Die meisten Menschen an einem Remote-Arbeitsplatz werden sicherlich das eigene WLAN nutzen. Es sollte selbstverständlich sein, dass hier ein sicheres Passwort (je länger desto besser) verwendet wird und dass das WLAN nicht mit Dritten geteilt wird. Neue Router haben sogar die Möglichkeit eigene sogenannte VLANs (virtuelle LANs) einzurichten, um Datenströme voneinander zu trennen. Sofern der Router dieses anbietet, sollte das für den Zugang genutzt werden.
1. Der digitale Arbeitsplatz
Am schönsten (und vielleicht auch am sichersten) wäre es natürlich, wenn Dateien die Unternehmenslandschaft erst gar nicht verließen. Dies ist jedoch nur mit virtuellen Desktoplösungen möglich, wie z. B. Citrix, Parallels, TSplus oder Propalms TSE.
Wer eine dieser Lösungen bereits in seinem Unternehmen einsetzt, hat es nun leicht. Wer eine dieser Lösungen kurzfristig einsetzen möchte, steht zumindest vor der Herausforderung die Nutzer optimal zu unterstützen. Zudem kann es zu Engpässen kommen, wenn sich alle Mitarbeiter gleichzeitig auf dem oder den Servern anmelden. Es ruckelt und die Datenübertragung dauert und die Lust auf Arbeit verlässt einen schnell und somit geht die Produktivität in den Keller. Am Ende hilft dann nur sich Arbeitszeiten zu suchen, in denen die Zugänge nicht so frequentiert sind.
Aus Datenschutz-Sicht gibt es hier einen „Daumen hoch“, auch wenn gerade Citrix in letzter Zeit durch erfolgreiche Angriffe auf deren Systeme negative Schlagzeilen machte. Um die Alternativen ist es (zurzeit) noch ruhig in Bezug auf Attacken.
Ich werde oft gefragt, ob auch TeamViewer eine passende Lösung ist, wenn ich von meinem PC zu Hause auf den PC in der Firma zugreifen möchte. Ja, das ist natürlich auch eine gute Möglichkeit, aber hier empfehle ich ganz klar die Lösung „AnyDesk“ aus Deutschland.
2. Die digitale Verbindung
Aber auch ohne einen sogenannten RDP-Zugang gibt es Möglichkeiten des sicheren Austausches von Daten. Eine Lösung wäre ein VPN-Tunnel (Virtuelles Privates Netzwerk), das viele Firewall-Lösungen schon integriert haben. Leider zeigt die Erfahrung auch hier, dass die eingesetzte Hard- oder Software mit wenigen Benutzern gut funktioniert, aber von vielen Benutzern in die Knie gezwungen wird. Hier kommen Unternehmen nicht umhin in eine leistungsstarke Technik zu investieren.
Grundsätzlich bekommt der Einsatz von VPN aber auch einen Datenschutz-„Daumen hoch“. Bitte bedenkt aber beim Einsatz von VPN, dass die Zugänge und Zugangsprotokolle auch regelmäßig kontrolliert werden, damit gewährleistet ist, dass mögliche Angriffe schnell erkannt werden. Die Zugänge zu einem VPN können meistens mittels einer (Konfigurations- und/oder Schlüssel-)Datei eingerichtet werden. Auch solche Dateien müssen gesichert übertragen werden.
3. Der digitale Austausch (von Dateien)
Was ist nun aber, wenn ich weder einen Remote-Desktop-System oder ein VPN habe? Wie kann ich trotzdem „sicher“ arbeiten und vor allem Dateien mit Kollegen austauschen? Hier kommen wir wohl an einer Cloudlösung nicht vorbei. Da fällt einem natürlich sofort Dropbox ein. Aber Vorsicht! Nicht alle Cloud-Speicherlösungen sind zwar per se „böse“, aber es muss genau hingesehen werden, wem wir die Daten geben und ob es nicht datenschutzkonforme „add-ons“ gibt. Im Falle von Dropbox rate ich zur Nutzung des Zusatzprogramms „Boxcryptor“, das die Daten verschlüsselt, so dass auch eine Übertragung in die USA mit einem geringeren Risiko verbunden ist.
Eine viel bessere Lösung ist in meinen Augen „TeamDrive“, ein Produkt aus Hamburg, bei dem eine Ende-zu-Ende-Verschlüsselung nicht nur von Haus aus implementiert ist, sondern sogar der Speicherort selbst gewählt werden kann. Notfalls kann hierfür sogar ein eigener TeamDrive-Server auf eigener Hardware installiert werden. Ein weiterer Vorteil von TeamDrive: Es ist eine Kollaboration möglich, d. h. Dateiänderungen werden protokolliert und die Versionen behalten.
Andere Alternativen für Cloud-Speicher wären „NextCloud“ (die Weiterentwicklung von „ownCloud“) oder „Seafile“ (der Open-Source-Variante von Dropbox).
Aber auch eine Plattform wie SharePoint und OneDrive for Business von Microsoft sind natürlich probate Mittel, gerade weil die Server in Europa stehen und neue Kunden ihre Dateispeicherung mittlerweile auch aus Deutschland heraus beziehen +können. Gerade in Verbindung mit Microsoft Teams lassen sich natürlich viele weitere Synergien heben.
4. Der lokale Speicher
Egal mit welcher der oben genannten Lösungen wir arbeiten, kommen wir nicht drumherum Dateien lokal zu speichern. Unsere Richtlinien untersagen uns dies in der Regel, aber wenn es sich partout nicht vermeiden lässt, darf die Geschäftsleitung hier eine Ausnahme formulieren. Wenn wir Daten lokal speichern, ist der Schutz des Rechners (PC oder Laptop) umso wichtiger. Die meisten werden in der aktuellen Situation oftmals ihr privates Equipment nutzen. Aber auch auf diesen Geräten sind Anti-Viren- und Anti-Malwareprogramme obligatorisch. Unter Windows halte ich den bordeigenen „Defender“ für mehr als ausreichend. Genauso obligatorisch ist, dass eine Festplattenverschlüsselung eingesetzt wird, sofern Dokumente lokal gespeichert werden. Sollte dies nicht möglich sein, gibt es einfache Lösungen zum Einrichten von verschlüsselten Bereichen, wie z. B. VeraCrypt. Hierbei wird ein verschlüsselter Container erzeugt, der dann als ganz normales Laufwerk genutzt werden kann. Und zu guter Letzt sollte auch der eigene PC mittels eines komplexen Passworts zugangsgeschützt sein und regelmäßig mit den neusten Sicherheitsupdates versorgt werden. Idealerweise wird der Benutzername über eine Multifaktor-Authentifizierung geschützt.
5. Die digitale Kommunikation
Kommunikation mit anderen ist wichtig und fehlt den meisten Menschen, die plötzlich allein zu Hause sitzen, wohl am meisten. Besprechungen können natürlich am Telefon durchgeführt werden, oder man nutzt entsprechende Plattformen wie GoTo-Meeting, Mikogo, ClickMeeting, Spreed, edudip next, Cisco WebEx, TeamViewer, GoMeetNow, eyeson, Microsoft Teams oder Zoom.
Viele bevorzugen Zoom, auch wenn das Unternehmen in den letzten Tagen ebenfalls durch negative Schlagzeilen auf sich aufmerksam machte. Im Kreuzfeuer stand das Unternehmen, weil die iOS-Version im Hintergrund Daten an Facebook schickte, ohne den Benutzer darüber zu informieren. Das Ganze hängt an der sog. AD-Id von Apple, die jeder iOS-User aber selbst steuern kann. Hier rate ich jedem iOS-User sich einmal schlau zu machen (https://support.apple.com/de-de/HT205223) und seine Einstellungen entsprechend anzupassen.
Ich persönlich bevorzuge Microsoft Teams, weil es eben nicht nur eine visuelle Kommunikation ermöglicht, sondern auch die Zusammenarbeit an Dokumenten auf eine ganz neue Ebene bringt. Des Weiteren werden Chats ermöglicht. Perspektivisch lassen sich auch Geschäftsprozesse mit Microsoft Teams realisieren.
Grundsätzlich ist bei jeglicher Art von geschäftlicher Kommunikation natürlich darauf zu achten, dass keine Unbefugten Eure Gespräche mithören können. Dazu zählen auch die mit Euch im Haushalt lebenden Personen.
Sofern ihr private Telefone verwendet, solltet ihr sicherstellen, dass automatisch gespeicherte Anrufkontakte regelmäßig gelöscht werden. Zumeist ist es sinnvoll, dass eure private Nummer bei euren Anrufen nicht übertragen wird, weil sonst Kund*innen die Privatnummer des Handys oder des Festnetzes auch in späteren Kontakten nutzen könnten. Dabei gilt zu beachten, dass einige Telefonkonferenzsysteme nur mit übertragener Rufnummer funktionieren.
Tipp: Nutzt die digitalen Kommunikationsmöglichkeiten auch für die soziale Interaktion, die wir alle aus dem Büro kennen. Eine gemeinsame Kaffeepause per Microsoft Teams mit angeschalteter Kamera bringt die Kaffeeküche virtuell nach Hause.
6. Die physische Remote-Arbeitsplatz-Umgebung
Nachdem wir die technischen Aspekte unseres neuen Arbeitsplatzes beleuchtet haben, möchte ich kurz noch auf die physischen Aspekte zu sprechen kommen.
Organisiert den Arbeitsplatz optimalerweise so, dass sich private und dienstliche Daten nicht mischen!
Achtet bei der Einrichtung Eures Arbeitsplatzes in den eigenen vier Wänden darauf, dass Ihr ungestört, angenehm und effektiv arbeiten könnt. Am besten ist ein Arbeitsplatz in einem eigenen Raum oder in einer eigenen Ecke. Wählt den Platz so, dass andere nicht den Bildschirm sehen können – auch nicht durch ein Fenster. Ggf. hilft hier eine Sichtschutzfolie für den Monitor.
Findet einen geeigneten Platz, um Papierdokumente zu lagern. Dokumente mit personenbezogenen Daten müssen verschlossen aufbewahrt werden, am besten in einem verschlossenen Raum oder Behälter. Wenn Papierdokumente vernichtet werden müssen, bewahrt sie am besten so lange verschlossen auf, bis ihr wieder in die Firma geht und vernichtet sie dort gemäß den Richtlinien.
Achtet auch darauf, dass Eure Geräte und Speichermedien (USB-Sticks, externe Festplatten) nicht zugänglich sind, wenn Ihr den Raum verlasst, sofern euer Haushalt mehr als eine Person umfasst.
7. Organisatorische Regelungen
Die grundlegende Frage, die sich jeder stellen sollte, ist ob überhaupt dringend an Aufgaben mit personenbezogenen Daten gearbeitet werden muss. Vielleicht ist es möglich zunächst nur an Aufgaben ohne Personenbezug und ohne andere sensible Daten zu arbeiten. Das hat den Vorteil, dass man sich erstmal an das „neue Arbeiten“ gewöhnen kann und guckt, ob die Regeln im Remote-Office klappen.
Die Regeln sollten natürlich in einer mobiles Arbeiten-Richtlinie festgehalten werden. Falls Ihr noch keine habt, sprecht mich bitte an, dann bekommt Ihr die Vorlage von mir.
Ich werde auch oft gefragt, ob man die mobiles Arbeiten-Richtlinie auch anschließend wieder abschaffen kann. Hier habe ich einen besseren Vorschlag: Wir haben hier ja eine Ausnahmesituation und könnten das auch als einen „Notfall“ betrachten. Und somit greift hier auch unser Notfallkonzept und unser Notfallplan, den wir (hoffentlich) erstellt haben. Also erweitern wir den Notfallplan an der Stelle und verweisen auf die „Richtlinie zum (temporären) Arbeiten am mobilen Arbeitsplatz (in der Krise)“. Solltet Ihr noch keinen Notfallplan haben, sprecht mich bitte an, damit wir diesen nun schnellstens aufstellen.
Sofern ihr Auftragsverarbeiter seid, guckt einmal in den AV-Verträgen, ob dort die Arbeit an einem mobilen Arbeitsplatz nicht ausgeschlossen wird! Das wäre fatal.
Für den Fall eines Datenverlusts (z. B. Verlust von Papierunterlagen oder Datenträgern) oder eines Datenschutzverstoßes (z. B. Zugang von Unbefugten an den Computer) besteht eine Meldepflicht. Hier gelten die gleichen Regelungen wie im Büro und es muss auch für das Remote-Arbeiten klar sein, wem was wie und wann mitgeteilt werden muss.
Wenn Ihr den Arbeitsplatz kurzfristig verlasst, aktiviert auch zu Hause den Bildschirmschoner mit Kennwortschutz, damit niemand unberechtigt auf die dienstlichen Daten zugreifen kann.
Zum Schluss möchte ich noch kurz auf einen Aspekt eingehen, der Euch und Eure Kollegen sensibilisieren sollen:
Derzeit steigen die Angriffe auf PC und Netzwerke massiv. Dies bedeutet, dass hier noch umsichtiger mit dem Surfen auf Webseiten und mit dem Öffnen und Bearbeiten von Mails umgegangen werden muss. Seid und bleibt kritisch!
