Homeoffice sicher einrichten: Was über den VPN-Zugang hinausgeht

Als Homeoffice überraschend zum Alltag wurde, ging es zuerst um Erreichbarkeit: Hauptsache, die Leute können arbeiten. Diese Phase ist vorbei. Heute steht die Frage im Raum, unter welchen Bedingungen außerhalb des Büros gearbeitet wird – und ob diese Bedingungen irgendwo festgehalten sind. Der Fernzugang ist dabei nur ein Baustein, und nicht einmal der wichtigste.

Das BSI behandelt das Thema im IT-Grundschutz in zwei getrennten Bausteinen: OPS.1.2.4 für die Telearbeit als organisatorischen Rahmen und INF.8 für den häuslichen Arbeitsplatz als Raum. Diese Trennung ist aufschlussreich, weil sie zeigt, wo die Lücken meist liegen. Die Technik ist vielerorts ordentlich gelöst, der Raum und die Regeln dagegen bleiben häufig den Beschäftigten überlassen.

Das Gerät: Firmeneigentum unter zentraler Verwaltung

Die Grundsatzentscheidung fällt beim Gerät. Nur auf einem Firmengerät lassen sich Updates, Virenschutz, Verschlüsselung und Bildschirmsperre durchsetzen und nachweisen. Ein privater Rechner entzieht sich dieser Kontrolle: Ob er aktuell ist, wer ihn noch benutzt und welche Software darauf läuft, kann das Unternehmen weder sehen noch vorgeben. Private Windows-10-Rechner erhalten zudem nur noch Sicherheitsupdates, wenn sie im Verbraucherprogramm für erweiterte Sicherheitsupdates angemeldet sind – nach derzeitigem Stand bis zum 12. Oktober 2027.

Der Zugang: Ein VPN ist ein Werkzeug, kein Sicherheitskonzept

Ein VPN verschlüsselt den Weg ins Firmennetz. Es sagt aber nichts darüber aus, wer am anderen Ende sitzt und in welchem Zustand dessen Gerät ist. Wer sich mit gestohlenen Zugangsdaten anmeldet, ist über ein VPN ebenso gut verbunden wie die berechtigte Mitarbeiterin. Deshalb gehören zum Zugang drei weitere Fragen: ob der zweite Faktor für jede Verbindung Pflicht ist, ob vor dem Zugriff geprüft wird, dass es sich um ein verwaltetes Firmengerät handelt, und worauf eine Verbindung überhaupt zugreifen darf – auf das gesamte Netz oder nur auf die Anwendungen, die für die Aufgabe nötig sind.

Der VPN-Zugang selbst ist zudem ein exponiertes System. Gateways und Firewalls mit Fernzugriffsfunktion sind direkt aus dem Internet erreichbar und deshalb regelmäßig Gegenstand von Sicherheitswarnungen. Ihre Updates gehören in den kürzesten Wartungsrhythmus, den das Unternehmen hat, nicht in den Quartalsplan. Auch das Heimnetz verdient einen kurzen Blick: ein aktueller Router mit geändertem Standardpasswort und, wo möglich, ein vom übrigen Haushalt getrenntes Netz für das Firmengerät.

Die Unterlagen: Wo Papier und Bildschirm zum Risiko werden

Daten gehören grundsätzlich auf den Firmenspeicher, nicht auf den lokalen Schreibtisch oder einen privaten USB-Stick. Das dient nicht nur der Vertraulichkeit, sondern auch der Sicherung: Was nur auf dem Notebook liegt, ist mit dem Notebook verloren. Wo Dateien für die Arbeit ohne Verbindung synchronisiert werden, sollte die Synchronisation automatisch zurück in die zentrale Ablage laufen.

Unterschätzt wird regelmäßig das Papier. Der Baustein INF.8 verlangt, dass dienstliche Unterlagen am häuslichen Arbeitsplatz verschlossen aufbewahrt werden können und dass geregelt ist, was zwischen Büro und Wohnung transportiert werden darf. Dazu kommt die Entsorgung: Ein Ausdruck mit Kundendaten gehört nicht in die Altpapiertonne des Mehrfamilienhauses, also ist zu klären, ob ein Aktenvernichter gestellt wird oder Ausdrucke gesammelt ins Büro zurückgehen. Ähnliches gilt für den Bildschirm: Videokonferenzen im gemeinsam genutzten Wohnzimmer und Arbeit im Zug verlangen Aufmerksamkeit dafür, wer mithört und mitliest.

Die Regeln: eine halbe Seite, die jeder kennt

Vieles scheitert nicht an Technik, sondern an unausgesprochenen Erwartungen. Das BSI fordert im Baustein OPS.1.2.4, den Beschäftigten die geltenden Regelungen oder ein Merkblatt auszuhändigen und sie regelmäßig zu aktualisieren. Eine halbe Seite mit klaren Antworten verhindert mehr Vorfälle als jede zusätzliche Software. Sie sollte mindestens diese Fragen beantworten:

Arbeitsrechtlich lohnt eine saubere Begriffswahl. Die Arbeitsstättenverordnung versteht unter Telearbeitsplätzen vom Arbeitgeber fest eingerichtete Bildschirmarbeitsplätze im Privatbereich, für die Arbeitszeit und Dauer vereinbart sind; für sie gelten andere Pflichten als für gelegentliches mobiles Arbeiten. Wo ein Betriebsrat besteht, bestimmt er bei der Ausgestaltung mobiler Arbeit nach § 87 Abs. 1 Nr. 14 BetrVG mit. Die Betriebsvereinbarung ist dann der natürliche Ort, um auch die Sicherheitsregeln zu verankern.

Und schließlich der oft vergessene Punkt: die Rückgabe. Wenn Beschäftigte das Unternehmen verlassen oder dauerhaft ins Büro zurückkehren, gehören Gerät, Zugangsmittel, Unterlagen und gegebenenfalls dienstlich genutzte private Konten geordnet zurückgeführt – dokumentiert, mit Checkliste. Ein sicheres Homeoffice endet nicht mit dem letzten Arbeitstag, sondern mit dem Protokoll, das diesen Tag abschließt.

Verwandte Themen: Wer hier weiterdenkt, liest bei VPN, Gerätemanagement und Arbeitsplatz-Standardisierung weiter.