IT-Sicherheit im Homeoffice: Richtlinien und Tools für KMU
In vielen mittelständischen Unternehmen ist das Homeoffice längst Normalzustand. Eingerichtet wurde es allerdings unter Zeitdruck: Laptops verteilen, Zugänge freischalten, Hauptsache der Betrieb läuft weiter.
Doch in der Praxis zeigt sich immer wieder: Die Sicherheitsmaßnahmen sind seitdem nie nachgezogen worden. Was als Übergangslösung gedacht war, ist heute fester Bestandteil der IT-Landschaft – nur ohne die Schutzmechanismen, die im Büro selbstverständlich sind.
In diesem Beitrag zeigen wir, welche Lücken das Homeoffice konkret aufreißt, was in eine praxistaugliche Homeoffice-Richtlinie gehört und welche technischen Bausteine mittelständische Unternehmen tatsächlich benötigen.
Warum das Homeoffice die IT-Sicherheit schwächt
Im Büro schützt eine gewachsene Infrastruktur: Firewall, zentrale Updates, kontrollierte Netzwerkzugänge. Diese Schutzschicht ist über Jahre entstanden und wird selten hinterfragt, weil sie im Hintergrund funktioniert.
Sobald ein Gerät das Firmennetz verlässt, fällt dieser Schutzwall weg. Übrig bleiben:
- ein Router, den niemand verwaltet
- ein Endgerät ohne zentrale Kontrolle
-
ein Mensch ohne Kollegen zum Rückfragen
Warum das kritisch ist:
Die Angriffsfläche verlagert sich vom Firmennetz auf den einzelnen Arbeitsplatz – ausgerechnet dorthin, wo die IT am wenigsten Einblick hat.
Die fünf typischen Schwachstellen im Homeoffice
Der private Router
Der Router im Wohnzimmer ist das neue Gateway ins Firmennetz. Häufig läuft veraltete Firmware, das Admin-Passwort steht auf Werkseinstellung oder Fernwartungsfunktionen sind offen.
Geteilte Geräte
Ein Rechner, an dem abends die Familie surft und morgens Angebote kalkuliert werden, vermischt private und geschäftliche Risiken auf einem System.
Uneinheitlicher Update-Stand
Im Büro laufen Updates zentral. Zu Hause hängt es davon ab, ob das Update-Fenster weggeklickt wird. Nach wenigen Monaten sind Geräte mit monatealten Lücken im Umlauf.
Schatten-IT
Wenn die Dateiablage über VPN träge ist, wird das private Cloud-Konto genutzt. Wenn die Freigabe zu lange dauert, geht das Dokument per Messenger raus. Nachvollziehbar – und ein DSGVO-Problem.
Fehlende soziale Kontrolle
Im Büro fragt man kurz über den Schreibtisch: „Hast du diese Rechnung auch bekommen?“ Zu Hause fehlt dieser Reflex. Phishing und CEO-Fraud funktionieren im Homeoffice deutlich zuverlässiger.
Warum das kritisch ist:
Jede dieser Schwachstellen für sich ist beherrschbar. In Kombination entsteht ein Zustand, in dem niemand mehr sagen kann, wie sicher die eigene IT tatsächlich ist.
Die Homeoffice-Richtlinie: Was hineingehört
Eine Richtlinie, die niemand liest, schützt niemanden. Sie sollte kurz, konkret und ohne Juristendeutsch formuliert sein. Diese Punkte gehören hinein:
- Erlaubte Geräte – idealerweise ausschließlich Firmengeräte
- Arbeitsplatzgestaltung – Bildschirm nicht zur offenen Tür, Gerät beim Verlassen sperren
- Erlaubte Datenwege – Firmen-Cloud, VPN-Laufwerk, verschlüsselter Dateitransfer
- WLAN-Anforderungen – WPA2 oder WPA3, individuelles Router-Passwort
-
Meldeweg im Ernstfall – eine Nummer, gut sichtbar auf Seite eins
Ein Punkt wird regelmäßig unterschätzt:
Die Richtlinie muss unmissverständlich klarstellen, dass eine Meldung keine negativen Folgen hat. Wer Ärger befürchtet, meldet nicht – und aus einem einzelnen Klick wird ein Totalschaden.
Als inhaltliche Orientierung eignen sich die Bausteine des BSI IT-Grundschutz-Kompendiums zu Telearbeit und häuslichem Arbeitsplatz.
Warum das kritisch ist:
Ohne schriftliche Regelung trägt das Unternehmen das volle Risiko, ohne jede Handhabe zur Durchsetzung.
VPN im Homeoffice: sinnvoll, aber kein Allheilmittel
Ein VPN verschlüsselt die Verbindung zwischen Endgerät und Firmennetz. Es verhindert Mitlesen im fremden WLAN und ermöglicht Zugriff auf interne Ressourcen.
Was ein VPN nicht leistet: ein infiziertes Gerät absichern. Ein kompromittierter Laptop mit aktiver VPN-Verbindung ist ein direkter Tunnel ins Firmennetz.
- Zugriff pro Rolle statt pauschal
- Multi-Faktor-Authentifizierung als Pflicht
- Split-Tunneling bewusst entscheiden
-
Sitzungen zeitlich begrenzen
Liegen die Anwendungen ohnehin größtenteils in der Cloud, lohnt die Frage, ob ein klassisches VPN überhaupt noch nötig ist. Der modernere Ansatz heißt Zero Trust: Nicht das Netzwerk entscheidet über den Zugriff, sondern die geprüfte Kombination aus Identität, Gerätezustand und Berechtigung.
Warum das kritisch ist:
Ein falsch konfiguriertes VPN erzeugt ein Sicherheitsgefühl, dem keine tatsächliche Absicherung gegenübersteht.
Geräteverwaltung: der Baustein, der am häufigsten fehlt
Ohne zentrale Geräteverwaltung lässt sich schlicht nicht beantworten, in welchem Zustand die eigenen Endgeräte sind.
Eine MDM-Lösung – bei Microsoft-365-Umgebungen typischerweise Intune, alternativ Produkte wie Jamf oder Baramundi – liefert:
- Sichtbarkeit – Patch-Stand, Verschlüsselung, Virenschutz auf einen Blick
- Durchsetzung – Sicherheitseinstellungen werden zentral vorgegeben
- Reaktionsfähigkeit – verlorene Geräte aus der Ferne sperren oder löschen
-
Sauberes Offboarding – Zugriffsentzug an einer einzigen Stelle
Bei privaten Geräten funktioniert das über Container-Ansätze: Firmendaten liegen in einem verwalteten Bereich, der gelöscht werden kann, ohne private Daten anzutasten.
Warum das kritisch ist:
Geht ein Laptop verloren, entscheidet die Geräteverwaltung darüber, ob es sich um einen Sachschaden oder um einen meldepflichtigen Datenschutzvorfall handelt.
Weitere Schutzmaßnahmen im Überblick
- Multi-Faktor-Authentifizierung überall – an jedem Zugang von außen
- Passwort-Manager statt Zettelwirtschaft – löst auch geteilte Zugänge im Team
- Backups außerhalb der Reichweite – Homeoffice-Geräte fehlen oft im Konzept
- Regelmäßige Awareness-Impulse – kurze Einheiten wirken besser als Jahresschulungen
-
E-Mail-Sicherheit auf Serverebene – SPF, DKIM und DMARC einrichten
Warum das kritisch ist:
Die meisten erfolgreichen Angriffe nutzen keine ausgefeilten Methoden, sondern genau diese fehlenden Basismaßnahmen.
In 30 Tagen zu mehr Sicherheit im Homeoffice
Es muss nicht alles gleichzeitig angegangen werden. Diese Reihenfolge bringt den größten Effekt pro Aufwand:
- Woche 1 – Bestandsaufnahme: Welche Geräte greifen von außen zu, wem gehören sie, wo liegen die Firmendaten tatsächlich?
- Woche 2 – MFA ausrollen: beginnend bei den Konten mit den weitreichendsten Rechten
- Woche 3 – Richtlinie schreiben und erklären: zwei bis drei Seiten, im Teammeeting vorgestellt statt nur per Mail verteilt
- Woche 4 – Geräteverwaltung aufsetzen: zunächst als Pilot, dann schrittweise ausrollen
Warum das kritisch ist:
Im Anschluss folgen Zugriffskonzept, Backup-Prüfung und Notfallplan – in dieser Reihenfolge, weil jeder Schritt auf dem vorherigen aufbaut.
Häufige Fragen zur IT-Sicherheit im Homeoffice
Ist das Homeoffice unsicherer als das Büro?
Nicht zwangsläufig. Ein verwaltetes Firmengerät mit Verschlüsselung, MFA und zentralem Patch-Management ist im Homeoffice ähnlich sicher. Kritisch wird es dort, wo Kontrolle wegfällt, ohne durch Technik ersetzt zu werden.
Ist ein VPN zwingend erforderlich?
Nur beim Zugriff auf Ressourcen im lokalen Firmennetz wie Fileserver oder ERP. Liegt alles in der Cloud, kann ein identitätsbasierter Zugriff die bessere Lösung sein.
Dürfen Mitarbeitende private Geräte nutzen?
Grundsätzlich ja, aber nur mit definierten Mindestanforderungen und schriftlicher Vereinbarung.
Was kostet die Absicherung ein mittelständisches Unternehmen?
Die wirksamsten Bausteine – MFA, Richtlinie, saubere Rechtevergabe – sind in bestehenden Lizenzen meist enthalten. Geräteverwaltung und Awareness-Training werden pro Nutzer und Monat abgerechnet und bleiben damit planbar.
VIDAR-IT – sichere IT-Arbeitsplätze für den Mittelstand
Wir von Vidar-IT unterstützen mittelständische Unternehmen dabei, Homeoffice-Arbeitsplätze strukturiert, sicher und nachvollziehbar aufzustellen – von der Bestandsaufnahme über die Richtlinie bis zur zentralen Geräteverwaltung. Ziel ist eine IT, die im Büro und zu Hause dasselbe Schutzniveau bietet.
