Die TÜV TRUST IT GmbH Unternehmensgruppe TÜV AUSTRIA gibt acht Tipps zum sicheren Arbeiten von zu Hause.

Durch die Corona-Krise sind zehntausende Arbeitsplätze vorübergehend in die eigenen vier Wände verlegt worden. Doch die neue Situation verstärkt auch die Kriminalität im weltweiten Netz. Ein genauer Blick in die eigene IT-Struktur bzw. die Schaffung von geeigneten Sicherungsmaßnahmen sind in der gegenwärtigen Situation daher ein lohnendes Investment.

Die IT-Experten der TÜV TRUST IT haben nützliche Tipps für Unternehmen entwickelt, die zum sicheren Arbeiten im Home-Office beitragen.

1. VPN-Zugang für MitarbeiterInnen einrichten, optimieren und absichern

Der VPN-Zugang ermöglicht einen sicheren Zugang zum Firmennetzwerk. MitarbeiterInnen können hier Daten abrufen, die sonst nur im Unternehmensnetzwerk vor Ort verfügbar sind. Der Zugang sollte abgesichert sein. Hier empfiehlt sich die Einrichtung von personenbezogenen Zertifikaten sowie eine Multi-Faktor Authentifizierung. Des Weiteren sollte sämtlicher Traffic über den VPN-Zugang geführt werden. Damit ist sichergestellt, dass nichts über die persönliche Internetleitung nach draußen gelangt.

2. Cloud-Services sicher verwalten

Cloud-Services werden gerade im Home-Office vermehrt für den Datenaustausch genutzt. Sie sind eine nützliche Alternative zum Übermitteln von sensiblen Daten, falls kein VPN-Zugang vorhanden ist. Es sollte hierbei darauf geachtet werden, dass die Daten in der Cloud ausschließlich verschlüsselt abgelegt werden, http-Verbindungen stets verschlüsselt sind und alle Komponenten einen aktuellen Patchstand aufweisen, um die Ausnutzung öffentlich bekannter Schwachstellen zu verhindern. Wichtig ist hierbei zudem, dass der Cloud-Service nur über den Firmenlaptop genutzt wird.

3. Verhaltensrichtlinien für Home-Office vereinbaren

Unternehmen sollten klare Sicherheitsrichtlinien für das Arbeiten im Home-Office vereinbaren. Falls diese bereits in der Unternehmens-Policy oder Ähnlichem aufgeführt sind, sollten sie unbedingt um die aktuelle Bedrohungslage ergänzt werden.

4. Umgang mit vertraulichen Daten in Papierform

Ebenso genaue Vorgaben sollte es für das Arbeiten mit vertraulichen Daten in nicht-digitaler Form geben. Dazu zählt, dass die Clean-Desk-Policy auch auf den Heimarbeitsplatz befolgt wird. Das heißt, keine Informationen offen aufbewahren, die nicht für Dritte bestimmt sind, beispielweise Klebezettel mit vertraulichen Informationen wie etwa Passwörter.

Falls sich das Arbeiten mit Papierunterlagen nicht vermeiden lässt, muss dafür gesorgt werden, dass die MitarbeiterInnen Informationen auf Papier entsprechend sicher entsorgen können. Ebenso ist eine Vorgabe zum Löschen von Datenträgern wichtig.

5. Verwendung von privaten Telefonen

MitarbeiterInnen, die über kein Firmen-Mobiltelefon verfügen, haben theoretisch die Möglichkeit zur Weiterleitung ihrer Firmennummer auf das private Telefon. Hier ist jedoch Achtung geboten, da datenschutzrechtliche und informationssicherheitstechnische Probleme entstehen können.

Es sollte besonders darauf geachtet werden, auf welchem Weg mit dem Telefon kommuniziert wird. Während ein klassisches Telefonat wenig bedenklich ist, sind andere Wege über Smartphones, etwa der WhatsApp-Messenger und weitere Nachrichtendienste, vom sicherheitstechnischen Aspekt her nicht zu empfehlen.

6. Physischer Zugriffs- und Zugangsschutz

Unter Zugangsschutz wird der allgemeine Schutz der Wohnung definiert; es sollten z.B. keine Türen und Fenster offen stehengelassen werden. Der Zugriffschutz umfasst, dass vertrauliche Daten in Papierform weggeschlossen werden müssen und der Laptop beim Verlassen des Arbeitsplatzes gesperrt wird.

7. Technischer Zugriffsschutz

Um einen technischen Zugriffsschutz zu gewährleisten, sollten die eingesetzten IT-Systeme (Telefon, Laptop, Tablet etc.) gehärtet, sowie sämtliche Speichermedien und Datenträger verschlüsselt werden.

Außerdem sollte sichergestellt werden, dass Updates für die Endgeräte immer schnellstmöglich installiert werden, um damit eine bestmögliche Sicherheit zu garantieren.

8. Awareness schaffen/verbessern

Gerade jetzt ist die Konzeption und Durchführung von Awareness-Maßnahmen, insbesondere im Kontext von Phishing, besonders wichtig. In Phishing-Mails werden aktuell etwa Atemschutzmasken und ähnliche Artikel angepriesen, um Daten abzugreifen oder potenzielle Kunden in gefälschte Onlineshops zu lotsen oder um Kunden dazu zu bringen, maliziöse E-Mail Anhänge zu öffnen. Deswegen gilt stets:

• Absender einer E-Mail kontrollieren
• Links in E-Mails genau überprüfen
• Gefälschte E-Mails an die IT-Abteilung melden
• Alle Zahlungsaufforderungen genau prüfen
• Niemals das eigene Passwort auf einer unbekannten Internetseite eingeben