Organisatorische Maßnahme
Remote-Work-Richtlinie
Homeoffice vergrößert die Angriffsfläche
Wenn Mitarbeiter von zu Hause oder unterwegs arbeiten, verlassen Unternehmensdaten das
kontrollierte Büronetz. Heimrouter, öffentliches WLAN und private Geräte sind weniger
gesichert als die Büroumgebung – ohne klare Regeln entstehen leicht ausnutzbare Lücken.
Technische Mindestanforderungen
VPN
Verschlüsselte Verbindung
Zugriff auf interne Systeme nur über VPN. Split-Tunneling vermeiden – der gesamte Datenverkehr sollte über das Unternehmens-VPN laufen.
Endgerät
Firmeneigenes Gerät bevorzugt
Unternehmenseigene Geräte mit aktuellen Patches, Endpoint-Protection und Festplattenverschlüsselung sind privaten Geräten vorzuziehen.
Heimnetzwerk
Router-Sicherheit
Starkes WLAN-Passwort (WPA3 oder WPA2), aktualisierte Router-Firmware, kein Betrieb über öffentliche Hotspots ohne VPN.
Verhaltensregeln für Mitarbeiter
- Öffentliche Orte – Bildschirm vor Blicken schützen (Blickschutzfolie), keine vertraulichen Gespräche in Cafés oder Zügen
- Physische Dokumente – vertrauliche Ausdrucke nicht offen liegenlassen, Schredder auch im Homeoffice verwenden
- Bildschirmsperre – auch im Homeoffice beim Verlassen des Arbeitsplatzes sperren (Familienangehörige!)
- Datenspeicherung – keine Unternehmensdaten auf privaten Cloudlaufwerken (Google Drive, iCloud etc.) speichern
- Updates – Betriebssystem und Software aktuell halten – auch und gerade im Homeoffice
Regelung für private Geräte (BYOD)
BYOD klar regeln oder unterbinden
Wenn Mitarbeiter private Geräte für Arbeitszwecke verwenden dürfen, müssen Mindestanforderungen
definiert sein: aktuelles Betriebssystem, Antivirensoftware, Festplattenverschlüsselung,
PIN-/Passwortsperre. Ohne diese Vorgaben ist BYOD ein unkontrollierbares Risiko.
Was die Richtlinie regeln muss
- Welche Geräte für Remote Work zugelassen sind
- Ob und wie private Geräte genutzt werden dürfen
- Pflicht zur VPN-Nutzung und welche Ausnahmen es gibt
- Umgang mit vertraulichen Dokumenten außerhalb des Büros
- Was im Verlustfall (Gerät gestohlen/vergessen) zu tun ist
- Ob und welche Systeme aus dem Ausland genutzt werden dürfen