Datenschutz

IT-Sicherheit im Homeoffice – 7 Praktische Tipps

IT-Sicherheit im Homeoffice – 7 Praktische Tipps

Angetrieben durch die Corona-Krise nimmt der Trend zum Homeoffice stetig zu. Viele Arbeitnehmer arbeiten zum größten Teil – oder sogar ausschließlich – vom privaten Arbeitsplatz zu Hause. Im Homeoffice prallen Privat- und Arbeitsleben aufeinander, was ein Risiko für die IT-Sicherheit bedeutet. Unternehmen sehen sich daher zunehmend mit einer neuen Herausforderung konfrontiert: Der Gewährleistung von IT-Sicherheit im Homeoffice.

Cyber-Angriffe als Bedrohungsrisiko auch im Homeoffice

Cyber-Angriffe auf Unternehmen haben in den letzten Jahren merklich zugenommen. Laut der Cyber-Security-Studie 2020[1] gaben 78 Prozent der befragten Unternehmen an, im laufenden Jahr attackiert worden zu sein. Von 2018 bis 2019 betrug der durch Cyber-Angriffe verursachte Schaden mehr als 100 Milliarden Euro pro Jahr. Verglichen mit den Jahren 2016 und 2017 kam es sogar zu einer Verdopplung der Schadenssumme[2].

Cyber-Angriffe sind vielfältig und können nicht nur unangenehm sein, sondern auch zu erheblichen Vermögensschäden und Reputationsverlusten führen. Folgende Fallkonstellationen sollen der Verdeutlichung dienen:

  • Mit DDoS (Distributed-Denial-of-Service) Attacken werden Systeme gezielt überlastet, um Dienste oder Server zeitweise lahmzulegen. Ein durch eine DDoS-Attacke verursachter temporärer Ausfall eines Onlineshops oder einer Website kann innerhalb weniger Tag zu hohen Umsatzeinbußen führen.
  • Wenn Schadsoftware, wie bspw. Dateisysteme verschlüsselnde Ransomware, eindringt und die IT-Systeme eines Unternehmens lahmlegt, kann dies zu Produktionsausfällen und sogar zu einer kompletten Handlungsunfähigkeit des Unternehmens führen.
  • ATP-Angriffe, bei denen Angreifer über einen längeren Zeitraum gezielt Daten ausspionieren, können zu einem Verlust sensibler Daten oder Geschäftsgeheimnissen führen und dadurch irreversible Schäden verursachen.
  • Beim CEO-Fraud werden Mitarbeiter durch gezielte Video-Calls und E-Mails, bei denen sich der Angreifer als Führungskraft des Unternehmens ausgibt, veranlasst, große Geldbeträge zu überweisen. Diese Methode des sog. Social Engineerings ist zwar technisch anspruchslos, aber weit verbreitet.
  • Beim Phishing versuchen Cyber-Kriminelle mithilfe von gefälschten Webseiten, E-Mails oder Kurznachrichten an sensible Informationen oder Zugriffsdaten zu kommen.

Die Nichteinhaltung angemessener Sicherheitsmaßnahmen erhöht die Gefahr, Opfer eines Cyber-Angriffs zu werden. Dies gilt nicht nur im Büro, sondern auch im Homeoffice.

Optimaler Schutz nur mittels verschlüsselter VPN-Verbindung und MFA

 Bestmöglicher Schutz kann nur gewährleistet werden, wenn das Unternehmen die für das Arbeiten im Homeoffice notwendige Infrastruktur bereitstellt. Hierzu gehört neben der Zurverfügungstellung von sicheren Endgeräten (z.B. Firmen-Laptop oder Diensthandy) auch der geschützte Zugriff auf das Firmennetz via verschlüsselter VPN-Verbindung (Virtual-Private-Network). Dabei erfolgt der Verbindungsaufbau zu einer abgeschotteten Arbeitsumgebung (Terminal-Server oder Virtual-Desktop). Um eine VPN Verbindung aufzubauen, muss eine entsprechende Softwarelösung auf dem Endgerät installiert und eingerichtet werden. In der Regel gibt es vom Unternehmen hierfür Richtlinien und standardisiert genutzte Software.

Idealerweise wird die Verbindung erst dann aufgebaut, wenn sich der Mitarbeiter zuvor mittels einer MFA (Multi-Faktor-Authentifizierung) erfolgreich legitimiert hat. Hierzu ist neben der Eingabe von Login-Daten auch die Freigabe durch einen Hardware-Token (elektronisches Gerät zur Erzeugung eines Einmalpassworts) oder eine Smartphone-App erforderlich. Ist die Verbindung zum Unternehmensnetzwerk einmal aufgebaut, genießt der Mitarbeiter dank Firewall und Echtzeitüberwachung den gleichen Schutz, wie an seinem Arbeitsplatz im Büro. Das technische Konzept wird mittels einer Sicherheitsrichtline ergänzt, die das Unternehmen zur Verfügung stellen sollte. Diese sollte regeln, welche Informationen (auf Papier und auf IT-Systemen) aus dem Unternehmen transportiert und im Homeoffice bearbeitet werden dürfen, wer hierzu befugt ist und welche Sicherheitsvorkehrungen zu treffen sind.

7 praktische Tipps zur Verbesserung der IT-Sicherheit im Homeoffice

Insbesondere aus Kostengründen wird es vielen Betrieben jedoch nicht möglich sein, das beschriebene Konzept umsetzen zu können. Kommen im Homeoffice private Rechner zum Einsatz, besteht ein grundlegendes Sicherheitsrisiko, da der durchschnittliche PC-Anwender nicht über die erforderlichen Kenntnisse verfügt, um ausreichende IT-Sicherheitsmaßnahmen umsetzen zu können.

Mitarbeiter, die ihre privaten Rechner zu Arbeitszwecken nutzen, sind jedoch für die Sicherheit ihrer Geräte verantwortlich und mithin einem Haftungsrisiko ausgesetzt. Grundsätzlich sollte daher jeder Arbeitgeber, der seine Mitarbeiter auf privaten Endgeräten arbeiten lässt, erforderliche Sicherheitsmaßnahmen finanziell und organisatorisch unterstützen.

Nachfolgend werden 7 einfache und leicht umzusetzende Tipps aufgezeigt, wie die IT-Sicherheit am heimischen PC verbessert werden kann:

1. Hard- und Software auf dem neusten Stand halten

Zu einer soliden Arbeitsumgebung gehört, dass ausschließlich Software verwendet wird, die auf dem aktuellsten Stand ist. Nichts macht es Angreifern leichter, als unbekannte Schwachstellen im Programmcode (sog. Zero-Day-Exploits) zu nutzen, um Zugriff auf das Endgerät und damit auf Firmendaten zu bekommen. Notwendig ist es, stets die neuesten Software-Aktualisierungen zu installieren. Das Installieren von Updates und Patches betrifft jedoch nicht nur das Betriebssystem, sondern auch die verwendeten Software Programme, die Gerätetreiber der Hardware sowie den WLAN-Router.

2. Trennung von privaten und geschäftlichen Daten

Die private und geschäftliche Nutzung eines Geräts birgt ein großes Gefahrenpotenzial. Es ist daher empfehlenswert, die beiden Bereiche so gut es geht zu trennen. Die beste Möglichkeit stellt dabei die Nutzung von sogenannten Containern dar. Dabei handelt es sich um Anwendungen, die einen geschützten Bereich auf dem Endgerät abtrennen. Nur innerhalb dieses Containers ist ein Zugriff auf Unternehmensdaten möglich.

Steht keine Container-Software zur Verfügung, so kann eine Trennung der Daten zumindest über separate Benutzerkonten erfolgen. Wird der private Computer für die Arbeit im Homeoffice genutzt, dann sollte hierfür ein separates Konto erstellt werden. Hierdurch können private von geschäftlichen Daten getrennt werden. Das Arbeitskonto sollte selbstverständlich mit einem eigenen Passwort versehen werden.

Was den Zugriff auf das E-Mail-Postfach angeht, sollte dieser via Exchange-Client oder Webmail erfolgen, damit E-Mails nicht auf dem privaten Rechner gespeichert werden.

3. Nutzung aktueller Sicherheitssoftware

Sicherheitsprogramme, die nicht nur vor Computerviren schützen, sondern auch einen Phishing-Schutz und eine Firewall bieten, gibt es bereits für kleines Geld. Virenschutz ist nicht nur empfehlenswert, sondern fast schon obligatorisch. Der Befall des PCs im Homeoffice durch Malware kann sich schnell im gesamten Firmennetzwerk ausbreiten und erhebliche Schäden verursachen.

4. Verschlüsselung der Festplatte sowie portabler Speichermedien

Ein weiterer Tipp besteht darin, die Festplatte des Geräts und externe Speichermedien – wie USB-Sticks, Speicherkarten oder mobile Festplatten – zu verschlüsseln. Hierdurch kann auch im Homeoffice gewährleistet werden, dass Daten geschützt bleiben. Dieser Schutz hilft insbesondere dann, wenn das Notebook oder das Speichermedium verloren geht. Die Verschlüsselung des Datenspeichers ist meist mit den vorhandenen Mittelns des Betriebssystems möglich und verursacht keine zusätzlichen Kosten.

Weiterlesen →

Posted by Dr. Mathias Grzesiek in Cybersecurity, Datenschutz, IT-Compliance, Praxistipps
„Ich verschreibe Ihnen eine App“ – Gesetz für eine bessere Versorgung durch Digitalisierung und Innovation (Digitale-Versorgung-Gesetz-DVG)

„Ich verschreibe Ihnen eine App“ – Gesetz für eine bessere Versorgung durch Digitalisierung und Innovation (Digitale-Versorgung-Gesetz-DVG)

Apps auf Rezept, Videosprechstunden mit dem Arzt und hinzukommt, dass die Kosten von der gesetzlichen Krankenversicherung getragen werden. Ein großer Schritt in Richtung Digitalisierung wird durch das DVG in Deutschland bald Realität.

Bundesgesundheitsminister Jens Spahn (CDU) betitelte diesen Digitalisierungsprozess als eine „Weltprämiere“.

Die Medizin auf dem Weg in eine digitale Zukunft

Dank dem neuen Digitalen-Versorgungs-Gesetz (DVG) können seit dem 01.01.2020 Gesundheits-Apps zur Unterstützung für beispielsweise Erinnerung der regelmäßigen Einnahme von Arzneimittel oder bei der Dokumentation von Blutzuckerwerten, vom Arzt verschrieben werden. Die Apps und auch ihre Anbieter werden vom Bundesinstitut für Arzneimittel und Medizinprodukten (BfArM) auf Sicherheit, Qualität, Funktionstauglichkeit, Datensicherheit sowie Datenschutz geprüft und die Kosten für die Apps werden von den gesetzlichen Krankenkassen für ein Jahr übernommen. In dieser Zeit müssen die Hersteller bzw. Anbieter der Gesundheits-Apps beim BfArM einen Nachweis über die durch die App verbesserte Versorgung der Patienten erbringen. Durch die Einführung von E-Rezepten, elektronischen Patientenakten (ePA), elektronischen Arztbriefen soll der Digitalisierungsprozess im deutschen Gesundheitswesen vorangetrieben werden.

Datenschützer sind besorgt

Große Bedenken gibt es vor allem im Bereich des Datenschutzes. Damit die Forschung künftig Gesundheitsdaten besser nutzen kann, soll künftig eine zentrale Gesundheitsdatenbank geschaffen werden. Diese soll pseudonymisiert Abrechnungsdaten von 73 Millionen gesetzlich Versicherten beinhalten. Wer wann, wo und wegen welcher Krankheit bzw. Beschwerde beim Arzt war und welche Medikamente verschrieben oder Behandlungen durchgeführt worden sind, soll in dieser Datenbank gespeichert werden, jedoch sieht das DVG eine Widerspruchsmöglichkeit oder Löschfristen bezüglich der personenbezogenen Daten nicht vor. Kritiker sehen darin einen erheblichen Eingriff in die Persönlichkeitsrechte der Patienten und Patientinnen. Die Datenbank Verstöße gegen das Grundrecht auf informationelle Selbstbestimmung und sensible Patientendaten gerieten in die Hand des Staates sowie aller Nutzungsberechtigten. Zudem sind von dem Gesetz nur gesetzlich Versicherte betroffen, das bedeutet, dass privatversicherte Patienten einen höheren Datenschutz genießen.

Fazit

Das DVG stellt einen weiteren und wichtigen Schritt in Richtung zur Digitalisierung des Gesundheitswesens dar. Da es sich bei Gesundheitsdaten um äußerst sensible “personenbezogene Daten” (i.S.v. Art. 14 Nr. 15 DSGVO) handelt, müssen die Anforderungen an den Schutz dieser Daten entsprechend hoch angesetzt werden. Neben der Schaffung der notwendigen rechtlichen Rahmenbedinungen, müssen auch angemessene technische Schutzmaßnahmen ergriffen und umgesetzt werden. Ob die Beteiligten hierzu imstande sind, bleibt abzuwarten.

Posted by Merve Celik in Datenschutz
Update: Anpassung des NetzDG bereits im April

Update: Anpassung des NetzDG bereits im April

Nach der Berichterstattung der Süddeutschen Zeitung (SZ) hat das BMJV den geplanten Gesetzesentwurf zur Änderung des Netzwerkdurchsetzungsgesetzes (NetzDG), welches bereits seit dem 1.10.2017 in Kraft ist, fertiggestellt. Das NetzDG verpflichtet Internet-Plattformen zu einem härteren Vorgehen gegen Hass, Hetze und Terror-Propaganda.

Gesetzesänderung soll bereits am 1. April 2020 umgesetzt werden

Die geplante Gesetzesänderung, die voraussichtlich am 1. April 2020 vom Kabinett beschlossen wird, soll es Nutzern sozialer Netzwerke in Zukunft erleichtern, Beschwerden einreichen zu können. Insbesondere soll die Möglichkeit einen rechtswidrigen Beitrag melden zu können, vereinfacht werden, indem komplizierte Klickwege vermieden werden. Die Möglichkeit zur Meldung von Beiträgen ist auf manchen Plattformen teilweise versteckt oder schwierig zu nutzen. So ist die Beschwerdemöglichkeit oftmals nicht vom Beitrag aus zugänglich, sondern kann nur über ein Meldeformular erfolgen, welches zuvor separat angesteuert werden muss.

Einführung eines Gegenvorstellungsverfahrens

Der Gesetzesentwurf umfasst ferner eine Änderung, die es betroffenen Nutzern sozialer Netzwerke in Zukunft erleichtern soll, gegen Entscheidungen der Anbieter von sozialen Netzwerken vorzugehen. Wenn ein Beitrag eines Nutzers vom sozialen Netzwerk gelöscht wurde, soll dem Nutzer ein Anspruch auf Überprüfung dieser Entscheidung gegen den Netzwerkanbieter zustehen.

Beispielsweise kann die Beschwerdefunktion genutzt werden, wenn ein Beitrag (ggf. zu Unrecht) vom Betreiber gelöscht wurde. Das BMJV will hierzu ein sog. „Gegenvorstellungsverfahren“ einführen.

Auch soll der Entwurf die Möglichkeit eröffnen, Konflikte zwischen Nutzer und Plattformbetreiber über private Schlichtungsstellen beizulegen. Nach Auffassung des Justizministeriums sollen Streitigkeiten dadurch schneller und kostengünstiger beendet werden können.

Anmerkung: Die Stärkung der Rechte von Nutzern sozialer Netzwerke ist durchaus zu begrüßen. Da es sich bei Streitigkeiten über den Inhalt von Social-Media-Beiträgen nicht selten um Bagatellfälle handeln wird, können diese mit etwas Kompromissbereitschaft beider Seiten leicht behoben werden. Vor dem Hintergrund der anhaltenden Überlastung der Justiz, erscheint die Möglichkeit eines Schiedsverfahrens daher keine abwägige Idee zu sein. Es bleibt zu hoffen, dass das geplante Gesetzes-Update mit Nachdruck weiterverfolgt wird und nicht am 1.4.2020 als “Aprilscherz” untergeht.

 

Posted by Dr. Mathias Grzesiek in Cybercrime, Datenschutz