Arbeiten außerhalb der gewohnten Umgebung verändert die technischen und organisatorischen Rahmenbedingungen. Im Büro werden Geräte häufig zentral verwaltet, Netzwerkzugänge kontrolliert und sensible Unterlagen nach festen Regeln behandelt. Im Homeoffice treffen dagegen berufliche Daten, private Geräte, Familienmitglieder, Gäste und ein privates Netzwerk aufeinander. Jede dieser Schnittstellen kann zu einem Sicherheitsrisiko werden.
Ein wirksamer Schutz besteht deshalb nicht aus einer einzelnen Einstellung. Entscheidend ist das Zusammenspiel aus aktualisierten Geräten, sicheren Zugangsdaten, geschützten Verbindungen, sorgfältigem Verhalten und einem Plan für Störungen. Auch kleine Betriebe können diese Bereiche mit überschaubarem Aufwand strukturieren, wenn Zuständigkeiten und Mindestanforderungen klar sind.
Die folgenden Maßnahmen eignen sich sowohl für einzelne Beschäftigte als auch für Personen, die im eigenen Haushalt berufliche und private Technik voneinander trennen müssen. Vorgaben eines Arbeitgebers, einer Kundenvereinbarung oder einer Datenschutzorganisation haben Vorrang und sollten in die konkrete Umsetzung einfließen.
Für berufliche Aufgaben sollte nach Möglichkeit ein dafür vorgesehenes Gerät verwendet werden. Ein privater Computer wird häufig von mehreren Personen genutzt, enthält persönliche Konten und ist möglicherweise mit Spielen, privaten Cloud-Diensten oder nicht mehr benötigter Software belastet. Diese Vermischung erschwert die Kontrolle über gespeicherte Daten und Berechtigungen.
Ein geeignetes Arbeitsgerät sollte mindestens über ein unterstütztes Betriebssystem, aktuelle Sicherheitsupdates, eine aktivierte Gerätesperre und eine Festplattenverschlüsselung verfügen. Bei aktuellen Versionen von Windows, macOS, Android und iOS lässt sich die Verschlüsselung in den Systemeinstellungen prüfen oder aktivieren. Die genaue Bezeichnung hängt von Betriebssystem, Edition und Gerätehersteller ab.
Für die tägliche Nutzung haben sich folgende Grundregeln bewährt:
Bei Smartphones und Tablets gelten ähnliche Anforderungen. Ein langer Gerätecode, biometrische Entsperrung als zusätzliche Option, aktuelle Software und die Ortungs- beziehungsweise Löschfunktion des jeweiligen Systems erschweren den Missbrauch nach Verlust. Benachrichtigungen mit vertraulichen Nachrichten sollten auf dem Sperrbildschirm ausgeblendet werden.
Sicherheitslücken werden häufig durch Updates geschlossen. Deshalb sollten Betriebssystem, Browser, Office-Anwendungen, PDF-Programme, Videokonferenzsoftware und Sicherheitskomponenten regelmäßig aktualisiert werden. Automatische Updates sind sinnvoll, sofern sie in der jeweiligen Umgebung getestet und nicht durch zentrale Vorgaben eingeschränkt werden.
Ein praktischer Ablauf sieht so aus:
Ein Virenschutz kann schädliche Dateien erkennen, ersetzt jedoch weder Aktualisierungen noch vorsichtiges Verhalten. Schutzfunktionen wie Echtzeitschutz, Firewall und sichere Startmechanismen sollten aktiv bleiben. Werden Warnungen angezeigt, darf die Ursache nicht durch eine dauerhafte Deaktivierung der Sicherheitssoftware beseitigt werden.
Software sollte aus vertrauenswürdigen Quellen stammen und nur installiert werden, wenn sie für die Aufgabe benötigt wird. Cracks, inoffizielle Aktivierungstools und unbekannte Browser-Erweiterungen bergen ein besonderes Risiko, weil sie Schadcode oder unerwünschte Zugriffe enthalten können. Nicht mehr benötigte Programme und Erweiterungen werden entfernt oder deaktiviert.
Der Router ist die zentrale Verbindung zwischen dem privaten Netzwerk und dem Internet. Ein ungeschütztes oder veraltetes WLAN kann Angreifern den Zugang zu Geräten und Daten erleichtern. Die Verwaltung erfolgt über die Router-Oberfläche, deren genaue Menübezeichnungen je nach Modell unterschiedlich sind.
Für die Absicherung des Heimnetzes sind diese Schritte wichtig:
Ein Gastnetz ist kein vollständiger Ersatz für eine Trennung beruflicher Systeme. Wenn ein beruflicher Rechner besonders schützenswerte Daten verarbeitet, sollte die zuständige IT-Fachstelle prüfen, ob ein separates Arbeitsnetz, eine verwaltete Verbindung oder zusätzliche technische Kontrollen erforderlich sind.
Smart-TVs, Sprachassistenten, Drucker und vernetzte Haushaltsgeräte gehören ebenfalls zum Heimnetz. Sie sollten mit eigenen Zugangsdaten betrieben und aktualisiert werden. Geräte, die keine Updates mehr erhalten, sollten nicht für vertrauliche Arbeitsvorgänge verwendet werden.
Ein VPN verschlüsselt die Verbindung zwischen dem Gerät und einem VPN-Endpunkt. Im beruflichen Umfeld kann es den Zugriff auf interne Dienste absichern. Ein VPN macht jedoch nicht automatisch jede Anwendung vertrauenswürdig und schützt nicht vor Phishing, Schadsoftware oder falsch konfigurierten Zugriffsrechten. Die Zugangsdaten dürfen nur über die dafür vorgesehenen Anwendungen und Profile verwendet werden.
Bei der Einrichtung sollten Nutzerinnen und Nutzer das offizielle Profil der zuständigen Stelle verwenden. Selbst erstellte oder aus unbekannter Quelle stammende VPN-Konfigurationen können den Datenverkehr über unkontrollierte Systeme leiten. Nach der Verbindung sollte geprüft werden, ob interne Anwendungen erreichbar sind und ob die Statusanzeige des VPN-Clients eine aktive Verbindung bestätigt.
Öffentliche WLANs in Hotels, Zügen oder Cafés sind nicht grundsätzlich verboten, erfordern aber zusätzliche Vorsicht. Wenn eine sichere Mobilfunkverbindung verfügbar ist, kann ein persönlicher Hotspot eine geeignete Alternative darstellen. In fremden Netzwerken sollten keine sensiblen Vorgänge durchgeführt werden, wenn die notwendige Verschlüsselung oder der sichere Unternehmenszugang nicht gewährleistet ist.
Cloud-Speicher erleichtern den Zugriff auf Dokumente, erhöhen aber die Bedeutung korrekter Freigaben. Dateien sollten nur für die tatsächlich benötigten Personen zugänglich sein. Öffentliche Links, Freigaben ohne Ablaufdatum und gemeinsam verwendete Konten erschweren die Kontrolle. Alte Freigaben werden regelmäßig überprüft und widerrufen.
Für jedes wichtige Konto wird ein eigenes Passwort verwendet. Ein Passwortmanager kann dabei helfen, lange und unterschiedliche Zugangsdaten zu erzeugen und sicher zu speichern. Das Hauptpasswort des Managers muss besonders geschützt und darf nicht für andere Dienste verwendet werden.
Die Mehrfaktor-Authentifizierung ergänzt das Passwort durch einen zweiten Nachweis, etwa eine Authentifizierungs-App, einen Sicherheitsschlüssel oder einen bestätigten Gerätezugriff. Sie sollte für E-Mail, Cloud-Dienste, VPN, Administrationskonten und andere zentrale Zugänge aktiviert werden, sofern die Funktion angeboten wird. Wiederherstellungscodes werden offline oder in einem dafür vorgesehenen sicheren Speicher aufbewahrt.
Bei Berechtigungen gilt das Prinzip der geringsten notwendigen Rechte. Eine Person benötigt nicht automatisch Zugriff auf alle Ordner, Kundenunterlagen oder Verwaltungsfunktionen. Für gemeinsame Konten fehlt häufig die Nachvollziehbarkeit, wer eine Änderung vorgenommen hat. Persönliche Konten mit angemessenen Rollen sind daher vorzuziehen.
Ein Passwort wird niemals aufgrund einer unerwarteten Nachricht, eines Telefonanrufs oder einer dringenden Aufforderung weitergegeben. Auch der technische Support benötigt in der Regel nicht das vollständige Passwort. Verdächtige Anfragen werden über einen bekannten, unabhängig recherchierten Kommunikationsweg geprüft.
Angriffe beginnen häufig nicht mit einem technischen Einbruch, sondern mit einer überzeugend formulierten Nachricht. Kriminelle geben sich als Vorgesetzte, Dienstleister, Kollegen oder bekannte Plattformen aus. Sie erzeugen Zeitdruck, verlangen eine Zahlung, fordern einen Code an oder bitten um die Öffnung eines Dokuments.
Vor dem Anklicken eines Links oder dem Öffnen eines Anhangs helfen folgende Prüffragen:
Links lassen sich am Computer häufig durch das Überfahren mit dem Mauszeiger prüfen, ohne sie zu öffnen. Auf Smartphones ist diese Kontrolle eingeschränkter. Ein Dienst wird besser über ein selbst gespeichertes Lesezeichen oder die manuell eingegebene bekannte Adresse aufgerufen. Bei Zahlungsaufforderungen und Änderungen von Bank- oder Kontaktdaten ist eine Rückbestätigung über einen zweiten Kanal besonders wichtig.
Wurde ein verdächtiger Link geöffnet, sollte die Eingabe von Zugangsdaten unterbrochen, das Fenster geschlossen und die zuständige Ansprechstelle informiert werden. Wurde ein Passwort eingegeben, wird es von einem sauberen Gerät aus geändert. Eine aktivierte Mehrfaktor-Anmeldung und die Prüfung aktiver Sitzungen können den Schaden begrenzen.
Datenschutz endet nicht an der Wohnungstür. Gespräche, Videokonferenzen und Dokumente können von Familienmitgliedern, Mitbewohnern oder Besuchern eingesehen oder mitgehört werden. Ein fester Arbeitsplatz mit kontrollierbarer Umgebung reduziert dieses Risiko.
Bildschirme werden so aufgestellt, dass sie nicht von Fenstern, Türen oder gemeinsam genutzten Bereichen aus einsehbar sind. Bei vertraulichen Gesprächen werden Kopfhörer verwendet. Mikrofon und Kamera bleiben deaktiviert, wenn sie nicht benötigt werden. Hintergrundeffekte ersetzen keine sorgfältige Prüfung des sichtbaren Raums, da Benachrichtigungen, Notizen oder Ausdrucke ebenfalls vertrauliche Informationen enthalten können.
Arbeitsunterlagen sollten nicht offen auf dem Küchentisch oder im Altpapier liegen. Ausdrucke werden nach den geltenden Vorgaben aufbewahrt und datenschutzgerecht vernichtet. Private Cloud-Fotoordner, automatische Smartphone-Sicherungen und gemeinsam genutzte Druckerwarteschlangen müssen berücksichtigt werden, wenn Dokumente kopiert oder übertragen werden.
Bei Videokonferenzen werden Besprechungslinks nicht öffentlich geteilt. Der Warteraum, ein Zugangscode und die Beschränkung der Bildschirmfreigabe können ungewollte Teilnehmer und versehentliche Datenübertragungen verhindern. Die Aufzeichnung einer Sitzung sollte nur erfolgen, wenn dafür eine klare Berechtigung und ein nachvollziehbarer Zweck bestehen.
Eine Synchronisierung ist nicht dasselbe wie ein Backup. Wird eine Datei versehentlich gelöscht oder durch Schadsoftware verändert, kann die Änderung bei einer reinen Synchronisierung auf weitere Geräte übertragen werden. Ein Backup benötigt daher getrennte Speicherorte und möglichst eine Versionierung, mit der ältere Dateistände wiederhergestellt werden können.
Ein belastbarer Sicherungsplan beantwortet mindestens diese Fragen:
Besonders wichtige Dateien sollten nicht nur auf dem Arbeitsgerät liegen. Ein verschlüsselter Sicherungsspeicher oder ein dafür vorgesehener Cloud-Dienst kann eine zusätzliche Kopie bereitstellen. Sicherungen werden gegen unbefugten Zugriff geschützt und nicht dauerhaft mit denselben Zugangsdaten wie das Arbeitsgerät betrieben.
Für den Notfall sollten wichtige Kontaktdaten, alternative Zugangswege und das Vorgehen bei Verlust eines Geräts bekannt sein. Bei Diebstahl, Malware-Verdacht oder versehentlich versendeten vertraulichen Daten wird das Gerät nicht weiter benutzt, wenn dadurch Beweise oder weitere Daten gefährdet werden könnten. Die zuständige IT- oder Sicherheitsstelle wird unverzüglich informiert. Eigenmächtige Löschaktionen und wiederholte Anmeldeversuche können die Analyse erschweren.
Sicherheitsmaßnahmen werden im Alltag eher eingehalten, wenn sie in feste Abläufe integriert sind. Vor Arbeitsbeginn kann eine kurze Prüfung klären, ob das Gerät aktualisiert ist, eine sichere Netzwerkverbindung besteht und keine ungewöhnlichen Warnungen angezeigt werden.
Während der Arbeit sollten vertrauliche Informationen nur in den dafür vorgesehenen Anwendungen verarbeitet werden. Dateien werden nicht über private Messenger oder private E-Mail-Konten verschickt, wenn dafür ein freigegebener Arbeitsweg existiert. Beim Wechsel zwischen privaten und beruflichen Aufgaben werden die richtigen Konten und Fenster kontrolliert.
Am Ende des Arbeitstages werden offene Sitzungen geschlossen, der Bildschirm gesperrt und Ausdrucke weggeräumt. Nicht benötigte externe Speichermedien werden entfernt. Einmal im Monat oder nach einer wesentlichen Änderung werden Geräte, Freigaben, Benutzerkonten und Sicherungen überprüft.
Die folgende Übersicht kann als interne Checkliste dienen:
| Bereich | Prüfung | Maßnahme bei Abweichung |
|---|---|---|
| Gerät | Updates, Sperre und Verschlüsselung aktiv | Aktualisieren oder zuständige Stelle informieren |
| Netzwerk | Router aktuell, WLAN geschützt, Gastnetz vorhanden | Router-Einstellungen prüfen und alte Zugänge entfernen |
| Zugänge | Einmalige Passwörter und Mehrfaktor-Anmeldung | Passwort ändern und aktive Sitzungen kontrollieren |
| Daten | Freigaben begrenzt, Sicherung vorhanden | Freigabe widerrufen und Wiederherstellung prüfen |
| Verhalten | Nachrichten und Anfragen verifiziert | Vorgang stoppen und über bekannten Kanal nachfragen |
Das hängt von den Vorgaben und der Art der verarbeiteten Daten ab. Ein privates Gerät sollte nicht eingesetzt werden, wenn zentrale Verwaltung, Verschlüsselung, Protokollierung oder eine bestimmte Schutzsoftware vorgeschrieben sind. Falls die Nutzung erlaubt ist, müssen private und berufliche Konten, Dateien und Anwendungen möglichst getrennt bleiben.
Ein VPN ist besonders relevant, wenn auf interne Dienste zugegriffen wird oder eine Organisation dies verlangt. Für verschlüsselte Webdienste ersetzt ein VPN nicht die Prüfung von Zugriffsrechten und Nachrichten. Die konkrete Notwendigkeit richtet sich nach der technischen Architektur und dem Schutzbedarf der Daten.
Das Gerät wird über die vorgesehenen Verwaltungs- oder Ortungsfunktionen gesperrt beziehungsweise gelöscht, sofern diese eingerichtet sind. Zugänge, die auf dem Gerät verwendet wurden, werden von einem anderen vertrauenswürdigen Gerät aus geprüft und bei Bedarf abgemeldet. Die zuständige Stelle wird informiert, insbesondere wenn berufliche Daten oder Authentifizierungsfunktionen betroffen sind.
Der Anhang wird nicht auf dem Arbeitsgerät geöffnet, wenn Absender, Inhalt oder Kontext unklar sind. Die Nachricht sollte über den vorgesehenen Meldeweg weitergegeben werden. Eine Prüfung durch Sicherheitssoftware oder eine zuständige Fachstelle ist sicherer als ein eigener Test mit unbekannten Dateien.
Ein Passwort kann durch Phishing, Schadsoftware, Wiederverwendung oder einen Datenabfluss bekannt werden. Mehrfaktor-Anmeldung, aktuelle Geräte, begrenzte Berechtigungen und eine schnelle Reaktion auf verdächtige Aktivitäten bilden gemeinsam eine deutlich robustere Schutzkette.
