Sicherheit im Homeoffice - Vor Cyberattacken schützen

Während die Arbeit im Homeoffice bis zu Beginn des Jahres 2020 oft noch eine Besonderheit darstellte, ist sie heute aufgrund der Maßnahmen im Rahmen der Corona-Pandemie omnipräsent – doch gerade die Sicherheit im Homeoffice leidet unter diesem schnellen Umstieg. Oft fehlt zu Hause das Know-how hinsichtlich der Cybersicherheit. Gleiches gilt auch für das mobile Arbeiten. Wir zeigen Ihnen, welche Arten von Cyberattacken es gibt, wie Sie maximale Sicherheit in Microsoft Teams gewährleisten und welche Maßnahmen Sie ergreifen sollten, um maximale Sicherheit im Homeoffice und beim mobilen Arbeiten zu erreichen.

Probleme der Sicherheit im Homeoffice erkennen

Der Wechsel ins Homeoffice geht oft mit Gefahren in Sachen Cybersicherheit einher. Den Ernst dieses Problems zeigt eine Studie des Instituts der deutschen Wirtschaft: Demnach sind die Schäden durch Cyberangriffe im Jahr 2021 verglichen mit 2019 um über 120 Mrd. € gestiegen. Schäden durch Cyberangriffe im Homeoffice machen dabei mit 52,5 Mrd. € einen erheblichen Teil aus.

Quelle: Institut der deutschen Wirtschaft Köln e.V.

Bevor konkrete Maßnahmen ergriffen werden können, sollten Sie sich zunächst einen Überblick über den Status quo der IT-Sicherheit im Homeoffice verschaffen. Eine Umfrage des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeigt, dass häufig schon grundlegende technische Sicherheitsvorkehrungen wie das Einsetzen eines VPN oder eine Mehr-Faktor-Authentifizierung nicht umgesetzt werden.

Quelle: Bundesamt für Sicherheit in der Informationstechnik

Auch im Hinblick auf organisatorische Sicherheitsmaßnahmen für das Homeoffice zeigt die Umfrage des BSI, dass noch deutlicher Handlungsbedarf besteht. Lediglich die Sensibilisierung der Mitarbeitenden wird häufig umgesetzt. In Sachen Notfallübungen, eigenen IT-Sicherheitsabteilungen oder IT-Sicherheitsstrategien besteht noch viel Handlungsbedarf.

Quelle: Bundesamt für Sicherheit in der Informationstechnik

Es ist also unverkennbar, dass die Arbeit im Homeoffice und das mobile Arbeiten oft ein hohes Sicherheitsrisiko darstellen. Laut der Befragung des BSI zum Homeoffice werden dennoch viele wichtige Maßnahmen nicht umgesetzt.

Arten von Cyberangriffen im Homeoffice

Um Ihr Bewusstsein für die Cybersicherheit im Homeoffice zu stärken, möchten wir Ihnen die häufigsten Arten von Angriffen, die im Homeoffice und beim mobilen Arbeiten stattfinden, vorstellen. Generell gilt hier: Hinterfragen Sie Transaktionen und Datenweitergaben immer kritisch, sorgen Sie für eine sichere IT-Grundlage und haken Sie bei Zweifeln lieber nochmal genau nach. Die Datensicherheit im Homeoffice sollten Sie immer im Hinterkopf behalten.

Phishing

Beim Phishing versuchen Betrüger:innen, mithilfe von E-Mails, gefälschten Internetseiten und anderen Methoden an sensible Daten zu kommen oder Sie zur Überweisung von Geld zu veranlassen. Dazu werden in der Regel bekannte Personen (Teammitglieder, Führungskräfte, Geschäftskontakte) oder vertrauenswürdige dienstleistende Firmen (wie Banken, Ämter oder Unternehmen, zu denen eine Geschäftsbeziehung besteht) imitiert, um das Vertrauen der Opfer auszunutzen. Diese E-Mails und Webseiten können dabei optisch identisch mit den Originalen sein, weshalb hier besondere Vorsicht geboten ist.

Um sich vor Phishing-Angriffen zu schützen, sollten Sie E-Mails, Anhängen, Links und Webseiten grundsätzlich mit Misstrauen begegnen.

• Suchen Sie im Zweifel den persönlichen Kontakt. Dafür sollten Sie allerdings nicht die Kontaktdaten aus der E-Mail nutzen, denn auch diese könnten gefälscht sein. Googeln Sie besser noch einmal.
• Prüfen Sie bei Rechnungen, ob tatsächlich eine Leistung erbracht wurde, für die ein Rechnungsanspruch besteht.
• Geben Sie niemals Login-Daten weiter.
• Prüfen Sie E-Mail-Adressen und Links genau. Häufig ist zwar ein bekannter Name vom Adressierenden angegeben, aber die Adresse ist auffällig. Insbesondere der Teil der Adresse hinter dem @ ist hier relevant und muss exakt mit der Originaladresse übereinstimmen.
• Anhänge in E-Mails von unbekannten Adressen sollten Sie niemals öffnen.
• Bei Zweifeln wenden Sie sich an Ihre IT-Abteilung.

CEO-Fraud

Während bei normalen Phishing-Angriffen meist relativ unspezifische E-Mails an viele Betroffene geschickt werden, handelt es sich beim CEO-Fraud um eine Spear-Phishing-Methode. Dabei werden zunächst umfassende Recherchen über das Opfer angestellt, um möglichst detailgetreue, genaue Informationen in den Phishing-Mails zu verwenden. Im Fall eines CEO-Frauds wird so eine Führungskraft imitiert, die Sie – häufig unter Zeitdruck – zur Weitergabe von Informationen oder gar zur Überweisung von Geldsummen drängt. Die detailgetreue Nachahmung macht CEO-Fraud-Angriffe besonders schwer erkennbar.

Generell gelten auch hier die zuvor genannten Schutzmaßnahmen gegen Phishing-Angriffe im Allgemeinen. Versuchen Sie, Ihre Führungskraft persönlich zu kontaktieren, um die Situation abzuklären. Häufig versuchen CEO-Fraud-Betrüger:innen, eine Drucksituation herzustellen, indem sie signalisieren, dass sie nicht erreichbar sein werden. Gerade in Sachen Sicherheit im Homeoffice sollte deshalb sichergestellt werden, dass die Termine von Führungskräften nachvollziehbar sind. Zudem sollte nach Möglichkeit ein Freigabeprozess vor Zahlungen etabliert werden, auch sollten Sensibilisierungstrainings für die Mitarbeitenden erfolgen.

Man-in-the-Middle-Attacken

Bei Man-in-the-Middle-Attacken setzen sich Betrüger:innen als Mittelspersonen ohne Ihr Wissen zwischen zwei Kommunikationsparteien. Dabei wird versucht, vertrauliche Informationen wie Passwörter, Login-Daten oder Unternehmensinterna zu erfahren. Insbesondere im Homeoffice besteht für diese Art von Angriff eine Gefahr, da hier die IT-Sicherheit oft nicht optimal ist.

Um Man-in-the-Middle-Attacken zu vermeiden, sollten Sie keine öffentlichen (W)LAN-Zugänge nutzen. Dies ist besonders beim mobilen Arbeiten zu beachten. Außerdem sollte Ihr System immer auf dem neuesten Update-Stand sein, da Man-in-the-Middle-Attacken häufig Sicherheitslücken ausnutzen. Bei Webseiten sollten Sie auf eine SSL- oder TLS-Verschlüsselung achten, welche die Kommunikation zwischen Server und Nutzendem verschlüsselt. Auch eine Zwei-Faktor-Authentifizierung kann helfen, da so selbst bei abgegriffenen Login-Daten ein unberechtigter Login vermieden werden kann.

Malware

Bei Malware handelt es sich um Computerviren, die unterschiedlichste Auswirkungen haben können. So können beispielsweise Daten gesperrt werden, für deren Freigabe ein „Lösegeld“ gefordert wird (Ransomware), oder Passwörter und Login-Daten ausspioniert werden (Spyware). In Sachen Sicherheit im Homeoffice stellt Malware ein großes Problem dar, da häufig zu wenige Sicherheitsvorkehrungen getroffen werden. Die Bandbreite von Malware-Angriffen ist enorm, daher gilt: Je mehr Sie für die IT-Sicherheit in Ihrem Homeoffice tun, desto sicherer sind Sie.

Malware wird überwiegend per E-Mail (als Link oder Anhang) verbreitet, daher gilt hier die gleiche Vorsicht wie bei Phishing-Angriffen. Das effektivste Mittel dagegen ist die Sensibilisierung durch Schulungen zur Cybersecurity im Homeoffice. Sollte ein Angriff dennoch erfolgreich sein, sind regelmäßige Backups das effektivste Mittel, den unliebsamen Vorgang rückgängig zu machen. Gerade im Homeoffice sind diese Backups jedoch häufig nicht eingerichtet.

Maßnahmen, um die Sicherheit im Homeoffice zu erhöhen

Nachdem wir Ihnen die häufigsten Cyberattacken und Methoden zur Erhöhung der IT-Sicherheit in Ihrem Homeoffice gezeigt haben, möchten wir nun einige generelle Tipps an die Hand geben und auch spezifisch auf Microsoft Teams eingehen, da diese Software vielen als Grundlage des mobilen Arbeitens und der Arbeit im Homeoffice dient.

Homeoffice und Sicherheit in Microsoft Teams

Vielen Unternehmen dient Microsoft Teams seit dem Wechsel auf einen Modern Workplace als Hub für die Zusammenarbeit. Daher ist es auch für die Sicherheit im Homeoffice extrem wichtig, Microsoft Teams und dessen Nutzung genau zu analysieren. Zunächst einmal das Wichtigste: Microsoft Teams bringt technisch schon eine hohe Sicherheit mit sich. Lesen Sie mehr zu Microsoft Information Protection. Alle Daten in Teams werden verschlüsselt übertragen und gesichert, zudem sorgt eine obligatorische Zwei-Faktor-Authentifizierung für hohe Sicherheit bei Login-Daten. Um die maximale Sicherheit in Microsoft Teams zu gewährleisten, sollten Sie trotzdem weitere Maßnahmen treffen.

Die wichtigste Maßnahme zur Sicherheit in Microsoft Teams ist die sinnvolle Aufteilung in kleinere Teams. Dadurch kann sichergestellt werden, dass nur berechtigte Personen Zugriff auf die für sie relevanten Daten haben, da der Leitung des Teams alle Teammitglieder bekannt sind. Auch die Rechte sollten je nach Nutzungsgruppe (Teamleitung, Mitglieder, Eingeladene) von der Leitung des Teams angepasst werden.

Wenn Sie häufig in Microsoft Teams mit Kundschaft oder Geschäftskontakten zusammenarbeiten, kann es sinnvoll sein, zwei Teams zu eröffnen: ein internes Team, in dem aktiv an Dokumenten gearbeitet wird und an welchem nur Mitarbeitende teilnehmen, und ein externes Team, in dem sich auch Ihre Kundschaft und Geschäftskontakte befinden. Diese Vorgehensweise erhöht die Datensicherheit beim mobilen Arbeiten, da ein passender Zugriff auf die Daten erleichtert wird. Zudem werden Externen auf diese Weise lediglich die Daten zur Verfügung gestellt, die Sie freigeben.

Eine weitere Option zur Erhöhung der Sicherheit im Umgang mit Microsoft Teams im Homeoffice besteht darin, wichtige Dokumente zusätzlich mit Passwörtern zu schützen. Diese Passwörter sollten jedoch nicht über Teams selbst kommuniziert werden, um ein Abfangen via Man-in-the-Middle- oder Malware-Attacken zu erschweren. Weitere hilfreiche Tipps und Informationen zu Microsoft Teams finden Sie in unserer Anleitung zu Microsoft Teams.

Generelle Tipps zur Sicherheit im Homeoffice

Um bei der Arbeit im Homeoffice maximale Sicherheit zu gewährleisten, gilt es einiges zu beachten. Die wichtigste Faustregel: Klären Sie nach Möglichkeit alle Sicherheitsfragen mit Ihrer IT-Abteilung ab. Schatten-IT, also Programme, Dienste oder Geräte, die Angestellte mit Firmendaten nutzen, ohne dies vorher abzuklären, stellt ein großes Risiko dar. Sie sollten sich eine Genehmigung für die Nutzung einholen und Geräte im Optimalfall von IT-Fachkräften einrichten lassen. Die IT-Abteilung sollte zudem eine Checkliste für die Nutzung privater Geräte und Dienste bereitstellen.

Bei der Verwendung von Geräten sollte zudem auf eine VPN-Verbindung gesetzt werden, um das sichere Firmennetzwerk auch im Homeoffice nutzen zu können. Auch in Sachen Datenschutz sind im Homeoffice viele Maßnahmen nötig, wie unser Artikel dazu zeigt.

Generell ist wichtig, dass alle Mitarbeitenden ein Bewusstsein für die Cybersicherheit vermittelt bekommen. Zudem kann Transparenz in Ihrem Unternehmen helfen, Unsicherheiten auf kurzem Wege zu klären.