Ein verlorenes Notebook im Zug, ein privater Cloud-Ordner für eine «schnelle» Dateiübermittlung oder ein Gespräch mit Kundendaten im Café: Die grössten Risiken im Homeoffice entstehen selten durch komplexe Angriffe. Wirksame Sicherheitsmassnahmen für das Homeoffice setzen deshalb bei den alltäglichen Arbeitsabläufen an. Schweizer Unternehmen müssen Mitarbeitenden das flexible Arbeiten ermöglichen, ohne die Kontrolle über Personendaten, Geschäftsunterlagen und Zugänge zu verlieren.
Das seit 1. September 2023 geltende Schweizer Datenschutzgesetz verlangt in Art. 8 DSG angemessene technische und organisatorische Massnahmen; Art. 1 bis 6 DSV konkretisieren die Schutzziele, etwa Zugangs-, Zugriffs- und Transportkontrolle. Was angemessen ist, hängt unter anderem von der Menge, Sensibilität und Bearbeitung der Daten ab. Das Homeoffice ändert daran nichts: Der Arbeitgeber bleibt für die Datensicherheit verantwortlich, auch wenn die Bearbeitung am Küchentisch stattfindet. Für ein KMU bedeutet das nicht, jede denkbare Schutztechnik einzuführen. Entscheidend ist ein nachvollziehbares Sicherheitsniveau, das zu den tatsächlichen Risiken passt und im Arbeitsalltag funktioniert.
1. Klare Regeln für die Arbeit zu Hause
Homeoffice-Sicherheit scheitert oft nicht an fehlender Software, sondern an offenen Fragen: Darf ein privater Drucker verwendet werden? Wo werden Unterlagen abgelegt? Wer darf im Haushalt den Bildschirm sehen? Und was passiert bei einem Geräteverlust? Eine kurze, verständliche Homeoffice-Regelung beantwortet diese Punkte verbindlich und verhindert, dass jede Person eigene Lösungen sucht.
Die Regelung sollte festlegen, welche Daten ausserhalb der Geschäftsräume bearbeitet werden dürfen, welche Systeme dafür vorgesehen sind und welche privaten Hilfsmittel ausgeschlossen sind. Besonders schützenswerte Personendaten, etwa Gesundheits-, Sozial- oder Personaldaten, brauchen je nach Tätigkeit strengere Vorgaben. In einer Arztpraxis oder einem Treuhandbüro ist beispielsweise ein abgetrennter Arbeitsbereich zu Hause relevanter als bei einer Tätigkeit, die nur mit anonymisierten Produktionsdaten arbeitet.
Auch der Umgang mit Papier gehört dazu. Ausdrucke mit Kunden- oder Personaldaten sollten auf das Notwendige beschränkt, vor dem Zugriff Dritter geschützt und nach Gebrauch sicher entsorgt werden. Wer Unterlagen transportiert, sollte sie nicht sichtbar im Fahrzeug liegen lassen. Diese Regeln sind einfach, aber sie brauchen eine klare Zuständigkeit und eine Einführung für alle betroffenen Mitarbeitenden.
2. Geschäftliche Geräte konsequent verwalten
Ein zentral verwaltetes Geschäftsgerät ist im Homeoffice meist die praktikabelste Grundlage. Das Unternehmen kann Sicherheitsupdates einspielen, Festplattenverschlüsselung aktivieren, Bildschirmsperren vorgeben und verlorene Geräte bei Bedarf sperren oder löschen. Bei privaten Geräten fehlt diese Kontrolle häufig. Sie können für einzelne, risikoarme Aufgaben zulässig sein, sollten aber nicht zur Standardlösung für den Zugriff auf vertrauliche Daten werden.
Mindestens ebenso wichtig ist die Basiskonfiguration: aktuelle Betriebssysteme und Programme, aktivierte Verschlüsselung, automatische Bildschirmsperre sowie ein separates Benutzerkonto für die geschäftliche Nutzung. Ein gesperrter Bildschirm schützt auch vor beiläufigen Blicken von Familienmitgliedern oder Besuch.
Mobile Geräte werden leicht übersehen. Geschäftliche E-Mails, Messenger-Nachrichten oder Dateien auf Smartphones sind ebenfalls Unternehmensdaten. Deshalb sollten Smartphones und Tablets mit Gerätesperre, aktuellen Updates und einer zentralen Verwaltung ausgestattet sein, wenn sie regelmässig für die Arbeit verwendet werden.
Private Geräte: nur mit definierten Leitplanken
Wenn ein Unternehmen private Geräte zulässt, braucht es mindestens klare Bedingungen. Dazu gehören ein unterstütztes Betriebssystem, Sicherheitsupdates, eine Gerätesperre und der Zugriff ausschliesslich über freigegebene Geschäftsanwendungen. Lokale Downloads und die dauerhafte Speicherung von Geschäftsdaten auf privaten Rechnern sollten möglichst vermieden werden.
Hier lohnt sich eine ehrliche Abwägung: Eine sehr strikte Vorgabe kann Mitarbeitende zu Umgehungslösungen verleiten, wenn die geschäftlichen Werkzeuge unpraktisch sind. Eine zu offene Regelung erschwert dagegen den Schutz und die Nachvollziehbarkeit. Gute Prozesse verbinden daher klare Grenzen mit Werkzeugen, die im Alltag schnell und einfach nutzbar sind.
3. Zugänge absichern, nicht nur Passwörter verlangen
Das Passwort bleibt ein wichtiger Schutz, reicht aber allein nicht aus. Welche Regeln dafür sinnvoll sind, beschreibt der Beitrag zur Passwort-Richtlinie für KMU. Für E-Mail, Cloud-Speicher, Fernzugriffe und besonders kritische Anwendungen sollte eine Mehrfaktor-Authentifizierung eingerichtet sein. Neben dem Passwort wird dabei ein weiterer Nachweis verlangt, etwa eine Freigabe über eine Authenticator-App. Ein gestohlenes oder wiederverwendetes Passwort verursacht dadurch deutlich weniger Schaden.
Jede Person sollte mit einem eigenen Konto arbeiten. Geteilte Logins sind zwar auf den ersten Blick bequem, machen aber Zugriffe nicht mehr zuordenbar und erschweren das Sperren beim Stellenwechsel. Berechtigungen sollten zudem dem tatsächlichen Bedarf folgen: Wer nur auf einen Projektordner zugreifen muss, benötigt keinen Zugriff auf die gesamte Kundenablage.
Prüfen Sie Berechtigungen nicht nur bei Neueintritten, sondern auch bei Funktionswechseln und Austritten. Gerade im Homeoffice wird ein ehemaliger Zugriff auf Cloud-Ordner oder Kollaborationswerkzeuge leicht übersehen. Ein sauberer Ein- und Austrittsprozess ist daher eine wirksame Sicherheitsmassnahme und zugleich ein Zeichen guter Organisation.
4. Dateien nur in freigegebenen Systemen bearbeiten
Dateien wandern im Homeoffice schnell in persönliche E-Mail-Postfächer, private Messenger oder nicht freigegebene Speicherorte. Das geschieht oft aus Zeitdruck und nicht aus Nachlässigkeit. Trotzdem verliert das Unternehmen damit Übersicht, Zugriffskontrolle und unter Umständen die Möglichkeit, Daten nach Ablauf einer Aufbewahrungsfrist korrekt zu löschen.
Definieren Sie deshalb einen klaren digitalen Arbeitsort: Wo werden Dokumente gespeichert, wie werden sie geteilt und über welchen Kanal werden vertrauliche Informationen versendet? Die vorgesehenen Systeme müssen auch von ausserhalb des Büros zuverlässig funktionieren. Eine technisch sichere Lösung, die bei langsamer Verbindung oder auf mobilen Geräten kaum nutzbar ist, wird in der Praxis umgangen.
Eine VPN-Verbindung kann sinnvoll sein, wenn interne Systeme darüber erreichbar sind. Sie ersetzt aber keine Zugriffskontrollen, keine Mehrfaktor-Authentifizierung und keine sichere Konfiguration von Cloud-Diensten. Sicherheit entsteht aus dem Zusammenspiel mehrerer Massnahmen, nicht aus einer einzelnen Technologie.
5. Das häusliche Umfeld mitdenken
Der Küchentisch ist kein abgeschotteter Büroarbeitsplatz. Bildschirme sollten so ausgerichtet sein, dass Dritte nicht mitlesen können. Für Gespräche über Kunden, Mitarbeitende oder laufende Fälle braucht es einen Raum, in dem keine unbeteiligten Personen zuhören. Bei Videokonferenzen lohnt sich zudem ein bewusster Blick auf den Hintergrund und auf Bildschirmfreigaben.
Auch das Heimnetz verdient Aufmerksamkeit. Der Router sollte mit einem individuellen, starken Passwort geschützt und regelmässig aktualisiert werden. Öffentliches WLAN ist für vertrauliche Arbeiten ungeeignet, sofern kein sicherer, vom Unternehmen vorgesehener Zugang genutzt wird. Mitarbeitende brauchen dafür keine technische Spezialausbildung, aber konkrete Anweisungen, wann sie eine Verbindung nicht verwenden sollen.
6. Mitarbeitende auf reale Situationen vorbereiten
Phishing-Nachrichten, gefälschte Anrufe und scheinbar dringende Zahlungs- oder Passwortanfragen richten sich gezielt an Mitarbeitende. Im Homeoffice fehlt oft die kurze Rückfrage über den Bürotisch. Schulungen sollten deshalb typische Szenarien aus dem Unternehmen aufgreifen: eine angebliche Nachricht der Geschäftsleitung, eine Dokumentfreigabe oder ein Anruf eines vermeintlichen IT-Supports.
Eine einmalige Unterweisung genügt selten. Kurze, wiederkehrende Hinweise sind wirksamer, wenn sie direkt an Arbeitsabläufe anknüpfen. Mitarbeitende müssen insbesondere wissen, an wen sie sich bei verdächtigen Nachrichten, verlorenen Geräten oder falsch versendeten Dateien sofort wenden. Entscheidend ist, Vorfälle früh zu melden, nicht Schuldige zu suchen. Ein verlorenes, unverschlüsseltes Notebook mit Kundendaten kann eine Datenschutzverletzung sein, die nach Art. 24 DSG dem EDÖB gemeldet werden muss, sofern ein hohes Risiko für die Betroffenen besteht.
Für die Praxis helfen fünf Fragen, die jede Organisation regelmässig beantworten sollte:
- Welche Daten dürfen im Homeoffice bearbeitet werden?
- Welche Geräte, Anwendungen und Speicherorte sind dafür freigegeben?
- Wer überprüft Berechtigungen, Updates und Gerätebestand?
- Wie werden Sicherheitsvorfälle gemeldet und intern bearbeitet?
- Wann wurden Regeln und Schulungen zuletzt an neue Arbeitsweisen angepasst?
7. Sicherheitsmassnahmen dokumentieren und überprüfen
Homeoffice-Regeln gehören nicht in eine Schublade. Sie sind Teil der technischen und organisatorischen Massnahmen und sollten in der Datenschutzorganisation dokumentiert sein. Das schafft Klarheit für Führungskräfte, IT und Mitarbeitende - und erleichtert es, bei Kundenanfragen, Audits oder internen Veränderungen nachvollziehbar zu handeln.
Ein jährlicher Check ist ein guter Ausgangspunkt, bei grösseren Änderungen auch früher: etwa bei der Einführung einer neuen Cloud-Anwendung, einer Umstrukturierung oder einer dauerhaft hybriden Arbeitsform. Prüfen Sie dabei nicht nur Dokumente, sondern auch die gelebte Praxis. Werden Daten tatsächlich am vorgesehenen Ort abgelegt? Ist Mehrfaktor-Authentifizierung überall aktiviert? Wissen neue Mitarbeitende, wie sie einen Vorfall melden?
Der sinnvollste nächste Schritt ist oft klein und konkret: Wählen Sie eine Homeoffice-Regel, einen Zugang oder einen Speicherort aus und prüfen Sie ihn diese Woche mit den verantwortlichen Personen. So wird Datenschutz nicht zur abstrakten Zusatzaufgabe, sondern zu einem festen und umsetzbaren Teil der täglichen Arbeit.
Häufige Fragen
Dürfen Mitarbeitende im Homeoffice private Geräte nutzen?
Das DSG verbietet es nicht, aber der Arbeitgeber bleibt nach Art. 8 DSG für die Datensicherheit verantwortlich. Private Geräte sind nur mit klaren Bedingungen vertretbar: aktuelles Betriebssystem, Gerätesperre, Zugriff ausschliesslich über freigegebene Geschäftsanwendungen und keine lokale Speicherung von Kundendaten. Für vertrauliche Daten ist ein zentral verwaltetes Geschäftsgerät die sicherere Lösung.
Ist ein VPN im Homeoffice Pflicht?
Nein, es gibt keine gesetzliche VPN-Pflicht. Ein VPN ist sinnvoll, wenn interne Systeme darüber erreichbar sind. Es ersetzt aber weder Mehrfaktor-Authentifizierung noch Zugriffskontrollen oder eine sichere Konfiguration von Cloud-Diensten. Sicherheit entsteht aus dem Zusammenspiel mehrerer Massnahmen.
Was ist zu tun, wenn im Homeoffice ein Gerät verloren geht?
Sofort intern melden, damit die IT das Gerät sperren oder löschen und Zugänge zurücksetzen kann. Danach ist zu klären, welche Daten betroffen waren. Bei unverschlüsselten Personendaten mit hohem Risiko für die Betroffenen muss der Vorfall nach Art. 24 DSG so rasch als möglich dem EDÖB gemeldet werden.
Darf der Arbeitgeber im Homeoffice überwachen?
Nur sehr eingeschränkt. Art. 26 der Verordnung 3 zum Arbeitsgesetz verbietet Systeme, die das Verhalten der Mitarbeitenden überwachen sollen. Zulässig sind technische Schutzmassnahmen wie Geräteverwaltung, Protokollierung von Zugriffen aus Sicherheitsgründen oder Bildschirmsperren, sofern sie transparent kommuniziert sind und nicht der Leistungskontrolle dienen.