Staatlich verordnete Sicherheit – das IT-SiG 2.0 kommt

Staatlich verordnete Sicherheit – das IT-SiG 2.0 kommt mit hohen Anforderungen, neuen kritischen Infrastrukturen (KRITIS) und noch höheren Bußgeldern.

Bereits im Dezember 2020 hat der Bundestag den Referentenentwurf des neuen IT-SiG 2.0 verabschiedet. Diese Version des Gesetzes kommt mit neuen Hürden für die Betreiber kritischer Infrastrukturen, weitreichenderen Befugnissen für das BSI und Bußgeldern, die sich in der Höhe an denen der DS-GVO orientieren. Zukünftig werden auch die Entsorger als kritische Infrastruktur behandelt und zudem ist vorgesehen, das Gesetz auf weitere Unternehmen von „öffentlichem Interesse“ auszuweiten. Welche Unternehmen das genau sind, bleibt bisher jedoch offen – es könnte sich dabei neben Unternehmen aus der Rüstungsindustrie auch um die Top 100 und DAX-Unternehmen handeln.

Diese gesetzlich verordnete Sicherheit sieht auch massive Änderungen für die Sicherheitsstandards vor. Bisher wurden die Anforderungen nur implizit durch die Einführung und Etablierung eines ISMS nach ISO 27001 oder den Branchenstandards B3S benannt.

Jetzt wird jedoch explizit ein System zur Angriffserkennung (SIEM) gefordert. Demnach muss vom Unternehmen künftig, nachgewiesen werden, dass es funktionierende technische und organisatorische Prozesse gibt, die eine zuverlässige Erkennung von Angriffsversuchen gewährleisten. Zusätzlich wird es mit dem Inkrafttreten des IT-SiG 2.0 eine Meldepflicht bei Verwendung von „als nicht vertrauenswürdig eingestuften Komponenten“ geben, sofern diese in kritischen Bereichen eingesetzt werden. Die Einstufung, welche Komponenten als nicht vertrauenswürdig gelten, wird künftig über das BSI erfolgen. Die Betreiberunternehmen müssen den Nachweis erbringen, dass nur entsprechend gekennzeichnete Komponenten eingesetzt werden oder ggf. einen Rückbau oder Austausch veranlassen.

Das BSI erhält weitere Befugnisse und darf damit auch aktiv Portscans durchführen und Honeypots oder Sinkholes betreiben, um Schwachstellen und Angriffsszenarien aufzuspüren. Zudem werden Unternehmen verpflichtet, noch aktiver Vorfälle zu melden deren Daten und Informationen dann beim BSI erfasst und für bis zu 18 Monaten gespeichert werden – dazu zählen möglicherweise dann auch personenbezogene Daten.

KRITIS-Betreiber sollten sich also bereits jetzt, insbesondere bei der Umsetzung neuer Projekte, mit den Anforderungen des IT-SiG 2.0 beschäftigen und diese proaktiv berücksichtigen. Dies erspart Zeit und Nachbesserungsaufwand und verschafft ggf. einen zeitlichen Vorteil bei den Umsetzungsfristen. Vermutlich werden diese aufgrund der zunehmenden Cyber-Angriffe entsprechend kurz ausfallen.

 

/von

Wie sieht Ihr Plan B aus?

Praktisch jeden Tag gibt es in den Medien Berichte zu Bränden, Hackerangriffen, Stromausfällen, kilometerlangen Staus auf den Straßen…oder auch die Corona-Pandemie.

Zwischenfälle, auf die wir nicht vorbereitet sind, können durchaus fatale Folgen haben. Wenn essenzielle geschäftliche Prozesse zwangsweise ruhen und somit kein oder kaum Umsatz generiert wird, kann das für ein Unternehmen finanzielle Verluste und je nach Lage u.U. massive Imageschäden zur Folge haben. Beispiele dafür sehen wir jeden Tag…Klinikum Düsseldorf, das Wasserwerk in den USA oder das Heizkraftwerk in Frankfurt…um nur einige tagesaktuelle Fälle zu nennen.
Im Frühjahr 2020 hat uns alle ein Szenario eingeholt, von dem alle dachten, dass es in der heutigen Zeit sehr unwahrscheinlich ist. COVID-19 – mit den weitreichenden Folgen der Pandemie hat kaum jemand gerechnet. In solchen Situationen ist es wichtig, richtig zu reagieren und zielgerichtet zu handeln. Jeder sollte wissen, was zu tun ist und vor allem wie der Geschäftsbetrieb aufrechterhalten werden kann. Dies wird sehr viel leichter, wenn vorab festgelegt wurde, wie ein alternativer Prozess aussehen kann und wer für welche Aufgaben zuständig ist. Hier sind die richtigen Entscheidungen zu treffen, was nicht so einfach ist. Ein Organigramm mit den entsprechenden Rollenverteilungen in der Schublade zu haben, ist da sehr hilfreich. Wer ist im Krisenstab, wie operiert das Notfall-Team und woher kommt ggf. Unterstützung. Die Geschäftsführungsebene muss die strategische Ausrichtung des Krisenmanagements und die Zusammenarbeit mit externen Interessengruppen im Blick behalten, während die Mitarbeiter „den Laden am Laufen“ halten. Neben der fachlichen Eignung ist auch auf Handlungsfähigkeit in Ausnahmesituationen zu achten. Ist der Geschäftsprozess während eines Notfalls sichergestellt, welche Änderungen ergeben sich im Ablauf und sind alle Mitarbeiter entsprechend geschult? Diese und andere Fragen stellen sich.

Ein Business Continuity Management (BCM) hilft dabei einen durchdachten Plan B zu haben. Es bereitet Unternehmen auf kritische Situationen vor, definiert die wertschöpfenden Prozesse und deren maximale Ausfall-Toleranz und sieht Maßnahmen vor, wie die Fortführung dieser Prozesse abzusichern ist. Betrachtet werden Fragen wie:

  • Wo ist unser Unternehmen am verletzlichsten?
  • Welcher Prozess darf auf keinen Fall ausfallen?
  • Welche Ressourcen brauchen wir, um den Prozess aufrechtzuerhalten?

Kurzum – Welchen Plan B haben wir?

Was Sie auch interessieren könnte:

Seminar:

“Business Continuity Management (BCM) nach ISO 22301”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von

Risikomanagement im ISMS (Teil 2)

Identifikation von Risiken

Im ersten Teil unserer Serie zum Risikomanagement im ISMS haben wir uns allgemein über den Stellenwert des Risikomanagements im ISMS nach ISO 27001 unterhalten. In diesem zweiten Teil soll es um die Risikoidentifikation gehen.

Grundlage der Risikoidentifikation sind die Werte bzw. die Informationswerte des Unternehmens. Ihre Inventarisierung ist ein Muss. Nun gilt es, Gefährdungen für diese Werte zu identifizieren. Ausgangspunkt hierfür können bestehende Gefährdungskataloge sein, wie sie z.B. im Anhang der ISO 27005 oder im BSI IT-Grundschutzkompendium dargestellt werden. In solchen Katalogen finden sich verständlicherweise nur allgemeine, für viele Organisationen zutreffende Gefährdungen wieder. Daher ist es notwendig, darüber hinausgehende spezifische Gefährdungen für die eigene Organisation und die eigenen Werte zu identifizieren.

Eine klassische Methode zur Identifikation spezifischer Risiken sind Experteninterviews. Experten sind dabei u.a. die Kollegen, die mit den gefährdeten Werten täglich zu tun haben, insbesondere auch die Werteverantwortlichen (asset owner i.S. der ISO 27011.2013 A.8.1.2). Sie kennen typische Gefahren und können diese benennen. So finden wir auch Risiken, die das zentrale Risikomanagement niemals entdeckt hätte. Zu Beginn, in den ersten Durchläufen des Risikomanagements, eignen sich gut freie Interviews, bei denen man die Experten „einfach mal reden lässt“. Später können diese Interviews strukturierter durchgeführt werden, was die Auswertung erheblich vereinfacht.

Ein Beispiel für eine geeignete Kreativmethode zur Risikoidentifikation ist die Kopfstandtechnik, auch Umkehrtechnik oder Flip-Flop-Technik genannt. Dabei geht es darum, einmal zu überlegen, wie man ein Risiko selbst herbeiführen bzw. verwirklichen könnte, z.B. „Was müssen wir tun, um erfolgreich Datenträger aus dem Unternehmen herauszuschmuggeln?“ Die Methode soll zum Entwickeln ungewöhnlicher Ansätze anregen und so Risiken sichtbar machen, auf die man aus der Verteidigersicht nicht oder nur schwer gekommen wäre. Und Spaß macht es auch noch, zumindest im Gedanken einmal der Bösewicht sein zu dürfen.

Die nächste Folge dieser Reihe wird sich mit der Analyse und Bewertung der identifizierten Risiken beschäftigen.

Was Sie auch interessieren könnte:

Seminar:

„Risikomanagement im ISMS“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Sicheres Arbeiten im Home Office – leicht gesagt, …

… denn es stellt sich oft nicht die Wahlmöglichkeit, sehr frei nach einem deutschen Politiker: „Lieber gar kein Home Office, als ein schlechtes Home Office.“ In der ersten Welle der Corona-Pandemie galt es vorrangig „den Laden am Laufen zu halten“, und entsprechend hemdsärmelig waren viele Lösungen – geschuldet der Tatsache, dass innerhalb kürzester Zeit umgesetzt werden musste, was sonst Wochen, wenn nicht Monate oder gar Jahre der Vorbereitung bedurft hätte.  Ein gutes Jahr später stellen sich andere Fragen: Wie kann ich das Home Office als Dauerlösung sicherer machen? Wie bekomme ich meine Mitarbeiter aus dem Home Office wieder zurück?

Dabei gehört zum sicheren Arbeiten im Home Office weit mehr als nur eine Einwahlmöglichkeit ins Firmennetz oder die Verteilung von Notebooks. Die Situation in den heimischen vier Wänden unterscheidet sich deutlich von der an der Arbeitsstelle. Im Büro kann man bei einem Kaffee mit einem Kollegen dienstliche Angelegenheit besprechen – zu Hause beaufsichtigt man das Kind parallel zum E-Mail lesen. Im Büro gibt es Hilfe von der IT-Abteilung – zu Hause ist man selbst die IT-Abteilung. Im Büro hat man eine feste Telefonnummer – zu Hause sucht man nach einer passenden Plattform für Videokonferenzen.  Im Büro schaut sich der Betriebsarzt die Arbeitsplatzergonomie an – zu Hause sitzt man am Küchentisch. Im Büro …

Sie sehen – für das sichere Arbeiten im Home Office muss ein breites Spektrum an rechtlichen, methodischen, organisatorischen, psychologischen und auch technischen Fragen beantwortet werden. Und zwar nicht von der IT-Abteilung allein, sondern auch vom Unternehmen selbst sowie den beteiligten Sozialpartnern: Wie gestalten wir Home Office in Zukunft? Welche Chancen ergeben sich dadurch für unser Unternehmen? Wie erreiche ich im Home Office ein Sicherheitsniveau, das vergleichbar ist mit dem Büroarbeitsplatz?

Wir sind der festen Überzeugung, dass auch nach dem Ende der Corona-Pandemie Home Office eine wesentlich höhere Verbreitung als vorher haben wird – nur sicher muss es sein!

Als Anregung haben wir in unserem Downloadbereich eine kleine Liste mit solchen Hinweisen, die sonst oft übersehen werden. Sollten Sie weitergehende Unterstützung bei der Absicherung des Home Office benötigen, wenden Sie sich gerne an uns.

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

 

/von

Risikomanagement im ISMS (Teil 1)

Einführung

Durch ein Informationssicherheits-Managementsystem (ISMS) werden Verfügbarkeit, Vertraulichkeit und Integrität von Unternehmenswerten dauerhaft sichergestellt. Die Auswahl der angemessenen Maßnahmen erfolgt dabei grundsätzlich risikobasiert. Nur so kann vermieden werden, dass die stets knappen Ressourcen ineffizient eingesetzt werden.

Häufig werden Risiken aus dem Bauch heraus beurteilt. Die Gefahr, dass dabei Risiken überbewertet, unterschätzt oder schlicht übersehen werden, ist sehr groß. Die Auswahl der umzusetzenden Maßnahmen erfolgt heute oft aufmerksamkeitsbasiert. Die Corona Pandemie und der Umgang mit ihr zeigen uns dies täglich sehr eindrucksvoll.

Beim Risikomanagement im ISMS werden vorhandene Informationssicherheitsrisiken strukturiert identifiziert, erfasst und bezüglich ihrer Eintrittswahrscheinlichkeit und ihres potentiellen Schadensausmaßes analysiert und bewertet. Mit den erlangten Erkenntnissen können die Verantwortlichen entscheiden, wie mit den Risken umgegangen werden soll. Reduzieren, Vermeiden, Übertragen oder auch einfach Beibehalten sind dabei die vier grundlegenden Risikobehandlungsoptionen. Auf dieser Basis werden nachfolgendend Maßnahmen ausgewählt und von den Verantwortlichen genehmigt. Die erwarteten Restrisiken werden von ihnen akzeptiert. Die Umsetzung der Risikobehandlungsmaßnahmen wird geplant und die Planung umgesetzt.

Risiken müssen laufend überwacht und ihre Analyse und Bewertung regelmäßig und auch anlassbezogen überprüft werden. Dies führt im Ergebnis zu einem Informationssicherheits-Risikomanagementsystem (ISRM). Für ein solches gibt es diverse Vorschläge, Normen und Standards. In der ISO 27000er-Reihe macht die ISO 27005 ein entsprechendes Angebot.

Die Auswahl der grundlegenden Vorgehensweise sowie die konkrete Ausgestaltung muss dabei immer dem einzelnen Unternehmen und seinem Kontext angepasst werden. Nur so ist eine jeweils passende und auch angemessen Vorgehensweise gewährleistet. Deutliche Unterschiede gibt es z.B. bei der Verteilung der Verantwortlichkeiten und Kompetenzen sowie bei den genutzten Methoden. Im Ergebnis unterscheidet sich dann das Risikomanagement einer Behörde deutlich von dem eines agilen Softwareentwicklungsunternehmens.

Was Sie auch interessieren könnte:

Seminar:

„Risikomanagement im ISMS“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Wirksamkeitsmessung im ISMS – ist ein Stein nur ein Stein?

Könnten Sie auf Anhieb einen ungeschliffenen Diamanten von einem einfachen Glaskristall unterscheiden? Oder sieht er auf den ersten Blick nur aus wie ein Stein?
Um den wahren Wert zu erkennen, muss also nachgemessen werden. Und dabei sagt nicht etwa die Größe oder das Gewicht etwas über die Natur des Steines aus, sondern die chemische Zusammensetzung.

Genauso ist es auch bei der Bewertung eines Informationssicherheitssystemes. Es muss nicht nur geprüft werden, ob das System eingeführt und umgesetzt ist, es müssen auch die richtigen Werte gemessen werden, um zu sehen ob es richtig läuft.

Die ISO 27001 schreibt in Kapitel 9 die Bewertung der Leistung vor. Allerdings überlässt sie es der Organisation „was überwacht und gemessen werden muss, einschließlich der Informationssicherheitsprozesse und Maßnahmen“ sowie „die Methoden zur Überwachung, Messung, Analyse und Bewertung, sofern zutreffend, um gültige Ergebnisse sicherzustellen“ (ISO/IEC 27001:2013, 9.1a) und 9.1b)). Begrenzt hilfreich ist die ISO/IEC 27004 „Monitoring, Measurement, Analysis and Evaluation“, die zumindest Hinweise gibt, wer was wann und wie messen und bewerten sollte und im Annex B sogar ausführliche Beispiele für den Aufbau eines Messsystems aufgeführt werden. Jedoch kann hier die Masse und Ausführlichkeit vor allem für kleine und mittlere Unternehmen erschlagend wirken und ist auch gar nicht vollumfänglich notwendig.

In unserem Ein-Tages-Seminar „Wirksamkeitsmessung“ (online und Präsenz) erlangen Sie die Kompetenz, mit den richtigen Methoden Ihre Maßnahmen im ISMS zu bewerten. Welche Schwachstellen müssen beobachtet, gesteuert und letztendlich gemessen werden? Welchen Kennzahlen sollten zu Rate gezogen werden und was sagen sie überhaupt aus? Mit Hilfe dieser Kenntnisse können Sie dann die Wirksamkeit Ihres ISMS überprüfen und erkennen, ob Sie einen Diamanten oder einen Glaskristall in der Hand halten.

Was Sie auch interessieren könnte:

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von

Cybersicherheit für die Digitalisierung der Energiewirtschaft (Smart Meter)

Das Bundesamt für Sicherheit in der Informationssicherheit (BSI) hat am 31. Januar 2020 die lang erwartete Markterklärung für intelligente Messsysteme vorgelegt. Damit beginnt die verpflichtende Ausstattung von Messstellen mit Smart Metern zunächst bei Letztverbrauchern mit einem Stromverbrauch von 6.000 bis 100.000 Kilowattstunden im Jahr. Darunter fallen neben verbrauchsstarken Haushalten vor allem kleine bis mittlere Unternehmen.

Eine erfolgreiche digitale Transformation kann nur mit der frühzeitigen Entwicklung und Bereitstellung von allgemein verbindlichen Sicherheitsstandards und Maßnahmen zur Sicherung der Vertrauenswürdigkeit digitaler Infrastruktur gelingen. Im Zuge der Energiewende gehören Smart-Meter-Gateways (SMWG) zu den Schlüsseltechnologien und sind ein gutes Beispiel dafür, welchen Einfluss digitale und vernetze Technologien auf den Alltag der Verbraucher haben werden und wie wichtig in diesem Zusammenhang die frühzeitige Umsetzung von hohen Vorgaben zum Datenschutz und IT-Sicherheit sind („Security & Privacy by Design“). Denn nur wenn Staat, Wirtschaft sowie Bürgerinnen und Bürger auf den Schutz ihrer Daten vertrauen können und ihre IT-Systeme gegen zunehmende Bedrohungen ausreichend geschützt sehen, wird diese digitale Transformation gelingen und deren Potenzial auch voll ausgeschöpft werden können.

Quelle: BSI

/von

Wirtschaftsschutz ruft zur erhöhten Aufmerksamkeit im Security-Bereich auf!

Home-Office, Quarantäne, Notbesetzung, Arbeitsverdichtung und viele weitere Herausforderungen machen die Lage für Unternehmen derzeit unsicher. Die Gefahr, dass Cyberkriminelle dies ausnutzen, ist nicht zu unterschätzen.

Ransomeware-Angriffe z.B. erfolgen häufig durch E-Mails, in denen Drohszenarien aufgebaut oder benötigte Waren angeboten werden. Beides ist im Zusammenhang mit dem neuen Coronavirus ein Leichtes. Beispiele dafür sind Angebote von Desinfektionsmitteln, Ratgeber wie mit Infektionen umgegangen werden muss, etc.

Wir empfehlen Ihnen, mit E-Mails dieser Art besonders vorsichtig umzugehen. Prüfen Sie den Absender, den Betreff und die Formulierungen sehr genau. Wenn Sie unsicher bezüglich der Glaubwürdigkeit sind, öffnen Sie diese E-Mails nicht oder wenn es sein muss, nur auf einem vom Netz getrennten, alleinstehenden Rechner. Wenn dieser Rechner dann befallen oder verschlüsselt wird, ist der Schaden begrenzt. Treffen Sie dennoch auf ein für Sie relevantes Thema, informieren Sie sich aktiv ausschließlich über amtliche bzw. offizielle Stellen.

Besonders in diesen außergewöhnlichen Zeiten ist Security-Awareness ein wichtiges Thema. Ihre Mitarbeiter werden derzeit, genau wie alle anderen Menschen, von der Lage verunsichert sein, so dass man die normalerweise herrschende Achtsamkeit nicht immer voraussetzen kann. Weisen Sie Ihre Mitarbeiter daher noch einmal auf diese besondere Situation hin. Kein Unternehmen braucht noch zusätzliche Probleme und auf die „Ganoven-Ehre“, diese dramatische Situation nicht auszunutzen, sollte niemand setzen.

 

Quelle: Niedersächsisches Ministerium für Inneres und Sport

/von
,

Corona-Pandemie – Datenschutzkonformes Arbeiten im Home Office

Von Hans-Christian Schellhase, ANMATHO AG

Deutschland steht in Zeiten von COVID-19 (fast) still, im öffentlichen Raum bewegen sich nur Wenige. Schaut man jedoch in die Häuser und Wohnungen, finden sich dort momentan improvisierte Schulen, Spielplätze, Toilettenpapier-Lager, Fitness-Studios aber auch Büros, denn viele Beschäftigte arbeiten momentan im Home-Office. Diese Art der Arbeit ist allerdings eine, die datenschutzspezifische Herausforderungen mit sich bringt. Was sollte also hinsichtlich der Arbeit im Home-Office in Sachen  Datenschutz beachtet werden?

Was sollten Beschäftigte im Home-Office beachten?

Arbeitet ein Beschäftigter im sog. Home-Office, also flexibel von Zuhause aus, ist er dabei regelmäßig dem gleichen datenschutzrechtlichen Regelwerk unterworfen wie auch bei der Arbeit im Büro:

  • Werden personenbezogene Daten also auch im Home-Office verarbeitet, dies ist regelmäßig der Fall, muss der Beschäftigte darauf achten, dass diese Daten nicht von Dritten – insbesondere Familienmitgliedern – eingesehen oder sonst wahrgenommen werden können. Dokumente sollten etwa nicht für alle einsehbar auf dem Küchentisch oder im Wohnzimmer ausgebreitet und Bildschirme so gedreht werden, dass Dritte ihre Inhalte nicht erkennen können. Auch Telefonate sollten möglichst nicht in Anwesenheit anderer geführt werden. Schaffen Sie sich gerne Zuhause – soweit möglich – einen eigenen Bereich zum Arbeiten.
  • Optimal wäre es nach Möglichkeit in einem separaten, abschließbaren Raum zu arbeiten. Ist dies nicht möglich, sollte zumindest die Aufbewahrung aller personenbezogenen Daten, vornehmlich aller betrieblichen Unterlagen, in einem abschließbaren Schrank erfolgen.
  • Die vom Arbeitgeber für die Tätigkeit im Home-Office bereitgestellten technischen Geräte, vornehmlich Smartphones und Laptops, sollten zudem nicht privat genutzt werden, soweit für eine private Nutzung keine entsprechenden Vereinbarungen mit dem Arbeitgeber bestehen. Kinder dürfen diese Geräte also nicht für Hausaufgaben, das Surfen im Internet oder Computerspiele verwenden. Zudem sollte das jeweilige Geräte gesperrt werden, wenn es – ggf. auch nur kurzzeitig – nicht genutzt wird.
  • Berufliche E-Mails dürfen auch im Home-Office nicht zu ihrer Bearbeitung an private E-Mail-Postfächer der Beschäftigten weitergeleitet werden. Darüber hinaus dürfen – wie im Büro – auch keine Clouddienste über den privaten Account des Beschäftigten genutzt werden, um etwa betriebliche Dokumente oder andere Daten mit anderen Beschäftigten oder Dritten auszutauschen, dies gilt ebenso für private USB-Sticks oder Festplatten, die ebenso nicht für die berufliche Tätigkeit verwandt werden dürfen. Jeder Beschäftigte darf auch im Home-Office regelmäßig nur die Arbeitsmittel einsetzten, die ihm vom Arbeitgeber zur Verfügung gestellt wurden, hierdurch soll etwa auch ein Datendiebstahl durch Dritte verhindert werden.
  • Private Telefone oder Smartphones, die auch für die Arbeit im Büro nicht genutzt werden dürfen, dürfen auch im Home-Office nicht zur Erledigung der beruflichen Tätigkeit genutzt werden. Alle Beschäftigten müssen daher insbesondere auf Telefonate oder das Schreiben von Nachrichten mit den privaten Geräten zur Erledigung der beruflichen Tätigkeit verzichten, soweit es keine Bring-Your-Own-Device-Regelungen mit dem Arbeitgeber gibt.
  • Müssen Ausdrucke oder andere Papierdokumente vernichtet werden, sollte dies auch im Home-Office datenschutzkonform erfolgen. Ausdrucke von personenbezogenen Daten und anderen sensiblen Inhalten sollten somit nur mit Hilfe eines Schredders vernichtet oder zumindest mit einer gewissen Sorgfalt in kleine Stücke zerrissen werden.

Was muss der Arbeitgeber hinsichtlich einer Tätigkeit der Beschäftigten im Home-Office beachten?

Damit auch im Home-Office der Datenschutz nicht zu kurz kommt, treffen auch den Arbeitgeber gewisse Pflichten:

  • Der Arbeitgeber muss alle Beschäftigten zunächst auf die Problematik des Datenschutzes im Home-Office ausführlich hinweisen und sollte dies auch dokumentieren. Im Rahmen dieser Sensibilisierung sollte der Arbeitgeber wenigstens die oben erläuterten Punkte aufgreifen.
  • Der Arbeitgeber muss zudem den im Home-Office arbeitenden Beschäftigen eine IT-Ausstattung zur Verfügung stellen, mit der die datenschutzkonforme Arbeit auch möglich ist. Werden Laptops ausgegeben, sollte deren Festplatte etwa verschlüsselt werden. Das gilt auch für die vom Arbeitgeber ausgegebenen USB-Sticks oder andere Speichermedien. Auch Smartphones, samt Speichermedien wie SD-Karten, sind zu verschlüsseln.
  • Der Arbeitgeber sollte zudem alle Bildschirme von betrieblichen Geräten für das Home-Office mit entsprechenden Sichtschutzfolien ausstatten, damit deren Inhalte nur schwer eingesehen werden können, solche gibt es auch für Smartphones.
  • Der Zugriff auf das jeweilige Betriebssystem und auch alle anderen vom Arbeitgeber bereitgestellten elektronischen Endgeräte muss zudem mit einem Kennwort oder einer PIN versehen werden.
  • Die elektronische Datenübermittlung – etwa E-Mail – muss nach dem Stand der Technik verschlüsselt sein, Zugriffe auf die Systeme des Arbeitgebers sollten lediglich über VPN, SSL bzw. TLS möglich sein. Die eingesetzten Verschlüsselungen sollten darüber hinaus auf ihre Belastbarkeit getestet werden, bevor Beschäftigte sie in großer Zahl nutzen.
  • Es sollte weiter ein Konzept zum Umgang sowie hinsichtlich der Vernichtung von sensiblen Unterlagen und Ausdrucken aber auch zu den anderen bereits oben betrachteten Punkten erarbeitet werden. Hier wäre ebenfalls zu prüfen, ob der Arbeitgeber auch für das Home-Office Drucker, Scanner, Kopierer oder Schredder – zumindest zeitweise – zur Verfügung stellt.

 Die Bazooka für den Home-Office-Datenschutz: Die Home-Office-Richtlinie

Sofern zeitlich noch oder wieder möglich, sollte die Arbeit der Beschäftigten im Home-Office in einer Richtlinie geregelt werden, wobei bei der Formulierung einer solchen Richtlinie der Datenschutzbeauftragte sowie ggf. auch der Betriebsrat miteinzubeziehen sind.

Bleiben Sie tapfer und gesund!

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

ANMATHO-FORUM 2019

Wie jedes Jahr haben wir auch 2019 mit unserem ANMATHO-Forum gemeinsam mit unseren Kunden das Geschäftsjahr ausklingen lassen.

In weihnachtlichem Ambiente haben wir mit einem Live Hacking von Sebastian Schreiber von der SySS GmbH und mit mentaler Magie mit dem Mentalisten Thorsten Dankworth auf unterhaltsame Weise die Gefahren in unserer digitalen Welt aufgezeigt. Es wurde wieder einmal deutlich, wie wichtig die richtige Awareness, ein gutes Informationssicherheits-Management sowie Fortbildung in den Bereichen Informationssicherheit und Datenschutz ist.

Unter dem Motto „Neue Räume -neue Aufgaben“ haben wir unser neues Seminarprogramm 2020 vorgestellt, das mit unserem Umzug in unsere neuen Räumlichkeiten entstanden ist, um unsere Kunden bei der Sicherstellung ihrer Unternehmenswerte noch besser unterstützen zu können. Im Anschluss an die Vorträge hatten alle Teilnehmer die Möglichkeit, sich Einblicke in einzelne Seminarthemen zu verschaffen, einen Blick auf 1 ½ Jahre Datenschutz zu werfen oder an interaktiven Stationen Awareness-Tools zu testen. Gute Gespräche, ein konstruktiver Erfahrungsaustausch und ein reichhaltiges Buffet rundeten diesen Tag für alle ab.

Wir sagen noch einmal Danke an die Referenten und alle Teilnehmer, die diesen Tag auch für uns zu einem besonderen Ereignis gemacht haben.

/von

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Winterhuder Weg 82
22085 Hamburg

Tel: +49(0)4022947190
E-Mail: info@anmatho.de

Wir sind Mitglied im:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen

Cookie-Einstellungen