Sicherheit im Homeoffice: Ein Leitfaden

Wer nach Sicherheit im Homeoffice sucht, findet überall dieselbe Liste: VPN, Zwei-Faktor-Authentifizierung, Updates, Backups, Schulungen. Die Liste ist nicht falsch. Sie ist nur unsortiert — und in einem Betrieb mit einer Handvoll Arbeitsplätzen entscheidet die Reihenfolge darüber, ob überhaupt etwas passiert.

Denn die Zeit ist begrenzt. Wer alles gleichzeitig angeht, macht am Ende nichts fertig. Deshalb hier die Reihenfolge, die nach meiner Erfahrung den größten Unterschied pro aufgewendeter Stunde bringt.

Das eigentliche Risiko ist nicht das WLAN

Der häufigste Ratschlag betrifft das heimische WLAN. Dabei ist das Heimnetz selten der Einstiegspunkt. Was im Alltag tatsächlich passiert, sieht eher so aus:

• Die Kollegin arbeitet am Familienrechner, weil das Firmennotebook zu langsam ist.
• Ein Angebot wird schnell über das private Postfach geschickt, weil der Firmenzugang von unterwegs zickt.
• Dokumente landen in einer privaten Cloud, damit man sie auf dem Tablet lesen kann.
• Ein Vertrag wird zu Hause ausgedruckt und liegt drei Wochen auf dem Küchentisch.

Das sind keine Bosheiten, sondern Umgehungen von Hindernissen. Sicherheitsmaßnahmen, die die Arbeit behindern, werden umgangen — und die Umgehung ist gefährlicher als die Lücke, die man schließen wollte. Das ist der Maßstab, an dem sich jede Maßnahme messen lassen muss.

Die Reihenfolge, die wirkt

1. Zweiter Faktor auf dem E-Mail-Konto

Wenn Sie nur eine einzige Sache tun, dann diese. Das E-Mail-Postfach ist der Generalschlüssel: Wer es hat, setzt bei allen anderen Diensten das Kennwort zurück. Ein gestohlenes Kennwort allein nützt Angreifern nichts mehr, wenn ein zweiter Faktor dazwischensteht.

Wichtig ist die Reihenfolge auch hier: erst die Konten mit Administratorrechten, dann die Geschäftsführung und die Buchhaltung, dann alle übrigen. Und bevorzugt eine App oder ein Sicherheitsschlüssel statt SMS — SMS ist besser als nichts, aber angreifbar.

2. Eine Sicherung, an die der befallene Rechner nicht herankommt

Die meisten Betriebe haben ein Backup. Die entscheidende Frage ist eine andere: Kommt Schadsoftware, die auf einem Arbeitsplatz läuft, an diese Sicherung heran? Wenn die Sicherungsfestplatte dauerhaft angesteckt ist oder das Sicherungslaufwerk als normaler Netzwerkordner eingebunden ist, lautet die Antwort ja — und dann ist es im Ernstfall keine Sicherung.

Gebraucht wird mindestens eine Kopie, die getrennt liegt und nicht einfach überschrieben werden kann. Und eine Wiederherstellung, die einmal ausprobiert wurde. Eine nie getestete Sicherung ist eine Vermutung.

3. Updates, aber automatisch

Ein großer Teil erfolgreicher Angriffe nutzt Lücken, für die es seit Monaten Korrekturen gibt. Der Grund ist selten Nachlässigkeit, sondern fehlende Zuständigkeit: Niemand prüft, ob die Aktualisierung auf dem Notebook im Homeoffice tatsächlich gelaufen ist.

Das lässt sich nicht durch Ermahnen lösen, sondern nur durch Automatik und eine Übersicht, die anzeigt, welches Gerät hinterherhinkt.

4. Klarheit über die Geräte

Erst an vierter Stelle kommt die Frage, auf welchem Gerät gearbeitet wird. Nicht weil sie unwichtig wäre, sondern weil sie die teuerste ist.

Ehrlich abgewogen: Ein Firmennotebook für jeden ist die saubere Lösung, kostet aber Anschaffung und Verwaltung. Private Geräte sind billiger, aber Sie haben keinen Zugriff darauf, wenn jemand das Unternehmen verlässt — und keine Möglichkeit, Firmendaten zu löschen. Wenn private Geräte unvermeidlich sind, sollten Firmendaten wenigstens nicht dauerhaft darauf liegen, sondern in einer Umgebung, die sich zentral entziehen lässt.

Warum VPN oft der falsche Reflex ist

„Dann machen wir ein VPN” ist die klassische Antwort auf Homeoffice-Fragen. Sie war richtig, als alle Daten auf einem Server im Büro lagen. Wenn Sie heute überwiegend mit Microsoft 365 oder einem anderen Cloud-Dienst arbeiten, ändert ein VPN wenig: Der Dienst steht ohnehin im Internet, und die Anmeldung passiert dort — nicht in Ihrem Netz. Ein VPN verlagert dann nur den Weg, nicht das Risiko.

Wirksamer ist an dieser Stelle, wer sich von wo anmelden darf: der zweite Faktor, Regeln für unbekannte Standorte, und die Möglichkeit, ein verlorenes Gerät auszusperren.

Ein VPN bleibt richtig, wenn es tatsächlich etwas im eigenen Netz zu erreichen gibt — einen Dateiserver, eine Branchensoftware, eine Maschinensteuerung. Dann aber bitte mit zweitem Faktor davor, sonst ist es nur eine bequeme Tür für alle, die ein Kennwort erbeutet haben.

Phishing: Meldekultur schlägt Schulung

Zu Phishing gibt es Schulungen, simulierte Angriffe und Auswertungen, wer geklickt hat. In kleinen Betrieben ist der Ertrag überschaubar, und die Nebenwirkung ist beträchtlich: Wer einmal vorgeführt wurde, meldet den nächsten Fehler nicht mehr.

Was zuverlässiger wirkt, ist eine ausgesprochene Regel: Wer auf etwas geklickt hat, sagt sofort Bescheid, und es passiert ihm nichts. Die ersten dreißig Minuten entscheiden darüber, ob aus einem Klick ein Schaden wird. Ein Mitarbeiter, der aus Angst schweigt, kostet mehr als jede Schulung bringt.

Dazu zwei Handgriffe, die technisch helfen: E-Mails von außerhalb sichtbar kennzeichnen, und die eigene Domain gegen gefälschte Absender absichern — sonst verschicken Fremde Rechnungen in Ihrem Namen, und Sie merken es erst am Anruf des Kunden.

Was Sie weglassen können

Auch das gehört dazu:

• Kennwortwechsel alle 90 Tage. Gilt als überholt. Erzwungene Wechsel führen zu Sommer2026! und Sommer2026!!. Besser: lange Kennwörter, ein Kennwortspeicher, zweiter Faktor.
• Eigene Sicherheitssoftware zusätzlich zum Windows-Schutz. Für kleine Umgebungen selten der Engpass. Das Geld ist in einer geprüften Sicherung besser angelegt.
• Richtlinien, die niemand liest. Drei Sätze, die alle kennen, schlagen zwölf Seiten im Ordner.

Der kurze Selbsttest

Fünf Fragen. Wer alle fünf mit Ja beantwortet, ist für einen Betrieb dieser Größe solide aufgestellt:

1. Hat jedes Konto mit Zugriff auf E-Mail einen zweiten Faktor?
2. Gibt es eine Sicherung, an die ein befallener Arbeitsplatz nicht herankommt?
3. Wurde eine Wiederherstellung schon einmal ausprobiert?
4. Sieht jemand, welches Gerät seit Wochen keine Aktualisierung bekommen hat?
5. Weiß jeder im Betrieb, wem er einen Fehlklick meldet — und dass nichts passiert?

Fazit

Homeoffice ist nicht unsicher. Unsicher ist ein Zustand, in dem niemand zuständig ist und jeder sich behilft. Die vier Maßnahmen oben — zweiter Faktor, getrennte Sicherung, automatische Aktualisierung, Klarheit über die Geräte — decken den größten Teil des realistischen Risikos ab und sind in einem kleinen Betrieb an einem Tag eingerichtet.

Wenn Sie wissen wollen, wie Ihr Unternehmen von außen aussieht, gibt es hier einen kostenlosen Sicherheitscheck: Sie tragen Ihre Domain ein und bekommen einen Bericht ohne Fachjargon — unter anderem dazu, ob sich in Ihrem Namen gefälschte E-Mails verschicken lassen. Wer die Punkte oben nicht nur einmal einrichten, sondern dauerhaft im Blick behalten will, findet unter Microsoft 365 für Unternehmen und in meinen übrigen Leistungen, wie ich das begleite. Für eine Einschätzung genügt eine kurze Nachricht.