Dr. Mathias Grzesiek

Dr. Mathias Grzesiek ist Salary Partner der auf Wirtschafts- und Steuerstrafrecht spezialisierten Kanzlei Rosinus | Partner Rechtsanwälte PartG mbB in Frankfurt/M. Er berät und verteidigt nationale und internationale Unternehmen sowie Privatpersonen in allen Fragen des Wirtschafts- und Steuerstrafrechts. Neben seiner Anwaltstätigkeit ist er Lehrbeauftragter an der Goethe-Universität Frankfurt am Main.
Dr. Mathias Grzesiek ist Salary Partner der auf Wirtschafts- und Steuerstrafrecht spezialisierten Kanzlei Rosinus | Partner Rechtsanwälte PartG mbB in Frankfurt/M. Er berät und verteidigt nationale und internationale Unternehmen sowie Privatpersonen in allen Fragen des Wirtschafts- und Steuerstrafrechts. Neben seiner Anwaltstätigkeit ist er Lehrbeauftragter an der Goethe-Universität Frankfurt am Main.
Rechtliche Voraussetzungen und praktische Umsetzbarkeit der Einziehung von Kryptowährungen im Strafverfahren

Rechtliche Voraussetzungen und praktische Umsetzbarkeit der Einziehung von Kryptowährungen im Strafverfahren

„Crime must not pay.“[1] Aus diesem Grund sollen rechtswidrig erlangte Vermögensvorteile nach den §§ 73 ff. StGB abgeschöpft werden. Doch lohnen sich Straftaten eventuell doch, wenn nicht Geld, sondern Kryptowährungen erlangt werden? Unterliegen Kryptowährungen überhaupt der Einziehung nach den §§ 73 ff. StGB und selbst wenn, können diese überhaupt eingezogen werden? Diese Fragen werden in dem folgenden Beitrag beantwortet. Dazu soll zunächst die Funktionsweise von Kryptowährungen anhand von Bitcoin untersucht und anschließend mit anderen gängigen Kryptowährungen verglichen werden. Nachdem eine rechtliche Einordnung von Kryptowährungen erfolgt ist, wird schwerpunktmäßig die Frage beantwortet, ob diese den §§ 73 ff. StGB unterfallen. Dabei werden insbesondere die mit der Einziehung von Kryptowährungen verbundenen (praktischen) Probleme herausgearbeitet. Weiterhin wird untersucht, welche Vorschriften diese aktuell am besten lösen. Abschließend werden Vorschläge für etwaige Gesetzesänderungen vorgestellt.

Mittlerweile gibt es ungefähr 5.000[2] verschiedene Kryptowährungen.[3] Die wohl bekannteste und, gemessen an der Marktkapitalisierung, bedeutendste Kryptowährung ist der Bitcoin.[4] Daher wird deren Funktionsweise zunächst am Beispiel von Bitcoin erläutert. Anschließend erfolgt ein Vergleich der Funktionsweise mit anderen gängigen Kryptowährungen.

Die Funktionsweise von Kryptowährungen am Beispiel des Bitcoin

Bei Bitcoin handelt es sich um eine dezentrale virtuelle Kryptowährung. Es gibt somit keinen zentralen Server und auch keine zentrale Aufsichtsinstitution.[5] Dies stellt einen gravierenden Unterschied zum herkömmlichen Bankverkehr dar, bei dem die Bank zwischen Absender und Empfänger zwischengeschaltet ist und die Integrität der Zahlung garantiert.[6] Es gibt zwei Möglichkeiten, Bitcoins (Währungseinheit BTC) zu erhalten. Einerseits können sie durch Transaktionen von anderen Bitcoin-Adressen erlangt werden, andererseits besteht auch die Möglichkeit, durch sogenanntes Mining[7] Bitcoins selbst zu generieren.[8]

Bei Transaktionen werden bestehende Bitcoin-Werteinheiten und keine Münzen übertragen. Das eigene Guthaben besteht nicht aus Münzen, sondern aus erlangten Transaktionen, die selbst noch nicht verwendet wurden, dem sogenannten unspent transaction output.[9] Dem entsprechend werden bei einer Transaktion lediglich wertzuweisende Informationen geändert.[10] Hierfür muss der Übertragende eine Transaktionsanfrage erstellen, welche sowohl den Betrag als auch die Absende- und Empfänger-Bitcoin-Adresse enthält.[11] Mangels zentraler Aufsichtsinstitution erfolgt die Übermittlung der Daten mittels Kryptographie. Durch die Verwendung von Kryptographie kann zudem die Integrität von den übermittelten Informationen gewährleistet werden.[12]

Bei Bitcoin erfolgt die Kryptographie asymmetrisch. Dies bedeutet, dass ein Schlüsselpaar erzeugt wird, welches aus einem privaten und einem öffentlichen Schlüssel besteht, wobei den privaten Schlüssel nur dessen „Besitzer“ kennt. Im Gegensatz zur symmetrischen Kryptographie, verfügen Absender und Empfänger also nicht über einen gemeinsamen Schlüssel.[13]

Der private Schlüssel ist eine per Zufall generierte Zahl zwischen (einschließlich) 0 und (2256) -1.[14] Diese wird jedoch nicht im gewohnten Dezimal-, sondern im Hexadezimalsystem dargestellt. Letzteres besteht nicht aus zehn Ziffern, vielmehr aus 16 Zeichen, nämlich den Ziffern 0-9 und den Buchstaben A-F (als 10, 11, 12, 13, 14, 15).[15] Somit kann ein privater Schlüssel folgendermaßen aussehen:[16]

1E99423A4ED27608A15A2616A2B0E9E52CED330AC530EDCC32C8FF C6A526AED

Der private Schlüssel steht mit dem öffentlichen Schlüssel in einem mathematischen Verhältnis.[17] So wird der öffentliche Schlüssel aus dem privaten Schlüssel berechnet. Theoretisch ist es somit auch möglich, den privaten Schlüssel aus dem öffentlichen Schlüssel zu berechnen. Hierfür müsste man jedoch alle zwei256 Kombinationen durchprobieren, sodass die Sicherheit des privaten Schlüssels praktisch gewährleistet ist.[18] Soll eine Transaktion erfolgen, so muss der Transferierende eine Transaktionsanfrage erstellen.[19] Diese wird sodann mit dem privaten Schlüssel unterzeichnet und somit verschlüsselt. Dadurch wird sichergestellt, dass die Transaktion nachträglich nicht verändert wird und vom Transferierenden stammt, da dieser der Einzige ist, der den privaten Schlüssel kennt.[20] Da der private Schlüssel demnach die Verfügungsgewalt über die eigenen Bitcoins gewährt, sollte dieser sicher aufbewahrt werden.[21] Aufgrund dessen ist es ratsam, den privaten Schlüssel mit Hilfe einer Wallet zu verwalten. Anders als der Name „Wallet“ (dt.: Brieftasche) vermuten lässt, werden in ihr also nicht die Bitcoins selbst, sondern nur die Schlüssel gespeichert,[22] denen Bitcoins zugeordnet sind.[23]

Für die Aufbewahrung gibt es nicht eine bestimmte Wallet. Vielmehr stehen dem Nutzer mehrere Möglichkeiten offen. Die Schlüssel können sowohl online als auch offline gespeichert werden.[24] So ist es beispielsweise möglich, die Schlüssel auf Servern (sog. Online-Wallet),[25] auf einem USB-Stick,[26] in Papierform (sog. Paper-Wallet) aufzubewahren oder auswendig zu lernen (sog. Brain-Wallet).[27] Somit ist, im Hinblick auf die Frage, ob Kryptowährungen eingezogen werden können, festzuhalten, dass nur der „Besitzer“ der Bitcoins den privaten Schlüssel kennt und er somit der Einzige ist, der über die Bitcoins verfügen kann.[28]

Aus dem privaten Schlüssel lässt sich der öffentliche Schlüssel berechnen. Dieser ist im Gegensatz zu dem privaten Schlüssel für jeden Netzwerkteilnehmer erkennbar.[29] Mithin kann der öffentliche Schlüssel mit der Kontonummer verglichen werden.[30] Ein öffentlicher Schlüssel kann wie folgt aussehen:[31]

MFYwEAYHKoZIzj0CAQYFK4EEAAoDQgAEt++Q+qQJqoS0QcCtL9fd2LqmLvx0N3uIY9qy7GydcpWUKwH4Maf01HM6AMMLJBQzBsIkHbdD L93EeeKKFc6GQ

Mit Hilfe des öffentlichen Schlüssels kann zum einen die Bitcoin-Adresse errechnet[32] und zum anderen kann die Transaktionsanfrage durch Teilnehmer des Netzwerks überprüft werden.[33] Eine Verifizierung erfolgt erst, wenn die Überprüfung ergibt, dass der zum öffentlichen Schlüssel passende private Schlüssel zum Signieren verwendet und die Nachricht nicht nachträglich verändert wurde.[34] Eine Transaktion gilt erst dann als ausgeführt, wenn sie von der Mehrheit der Netzwerkteilnehmer verifiziert wurde.[35]

Die Bitcoin-Adresse wird mit Hilfe einer Hashfunktion aus dem öffentlichen Schlüssel abgeleitet. Dies ist insbesondere deswegen sinnvoll, da die Länge der Signatur und somit auch die zu übertragende Datenmenge umso mehr zunimmt, je länger die zu verschlüsselnde Nachricht ist. Die komprimierte Datenmenge (sog. Hashwert) ist sodann die Bitcoin-Adresse.[36] Man kann sich den Hashwert als eine Art digitalen Fingerabdruck vorstellen.[37] Bei der Hashfunktion handelt es sich um eine Einwegfunktion, sodass sich aus dem Hashwert der öffentliche Schlüssel nicht errechnen lässt.[38] Eine Bitcoin-Adresse kann wie folgt aussehen:[39]

1J7mdg5rbQyUHENYdx39WVWK7fsLpEoXZy

Genauso wie an den öffentlichen Schlüssel können an die Bitcoin-Adresse Zahlungen adressiert werden. Diese kann demnach ebenfalls mit der Kontonummer verglichen werden.[40]

Da es sich bei Bitcoin um eine dezentrale Kryptowährung handelt, existiert keine zentrale Aufsichtsinstitution. Demnach wird also keine Bank zwischen Absender und Empfänger zwischengeschaltet, wie dies bei herkömmlichen Banküberweisungen der Fall ist.[41] Bei Bitcoin erfolgt die Transaktion deswegen Peer-to-Peer. Die Bitcoin-Werteinheiten werden also ohne Umweg von Rechner zu Rechner übertragen, da die Netzwerkteilnehmer unmittelbar miteinander verbunden sind.[42] Die Aufsicht über die Transaktionen obliegt somit allen Netzwerkteilnehmern, insbesondere den sogenannten Minern.[43]

Krypto-Mining und das Pirnzip des Proof-of-Work

Wurde eine Transaktionsanfrage signiert, so gelangt sie in einen Memory Pool und wird somit an alle Miner des Netzwerks verteilt. Die Miner nehmen die ihnen angebotenen Transaktionen in Blöcke auf, um sie bestätigen zu können. Hierbei wird die Transaktion auf ihre Richtigkeit[44] überprüft.[45] Damit die Transaktion jedoch als bestätigt gilt, muss der Block zunächst entschlüsselt werden, was dadurch geschieht, dass ein Miner eine kryptografische Rechenaufgabe löst (sog. Mining).[46] Dies erfordert einen großen Rechenaufwand, sodass ein Block erst nach ungefähr zehn Minuten gelöst wird.[47] Ist dies geschehen, so wird er der sogenannten Blockchain hinzugefügt.[48]

Bei der Blockchain handelt es sich um die Kette der Transaktions-Blöcke. Sie enthält sämtliche Transaktionen und kann deshalb wie ein Kontenbuch angesehen werden.[49] Dadurch übernimmt sie die (bei Bitcoin fehlende) zentrale Instanz.[50] Die Blockchain wird jedoch nicht zentral, sondern dezentral auf allen Rechnern abgespeichert.[51] Sie ist öffentlich einsehbar, sodass jeder sehen kann, welcher Adresse welche Beträge zugeordnet sind.[52] Die bei Bitcoin verwendete Blockchain ist somit eine Distributed-Ledger-Technologie.[53] Die Blöcke sind so aneinandergereiht, dass man von einer Verkettung sprechen kann. Jeder Block verweist auf den vorherigen Block in Form eines Hashwertes.[54] Der Hashwert lässt sich durch mehrere Konstanten und Variablen errechnen. Zu diesen gehört auch der Hashwert des Vorgänger-Blocks.[55] Dadurch wird die Sicherheit, beziehungsweise die Unveränderbarkeit der Blockchain und somit der dort gespeicherten Transaktionen sichergestellt.[56] Eine Veränderung von Daten wäre nur möglich, sofern jeder nachfolgende Block erneut berechnet würde. Dies würde einen großen Rechenaufwand erfordern, sodass sich der Aufwand, verglichen mit dem Ertrag, nicht rentiert.[57] Darüber hinaus wird bei der Fortführung der Blockchain immer die längste Kette an Blöcken verwendet, sodass nicht nur die Folgeblöcke neu berechnet, sondern auch noch die anderen Miner überholt werden müssten.[58]

Da das Mining einen großen Rechenaufwand erfordert, ist es energieintensiv und dementsprechend kostspielig. Deshalb bedarf es eines Anreizes beziehungsweise einer Belohnung für die Miner.[59] Dies geschieht bei Bitcoin auf zwei Wegen. Zum einen können Miner Transaktionsgebühren erhalten und zum anderen entstehen durch die Verlängerung der Blockchain neue Bitcoins, welche dem Miner gutgeschrieben werden.[60] Transaktionsgebühren sind nicht verpflichtend. Jedoch können sich die Miner die Transaktionen im Memory-Pool aussuchen, die sie in ihren Block aufnehmen. Somit erhöht sich die Wahrscheinlichkeit, dass eine Transaktion in einen Block aufgenommen wird, sofern eine Gebühr hinzugefügt wird.[61] Damit dem Miner neu generierte Bitcoins gutgeschrieben werden, muss er beweisen, dass er den Rechenaufwand geleistet hat. Dieser Arbeitsbeweis wird Proof-of-Work genannt und durch die oben beschriebene Berechnung des Hashwertes erbracht.[62] Diese Belohnung halbiert sich nach jeweils 210.000 Mining-Vorgängen[63] bis alle Bitcoins ausgeschüttet wurden, was voraussichtlich im Jahr 2140 der Fall sein wird.[64] Die Anzahl der Bitcoins ist auf 21 Millionen BTC begrenzt, sodass nach vollständiger Ausschüttung nur noch die Transaktionsgebühren als Anreiz dienen werden.[65]

Weiterlesen →

Posted by Dr. Mathias Grzesiek in Cybercrime, IT-Strafrecht, Kryptowährungen
Die Entschlüsselung von Smartphones gegen den Willen des Beschuldigten

Die Entschlüsselung von Smartphones gegen den Willen des Beschuldigten

Zur Herausgabe eines Passworts ist der Beschuldigte eines Strafverfahrens aufgrund der Selbstbelastungsfreiheit bekanntlich nicht verpflichtet. Ist ein Smartphone mittels PIN-Code gesichert, muss dieses daher zunächst „geknackt“ werden, bevor Ermittlungsbehörden auf die Daten zugreifen können. Doch wie verhält es sich mit biometrisch gesicherten Endgeräten? Dürfen Ermittler das Smartphone eines Beschuldigten – gegen seinen Willen – durch das Auflegen seines Fingers oder durch das Vorhalten vor sein Gesicht entsperren? Sieht die StPO für die Überwindung biometrischer Barrieren eine Befugnisnorm vor?

Mit diesen und weiteren Fragen beschäftigen sich Daniel Zühlke und ich im aktuellen Heft der Spezialausgabe des Strafverteidigers.

Hier eine kurze Zusammenfassung des Beitrags:

Das Smartphone als »ultimatives Beweismittel«

Ein intensiv genutztes verschlüsseltes Smartphone wird durch die Ansammlung persönlicher Daten zum »ultimativen Beweismittel« für die Ermittlungsbehörden, da es das gesamte Leben des Beschuldigten dokumentiert und Aufschluss über Aufenthaltsorte, Kommunikationsinhalte, Kontakte, Gewohnheiten und sogar Schlafzeiten und -Qualität gibt. Die Auswertung stellt einen der tiefsten (offenen) Eingriff e in das Persönlichkeitsrecht des Beschuldigten dar. Smartphones unterliegen als Sonderfall informationstechnischer Systeme daher besonderem Schutz, da sie Daten über nahezu jeden Lebensbereich des Verwenders gesammelt bereithalten und der Nutzer auf die Vertraulichkeit dieser Daten schutzwürdig vertraut. Bereits die bloße Verschlüsselung intensiviert den Grundrechtseingriff bei einer Auswertung maßgeblich; das Vertrauen des Verwenders in seinen informationstechnischen Selbstschutz ist seinerseits rechtlich schützenswert.

Beschlagnahme und Auswertung des verschlüsselten Smartphones

Beschlagnahmen die Ermittlungsbehörden verschlüsselte Smartphones, die im Strafverfahren gegen den Willen des Beschuldigten verwertet werden sollen, ist eine Entschlüsselung notwendig, um die Daten auszulesen. Da Smartphones auf verschiedene Arten gesichert sein können, bestehen mehrere Optionen, die Schwierigkeiten teils praktischer, teils rechtlicher Natur unterliegen.

Keine Pflicht des Beschuldigten zur Mitteilung des Passworts

Die überwiegende Anzahl der Smartphones ist durch (mindestens) ein Passwort gesichert, das zum Entsperren des Gerätes benötigt wird. Hinzu kommt ein oftmals abweichender Code für die SIM-Karte. Nach dem Nemo-tenetur-Grundsatz, welcher zu den essentiellen Prinzipien eines rechtsstaatlichen Strafverfahrens gehört, darf niemand gezwungen werden, sich selbst zu belasten. Einem Beschuldigten steht es danach frei, sich zum Tatvorwurf zu äußern oder von seinem Schweigerecht Gebrauch zu machen. Auch im Übrigen darf er nicht gezwungen werden, aktiv an der  Aufklärung des Sachverhaltes mitzuwirken. Folglich ist er auch nicht zur Mitteilung eines Passworts bzw. PIN-Codes verpflichtet.

Ohne Kenntnis des Passworts bzw. PIN-Codes verbleibt für die Behörden nur die sehr zeitaufwendige und teure Möglichkeit des »Knackens« der Verschlüsselung durch systematisches und automatisiertes Durchtesten aller möglichen Kombinationen – i.d.R. durch Beauftragung eines entsprechenden Dienstleisters. Diese sog. Brute-Force-Methode hat zudem keine Erfolgsgarantie. Das Verfahren ist daher nach Möglichkeit durch wirksamere und zügigere Verfahrensweisen zu ersetzen, um das Ermittlungsverfahren effizienter zu gestalten und zugleich den Grundrechtseingriff bei der Beschlagnahme des Smartphones möglichst gering zu halten.

Keine Rechtsgrundlage für die zwangsweise biometrische Entsperrung

Fingerabdrucksensoren und die Entsperrung via Gesichtserkennung setzen sich am Smartphone-Markt immer weiter durch. Kaum ein modernes Mobiltelefon verfügt nicht mehr über die technische Möglichkeit der Fingerabdruckerkennung. Eine rechtlich brisante und höchstrichterlich noch nicht entschiedene Frage ist, ob Ermittlungsbehörden den Finger des Beschuldigten zwangsweise auf den Scanner legen, oder den Beschuldigten für eine Gesichts- oder Iriserkennung fixieren dürfen.

Nach der hier vertretenen Ansicht fehlt kann die Entsperrung des Smartphones nicht unter erzwungener Mitwirkung des Beschuldigten erfolgen. Dies gebietet der nemo-tenetur-Grundsatz. Den Ermittlungsbehörden stehen einzig die Durchsuchung gem. § 102 StPO zum Auffinden verschriftlichter Passwörter, sowie die Online-Durchsuchung gem. § 100b StPO zur Verfügung. Andernfalls verbleibt lediglich die Entsperrung im Wege der »brute-force«-Methode. Für das Auflegen des Fingers auf den Fingerabdrucksensor oder das Öffnen des Auges für einen Retinascan unter Anwendung von unmittelbarem Zwang hält die StPO keine hinreichende Rechtsgrundlage bereit.

*Update vom 19.10.2021* Den vollständigen Beitrag gibt es aktuell in der der Gratis-Ausgabe des StV Heft 3/2021.

Fußnoten

[1] Der vollständige Beitrag findet sich hier: Die Entschlüsselung von Smartphones gegen den Willen des Beschuldigten, StV-S 2021, Heft 3, S. 117 – 124 .

Posted by Dr. Mathias Grzesiek in IT-Strafrecht, Literaturempfehlung, Praxistipps
IT-Sicherheit im Homeoffice – 7 Praktische Tipps

IT-Sicherheit im Homeoffice – 7 Praktische Tipps

Angetrieben durch die Corona-Krise nimmt der Trend zum Homeoffice stetig zu. Viele Arbeitnehmer arbeiten zum größten Teil – oder sogar ausschließlich – vom privaten Arbeitsplatz zu Hause. Im Homeoffice prallen Privat- und Arbeitsleben aufeinander, was ein Risiko für die IT-Sicherheit bedeutet. Unternehmen sehen sich daher zunehmend mit einer neuen Herausforderung konfrontiert: Der Gewährleistung von IT-Sicherheit im Homeoffice.

Cyber-Angriffe als Bedrohungsrisiko auch im Homeoffice

Cyber-Angriffe auf Unternehmen haben in den letzten Jahren merklich zugenommen. Laut der Cyber-Security-Studie 2020[1] gaben 78 Prozent der befragten Unternehmen an, im laufenden Jahr attackiert worden zu sein. Von 2018 bis 2019 betrug der durch Cyber-Angriffe verursachte Schaden mehr als 100 Milliarden Euro pro Jahr. Verglichen mit den Jahren 2016 und 2017 kam es sogar zu einer Verdopplung der Schadenssumme[2].

Cyber-Angriffe sind vielfältig und können nicht nur unangenehm sein, sondern auch zu erheblichen Vermögensschäden und Reputationsverlusten führen. Folgende Fallkonstellationen sollen der Verdeutlichung dienen:

  • Mit DDoS (Distributed-Denial-of-Service) Attacken werden Systeme gezielt überlastet, um Dienste oder Server zeitweise lahmzulegen. Ein durch eine DDoS-Attacke verursachter temporärer Ausfall eines Onlineshops oder einer Website kann innerhalb weniger Tag zu hohen Umsatzeinbußen führen.
  • Wenn Schadsoftware, wie bspw. Dateisysteme verschlüsselnde Ransomware, eindringt und die IT-Systeme eines Unternehmens lahmlegt, kann dies zu Produktionsausfällen und sogar zu einer kompletten Handlungsunfähigkeit des Unternehmens führen.
  • ATP-Angriffe, bei denen Angreifer über einen längeren Zeitraum gezielt Daten ausspionieren, können zu einem Verlust sensibler Daten oder Geschäftsgeheimnissen führen und dadurch irreversible Schäden verursachen.
  • Beim CEO-Fraud werden Mitarbeiter durch gezielte Video-Calls und E-Mails, bei denen sich der Angreifer als Führungskraft des Unternehmens ausgibt, veranlasst, große Geldbeträge zu überweisen. Diese Methode des sog. Social Engineerings ist zwar technisch anspruchslos, aber weit verbreitet.
  • Beim Phishing versuchen Cyber-Kriminelle mithilfe von gefälschten Webseiten, E-Mails oder Kurznachrichten an sensible Informationen oder Zugriffsdaten zu kommen.

Die Nichteinhaltung angemessener Sicherheitsmaßnahmen erhöht die Gefahr, Opfer eines Cyber-Angriffs zu werden. Dies gilt nicht nur im Büro, sondern auch im Homeoffice.

Optimaler Schutz nur mittels verschlüsselter VPN-Verbindung und MFA

 Bestmöglicher Schutz kann nur gewährleistet werden, wenn das Unternehmen die für das Arbeiten im Homeoffice notwendige Infrastruktur bereitstellt. Hierzu gehört neben der Zurverfügungstellung von sicheren Endgeräten (z.B. Firmen-Laptop oder Diensthandy) auch der geschützte Zugriff auf das Firmennetz via verschlüsselter VPN-Verbindung (Virtual-Private-Network). Dabei erfolgt der Verbindungsaufbau zu einer abgeschotteten Arbeitsumgebung (Terminal-Server oder Virtual-Desktop). Um eine VPN Verbindung aufzubauen, muss eine entsprechende Softwarelösung auf dem Endgerät installiert und eingerichtet werden. In der Regel gibt es vom Unternehmen hierfür Richtlinien und standardisiert genutzte Software.

Idealerweise wird die Verbindung erst dann aufgebaut, wenn sich der Mitarbeiter zuvor mittels einer MFA (Multi-Faktor-Authentifizierung) erfolgreich legitimiert hat. Hierzu ist neben der Eingabe von Login-Daten auch die Freigabe durch einen Hardware-Token (elektronisches Gerät zur Erzeugung eines Einmalpassworts) oder eine Smartphone-App erforderlich. Ist die Verbindung zum Unternehmensnetzwerk einmal aufgebaut, genießt der Mitarbeiter dank Firewall und Echtzeitüberwachung den gleichen Schutz, wie an seinem Arbeitsplatz im Büro. Das technische Konzept wird mittels einer Sicherheitsrichtline ergänzt, die das Unternehmen zur Verfügung stellen sollte. Diese sollte regeln, welche Informationen (auf Papier und auf IT-Systemen) aus dem Unternehmen transportiert und im Homeoffice bearbeitet werden dürfen, wer hierzu befugt ist und welche Sicherheitsvorkehrungen zu treffen sind.

7 praktische Tipps zur Verbesserung der IT-Sicherheit im Homeoffice

Insbesondere aus Kostengründen wird es vielen Betrieben jedoch nicht möglich sein, das beschriebene Konzept umsetzen zu können. Kommen im Homeoffice private Rechner zum Einsatz, besteht ein grundlegendes Sicherheitsrisiko, da der durchschnittliche PC-Anwender nicht über die erforderlichen Kenntnisse verfügt, um ausreichende IT-Sicherheitsmaßnahmen umsetzen zu können.

Mitarbeiter, die ihre privaten Rechner zu Arbeitszwecken nutzen, sind jedoch für die Sicherheit ihrer Geräte verantwortlich und mithin einem Haftungsrisiko ausgesetzt. Grundsätzlich sollte daher jeder Arbeitgeber, der seine Mitarbeiter auf privaten Endgeräten arbeiten lässt, erforderliche Sicherheitsmaßnahmen finanziell und organisatorisch unterstützen.

Nachfolgend werden 7 einfache und leicht umzusetzende Tipps aufgezeigt, wie die IT-Sicherheit am heimischen PC verbessert werden kann:

1. Hard- und Software auf dem neusten Stand halten

Zu einer soliden Arbeitsumgebung gehört, dass ausschließlich Software verwendet wird, die auf dem aktuellsten Stand ist. Nichts macht es Angreifern leichter, als unbekannte Schwachstellen im Programmcode (sog. Zero-Day-Exploits) zu nutzen, um Zugriff auf das Endgerät und damit auf Firmendaten zu bekommen. Notwendig ist es, stets die neuesten Software-Aktualisierungen zu installieren. Das Installieren von Updates und Patches betrifft jedoch nicht nur das Betriebssystem, sondern auch die verwendeten Software Programme, die Gerätetreiber der Hardware sowie den WLAN-Router.

2. Trennung von privaten und geschäftlichen Daten

Die private und geschäftliche Nutzung eines Geräts birgt ein großes Gefahrenpotenzial. Es ist daher empfehlenswert, die beiden Bereiche so gut es geht zu trennen. Die beste Möglichkeit stellt dabei die Nutzung von sogenannten Containern dar. Dabei handelt es sich um Anwendungen, die einen geschützten Bereich auf dem Endgerät abtrennen. Nur innerhalb dieses Containers ist ein Zugriff auf Unternehmensdaten möglich.

Steht keine Container-Software zur Verfügung, so kann eine Trennung der Daten zumindest über separate Benutzerkonten erfolgen. Wird der private Computer für die Arbeit im Homeoffice genutzt, dann sollte hierfür ein separates Konto erstellt werden. Hierdurch können private von geschäftlichen Daten getrennt werden. Das Arbeitskonto sollte selbstverständlich mit einem eigenen Passwort versehen werden.

Was den Zugriff auf das E-Mail-Postfach angeht, sollte dieser via Exchange-Client oder Webmail erfolgen, damit E-Mails nicht auf dem privaten Rechner gespeichert werden.

3. Nutzung aktueller Sicherheitssoftware

Sicherheitsprogramme, die nicht nur vor Computerviren schützen, sondern auch einen Phishing-Schutz und eine Firewall bieten, gibt es bereits für kleines Geld. Virenschutz ist nicht nur empfehlenswert, sondern fast schon obligatorisch. Der Befall des PCs im Homeoffice durch Malware kann sich schnell im gesamten Firmennetzwerk ausbreiten und erhebliche Schäden verursachen.

4. Verschlüsselung der Festplatte sowie portabler Speichermedien

Ein weiterer Tipp besteht darin, die Festplatte des Geräts und externe Speichermedien – wie USB-Sticks, Speicherkarten oder mobile Festplatten – zu verschlüsseln. Hierdurch kann auch im Homeoffice gewährleistet werden, dass Daten geschützt bleiben. Dieser Schutz hilft insbesondere dann, wenn das Notebook oder das Speichermedium verloren geht. Die Verschlüsselung des Datenspeichers ist meist mit den vorhandenen Mittelns des Betriebssystems möglich und verursacht keine zusätzlichen Kosten.

Weiterlesen →

Posted by Dr. Mathias Grzesiek in Cybersecurity, Datenschutz, IT-Compliance, Praxistipps