Das Firmennetzwerk endet nicht an der Bürotür.

Als Homeoffice in der Breite ankam, haben die meisten Unternehmen schnell eine Verbindungsmöglichkeit gebaut. VPN einrichten, Zugänge vergeben, Mitarbeiter schicken ihr Notebook mit nach Hause. Läuft.

Was dabei selten überprüft wurde: Wie sieht das Heimnetzwerk aus, in das dieses Notebook jetzt eingebunden ist?

Die unsichtbare Verlängerung der Infrastruktur

Ein Mitarbeiter im Homeoffice verbindet sein Firmen-Notebook mit dem WLAN zuhause. Dieses WLAN teilt er mit seinem privaten Laptop, dem Smart-TV, der Spielekonsole, vielleicht einem schlecht gesicherten Drucker oder einem Router, der seit drei Jahren kein Firmware-Update gesehen hat.

Das Firmennetzwerk endet nicht an der Bürotür. Es endet am Router des Mitarbeiters. Und dieser Router liegt außerhalb des Kontrollbereichs der Unternehmens-IT.

Das ist keine böse Absicht von irgendjemandem. Es ist eine Struktur, die entstanden ist, weil sie entstehen musste. Aber sie hat Konsequenzen.

Was das konkret bedeutet

Ein Angreifer, der das Heimnetzwerk eines Mitarbeiters kompromittiert, hat möglicherweise Zugang zu allem, was dieser Mitarbeiter über sein Firmen-Notebook erreicht. Das muss kein gezielter Angriff sein. Oft reicht eine schlecht konfigurierte Smarthome-Komponente als Einstiegspunkt.

Daneben gibt es ein alltäglicheres Risiko: Der Mitarbeiter nutzt das Firmen-Notebook auch privat. Ein privater Download, eine private Mail mit einem Anhang, eine ungesicherte Anwendung. Das Gerät ist Firmeneigentum mit privatem Nutzungsverhalten. Das ist eine Kombination, die jedes IT-Sicherheitskonzept herausfordert.

Was machbare Gegenmaßnahmen sind

Vollständige Kontrolle ist im Homeoffice nicht erreichbar. Aber brauchbare Kontrolle ist das:

• Firmen-Notebooks nicht für private Nutzung freigeben. Klare Regel, schriftlich kommuniziert.
• VPN mit Split-Tunneling prüfen. Nicht jeder Datenverkehr muss durch das Firmennetzwerk laufen, aber der geschäftliche sollte es.
• Endpoint-Schutz auf Geräten, die im Homeoffice genutzt werden. Antivirenschutz und Geräteverschlüsselung sind Mindeststandards.
• Für Mitarbeiter mit Zugang zu besonders sensiblen Systemen: ein separates Arbeits-Netzwerk zuhause, entweder über ein zweites WLAN oder über eine einfache Netzwerktrennung.

Das ist kein Enterprise-Security-Programm. Das ist Grundhygiene für eine Realität, in der die meisten Mitarbeiter nicht mehr ausschließlich im Büro sitzen.

Fazit

Homeoffice hat die Angriffsfläche der meisten Firmen strukturell vergrößert. Wer das nicht adressiert hat, hat es meistens nicht absichtlich ignoriert, es war einfach nie ein dringliches Thema. Dringlichkeit entsteht hier leider meistens durch einen Vorfall. Wer es davor klären will, kann mich ansprechen.