Homeoffice und die Angst vor Datenverlust und Schadsoftware

Wenn wir nun heute in der Fläche über Homeoffice reden, dann geht es sicherheitstechnisch meist um zwei Themen (von Leitungsengpässen und DDoS mal abgesehen):

• Verseuchte private Endgeräte, die auf Firmenressourcen zugreifen
  und
• Datenverarbeitung auf privaten Endgeräten.

Viele große Unternehmen setzen Lösungen wie Citrix oder SSL-VPN von privaten Endgeräten seit Jahren für den Zugriff auf Unternehmensressourcen ein. Derartige Lösungen lassen sich so konfigurieren, dass Mitarbeiter beispielsweise per RDP-/Citrix-Sitzung keine Dateien oder Befehle kopieren können, Drucker und lokale Laufwerke nicht im Kontext der Remote-Sitzung verfügbar sind und auch sonst nicht viel mehr als Bilddaten am privaten Rechner ankommen – eben jene Bilddaten, die man dann per Screenshot vom privaten PC aus ausdrucken oder mit der Handykamera abfotografieren kann. Ein Problem? Ja. Aber eines, was Sie jeden Tag im Büro auch haben – oder verbieten Sie Smartphones im Office?

Aber was passiert, wenn private Endgeräten mit Viren verseucht sind? z. B. der klassische Keylogger? Dann gehen alle Daten, die der Mitarbeiter an seiner Tastatur eintippt potentiell ins Internet bzw. „Darknet“ verloren. Das sind z. B. Zugangsdaten, E-Mails, Schreiben, Präsentationsinhalte, Kundendaten, Formeln – einfach alles, was er von daheim aus macht. Das ist tatsächlich ein Problem. Eines, welches wir in jedem Szenario haben, bei dem ein privates Endgerät verwendet wird – schon immer. Wie machen es andere? Naja, Citrix und co. haben ein florierendes Geschäftsmodell. Diese Art des Zugangs wird von vielen Firmen permanent gestattet. Dabei gibt es natürlich ein Risiko. Dieses Risiko muss man bewerten und anschließend behandeln oder akzeptieren. Moderne Lösungen für Remote-Zugriff können zumindest ein paar Compliance-Anforderungen auf den privaten Endgeräten durchsetzen: Vorhandensein eines Anti-Virenschutzes als klassisches Beispiel.

Problematischer wird es, wenn die privaten Endgeräte direkt per SSL-VPN o. ä. auf das Unternehmensnetzwerk zugreifen, also wenn die Arbeit nicht über eine Bild-übertragende Remote-Sitzung auf einem Endgerät in der Firma erfolgt, sondern der heimische PC „logisch gesehen“ auf der Netzwerkebene direkt im Firmennetzwerk steht. Ist nun Schadsoftware auf dem privaten Endgerät, dann kann das ggf. schlimme Folgen für die Infrastruktur des Unternehmens haben, wenn Ransomware und co. auf Unternehmensressourcen los gehen. Derartige Konstruktionen sollten nach Kräften vermieden werden. Wenn es keine andere Lösung gibt, dann lassen Sie die Mitarbeiter von den privaten Endgeräten nur über kontrollierte Netzwerkpfade (IP-/Port) z. B. per RDP auf ihre gewohnten Arbeitsrechner im Office. Dadurch reduzieren Sie die mögliche Angriffsfläche von privaten Endgeräten aus, ohne viele neue Ressourcen schaffen zu müssen. Ob und wie das genau funktioniert, ist in der Regel nur im konkreten Szenario abschließend zu klären. Auch Hilfe aus der Cloud kann hier zu einer schnellen und – soweit – sicheren Lösung beitragen.

Homeoffice und die Nutzung privater Endgeräte stellen somit natürlich Risiken dar. Ein Risiko ist im Bereich der Informationssicherheit aber etwas ganz normales. Ein Risiko hat eine Eintrittswahrscheinlichkeit und einen möglichen Schaden, der zu evaluieren und mit entsprechenden Maßnahmen zu behandeln ist. Das gilt genauso z. B. für das Surfen im Internet oder das Lesen von E-Mails oder das Öffnen von Office-Dokumenten auf Firmen-Geräten.