Seit 2020 hat fast jeder Betrieb irgendeine Lösung fürs Homeoffice. Bei vielen ist es die, die damals in einer Woche entstehen musste — und seitdem nicht mehr angefasst wurde.
Das ist der eigentliche Punkt: Nicht die Lösung ist das Problem, sondern dass niemand sie seither geprüft hat.
Die drei Wege
VPN. Der Rechner zu Hause wird Teil des Firmennetzes. Alles, was im Büro erreichbar ist, ist es dann auch von dort. Das ist bequem und genau darin liegt das Risiko: Ein befallener Privatrechner ist damit im Firmennetz.
Fernwartung auf den Büro-PC. Der Rechner zu Hause zeigt nur den Bildschirm des Büro-PCs. Daten bleiben im Büro, der Heimrechner ist nur Fenster. Sicherer, aber der Büro-PC muss laufen.
Cloud. Es gibt gar kein Firmennetz mehr, auf das man müsste. Dateien liegen in Nextcloud oder Microsoft 365, Zugriff über den Browser mit zwei Faktoren. Für viele kleine Betriebe der sauberste Weg.
Was in allen drei Fällen gilt
Zwei Faktoren, ohne Ausnahme. Ein Zugang von außen mit nur einem Passwort ist eine offene Tür. Das gilt besonders für VPN und Fernwartung.
Kein RDP direkt ins Internet. Port 3389 offen ist einer der häufigsten Einstiegspunkte überhaupt. Wenn Fernwartung, dann durch einen VPN-Tunnel oder über einen Dienst mit eigener Absicherung.
Getrennte Geräte, wo es geht. Ein Firmenlaptop, auf dem nicht die Kinder spielen, ist der billigste Sicherheitsgewinn, den es gibt.
Updates auch zu Hause. Ein Gerät, das nie im Büro steht, bekommt oft auch nie ein Update. Das muss anders gelöst werden als über „steckt ja regelmäßig im Netz".
Der Fehler, den wir am häufigsten finden
Fernwartungssoftware, die auf jedem Rechner läuft, mit einem Passwort, das in der ganzen Firma dasselbe ist, und ohne zweiten Faktor. Meist eingerichtet, als es schnell gehen musste.
Wer so etwas hat, sollte es diese Woche ändern. Diese Programme sind für Angreifer bequem: Sie sind legitime Software, laufen mit Berechtigungen und fallen keinem Virenscanner auf.
Was wir meistens vorschlagen
Für Betriebe ohne Server im Haus: Cloud plus zwei Faktoren, kein VPN. Weniger Technik, weniger Angriffsfläche, und es funktioniert von jedem Gerät.
Für Betriebe mit Fachsoftware im Haus: VPN mit zwei Faktoren, und darüber Fernwartung auf einen Terminalserver statt auf einzelne Arbeitsplätze. Dann liegt nichts auf dem Heimrechner.
Was nicht passt, ist die Antwort „läuft doch". Sie stimmt genau bis zu dem Tag, an dem sie nicht mehr stimmt.