IT-Governance und Datenschutz im hybriden Büro: Auch für KMU ein Pflichtprogramm

Hybrides Arbeiten als Kombination aus Homeoffice, mobiler Arbeit und Büropräsenz hat sich in vielen kleinen und mittleren Unternehmen (KMU) etabliert. Doch diese Flexibilität geht mit neuen Herausforderungen einher: Unsichere Heimnetzwerke, unzureichend geschützte Endgeräte und neue Angriffspunkte für Cyberkriminelle sind drei typische Risikofaktoren. Antworten darauf gilt es nicht nur aus unternehmerischer Notwendigkeit zu finden, denn auch gesetzliche Vorgaben wie die DSGVO und der BSI IT-Grundschutz sind verpflichtend einzuhalten. Es braucht also technische Lösungen – und zwar solche, die den Weg in jede Zukunft des Unternehmens zuverlässig mitgehen.
Wo genau liegen die Angriffsflächen bei hybrider Arbeit?

Im Firmennetz sind alle Endgeräte ganz selbstverständlich durch Firewalls und Intrusion-Detection-Systeme geschützt. Im Homeoffice sieht die Sache oft vollkommen anders aus: Viele private Router sind lediglich mit Standardpasswort geschützt, obendrein werden in den nicht segmentierten Netzwerken auch private Geräte oder nicht genehmigte Tools benutzt. Diese sogenannte Schatten-IT schafft Schwachstellen, die von Kriminellen gezielt ausgenutzt werden. Über öffentliche WLAN-Hotspots wird die Sache sogar noch problematischer: Zwar können Angreifer auch im heimischen Netzwerk schlimmstenfalls den gesamten Datenverkehr mitlesen, doch dort lassen sich Spuren nach einem Vorfall zumindest mit einer gewissen Wahrscheinlichkeit zurückverfolgen. In einem öffentlichen Netz ist selbst das kaum noch möglich. In beiden Fällen führt an einem umfassenden, ortsunabhängig jeden Endpunkt schützenden Sicherheitskonzept also kein Weg vorbei.

Fernwartung und Datensicherung: Zwei starke Anker für das Sicherheitsnetz

Dezentrale Sicherheit kann nur durch einen zuverlässigen Remote-Zugriff gelingen. Die beste Software für Fernwartung zeichnet sich dabei durch eine Ende-zu-Ende-Verschlüsselung, die Multi-Faktor-Authentifizierung sowie eine granulare Rechtevergabe aus. Schon aus Gründen der Rechts- und Revisionssicherheit benötigt jeder Fernzugriff die aktive Zustimmung des betreffenden Users und muss zwingend protokolliert werden.

Einen Diebstahl von hybrid eingesetzten Endgeräten oder der Angriff von Ransomware über ein kompromittiertes Heimnetzwerk lässt sich aber selbst mit dem technisch ausgereiftesten Fernzugriff nicht verhindern. Hier braucht es zusätzlich eine professionelle Cloud-Backup-Lösung. Diese kann einen entstandenen Schaden zwar nicht mehr ungeschehen machen, doch die mehrfache On- und Offsite-Sicherung erlaubt die rasche Wiederherstellung von benötigten Daten beziehungsweise Dokumenten.

Ganz gleich, wo man arbeitet: Die Verantwortung für die IT-Sicherheit liegt beim Unternehmen

Aus Sicht des Arbeitnehmers ist dieses technische Fundament weder ein Nice-to-have noch, aus einem anderen Blickwinkel heraus, eine Gängelung durch den Vorgesetzten: Die Pflicht, sensible Daten auch im hybriden Arbeitsumfeld zu schützen, liegt immer ausschließlich beim Arbeitgeber. Dementsprechend sollte man die strategische Bedeutung von IT-Governance dort nicht als lästigen Kostenfaktor, sondern als unternehmerische Kernaufgabe betrachten.

Der rechtliche Rahmen unterstreicht das unmissverständlich: Art. 32 DSGVO verpflichtet den Arbeitgeber zu technischen und organisatorischen Maßnahmen, die dem jeweiligen Risiko angemessen sind, unabhängig vom Arbeitsort. Bei Verstößen drohen Bußgelder – wobei ausschlich das Unternehmen als datenschutzrechtlich verantwortlich in Haftung genommen wird. Und das Unternehmen ist in der Pflicht, stets auf dem Laufenden zu sein: Das Bundesamt für Sicherheit in der Informationstechnik konkretisiert die Vorgaben in seinen Bausteinen für Telearbeit und mobile Arbeitsplätze und passt sie fortlaufend an aktuelle Bedrohungslagen an.

IT-Sicherheit ist eine komplexe Daueraufgabe

Ohne ganzheitliches Konzept ist jede einzelne Sicherheitsmaßnahme nicht einmal die Hälfte wert. Verbindliche Richtlinien für mobiles Arbeiten, regelmäßige Schulungen und eine lückenlose Dokumentation aller technischen und organisatorischen Maßnahmen gehören ebenso zum Pflichtprogramm wie die eingesetzten Tools selbst. Doch jede Maßnahme ist nur so wirksam wie ihre letzte Überprüfung: Bedrohungslagen verändern sich, regulatorische Anforderungen werden fortlaufend verschärft, und auch die eigene IT-Landschaft entwickelt sich mit jedem neuen Endgerät und jeder neuen Anwendung weiter.

Hybrides Arbeiten hat fraglos eine große Zukunft – allerdings nur im Rahmen eines umfassenden Daten- und IT-Sicherheitskonzeptes. Wer Fernwartung, Datensicherung und klare Verantwortlichkeiten bereits heute konsequent zusammendenkt, schafft also Compliance und echte Resilienz. Denn am Ende entscheidet nicht die Frage, ob ein Sicherheitsvorfall eintritt, sondern wie gut ein Unternehmen darauf vorbereitet ist.