Homeoffice: VPN oder Fernzugriff, was ist sicher?

Drei Wege ins Büro von zu Hause

In der Praxis wird oft kombiniert: E-Mail und Dateien in der Cloud, dazu ein VPN für die eine Branchensoftware, die noch auf einem Rechner im Büro läuft. Wo die Daten am besten liegen, beschreibt der Ratgeber NAS oder Cloud-Speicher.

Was ist ein VPN genau?

Ein VPN (Virtual Private Network) ist eine verschlüsselte Verbindung über das Internet zwischen einem Gerät und dem Büronetz. Die Firewall im Büro nimmt die Verbindung an, prüft die Anmeldung und lässt den Laptop dann in die Netze, die für ihn freigegeben sind. Gängige Verfahren sind WireGuard, IPsec und OpenVPN; welches passt, hängt von der Firewall ab. Wichtiger als das Verfahren sind drei Dinge: Zwei-Faktor-Anmeldung, ein eigener Zugang je Person und Regeln, die den Zugriff auf das Nötige beschränken.

Ein klassisches VPN hat eine Schwäche: Wer einmal verbunden ist, sitzt im Netz und sieht oft mehr, als er braucht. Ist der Laptop zu Hause mit Schadsoftware infiziert, reist diese mit ins Büro. Deshalb gehört zum VPN immer eine Regel, welche Geräte und Dienste die verbundene Person erreichen darf, etwa nur den Server mit der Buchhaltung und den Drucker, nicht aber die anderen Arbeitsrechner.

Zugang nach dem Zero-Trust-Prinzip

Neuere Lösungen arbeiten nach dem Grundsatz, keinem Gerät automatisch zu vertrauen. Statt eines Tunnels ins ganze Netz bekommt jede Person nur Zugang zu einzelnen Anwendungen, und bei jeder Verbindung werden Konto, Gerät und Zustand geprüft. Für größere Betriebe mit vielen Standorten ist das oft der modernere Weg. Für ein Büro mit fünf Personen und einem Server ist ein sauber eingerichtetes VPN mit Zwei-Faktor-Anmeldung und engen Regeln in der Regel ausreichend und einfacher zu betreuen.

Warum ein offener Remote-Desktop-Port gefährlich ist

Der schnellste Weg zum Fernzugriff ist eine Portfreigabe am Router, damit der Bürorechner direkt aus dem Internet erreichbar ist. Genau das sollten Sie nicht tun. Solche offenen Zugänge werden laufend automatisiert abgesucht und mit Passwortlisten angegriffen; ein erratenes Passwort reicht, und der Angreifer sitzt im Büronetz. Ein offener Fernzugang ist ein bekannter Einstiegsweg für Verschlüsselungsangriffe. Fernzugriff gehört deshalb immer hinter ein VPN oder ein Gateway mit Zwei-Faktor-Anmeldung. Was im Ernstfall zu tun ist, beschreibt der Notfallplan bei Ransomware.

Und was ist mit Fernwartungs-Programmen?

Fernwartungs-Programme, mit denen ein Techniker kurz auf Ihren Bildschirm schaut, sind für Support gedacht, nicht als täglicher Arbeitszugang. Wenn sie dauerhaft unbeaufsichtigt laufen sollen, brauchen sie ein Firmenkonto mit Zwei-Faktor-Anmeldung, eine Liste der erlaubten Geräte und ein Protokoll der Sitzungen. Private Gratis-Versionen mit einem geteilten Passwort sind im Betrieb ein Risiko. Astra IT Solutions nutzt Fernwartung für die Hilfe im Rahmen der IT-Betreuung, jeweils mit Zustimmung der Person am Gerät.

Checkliste: sicherer Zugriff von zu Hause

1. Firmengeräte statt private Laptops, mit aktuellem Betriebssystem, Festplattenverschlüsselung und Virenschutz.
2. Zwei-Faktor-Anmeldung für VPN, E-Mail und Cloud, ohne Ausnahme. Mehr dazu im Ratgeber Passwort-Manager und Zwei-Faktor-Anmeldung.
3. Ein eigener VPN-Zugang je Person, der beim Austritt am selben Tag gesperrt wird.
4. Zugriff nur auf die Netze und Server, die die Person braucht, nicht auf das ganze Büronetz.
5. Keine Portfreigaben für Remote Desktop, NAS-Oberflächen oder Kameras.
6. Updates für Laptop, VPN-Programm und Firewall regelmäßig und kontrolliert.
7. WLAN zu Hause mit WPA2 oder WPA3 und eigenem Passwort, Router des Haushalts aktuell.
8. Klare Regel, was bei Verlust oder Diebstahl des Laptops zu tun ist und wen man anruft.

Was der Arbeitsplatz zu Hause braucht

• Firmenlaptop mit Festplattenverschlüsselung, Virenschutz und automatischen Updates.
• Bildschirm, Tastatur, Maus und Headset, damit nicht täglich am kleinen Laptop gearbeitet wird.
• Stabile Internetverbindung; für Videokonferenzen zählt der Upload mehr als der Download.
• Einen Ort, an dem andere nicht mitlesen oder mithören, und einen versperrbaren Platz für Unterlagen.
• Drucken nach Möglichkeit vermeiden; wenn nötig, ein eigener Drucker statt des Familiengeräts mit Cloud-Konto.

Wenn mehrere Personen gleichzeitig per VPN auf Dateien im Büro zugreifen, wird der Upload des Büroanschlusses zum Engpass. Prüfen Sie das vor der Einführung, oder legen Sie die Dateien, die zu Hause gebraucht werden, in die Cloud.

So führen Sie ein VPN Schritt für Schritt ein

1. Klären, wer worauf zugreifen muss: alle auf alles, oder nur zwei Personen auf die Buchhaltung?
2. Firewall prüfen: Unterstützt sie ein aktuelles VPN-Verfahren und Zwei-Faktor-Anmeldung? Bekommt sie noch Updates?
3. Feste öffentliche IP-Adresse oder dynamischen DNS-Namen für den Büroanschluss einrichten.
4. VPN mit eigenem Zugang je Person anlegen, Zwei-Faktor-Anmeldung aktivieren, Regeln auf das Nötige beschränken.
5. VPN-Programm auf den Firmenlaptops installieren und mit jeder Person einmal gemeinsam testen.
6. Offene Portfreigaben am Router entfernen, die bisher für Fernzugriff genutzt wurden.
7. Zugänge dokumentieren und den Austritt in die Checkliste für Personalwechsel aufnehmen.

Was das Gesetz zur Telearbeit sagt

Seit 1. Jänner 2025 regelt § 2h des Arbeitsvertragsrechts-Anpassungsgesetzes (AVRAG) die Telearbeit, also regelmäßige Arbeit in der Wohnung oder an einem anderen Ort außerhalb des Unternehmens. Die Telearbeit samt Arbeitsort ist aus Beweisgründen schriftlich zu vereinbaren. Der Arbeitgeber hat die für regelmäßige Telearbeit erforderlichen digitalen Arbeitsmittel bereitzustellen. Davon kann abgewichen werden, wenn er die angemessenen und erforderlichen Kosten für private Geräte trägt, auch pauschal. Für die IT heißt das praktisch: Ein Firmenlaptop ist meist der einfachere Weg, weil Sie ihn selbst absichern und verwalten können. Für die Ausgestaltung der Vereinbarung fragen Sie im Zweifel Ihre Rechtsberatung oder Ihre Interessenvertretung.

Datenschutz im Homeoffice

Für personenbezogene Daten bleiben Sie auch im Homeoffice verantwortlich. Bildschirme, die Familienmitglieder mitlesen können, ausgedruckte Unterlagen am Küchentisch und private USB-Sticks sind typische Lücken. Ein kurzes schriftliches Merkblatt für die Beschäftigten hilft mehr als jede Technik. Es sollte auf einer Seite sagen, welche Geräte verwendet werden dürfen, wo Dateien gespeichert werden, wie mit Ausdrucken umzugehen ist und wen man bei einem Verdacht auf Phishing oder bei Verlust eines Geräts sofort anruft. Wie Sie das Team auf betrügerische E-Mails vorbereiten, steht im Ratgeber Phishing erkennen. In Arztpraxen und Kanzleien mit Gesundheitsdaten oder Berufsgeheimnissen gelten strengere Maßstäbe; klären Sie dort vorab, welche Daten überhaupt außer Haus bearbeitet werden dürfen.

Was kostet die Einrichtung?

Voraussetzung für ein VPN ist eine Firewall, die es sauber unterstützt. Ist sie schon vorhanden, wird das VPN als Einsatz nach Aufwand eingerichtet: 95 € netto pro Stunde im 15-Minuten-Takt, per Fernwartung ohne Anfahrt. Fehlt die Firewall, gehört der Zugang zur Einrichtung von Netzwerk, WLAN und Firewall, die bei Astra ab 490 € netto beginnt. Den Umfang bekommen Sie vorab schriftlich. Mehr zum Netzwerk finden Sie unter Netzwerktechnik, zu weiteren Schutzmaßnahmen unter IT-Sicherheit. Wie das Büronetz dahinter aufgebaut sein sollte, steht im Ratgeber Büro-Netzwerk und WLAN einrichten.

Ihr nächster Schritt

Prüfen Sie zuerst, ob von außen etwas erreichbar ist, das es nicht sein sollte, und ob alle Konten eine Zwei-Faktor-Anmeldung haben. Der kostenlose IT-Sicherheits-Check führt durch die wichtigsten Fragen. Wenn Sie einen sicheren Zugang für Ihr Team in Wien oder Umgebung brauchen, schreiben Sie uns über das Anfrageformular, wie viele Personen von zu Hause arbeiten und worauf sie zugreifen müssen.