Positionsbestimmungssystem ermittelt werden.

Das Verfahren kann mit handelsüblicher Hardware und Software realisiert werden. Mit Vorteil sind die mobilen Kommunikationsendgeräte (z.B. Smartphone) mit einem Server S (z.B. Workstation) in einer Cloud-Infrastruktur verbunden. Die Kommunikation zwischen den mobilen Kommunikationsendgeräten und dem Server S erfolgt mit Vorteil über Funkverbindungen.

Die Infrastrukturmittel (Hardware und Software, und entsprechende Geräte) zur Realisierung des Verfahrens sind weitverbreitet und üblicherweise in modernen mobilen Kommunikationsendgeräten (z.B. Smartphone), Gebäuden, IT-Infrastrukturen (Netzwerke, Cloud) bereits vorhanden oder leicht zur Verfügung zu stellen, z.B. als IaaS (Infrastructure as a Service) oder als SaaS (Software as a Service).

Vorteile der Erfindung sind insbesondere:

  • - Gewährleistung der Sicherheit der auf den mobilen Kommunikationsendgeräten vorhandenen Daten ohne Benutzer dieser Endgerate (z.B. Smartphones, Tablet-Computer) zu stark hinsichtlich Usability (Benutzerfreundlichkeit) einzuschränken.
  • - Der Umgang mit Endgeräten wird effektiver (schnellerer Zugriff auf Informationen oder Aktionen), wo vertretbar.
  • - Weiterhin kann eine lokale Risikoklassifizierung auch als Merkmal für andere Geräte/Applikationen genutzt werden, und deren Überwindungswiderstand (bei einem Benutzer) entsprechend (dynamisch) angepasst werden.
  • - Dies geschieht durch Dynamisierung von Security-Policies (Sicherheitsrichtlinien) der Endgeräte unter Einbeziehung von Informationen zum Ziel- bzw. Nutzungsort und/oder anderer Informationen wie Datenbanken mit Informationen zu Risiko, Gesetzgebung, Zeit, Nutzungsfrequenz, Nutzungsverhalten, Aufgaben/Termine/Kalender-Informationen. Informationen hierzu können lokal vom Endgerät oder auf Server (cloud) liegen und berücksichtigt werden).
  • - Datenschutz (Firmendaten, persönliche Daten, etc.) wird automatisch, insbesondere länderspezifisch, berücksichtig.
  • - Effizienzsteigerung wenn auf Grund der Umstände eine weniger restriktive Einschränkungsprofilierung genutzt werden kann.
  • - Keine statischen, sondern dynamische Sicherheitseinstellungen beim Zugriff auf das mobile Kommunikationsendgerät.

Verfahren und Anordnung zur Zugangskontrolle auf ein mobiles Kommunikationsendgerät, wobei ein Zugangsmechanismus zum mobilen Kommunikationsendgerät basierend auf dem Aufenthaltsort des mobilen Kommunikationsendgerätes und/oder basierend auf einem Zeitparameter bereitgestellt und/oder aktiviert wird.