Sicherheit im Home-Office

• 18. Mai 2020
• Von: Björn Bauer
• Kategorie: iT TOTAL, Kaspersky, Microsoft

Die Corona-Pandemie hat auf einen Schlag für viele Arbeitnehmer mobiles Arbeiten und Home-Office ermöglicht. Um die Ansteckungsgefahr im Betrieb zu verringern, wurden viele Arbeitnehmer ins Home-Office verfrachtet, die zuvor noch nicht in den Genuss gekommen waren von daheim aus zu arbeiten. Der schnelle Umbruch innerhalb der Unternehmen, von starren Arbeitsplätzen hin zum ortsungebunden Arbeiten und Arbeitsplätzen im Home-Office, hat viele IT-Verantwortliche - und die sowieso oft schon überlasteten IT-Abteilungen - überrollt. Das schnelle Rollout wiederum der vielen mobilen Arbeitsmittel und der dazugehörigen IT-Infrastruktur, sorgt für ungewollte Sicherheitslücken, über die sich Datendiebe und andere digitalen Ganoven jetzt freuen.

Um den Betrieb am Laufen zu halten wurden für viele Mitarbeiter neue Notebooks angeschafft, bestehende Rechner und PCs mit Heim genommen und selbst ausgediente Endgeräte reaktiviert, um den Bedarf zu decken. Um aber auch von Zuhause aus effizient arbeiten zu können, brauchen Mitarbeiter mit ihrem jeweiligen Endgerät auch Zugriff auf zentrale Dienste und Daten, die nicht lokal ausgeführt, bzw. gespeichert werden können.

Der gängigste Weg hierfür ist die Einrichtung von virtuellen Netzwerken (VPNs), über welche der Zugriff auf elementare Daten- und Apps zu ermöglicht wird. Je nach Anzahl der Endgeräte, auf denen ein VPN eingerichtet werden muss, kann der Prozess des Aufspielens und des Konfigurierens dauern. Geräte, die noch ungesichert oder unzureichend konfiguriert sind, öffnen Angreifern Tür und Angel.

Um den manuellen Prozess für einzelne Geräte zu umgehen, ein schnelles Rollout und eine einheitliche Konfiguration des VPNs und anderen Security-Maßnahmen zu ermöglichen, stehen zwei Möglichkeiten zur Auswahl:

Variante 1: Die Errichtung eines User-Portals, über das sich Mitarbeiter die vorkonfigurierten VPN-Clients herunterladen und einrichten können. Das Gute an dieser Variante ist, dass der Prozess ortsungebunden stattfinden kann. 

Variante 2: Den Installations- und Konfigurationsprozess zentral verwalten und über einen automatisierten Prozess der IT-Abteilung auf die Endgeräte aussteuern. Hierfür müssen sich die Endgeräte allerdings im Unternehmensnetzwerk befinden. Dies bedeutet auch, dass sich der Mitarbeiter vor Ort - im Unternehmen - befinden muss, um den Prozess initialisieren zu können. Ein gewisses Kontaktrisiko ist dadurch gegeben.

Bottlenecks entstehen dort, wo viele Zugriffe gleichzeitig stattfinden. Eine langsame Verbindung zum Unternehmensnetzwerk kann mehrere Ursachen haben:

Die Internetverbindung: Um eine stabile Verbindung herzustellen und höchstmögliche Übertragungsrate zu garantieren, sollte eine LAN-Verbindung mit dem Router im Heimnetzwerk hergestellt werden. Unterschiedlichste Ursachen können die Verbindungsqualität bei Zugriff über WLAN+Netz beeinträchtigen. Unter anderem hat die Router-Hardware an sich, der Standort des Routers und andere elektronische Geräte im Umfeld des Routers Einfluss auf die Verbindungsqualität.

Auch die Bandbreite der Internetverbindung beim Upload ist elementar für effektives und frustfreies Arbeiten vom Home-Office aus. Viele der günstigeren Pakete der gängigen Internetprovider ermöglichen nur einen Upload von maximal 1 MBit/s. Gerade bei größeren Dateien über 100 MB, die auf Laufwerke im Unternehmensnetzwerk geschrieben werden müssen, kann sich das zu einem lästigen, langwierigen Prozess entwickeln. Automatische Zwischenspeicherungen von Programmen können das ganze System zum Erlahmen bringen.

Gateway Firewalls: Viele Gateway Firewalls sind für die vielen Zugriffe über VPN-Tunnels nicht ausgelegt und mit der aktuellen Nutzerlast überfordert, was zu Einbußen bei der Konnektivität führt. Wer das Budget zur Verfügung hat, schnell an die nötige Hardware kommt und Personal allokieren kann, um ein Gateway-Upgrade durchzuführen, kann an dieser Stelle dem entgegenwirken. Die IT-Infrastruktur mittel- und langfristig für mehr VPN-Tunnels auszulegen ist allgemein eine gute Idee.

Cloud Firewalls: Cloud Firewalls können hier kurzfristig für Entlastung sorgen. Die Verwendung von Cloud Firewalls ist Budget ungebunden, aber sicherlich nur eine befristete Option für die Reduzierung von Bottlenecks. Die Cloud Firewall ist der eigentlichen Firewall vorgeschaltet. Hier werden die Zugriffe der Mitarbeiter über den VPN gebündelt und über einen Site-to-Site Tunnel an die Gateway Firewall weitergeleitet.

Nicht immer sind VPN-Tunnels die richtige Lösung fürs Home-Office. Mancher Mitarbeiter wird den Zugriff auf Peripheriegeräte, wie Telefon, Scanner und Drucker, benötigen. Die Geräte lassen sich nicht allein über das Endgerät - Notebook oder den PC – betreiben. Eine ausgeklügelte Lösung aus WLAN Access Points und LAN-Verbindungen muss her, um sich mit der zentralen IT zu verbinden.

Abhilfe schaffen hier zum Beispiel die Softwarelösungen der Citrix Cloud. Die Citrix-Cloud-Services vereinfachen die Bereitstellung der Citrix-Technologien um schnell sichere, digitale Arbeitsplätze bereit bereitzustellen.

Microsoft DirectAccess bietet sich ebenfalls als VPN-Alternative an. Hierbei handelt es sich um eine verschlüsselte Verbindungstechnik, die Microsoft mit seinem Betriebssystem Windows Server 2008 R2 erstmalig eingeführt hat. Als Verbindungstechnik setzt DirectAccess komplett auf IPv6 auf, kann aber auch Verbindungen zu IPv4-basierten Systemen herstellen.

Seit der Emotet-Welle und den vielen Ransomware-Angriffen aus dem vergangenen Jahr sollten eigentlich alle IT-Administratoren und Mitarbeiter über die Gefahren im Netz aufgeklärt sein. Dennoch sind selbst erfahrene Online-User immer noch anfällig für Spionage-Apps und perfekt getarnte Phishing-E-Mails, die ihre Fühler nach Daten ausstrecken oder die Geräte mit Malware infizieren.

Die IT-Security Schutzmaßnahmen und Mechanismen, die über die Jahre hinweg als Schutzwall um die interne IT-Infrastruktur von Unternehmen etabliert wurden, lassen sich leider nicht 1-zu-1 auf den einzelnen Endpoints im Home-Office übertragen. Der Security-Fokus für Mitarbeiter im Home-Office sollte selbstverständlich auf den Endgeräten liegen. Hier rückt die sogenannten Endpoint Protection in den Mittelpunkt der Security Maßnahmen. Allen Anfang hierbei macht natürlich ein Virenscanner, auch wenn dieser nur eine geringfügige Komponente innerhalb eines Endpoint Protection Konzepts darstellt. Weitere zu implementierende IT-Security Maßnahmen wären:

Endpoint Detection & Response: Mittels einer Verhaltensanalyse der Endpoint Detection können verdächtige Dateiänderungen- und Bewegungen erkannt werden, bevor sie Schaden anrichten.

Advanced Threat Protection: ATP schützt ihr Unternehmen davor, dass Ransomware, Spyware oder Viren die Endpoints der Mitarbeiter manipulieren oder beschädigen, sensible Dateien verschlüsseln oder kopiert werden und Betriebs- und Produktionsprozesse beschädigt werden.

Sandbox: Eine Sandox ist eine sichere Testumgebung für Dateien. Hier lassen sich Dateien prüfen, ohne dass sich im Ernstfall die Malware auf das ganze System streut.

Unified Endpoint Management: Mit einem einheitliches Device Management für Smartphones, Tablets und PCs wird sichergestellt, dass alle Endgeräte auf dem gleichen Stand sind.

Patchmanagement: Regelmäßiges patchen im Rahmen eines Unified Endpoint Managements schließt die neusten Sicherheitslücken von Betriebssystemen und anderer Software auf den Geräten der Mitarbeiter.

End-to-End Verschlüsselung: Der Datenverkehr der Mitarbeiter kann durch Datei- und E-Mail-Verschlüsselung, sowie Vorabscans in der Cloud, gesichert werden.

Authentifizierung: Zwei-Faktor oder Multi-Faktor Authentifizierungen dienen der Nutzererkennung für etwa Remote-Zugänge.

Sicheres Surfen: Content-Filter schützen vor schädlichen Seiten. Über sogenannte Split-Tunnels kann der Datenverkehr der Mitarbeiter, während er Online agiert, zusätzlich geprüft werden.

Security Schulung: Die größte Gefahrenquelle ist der Mitarbeiter. Die Geräte können noch so perfekt geschützt sein, was aus Kostengründen eher selten zutrifft, wenn der Mitarbeiter unreflektiert z.B. E-Mail Inhalte anklickt oder öffnet, bringt die beste IT-Security nichts. Daher müssen Unternehmen Ihre Mitarbeiter im Rahmen von Sicherheitsschulungen auf solche Gefahren sensibilisieren.

Die Erfahrung zeigt, dass provisorische Maßnahmen sich allzu oft als unsichere Maßnahmen erweisen. Direkte Verbindungen in das eigene Firmennetzwerk von „unmanaged Devices“ und die Nutzung von Freeware-Tools sollten zum Beispiel absolut vermieden werden. Der Zugang zum Firmennetzwerk, soweit er Remote erfolgt, sollte nur über eine Benutzererkennung via Username und Passwort ermöglicht werden. Schulen Sie ihre Mitarbeiter dringlichst in Bezug auf die Nutzung von Freeware und USB-Geräten im Heimgebrauch. Weitere Aspekte, die man als IT-Administratoren berücksichtigen sollte sind:

• sichere Verbindungen aller Endgeräte zur Unternehmens-IT
• 2-Faktor oder Multi-Authentifizierungs-Mechanismen einführen
• ein zentrales Update & Patchmanagement zur Verfügung stellen
• Kommunikation-Kanäle und Daten verschlüsseln
• Absicherung von E-Mails und Webdiensten
• ein einheitliches Management aller Endgeräte einführen
• eine Schatten-IT von Freeware vermeiden
• Awareness schaffen mit IT-Sicherheitsschulungen für die Mitarbeiter
• Rechteverwaltung z.B. nach dem Tier-3 Modell

Mit unserem Partner Kaspersky Labs können wir Ihre Endgeräte vor Cyberangriffen schützen. Die Kaspersky-Lösung kann nach Bedarf skaliert werden und um verschiedenen Sicherheitsmechanismen erweitert werden. Gerne übernehmen wir mit unserem Managed Services auch die Updates und das Patching der Endgeräte, sodass alle Mitarbeiter immer über die neusten Security-Updates und Patches verfügen.

Unsere IT-Experten beraten Sie gerne in ihren Anliegen. Zusammen finden wir eine passende Lösung, damit Sie ihren Mitarbeitern ein perfektes Home-Office Erlebnis ermöglichen können und die Produktivität in ihrem Unternehmen nicht zum Erlahmen kommt. Sprechen Sie uns an!