Homeoffice ist sicher angebunden, wenn drei Dinge zusammenkommen: ein verschlüsselter Zugang ins Firmennetz oder zu den Firmendiensten, per VPN oder über gut abgesicherte Cloud-Dienste, eine Mehrfaktor-Anmeldung für jeden Zugang von außen und Firmengeräte, die zentral verwaltet, verschlüsselt und aktuell gehalten werden. Das private Notebook am Küchentisch mit Fernzugriff auf den Server ist die Variante, die wir am häufigsten vorfinden und am dringendsten ablösen. Marcel beschreibt, wie wir Homeoffice-Arbeitsplätze einrichten und welche Abkürzungen sich rächen.
Drei Wege ins Firmennetz: und welcher wann passt
Es gibt nicht den einen richtigen Zugang. Welcher passt, hängt davon ab, wo die Daten liegen und welche Programme im Homeoffice laufen müssen.
| Weg | Wie es funktioniert | Passt, wenn … | Worauf achten |
|---|---|---|---|
| VPN | Das Notebook baut einen verschlüsselten Tunnel zur Firewall im Büro auf und ist dann logisch im Firmennetz | Fileserver, Warenwirtschaft oder Branchensoftware im Büro stehen | MFA am VPN, nur die nötigen Netze freigeben, nicht das ganze Büro |
| Cloud-Dienste direkt | Nextcloud, Microsoft 365 oder eine Web-Anwendung werden über das Internet genutzt, ohne Tunnel | Die Daten ohnehin in einer Cloud oder einer eigenen Nextcloud liegen | MFA, Anmelderegeln, verwaltete Geräte, keine Freigabe per offenem Link |
| Remote Desktop über Gateway | Der Mitarbeiter arbeitet auf einem Rechner oder Terminalserver im Büro, übertragen wird nur das Bild | Programme lokal installiert sein müssen oder Daten das Büro nicht verlassen sollen | Nie direkt ins Internet, immer hinter VPN oder Gateway mit MFA |
Eine Regel gilt für alle drei: Kein Dienst wird ohne Schutz ins Internet gestellt. Ein Remote-Desktop-Port, der direkt von außen erreichbar ist, wird innerhalb von Stunden gefunden und durchprobiert. Das ist einer der häufigsten Einstiegspunkte bei Angriffen auf kleine Unternehmen, die wir nach einem Vorfall sehen.
VPN richtig einrichten
Für neue Installationen nutzen wir meist WireGuard oder, wo die Firewall es besser unterstützt, OpenVPN oder IPsec. WireGuard ist schlank, schnell und verbindet sich nach einem Wechsel zwischen WLAN und Mobilfunk von selbst neu. Wichtiger als das Protokoll sind die Einstellungen drumherum:
- Jeder Mitarbeiter hat eigene Zugangsdaten. Kein gemeinsames VPN-Konto für alle. Wer das Unternehmen verlässt, wird mit einem Klick gesperrt.
- Mehrfaktor-Anmeldung am VPN. Ein gestohlenes Passwort allein darf nicht reichen.
- Nur freigeben, was gebraucht wird. Die Buchhaltung braucht den Server mit der Buchhaltungssoftware, nicht die Kameras und nicht die Steuerung in der Werkstatt. Die Firewall regelt das je Gruppe.
- Protokollierung. Wer war wann verbunden? Im Ernstfall ist das die erste Frage.
- Standortvernetzung getrennt behandeln. Eine Filiale oder ein Lager wird per Site-to-Site-VPN zwischen zwei Firewalls angebunden, nicht über Einzelzugänge.
Ein VPN ist allerdings kein Allheilmittel. Wer im Tunnel ist, ist im Netz. Ist das Notebook kompromittiert, hat der Angreifer denselben Zugang. Deshalb ist der Zustand des Geräts mindestens so wichtig wie der Tunnel.
Mehrfaktor-Anmeldung für jeden Zugang von außen
Mehrfaktor-Anmeldung heißt: Neben dem Passwort braucht es einen zweiten Nachweis, meist einen Code oder eine Bestätigung auf dem Smartphone. Wir richten dafür in der Regel den Microsoft Authenticator oder den Google Authenticator ein, je nachdem, welche Dienste im Unternehmen laufen. SMS-Codes nutzen wir nur noch als Notlösung, weil sie sich abfangen oder umleiten lassen.
Die Frage ist nicht, ob MFA eingeschaltet wird, sondern wo. Unsere Liste: VPN, E-Mail und Microsoft 365, Nextcloud, Fernwartung, Admin-Zugänge zu Firewall und Servern, Passwort-Manager, Buchhaltung und Banking. Gerade die Admin-Konten werden gern vergessen, weil „die nutzt ja nur der Dienstleister“. Genau deshalb sind sie das lohnendste Ziel.
Zur Mehrfaktor-Anmeldung gehört ein Passwort-Manager, sonst werden die Passwörter wieder kurz und gleich. Wir setzen Vaultwarden ein, selbst gehostet oder als Dienst, mit geteilten Tresoren für Teams und einem Notfallzugang für die Geschäftsführung.
Geräteverwaltung: Firmengeräte statt privater Notebooks
Die sicherste VPN-Verbindung hilft nichts, wenn am anderen Ende ein privater Rechner hängt, auf dem die Kinder spielen, seit einem Jahr keine Updates laufen und der Nutzer Administrator ist. Unser Standard für Homeoffice-Geräte:
- Zentrale Verwaltung. Windows-Geräte in einer Microsoft-Umgebung verwalten wir mit Intune, Apple-Geräte über ein MDM. Neue Geräte werden so eingerichtet, dass sie beim ersten Start automatisch ihre Einstellungen bekommen.
- Festplattenverschlüsselung. BitLocker oder FileVault, mit hinterlegtem Wiederherstellungsschlüssel. Ein gestohlenes Notebook ist dann ein Hardwareverlust, kein Datenleck.
- Updates automatisch, mit Rückmeldung an uns, welches Gerät hinterherhängt.
- Keine Administratorrechte im Alltag. Software kommt über die Verwaltung, nicht über Downloads.
- Fernsperren und Fernlöschen, wenn ein Gerät verloren geht oder jemand ausscheidet.
Private Geräte schließen wir nicht grundsätzlich aus, aber wir begrenzen sie: Zugriff auf E-Mail und Dateien über geschützte Apps oder den Browser, keine lokalen Kopien von Firmendaten, kein VPN ins Firmennetz. Unsere Meinung: Wer regelmäßig von zu Hause arbeitet, bekommt ein Firmengerät. Das ist günstiger als jede Ausnahmeregel.
Das Heimnetz und der Faktor Mensch
Das WLAN zu Hause verwaltet der Mitarbeiter, nicht die Firma. Ein paar Empfehlungen geben wir trotzdem mit: den Router aktuell halten, ein eigenes Passwort statt des Aufklebers, und das Firmengerät nicht im selben Netz wie Smart-TV, Kameras und Spielekonsole, sondern im Gästenetz des Routers, wenn er eines hat.
Der größere Hebel sind Gewohnheiten. Im Homeoffice fehlt der kurze Weg zum Kollegen, der sagt: „Die Mail ist komisch.“ Deshalb gehört zu jeder Einrichtung eine kurze Einweisung, woran man Phishing erkennt, wo man etwas meldet, dass Papierausdrucke mit Kundendaten nicht ins Altpapier gehören und dass der Bildschirm gesperrt wird, wenn man den Raum verlässt. Das klingt banal und ist trotzdem der Teil, der am häufigsten fehlt.
Fazit
Homeoffice sicher anzubinden heißt: den passenden Zugangsweg wählen, jeden Zugang von außen mit Mehrfaktor-Anmeldung schützen und Firmengeräte verwalten, verschlüsseln und aktuell halten. VPN, MFA und Geräteverwaltung sind dabei keine Alternativen, sondern greifen ineinander. Die Einrichtung ist überschaubar, wenn sie einmal sauber gemacht wird, und teuer, wenn sie nach einem Vorfall nachgeholt werden muss. Wie wir Netze und Standorte anbinden, steht unter Netzwerk und WLAN; die laufende Absicherung beschreiben wir unter Cyber-Security.
Häufige Fragen
Brauche ich ein VPN, wenn wir Microsoft 365 oder Nextcloud nutzen?
Nicht unbedingt. Liegen alle Daten in Cloud-Diensten, reicht der direkte Zugang mit Mehrfaktor-Anmeldung und verwalteten Geräten. Ein VPN brauchst du, sobald Server, Branchensoftware oder Fileserver im Büro stehen, auf die von zu Hause zugegriffen wird.
Welche Authenticator-App sollen wir nutzen?
In Microsoft-Umgebungen den Microsoft Authenticator, weil er mit Microsoft 365 und Entra ID am besten zusammenarbeitet. Für andere Dienste funktioniert der Google Authenticator oder die Codefunktion des Passwort-Managers. Wichtig ist, dass es eine einheitliche Lösung gibt und ein Weg für verlorene Smartphones geregelt ist.
Dürfen Mitarbeiter private Notebooks nutzen?
Technisch lässt es sich begrenzen, etwa auf Browserzugriff ohne lokale Datenablage. Für regelmäßiges Homeoffice empfehlen wir Firmengeräte, weil nur die zentral verwaltet, verschlüsselt und im Ernstfall gesperrt werden können. Arbeitsrechtliche Fragen dazu klärst du mit deiner Kanzlei.
Ist Remote Desktop unsicher?
Remote Desktop selbst nicht, wohl aber ein Remote-Desktop-Zugang, der direkt aus dem Internet erreichbar ist. Hinter einem VPN oder einem Gateway mit Mehrfaktor-Anmeldung ist es eine gute Lösung, vor allem wenn Daten das Büro nicht verlassen sollen.
Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.
