Wie sieht eine gute Homeoffice Sicherheit aus?
Was ist anders? Gefährlicher oder sicherer?
Dieser Guide gibt Dir 14 konkrete Tipps, wie Du die IT-Sicherheit im Homeoffice fortführen kannst.
Starten wir!
Was ist Homeoffice anders?
Der größte Unterschied aus der IT-Sicherheitssicht ist, dass sich der Mitarbeiter-Computer nicht mehr physisch im Rechnernetz des Unternehmens befindet.
Normalerweise befindet sich der Mitarbeitercomputer im internen Netzwerk. Dort ist diser „besser geschützt“. Einer oder mehreren Firewalls verhindern die groben Angriffe. Das interne Netzwerk ist deutlich leistungsfähiger als die öffentlichen Leitungen, die nur 24,63 Mbit in Deutschland im Durchschnitt leisten können 1.
Ein modernes Unternehmensnetzwerk leistet 1 bis 10 Gigabit pro Sekunde in 2024.
Welche Risiken sinken?
- Wenn das Unternehmen mit Ransomware befallen ist, kann sich die Malware durch die langsamen VPN-Leitungen in der Regel nicht so schnell ausbreiten.
- Ein Social-Engineer-Agent (Krimineller) kann weniger Laptops mit Festplatten stehlen, weil diese zu Hause bei dem Mitarbeiter gelagert sind. In den Großraumbüros verbleiben in der Mittagspause unbewachte und „nur gesperrte“ Laptops. Ein Dritter kann diese einsammeln und die Daten von den laufenden Windows Rechnern extrahieren.
- In Privatwohnung fallt es eher einem Familienmitglied oder Nachbar auf, wenn sich ein Krimineller am Unternehmenslaptop zu schaffen macht. Im anonymen Großraumbüro-Atmosphäre kann es sich auch um einen neuen Kollegen handeln und die Anwesenden werden nicht aktiv.
- Wenn das Internet im Unternehmen ausfällt, können die Mitarbeiter ohne VPN zu mindestens die öffentlichen Ressourcen weiternutzen.
- Der Standort der Mitarbeiterlaptops im Homeoffice ist unbekannter – im Gegensatz zu der öffentlichen Anschrift des Unternehmens.
Was macht es schwerer?
Die IT-Sicherheit hat mehr zu tun, weil das VPN die Update- und Patching-Vorgänge langamser und instabiler macht. Viele Betriebssysteme und Software update sich selbst über das öffentliche Internet, trotzdem müssen zentrale Änderungen auf die Unternehmenslaptops ausgerollt werden.
Die Vielfalt an privater Hardware (Monitor, Drucker, Maus und Tastatur) erhöht das Sicherheitsrisiko dramatisch. Sicherheitsprobleme wie ungepatchte Drucker, Router und Malware erhöhen das Risiko einer Infektion.
Statt auf IT-Support zu warten, könnten einige Mitarbeiter auf private Rechner wechseln und speichern dort vertrauliche Informationen (ungeschützt) ab.
14 Tipps für mehr Homeoffice Sicherheit
Wenn Du zu Hause arbeitest, solltest Du folgende Tipps beachten, um die IT-Sicherheit auf einem hohen Standard zu halten und den Kriminellen keine Chance zu lassen.
#1 Nutze ein VPN mit 2FA
Eine verschlüsselte, gekapselte Verbindung in das Unternehmensnetzwerk ist das A und O eines sicheren Homeoffice. Der Nutzer soll das Virtual Private Netzwerk nur mit einer 2 Faktor-Authentifizierung aktivieren: ein langes Passwort (14 Symoble) und eine One Time Passwort sind Pflicht.
Das VPN (Wireguard oder IPSec) ist die Grundlage, um ein Arbeiten im Homeoffice überhaupt zu ermöglichen, weil interne Server nie erreichbar wären.
#2 Vollverschlüsselung der Festplatte
Jeder Homeoffice-Laptop sollte mit Bitlocker ausgestattet sein. Im ausgeschalteten Zustand ist die Windows Festplatte gesichert und das Gerät verrät keine Geheimnisse, selbst wenn ein Hacker in die private Wohnung einbricht.
#3 Nutze nur verschlüsselte Verbindungen
Viele Unternehmen nutzen unverschlüsselte Verbindungen innerhalb des Unternehmens z. B. zu einem Update-Server.
Diese sollten alle mit HTTPS oder FTPS verschlüsselt sein, damit ein Hacker, der durch das VPN geschlüpft ist, keine Change hat den Man-in-the-Middle zu spielen.
#4 Speere Deinen Bildschirm
Die meisten Mitarbeiter sind es gewohnt, wenn Sie in ein Meeting gehen oder die Toilette besuchen, ihren Computer zu sperren. Im Homeoffice empfinden das viele Mitarbeiter als unnötig. Jeder Mitarbeiter sollte für alle Eventualitäten gerüstet sein.
#5 Sicherer WLAN-Router
Wlan-Router sind die Verbindung für Dein Haus ins Internet.
Dieser Punkt muss mit einem sicheren und besonders langen Passwort geschützt sein. 18 Stellen oder mehr empfiehlt das BSI. Kriminelle könnten sich sonst über einen Brute-Force-Angriff als Dich ausgeben.
#6 Trenne Privates und Büro
Einige Mitarbeiter könnten vermehrt die Endgeräte privat und geschäftlich nutzen (Bring your own device, coperate owned, personelly enabled).
Dieser Trend vergrößert das Risiko, dass Malware und (illegale) private Daten auf den Laptops landet. Aus diesem Grund sollten die Mitarbeiter einen eigenen Laptop oder Desktop-Computer nutzen, um eine strikte Trennung der Tätigkeiten und Speicher-Bereiche sicherzustellen. Das Gleiche gilt auch für Zubehör. Ein Backup-Festplatte / USB-Stick solltest Du nicht auch noch privat verwenden. Monitor, Maus und Tastatur kannst Du für Dein privates und geschäftliches Setup nutzen.
#7 Sauberer Schreibtisch am Ende des Tages
Viele Unternehmen haben eine Clear-Desk-Policy eingeführt, weil die Mitarbeiter an jedem Platz arbeiten kann.
Jeder Mitarbeiter sollen alle Unterlagen mitnehmen / wegschließen oder vernichten, wenn er / sie abends nach Hause gehen. Nach Feierabend im Homeoffice könnten neugierige Augen bei einem unaufgeräumten Schreibtisch ein kritisches Dokument leaken.
#8 Ausgedruckte Dokumente richtig vernichten
Einige prähistorische Mitarbeiter 🙂 bevorzugen Papier und Stift.
Herzog von LiebtPapier druckt sich die wichtigen Unterlagen von dem Meeting vorher aus, macht sich Notizen. Das unnötige Papier landen im Papierkorb. Halt Stopp!
Unternehmensinterne Informationen darf Herzog von LiebtPapier nicht im Hausmüll entsorgen. Eine kriminelle Wühlmaus schreckt nicht von den Mülltonnen zurück, um Informationen zu stehlen. Sammele alle „Papierkorb-Dokumente“, um diese in die Datentonne bei der Arbeit zu überführen. Alternative kann der Mitarbeiter zu Hause einen Papierschredder mit einer ausreichenden Klassifikation nutzen (P9).
#9 Verbindung zu Update-Channels sicherstellen
Die Nutzung von VPN erschwert Update-Prozesse.
Stelle sicher, dass das Windows Update und andere Software-Update-Kanäle im Homeoffice aktiv sind. Ein zeitnahes Patchen von kritischen Updates ist wichtig, um die Ausbreitung einer Ransomware zu verhindern. Dezentrales Patching reduziert die Last über das VPN.
#10 Security Awareness Training überall und jederzeit
Security Awareness Schulungen sollen die Mitarbeiter im Homeoffice wie im Büro gleich absolvieren. In regelmäßigen Abständen sollen die Mitarbeiter über Phishing und Social Engineering Angriffe geschult werden.
Der Trainer kann Online-Trainings aktiv gestalten, um das „schwächste Glied“ der IT-Sicherheit zu stärken.
Steffen Lippke
#11 Backups durchführen
Die letzte Rettung sind Backups.
Backup-Software bietet das Internet wie Sand am Meer an. Die Software muss funktionieren!
Überprüfe, ob das Backup mit dem VPN zuverlässig arbeitet. Alternativ erstelle ein Backup auf einer lokalen Festplatte, die das Unternehmen zur Verfügung stellt. Überprüfe, ob die Intervalle richtig einstellt sind und ob die letzten Backups komplett durchgelaufen sind.
Andere Unternehmen schreiben vor, dass auf den lokalen Laptop nur die „notwendigsten“ Arbeitsdaten gespeichert sind. Alle anderen Daten befinden sich auf den Netzwerklaufwerken / Clouds, die Du nur über das VPN erreichst.
#12 Keine private Hardware nutzen
Bei IT-Sicherheit steckt der Teufel im Detail. Private USB-Sticks, Mäuse und Tastaturen können mit Keyloggern und andere Malware befallen sein. Das Unternehmen sollte alle Geräte stellen, um dieses Risiko auszuschließen. Vermeide die Nutzung Deiner eigenen Hardware und übertrage keine Daten mit privaten USB-Sticks.
#13 Sorgsamer Umgang wie im Büro
Lasse Dich in Deiner vertrauten Umgebung nicht dazu verleiten, anderes mit vertraulichen Informationen um zu gehen. Das gilt bei Telefonaten, schriftliche Kommunikation, der virtuellen Kaffeepause oder den Küchentisch-Trasch.
Steffen Lippke
Die heimatliche Atmosphäre kann Dich dazu verleiten, etwas zu viel in einem Meeting zu plaudern. Versuche mit der gleichen Ernsthaftigkeit und Sorgfalt vertrauliche Informationen zu schützen.
#14 Meetings, aber geschützt
Schnell hast Du ein Meeting mit Teams vereinbart und Du plauderst mit Deinem Chef über sehr kritische Themen, die nicht an die Öffentlichkeit dringen dürfen. Ein Co-Working-Space, die Bahn oder die Parkbank sind keine vertraulichen Orte.
Stelle sicher, dass wenn Besuch (für andere Familienmitglieder) im Haus ist, dass die Türen geschlossen sind. Das Gleiche gilt für die Fenster. Wenn die Wände aus Papier sind, solltest Du einen Standortwechsel bevorzugen bzw. aufrüsten.
