Homeoffice Security IT-Sicherheit auch aus dem Homeoffice

Anbieter zum Thema

VMware Global Inc Zweigndl. Deutschland

Fujitsu Technology Solutions GmbH

Southern Tech GmbH

Axians IT Security GmbH

Ortsunabhängiges Arbeiten ist im Trend und verzeichnet durch die Corona-Krise einen zusätzlichen Aufschwung. Doch im Homeoffice lauern viele Risiken. Worauf müssen Unternehmen achten und wie sichert man die Remote-Arbeit richtig ab?

Während der akuten Corona-Phase waren viele Unternehmen gezwungen, ihre Mitarbeiter ins Homeoffice zu schicken. Auch Betriebe, in denen das Konzept zuvor noch die Ausnahme war, haben die Vorteile der ortsunabhängigen, flexiblen Arbeit für sich entdeckt. Laut einer Studie des Fraunhofer-Instituts für Arbeitswirtschaft und Organisation wollen 42 Prozent der Befragten künftig ihr Homeoffice-Angebot weiter ausweiten. Doch wenn Mitarbeiter jenseits der gut geschützten Unternehmens-Infrastruktur arbeiten, wirft das zahlreiche Sicherheitsfragen auf.

Das fängt bei grundlegenden Dingen wie der physikalischen Sicherheit an. Während man im Büro meist einen Bereich hat, an dem kein Publikumsverkehr herrscht, kann zu Hause oder unterwegs auch schnell einmal ein Unbefugter einen Blick auf den Bildschirm erhaschen. Was, wenn hier gerade sensible Informationen zu sehen sind? Was, wenn der Laptop gar verloren geht oder gestohlen wird? Laut einer Studie des Security-Anbieters Eset musste jeder fünfte Deutsche schon einmal den Verlust eines mobilen Endgeräts hinnehmen. Gelangen dabei vertrauliche Daten in falsche Hände, ist der Schaden groß.

Häufig gibt es zudem Geheimhaltungsvereinbarungen oder Richtlinien bezüglich der sicheren Aufbewahrung von Dokumenten, die auch bei der Remote-Arbeit und im Homeoffice einzuhalten sind (z.B. nach ISO 9001 oder ISO 27001 mit Auditierung der Sicherheit am Arbeitsplatz). Das bedeutet zum Beispiel, dass man für sichere Ausdrucke bei einem gemeinsam genutzten Netzwerkdrucker sorgen muss, Dokumente mit sensiblen Informationen nicht offen herumliegen dürfen, im Altpapier landen sollten und auf Geräten wie privaten Multifunktionsdruckern nicht gespeichert werden dürfen. ISO 270001 macht Vorgaben zur fachgerechten Löschung von Daten und Entsorgung von Datenträgern.

Unsichere Netzwerke

Grundsätzlich besteht im Homeoffice die Problematik, dass Mitarbeiter Netzwerke nutzen, die nicht der Kontrolle des Unternehmens unterliegen. Diese müssen zunächst immer als unsicher betrachtet werden. Wichtig ist daher, die Verbindung ins Unternehmensnetz und den Zugriff auf Unternehmensdaten aus diesen Netzwerken heraus sicher zu gestalten.

Gleichzeitig muss gewährleistet sein, dass die Internetverbindung des Anwenders stabil ist und genügend Bandbreite bietet, damit er seine Leistung angemessen erbringen kann – insbesondere, wenn Kunden gegenüber Service Level Agreements (SLAs) einzuhalten sind. Auch das ist eine Frage der Informationssicherheit. Denn sonst wird eines der drei Schutzziele, nämlich die Verfügbarkeit von Daten sicherzustellen, nicht erreicht. Die beiden anderen Schutzziele sind Vertraulichkeit und Integrität von Informationen sicherzustellen.

Risiken durch Cyber-Angriffe

Angriffsszenarien im Homeoffice unterscheiden sich nicht wesentlich von denen in Unternehmensumgebungen. Besonders häufig kommen Malware- und Phishing-Attacken vor. Vor allem Spear-Phishing verzeichnet in jüngster Zeit einen starken Zuwachs: Cyberkriminelle suchen sich dabei gezielt Opfer oder Opfergruppen aus und versuchen sie mit individuell abgestimmten Inhalten zu täuschen. Im Home Office sind Mitarbeiter anfälliger für solche Attacken, denn zu Hause können sie nicht schnell einmal einen Kollegen um Rat fragen, wenn sie eine verdächtige E-Mail erhalten. Anstatt sich die Mühe zu machen, eine Anfrage an den Customer Support zu erstellen, treffen sie dann selbst die vielleicht falsche Entscheidung.

Wichtige Client-seitige Schutzmaßnahmen

Um Risiken im Homeoffice möglichst gering zu halten, sollten Unternehmen Endgeräte mit den gängigen Cyber-Security-Techniken schützen. Dazu gehören zum Beispiel eine Anti-Viren-Lösung, eine Firewall sowie Portkontrolle und Media-Encryption, sodass kein beliebiger USB-Stick angesteckt werden kann, der mit Schadsoftware infiziert sein könnte. Festplattenverschlüsselung schützt vor unbefugten Zugriffen, wenn ein Laptop einmal verloren geht.

Hilfreich sind auch ein URL-Filter, der sicherstellt, dass Anwender keine gefährlichen Webseiten aufrufen, ein Cloud Access Security Broker (CASB), der die Nutzung von Cloud-Services kontrolliert und eine Data-Loss-Protection-Lösung, die vor unerwünschtem Datenabfluss schützt. Zusätzlich kann eine Lösung für Endpoint Detection und Response die Sicherheit erhöhen. Sie erkennt verdächtige Verhaltensweisen und kann Prozesse aus der Ferne beenden.

VPN-Gateways und Zwei-Faktor-Authentisierung

Die Verbindung zum Unternehmensnetzwerk sollte verschlüsselt über ein sicheres Virtual Private Network (VPN) Gateway erfolgen. Dies kann Hardware- oder Software-seitig umgesetzt sein. Es gibt zum Beispiel Geräte, die der Anwender einfach hinter seinen Home-DSL-Router anschließt und die gleichzeitig einen WLAN-Access-Point und einen VPN-Client zur Verfügung stellen. Eine zentrale Rolle spielt zudem eine sichere Anmeldung am Firmennetz und in Cloud-Services.

Unternehmen sollten daher nicht nur starke Passwörter, sondern auch Zwei-Faktor-Authentisierung etablieren. Neben dem Passwort ist dann ein zusätzliches Token für die Anmeldung oder die Genehmigung von Transaktionen erforderlich. Das kann zum Beispiel ein One Time Passwort (OTP), eine Smartphone-Token-App oder ein Zertifikat auf einer Smartcard sein. Dabei sollte man darauf achten, dass das Verfahren möglichst einfach anzuwenden ist.

Zero Trust bei privat genutzten Geräten

Erschwert wird die Absicherung im Home Office, wenn Mitarbeiter private Endgeräte für die Arbeit nutzen. Denn auf ihnen kann die IT-Abteilung keine Software installieren und keine Kontrollmechanismen etablieren. Für solche Fälle empfiehlt es sich, eine Zero-Trust-Architektur aufzubauen. Diese geht davon aus, dass zunächst einmal kein Nutzer, keine Anfrage und kein Dienst, der auf das Unternehmensnetzwerk zugreifen möchte, vertrauenswürdig ist, bis er das Gegenteil beweist. Dafür reicht eine einmalige Anmeldung nicht aus. Vielmehr wird das Vertrauen kontinuierlich bei jedem externen Zugriff auf eine Ressource überprüft.

Organisatorische Maßnahmen

Nicht zuletzt sind für die Sicherheit im Home Office auch organisatorische Maßnahmen wichtig. Dazu gehört zum Beispiel, dass die IT-Abteilung genau darüber Buch führen sollte, an wen sie welche Hardware herausgegeben hat und wer welche Accounts und welche Cloud-Services nutzt. So kann sie kontrollieren, ob es zu Missbrauch kommt, und Zugänge sperren oder Laptops zurückfordern, wenn ein Mitarbeiter das Unternehmen verlässt.

Im Customer Support sollten Unternehmen einen Prozess zur Authentisierung von Mitarbeitern etablieren – zum Beispiel anhand der Personalnummer oder einer hinterlegten Telefonnummer. Das ist gerade in Homeoffice-Szenarien wichtig, denn sonst haben es Kriminelle leicht, sich am Telefon als Mitarbeiter auszugeben und sich mithilfe von Social-Engineering-Praktiken Zugang zu Account-Daten zu erschleichen.

Fazit

Die Möglichkeit, im Homeoffice zu arbeiten, bringt für Mitarbeiter und Unternehmen viele Vorteile und sorgt in Krisenzeiten für Geschäftskontinuität. Doch Remote-Arbeitsplätze richtig abzusichern, erfordert eine sorgfältige Planung. Ein spezialisierter Dienstleister wie Axians kann dabei unterstützen, ein passgenaues Schutzkonzept zu entwickeln, geeignete Richtlinien, Maßnahmen und Security-Lösungen auszuwählen sowie zu installieren. So können Unternehmen ihr Homeoffice-Angebot ausbauen und sicher in ihre IT-Infrastruktur integrieren.

* Der Autor Ben Kröger ist Leitung Professional Service bei Axians IT Security.

(ID:47120489)