11 Minuten

Ihre Mitarbeiter arbeiten von zu Hause aus, unterwegs oder an einem flexiblen Arbeitsplatz. Das ist gut. Aber wo befinden sich ihre Daten derzeit? Auf einem Laptop, den sie selbst verwalten. Auf einem Gerät, das vielleicht schon seit einem Jahr kein Update mehr erhalten hat. In einer Umgebung, auf die Sie als Unternehmen kaum Einfluss haben.

Das ist ein Risiko, dessen sich immer mehr Organisationen bewusst werden, das sie jedoch nicht immer beim Namen nennen.

Ein Remote-Arbeitsplatz wird oft als etwas aus der Vergangenheit angesehen. Komplex, teuer, umständlich. Doch es gibt einen guten Grund, warum große Banken, Gesundheitsorganisationen und Behörden sich nach wie vor dafür entscheiden. Dieser Grund hat weniger mit Benutzerkomfort zu tun, sondern mit etwas viel Wichtigerem: der Kontrolle darüber, wo sich Ihre Daten befinden und wer darauf zugreifen kann.

In diesem Artikel erläutern wir, warum ein Remote-Arbeitsplatz vielleicht gar nicht so altmodisch ist, wie Sie denken, welche Vor- und Nachteile er tatsächlich mit sich bringt und welche Alternativen Sie in Betracht ziehen können. Mit „Remote-Arbeitsplatz“ meinen wir sowohl VDI (Virtual Desktop Infrastructure, bei der der Mitarbeiter einen vollständigen virtuellen Desktop erhält) als auch SBC (Server Based Computing, bei dem Anwendungen zentral ausgeführt und über das Netzwerk bereitgestellt werden). Bei beiden Formen bleiben Daten und Rechenleistung intern. Im weiteren Verlauf dieses Artikels bezeichnen wir sie gemeinsam als „Remote-Arbeitsplatz“.

Was ist ein Remote-Arbeitsplatz und warum ist er vielleicht sinnvoller, als Sie denken?

Sowohl bei VDI als auch bei SBC arbeitet der Mitarbeiter an einem virtuellen Desktop, der zentral in Ihrem Rechenzentrum oder Ihrer privaten Cloud betrieben wird. Der Unterschied liegt in der Architektur: Bei VDI erhält jeder Benutzer seine eigene virtuelle Maschine. Bei SBC teilen sich mehrere Benutzer eine gemeinsame Serverumgebung. Insbesondere bei SBC ist es darüber hinaus möglich, nicht einen vollständigen Desktop, sondern nur bestimmte Anwendungen bereitzustellen. In allen Fällen gilt das gleiche Prinzip: Die Verarbeitung und die Daten bleiben intern. Auf dem Gerät selbst befindet sich nichts.

Der Laptop oder Thin Client ist ein Bildschirm mit einer Tastatur. Mehr nicht.

Welche Vorteile bietet ein Remote-Arbeitsplatz gegenüber herkömmlichen Endgeräten?

Ihre Daten werden intern gespeichert, was es schwieriger macht, sie zu stehlen

An einem normalen Arbeitsplatz befinden sich auf dem Laptop eines Mitarbeiters die unterschiedlichsten Daten. Dokumente, E-Mails, Passwörter im Browser, manchmal auch Kundendaten. Wird dieser Laptop gestohlen, geht er verloren oder wird gehackt, sind diese Daten verloren. Oder schlimmer noch: Sie geraten in die falschen Hände.

Bei einem Remote-Arbeitsplatz arbeitet der Mitarbeiter in einer zentralen, intern bereitgestellten Umgebung. Auf dem Gerät selbst befindet sich buchstäblich nichts. Ein gestohlener Laptop ist in diesem Fall lediglich ein verlorener Hardware-Gegenstand, kein Datenleck.

Laut dem „Verizon Data Breach Investigations Report 2024“ ist der Diebstahl oder Verlust von Geräten nach wie vor eine der häufigsten Ursachen für Datenschutzverletzungen bei KMU. (Quelle: https://www.verizon.com/business/resources/reports/dbir/)

Warum BitLocker allein nicht ausreicht: der YellowKey-Angriff

Viele Unternehmen glauben, sie seien sicher, weil BitLocker aktiviert ist. Die Theorie lautet: Festplatte verschlüsselt, Laptop gestohlen – kein Problem. Die Praxis sieht jedoch anders aus.

Der YellowKey-Angriff zeigt, dass ein Angreifer mit physischem Zugriff auf einen Laptop den BitLocker-Verschlüsselungsschlüssel ohne Anmeldedaten abfangen kann. Der gesamte Vorgang dauert nur wenige Minuten. Danach ist die Festplatte trotz aktiver Verschlüsselung vollständig zugänglich.

Microsoft hat inzwischen einen Patch veröffentlicht, der diese spezifische Sicherheitslücke schließt. Dies zeigt jedoch, dass das System nicht unfehlbar ist und dass immer wieder neue Umgehungsmöglichkeiten gefunden werden können. Die Sicherheitslücke bleibt bestehen: Auf dem Endpunkt befinden sich Daten, die geschützt werden müssen.

Bei einem Remote-Arbeitsplatz befindet sich auf dem Endgerät nichts, was entschlüsselt werden könnte. Der Angriff wird sinnlos – nicht, weil die Sicherheit besser ist, sondern weil es nichts zu holen gibt.

Unternehmenskritische Daten haben auf einem Endgerät nichts zu suchen

Kundenverträge, Angebote, Personalakten, strategische Pläne: Das sind die Dateien, die Ihr Unternehmen angreifbar machen, wenn sie ungeschützt zugänglich sind. In den meisten Unternehmen befinden sie sich einfach auf dem Laptop des Mitarbeiters oder in einem lokalen OneDrive-Ordner, der automatisch synchronisiert wird. Sobald dieses Gerät aus Ihrer Verwaltung verschwindet, gehen auch diese Daten verloren.

Ein Remote-Arbeitsplatz löst dieses Problem strukturell. Die Mitarbeiter arbeiten mit diesen Dateien, doch die Dateien selbst verlassen niemals die interne Umgebung. Keine Kopie auf dem Endgerät, keine Synchronisierung mit einem lokalen Gerät. Genau aus diesem Grund entscheiden sich das Gesundheitswesen, der Finanzsektor und die Rechtsbranche bereits seit Jahren für diesen Ansatz als Grundlage ihres Arbeitsplatzes.

Die gesamte Sicherheit wird zentral verwaltet und ist nicht auf Hunderte von Geräten verteilt

Eine der größten Herausforderungen beim herkömmlichen Endpunktmanagement ist die Verbreitung. Jeder Laptop stellt eine potenzielle Angriffsfläche dar. Sie haben Hunderte von Geräten, die alle aktualisiert werden müssen, Hunderte von Einfallstoren für Malware und Hunderte von Punkten, die Sie überwachen müssen.

Bei einem Remote-Arbeitsplatz tritt dieses Problem in weitaus geringerem Maße auf. Die Sicherheit wird zentral auf dem Server verwaltet. Sie führen Patches an einer einzigen Stelle durch. Sie installieren Antivirenprogramme an einer einzigen Stelle. Sie verwalten Richtlinien an einer einzigen Stelle. Das ist nicht nur einfacher, sondern auch wesentlich sicherer.

Außerdem können Mitarbeiter nicht einfach Software installieren, USB-Sticks anschließen oder Dateien in eine persönliche Cloud hochladen, es sei denn, Sie gestatten dies ausdrücklich. Bei Standard-Endpunkten ist die Kontrolle wesentlich schwieriger durchzusetzen.

Mehr Kontrolle darüber, was ein Benutzer tun und sehen kann

Bei einem Remote-Arbeitsplatz legen Sie fest, was ein Benutzer sieht. Welche Anwendungen verfügbar sind. Ob jemand Dateien kopieren darf. Ob das Drucken möglich ist. Ob der Inhalt der Zwischenablage an das lokale Gerät weitergeleitet werden darf.

Dies ist insbesondere in Situationen relevant, in denen Mitarbeiter mit sensiblen Kundendaten, medizinischen Informationen oder Finanzdaten arbeiten. Sie können für jede Benutzergruppe genau festlegen, was erlaubt ist und was nicht, ohne dafür Software auf dem Laptop installieren zu müssen.

Inwiefern unterscheidet sich ein Remote-Arbeitsplatz von einem herkömmlichen Endpunkt-Ansatz?

Nachfolgend finden Sie eine übersichtliche Darstellung der wichtigsten Unterschiede:

Welche Risiken eines Remote-Arbeitsplatzes sollten Sie ehrlich gesagt kennen?

Ein Remote-Arbeitsplatz ist kein Allheilmittel. Es gibt konkrete Nachteile, die Sie im Voraus kennen sollten.

• Abhängigkeit von der Netzwerkverbindung: Ohne Internet funktioniert der Arbeitsplatz nicht. Dies stellt eine enorme Einschränkung dar, insbesondere für Mitarbeiter, die regelmäßig an Orten mit schlechter Verbindung arbeiten.
• Höhere Anfangskosten: Ein Remote-Arbeitsplatz erfordert eine Serverinfrastruktur, Lizenzen und einen Implementierungsprozess. Das ist eine Investition, die sich zwar amortisiert, jedoch nicht kurzfristig.
• Bei einer fehlerhaften Implementierung kann die Benutzererfahrung beeinträchtigt werden: Eine schlecht konfigurierte Umgebung ist langsam, frustrierend und führt zu Widerstand bei den Mitarbeitern. Eine ordnungsgemäße Implementierung ist von entscheidender Bedeutung.
• Standardmäßig nicht für anspruchsvolle Grafikarbeiten geeignet: Videobearbeitung, 3D-Rendering und ähnliche Aufgaben erfordern spezielle GPU-Konfigurationen. Dies ist zwar möglich, jedoch kostspielig.

Häufig vorgebrachte Einwände und was wir dazu ehrlich sagen können

„Ein Remote-Arbeitsplatz ist für uns als KMU zu teuer.“

Das ist teilweise zutreffend. Berücksichtigen Sie jedoch auch die versteckten Kosten des standardmäßigen Endpunktmanagements: den Zeitaufwand der IT-Abteilung für die Aktualisierung einzelner Laptops, die Kosten einer Datenpanne sowie die Haftung bei einem Verstoß gegen die DSGVO. Eine Datenpanne kostet niederländische KMU durchschnittlich 270.000 Euro, einschließlich Reputationsschaden und Wiederherstellungskosten. (Quelle: IBM Cost of a Data Breach Report 2024, https://www.ibm.com/reports/data-breach)

Ein Remote-Arbeitsplatz muss auch nicht sofort vollständig eingeführt werden. Unternehmen können mit einer kleinen Gruppe von Mitarbeitern beginnen, die die sensibelsten Aufgaben übernehmen.

„Mitarbeiter möchten nicht mit einer schlechten Sitzung arbeiten“

Das trifft zu, wenn die Umgebung schlecht eingerichtet ist. Ein gut konfigurierter Remote-Arbeitsplatz mit der richtigen Hardware auf der Serverseite und einer guten Netzwerkoptimierung unterscheidet sich für die meisten Mitarbeiter jedoch kaum von einem lokalen Arbeitsplatz. Dies gilt insbesondere für Büroarbeiten wie E-Mail, Office und CRM-Systeme.

„Wir arbeiten doch bereits in der Cloud – ist ein Remote-Arbeitsplatz dann nicht überflüssig?“

Nicht unbedingt. Der Zugriff auf Cloud-Anwendungen erfolgt nach wie vor über einen Endpunkt. Dieser Endpunkt ist die Schwachstelle. Ein Remote-Arbeitsplatz eliminiert diese Schwachstelle, auch wenn Sie ansonsten vollständig cloud-nativ arbeiten.

Welche Alternativen gibt es, wenn ein Remote-Arbeitsplatz nicht zu unserem Unternehmen passt?

Ein Remote-Arbeitsplatz ist nicht die einzige Möglichkeit, mehr Kontrolle über Ihre Datenlage und die Sicherheit Ihrer Nutzer zu erlangen. Es gibt drei Alternativen, die zunehmend zum Einsatz kommen und jeweils ihren eigenen Anwendungsbereich haben.

Nur kritische Anwendungen über VDI oder SBC bereitstellen

Ein Remote-Arbeitsplatz muss nicht unbedingt eine Alles-oder-Nichts-Lösung sein. Manchmal ist es sinnvoller, gerade nur die Anwendungen, die ein höheres Sicherheitsniveau erfordern, zentral über VDI oder SBC auszuführen. Denken Sie beispielsweise an ein ERP-System mit Kundendaten, eine Finanzsoftware oder eine Anwendung mit Zugriff auf personenbezogene Daten.

Der Mitarbeiter arbeitet dann für seine täglichen Aufgaben ganz normal auf seinem eigenen Laptop, startet die sensible Anwendung jedoch über eine gesicherte Remote-Sitzung. Die Daten und die Verarbeitung dieser spezifischen Anwendung bleiben intern. Der Endpunkt hat keinen Zugriff darauf.

Dies ist ein pragmatischer Zwischenschritt: kostengünstiger als ein vollständiger Remote-Arbeitsplatz, bietet jedoch gezielten Schutz dort, wo es am wichtigsten ist. Für viele KMU-Unternehmen ist dies ein logischer Ausgangspunkt.

Browser-Isolation: Die Daten im Browser bleiben intern

Browser-Isolation ist eine Technologie, bei der der Webbrowser nicht auf dem Gerät des Benutzers ausgeführt wird, sondern in einer kontrollierten Umgebung in der Cloud oder auf einem Server. Was der Benutzer sieht, ist eine visuelle Darstellung der Browsersitzung.

Geschützt wird dabei nicht der Endpunkt selbst, sondern die Daten, die innerhalb dieses isolierten Browsers sichtbar und zugänglich sind. Geöffnete Dateien, ausgefüllte Formulare, Sitzungen mit Unternehmenssystemen: All dies verbleibt in der isolierten Umgebung und verlässt den Endpunkt nicht.

Dies ist insbesondere für Mitarbeiter effektiv, die häufig webbasierte Anwendungen nutzen und bei denen Sie verhindern möchten, dass Daten aus diesen Sitzungen auf dem Endgerät gespeichert werden.

Enterprise-Browser: Mehr Kontrolle auf Anwendungsebene ohne Remote-Infrastruktur

Ein Enterprise-Browser ist ein verwalteter Browser, der vollständig von der Organisation konfiguriert und kontrolliert wird. Beispiele hierfür sind Chrome Enterprise oder Island. Damit können Sie festlegen, welche Websites ein Mitarbeiter besuchen darf, ob er Dateien herunterladen darf, ob er Daten an externe Parteien senden darf und ob Erweiterungen zulässig sind.

Es handelt sich um eine weniger aufwendige Form der Überprüfung, doch bereits auf Anwendungsebene lassen sich damit viele Risiken beseitigen. Insbesondere wenn der Großteil der Arbeit im Browser stattfindet, ist dies eine sinnvolle und kostengünstige Option.

Wichtig: Sowohl die Browser-Isolation als auch Unternehmensbrowser schützen die Browserebene. Sie ersetzen jedoch nicht die umfassendere Kontrolle, die ein vollständiger Remote-Arbeitsplatz über das gesamte Arbeitsplatz-Ökosystem bietet. Sie ergänzen diese eher, als dass sie sie ersetzen.

Praktische Checkliste: Wann ist ein Remote-Arbeitsplatz die richtige Wahl für Ihr Unternehmen?

Nutzen Sie diese Fragen als Schnelltest:

• Arbeiten Ihre Mitarbeiter mit sensiblen Kundendaten, medizinischen Informationen oder Finanzdaten?
• Gibt es in Ihrem Unternehmen Mitarbeiter, die auf gemeinsam genutzten oder privaten Geräten arbeiten, die nicht von der IT-Abteilung verwaltet werden?
• Haben Sie Schwierigkeiten bei der Verwaltung von Endgeräten, die über mehrere Standorte verteilt sind?
• Stellt Diebstahl oder Verlust von Geräten in Ihrer Branche oder bei Ihren Mitarbeitern ein reales Risiko dar?
• Möchten Sie die Angriffsfläche für Ransomware und Phishing verringern, ohne jeden Laptop einzeln absichern zu müssen?
• Arbeiten Ihre Mitarbeiter regelmäßig an gemeinsam genutzten Geräten oder in Räumen, über die Sie keine vollständige Kontrolle haben?
• Verfügen Sie über Client-Server-Anwendungen, die eine schnelle Verbindung erfordern?

Haben Sie drei oder mehr Fragen mit „Ja“ beantwortet? Dann ist ein Remote-Arbeitsplatz eine ernstzunehmende Option, die es wert ist, genauer geprüft zu werden.

Wie unterstützt New Yard Unternehmen bei der Auswahl der richtigen Arbeitsplatzarchitektur?

Bei New Yard unterstützen wir mittelständische Unternehmen genau bei dieser Art von Fragestellungen. Nicht anhand einer Standardvorlage, sondern ausgehend von Ihrer konkreten Situation: wie viele Mitarbeiter, welche Anwendungen, welche Daten, welche Compliance-Anforderungen und welches IT-Team.

Wir betrachten den digitalen Arbeitsplatz als Ökosystem. Das bedeutet, dass wir einen Remote-Arbeitsplatz nicht empfehlen, wenn er nicht geeignet ist, ihn aber auch nicht außer Acht lassen, wenn er die sinnvollste Wahl darstellt. Wir betrachten stets das Gesamtbild: Sicherheit, Benutzererfahrung, Verwaltbarkeit und langfristige Kosten.

Wir verfügen über langjährige Erfahrung mit Citrix und anderen Remote-Umgebungen und kennen die Fallstricke bei der Implementierung. Damit helfen wir Ihnen nicht nur bei der Entscheidungsfindung, sondern stellen auch sicher, dass diese Entscheidung ordnungsgemäß umgesetzt wird.

Möchten Sie wissen, ob ein Remote-Arbeitsplatz oder eine Alternative zu Ihrem Unternehmen passt?

Das müssen Sie nicht selbst herausfinden. Vereinbaren Sie ein unverbindliches Kennenlerngespräch mit New Yard. Gemeinsam betrachten wir Ihre derzeitige Arbeitsplatzgestaltung, Ihre Datensituation und die Risiken, denen Sie ausgesetzt sind. Sie erhalten stets einen klaren Überblick darüber, was vor sich geht und welche Maßnahmen Sie ergreifen können.