Remote, aber sicher: Wie Informationssicherheit beim mobilen Arbeiten gelingt

von Mark Loveless

Wenn Mitarbeiter von jetzt auf nachher ihren Arbeitsplatz ins Home-Office verlegen müssen, steht zwangsläufig eine ganze Reihe an Herausforderungen an. Sie betreffen die tägliche Routine der Mitarbeiter, die IT-Infrastruktur der Organisation und letztlich die gesamte Unternehmenskultur. Das Thema Sicherheit fällt erst auf den zweiten Blick ins Auge, ist aber ein ganz zentraler Punkt. Selbstverständlich betrifft die Umsetzung größtmöglicher Sicherheit in erster Linie Administratoren. Es hilft jedoch, wenn sich auch das Management und die Endnutzer über einige sicherheitsrelevante Aspekte im Klaren sind.

Inhaltsübersicht:

• Informationssicherheit beim mobilen Arbeiten: Worauf kommt es an?
• Tipps zur Schadensbegrenzung
• Fazit

Die aktuelle Situation beschleunigt eine Entwicklung, die sich früher oder später auch ohne Krisensituation hierzulande verstärkt gezeigt hätte. Denn außerhalb Europas geben laut einer aktuellen Umfrage 84% der Befragten an, dass sie alle ihre Arbeitsaufgaben bereits ortsunabhängig erledigen können. Es ist zu erwarten, dass auch in Europa Unternehmen zunehmend offener werden gegenüber flexiblen Arbeitsmodellen. Selbst wenn eine komplette Umstellung auf Remote Arbeiten nur selten in Frage kommt, so werden viele zumindest eine Hybrid-Lösung in Erwägung ziehen. Damit wären Firmen flexibler und besser gerüstet für den Fall, dass innerhalb kürzester Zeit eine große Anzahl an Mitarbeitern plötzlich von Zuhause aus arbeiten muss. 

Erfolgreiche Beispiele für Remote Work gibt es durchaus: Dabei arbeiten Hunderte von Mitarbeitern weltweit ortsunabhängig und asynchron zusammen. Diese dort gesammelten Erfahrungen können dabei helfen, im Hinblick auf die Informationssicherheit die richtigen Entscheidungen zu treffen, um für Perimeter, VPN und Zwei-Faktoren-Authentifizierung geeignete Lösungen zu finden.

Informationssicherheit beim mobilen Arbeiten: Worauf kommt es an?

Weitere wichtige Faktoren, die beim Übergang zum mobilen Arbeiten hinsichtlich der Informationssicherheit berücksichtigt werden sollten, sind:

• Angepasste Bandbreite: Wenn der Remote-Zugriff aufgrund einer Lizenz limitiert ist, lässt sich das in einem ersten Schritt durch ein Upgrade lösen. Was jedoch schwieriger behoben werden kann, sind physikalische Grenzen: Wenn z.B. die IT-Ausstattung schon nicht in der Lage ist, den zeitweiligen Zugriff von 100 Nutzern zu ermöglichen, dann wird sie bei einem Dauerzugriff kaum die fünffache Anzahl an Endnutzern zufrieden stellen. Um diese Herausforderungen in puncto Bandbreite zu meistern, sollte zum einen die Anschaffung zusätzlicher Hardware sowie eine Neukonfiguration des Netzwerks in Betracht gezogen werden. 

• Bereitstellung von Sicherheit: Sind die Mitarbeiter gerüstet für das Mobile Arbeiten? Gelingt der sichere Datenzugriff auch aus der Ferne? Schließlich haben sie dann nicht die Möglichkeit, mit dem Laptop in die IT-Abteilung zu gehen und mal eben eine spezielle Software, ein notwendiges Zertifikat oder einen Dongle installieren zu lassen. Deshalb ist es wichtig, dass bereits die Pläne für eine Umstellung auf Mobiles Arbeiten alles beinhalten, was Mitarbeiter dazu befähigt, unter Berücksichtigung aller relevanter Sicherheitsaspekte auch aus dem Home-Office zu arbeiten.  

• Einrichtung eines Helpdesk: Damit die Produktivität im Unternehmen unter der Umstellung zum Remote Arbeiten nicht zu sehr leidet, ist es sinnvoll, eine zentrale Anlaufstelle einzurichten, die für das interne Informations- und Supportmanagement zuständig ist. Schließlich muss mit einer Flut an Anfragen von Seiten der Mitarbeiter gerechnet werden und das erst recht dann, wenn es – wie im Fall von COVID-19 – schnell gehen muss. Deshalb empfiehlt es sich, die Bereitstellung möglichst einfach und selbsterklärend zu gestalten, um die Zahl der Anfragen zu minimieren. Hilfreich ist es auf jeden Fall, wenn die Mitarbeiter des Helpdesk so weit wie möglich in die Strategie, Planung und Unterstützung miteinbezogen werden. Berücksichtigt werden sollte auch, dass eben diese Mitarbeiter selbst remote sein könnten und deren Input durchaus wertvoll für entsprechende Lösungsansätze sein können. 

• Schnelle Lösungen: Eine Überlegung wert ist in diesem Zusammenhang die Anschaffung eines neuen VPN oder die Umstellung auf eine Lösung mit Vor-Ort-Authentifizierung für die Cloud-basierte SaaS-Anwendung des Herstellers. Doch selbst wenn der gesamte Cutover-Prozess schnell und problemlos abläuft (was jedoch selten der Fall ist), könnte die schnelle Bereitstellung einer neuen Sicherheitstechnologie zu einigen standardmäßigen oder gar leicht abweichenden Konfigurationen führen, mit denen das Unternehmen möglicherweise gegen Sicherheitsvorgaben verstößt. Selbst wenn aus Zeitgründen vor dem Einsatz keine vollständige Evaluierung oder ein Test durchgeführt werden kann, sollte es stets die oberste Priorität des Sicherheitsteams sein, die neue Lösung sofort auf Sicherheitsmängel zu überprüfen und diese gegebenenfalls so schnell wie möglich beheben.

• Fragwürdige Konfigurationen: Es kann vorkommen, dass eine auf den normalen Arbeitsalltag im Büro zugeschnittene Bandbreite für das Arbeiten im Home Office nicht ganz ausreicht. Gerade dann, wenn die Kommunikation zunehmend über Videokonferenzen abläuft und viele Mitarbeiter über das VPN auf das Netzwerk zugreifen, kann dies zur Verlangsamung des Datenverkehrs führen. Deshalb sollten Mitarbeiter im Home Office nicht zusätzliche Daten, wie z.B. Musik streamen, da dies die Bandbreite zusätzlich beeinträchtigt. Auf keinen Fall sollte dafür das VPN neu konfiguriert werden, um Dual-Tunneling zu ermöglichen. Denn beim Dual-Tunneling geht nur der Arbeitsverkehr in das VPN, der Rest geht direkt vom Home Office des Benutzers in das offene Internet – und das alles ohne den Schutz durch das Filtern der Website, ohne ein System zur Erkennung von Angriffen, ohne Firewalls und sonstige Abwehrmaßnahmen, die den Mitarbeiter im Home Office schützen. 

Tipps zur Schadensbegrenzung

Bei all diesen Szenarien, muss klar sein: Sollte der Mitarbeiter beim Remote Arbeiten in der Vergangenheit bereits schlechte Erfahrungen gemacht haben, so wird er versuchen, eigene Lösungen zu finden, um seine Arbeit bestmöglich zu erledigen. Dazu gehört dann auch eine mögliche Umgehung von Sicherheitselementen, was allerdings dazu führt, dass der Laptop des Mitarbeiters oder die Ressourcen, auf die er zugreift (oder gar beides), ungeschützt sind. Deshalb kann die Bandbreite also zu einem echten Sicherheitsproblem werden. Um das zu vermeiden empfiehlt sich Folgendes: 

• Remote-Zugriff ist Teil des Krisenplans: Der Fernzugriff aufgrund eines Notfalls sollte unbedingt Teil des allgemeinen Krisenplan sein. Erst dann kann künftig schnell und sicher auf Herausforderungen reagiert werden, wie die aktuelle Situation weltweit an Unternehmen stellt. Im Idealfall wird eine solche Notfall-Umstellung auch direkt am Desktop geübt.
  
  
• Sicherheitsteam einbeziehen: Kommt es zu einem überraschenden Szenario, das eine sofortige Umstellung auf den Remote Zugriff erfordert, sollte in jedem Fall das Sicherheitsteam involviert werden – und das sowohl während als auch nach dem Einsatz. Außerdem sollten die Rückmeldungen der Helpdesk-Mitarbeiter berücksichtigt werden – sie können wichtige Hinweise liefern.
  
  
• Schnellstmögliche Abschottung aller Systeme: Wichtig ist die klare und deutliche, aber dennoch der Stresssituation der Mitarbeiter angepasste Kommunikation darüber, wie wichtig es ist, dass die Sicherheitseinstellungen an den End-Geräten keinesfalls geändert oder deaktiviert werden. Denn sobald der administrative Zugriff gewährt wird, um z.B. Anwendungen zu installieren oder die Umgebung für die Kodierung und Tests anzupassen, wird das System automatisch für alle praktischen Zwecke ein BYOD-Rechner.
  
  
• Schwierigkeiten gelassen meistern: Wie in den meisten neuen Situationen, ist auch hier mit unvorhersehbaren Problemen zu rechnen. Ruhe, Besonnenheit und eine detaillierte Dokumentation helfen dabei, den Überblick zu bewahren und nach Lösungsansätzen zu suchen. Wenn statt der üblichen drei Monate für die Umstellung auf eine neue Technologie nur drei Tage bleiben, dann muss damit gerechnet werden, dass sich die gleichen Anlaufschwierigkeiten in eben diesem kurzen Zeitraum kumulieren.

Fazit

Egal ob ein Unternehmen aus einer Notsituation heraus seine Mitarbeiter ins Home- Office schickt oder ob es eine sukzessive Umstellung auf eine Teillösung aus Büro und Heimarbeitsplatz plant: Die Sicherheit des Firmennetzwerks hat oberste Priorität. Wer sich rechtzeitig Gedanken macht über Bandbreite, Konfigurationen, Evaluierung der Sicherheitseinstellungen, Implementierung eines Helpdesk für die Umstellungsphase sowie über die unverzichtbare Sensibilisierung der Mitarbeiter, der hat einen ersten wichtigen Schritt für den sicheren Remote-Zugriff aus dem Home-Office gemacht.