Das Homeoffice ist gekommen, um zu bleiben – aus dem Krisenprovisorium von damals ist ein fester Bestandteil der Arbeitswelt geworden, auch und gerade in Klein- und Mittelbetrieben. Was vielerorts allerdings ebenfalls geblieben ist: der Provisoriumscharakter der Technik dahinter. Da arbeitet der Mitarbeiter am privaten Laptop, auf dem abends die Kinder spielen. Da laufen Firmendaten über den heimischen WLAN-Router mit dem Werkspasswort. Da wurde für den Fernzugriff „schnell was freigeschaltet“, das seither niemand mehr angeschaut hat. Jedes dieser Provisorien ist eine offene Flanke – denn aus Sicht eines Angreifers ist das Homeoffice schlicht eine Außenstelle des Firmennetzes, nur ohne dessen Schutzmaßnahmen. In diesem Beitrag zeigen wir, wie sicheres Arbeiten von zu Hause wirklich aussieht: bei den Geräten, bei der Verbindung, bei den Daten und bei den Regeln.
Das Grundproblem: Die Firmengrenze verläuft jetzt durchs Wohnzimmer
Um die richtigen Maßnahmen zu verstehen, hilft ein Perspektivwechsel: Solange alle im Büro arbeiten, gibt es eine klare Grenze – drinnen das geschützte Firmennetz mit Firewall, verwalteten Geräten und kontrollierten Zugängen, draußen das Internet. Mit dem Homeoffice löst sich diese Grenze auf: Firmendaten werden nun an Orten verarbeitet, die der Betrieb weder kennt noch kontrolliert – im Heimnetz neben Smart-TV, Spielkonsole und den Geräten der Familie, auf Hardware unbekannten Zustands, über Zugänge, die im Zweifel jahrelang niemand prüft. Jede seriöse Homeoffice-Strategie tut deshalb eines: Sie zieht die Firmengrenze neu – um das Gerät, die Verbindung und die Daten herum, statt um das Bürogebäude.
Baustein 1: das Gerät
Die wichtigste Einzelentscheidung ist die Gerätefrage, und sie fällt klar aus: Wer regelmäßig im Homeoffice arbeitet, braucht ein firmeneigenes, vom Betrieb verwaltetes Gerät. Der private PC ist keine Sparlösung, sondern ein Blindflug – niemand weiß, welche Software darauf läuft, wann zuletzt Updates eingespielt wurden, wer ihn sonst noch benutzt und was er sich beim abendlichen Surfen eingefangen hat. Auf demselben Gerät Firmendaten zu verarbeiten heißt, all diese Unbekannten ins Unternehmen einzuladen; auch datenschutzrechtlich ist die Vermischung von privater Umgebung und Kundendaten ein Terrain, das man meiden sollte.
Das Firmengerät wiederum ist nur so gut wie seine Grundausstattung, und die gehört standardisiert: Festplattenverschlüsselung, damit ein gestohlenes oder verlorenes Notebook ein Ärgernis bleibt statt ein Datenvorfall zu werden – am Küchentisch, im Zug und im Auto geht mehr verloren, als man denkt; automatische, zentral gesteuerte Updates für System und Anwendungen; aktueller Endpunktschutz; ein Benutzerkonto ohne Administratorrechte für die tägliche Arbeit; automatische Bildschirmsperre; und die Anmeldung an allen Firmendiensten mit Mehrfaktor-Authentifizierung – das Sicherheitsnetz, das gestohlene oder abgephishte Passwörter entwertet und im Homeoffice-Kontext noch wichtiger ist als im Büro, weil hier alles über Fernzugänge läuft.
Baustein 2: die Verbindung
Der zweite Baustein ist der Weg der Daten zwischen Wohnzimmer und Betrieb – und hier gilt eine einfache Regel: Firmensysteme dürfen aus dem Internet nicht direkt erreichbar sein. Die abschreckende Praxis sieht leider anders aus: Für den schnellen Zugriff wurde irgendwann eine Fernwartung oder ein Remote-Desktop-Zugang direkt ins Internet gestellt – bequem, und zugleich eines der beliebtesten Einfallstore für automatisierte Angriffe, wie wir im Ransomware-Beitrag beschrieben haben. Der saubere Weg ist ein VPN: ein verschlüsselter Tunnel zwischen dem Firmengerät und dem Betriebsnetz, abgesichert mit Mehrfaktor-Authentifizierung, über den der Zugriff auf interne Systeme läuft – zentral verwaltet, protokolliert und pro Person abschaltbar, etwa beim Ausscheiden eines Mitarbeiters. Moderne VPN-Lösungen sind schlank und alltagstauglich; und falls der Tunnel zwar verbindet, aber quälend langsam überträgt, lohnt übrigens ein Blick in unseren Beitrag über das MTU-Problem – eine der häufigsten und am seltensten erkannten Ursachen.
Zum Heimnetz selbst genügen wenige, aber ernst gemeinte Vorgaben an die Mitarbeiter: ein eigenes, starkes WLAN-Passwort statt des Aufklebers auf dem Router, aktuelle Router-Firmware, moderne WLAN-Verschlüsselung – und im öffentlichen Raum, im Café oder Hotel, grundsätzlich nur über das VPN arbeiten. Wer noch einen Schritt weiter gehen will, trennt zu Hause das Arbeitsgerät in ein eigenes Netzsegment vom übrigen Familien-Gerätepark; viele moderne Router bieten dafür ein Gastnetz, das sich hier zweckentfremden lässt.
Baustein 3: die Daten
Der dritte Baustein wird am häufigsten übersehen, richtet aber im Alltag den größten Schaden an: der Umgang mit den Daten selbst. Ohne klare Vorgaben entsteht im Homeoffice zuverlässig ein Wildwuchs – Dateien werden lokal auf den Desktop kopiert, „damit es schneller geht“, wandern auf private USB-Sticks, werden über das persönliche Cloud-Konto oder gar die private E-Mail-Adresse hin- und hergeschickt. Jede dieser Kopien ist eine Kopie außerhalb jeder Sicherung und jeder Kontrolle: Sie taucht in keinem Backup auf, unterliegt keinem Rechtekonzept, und beim Ausscheiden des Mitarbeiters weiß niemand, was wo verblieben ist – ein handfestes DSGVO-Problem noch dazu.
Die Lösung ist weniger Verbot als Angebot: Es braucht einen zentralen, bequemen, offiziellen Ort für die Daten – ob der Zugriff auf die Firmenablage über das VPN oder, oft die elegantere Variante für verteiltes Arbeiten, eine unternehmenseigene Cloud-Lösung wie eine Managed Nextcloud aus Österreich, bei der Dateien synchronisiert, gemeinsam bearbeitet und sicher mit Externen geteilt werden können, während sie zentral gesichert und rechtegesteuert bleiben. Wenn der offizielle Weg der einfachste ist, stirbt der Wildwuchs von selbst; solange er umständlicher ist als der USB-Stick, gewinnt der USB-Stick. Ergänzend gehört die Frage geklärt, was mit lokal anfallenden Daten auf den Notebooks geschieht – auch dafür braucht es eine Sicherungsstrategie, denn das Notebook im Homeoffice ist von der nächtlichen Server-Sicherung im Büro erst einmal nicht erfasst.
Baustein 4: die Regeln – und die Menschen
Technik trägt nur so weit, wie die Praxis mitspielt, und deshalb gehört zum sicheren Homeoffice ein kurzes, verständliches Regelwerk – keine dreißig Seiten Juristendeutsch, sondern die relevanten Punkte auf ein, zwei Seiten: Gearbeitet wird am Firmengerät; der Zugriff läuft über VPN mit Mehrfaktor-Authentifizierung; Daten leben am zentralen Ort, nicht auf Sticks und in Privat-Clouds; der Bildschirm wird gesperrt, wenn man den Platz verlässt – auch zu Hause, denn vertrauliche Kundendaten gehen auch Familienmitglieder nichts an; Telefonate mit sensiblen Inhalten führt man nicht am Küchentisch mit Besuch; und bei Verlust eines Geräts oder einem Verdachtsmoment wird sofort gemeldet, nicht erst am Montag. Gerade der letzte Punkt entscheidet Fälle: Ein binnen einer Stunde gemeldetes verlorenes Notebook lässt sich sperren und verschmerzen – dasselbe Notebook, drei Tage verschwiegen, ist ein Vorfall mit Meldepflicht-Prüfung.
Dazu gehört, die Mitarbeiter nicht nur zu verpflichten, sondern mitzunehmen: kurz erklären, warum die Regeln so sind (die Phishing- und Ransomware-Beiträge liefern das Anschauungsmaterial), die Einrichtung nicht dem Einzelnen überlassen, sondern fertig konfigurierte Geräte ausgeben, und einen erreichbaren Ansprechpartner für Probleme bieten. Sicherheit, die im Alltag funktioniert, ist immer eine Mischung aus guter Technik und geringem Widerstand.
Fazit
Sicheres Homeoffice ist kein Sonderthema, sondern konsequent angewandte IT-Sicherheit unter neuen Vorzeichen: verwaltete, verschlüsselte Firmengeräte statt Privat-PCs; VPN mit Mehrfaktor-Authentifizierung statt offener Fernzugänge; ein zentraler, bequemer Ort für die Daten statt Kopien-Wildwuchs; und klare, gelebte Regeln statt stillschweigender Annahmen. Der Aufwand dafür ist überschaubar und größtenteils einmalig – und er verwandelt das Dauer-Provisorium in das, was Homeoffice sein sollte: ein vollwertiger, sicherer Arbeitsplatz, nur eben mit besserem Kaffee.
