Hybrides Arbeiten erfordert ein ganzheitliches Sicherheitskonzept — von der Geräteverschlüsselung über den sicheren Netzwerkzugang bis hin zu klaren Richtlinien für den Umgang mit Unternehmensdaten außerhalb des Büros.
Grundlagen der Remote-Work-Sicherheit
Mit der Massenadoption von Home-Office seit 2020 hat sich das klassische Sicherheitsperimeter grundlegend verändert. Früher befanden sich alle Mitarbeiter, Geräte und Daten innerhalb eines geschützten Firmennetzwerks — geschützt durch Firewalls, Netzwerksegmentierung und physische Zugangskontrollen. Heute greifen Mitarbeiter von Wohnzimmern, Co-Working-Spaces und Cafés auf Unternehmensressourcen zu. Das bedeutet: Der Netzwerkperimeter existiert nicht mehr in seiner traditionellen Form. Stattdessen müssen Unternehmen jeden einzelnen Zugriff absichern — unabhängig davon, von wo er erfolgt. Dieses Paradigma wird als Zero Trust bezeichnet und bildet die Grundlage moderner Remote-Work-Sicherheitsarchitekturen.
Die Bedrohungslage im Home-Office unterscheidet sich deutlich von der im Büro. Heimnetzwerke sind in der Regel schlecht konfiguriert: Standard-Passwörter auf Routern, veraltete Firmware, fehlende Netzwerksegmentierung und geteilte Netzwerke mit Smart-Home-Geräten, Spielkonsolen und Geräten von Familienmitgliedern. Dazu kommen Risiken wie Shoulder Surfing in öffentlichen Räumen, Gerätediebstahl auf Reisen, der Zugriff durch Familienmitglieder auf Arbeitsgeräte und die Nutzung nicht genehmigter Cloud-Dienste (Shadow-IT). Ein klassischer VPN-Tunnel schützt zwar die Verbindung zwischen Endgerät und Firmennetzwerk, adressiert aber keines dieser lokalen Risiken. Zudem wird bei VPN-Verbindungen häufig das gesamte Netzwerk geöffnet, statt den Zugriff auf einzelne Anwendungen zu beschränken — ein Sicherheitsrisiko, das Zero Trust Network Access (ZTNA) gezielt löst.
Aus regulatorischer Sicht gelten im Home-Office dieselben Anforderungen wie im Büro — mit zusätzlichen Pflichten. Die DSGVO verlangt technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten, unabhängig vom Verarbeitungsort. Das bedeutet: Auch am heimischen Schreibtisch müssen Bildschirmsperren, verschlüsselte Datenträger und sichere Entsorgung von Dokumenten gewährleistet sein. Der BSI-Baustein INF.9 „Mobiler Arbeitsplatz“ definiert konkrete Anforderungen an mobile und häusliche Arbeitsplätze, während OPS.1.2.5 „Fernwartung“ die sichere Administration von Endgeräten außerhalb des Firmennetzwerks regelt. Für Unternehmen bedeutet dies: Ohne eine dokumentierte Home-Office-Richtlinie und entsprechende technische Umsetzung drohen nicht nur Cyberangriffe, sondern auch Bußgelder und Haftungsrisiken.
- Aufgelöster Netzwerkperimeter: Das traditionelle Sicherheitsmodell basierte auf einem klaren Innen und Außen. Remote Work löst diese Grenze auf — Mitarbeiter greifen von beliebigen Standorten und Netzwerken auf Unternehmensressourcen zu. Sicherheit muss daher am Endgerät und an der Identität des Nutzers ansetzen, nicht am Netzwerkstandort.
- Typische Bedrohungen im Home-Office: Ungesicherte WLAN-Netzwerke mit Standard-Passwörtern, fehlende Router-Updates, geteilte Netzwerke mit IoT-Geräten, physischer Zugriff durch Dritte (Familie, Besucher), Shoulder Surfing in öffentlichen Räumen und der Verlust oder Diebstahl von Endgeräten — jede dieser Bedrohungen erfordert spezifische Gegenmaßnahmen.
- VPN vs. Zero Trust Network Access: Ein klassisches VPN gewährt nach erfolgreicher Authentifizierung Zugang zum gesamten Firmennetzwerk („Burggraben-Modell“). ZTNA hingegen gewährt nur Zugriff auf die jeweils benötigte Anwendung, prüft bei jedem Zugriff Identität, Gerätestatus und Kontext und minimiert so die Auswirkungen eines kompromittierten Endgeräts erheblich.
- DSGVO-Anforderungen im Home-Office: Arbeitgeber müssen sicherstellen, dass personenbezogene Daten auch außerhalb des Büros gemäß Art. 32 DSGVO geschützt werden. Dazu gehören Festplattenverschlüsselung, Bildschirmsperre, Sichtschutzfolien, sichere Dokumentenvernichtung und eine vertragliche Vereinbarung mit dem Mitarbeiter über die Einhaltung dieser Maßnahmen.
- BSI-Anforderungen (INF.9 & OPS.1.2.5): Der Baustein INF.9 fordert unter anderem eine geeignete Arbeitsumgebung, Zutrittsbeschränkungen, sichere Aufbewahrung von Datenträgern und eine klare Trennung von beruflichen und privaten Daten. OPS.1.2.5 regelt die sichere Fernwartung und Administration — einschließlich verschlüsselter Verbindungen, starker Authentifizierung und Protokollierung aller Fernzugriffe.
Technologien & Absicherung für Remote-Arbeitsplätze
Die technische Absicherung von Remote-Arbeitsplätzen beginnt mit der Netzwerkverbindung. Ein Always-On-VPN stellt sicher, dass das Endgerät automatisch eine verschlüsselte Verbindung zum Firmennetzwerk aufbaut, sobald es eingeschaltet wird — ohne Zutun des Mitarbeiters. Im Gegensatz dazu leitet Split Tunneling nur den geschäftsrelevanten Datenverkehr durch den Tunnel, während privater Traffic direkt ins Internet geht. Split Tunneling reduziert die VPN-Last, erhöht aber das Risiko, da das Endgerät gleichzeitig mit dem Firmennetzwerk und dem ungeschützten Internet verbunden ist. Moderne Unternehmen setzen daher zunehmend auf ZTNA-Lösungen (z. B. Microsoft Entra Private Access, Zscaler Private Access oder Cloudflare Access), die keinen vollständigen Netzwerkzugang gewähren, sondern nur den Zugriff auf einzelne Anwendungen — verifiziert durch Identität, Geräte-Compliance und Standort.
Conditional Access ist das Herzstück einer modernen Remote-Work-Sicherheitsarchitektur. Über Microsoft Entra ID (ehemals Azure AD) in Kombination mit Microsoft Intune lassen sich granulare Zugriffsrichtlinien definieren: Ein Mitarbeiter erhält nur dann Zugang zu Unternehmensanwendungen, wenn sein Gerät die definierten Compliance-Anforderungen erfüllt — beispielsweise aktuelle Betriebssystem-Patches, aktivierte BitLocker-Verschlüsselung, aktiver Virenschutz und ein nicht gerootetes Betriebssystem. Zusätzlich kann der Zugriff auf bestimmte Standorte, Gerätetypen oder Risikolevels eingeschränkt werden. So wird beispielsweise der Zugriff auf sensible Finanzdaten von einem unbekannten Gerät in einem fremden Land automatisch blockiert, während derselbe Mitarbeiter von seinem verwalteten Firmenlaptop im Home-Office uneingeschränkt arbeiten kann.
Neben Netzwerk und Identität spielt die Endgerätesicherheit eine entscheidende Rolle. BitLocker (Windows) oder FileVault (macOS) verschlüsseln die gesamte Festplatte und schützen Unternehmensdaten bei Diebstahl oder Verlust des Geräts. Endpoint Detection and Response (EDR) überwacht das Endgerät kontinuierlich auf verdächtige Aktivitäten — auch außerhalb des Firmennetzwerks. Für die sichere Zusammenarbeit setzen Unternehmen auf Microsoft Teams mit Ende-zu-Ende-Verschlüsselung, verschlüsselten Dateiaustausch über SharePoint und OneDrive mit Data-Loss-Prevention-Richtlinien (DLP) sowie sichere Drucklösungen, die verhindern, dass vertrauliche Dokumente auf unsicheren Heimdruckern ausgegeben werden. Die Kombination all dieser Technologien ergibt ein mehrschichtiges Sicherheitsmodell, das Remote-Arbeit genauso sicher macht wie die Arbeit im Büro.
- Always-On-VPN vs. Split Tunneling: Always-On-VPN leitet sämtlichen Datenverkehr durch den verschlüsselten Tunnel und bietet maximale Kontrolle, verursacht aber höhere Bandbreitenkosten und Latenz. Split Tunneling reduziert die Last, indem nur geschäftsrelevanter Traffic getunnelt wird — erfordert aber zusätzliche Endpoint-Sicherheit, da das Gerät gleichzeitig direkt mit dem Internet verbunden ist.
- Conditional Access mit Entra ID & Intune: Zugriffsrichtlinien prüfen bei jeder Anmeldung Geräte-Compliance (Patchstand, Verschlüsselung, Virenschutz), Benutzerrisiko (anomale Anmeldungen, kompromittierte Credentials), Standort (vertrauenswürdige IP-Bereiche vs. unbekannte Netzwerke) und Anwendungssensitivität — und gewähren oder blockieren den Zugriff entsprechend in Echtzeit.
- Geräteverschlüsselung mit BitLocker: BitLocker verschlüsselt die gesamte Systempartition mit AES-256 und speichert den Wiederherstellungsschlüssel zentral in Entra ID oder Intune. Bei Verlust oder Diebstahl des Geräts sind die Daten ohne den Schlüssel nicht lesbar — ein unverzichtbarer Schutz für mobile Endgeräte mit Zugriff auf Unternehmensdaten.
- Endpoint Detection and Response (EDR): Lösungen wie Microsoft Defender for Endpoint überwachen das Verhalten auf dem Endgerät kontinuierlich — auch wenn es nicht mit dem Firmennetzwerk verbunden ist. Verdächtige Prozesse, unautorisierte Software-Installationen und laterale Bewegungen werden erkannt und können automatisch isoliert werden, bevor Schaden entsteht.
- Sichere Zusammenarbeit (Teams, SharePoint, DLP): Microsoft Teams bietet verschlüsselte Kommunikation, SharePoint und OneDrive ermöglichen kontrollierten Dateizugriff mit Sensitivity Labels und Data-Loss-Prevention-Richtlinien. DLP-Regeln verhindern beispielsweise, dass Dokumente mit Kreditkartennummern oder Gesundheitsdaten per E-Mail an externe Empfänger gesendet werden.
- Drucksicherheit im Home-Office: Vertrauliche Dokumente dürfen nicht unkontrolliert auf privaten Druckern ausgegeben werden. Lösungen wie Pull-Printing (Dokument wird erst nach Authentifizierung am Drucker gedruckt), Druckverbote für klassifizierte Dokumente und Wasserzeichen mit Benutzername und Zeitstempel reduzieren das Risiko unkontrollierter Papierkopien außerhalb des Büros.
Richtlinien & die IT-ZU-Lösung für Remote Work
Technik allein reicht nicht — eine Home-Office-Richtlinie bildet das organisatorische Fundament für sicheres Remote Work. Diese Richtlinie sollte verbindliche Regeln für die Nutzung von Firmen- und Privatgeräten, die Aufbewahrung von Dokumenten, den Umgang mit vertraulichen Telefonaten und Videokonferenzen, die sichere Entsorgung von Papierunterlagen und die Meldepflicht bei Sicherheitsvorfällen festlegen. Besonders wichtig ist die BYOD-Strategie (Bring Your Own Device): Erlaubt das Unternehmen die Nutzung privater Geräte, müssen diese durch Mobile-Device-Management (MDM) oder Mobile-Application-Management (MAM) in die Sicherheitsarchitektur eingebunden werden — mit klarer Trennung von geschäftlichen und privaten Daten. Die sicherere Alternative ist die Bereitstellung vollständig verwalteter Firmengeräte, bei denen IT-ZU über Intune die vollständige Kontrolle über Konfiguration, Updates und Sicherheitsrichtlinien behält.
Das IT-ZU Remote Worker Security Package bietet eine schlüsselfertige Lösung für mittelständische Unternehmen. Im Zentrum steht die EMRE-RMM-Plattform, die sämtliche Endgeräte — ob im Büro, im Home-Office oder unterwegs — zentral überwacht, patcht und absichert. EMRE-RMM erkennt in Echtzeit, wenn ein Gerät nicht mehr compliant ist (fehlende Updates, deaktivierter Virenschutz, abgelaufene Zertifikate) und leitet automatisierte Remediation-Maßnahmen ein. In Kombination mit Microsoft Intune werden Conditional-Access-Richtlinien durchgesetzt, BitLocker automatisch aktiviert, VPN-Profile ausgerollt und MFA (Multi-Faktor-Authentifizierung) für alle Unternehmensanwendungen erzwungen. Das Ergebnis: Ihre IT-Abteilung hat jederzeit volle Transparenz über den Sicherheitsstatus aller Remote-Endgeräte — ohne dass die Mitarbeiter etwas davon merken oder in ihrer Produktivität eingeschränkt werden.
Der Onboarding-Prozess für neue Remote-Mitarbeiter ist ein häufig unterschätzter Sicherheitsfaktor. IT-ZU begleitet diesen Prozess von der Gerätebereitstellung über die Autopilot-Einrichtung (Windows Autopilot liefert ein vollständig konfiguriertes Gerät direkt an den Mitarbeiter, ohne dass die IT physisch Hand anlegen muss) bis zur Security-Awareness-Schulung, die Remote-spezifische Themen wie sicheres WLAN, Phishing-Erkennung und physische Sicherheit abdeckt. Darüber hinaus führt IT-ZU regelmäßige Sicherheitsüberprüfungen durch: quartalsweise Compliance-Reports, jährliche Penetrationstests der Remote-Infrastruktur und monatliche Dashboards mit dem Sicherheitsstatus aller Endgeräte. So bleiben Ihre Remote-Arbeitsplätze nicht nur am Tag der Einrichtung sicher, sondern dauerhaft.
- Home-Office-Richtlinie: Ein verbindliches Dokument, das Regeln für die Nutzung von Endgeräten, die Aufbewahrung von Dokumenten, den Umgang mit vertraulichen Informationen, die Meldepflicht bei Sicherheitsvorfällen und die Verantwortlichkeiten des Mitarbeiters im Home-Office definiert. IT-ZU stellt eine praxiserprobte Vorlage bereit, die an die spezifischen Anforderungen Ihres Unternehmens angepasst wird.
- BYOD vs. Corporate Device: BYOD spart Anschaffungskosten, erhöht aber die Komplexität der Absicherung erheblich. IT-ZU empfiehlt für Unternehmen mit sensiblen Daten die Bereitstellung verwalteter Firmengeräte — die Mehrkosten werden durch geringeren Verwaltungsaufwand, höhere Sicherheit und einfacheres Compliance-Reporting schnell kompensiert.
- EMRE-RMM für Remote-Endgeräte: Die in jedem IT-ZU-Paket enthaltene EMRE-RMM-Plattform überwacht Patchstand, Antivirus-Status, Festplattenverschlüsselung, Softwareinventar und Gerätegesundheit aller Endgeräte in Echtzeit. Automatisierte Workflows beheben gängige Compliance-Verstöße ohne manuellen Eingriff — beispielsweise das automatische Nachinstallieren fehlender Sicherheitsupdates.
- MFA-Durchsetzung: Multi-Faktor-Authentifizierung wird für alle Unternehmensanwendungen verpflichtend aktiviert. IT-ZU konfiguriert Microsoft Authenticator, FIDO2-Sicherheitsschlüssel oder Windows Hello for Business als zweiten Faktor — phishing-resistente Methoden, die deutlich sicherer sind als SMS-basierte Codes.
- Regelmäßige Sicherheitsüberprüfungen: Quartalsweise Compliance-Reports zeigen den aktuellen Sicherheitsstatus aller Remote-Geräte. Jährliche Penetrationstests prüfen die Remote-Infrastruktur auf Schwachstellen. Monatliche Dashboards geben der IT-Leitung volle Transparenz über den Zustand der verteilten IT-Landschaft — von der VPN-Verfügbarkeit bis zur durchschnittlichen Patch-Latenz.
Sie benötigen Unterstützung?
Sicheres Remote Work erfordert mehr als ein VPN — von der Gerätebereitstellung über Conditional Access bis zur laufenden Überwachung mit EMRE-RMM. Unsere Experten richten Ihre Remote-Infrastruktur schlüsselfertig ein: Intune-Richtlinien, VPN-Deployment, MFA-Rollout und Security-Awareness-Schulung — damit Ihre Mitarbeiter von überall sicher und produktiv arbeiten können.
Arbeitsplatz-Einrichtung ansehen →
