Der Laptop steht auf dem Küchentisch. Im selben WLAN hängen der Fernseher, der Rechner des Sohnes mit den Spielen und ein Drucker, dessen Passwort noch „admin“ ist. Auf dem Laptop liegen die Kundenverträge, weil das im März 2020 so eingerichtet wurde, schnell, damit es weitergeht. Sechs Jahre später ist daraus der Normalzustand geworden. Nicht, weil es jemand so wollte. Sondern weil es nie jemand aufgeräumt hat.
Homeoffice und ein zweiter Standort sind technisch dasselbe Thema: Menschen und Geräte außerhalb des Büros brauchen Zugriff auf Dinge, die im Büro oder in der Cloud liegen. Sicher wird das nicht durch ein einzelnes Produkt, sondern durch vier Entscheidungen, die die meisten Unternehmen bislang nicht bewusst getroffen haben.
Entscheidung 1: Welche Geräte dürfen überhaupt ran?
Die ehrliche Antwort in vielen Unternehmen lautet „alle, auf denen sich jemand anmelden kann“. Der private Laptop, das Tablet der Kinder, das alte Notebook aus dem Schrank. Das Unternehmen weiß nicht, ob diese Geräte Updates bekommen, ob ein Virenschutz läuft, ob sie verschlüsselt sind, wer sie sonst noch nutzt.
Die bessere Antwort: Firmendaten liegen auf Firmengeräten. Die sind verschlüsselt, bekommen Updates zentral, haben einen überwachten Virenschutz und lassen sich aus der Ferne löschen, wenn sie im Zug bleiben. Wo das nicht geht, bleibt der Zugriff über den Browser mit zweitem Faktor, ohne dass Dateien auf dem Gerät landen. Was es nicht mehr geben sollte: den vollen Zugang von einem Gerät, das niemand kennt.
Entscheidung 2: Wie kommen die Geräte ins Büro?
Hier liegt der Fehler von 2020. Damals wurde in vielen Unternehmen ein Remote-Desktop direkt aus dem Internet erreichbar gemacht, oder ein VPN mit einem Passwort für alle eingerichtet, das seitdem nie geändert wurde und das auch die Mitarbeiter kennen, die längst gegangen sind. Offene Remote-Desktops sind seit Jahren der häufigste Einstieg für Ransomware, weil sie sich automatisiert finden und mit gestohlenen Passwörtern durchprobieren lassen.
Ein Fernzugang braucht drei Eigenschaften: Er ist persönlich, jeder Mitarbeiter hat seinen eigenen, der sich einzeln sperren lässt. Er verlangt einen zweiten Faktor. Und er ist von außen nicht als offene Tür sichtbar, sondern läuft über ein VPN oder einen Zugangsdienst, der erst nach der Anmeldung etwas freigibt. Alles, was heute direkt aus dem Internet erreichbar ist, gehört auf die Liste – und zwar oben.
Entscheidung 3: Brauchen Sie das Büro überhaupt noch als Zentrum?
Viele Unternehmen mit zehn bis fünfzig Arbeitsplätzen haben inzwischen fast alles in Microsoft 365: Mail, Dateien, Teams. Was noch im Büro steht, ist ein alter Server mit der Branchensoftware und ein Drucker. Für die Cloud brauchen Sie kein VPN, dort regelt der bedingte Zugriff, welche Geräte und Konten hineindürfen. Ein VPN ins Büro brauchen Sie nur noch für das, was dort tatsächlich steht.
Das ist eine Gelegenheit: Wer den letzten lokalen Server ablöst oder in ein Rechenzentrum verlagert, braucht keine Vernetzung mehr, sondern an jedem Standort nur noch eine ordentliche Firewall und Internet. Ob das bei Ihnen geht, hängt von der Branchensoftware ab. Erstaunlich oft geht es.
Entscheidung 4: Wie hängen zwei Standorte zusammen?
Wenn beide Standorte auf dieselben lokalen Systeme zugreifen müssen, ist eine feste Verbindung zwischen den beiden Firewalls der saubere Weg – ein Tunnel, der dauerhaft steht, verschlüsselt, ohne dass Mitarbeiter etwas tun müssen. Wichtig dabei: Die Firewalls an beiden Enden müssen gleichwertig sein. Ein Standort mit professioneller Firewall und einer mit dem Provider-Router sind zusammen so sicher wie der Provider-Router.
Und in beiden Büros gilt, was auch für eines gilt: Gäste-WLAN getrennt vom Firmennetz, Drucker und Kameras in einem eigenen Bereich, kein Gerät, das seit Jahren mit Standardpasswort läuft. Was ein Firmennetz an Grundlagen braucht, steht in IT für 10 bis 50 Mitarbeiter.
Was am Küchentisch dann anders ist
Der Laptop ist ein Firmengerät, verschlüsselt, mit Updates, die nachts kommen. Der Mitarbeiter meldet sich mit seinem Konto und seinem Handy als zweitem Faktor an. Auf Microsoft 365 greift er direkt zu, auf die Branchensoftware über ein VPN, das nur für ihn gilt. Was im Heim-WLAN sonst noch hängt, spielt keine Rolle mehr, weil der Laptop dem Netz nicht vertraut, in dem er steht. Und wenn er eines Tages im Zug liegen bleibt, ist er nach einem Anruf leer.
Das ist kein Großprojekt. Bei einem Unternehmen mit zwanzig Arbeitsplätzen sind das einige Tage Umstellung, verteilt auf einige Wochen, damit der Betrieb nicht stört. Wenn Sie wissen wollen, wo Ihr Fernzugang heute steht – und ob ein Remote-Desktop bei Ihnen offen aus dem Internet erreichbar ist, was wir von außen in wenigen Minuten sehen –, ist das Erstgespräch der richtige Ort.
Häufige Fragen
Dürfen Mitarbeiter mit dem privaten Laptop arbeiten?
Dürfen schon, sollten aber nicht, wenn Kundendaten im Spiel sind. Sie wissen nicht, welche Updates fehlen, wer das Gerät sonst nutzt und ob es verschlüsselt ist. Ein Firmenlaptop kostet weniger als der erste Vorfall, der über ein privates Gerät kommt. Wenn es nicht anders geht: Zugriff nur über den Browser auf Microsoft 365, mit zweitem Faktor, ohne lokale Kopien.
Brauchen wir noch ein VPN, wenn alles in Microsoft 365 liegt?
Für Microsoft 365 selbst nicht – der Zugriff läuft ohnehin verschlüsselt, und der bedingte Zugriff regelt, welche Geräte hineindürfen. Ein VPN brauchen Sie nur für das, was noch im Büro steht: Server, Branchensoftware, Drucker, NAS. Steht dort nichts mehr davon, braucht es auch kein VPN.
Wir haben zwei Standorte. Müssen die Netze verbunden sein?
Nur, wenn beide auf dieselben lokalen Systeme zugreifen. Dann ist eine feste Verbindung zwischen den beiden Firewalls der saubere Weg. Wenn beide Standorte ohnehin in der Cloud arbeiten, brauchen Sie keine Kopplung, sondern nur an beiden Orten eine ordentliche Firewall.
Was ist mit Fernwartungsprogrammen wie TeamViewer oder AnyDesk?
Praktisch für Support, gefährlich als Dauerlösung. Ein Fernwartungszugang, der unbeaufsichtigt und dauerhaft offen ist, ist für Angreifer dasselbe wie ein offener Remote-Desktop. Für Support: nur mit Bestätigung durch den Mitarbeiter, nur solange die Sitzung dauert.