Die wachsende Zahl an Homeoffice Arbeitsplätzen hat nicht wenigen Administratoren in Unternehmen zu recht graue Haare beschert. Die Umsetzung der Gewährleistungsziele der Datensicherheit, Verfügbarkeit, Vertraulichkeit und Integrität stellt schon im Unternehmensnetzwerk eine Herausforderung dar. Hier haben Administratoren wenigstens den Überblick über die eingesetzten Geräte im Netzwerk. Im Homeoffice, vor allem dann, wenn Familien mit mehreren Angehörigen, darunter Halbwüchsigen das Netzwerk bevölkern, fehlt dieser Überblick.
Hinzu kommt, dass im heimischen Netzwerk oftmals eine ganze Reihe von Smarthome-Geräten eingesetzt werden, die zumindest teilweise eklatante Sicherheitslücken mangels Softwareupdates aufweisen können. Gerade preiswerte Smarthome-Lösungen werden oftmals aus Kostengründen seitens des Herstellers nicht gepatcht. Mit allen denkbaren Folgen und Sicherheitslücken.
Der erste Schritt: Die Risikoanalyse
Im ersten Schritt empfehlen wir eine gründliche Risikoanalyse bei Einführung eines neuen Telearbeitsplatzes.
- Welches Risikopotential steckt in den Daten, auf die der/die Telearbeiter*in Zugriff nehmen soll und muss?
- Lässt sich das Risikopotential eventuell durch eingeschränkte Zugangs- und Nutzungsrechte verringern?
- Wie sieht die Umgebung des Homeoffice-Arbeitsplatzes aus? (Hier ist ein offenes und vertrauensvolles Gespräch mit den Mitarbeiterinnen und Mitarbeitern über die Homeoffice-Infrastruktur sinnvoll.)
Technische und organisatorische Maßnahmen der Datensicherheit
Ist das Risikopotential ermittelt und eine erste Bestandsaufnahme mit dem künftigen Telearbeiter bzw. Telearbeiterin erledigt, geht es an die Umsetzung grundlegender Maßnahmen zur Absicherung des Arbeitsplatzes. An dieser Stelle verweisen wir auf die Hinwesie des Bundesamtes für Sicherheit in der Informationstechnik (BSI) „Tipps für sicheres, mobiles Arbeiten„. Deshalb hier nur in Stichworten, die vom BSI empfohlenen Maßnahmen:
- Regelungen für Telearbeiter und Sicherheitsrichtlinie
- Sensibilisierung von Beschäftigten
- Zutritts- und Zugriffsschutz
- Härtung der eingesetzten IT-Systeme
- Verschlüsselung
- Bildschirmfolien
- Sicherer Remotezugriff
- Datensicherung
- Verlustmeldung
- Support
- Arbeiten in fremden IT-Systemen/Netzen
- Entsorgung
- Unterlagen mit erhöhtem Schutzbedarf
- Verifizierung
- Angriffsmethoden: Phishing
(Quelle: Tipps für sicheres mobiles Arbeiten, BSI)
Auf die Mitarbeiter kommt es an
Sensibilisierte und informierte Mitarbeiterinnen und Mitarbeiter sind in Bezug auf Datensicherheit und Datenschutz das wichtigste Kapital Ihres Unternehmens. Wichtig zu vermitteln bleibt, Maßnahmen zum Schutz betrieblicher Informationen sind kein Ausdruck des Misstrauens gegenüber der Mitarbeiterin oder dem Mitarbeiter, sondern den gewachsenen Risiken auf dem Gebiet der Cybersicherheit geschuldet.
Mit den vom BSI angesprochenen Maßnahmen lassen sich viele Risiken, wenn schon nicht gänzlich vermeiden, so doch erheblich mindern.
Kommt es dennoch zum data breach: Meldepflichten beachten
Jeder Datenvorfall, bei dem personenbezogene Daten betroffen sind, löst eine Meldepflicht bei der zuständigen Landesbehörde für Datenschutz aus, es sei denn, vom Vorfall geht keine Gefahr für den Betroffenen aus. Dies kann beispielsweise dann der Fall sein, wenn der verlorene Laptop vollständig und sicher verschlüsselt ist. Achtung: Missachtungen der Meldepflicht nach Art. 33 bzw. 34 DSGVO können zu erheblichen Bußgeldern und, im Falle des Falles, auch Schadensersatzansprüchen der Betroffenen führen. Bei grob fahrlässigen Missachtungen kommt gegebenenfalls auch eine Haftung von Geschäftsführern mit ihrem Privatvermögen in Frage.
(Bildnachweis: Pixabay)