Homeoffice, hybride Teams und dezentrale Arbeitsplätze gehören für viele Unternehmen längst zum Alltag. Dabei greifen Mitarbeiter immer wieder auch auf private Laptops oder Smartphones zurück, schließlich ist das unkompliziert und spart Zeit. Doch sobald Unternehmensdaten auf Geräten verarbeitet werden, deren Sicherheitszustand niemand kennt, wird aus der praktischen Lösung ein ernst zu nehmendes Risiko. Wo liegen also die Gefahren und wie können Unternehmen gegensteuern?

Ein kurzer Blick auf geschäftliche E-Mails vom privaten Smartphone, eine dringende Präsentation am heimischen Laptop oder der schnelle Zugriff auf Unternehmenssysteme vom eigenen Rechner aus: Für viele Unternehmen ist das längst normal. Schließlich gehören die Geräte den Mitarbeitern selbst. Warum also sollte sich das Unternehmen um deren Sicherheit kümmern? Die Antwort liegt auf der Hand: Sobald geschäftliche E-Mails gelesen, Dokumente bearbeitet oder Unternehmenssysteme genutzt werden, betrifft die Sicherheit des Geräts auch das Unternehmen. Dabei bleibt häufig unklar, ob Software und Sicherheitsupdates aktuell sind, welche Programme installiert wurden oder wo Unternehmensdaten gespeichert werden. Besonders kritisch wird es, wenn ein Gerät verloren geht oder ein Mitarbeiter das Unternehmen verlässt. „Ein privates Gerät bleibt nicht Privatsache, sobald darüber Unternehmensdaten verarbeitet werden. Ab diesem Moment muss das Unternehmen wissen, welche Risiken es damit eingeht und wie es diese begrenzt“, erklärt Joachim Reinke, Experte für Informationssicherheit und Gründer von einfachISO.

„Unternehmen müssen nicht jedes private Gerät grundsätzlich verbieten. Sie müssen aber klar festlegen, was Mitarbeiter darüber tun dürfen und wo die Grenze liegt“, erklärt Joachim Reinke. Seit Jahren begleitet er mit einfachISO insbesondere mittelständische Unternehmen dabei, die Informationssicherheit so zu organisieren, dass sie auch im Arbeitsalltag funktioniert. Dabei betrachtet er technische Schutzmaßnahmen immer gemeinsam mit den Regeln und Verantwortlichkeiten, die im Arbeitsalltag tatsächlich greifen müssen. Gerade bei Remote Work und dezentralen Teams zeigt sich aus seiner Erfahrung, dass pauschale Vorgaben häufig zu kurz greifen. Entscheidend ist vielmehr, welche Tätigkeiten und Informationen auf einem privaten Gerät zugelassen werden können. Denn zwischen einer einfachen Terminbestätigung auf dem Smartphone und dem Zugriff auf zentrale Unternehmensserver liegen erhebliche Unterschiede.

Das unterschätzte Risiko: Wenn private Geräte zur Sicherheitslücke werden

Das eigentliche Risiko privater Endgeräte liegt nicht darin, wem sie gehören, sondern darin, dass Unternehmen ihren Sicherheitszustand kaum kontrollieren können. Bei zentral verwalteten Firmenlaptops lassen sich Sicherheitsupdates, Schutzprogramme und Zugriffsrechte verbindlich vorgeben. Bei privaten Geräten ist dagegen häufig unklar, welche Software installiert ist, ob Schadprogramme unbemerkt im Hintergrund laufen oder ob Familienmitglieder denselben Rechner nutzen. Damit steigt das Risiko, dass sensible Unternehmensinformationen in falsche Hände geraten.

Auch eine VPN-Verbindung löst dieses Problem nicht. Zwar schützt sie die Datenübertragung zwischen dem Endgerät und den Unternehmenssystemen, bietet jedoch keinen Schutz vor Schadsoftware, die sich bereits auf dem Laptop befindet. Ein Keylogger kann beispielsweise Zugangsdaten direkt bei der Eingabe erfassen, während ein Screengrabber Bildschirminhalte aufzeichnet und so vertrauliche Informationen abgreifen kann. „Ein sicherer Übertragungsweg hilft am Ende wenig, wenn das Gerät selbst nicht vertrauenswürdig ist“, verdeutlicht Joachim Reinke von einfachISO.

Weitere Schwierigkeiten entstehen, wenn ein privates Gerät verloren geht oder ein Mitarbeiter das Unternehmen verlässt. Einen zentral verwalteten Firmenlaptop kann das Unternehmen in solchen Fällen sperren oder bei Bedarf aus der Ferne löschen. Bei privaten Geräten ist das deutlich schwieriger, insbesondere wenn geschäftliche Dokumente in persönlichen Downloadordnern, privaten Cloudspeichern oder automatischen Backups gelandet sind. Dann lässt sich möglicherweise nicht mehr vollständig nachvollziehen, wo die Daten gespeichert wurden und wie sie zuverlässig entfernt werden können.

Nicht jedes Privatgerät ist gleich gefährlich: Warum die Nutzung entscheidend ist

Trotz dieser Risiken müssen Unternehmen die Nutzung privater Geräte nicht grundsätzlich verbieten. Entscheidend ist vielmehr, welche Aufgaben Mitarbeiter damit erledigen und auf welche Informationen sie zugreifen können. Wer auf seinem privaten Smartphone lediglich einen Termin einsieht oder eine Reisekostenabrechnung freigibt, geht ein anderes Risiko ein als ein Administrator, der von seinem privaten Gaming-PC aus auf zentrale Unternehmensserver zugreift.

„Grundsätzlich gilt: Je weniger Kontrolle ein Unternehmen über ein privates Gerät hat, desto stärker muss es begrenzen, welche Daten, Tätigkeiten und Zugriffe über dieses Gerät überhaupt möglich sind“, erklärt Joachim Reinke von einfachISO. Einfache Tätigkeiten mit begrenzten Zugriffsrechten können unter geeigneten Sicherheitsvorkehrungen durchaus auf privaten Geräten stattfinden. Sobald Mitarbeiter jedoch mit besonders sensiblen Daten arbeiten, weitreichende Zugriffsrechte benötigen oder regelmäßig umfangreiche Aufgaben erledigen, ist ein zentral verwaltetes Firmenendgerät meist die sinnvollere Wahl.

Wie Unternehmen die Nutzung privater Geräte technisch absichern können

Welche Maßnahmen für den sicheren Einsatz privater Geräte sinnvoll sind, hängt davon ab, wie diese im Arbeitsalltag genutzt werden. Sollen Mitarbeiter beispielsweise nur einzelne geschäftliche Anwendungen auf ihrem Smartphone verwenden, kann Mobile Application Management dabei helfen, diese Apps und die darin enthaltenen Unternehmensdaten vom privaten Bereich zu trennen. Für umfangreichere Tätigkeiten bieten sich dagegen virtuelle Arbeitsplätze an, etwa über eine Virtual Desktop Infrastructure. Dabei werden Programme und Daten in einer zentral verwalteten Umgebung bereitgestellt, sodass sie nicht direkt auf dem privaten Gerät gespeichert werden müssen.

Ergänzend können Unternehmen den Zugang zu ihren Systemen durch eine starke Mehrfaktorauthentifizierung absichern und Geräte ausschließen, die bestimmte Sicherheitsanforderungen nicht erfüllen. Je nach Schutzbedarf lassen sich außerdem Downloads, das Kopieren von Inhalten über die Zwischenablage oder Druckfunktionen einschränken. Auch geschäftliche Benutzerkonten, Cloudspeicher und Backups sollten klar von privaten Bereichen getrennt bleiben. Das erleichtert nicht nur die Kontrolle im laufenden Betrieb, sondern auch den Umgang mit Unternehmensdaten, wenn ein Mitarbeiter ausscheidet. Zugänge können gesperrt und geschäftliche Daten gezielter entfernt werden, ohne zunächst klären zu müssen, wo diese überhaupt gespeichert wurden.

„Informationssicherheit darf nicht davon abhängen, dass im Alltag schon alles gutgehen wird. Wenn Unternehmen private Geräte zulassen, müssen sie auch kontrollieren können, welche Zugriffe darüber möglich sind und wo ihre Daten landen“, fasst Joachim Reinke zusammen.

Sie möchten wissen, ob die Nutzung privater Geräte in Ihrem Unternehmen ausreichend abgesichert ist? Dann melden Sie sich jetzt bei Joachim Reinke und dem Team von einfachISO und sichern Sie sich einen Termin für ein unverbindliches Erstgespräch!

Pressekontakt: einfachISO GmbH Vertreten durch: Jörn Bungartz, Joachim Reinke E-Mail: info@einfachiso.de Website: https://einfachiso.de/

Weiteres Material: www.presseportal.de Quelle: einfachISO GmbH