Sicheres Homeoffice
für kleine Unternehmen

Das hängt davon ab, wo die Dinge liegen, die Ihr Team nutzt. Liegt die Arbeit im Büro, auf einem Server, einem NAS mit freigegebenen Ordnern oder in einer Warenwirtschaft, die auf einem Rechner dort installiert ist, dann ja: Der vernünftige Weg von zu Hause ist ein VPN mit verpflichtender Zwei-Faktor-Anmeldung, und nicht, diesen Server oder den Remote-Desktop direkt ins Internet zu stellen. Liegt alles, was genutzt wird, bereits in Cloud-Diensten – E-Mail, Dokumente und Warenwirtschaft –, ist ein VPN womöglich überflüssig, weil jeder Dienst schon verschlüsselt erreichbar ist. Entscheidend wird dann die Identität: persönliche Konten, verpflichtender zweiter Faktor und die Möglichkeit, einer Person den Zugang innerhalb einer Minute zu entziehen. Keinen Sinn ergibt, was wir oft sehen: ein VPN für den Zugriff aufs Büro und daneben ein offener Remote-Desktop im Internet, weil das bequemer war.

Nein. Das spanische Gesetz 10/2021 über Fernarbeit legt fest, dass das Unternehmen den Beschäftigten die nötigen Mittel, Geräte und Werkzeuge stellen muss und weder verlangen darf, Programme oder Apps auf Geräten der Beschäftigten zu installieren, noch, diese Geräte für die Fernarbeit zu nutzen. Das Gesetz gilt für regelmäßige Fernarbeit, definiert als mindestens dreißig Prozent der Arbeitszeit in einem Zeitraum von drei Monaten. Für gelegentliche Situationen oder wenn jemand freiwillig sein eigenes Gerät nutzen möchte, lässt sich eine Vereinbarung treffen, aber schriftlich und mit Bedingungen. Aus Sicherheitssicht ist das Firmengerät fast immer die beste Wahl: Es ist aktuell, verschlüsselt und von Ihnen konfiguriert, und Sie bekommen es zurück, wenn die Person geht. Konkrete arbeitsrechtliche Fragen klären Sie mit Ihrer Beratung; wir sagen Ihnen, welche technischen Bedingungen jede Option erfüllen muss.

Mindestens die, die die spanische Datenschutzbehörde AEPD in ihrem Hinweis zu Mobilität und Fernarbeit nennt: originales und aktuelles Betriebssystem und originale, aktuelle Programme, und zu prüfen, ob diese Geräte nur einen begrenzten Teil des Netzwerks erreichen sollten, den mit den weniger kritischen Ressourcen. Dazu kommt, was die Praxis lehrt: ein eigenes Benutzerkonto für die Arbeit auf dem Gerät, das die AEPD selbst empfiehlt, um Privates und Berufliches nicht zu vermischen; keine Unternehmensdaten auf der lokalen Festplatte, sondern im gemeinsamen Speicher oder in der Cloud des Unternehmens; keine Dokumente über private E-Mail-Konten, Messenger oder private Clouds; Zwei-Faktor-Authentifizierung für alle Arbeitskonten, und ein mit Passwort gesperrtes Gerät, wenn es niemand benutzt. Das gehört schriftlich festgehalten, die Person unterschreibt es und weiß, dass es auch ihre eigenen Daten schützt. Arbeitet die Stelle mit sensiblen Informationen, lautet die ehrliche Antwort: Diese Stelle braucht ein Firmengerät.

Es verringert sie nicht und bringt in der Praxis zusätzliche Arbeit. Das Unternehmen bleibt für die Verarbeitung der Daten, die von zu Hause aus bearbeitet werden, genauso verantwortlich wie im Büro und muss für dieses neue Szenario geeignete technische und organisatorische Maßnahmen treffen. Der Empfehlungshinweis der AEPD für Mobilität und Fernarbeit verlangt unter anderem eine schriftliche Homeoffice-Richtlinie, die Belegschaft über ihre Pflichten und die Risiken zu informieren, Zugriffe je nach Stelle und Gerät zu begrenzen und die Geräte aktuell und richtig konfiguriert zu halten. Geht ein Laptop mit Kundendaten im Zug verloren oder wird ein privates Gerät infiziert, ist die Datenpanne Sache des Unternehmens: Sie muss immer dokumentiert und, wenn sie ein Risiko für die Betroffenen birgt, innerhalb von 72 Stunden der AEPD gemeldet werden. Homeoffice verlagert diese Verantwortung nicht auf die Beschäftigten.

Weniger, als man oft denkt, wenn der Rest gut gemacht ist, und mehr, als es sollte, wenn nicht. Ist der Zugriff aufs Unternehmen verschlüsselt, ob per VPN oder über Cloud-Dienste, die es ohnehin sind, kann niemand, der das WLAN zu Hause mitnutzt, mitlesen. Ein Minimum ist trotzdem sinnvoll: das werkseitige Router-Passwort ändern, die modernste unterstützte Verschlüsselung nutzen, den Router aktuell halten und keine Geräte im selben Netz haben, von denen niemand etwas weiß. Lässt sich der Router des Anbieters weder aktualisieren noch minimal konfigurieren, erklärt der Artikel über Provider-Router oder eigenen Router, wann sich ein Wechsel lohnt. Wovon die AEPD ausdrücklich abrät, ist, sich von öffentlichen Orten und offenen WLANs aus mit dem Unternehmensnetz zu verbinden, etwa im Café oder Hotel: Dafür besser die mobilen Daten des Handys teilen.

Am einfachsten ist es, wenn auf dem Laptop gar nichts zu sichern ist: wenn Arbeitsdokumente direkt im Speicher des Unternehmens landen, ob auf dem Büroserver über den Fernzugriff oder in der Firmen-Cloud, und die Backups dort wie gewohnt laufen. Das empfiehlt auch die AEPD: Sie verlangt, unterwegs erzeugte Informationen nicht lokal zu speichern, sondern die gemeinsamen Ressourcen der Organisation zu nutzen, und die Backup-Richtlinie weder zu blockieren noch zu deaktivieren. Das Problem beginnt, wenn jeder auf dem Desktop seines Laptops speichert, denn diese Dateien sind in keinem Backup und gehen mit dem Gerät verloren. Prüfen Sie, wo jeder tatsächlich speichert, nicht, wo er speichern sollte. Und denken Sie daran: Daten in einer Cloud zu haben ist nicht dasselbe wie ein Backup. Eine Löschung oder Ransomware wird genauso synchronisiert wie eine gewollte Änderung.

Dasselbe wie bei jemandem aus dem Büro, nur schneller, denn man kann nicht darauf warten, dass er den Schlüssel abgibt, damit er nicht mehr hineinkommt. Noch am selben Tag: das Konto in allen Diensten deaktivieren, den VPN-Zugang widerrufen, offene Sitzungen beenden und jedes gemeinsam genutzte Passwort ändern, das er kannte. Hat er ein Firmengerät genutzt, holen Sie es zurück; hat er ein privates mit einem Arbeitskonto genutzt, löschen Sie dieses Konto und etwaige Unternehmensdaten, idealerweise im Beisein der Person oder per vorab vereinbarter Fernverwaltung. Deshalb ist es so wichtig, dass jede Person eigene Konten hat und jemand eine Liste führt, wer worauf Zugriff hat: Ohne diese Liste hängt der Austritt davon ab, dass sich jemand an alle Stellen erinnert. Das ist einer der Punkte, die wir im Artikel über IT-Wartung und DSGVO durchgehen.

Ja, und sie muss nicht lang sein. Der Hinweis der AEPD zur Fernarbeit beginnt genau damit: eine Richtlinie für mobiles Arbeiten festlegen, die Belegschaft informieren und eine Vereinbarung unterschreiben lassen, die ihre Pflichten festhält. In einem kleinen Unternehmen passt das auf zwei Seiten: welches Gerät unter welchen Bedingungen genutzt wird, wie der Zugriff aufs Unternehmen erfolgt, wo Dokumente gespeichert werden, welche Kanäle zum Teilen von Informationen erlaubt sind und welche nicht, was zu tun ist, wenn ein Gerät verloren geht oder eine E-Mail verdächtig wirkt, und wer benachrichtigt wird. Ist das Homeoffice regelmäßig, verlangt das Gesetz 10/2021 zusätzlich eine individuelle Fernarbeitsvereinbarung mit eigenem Mindestinhalt; das ist Sache Ihrer arbeitsrechtlichen Beratung. Wichtig ist, dass das, was auf dem Papier steht, mit dem übereinstimmt, was konfiguriert ist: Eine Richtlinie, die lokales Speichern verbietet, während auf allen Laptops lokal gespeichert wird, schützt nichts.