Heimarbeitsplätze oder auch Telearbeitsplätze benötigen wegen der Schwierigkeit der Trennung von Berufs-und Privatleben verschärfte Sicherheitsrichtlinien. Die im Rahmen des Dienstvertrages zur Verfügung gestellten Daten liegen außerhalb des Einflussbereiches der IT-Sicherheitsabteilung. Da der Schutz durch firmeninterne Firewalls und zentralisierte Antivirenprogramme fehlt, sind diese individuell auf den Heimarbeitsplätzen einzurichten. Neben der Übermittlung von Daten aus dem Unternehmensnetz auf den Heimarbeitsplatz ist auch das besondere Umfeld unter Datenschutzaspekten zu beurteilen. Vom Unternehmen sind hierfür einige Dinge festzulegen.

GRUNDSÄTZE FÜR DEN UMGANG MIT PERSONENBEZOGENEN DATEN

Bei der Verarbeitung von personenbezogenen Daten im Homeoffice, muss jedes Unternehmen entweder Software bzw. Hardware bereitstellen oder entsprechende Privatgeräte der Arbeitnehmer akzeptieren. Alle Beschäftigten sind verpflichtet alle Vorgaben, die es im Normalbetriebe einzuhalten gilt, auch im Homeoffice entsprechend einzuhalten. Mögliche Datenschutzvorfälle sind sofort an den Verantwortlichen oder Vorgesetzten entsprechend zu melden.

IT-SYSTEME IM HOMEOFFICE

Eine automatisierte Verarbeitung von personenbezogenen Daten im Homeoffice birgt einige Risiken. Unter anderem sind Integrität, Vertraulichkeit und die Verfügbarkeit von personenbezogenen Daten immer sicherzustellen. Eine Speicherung der Daten darf nicht auf privaten oder lokalen Festplatten erfolgen, sondern nur auf Endgeräten, welche durch das Unternehmen freigegeben oder zur Verfügung gestellt wurden. Die Speicherung von Daten hat grundsätzlich in den Verzeichnissen/Ordnern von Servern bzw. zentralen IT-Systemen zu erfolgen, die für den Benutzer freigegeben sind. Ausnahmen hiervon dürfen nur gemacht werden, wenn eine Internet-Anbindung an die zentralen IT-Systeme und damit eine Speicherung auf den IT-Systemen nicht möglich ist. In diesen Fällen dürfen personenbezogene Daten auf den von den Beschäftigten im „Home-Office“ verwendeten Geräten gespeichert werden, wenn sichergestellt ist, dass die Daten auf den verwendeten Datenträgern verschlüsselt gespeichert werden. Beschäftigte, die nicht sicher sind, ob ihre verwendeten Datenträger verschlüsselt speichern, könnten dies beim IT-Support nachfragen.

Ebenso wie im Büroalltag muss sichergestellt werden, dass keine Dritten einen Zugang zu personenbezogenen Daten erhalten. Als Dritte sind auch die Lebenspartner oder die Kinder zu betrachten. Auch im Homeoffice sollten Bildschirmsperren eingerichtet werden. Auch das Ausdrucken von Dokumenten im Homeoffice sollte vermieden werden.

EINZELLRICHTLINIEN

1. Es ist ausschließlich der Einsatz genehmigter unternehmenseigener Hard-und Software zugelassen.
2. Unternehmenseigene Rechner, die für die Telearbeit zur Verfügung gestellt werden, dürfen ausschließlich für das Dienstverhältnis genutzt werden. Eine private Nutzung oder gar die Nutzung durch Unbefugte (z.B. Familienangehörige) ist untersagt.
3. Dienstliche Unterlagen sind auch und gerade am Telearbeitsplatz vertraulich behandeln. Die Einsichtnahme durch Unbefugte ist zu verhindern. Telearbeiter sind auf das Datengeheimnis zu verpflichten.
4. Nur Berechtigte dürfen auf dienstliche Daten zugreifen können, d.h. die Nutzung des Arbeits-PCs wird durch die Verwendung von Identifikations-und Authentifikationsmechanismen (z.B. Einrichtung von Benutzerkennung und Passwortschutz auf Heimarbeitsplätzen) gesichert. Bei der Vergabe von entsprechenden Passwörtern sind die Sicherheitsanforderungen, wie z.B. Mindestlänge eines Passwortes, zu beachten.
5. Das Passwort unterliegt stets der Geheimhaltung. Mitarbeiter müssen dementsprechend sicherstellen, dass Unbefugte keine Kenntnis vom Passwort erlangen (z.B. durch Beobachten der Passworteingabe).
6. Zusätzlich können technische Einrichtungen wie Chipkarten-oder Fingerabdrucklesegeräte zur Überprüfung der Autorisierung für die Nutzung des Arbeitsplatzes eingesetzt werden.
7. Die Speicherung von unternehmensinternen Informationen auf Heimarbeitsplatzrechnern muss verschlüsselt erfolgen (z.B. mittels Kryptographieverfahren).
8. Externe Speichermedien (z.B. USB-Sticks), wie auch Arbeitsunterlagen (z.B. Akten) müssen verschlossen abgelegt werden, sobald die Arbeit unterbrochen oder beendet wird.
9. Nicht mehr benötigte Daten sind unverzüglich zu löschen. Ebenso sind nicht mehr benötigte Speichermedien in die Dienststelle zurückzubringen und dort zu löschen bzw. zu vernichten.
10. Neben der Fernverbindung zum Unternehmensnetz darf kein zusätzlicher Aufbau von Internetverbindungen oder anderen Online-Diensten vom Heimarbeitsplatz aus erfolgen.
11. Ist der Internetzugang für die Heimarbeit unbedingt erforderlich, muss dieser über einen gesicherten Zugang (VPN, RAS) und unter Einsatz einer Firewall sowie geeigneter Anti-Spyware erfolgen.
12. Der Verbindungsaufbau darf entweder erst nach eindeutiger Identifikation des zugreifenden Rechners (Konfiguration der Anschlusskomponenten auf fest vorgegebene Hardware-Adressen) oder über ein Rückrufverfahren (sogenanntes Call-Back) erfolgen. Für die Identifikation von Telearbeitsplätzen können im unternehmensinternen IT-System spezielle Kennungen vergeben werden.
13. Die Datenübermittlungen zwischen Telearbeitsplatz und Unternehmen darf ausschließlich verschlüsselt erfolgen.
14. Das gesamte Verfahren der Telearbeit muss revisionssicher sein, d.h. es müssen entsprechende Programme für die Protokollierung der Datenübermittlung zwischen Heimarbeitsplatz und Unternehmensnetzwerk eingesetzt werden.
15. Technische Veränderungen am Heimarbeitsrechner durch den Telearbeiter sind verboten.
16. Die technische Wartung und Erweiterung bzw. Veränderung der eingesetzten Hard-und Softwarekomponenten erfolgt ausschließlich durch autorisiertes Personal.
17. Bei der Telearbeit sollte generell auf einen drahtlosen Internetzugang wegen erhöhtem Sicherheitsrisiko verzichtet werden. Ist dennoch ein Internetzugang erforderlich, so ist eine entsprechende Verbindung nur über einen Router herzustellen. Modems können heute keinen Schutz mehr vor unbefugtem Zugriff bieten.
18. Die Zugriffsrechte auf das Unternehmensnetz müssen bei externem Zugriff auf das erforderliche Minimum beschränkt werden.
19. Telearbeitsplätze, die längere Zeit nicht benutzt wurden, können aus Sicherheitsgründen vom Unternehmensnetz automatisch für einen Fernzugriff gesperrt werden.
20. Heimarbeitsplatzrechnern dürfen generell nicht mit privaten Rechnern zu einem eigenen Netzwerk verknüpft werden
21. Für die Regelungen von Zutrittsrechten zur Überprüfung der Einhaltung von Sicherheitsvorkehrungen werden gesonderte Vereinbarungen geschlossen. Diese gelten für Privaträumen, die für die Heimarbeit genutzt werden.