Homeoffice ist mehr als nur der Firmenrechner im heimischen Wohnzimmer. Um die Systeme zu schützen, müssen Unternehmen Sicherheitsmaßnahmen ergreifen. Der IT-Anbieter Rangee erklärt die wichtigsten Schritte.
In zahlreichen Unternehmen ist Homeoffice inzwischen Alltag und wird es voraussichtlich auch bleiben. Viele Arbeitnehmer und Arbeitgeber die Heimarbeit möchten auch über Corona hinaus gerne in der einen oder anderen Form beibehalten. Höchste Zeit, sich um die Sicherheit zu kümmern, nachdem es im ersten Lockdown oft nur darum ging, die Arbeit von zu Hause überhaupt erst zu ermöglichen.
Im Homeoffice sind Rechner stärker gefährdet als im gut geschützten Unternehmensnetzwerk. Cyberkriminelle haben das schnell erkannt und bereits in den ersten Tagen der Pandemie ihre Angriffsbemühungen verstärkt. Unternehmen stehen dem nicht machtlos gegenüber, sondern können einige grundlegende Maßnahmen umsetzen, um Systeme außerhalb der eigenen IT-Infrastruktur besser abzusichern. Rangee, Hersteller von Thin Clients, erklärt die wichtigsten Maßnahmen.
- Keine privaten Geräte nutzen
Weil in der Corona-Anfangszeit viele Mitarbeiter kurzfristig ins Homeoffice umziehen mussten und es in vielen Firmen an Mobilgeräten fehlte, arbeiteten einige Beschäftige zu Hause einfach an ihren privaten PCs – und tun das teilweise immer noch. Auf diesen Geräten können Unternehmen allerdings keine Sicherheitsrichtlinien durchsetzen und müssen sich auf die vom Mitarbeiter eingerichteten Schutzmaßnahmen verlassen. Solche pragmatischen Lösungen sind daher ein Risiko und sollten dringend abgelöst werden.
- Systeme regelmäßig patchen
Das Haupteinfallstor für Cyberkriminelle sind heute Software-Schwachstellen. Fast jede Malware versucht, Sicherheitslücken in Betriebssystemen oder Anwendungen auszunutzen, um ein System zu infizieren. Die schnelle Installation aller verfügbaren Sicherheitsupdates und Patches ist daher die Grundvoraussetzung für eine sichere Arbeit im Homeoffice und lässt viele Attacken ins Leere laufen.
- Endpoint-Schutz einrichten
Auf alle Heimarbeitsrechner gehört ein moderner Endgeräteschutz, der verschiedene Erkennungsmechanismen kombiniert, um Malware abzuwehren. Unternehmen müssen diese Sicherheitssoftware regelmäßig aktualisieren, damit sie bestmöglichen Schutz bietet.
- Zwei-Faktor-Authentifizierung
Die klassische Anmeldung an Systemen, Anwendungen und Online-Diensten mit einem Benutzernamen und Passwort ist heute nicht mehr zeitgemäß, weil Cyberkriminelle mittlerweile ziemlich gut darin sind, auch lange Passwörter zu erraten – oder sie bei Malware- und Phishing-Angriffe erbeuten. Komplexere Passwörter erhöhen das Schutzniveau kaum und verleiten Mitarbeiter nur dazu, für mehrere Zugänge dasselbe Passwort zu verwenden. Sicherer ist eine Zwei-Faktor-Authentifizierung, bei der zusätzlich zum Passwort noch ein weiterer Faktor benötigt wird, etwa eine Smartcard, ein Security-Token oder eine aufs Handy geschickte PIN. Das Passwort allein ist dann für einen Angreifer wertlos.
- Mit Virtual Private Network ins Firmennetz
Für viele Aufgaben benötigen Mitarbeiter einen Zugriff auf Daten oder Anwendungen im Firmennetzwerk. Diesen stellen sie über ein Virtual Private Network (VPN) her. Es handelt sich dabei um einen verschlüsselten Kommunikationstunnel zwischen dem Arbeitsgerät und der Firmeninfrastruktur. So verhindern Unternehmen, dass Außenstehende Daten auf dem Übertragungsweg abgreifen oder manipulieren. Überdies tun sie sich leichter, Sicherheitsrichtlinien anzupassen sowie Updates zu installieren als bei Systemen, die über keine Verbindung zum Firmennetz verfügen.
- USB-Geräten kontrollieren
Um das Risiko einer Malware-Infektion zu reduzieren und zu verhindern, dass Firmendaten auf privaten Speichern landen, können Unternehmen die USB-Ports der Heimarbeitsrechner zumindest für externe Speichermedien wie USB-Sticks und Festplatten sperren.
- WLAN stark verschlüsseln
Viele Mitarbeiter nutzen zu Hause ein drahtloses Netzwerk. Damit Firmendaten geschützt sind, sollten sie eine sichere WLAN-Verschlüsselung mit WPA2 oder WPA3 aktivieren – die älteren Verschlüsselungsstandards WEP und WPA bieten schon lange keinen ausreichenden Schutz mehr. Die WLAN-Verschlüsselung stellt sicher, dass Angreifer die übertragenen Daten nicht abfangen können. Das ist gerade dann wichtig ist, wenn Mitarbeiter einmal kein VPN nutzen.
- Sicheres Router-Passwort nutzen
Auch der Router selbst muss vor unbefugten Zugriffen geschützt werden, damit Cyberkriminelle ihn nicht kapern und alle Datenübertragungen mitlesen können. Ein sicheres Passwort für den Zugang zur Router-Konfiguration ist daher Pflicht – insbesondere, weil die einfachen Default-Passwörter vieler Router-Modelle weit bekannt sind. Die komplexeren Standard-Passwörter, die manche Hersteller jedem Gerät individuell zuweisen, sind zwar sicherer, aber auch nicht ideal, da sie in der Regel auf dem Gerät aufgedruckt sind. Gäste, Handwerker oder andere Besucher könnten sie sich in einem unbeobachteten Moment notieren.
- Cloud-Diensten sorgsam auswählen
Mit dem Homeoffice haben Unternehmen häufig neue Cloud-Services und Online-Dienste für den Datenaustausch und die Kommunikation eingeführt. Hier sollten sie prüfen, ob diese tatsächlich den eigenen Sicherheits- und Datenschutzanforderungen genügen, etwa ob sie eine sichere Verschlüsselung nutzen, ob und wo sie Daten speichern oder wie sie sich in die bestehende Sicherheitsinfrastruktur des Unternehmens integrieren lassen.
- Klare Vorgaben für Mitarbeiter machen
Mit klaren und verbindlichen Vorgaben zum Umgang mit Daten, Anwendungen und Geräten im Homeoffice verhindern Unternehmen, dass Mitarbeiter aus Unwissenheit die IT-Sicherheit gefährden oder gegen den Datenschutz verstoßen. Sie sollten auch Kommunikationswege und Ansprechpartner absprechen, damit Abläufe klar geregelt sind und Mitarbeiter nicht auf Betrugsversuche wie Scam-Anrufe vermeintlicher Support-Mitarbeiter hereinfallen. Spezielle Awareness-Schulungen helfen, das Bewusstsein für Cybergefahren weiter zu schärfen.
„IT-Sicherheit mag bei der Einführung von Heimarbeit im vergangenen Frühjahr nicht immer die höchste Priorität gehabt haben, doch die unsicheren Homeoffice-Provisorien dürfen jetzt nicht zur Dauerlösung werden“, mahnt Ulrich Mertz, Gründer und Geschäftsführer ´des IT-Dienstleisters Rangee. „Unternehmen sollten die Absicherung von Geräten und Datenübertragungen dringend angehen, um das Risiko von Sicherheitsvorfällen zu minimieren. Als Alternative zu Notebooks und PCs mit Windows, die stark gefährdet sind, eignen sich dabei Thin Clients mit Linux. Diese sind nicht anfällig für Malware und benötigen daher eher sehr selten Sicherheitsupdates.“ Jürgen Frisch
