Markus Riegler, Head of Managed Defense bei IKARUS Security Software

Ein besonderer Effekt der Corona-Pandemie war und ist der notwendige Fortschritt der Digitalisierung – unabhängig vom aktuellen Status und Reifegrad vorhandener IT-Systeme. Viele Expert*innen sind sich einig: Home-Office ist gekommen, um zu bleiben. Nicht nur Mitarbeiter*innen, auch Unternehmen und Führungskräfte haben sich von den vielfältigen Vorteilen des mobilen Arbeitens überzeugt. Andererseits wird deutlich, wo Grenzen liegen: Ausschließlich virtuelle Telearbeit ohne jeglichen Kontakt zu Kolleg*innen und Kund*innen können sich nur die wenigsten vorstellen. Der Trend geht hin zu einer flexiblen Einteilung von Präsenz- und Remote-Arbeit auch nach Corona. [1]

Wie können sich Unternehmen dieser neuen IT-Herausforderung stellen? Corona hat aufgezeigt, wie schnell sich externe Bedrohungen an neue Bedingungen anpassen. Gezielte Angriffe auf Mitarbeiter*innen im Homeoffice, „Zoombombing“ oder das Ausnutzen von Schwachstellen bei Cloud-Diensten zeigen, dass Cybersecurity von Anfang an Teil der Planung sein muss, um solche Services sicher ausführen und betreiben zu können. [2]

Einblicke und Praxis-Tipps für gelebte IT-Sicherheit im Homeoffice

Markus Riegler, Managed Defense-Experte bei IKARUS, gibt Praxis-Tipps für eine sichere und dauerhafte Umsetzung von Mobile Working.

F: Wie geht das Cybersecurity Unternehmen IKARUS mit dem Thema Homeoffice in Covid-Zeiten um und welche typischen Gefahren lauern dort?

A: Homeoffice bzw. mobiles Arbeiten war und ist in der IT-Branche schon recht verbreitet. Viele Tätigkeiten haben wir schon immer über Fernzugang in den Kundensystemen erledigt.

Neu ist für alle Branchen eine Umpriorisierung von der Netzwerksicherheit auf die Endpunkte: Im Homeoffice bringt jeder Anwendende selbst Infrastruktur wie WLAN-Router, Internetzugang und möglicherweise private Endgeräte mit. Diese neuen, nicht sichtbaren Angriffspunkte gilt es zu bedenken. Es lohnt sich, weniger IT-affine Mitarbeiter*innen im sicheren Umgang und Konfigurieren der Geräte zu schulen. Hier erwarten wir weiterhin verstärkte Angriffsaktivitäten.

F: Welche Lösungen bietet IKARUS an, um mobiles Arbeiten sicherer zu machen?

A: Viele verteilte Mitarbeiter*innen erfordern einen starken Fokus auf das einzige für das Unternehmen noch kontrollierbare Objekt: das Endgerät.

IKARUS anti.virus ist mit seiner selbst entwickelten Scan Engine, starker pro- und reaktiver Malware-Erkennung sowie permanenter Systemüberwachung bestens für den lokalen Schutz von Workstations und Laptops geeignet. Selbst auf Windows Servern kann es als File Antivirus eingesetzt werden. Für dezentrale Strukturen empfehlen wir die Verwendung als Cloud-Service: Alle verwalteten Endpunkte können damit über ein webbasiertes Management-Portal überwacht, aktualisiert und bereinigt werden.

Mit IKARUS-Partner FireEye bieten wir zusätzlich eine umfassende EDR-Lösung (Endpoint Detection and Response) an, die den klassischen signaturbasierten Virenschutz mit den Möglichkeiten, den Endpunkt im Fall eines Sicherheitsvorfalles zu investigieren, verbindet. Darüber können IT-Abteilungen feststellen, ob sich die Malware bereits vom Endgerät ausgebreitet hat bzw. welche anderen Systeme betroffen sind. Diese Lösung unterstützt eine zentrale, aktive Verteidigung und Schadensbegrenzung – unabhängig davon, ob das beteiligte Netzwerke kontrolliert werden kann.

F: Welche Empfehlungen gibt es für Mitarbeiter*innen, um von zu Hause sicher zu arbeiten?

A: Für die Mitarbeiter*innen ändert sich wenig. Bekannte Sicherheitsgrundsätze – z.B. auf Phishing achten oder nicht auf jeden Link zu klicken, der etwas verspricht – bleiben gleich und sollten in Erinnerung gerufen werden.

Wichtig ist, die physikalische Sicherheit nicht zu vergessen: Obwohl das Zuhause ein vermeintlich sicheres Umfeld darstellt, müssen Mitarbeiter*innen sich nun selbst um den physikalischen Zugriffschutz kümmern. Das Endgerät stellt eine Erweiterung des Unternehmensnetzwerks dar und die Mitarbeiter*innen müssen dafür sorgen, dass weder andere Familienmitglieder, noch fremde Personen unberechtigten Zugriff darauf bekommen.

Meine Empfehlung daher, auch wenn es nicht immer leichtfällt: Rechner beim Verlassen immer sperren, bei Nichtbenutzung das VPN trennen und herunterfahren sowie jegliche Hardware sicher verwahren und womöglich wegsperren.

F: Wie kann man private Systeme (Stichwort: BYOD) sicher im Homeoffice einsetzen?

A: Aus der IT-Sicherheitsperspektive ist ein direkter Zugriff privater Systeme auf Unternehmens- Ressourcen nicht zu empfehlen. Neben vielen rechtlichen Fragen hat das Unternehmen einfach keine ausreichende Kontrolle über das Endgerät. Ich kann nicht sicherstellen, dass z.B. der Bildschirm automatisch gesperrt wird, ein starkes Password verwendet wird oder regelmäßige Updates, Malwareschutz und Festplattenverschlüsselung umgesetzt werden. Adressiert man alle diese Probleme ausreichend, ist es meist deutlich effizienter, unter eigener zentraler Verwaltung stehende Firmen-Notebooks mit bekannter und sicherer Betriebsumgebung auszugeben.

Einzig sinnvoll ist eine Umsetzung über sauber getrennte virtuelle Arbeitsplatzlösungen, wozu mehrere Ansätze existieren. Dabei wird keine interne Kommunikation zum privaten Endgerät erlaubt, sondern nur die Bildschirmausgabe der einzelnen Anwendungen dargestellt und sonst alles unterbunden. Das Konzept muss natürlich zum Umfeld der Tätigkeit und der Branche passen.

F: Welche Vorkehrungen empfiehlt IKARUS, auch um privat sicher zu bleiben?

A: Unterstützen Sie als IT-Wissender Ihre Familie und Freunde im privaten Bereich bei verschiedensten Fragen! Oft ist es viel effizienter, sich gleich für kurze Fragen z.B. zu einer verdächtigen E-Mail Zeit zu nehmen, als später zu helfen, wenn Rechner oder Smartphone mit Schadsoftware befallen sind.

Meine wichtigsten Empfehlungen für alle privaten Nutzer: Aktivieren Sie 2-Faktor-Authentifizierung für alle wichtigen Services, die Sie regelmäßig nutzen! Damit schließen Sie viele Angriffsszenarien und Missbrauchsmöglichkeiten aus. Verwenden Sie außerdem ein langes, zusammengesetztes Password aus mehreren Begriffen, das Sie für die einzelnen Dienste individuell variieren.

Lesenswert: Zeit für neue Passwörter mit echter Sicherheit (und ohne Passwortwechsel)

[1] https://www.derstandard.at/story/2000121983128/arbeitswelt-das-buero-am-kuechentisch/

[2] https://www.pwc.at/de/presse/2020/digital-trust-insights.html/