Homeoffice sicher anbinden: VPN und was oft fehlt

Ein VPN ist kein Sicherheitsprodukt. Es ist eine Leitung: Es sorgt dafür, dass der Rechner zu Hause so im Netz steht, als säße er im Büro — verschlüsselt auf dem Weg dorthin, damit unterwegs niemand mitliest.

Diese eine Aufgabe erfüllt es zuverlässig. Wer Homeoffice sicher anbinden will, muss deshalb bei der Frage anfangen, die das VPN gerade nicht beantwortet: Wem und welchem Gerät machen wir hier eigentlich das Tor auf?

Es leistet: Vertraulichkeit auf dem Transportweg und einen Zugang zu internen Systemen, die aus dem Internet nicht erreichbar sein sollen — Server, Warenwirtschaft, Netzlaufwerke.

Es leistet nicht: die Prüfung, ob der Rechner am anderen Ende in Ordnung ist. Ein VPN transportiert alles, was ihm gegeben wird. Sitzt auf dem heimischen Gerät eine Schadsoftware, bekommt sie über dieselbe Leitung dieselben Zugriffe wie der Mitarbeiter — auf die Netzlaufwerke, auf die Server, auf die Sicherung.

Genau das macht den privaten Familienrechner zum eigentlichen Thema, nicht die Verschlüsselung der Verbindung.

Die unbequeme Empfehlung zuerst: Auf einem privaten Gerät hat ein VPN-Zugang ins Firmennetz nichts verloren. Nicht weil Mitarbeiter unvorsichtig wären, sondern weil niemand im Betrieb weiß, was auf diesem Gerät läuft, wer es sonst noch benutzt und wann es zuletzt Updates bekommen hat.

Wo es sich nicht vermeiden lässt, gibt es einen Mittelweg, der überraschend gut funktioniert: Der private Rechner bekommt keinen Netzzugang, sondern nur ein Bild — eine Sitzung auf einem Terminalserver oder einem Firmenrechner. Daten bleiben dann im Haus, das private Gerät ist nur Bildschirm und Tastatur. Das ist technisch kein VPN-Ersatz, aber sicherheitlich ein Unterschied ums Ganze.

Oft nicht — und das ist der Satz, der uns gelegentlich ein Projekt kostet.

Wer ausschließlich mit Microsoft 365 arbeitet, also Mail, Dateien und Office in der Cloud hat, braucht für den Alltag keinen Tunnel ins Büro. Der Zugriff läuft direkt, abgesichert über die Anmeldung — und die gehört dann konsequent mit Mehrfaktor-Anmeldung geschützt, weil sie von jedem Ort der Welt aus funktioniert.

Ein VPN lohnt sich, wenn es interne Systeme gibt, die nicht in die Cloud gehen: Warenwirtschaft, Branchensoftware, Maschinensteuerung, Netzlaufwerke. Dann aber richtig.

Zugänge, die niemand abschaltet. Der häufigste Befund bei Übernahmen: aktive VPN-Zugänge von Personen, die nicht mehr im Betrieb sind. Sie fallen nicht auf, weil das Deaktivieren eines Benutzerkontos in der Domäne einen separat angelegten VPN-Zugang nicht zwingend mitnimmt. Das gehört auf jede Offboarding-Liste, und zwar als eigener Punkt.

Eine zweite Anmeldestufe. Ein VPN-Zugang, der nur mit Benutzername und Kennwort geöffnet wird, ist so stark wie dieses eine Kennwort. Bei einem Tor, das von überall erreichbar ist, ist das zu wenig.

Der Umfang des Zugriffs. Ein Homeoffice-Zugang, der wie ein Arbeitsplatz im Büro auf das ganze Netz sieht, verschenkt den einfachsten Schutz überhaupt: Wer nur die Warenwirtschaft braucht, braucht nicht die Kameras, die Maschinensteuerung und das Backup-Ziel. Wie so eine Aufteilung aussieht, haben wir gesondert beschrieben.

Zwei Dinge, die mit Technik wenig zu tun haben und trotzdem regelmäßig zum Thema werden.

Papier. Wer zu Hause Unterlagen ausdruckt, hat Kundendaten im privaten Haushalt — ohne Aktenschrank und ohne Aktenvernichter. Das ist keine Kleinigkeit, sondern der praktisch häufigste Datenschutzvorfall im Homeoffice. Eine Regel dazu gehört in die Vereinbarung, und zwar in einem Satz: Ausgedruckt wird im Büro.

Dateien, die nur dort liegen. Wird lokal auf dem Heimgerät gearbeitet und gespeichert, ist diese Arbeit in keiner Sicherung enthalten. Auffallen tut das erst, wenn die Festplatte stirbt oder jemand kurzfristig ausfällt und die Kollegin die Datei sucht.

Bei der Bestandsaufnahme in einem Betrieb standen elf VPN-Zugänge in der Firewall. Auf Nachfrage waren sechs davon aktiv genutzt.

Von den übrigen fünf gehörte einer zu einem Mitarbeiter, der seit über zwei Jahren nicht mehr dort arbeitete, zwei zu einem Dienstleister, dessen Vertrag ausgelaufen war, und bei zweien konnte niemand mehr sagen, wofür sie einmal eingerichtet worden waren.

Benutzt worden ist keiner davon, soweit sich das aus den vorhandenen Protokollen sagen ließ — die reichten allerdings nur wenige Wochen zurück. Wir haben sie deaktiviert statt gelöscht, damit sich im Zweifel nachvollziehen lässt, was es war.

Nicht mit der Technik, sondern mit einer Liste: Wer hat heute einen Zugang von außen, auf welchem Gerät, und mit welchem Umfang? Diese drei Spalten reichen. In den meisten Betrieben fallen dabei ein bis zwei Einträge auf, die dort nicht mehr hingehören.

Wie das ins Gesamtbild passt, steht auf unserer Übersicht zur IT-Sicherheit im Mittelstand.

Wenn Sie mögen, sehen wir uns Ihre Fernzugänge einmal an und sagen Ihnen, welche davon noch jemand benutzt. Für Betriebe in Hohenlohe und rund um Heilbronn auch gern vor Ort.