Sicherer Fernzugriff: Warum vertrauliche Daten nicht auf jedes Endgerät gehören

Damit ist eine neue Situation entstanden: Die Verbindung ist weiterhin geschützt, doch eine Kopie der Informationen liegt nun außerhalb der zentral verwalteten Unternehmensumgebung. Wer schützt diese Datei? Wird sie vom privaten Cloud-Backup erfasst? Können andere Benutzer des Geräts darauf zugreifen? Und wer stellt sicher, dass sie nach Abschluss der Arbeit wieder gelöscht wird?

An solchen alltäglichen Vorgängen zeigt sich, warum ein Sicherheitskonzept für den Fernzugriff über die Anmeldung hinausreichen muss. Unternehmen müssen auch festlegen, wo Informationen verarbeitet werden und über welche Wege sie auf andere Geräte gelangen dürfen.

Eine sichere Anmeldung ist der Anfang

Mehrfaktor-Authentifizierung, verschlüsselte Verbindungen und klar zugewiesene Berechtigungen bilden wesentliche Grundlagen eines geschützten Fernzugriffs. Sie erschweren unbefugte Zugriffe und helfen dabei, Benutzer auf die für ihre Arbeit vorgesehenen Systeme zu begrenzen.

Eine erfolgreiche Anmeldung beantwortet jedoch zunächst die Frage, wer eine Anwendung benutzen darf. Daraus folgt nicht automatisch, dass dieser Benutzer sämtliche dort erreichbaren Informationen auf ein beliebiges Endgerät übertragen können sollte.

Eine Mitarbeiterin kann beispielsweise berechtigt sein, Kundendaten in einer Fachanwendung zu bearbeiten, ohne dafür einen vollständigen Datenexport auf ihrem Notebook zu benötigen. Ein externer Dienstleister kann Wartungsarbeiten an einem Server durchführen müssen, ohne Dateien auf seinen eigenen Rechner mitzunehmen. Zwischen der Nutzung einer Anwendung und der Übertragung ihrer Daten liegt eine Sicherheitsentscheidung, die ausdrücklich getroffen werden sollte.

Die Zwischenablage wird zum Übertragungsweg

Im Arbeitsalltag gehören Kopieren, Einfügen und Speichern zu den selbstverständlichsten Funktionen. Gerade deshalb werden ihre Auswirkungen auf die Informationssicherheit leicht übersehen.

Eine freigegebene Zwischenablage kann Inhalte aus einer entfernten Sitzung in lokale Programme übertragen. Ein eingebundenes Laufwerk ermöglicht es, Dokumente unmittelbar auf dem zugreifenden Rechner abzulegen. Dateiübertragung und Druckfunktionen schaffen weitere Wege, über die Informationen die zentrale Umgebung verlassen können.

Jede dieser Funktionen kann für bestimmte Aufgaben sinnvoll sein. Entscheidend ist, ob sie für den jeweiligen Benutzer und Arbeitsablauf tatsächlich erforderlich ist. Werden solche Möglichkeiten pauschal freigegeben, entstehen zusätzliche Datenwege, die anschließend geschützt, überwacht und organisatorisch berücksichtigt werden müssen.

Der Schutzbedarf hängt dabei vom Inhalt ab. Eine öffentlich verfügbare Produktinformation verlangt eine andere Behandlung als eine Personalakte, eine technische Konstruktionszeichnung oder eine vertrauliche Mandantenunterlage.

Zentrale Verarbeitung reduziert lokale Datenbestände

Ein möglicher Ansatz besteht darin, Anwendungen auf den dafür vorgesehenen Systemen im Unternehmen auszuführen und dem Benutzer eine entfernte Bedienoberfläche bereitzustellen. Die fachliche Verarbeitung und Speicherung erfolgen dann auf dem Zielsystem. Auf dem zugreifenden Endgerät muss dafür keine vollständige lokale Arbeitskopie der verwendeten Dateien entstehen.

Wird dieses Prinzip mit gesperrter Dateiübertragung, deaktiviertem Laufwerksmapping und einer eingeschränkten Zwischenablage verbunden, lassen sich die vorgesehenen Übertragungswege deutlich reduzieren. Mitarbeiter können mit den benötigten Anwendungen arbeiten, während Unternehmen die Entstehung zusätzlicher Dateibestände auf externen Geräten begrenzen.

Das kann auch die Verwaltung erleichtern: Jede vermiedene lokale Kopie ist eine Datei weniger, deren Speicherort, Aufbewahrung und Löschung außerhalb der zentralen Umgebung organisiert werden müssen. Voraussetzung bleibt ein schlüssiges Gesamtkonzept mit passenden Berechtigungen, gepflegten Systemen und geschützten Endgeräten.

Auch Browserzugriff braucht geschützte Endgeräte

Ein browserbasierter Zugang vereinfacht die Bereitstellung, macht das zugreifende Gerät jedoch nicht bedeutungslos. Der Browser zeigt vertrauliche Inhalte an und nimmt Benutzereingaben entgegen. Ein kompromittiertes Betriebssystem, schädliche Browsererweiterungen oder ein ungeschütztes Benutzerkonto können deshalb weiterhin Risiken verursachen.

Ebenso wichtig ist eine präzise Einordnung der Datenübertragung: Auch bei einer entfernten Bildschirmdarstellung gelangen Informationen zum Endgerät – als sichtbare Bildschirminhalte. Eine gesperrte Zwischenablage verhindert weder das Abfotografieren des Bildschirms noch grundsätzlich jede Form einer Bildschirmaufnahme.

Der Sicherheitsgewinn liegt darin, bestimmte technische Übertragungswege zu begrenzen und lokale Dateikopien zu vermeiden. Unternehmen sollten daraus kein pauschales Versprechen ableiten, dass Informationen unter allen Umständen die eigene Umgebung nicht verlassen könnten.

Freigaben sollten sich am tatsächlichen Bedarf orientieren

Ein tragfähiges Zugriffskonzept beginnt mit den Anforderungen der jeweiligen Tätigkeit. Wer ausschließlich eine interne Fachanwendung bedient, benötigt möglicherweise weder lokale Laufwerke noch Dateiübertragung. Bei anderen Aufgaben kann ein gezielter Austausch notwendig sein, etwa wenn freigegebene Dokumente an einen Geschäftspartner übermittelt werden müssen.

Solche Unterschiede sprechen für bewusst eingerichtete Freigaben. Eine zusätzliche Funktion sollte einen nachvollziehbaren Zweck erfüllen und zum Schutzbedarf der Informationen passen. Ändern sich Aufgaben oder Zuständigkeiten, gehört auch die Freigabe erneut auf den Prüfstand.

Für Unternehmen im Gesundheitswesen, in der Pflege, in Kanzleien oder in der Industrie ist diese Betrachtung besonders relevant, wenn sensible personenbezogene Informationen oder wertvolles Unternehmenswissen verarbeitet werden. Welche Daten wohin übertragen werden dürfen, ergibt sich aus den jeweiligen rechtlichen, vertraglichen und betrieblichen Anforderungen. Technische Zugriffsbeschränkungen können helfen, diese Vorgaben im Arbeitsalltag umzusetzen.

Wie Kyvion Secure Access diesen Ansatz unterstützt

Kyvion Secure Access powered by SparkView ermöglicht den browserbasierten Zugriff auf freigegebene Desktops und Anwendungen. Bei einer Bereitstellung auf der eigenen Infrastruktur laufen die Anwendungen weiterhin auf den internen Zielsystemen. Benutzer bedienen sie über ihre entfernte Sitzung.

Kyvion setzt dabei auf eine restriktive Grundkonfiguration: Zwischenablage, Dateiübertragung und Laufwerksmapping bleiben zunächst deaktiviert. Werden diese Funktionen für einen konkreten Arbeitsablauf benötigt, können sie gezielt freigegeben werden. Jede Öffnung schafft einen zusätzlichen Übertragungsweg und sollte entsprechend bewertet werden.

So lässt sich die Nutzung einer internen Anwendung von der Möglichkeit trennen, Dateien auf das zugreifende Gerät zu übernehmen. Für Mitarbeiter im Homeoffice ebenso wie für externe Dienstleister entsteht dadurch ein Zugang, dessen Funktionsumfang sich am tatsächlichen Bedarf orientiert.

Für Unternehmen lohnt sich deshalb ein genauer Blick auf die bestehenden Fernzugänge: Welche Informationen können Benutzer nach der Anmeldung übertragen, wo entstehen lokale Kopien, und welche Freigaben sind für die Arbeit wirklich erforderlich? Die Antworten zeigen, wie weit der Schutz über die verschlüsselte Verbindung hinausreicht.