Home Office und IT-Sicherheit

Ad hoc mussten viele Unternehmen im März auf Home Office ausweichen – eine willkommene Gelegenheit für Cyber-Kriminelle, mit gezielten Angriffsszenarien Kapital aus der Situation zu schlagen. So warnen Sicherheitsexperten aktuell vor Phishing-Mails, die im Namen des Bundesministeriums für Gesundheit verschickt werden und angeblich über Änderungen beim Familien- und Krankenurlaub im Kontext der Corona-Pandemie informieren. Medizinische Einrichtungen sind laut Interpol zudem verstärkt in das Visier von sogenannter Ransomware geraten.

Die Experten von Schutzwerk machten deutlich, dass Home Office einige Herausforderungen mit sich bringt. Einerseits müssen die technische Infrastruktur und Endgeräte ebenso vorhanden sein wie bestimmte (Software)-Lizenzen. Andererseits braucht es eine geeignete Arbeitsumgebung zuhause, die gewisse Mindestsicherheitsanforderungen erfüllt, z.B. hinsichtlich des Zugangs zu Datenträgern oder der Absicherung des Netzwerks.

Grundsätzlich, so Tobias Arnold, steige im Home Office die Verantwortung für jeden einzelnen Mitarbeiter. Gleichzeitig nehme die Kontrollmöglichkeit der Unternehmen im Vergleich zum Büroarbeitsplatz erheblich ab. Ein dokumentiertes Konzept und die Schulung der Mitarbeiter seien daher essentiell. Insgesamt vier Risikobereiche stellte Arnold im Kontext der IT-Sicherheit (Security und Safety) vor

• Risikobereich Heimarbeitsplatz
• Risikobereich Arbeitsgerät
• Risikobereich Kommunikation
• Risikobereich Arbeitgeber/Büro

Angefangen bei der „Kommunikation“, über das „Arbeitsgerät“ bis hin zum „Heimarbeitsplatz“ steigt die Verantwortung des Arbeitnehmers. So sollte er nur die vom Unternehmen vorgegebenen, sicheren Kommunikationskanälen zu nutzen, das Arbeitsgerät softwareseitig schützen und nicht an Dritte weitergeben und schließlich zuhause sicherstellen, dass Außenstehende nicht an firmeninterne Informationen gelangen können, z.B. „per Shouldersurfing“. Nur im Risikobereich „Büro“ liegt die Verantwortung voll beim Arbeitgeber. Zusammenfassend empfahlen die Sicherheitsexperten folgende konkrete Maßnahmen:

• Dediziertes, „gehärtetes“ Arbeitsgerät nutzen
• Sicheren Arbeitsbereich schaffen (geschlossen und abschließbar)
• Verschlüsselung aller Datenträger / Wegsperren aller Dokumente
• Regelmäßige offsite Backups
• Software aktuell halten und Sicherheitssoftware nutzen
• Kommunikationswege definieren
• Nutzung von VPN und anderen sicheren Kanälen
• Starke Authentifizierung nutzten
• Minimale Daten daheim halten
• Ad hoc Maßnahmen dokumentieren