Immer mehr Unternehmen übernehmen flexible Arbeitsmodelle und ein Thema steht besonders im Fokus: der Datenschutz. Hybride Arbeitsmodelle bieten viele Vorteile, aber sie stellen Unternehmen auch vor neue Herausforderungen, wenn es darum geht, sensible Daten zu schützen.

Wie können Unternehmen sicherstellen, dass Datenschutzrichtlinien im Sinne des Art.32 DSGVO auch im Home-Office eingehalten werden? Dieser Beitrag beleuchtet die entscheidenden Aspekte und gibt wertvolle Tipps für den sicheren Umgang mit Daten bei Remote Work.

Wer kennt es nicht: Man sitzt im ICE und sieht, wie der Sitznachbar links fleißig am Laptop tippt. Schon ein leichter Blick aus dem Augenwinkel genügt, um das komplette Display und alle sensiblen Daten einzusehen. Ganz zu schweigen davon, dass der Berufstätige sich in das öffentliche WLAN eingeloggt hat und darüber arbeitet. Beim ersten Anblick mag es äußerst vorbildlich erscheinen, doch spätestens beim zweiten Blick sollte einem mulmig werden.

Wenn man bedenkt, dass ungesicherte Netzwerke nicht denselben Sicherheitsstandards unterliegen wie ein übliches Unternehmensnetzwerk, muss man sich stets vor Augen halten, dass dadurch ein erhöhtes Risiko von Datenlecks und Cyberangriffen besteht.

Es ist einleuchtend, dass man in einer traditionellen „Büro – Umgebung“ nicht mit derartigen Herausforderungen konfrontiert wird, doch genau hier liegt die Herausforderung für Unternehmen diese sichere „Büro – Umgebung“ im Sinne des Art. 32 DSGVO ins Home-Office zu verlagern.

Das richtige Equipment

Um das oben genannte Beispiel erneut aufzugreifen: Was hätte man in diesem Fall besser machen können? Es wäre durchaus sinnvoll, wenn der Arbeitgeber dem Arbeitnehmerkostenlos eine Sichtschutzfolie zur Verfügung stellt. Der Arbeitnehmer ist dann dafür verantwortlich, diese korrekt am Firmenlaptop anzubringen – besonders, wenn er den Laptop häufig in der Öffentlichkeit nutzt.

VPN: Schutz der Kommunikation durch Verschlüsselung

Die Verwendung eines VPN (Virtual Private Network) ist besonders hilfreich, um die Sicherheit der Remote Arbeit zu gewährleisten. Ein VPN stellt eine verschlüsselte Verbindung zwischen dem Remote Mitarbeiter und dem Unternehmensnetzwerk her. Anders ausgedrückt: Die Datenübertragung zwischen dem Nutzer und dem VPN – Server wird verschlüsselt, was die Daten vor unbefugtem Zugriff während der Übertragung über das Internet oder unsichere Netzwerke schützt.

Die Herausforderung besteht darin, ein VPN so einzurichten, das einfach zu bedienen ist und gleichzeitig robuste Sicherheitsmaßnahmen bietet. Wenn Sie einen vertrauenswürdigen VPN-Anbieter wählen und sicherstellen, dass alle Mitarbeiterausreichend geschult sind, um eine VPN – Verbindung korrekt herzustellen und zu trennen, können Sie als Unternehmen das Risiko von Datenlecks und Cyberangriffen erheblich reduzieren. Vernachlässigen Sie dabei nicht, die VPN-Verbindungen auch regelmäßig zu überwachen, um ungewöhnliche Aktivitäten frühzeitig zu erkennen, vgl. Art. 32 Abs.1 d) DSGVO.

Sensibilisierungsmaßnahmen

Wie Sie feststellen, ist es von äußerster Wichtigkeit, dass sowohl Arbeitgeber als auch Arbeitnehmer in Bezug auf den Datenschutz kooperieren, um sicherzustellen, dass beide Parteien konform handeln. Es führt kein Weg daran vorbei, regelmäßige Schulungen zum Thema Datenschutz mit dem Schwerpunkt mobiles Arbeiten durchzuführen. Im Falle eines Datenschutzfalls sollten die Mitarbeiter so geschult sein, dass sie die Meldekette im Unternehmen kennen und die erforderliche Reaktionszeit einhalten, um das Risiko von Datenlecks und Cyberangriffen so schnell wie möglich zu minimieren, vgl.Art. 32 Abs. 1 c) DSGVO.

Multi-Faktor-Authentifizierung (MFA)

Sie sollten ernsthaft in Erwägung ziehen, starke Authentifizierungsmaßnahmen wie eine Multi-Faktor-Authentifizierung (MFA) zu implementieren. Hierbei wird durch die Integration mehrerer Faktoren zur Identitätsprüfung eine zusätzliche Sicherheitsebene erstellt, die das Kompromittieren von Konten durch simples Erraten erheblich erschwert. Es ist für die Mitarbeiter wichtig, eine Lösung zu implementieren, die nicht zu komplex ist, aber dennoch einen erweiterten Schutz bietet. Dafür bieten sich Software-Lösungen, die beispielsweise Hardware-Token oder Authentifizierungs-Apps verwenden.

BYOD– Richtlinien vereinbaren

Sofern im Unternehmen eine „Bring Your Own Devices – Richtlinie“ (BYOD) besteht und Mitarbeiter ihre persönlichen Geräte verwenden, ist es unerlässlich, konkrete Richtlinien zu vereinbaren. Diese Geräte sind oft nicht ausreichend geschützt oder werden von mehreren Personen verwendet. Beider Nutzung privater Geräte werden Unternehmensdaten und private Daten vermischt. Es müssen daher Richtlinien erstellt werden, die Problemstellungen wie Kontrollrechte, Datentrennung, Installation von Sicherheitssoftware und regelmäßige Updates abdecken.

Zusammenfassung

Die hier beschriebenen Herausforderungen sind nur ein Teil der gesamten Problematik. Oft folgt eine Herausforderung nach der nächsten. Doch keine Sorge: Für jedes Problem gibt es maßgeschneiderte Lösungen. Es kann überwältigend erscheinen, sich diesen Themen allein widmen zu müssen, aber Sie müssen das nicht. Ein externer Datenschutzbeauftragter kann Sie dabei unterstützen, alle Herausforderungen rechtssicher und effizient zu bewältigen.

Co-Author: Umut Aslan

Bildnachweis: kitzstocker