Sicher im Homeoffice: Checkliste für Mitarbeitende und Führungskräfte

Das BSI versteht unter Telearbeit jede auf Informations- und Kommunikationstechnik gestützte Tätigkeit, die ganz oder teilweise außerhalb der Geschäftsräume verrichtet wird (Baustein OPS.1.2.4). Am häuslichen Arbeitsplatz kann nicht die gleiche Sicherheit vorausgesetzt werden wie im Büro; er ist oft auch für Besuch oder Familienangehörige zugänglich. Deshalb verlangt das BSI, alle relevanten Aspekte der Telearbeit zu regeln und den Mitarbeitenden die Regeln oder ein Merkblatt auszuhändigen (OPS.1.2.4.A1).

Die Bausteine stammen aus dem IT-Grundschutz-Kompendium, Edition 2023. Das BSI löst das Kompendium durch Grundschutz++ ab; die Methodik soll laut BSI-Meilensteinplan am 27.10.2026 veröffentlicht werden. Die Anforderungen an das Homeoffice bleiben inhaltlich gültig.

• Telearbeitsvereinbarung schriftlich, mit den Orten, an denen gearbeitet werden darf (§ 2h Abs. 2 AVRAG)
• Regeln für die Telearbeit oder ein Merkblatt mit den Sicherheitsmaßnahmen ausgehändigt und regelmäßig aktualisiert (OPS.1.2.4.A1)
• Sicherheitsanforderungen an Homeoffice-Geräte festgelegt; nur Berechtigte haben Zugang, Nutzung nur für erlaubte Zwecke (OPS.1.2.4.A2)
• Digitale Arbeitsmittel bereitgestellt oder Kostenersatz für eigene Geräte vereinbart (§ 2h Abs. 3 AVRAG); bei privaten Geräten Risiko abgewogen (BSI)
• Sicherer Fernzugang eingerichtet, etwa ein kryptografisch abgesichertes VPN, beschränkt auf vertrauenswürdige Geräte und Personen (BSI)
• Geregelt, welche Kommunikationsmittel dienstlich genutzt werden dürfen und ob private Nutzung erlaubt ist (OPS.1.2.4.A7)
• Geregelt, welche Unterlagen und Datenträger nach Hause dürfen und wie sie transportiert werden (INF.8.A2)
• Mitarbeitende für die Gefahren sensibilisiert und in die Maßnahmen eingewiesen, regelmäßig wiederholt (OPS.1.2.4.A5)
• Ansprechperson für Hard- und Softwareprobleme benannt, Meldeweg für Verlust und Vorfälle bekannt (OPS.1.2.4.A9, BSI)
• Möglichkeit zur sicheren Entsorgung vertraulicher Unterlagen geschaffen (INF.8.A5)

• Dienstlich nur das vom Unternehmen bereitgestellte oder freigegebene Gerät nutzen
• Bildschirm sperren, sobald Sie den Platz verlassen, auch für kurze Zeit; Familie und Besuch nutzen das Gerät nicht
• Updates und Virenschutz nicht aufschieben; das BSI zählt aktuelle Patches und Signaturen zu den Standardmaßnahmen
• Laptop und mobile Datenträger verschlüsselt, wie es das BSI für tragbare Geräte empfiehlt
• Auf interne Systeme nur über den vorgesehenen sicheren Zugang zugreifen, etwa das VPN des Unternehmens
• Daten nicht dauerhaft lokal oder auf privaten Speichern ablegen; laut BSI werden wichtige Daten idealerweise gar nicht lokal gespeichert

• Router-Verwaltung mit eigenem, sicherem Passwort geschützt, sofern das Gerät kein individuelles Passwort ab Werk hat
• Router-Firmware regelmäßig auf Aktualisierungen prüfen und einspielen
• WLAN-Passwort mit mindestens 20 zusammenhanglosen Zeichen
• Standard-Netzwerknamen ersetzt, damit er nichts über Hersteller oder Modell verrät
• Fernzugriff auf den Router abgeschaltet, wenn Sie ihn nicht brauchen
• Gäste-WLAN für Besuch und unsichere Geräte, getrennt von Homeoffice-Anwendungen
• Router-Konfiguration nur über https aufrufen; Firewall-Einstellungen nur mit Fachkenntnis ändern

Öffentliche WLANs in Café, Hotel oder Zug: Auf interne Systeme nur über einen sicheren Kanal wie das VPN des Unternehmens zugreifen (BSI).

• Dienstliche Unterlagen und Datenträger in einem verschließbaren Schrank oder Rollcontainer aufbewahren (INF.8.A1)
• Arbeitsplatz aufgeräumt verlassen, keine vertraulichen Informationen offen liegen lassen (INF.8.A1)
• Fenster schließen und Türen absperren, wenn der Arbeitsplatz nicht besetzt ist (INF.8.A3)
• Wenn möglich, eigener Raum oder klar abgetrennter Bereich, ergonomisch eingerichtet (INF.8.A4)
• Ausdrucke vermeiden; vertrauliches Papier nicht in den Hausmüll, sondern nach Regel des Unternehmens entsorgen (INF.8.A5)
• Unterwegs Sichtschutzfolie nutzen und abwägen, welche Tätigkeiten an öffentlichen Orten nicht stattfinden (BSI)
• Vertrauliche Telefonate und Videokonferenzen so führen, dass Mitbewohner, Besuch oder Nachbarn nicht mithören; Kamera- und Bildschirmfreigabe vorher prüfen

Der Punkt zu Telefonaten und Videokonferenzen ist eine Empfehlung von TOMORIS; er folgt aus dem Hinweis des BSI, dass der häusliche Arbeitsplatz oft auch für Besuch oder Familienangehörige zugänglich ist.

1. 1

   Verlust sofort melden

   Gerät oder Datenträger verloren oder gestohlen: sofort über den bekannten Meldeweg melden, damit das Unternehmen Passwörter ändern und Zugänge sperren kann (BSI).

2. 2

   Verdacht melden, nicht selbst lösen

   Verdächtige E-Mails, ungewöhnliche Meldungen oder Anmeldeanfragen an die benannte Stelle melden, Beobachtungen notieren und Maßnahmen nur nach Anweisung setzen.

3. 3

   Support nutzen

   Bei Hard- oder Softwareproblemen die benannte Ansprechperson kontaktieren, statt Geräte selbst zu öffnen oder Software ohne Freigabe zu installieren (OPS.1.2.4.A9).

Die Checkliste ist eine Empfehlung von TOMORIS auf Grundlage der genannten BSI-Bausteine und -Empfehlungen. Gesetzlich vorgegeben sind in Österreich insbesondere die schriftliche Vereinbarung und die Arbeitsmittel nach § 2h AVRAG; für personenbezogene Daten gilt zusätzlich Art. 32 DSGVO.