Gut angebunden ist ein Arbeitsplatz zu Hause, wenn drei Dinge zusammenpassen. Der Zugriffsweg gibt nur frei, was gebraucht wird, das Gerät verwaltet Ihr Unternehmen, und die Anmeldung stützt sich nicht allein auf ein Passwort.
Risiken im Homeoffice: was sich gegenüber dem Büro ändert
Im Büro übernehmen Firewall, verschlossene Türen und ein verwaltetes Netzwerk einen Teil des Schutzes, der am Küchentisch fehlt. Typisch sind:
- Gemeinsames Heimnetz: Das Firmen-Notebook hängt im selben WLAN wie Spielkonsole, Fernseher und die Geräte der Kinder.
- Mitbenutzung durch Dritte: Ein Familienmitglied will nur kurz etwas nachsehen, das Gerät ist nicht gesperrt.
- Private Software: Zu Hause wird leichter ein Programm installiert, das niemand geprüft hat.
- Firmendaten in privaten Ablagen: Eine Datei wandert per privatem Cloud-Speicher oder USB-Stick zwischen Büro und Wohnung.
- Diebstahl: Eine Wohnung ist schlechter gesichert als ein Bürogebäude, und die Daten auf dem Notebook sind oft mehr wert als das Gerät.
- Falsche Anrufe: Allein zu Hause fehlt die kurze Rückfrage im Nachbarbüro. Darauf setzen Betrüger, die sich als IT-Abteilung ausgeben – eine Form von Social Engineering.
Das BSI behandelt diese Punkte in zwei Bausteinen seines IT-Grundschutzes. OPS.1.2.4 „Telearbeit“ nennt unter anderem fehlende Regelungen und die unerlaubte private Nutzung des Dienstrechners als Gefährdung. INF.8 „Häuslicher Arbeitsplatz“ beschreibt den Zugriff durch Besuch und das höhere Diebstahlrisiko (IT-Grundschutz-Kompendium des BSI (externe Website), aktuelle Edition 2023, Stand: Oktober 2026).
Zugriffswege im Überblick: VPN, Terminalserver, virtueller Desktop, Cloud-Dienste
| Zugriffsweg | Was übertragen wird | Wo die Daten liegen | Passt eher, wenn … |
|---|---|---|---|
| VPN | Netzverkehr, auch ganze Dateien | auf Server und Notebook | wenige Personen auf Dateiablage und interne Systeme zugreifen |
| Terminalserver | Bild, Ton und Eingaben | auf dem Server | viele mit derselben Fachanwendung arbeiten |
| Virtueller Desktop | Bild, Ton und Eingaben | im eigenen virtuellen Rechner | Personen unterschiedliche Programme oder eigene Rechte brauchen |
| Cloud-Dienste | Dateien und Daten der Anwendung | beim Cloud-Dienst | die Arbeit überwiegend in Mail, Ablage und Chat stattfindet |
VPN: das Notebook wird Teil des Firmennetzes
Ein VPN verbindet das Notebook verschlüsselt mit dem Firmennetz, sodass Netzlaufwerke und interne Programme erreichbar werden. Die Kehrseite: Ist das Notebook befallen, kann die Schadsoftware über den Tunnel alles erreichen, was die Regeln zulassen. Laut BSI-Baustein NET.3.3 sollten Sie deshalb festlegen, welche Teilnetze per VPN erreichbar sind, und nicht mehr benötigte Zugänge zeitnah deaktivieren. Ob statt des Netzzugangs eine Freigabe einzelner Anwendungen passt, klärt der Vergleich VPN vs. ZTNA. VPN-Zugänge richten wir im Rahmen unserer Leistung Firewall für Unternehmen ein und pflegen sie.
Terminalserver: Programme laufen zentral
Beim Terminalserver arbeiten alle in eigenen Sitzungen auf einem gemeinsamen Server. Zum Notebook gelangen nur Bildschirminhalt und Ton, die Dateien bleiben zentral. Für den Weg von außen empfehlen wir ein Gateway vor dem Server oder ein VPN, jeweils mit Zwei-Faktor-Anmeldung, statt eines Remotedesktop-Zugangs, der offen aus dem Internet erreichbar ist. Bemessung und Absicherung beschreibt unsere Seite Terminalserver einrichten.
Virtueller Desktop: ein eigener Rechner im Rechenzentrum
Bei einer Virtual Desktop Infrastructure (VDI) arbeitet jede Person auf einem eigenen virtuellen Windows-System. Wann sich der höhere Aufwand lohnt, zeigt der Vergleich Terminalserver vs. VDI.
Cloud-Dienste: die Anmeldung wird zum Schutzwall
Mail, Kalender, Dateiablage und Chat aus Microsoft 365 sind direkt über das Internet erreichbar, ohne Tunnel ins Büro. Hier entscheidet die Identität über den Zugriff: Konten in Microsoft Entra ID lassen sich je nach Lizenz mit Regeln versehen, etwa dass nur verwaltete Geräte Firmendaten öffnen dürfen. Der Gedanke, keinem Zugriff allein wegen seines Ortes zu vertrauen, heißt Zero Trust.
Die Wege lassen sich kombinieren, etwa Cloud-Dienste für die Kommunikation und ein Terminalserver für die Fachanwendung. Wie solche Bausteine einen Cloud-Arbeitsplatz für Unternehmen ergeben, beschreibt unser Leistungsbereich.
Firmengerät oder Privatgerät: wer die Kontrolle behält
Für Notebooks im Homeoffice empfehlen wir Firmengeräte, denn dann bestimmen Sie Updates, Schutzsoftware, Verschlüsselung und erlaubte Programme. Ein privates Gerät kann genügen, wenn es lediglich eine Terminalserver-Sitzung oder einen virtuellen Desktop anzeigt und die Dateien zentral bleiben. Die Abwägung zeigt der Vergleich BYOD vs. Firmengerät.
Genauso wichtig sind schriftliche Regeln. Der BSI-Baustein OPS.1.2.4 verlangt, alle relevanten Aspekte der Telearbeit zu regeln und den Beschäftigten die Regeln oder ein Merkblatt auszuhändigen. Hinein gehören etwa diese Fragen: Wer darf das Gerät benutzen, wo werden Dateien gespeichert, wie werden Unterlagen aufbewahrt, und wen rufen Mitarbeitende bei Problemen an? Hat Ihr Unternehmen einen Betriebsrat, bestimmt er bei der Ausgestaltung mobiler Arbeit mit (§ 87 Abs. 1 Nr. 14 BetrVG, Stand: Oktober 2026; keine Rechtsberatung). Beziehen Sie ihn deshalb früh ein.
MFA, Updates und Verschlüsselung als Grundausstattung
Unabhängig vom Zugriffsweg braucht jeder Arbeitsplatz zu Hause drei Maßnahmen:
- Zweiter Anmeldefaktor: Verlangen Sie für Zugänge von außen, ob VPN, Gateway oder Microsoft 365, neben dem Passwort eine Bestätigung per App oder Sicherheitsschlüssel. Mit dieser Multi-Faktor-Authentifizierung reicht ein erbeutetes Passwort allein nicht mehr. Bestätigungsanfragen, die niemand selbst ausgelöst hat, sollte Ihr Team ablehnen und melden.
- Updates ohne Umweg über das Büro: Notebooks, die selten im Firmennetz sind, brauchen ein Patch-Management, das Updates auch zu Hause verteilt, zum Beispiel über Microsoft Intune. Denken Sie auch an die Gegenstelle im Büro: Neue Firmware für die Firewall, an der die VPN-Verbindungen ankommen, gehört zügig eingespielt.
- Verschlüsselte Datenträger: Mit einer Festplattenverschlüsselung können Fremde die Daten eines gestohlenen Notebooks ohne Anmeldung nicht einfach auslesen.
Dazu kommt das Backup: Legen Sie Arbeitsstände zentral ab, denn Dateien, die nur auf dem Notebook liegen, können bei einem Defekt verloren gehen.
Telefonie und Erreichbarkeit
Kundinnen und Kunden sollten nicht merken, ob jemand im Büro oder zu Hause abhebt. Mit einer Cloud-Telefonanlage oder, bei passender Lizenz, mit Microsoft Teams als Telefonanlage telefonieren Mitarbeitende über eine App am Notebook oder Smartphone mit ihrer gewohnten Durchwahl. Welche Lösung zu Ihrem Betrieb passt, zeigt unsere Seite zur Telefonanlage für Unternehmen.
Leitet ein VPN den gesamten Datenverkehr über das Büro, nehmen auch Gespräche diesen Umweg, was die Sprachqualität beeinträchtigen kann. Außerdem muss der Telefonanbieter sicherstellen, dass bei einem Notruf die Daten übermittelt werden, die zur Ermittlung des Standorts nötig sind (§ 164 TKG, Stand: Oktober 2026; keine Rechtsberatung). Klären Sie daher, welche Anschrift für Nebenstellen hinterlegt ist, die regelmäßig zu Hause genutzt werden. Für die Erreichbarkeit helfen ein gepflegter Präsenzstatus und vereinbarte Kernzeiten.
Checkliste: Homeoffice sicher anbinden
- Zugriffsweg oder Kombination von Zugriffswegen festgelegt
- VPN-Freigaben auf die benötigten Teilnetze und Systeme begrenzt
- Remotedesktop nur über Gateway oder VPN, nicht offen im Internet
- Zweiter Anmeldefaktor für alle Zugänge von außen
- Firmengeräte mit zentraler Verwaltung, automatischen Updates und verschlüsselter Festplatte
- Schriftliche Regeln und Merkblatt: Mitbenutzung, Speicherorte, Unterlagen, Ansprechpersonen; Betriebsrat einbezogen, falls vorhanden
- Arbeitsdateien zentral gespeichert und in der Datensicherung
- Telefonie mit gewohnter Durchwahl, Notrufanschrift für Homeoffice-Nebenstellen geklärt
- Zugänge ausgeschiedener Mitarbeitender am letzten Arbeitstag gesperrt
- Regeln und Zugänge einmal im Jahr überprüft
So unterstützen wir Sie: Wir richten VPN-Zugänge auf Ihrer Firewall ein und bauen Terminalserver und zentrale Arbeitsplätze auf. Notebooks binden wir per Mobile Device Management für KMU in die zentrale Verwaltung ein. Die passende Kombination für Ihr Team finden wir gemeinsam im kostenlosen Erstgespräch.
Fazit: erst den Zugriffsweg wählen, dann absichern
Beginnen Sie mit einer Bestandsaufnahme: Welche Programme und Daten braucht Ihr Team zu Hause, und wo liegen sie? Daraus folgt der Zugriffsweg. Sichern Sie dann alle Zugänge mit zweitem Faktor, setzen Sie auf verwaltete Firmengeräte und halten Sie die Regeln schriftlich fest. Testen Sie die Anbindung zuerst mit zwei oder drei Mitarbeitenden, bevor das ganze Team umstellt.
Häufige Fragen
Muss für die Arbeit im Homeoffice der private Router ausgetauscht werden?
Nein, der vorhandene Router genügt in der Regel, wenn er noch Updates erhält und richtig eingestellt ist. Wichtig sind eine aktuelle Firmware, ein geändertes Administrator- und WLAN-Passwort und eine zeitgemäße WLAN-Verschlüsselung. Bietet der Router ein getrenntes Netz an, gehören vernetzte Haushaltsgeräte dorthin. Ersetzen Sie ein Gerät, das vom Hersteller nicht mehr aktualisiert wird.
Dürfen Familienmitglieder das Firmen-Notebook im Homeoffice mitbenutzen?
Nein, das sollten Sie ausschließen und schriftlich festhalten. Schon ein heruntergeladenes Spiel oder eine Browser-Erweiterung kann Schadsoftware auf das Gerät bringen, und geöffnete Kundendaten sind für Angehörige sichtbar. Ein eigenes Benutzerkonto für Angehörige löst das Problem nicht, denn Gerät und Netzverbindung bleiben dieselben.
Wann sollte der VPN-Zugang gesperrt werden, wenn jemand das Unternehmen verlässt?
Spätestens am letzten Arbeitstag. Nach dem BSI-Baustein NET.3.3 sind nicht mehr benötigte VPN-Zugänge zeitnah zu deaktivieren, und es ist regelmäßig zu prüfen, wer zugreifen darf. Am einfachsten gelingt das, wenn VPN, Microsoft 365 und Fachanwendungen an einer zentralen Benutzerverwaltung hängen und eine Austrittscheckliste den Ablauf festhält.
Dürfen Mitarbeitende Firmendaten im Homeoffice auf USB-Sticks speichern?
Davon raten wir ab, weil ein Stick leicht verloren geht und Daten an der zentralen Sicherung vorbeiführt. Das BSI empfiehlt, externe Schnittstellen restriktiv zu regeln und nicht zugelassene Wechseldatenträger an Clients zu untersagen (Baustein SYS.2.1). Ist ein Transport doch nötig, sollte der Datenträger verschlüsselt sein.
Kostenlose Beratung
Welcher Zugriffsweg passt zu Ihrem Homeoffice?
Wir klären, wie Ihr Team heute von zu Hause arbeitet, und schlagen einen Zugang vor, der zu Ihren Programmen und Daten passt.
Transparenzhinweis: Dieser Beitrag ist mit Unterstützung von KI-Werkzeugen entstanden. Die redaktionelle Verantwortung für Inhalt und Aussagen liegt bei der ProNet Systems GmbH.
