IT-Sicherheit im Home Office: Checkliste für Unternehmen

Home Office ist längst Alltag zum in vielen Unternehmen geworden. Gerade deshalb reicht es nicht, das Thema nur irgendwie mitlaufen zu lassen.

Sobald Mitarbeiter außerhalb des Büros arbeiten, entstehen zusätzliche Risiken: Geräte liegen in privaten Räumen, Gespräche finden in gemischten Umgebungen statt, WLAN und Drucker gehören nicht automatisch zur Unternehmens-IT, und der Übergang zwischen privat und beruflich wird schnell unsauber. Genau deshalb ist eine klare, alltagstaugliche Checkliste sinnvoll. Leitfäden für Home Office und Telework betonen dabei vor allem: sichere Geräte, sichere Verbindungen, klare Regeln, Awareness und praktikable Fallbacks.

Die kurze Antwort

Wenn Sie Home Office sicher aufsetzen wollen, sollten Sie mindestens diese Bereiche sauber regeln:

• Geräte
• Software und Updates
• Anmeldeverfahren
• Heimnetz und Verbindungen
• Umgang mit Daten und Ausdrucken
• Videokonferenzen und Telefonate
• Verhalten der Mitarbeiter
• Meldung von Vorfällen

Genau diese Themen entscheiden in der Praxis darüber, ob Home Office nur irgendwie funktioniert oder auch sicher funktioniert.

Die Checkliste

1. Geräte sauber trennen und absichern

Der erste Punkt ist simpel: Berufliche Arbeit gehört nach Möglichkeit auf verwaltete Firmen-Geräte.

Sobald sensible Informationen auf privaten Laptops, privaten Handys oder privaten Festplatten landen, wird die Lage unübersichtlich. Dann ist oft nicht mehr klar, wer das Gerät administriert, wie Updates laufen, ob Sicherungen existieren und wer im Haushalt Zugriff darauf hat. Genau deshalb ist die sauberste Lösung in vielen Fällen: Firmenlaptop, Firmenhandy, klare Zuständigkeit, klare Konfiguration.

Prüfen Sie deshalb:

• Arbeiten Mitarbeiter mit Firmen-Geräten oder mit privaten Geräten?
• Sind diese Geräte verschlüsselt?
• Gibt es eine Bildschirmsperre mit kurzer Inaktivitätszeit?
• Können Geräte bei Verlust gesperrt oder gelöscht werden?
• Ist klar, wer die Geräte administriert?

2. Software aktuell halten und unnötige Software vermeiden

Home Office wird schnell unsicher, wenn Firmen-Geräte mit privater Software, fragwürdigen Tools oder veralteten Programmen vermischt werden.

Wichtiger als eine möglichst lange Tool-Liste ist, dass Geräte sauber gepflegt werden:

• Betriebssystem aktuell (aktuelle Schwachstellen werden möglichst automatisiert behoben);
• Browser aktuell;
• Office-Umgebung aktuell;
• Schutzsoftware aktiv;
• unnötige Software runter.

Prüfen Sie deshalb:

• Sind Sicherheitsupdates automatisiert oder klar geregelt?
• Gibt es Schutz gegen Malware?
• Dürfen Mitarbeiter beliebige Software installieren?
• Sind Makros, Skripte oder Browser-Erweiterungen geregelt?
• Ist klar, welche Tools für die Arbeit erlaubt sind und welche nicht?

Wenn Sie das näher beleuchten möchten, haben wir noch einen Spezialartikel zu sicheren Endgeräten.

3. Anmeldung absichern: MFA statt nur Passwort

Im Home Office hängen viele Zugriffe an Cloud-Diensten, VPN, E-Mail, Kollaborationstools und administrativen Oberflächen. Genau deshalb ist ein reines Passwort heute zu wenig.

Für berufliche Zugänge sollte MFA Standard sein, vor allem für E-Mail, VPN, Admin-Zugänge und andere sensible Anwendungen. Gleichzeitig sollte klar sein, wie der Fallback aussieht, wenn ein Gerät verloren geht oder ein zweiter Faktor gerade nicht verfügbar ist.

Prüfen Sie deshalb:

• Ist MFA für wichtige Zugänge aktiviert?
• Gilt das auch für E-Mail und VPN?
• Gibt es getrennte Anforderungen für normale und privilegierte Konten?
• Sind Notfallwege sauber geregelt?
• Werden Zugangsdaten niemals mit Familienmitgliedern oder Dritten geteilt?

Hier gehen wir in der Thema „Sichere Authentifizierung“ noch genauer hinein.

4. Heimnetz und WLAN nicht als Nebensache behandeln

Viele Home-Office-Setups scheitern nicht am Laptop, sondern am Umfeld.

Ein altes Router-Passwort, offene Gastnetze, unsichere IoT-Geräte oder ein unübersichtliches Heimnetz können unnötige Risiken schaffen. Es geht nicht darum, aus jeder Wohnung ein Rechenzentrum zu machen. Aber ein Mindestmaß an sauberer Netzsicherheit sollte da sein. Genau deshalb taucht das Thema Heimnetz in praktischen Home-Office-Leitfäden immer wieder auf.

Prüfen Sie deshalb:

• Ist das WLAN mit einem starken Passwort geschützt?
• Sind Standardpasswörter auf Router oder Repeater geändert?
• Gibt es fragwürdige offene oder geteilte WLANs?
• Wird für sensible Zugriffe ein VPN genutzt?
• Ist klar, ob dienstliche Geräte auf private NAS, Drucker oder andere Heimgeräte zugreifen dürfen?

Und da Sie das Heimnetzwerk nicht unter Kontrolle haben: Setzen Sie die Verbindung des Firmenrechners nach dem Zero Trust-Prinzip auf.

5. Daten, Ausdrucke und lokale Ablage sauber regeln

Home Office ist oft nicht unsicher, weil jemand „gehackt“ wird, sondern weil Daten im Alltag falsch landen: im privaten Download-Ordner, auf dem Küchentisch, im Heimdrucker oder im falschen Cloud-Speicher.

Gerade Ausdrucke, Notizen, Screenshots und lokale Dateien werden im Büro oft automatisch besser mitgedacht als zuhause. Genau deshalb braucht es klare Regeln.

Prüfen Sie deshalb:

• Dürfen sensible Informationen lokal gespeichert werden?
• Wenn ja: unter welchen Bedingungen?
• Wie wird mit Ausdrucken im Home Office umgegangen?
• Wo liegen Notizen, Ausdrucke oder unterschriebene Unterlagen?
• Ist klar geregelt, welche Daten niemals in private Tools oder private Speicher wandern dürfen?

6. Videokonferenzen und Telefonate vertraulich halten

Ein häufiger blinder Fleck im Home Office sind Gespräche.

Nicht jede Information ist nur als Datei schützenswert. Auch gesprochene Inhalte können sensibel sein: Kundendaten, Personalthemen, Entwicklungsdetails, Vertragsfragen oder interne Probleme.

Prüfen Sie deshalb:

• Können Gespräche von Dritten mitgehört werden?
• Ist der Bildschirm für Besucher, Nachbarn oder Familie einsehbar?
• Werden Headsets genutzt, wenn es sinnvoll ist?
• Sind Hintergrund und Kamerawinkel unkritisch?
• Ist klar, wann sensible Gespräche besser nicht im offenen Wohnumfeld geführt werden?

7. Mitarbeiter brauchen klare Regeln, nicht nur Technik

Technik hilft. Aber im Home Office entscheidet Verhalten oft genauso stark.

Mitarbeiter müssen wissen:

• was mit Firmen-Geräten erlaubt ist;
• was mit privaten Geräten nicht erlaubt ist;
• wie mit Phishing, verdächtigen Links und Anhängen umzugehen ist;
• was bei Verlust eines Geräts zu tun ist;
• und wann ein Vorfall sofort gemeldet werden muss.

Genau deshalb betonen praktische Leitfäden zu Remote Work fast immer auch Awareness und klare Mitarbeiterregeln.

Prüfen Sie deshalb:

• Gibt es eine kurze, verständliche Home-Office-Regelung?
• Haben Mitarbeiter diese Regelung wirklich gesehen und verstanden?
• Werden typische Home-Office-Risiken geschult?
• Ist klar, was bei Unsicherheit der richtige Meldeweg ist?

8. Vorfälle müssen auch von zuhause aus meldbar sein

Ein Home-Office-Setup ist nur dann sauber, wenn Mitarbeiter im Problemfall nicht rätseln müssen.

Was passiert bei:

• verdächtiger E-Mail;
• verlorenem Handy;
• gestohlenem Laptop;
• versehentlich falsch versendeter Datei;
• verdächtigem Login;
• technischer Unsicherheit?

Wenn es dafür keinen klaren Meldeweg gibt, wird aus einem kleinen Problem schnell ein größerer Vorfall.

Prüfen Sie deshalb:

• Ist der Meldeweg für Sicherheitsvorfälle klar?
• Ist dieser Weg auch außerhalb des Büros praktikabel?
• Wissen Mitarbeiter, was „sofort melden“ konkret bedeutet?
• Gibt es im Ernstfall erreichbare Ansprechpartner?

Was will der Auditor sehen?

Im ISO 27001-Audit wird das Thema Home Office innerhalb der Anforderung A.6.7 („Remote Working“) geprüft. Der Auditor will sehen, dass Home Office bei Ihnen nicht dem Zufall überlassen ist. Entscheidend ist, dass es klare Regeln für Geräte, Zugänge, Daten, Gespräche, Ausdrucke und Vorfälle gibt und dass diese Regeln im Alltag tatsächlich gelebt werden. Überzeugend sind dabei vor allem eine verständliche Home-Office-Regelung, technische Schutzmaßnahmen wie Verschlüsselung und MFA, Schulungsnachweise und ein klarer Meldeweg für Sicherheitsvorfälle.

Der häufigste Fehler

Der häufigste Fehler ist, Home Office wie eine rein technische Verlängerung des Büros zu behandeln.

In Wirklichkeit ist Home Office eine andere Arbeitsumgebung mit anderen Risiken:
mehr Privates, mehr Kontextwechsel, mehr Eigenverantwortung, mehr Abhängigkeit von Heimnetz, Raum und Verhalten.

Genau deshalb braucht Home Office keine riesige Sonderbürokratie, aber eben doch eine eigene, klare Sicherheitslogik.

Home Office braucht ein eigenes kleines Bedrohungsmodell

Im Büro kontrolliert das Unternehmen Räume, Netze, Besucher und meist auch die Geräte. Zuhause teilt sich der Arbeitsplatz diese Umgebung mit Familie, Handwerkern, privaten Routern, Sprachassistenten und gelegentlich einem sehr interessierten Haustier. Das macht Home Office nicht grundsätzlich unsicher. Es bedeutet nur, dass andere Annahmen gelten.

Gehen Sie die Arbeitssituation deshalb einmal konkret durch:

• Welche Informationen werden auf Papier oder am Bildschirm sichtbar?
• Wer kann den Raum betreten oder Gespräche mithören?
• Welche Geräte und Netze werden benutzt?
• Wo landen lokale Downloads, Ausdrucke und Notizen?
• Wie wird ein Verlust, Defekt oder Sicherheitsvorfall gemeldet?
• Wie erhält die IT im Notfall Zugriff, ohne dauerhaft jede Privatnutzung zu überwachen?

Das BSI empfiehlt für mobiles Arbeiten klare Regeln, geschützte Geräte, aktuelle Software, begrenzte Berechtigungen und einen Schutz dienstlicher Unterlagen vor unbefugtem Zugriff. Die konkrete Umsetzung muss zur Organisation und zum Schutzbedarf passen.

Zentrale Geräteverwaltung nimmt viel Handarbeit ab

Mit einem Mobile Device Management lassen sich Konfigurationen, Verschlüsselung, Bildschirmsperre, Softwarestände und Sicherheitsrichtlinien zentral steuern. Bei Verlust oder ausbleibender Rückgabe kann ein verwaltetes Gerät gesperrt oder – je nach Plattform und Konzept – aus der Ferne gelöscht werden.

Das ersetzt keine Entscheidung darüber, welche Daten lokal gespeichert werden dürfen. Es sorgt aber dafür, dass zwanzig Mitarbeiter nicht zwanzig verschiedene Sicherheitskonfigurationen aus dem Gedächtnis nachbauen müssen. Ergänzend gehören sichere Authentifizierung und MFA zu den wichtigsten Maßnahmen, besonders für E-Mail, Cloudanwendungen, VPN und administrative Zugänge.

Private Geräte sind nicht automatisch verboten. Wer Bring Your Own Device zulässt, muss jedoch sauber trennen: Welche Unternehmensdaten dürfen verarbeitet werden? Kann die Organisation Sicherheitsvorgaben technisch durchsetzen? Wie werden geschäftliche Daten beim Ausscheiden gelöscht, ohne private Fotos mitzunehmen? Wenn diese Fragen unbeantwortet bleiben, ist „Das Gerät gehört dem Mitarbeiter“ keine Sicherheitsarchitektur.

Nicht jedes Home Office braucht zwingend ein klassisches VPN

Ein VPN kann einen geschützten Zugang in das Unternehmensnetz bereitstellen. Moderne Cloudanwendungen lassen sich aber auch direkt über starke Authentisierung, Gerätezustand und fein geschnittene Berechtigungen absichern. Entscheidend ist nicht das Vorhandensein eines bestimmten Produkts, sondern die kontrollierte Verbindung zum benötigten Dienst.

Ein falsch verstandenes Vollzugriffs-VPN kann sogar unnötig viel Netz erreichbar machen. Prüfen Sie deshalb:

• Welche Anwendung muss der Mitarbeiter tatsächlich erreichen?
• Wird das Gerät vor dem Zugriff auf seinen Sicherheitszustand geprüft?
• Sind administrative Oberflächen aus dem Home Office erreichbar?
• Werden auffällige Anmeldungen und Verbindungsversuche erkannt?
• Greift das Prinzip der minimalen Berechtigung?

Der Einstieg in Zero Trust hilft bei dieser dienstbezogenen Sicht, ohne dass dafür sofort die gesamte Infrastruktur neu gebaut werden muss.

Nachweise entstehen am besten automatisch

Im Audit reicht „Unsere Mitarbeiter machen das schon“ selten weit. Gute Nachweise sind beispielsweise Gerätekonformitätsberichte, Patchstände, MFA-Auswertungen, dokumentierte Ausnahmen, Schulungsnachweise und bearbeitete Vorfalltickets. Auch getestete Abläufe für verlorene Geräte oder gesperrte Konten zeigen mehr als eine Richtlinie allein.

Automatische Nachweise sind besonders wertvoll. Wenn die zentrale Verwaltung zeigt, dass Verschlüsselung und Bildschirmsperre aktiv sind, müssen Mitarbeiter nicht monatlich eine Excelzeile abhaken. Für Schadsoftware und auffälliges Verhalten sollte zusätzlich ein angemessener Malware-Schutz vorgesehen werden.

Physische und akustische Vertraulichkeit nicht vergessen

Home Office endet nicht am Laptopdeckel. Ausdrucke, handschriftliche Notizen und Telefonate können ebenfalls vertrauliche Informationen enthalten. Mitarbeiter sollten wissen, welche Unterlagen das Büro verlassen dürfen, wie sie aufbewahrt und wann sie sicher entsorgt werden. Ein abschließbarer Schrank kann dabei wirksamer sein als eine zwölfseitige Erklärung.

Bei Onlinemeetings gehören Kopfhörer, geeigneter Raum und bewusstes Teilen von Fenstern zum Sicherheitskonzept. Wer den gesamten Bildschirm teilt, zeigt schnell Chatnachrichten, Kundennamen oder eine offene Gehaltsliste. Clear Screen bedeutet deshalb auch: vor dem Teilen aufräumen, Benachrichtigungen deaktivieren und nur das benötigte Fenster freigeben.

Vorfälle müssen auch vom Küchentisch aus gemeldet werden können

Ein Mitarbeiter bemerkt eine ungewöhnliche MFA-Anfrage, verliert sein Notebook oder schickt eine Datei an den falschen Empfänger. Dann braucht er einen erreichbaren Meldeweg und eine verständliche erste Handlung. Die Nummer des Bürotelefons hilft wenig, wenn dort gerade niemand sitzt.

Regeln Sie deshalb, wie Geräte gesperrt, Konten geschützt und Vorfälle eskaliert werden. Mitarbeiter sollten nicht selbst forensisch ermitteln oder aus Angst vor Ärger warten. Ein früher Hinweis begrenzt den Schaden häufig stärker als jede nachträgliche Schuldfrage. Testen Sie den Weg gelegentlich: Kommt die Meldung an, weiß die zuständige Stelle was zu tun ist und kann sie das Gerät aus der Ferne erreichen?

Interesse geweckt?

Wenn Ihre Home-Office-Regelung entweder aus einem Satz besteht oder bereits die Länge eines Mietvertrags erreicht hat, Sprechen Sie mit uns. Wir helfen, Technik, Regeln und Nachweise auf ein praktikables Maß zu bringen.