Das Homeoffice hat keine neuen Bedrohungen geschaffen. Es hat das Terrain verschoben. Die Schutzmassnahmen, die Sie in Ihren Büros geduldig aufgebaut haben, die Firewall, das kontrollierte Netzwerk, die Kollegen, die sehen, was vor sich geht, begleiten den Mitarbeitenden nicht, der von zu Hause aus arbeitet, in einem Zug oder im Wartezimmer eines Kunden.
Die gute Nachricht: Die Massnahmen, die diese Lücke schliessen, sind wenige und für ein KMU gut erreichbar. Manche sind sogar bereits auf Ihren Geräten vorhanden, einfach nur deaktiviert.
Was ändert sich, sobald man das Büro verlässt?
Nur drei Dinge, aber sie zählen.
Das Netzwerk ist nicht mehr Ihres. Im Büro wissen Sie, wer verbunden ist und was den Datenverkehr filtert. Bei einem Mitarbeitenden läuft der Datenverkehr über einen Router, den Sie nicht verwalten, geteilt mit Spielkonsolen, Fernsehern und manchmal Mitbewohnern.
Auch das Gerät ist nicht immer Ihres. In vielen Westschweizer KMU hat sich das Homeoffice mit dem Material eingerichtet, das die Leute zur Hand hatten. Ein Familiencomputer, ein privates Telefon, auf dem die geschäftliche Mailbox eingerichtet wurde.
Die visuelle Aufsicht verschwindet. Niemand bemerkt mehr, dass ein Bildschirm offen bleibt, dass ein Laptop auf dem Tisch eines Cafés liegen geblieben ist, oder dass ein Mitarbeitender den ungewöhnlichen Anweisungen einer gefälschten E-Mail folgt. Dieses Fehlen fremder Blicke wird unterschätzt: Es ist trotzdem einer der Gründe, weshalb Versuche von CEO-Betrug besser funktionieren, wenn die betroffene Person allein arbeitet.
Ist öffentliches WLAN wirklich gefährlich?
Die klassische Angst vor dem Hotel-WLAN gehört weitgehend der Vergangenheit an. Fast alle professionellen Websites und Dienste verwenden heute HTTPS, ein Protokoll, das den Inhalt zwischen Ihrem Gerät und dem Dienst verschlüsselt: Ihr Tischnachbar liest Ihre E-Mails nicht, selbst in einem offenen Netzwerk.
Das Risiko hat sich auf zwei andere, diskretere Punkte verschoben.
Der gefälschte Zugangspunkt. Jeder kann ein Netzwerk mit dem Namen «Hotel_Guest» oder «Kostenloses_Bahnhof_Wifi» erstellen. Der Name eines Netzwerks beweist nichts. Sobald die Verbindung besteht, kontrolliert der Angreifer, was Ihr Gerät sieht: Er kann ein Anmeldeportal anzeigen, das eine geschäftliche Adresse und ein Passwort verlangt, oder eine Fehlermeldung einblenden, die zur Installation eines «Zertifikats» oder eines Updates auffordert.
Wachsamkeit unterwegs. Unterwegs liest man schnell, auf einem kleinen Bildschirm, zwischen zwei Terminen. Das ist genau der Kontext, in dem eine Phishing-E-Mail am besten funktioniert.
Ein Mitarbeitender verbindet sich auf einem Seminar mit dem Hotelnetzwerk. Eine Seite erscheint: «Sitzung abgelaufen, melden Sie sich erneut mit Ihrer geschäftlichen Adresse an.» Die Gewohnheit mit Captive-Portalen tut den Rest. Das Passwort der geschäftlichen Mailbox landet bei einem Dritten. Kein seriöses WLAN-Portal benötigt Ihr geschäftliches Passwort.
Die Abwehr besteht aus zwei Reflexen. Bevorzugen Sie, wenn möglich, das Teilen der Internetverbindung über das Telefon; das ist einfach, schnell und unter Ihrer Kontrolle. Und geben Sie geschäftliche Anmeldedaten nur auf einer Website ein, die Sie selbst aufgerufen haben, niemals über eine Seite, die von selbst erschienen ist.
Die Festplattenverschlüsselung: die rentabelste Massnahme
Wenn man sich nur einen Punkt aus diesem Artikel merken sollte, dann diesen.
Ein unverschlüsselter Laptop schützt überhaupt nichts. Das Sitzungspasswort lässt sich in wenigen Minuten mit einem bootfähigen USB-Stick entfernen, oder indem man die Festplatte einfach ausbaut, um sie anderswo anzuschliessen. Alles, was die Maschine enthielt, wird lesbar: Verträge, Angebote, Kundenlisten, archivierte E-Mails, im Browser gespeicherte Passwörter.
Mit einer verschlüsselten Festplatte wird derselbe Diebstahl zu einem reinen Materialproblem. Die Daten sind ohne das Passwort unlesbar, und der Schaden beschränkt sich auf den Preis des Geräts.
Auf dem Mac heisst die Funktion FileVault. Bei Windows Professional BitLocker. Bei neueren Telefonen wird die Verschlüsselung aktiviert, sobald ein Entsperrcode existiert. Kein Kauf, kein spürbarer Leistungsverlust. Der einzige Punkt, auf den Sie achten sollten: Bewahren Sie den Wiederherstellungsschlüssel an einem anderen Ort als auf dem Gerät auf, im Passwort-Manager des Unternehmens oder in einem physischen Tresor.
Überprüfen Sie Gerät für Gerät, einschliesslich älterer Maschinen und jener von Personen, die selten im Büro sind. Genau dort findet man die Versäumnisse.
Sollte man private Geräte bei der Arbeit zulassen?
Das ist die Frage, die in KMU am meisten Unbehagen auslöst, weil die ideale Antwort (Material für alle) nicht immer finanzierbar ist. Man sollte das Problem offen ansprechen.
Wenn ein Mitarbeitender von seinem privaten Gerät aus arbeitet, kontrolliert das Unternehmen weder die Systemupdates noch die installierte Software noch die anderen Verwendungen des Geräts. Sie können es auch nicht aus der Ferne löschen oder ohne dessen Zustimmung irgendetwas darauf vorschreiben.
Hier ist, was realistisch bleibt.
| Situation | Realistischer Ansatz |
|---|---|
| Privates Gerät, gelegentlicher Zugriff | Alles über den Browser, ohne lokale Kopie der Dateien, mit obligatorischer Zwei-Faktor-Authentifizierung |
| Privates Gerät, regelmässige Nutzung | Ein eigenes Arbeitsprofil trennen, aktuelles System und verschlüsselte Festplatte verlangen, festhalten, was erlaubt ist |
| Sensible Daten oder Administratorzugriff | Vom Unternehmen bereitgestelltes Material, ohne Ausnahme |
| Privates Telefon mit geschäftlicher Mailbox | Entsperrcode, automatisches Update, Möglichkeit, den Zugriff aus der Ferne zu widerrufen |
Ein Wort zum letzten Punkt: In den meisten professionellen Tools (Microsoft 365, Google Workspace und ihren Äquivalenten) können Sie die Sitzungen eines Geräts über die Verwaltungskonsole widerrufen. Das löscht das Telefon nicht, aber es unterbricht den Zugriff. Wissen Sie, wo sich diese Schaltfläche befindet, bevor Sie sie brauchen.
Schliesslich sollten Sie schriftlich festhalten, was erlaubt ist. Eine Seite reicht aus. Beim Ausscheiden eines Mitarbeitenden oder bei einem Vorfall ist das Fehlen einer schriftlichen Regel das, was am teuersten zu stehen kommt.
Der Bildschirm, die Sitzung und die Blicke
Die automatische Sitzungssperre ist die einfachste aller Massnahmen und eine der am seltensten angewendeten. Stellen Sie sie auf wenige Minuten Inaktivität ein, sowohl bei Computern als auch bei Telefonen. Ein offen liegender Laptop in einem Coworking-Space, einem Wartezimmer oder einem Zug ist für jeden zugänglich, der vorbeikommt.
Und der Bildschirm selbst spricht. Im Zug liest der Sitznachbar eine Lohntabelle oder einen Kundennamen ohne besondere Mühe. Das ist im engeren Sinne keine Cybersicherheit, aber das Leck ist sehr real. Ein Blickschutzfilter kostet wenig und löst das Problem für Personen, die häufig unterwegs arbeiten.
Daten, die nur auf einem Laptop existieren
Das ist das häufigste Versäumnis der mobilen Arbeit. Die Serversicherung läuft jede Nacht, niemand macht sich Sorgen. Nur dass sich der laufende Bericht, die Fotos der Baustelle und die Datei zur Verkaufsverfolgung ausschliesslich auf einem Laptop befinden, in einem lokalen Ordner, und nie irgendwohin kopiert wurden.
Ein Festplattenausfall, ein Diebstahl oder ein verschütteter Kaffee reichen dann aus, um Wochen an Arbeit verschwinden zu lassen. Zwei Antworten funktionieren, und sie lassen sich gut kombinieren. Dafür sorgen, dass die Arbeitsdateien von Anfang an in einem synchronisierten und gesicherten Bereich liegen, statt auf dem Desktop der Maschine. Und prüfen, ob dieser Bereich tatsächlich durch eine echte Sicherung abgedeckt ist, was nicht automatisch der Fall ist: Synchronisation ist keine Sicherung, wie unser Artikel über die 3-2-1-Regel erklärt.
Welche Mindestanforderungen sollten Sie an den Fernzugriff stellen?
Wenn Ihre Mitarbeitenden auf einen Server, eine Dateifreigabe oder eine in Ihren Räumlichkeiten gehostete Anwendung zugreifen müssen, sind drei Anforderungen nicht verhandelbar.
Kein interner Dienst, der direkt im Internet exponiert ist. Ein öffentlich zugänglicher Fernzugriff auf den Desktop wird permanent von Bots gescannt und angegriffen. Der Zugriff muss über einen verschlüsselten Tunnel (VPN) oder ein dafür vorgesehenes Gateway erfolgen.
Zwei-Faktor-Authentifizierung für jeden Fernzugriff, einschliesslich des VPN selbst. Ein durch Phishing gestohlenes Passwort wird dadurch allein nicht mehr ausreichend.
Personengebundene Konten und sofortiger Widerruf beim Austritt. Das gemeinsame Konto «Büro», dessen Passwort noch drei ehemalige Mitarbeitende kennen, ist ein Klassiker, und es ist in den Protokollen nicht erkennbar.
Viele Fernzugänge wurden 2020 in aller Eile geöffnet, und niemand hat sie seither wieder geschlossen. Sie funktionieren noch immer, ohne zweiten Faktor, mit den ursprünglichen Konten. Erstellen Sie ein Inventar dessen, was von aussen erreichbar ist, bevor Sie sich fragen, ob der Rest richtig konfiguriert ist. Das Tool öffentliche Exposition gibt einen ersten Überblick.
Eine allgemeine Regel wird nicht ausreichen
Diese Massnahmen bilden ein solides Fundament und schliessen die grosse Mehrheit der automatisierten Vorfälle aus. Sie sagen jedoch nicht viel über Ihre eigene Situation aus.
Das Homeoffice vervielfacht die Konfigurationen. Ein sechsköpfiges Treuhandbüro, in dem alle mit derselben gehosteten Software arbeiten, hat nicht dieselben Schwachstellen wie ein Ingenieurbüro, das mehrere Gigabyte grosse Pläne verschiebt, noch wie eine Arztpraxis, deren Daten das Haus nicht verlassen dürfen. Und innerhalb desselben Unternehmens gehen die Nutzungsweisen auseinander: ein Vertriebsmitarbeiter, der von seinem Telefon aus arbeitet, ein Buchhalter, der Dateien auf seinen Laptop holt, eine Geschäftsleitung, die ihre E-Mails von einem Familientablet aus abruft.
Das ist die Grenze einer Liste, selbst wenn sie gut angewendet wird. Die wirklichen Lücken zeigen sich, wenn man betrachtet, wie die Leute tatsächlich arbeiten, wo Dateien durchlaufen, welche Zugänge noch bestehen und wer sie nutzt. Dinge, die niemand von sich aus in einem Fragebogen angibt, oft weil niemand sie als Problem wahrnimmt.
Beginnen Sie mit dem Fundament. Der Cyber-Check-up verortet Ihr Niveau innerhalb weniger Minuten, und die weiteren vorrangigen Massnahmen sind im Pfeiler Bewährte Praktiken zusammengefasst, insbesondere die 10 wichtigsten Massnahmen. Erst danach sollten Sie prüfen lassen, was bei Ihnen wirklich zählt.