Hybrides Arbeiten
Sicher arbeiten, wo andere Urlaub machen
Was lange Zeit nur in den Träumen von Angestellten möglich war, wird zumindest für Wissensarbeiter immer mehr zur Realität. Workation ist das Stichwort – die Verbindung von Urlaub und Arbeit. Für Unternehmen gehen damit allerdings neue Herausforderungen einher, insbesondere bei der Cybersecurity.
Der Artikel liefert unter anderem Antworten auf folgende Fragen:
- Was versteht man unter Workation?
- Wie können Unternehmen ihre Mitarbeiter aktiv unterstützen, hybride Arbeitsformen zu ermöglichen?
- Welche Auswirkungen haben die neuen Arbeitsformen auf die Cybersicherheit?
- Auf welchen Grundsätzen sollten Zero Trust Network Acces basieren?
- Wie lässt sich Sicherheit an der Edge gewährleisten?
Waren hybride Arbeitsformen früher die Ausnahme, hat die Covid-19-Pandemie sie in vielen Unternehmen inzwischen zur Regel gemacht. Wie eine aktuelle Studie von Citrix1 zeigt, können sie sich zudem positiv auf Engagement, Produktivität und persönliches Wohlbefinden der Mitarbeiter auswirken – insbesondere im Vergleich zu Angestellten, die Vollzeit remote oder im Büro arbeiten. So fühlen sich beispielsweise sieben von zehn der hybrid arbeitenden Mitarbeiter bei der Arbeit produktiv (69 Prozent) und schätzen ihre persönliche Leistung positiv ein (73 Prozent). Unter denjenigen, die gänzlich remote sind, sinken diese Werte auf 64 beziehungsweise 69 Prozent. Am schlechtesten schneiden Angestellte ab, die dauerhaft im Büro arbeiten: Nur 59 Prozent stimmen Ersterem zu, 65 Prozent Letzterem.
Unternehmen sollten hybride Arbeitsformen daher nicht nur ermöglichen, sondern ihre Mitarbeiter aktiv dabei unterstützen, diese in Anspruch zu nehmen. Dies betrifft auch eine neue Form der Hybridarbeit: Workation. Gemeint ist die Kombination aus „work“ und „vacation“ und dass beispielsweise der Aufenthalt am Urlaubsort verlängert, in dieser zusätzlichen Zeit aber gearbeitet wird. Da viele Wissensarbeiter heute kaum mehr benötigen als Laptop, Smartphone und eine Internetleitung, kann die Arbeit theoretisch von überall aus stattfinden. Zudem ist nach über zwei Jahren der Einschränkungen aufgrund der Covid-19-Pandemie die Reiselust vielerorts groß – trotz Inflation.
| Workation |
|---|
|
...ist ein Kofferwort, das sich aus den Begriffen „work“ und „vacation“ – also Arbeit und Urlaub – zusammensetzt. Auf den zweiten Blick aber trifft diese Arbeitsweise bereits auf viele ArbeitnehmerInnen zu: Sie lesen und beantworten E-Mails im Urlaub, nehmen an Videokonferenzen in Hotelzimmern teil oder vergleichen Angebote von Lieferanten zwischen dem Frühstück auf der Hotelveranda und dem Spaziergang zum Strand. Im Unterschied jedoch zu solchen Szenarien geht Workation noch einen Schritt weiter, weil hier die Kombination aus Arbeit und Urlaub bewusst und geplant zwischen allen Beteiligten stattfindet. (DK) |
Gefahr und Kosten durch Angriffe steigen
Allerdings reicht es nicht aus, wenn Unternehmen ihren Angestellten einfach das Go geben, an der Nordsee, in Italien oder auf Mallorca arbeiten zu können. Zuvor müssen Verantwortliche die Voraussetzungen dafür schaffen, dass Mitarbeiter dort sicher auf Unternehmensdaten, -anwendungen und -systeme zugreifen können – und das unabhängig davon, ob sie dabei ein verwaltetes, nicht verwaltetes oder privates Gerät nutzen oder wie gut das Netzwerk gesichert ist. Denn auch Cyberkriminelle haben erkannt, dass neue Arbeitsformen ihnen neue Angriffsflächen bieten. Darüber hinaus verbessern sie kontinuierlich ihre Methoden, die immer ausgereifter und raffinierter werden, umgehen Schutzmaßnahmen und nutzen Ängste aus. Angestellten, die remote ihrer Arbeit nachgehen – ob im Homeoffice oder im Ausland – fehlt darüber hinaus das Korrektiv ihrer Kollegen. Statt kurz mit Tischnachbarn Rücksprache zu halten, wenn etwa eine E-Mail im Postfach landet, die ihnen komisch erscheint, klicken sie womöglich unbedacht auf den enthaltenen Link. Zuletzt führte in einer Befragung des Bitkom2 die Infizierung mit Malware die Liste der Cyberangriffsarten in den Jahren 2020/2021 in Deutschland an. Knapp ein Drittel der deutschen Unternehmen (31 Prozent) wurde Opfer einer solchen Attacke. Dahinter folgten DDoS- (27 Prozent) und Spoofing-Angriffe (20 Prozent) sowie Phishing, Ransomware und Angriffe auf Passwörter (jeweils 18 Prozent). Der Gesamtschaden für die deutsche Wirtschaft belief sich auf insgesamt über 220 Milliarden Euro pro Jahr – mehr als doppelt so viel wie in der Erhebung von 2018/2019 (103 Milliarden Euro).
Mit der Zunahme an hybrider Arbeit wird diese Summe wahrscheinlich weiter ansteigen, wenn Unternehmen nicht ihren Sicherheitsansatz grundsätzlich überdenken. Netzwerkzentrische Sicherheit funktioniert gut, solange alle Mitarbeiter jeden Tag ins Büro kommen. Denn hier agieren sie innerhalb eines nach außen abgesicherten Raums. Doch dieser „Burg-und-Graben“-Ansatz, der das Sicherheitsdesign in den letzten Jahrzehnten dominiert hat, kommt in der heutigen Arbeitswelt an seine Grenzen. Bei Mitarbeitern, die nach Belieben ihren Arbeitsort wechseln, muss die IT-Abteilung in der Lage sein, Risikofaktoren kontinuierlich und kontextbezogen zu bewerten und bei verdächtigen Aktivitäten automatisch granulare Sicherheitskontrollen anzuwenden.
Dieses Level an Transparenz und Kontrolle erreichen Lösungen wie VPNs nicht, deren Verbreitung infolge des Homeoffice-Booms zugenommen hat, da sie keine Filter für den Benutzerzugriff auf das Netzwerk bieten. Sie sind auch nur bedingt skalierbar und anfällig für Man-in-the-Middle-Angriffe, bei denen sich ein Hacker logisch oder physisch zwischen Opfer und verwendeten Ressourcen platziert, um Kommunikation und Daten abzufangen oder zu manipulieren. Ein geeigneterer Ansatz ist daher Zero Trust Network Access (ZTNA), basierend auf den Prinzipien „Never trust, always verify“ und „Just in time, just enough access“. Entsprechend hat das US-amerikanische National Institute of Standards and Technology (NIST) in einem Leitfaden3 drei Grundsätze dargelegt, auf denen ZTNA-Architekturen basieren sollten:
- Explizite und kontinuierliche Überprüfung: Authentifizierung und Autorisierung sollten vor dem Zugriff durchgesetzt werden und durch dynamische Richtlinien vor und während einer Session auf Basis von Verhaltens- und Umgebungseigenschaften gesteuert werden.
- Geringstmöglicher privilegierter Zugriff: Gewährung des Zugriffs auf IT-Ressourcen auf Sitzungsbasis, begrenzt durch Richtlinien.
- Potenziellen Schaden minimieren: Segmentierungszonen, die die Regeln der geringsten Privilegien auf das Netzwerk und die Hosts ausdehnen, indem sie Sicherheitszonen definieren, können den unerwünschten Zugriff auf sensible Anwendungen minimieren, laterale Bewegungen reduzieren und die Angriffsfläche verkleinern, um den Schaden bei einem Eindringen ins Netzwerk zu begrenzen.
Sicherheit am Rand
IT-Teams müssen jedoch nicht nur die Art und Weise überdenken, wie sie ihre Daten schützen, sondern auch wo. Netzwerke werden nicht mehr durch physische Grenzen definiert, sondern durch die einzelnen Mitarbeiter und die einzelnen Geräte. Es scheint sogar eher so, dass das Internet als neues Unternehmensnetzwerk dient.
Sicherheitskontrollen müssen daher in der Nähe von Anwendungen und Endnutzern platziert werden. Mit ZTNA-Lösungen ist dies möglich, da sie laterale Bewegungen in einem Netzwerk verhindern. Im Gegensatz zu VPNs, bei denen eine Authentifizierung nur bei Anmeldung erfolgt, bewerten ZTNA-Lösungen kontinuierlich die Risikofaktoren während jeder Sitzung. Erkennt das System verdächtige Aktivitäten, greifen automatisch granulare Sicherheitskontrollen; diese verändern, wie Nutzer mit Anwendungen interagieren dürfen.
Netzwerk- und Anwendungssicherheit ist für Unternehmen durch hybride Arbeitsformen wie Workations komplexer geworden. Eine ZTNA-Architektur kann Abhilfe schaffen, indem das Unternehmen Richtlinien auf granularer Ebene durchsetzt, das Risiko kontinuierlich bewertet und Sicherheitskontrollen bei Bedarf hochfährt. So können Mitarbeiter an jedem Ort ihrer Wahl sicher arbeiten und Unternehmen profitieren so von produktiveren und engagierteren Angestellten.
Saša Petrovic, Digital Strategy Director bei Citrix
1 https://www.citrix.com/content/dam/citrix/en_us/documents/brochure/work-rebalanced-the-citrix-hybrid-work-report.pdf
2 https://www.bitkom.org/Presse/Presseinformation/Angriffsziel-deutsche-Wirtschaft-mehr-als-220-Milliarden-Euro-Schaden-pro-Jahr
3 https://www.nist.gov/cyberframework
Lesen Sie mehr zum Thema
