Homeoffice ist Alltag. Was 2020 als Notlösung begann, ist für viele Organisationen zum Dauerzustand geworden. Der Laptop steht am Küchentisch, das WLAN teilt sich die Familie, vertrauliche Telefonate laufen über den Flur. A.6.7 fordert, dass Organisationen für Telearbeit dieselben Sicherheitsstandards definieren und durchsetzen wie für den Büroarbeitsplatz.
Die Kontrolle adressiert alle Szenarien, in denen Beschäftigte außerhalb der Organisationsräume arbeiten — Homeoffice, Coworking-Spaces, Reisen, Kundeneinsätze. Für jedes Szenario braucht es passende Sicherheitsmaßnahmen.
Was verlangt die Norm?
- Richtlinie für Telearbeit. Ein dokumentiertes Regelwerk, das die Sicherheitsanforderungen für alle Formen von Remote-Arbeit definiert.
- Physische Sicherheit des Arbeitsplatzes. Anforderungen an den Remote-Arbeitsplatz: Abschließbarer Raum oder Bereich, Sichtschutz, sichere Aufbewahrung von Unterlagen.
- Sichere Kommunikation. Verschlüsselte Verbindungen (VPN), sichere E-Mail-Übertragung, Schutz vor Mithören bei Telefon- und Videokonferenzen.
- Gerätesicherheit. Anforderungen an die eingesetzten Endgeräte: Festplattenverschlüsselung, aktuelle Patches, Endpoint-Protection, automatische Bildschirmsperre.
- Netzwerksicherheit. Regelungen für die Nutzung von Heim-WLAN, öffentlichen Netzen und mobilen Hotspots.
In der Praxis
Telearbeitsrichtlinie erstellen und schulen. Die Richtlinie definiert: Welche Rollen dürfen remote arbeiten, welche Mindestanforderungen gelten, welche Geräte sind zugelassen, wie wird der Zugang gesichert, welche Daten dürfen wo verarbeitet werden. Die Richtlinie wird bei der Einführung geschult und bei jeder Änderung aktualisiert.
Technische Baseline durchsetzen. Alle Endgeräte für Telearbeit erfüllen eine technische Baseline: Festplattenverschlüsselung (BitLocker/FileVault), automatische Bildschirmsperre nach 5 Minuten, aktueller Patchstand, Endpoint-Protection, VPN-Client. Bei firmeneigenen Geräten wird das über MDM (Mobile Device Management) durchgesetzt. Bei BYOD über eine Zugangsvoraussetzung (kein MDM-Enrollment → kein Zugang).
Selbstauskunft für den Heimarbeitsplatz. Eine jährliche Selbstauskunft, in der Beschäftigte bestätigen, dass ihr Heimarbeitsplatz die Anforderungen erfüllt: separater Arbeitsbereich, abschließbar, keine Einsicht durch Dritte, gesichertes WLAN mit aktuellem Passwort. Die Selbstauskunft wird dokumentiert und bei Bedarf durch eine Begehung ergänzt.
Incident-Szenarien für Remote-Arbeit vorbereiten. Ein gestohlener Laptop im Zug, ein kompromittiertes Heim-WLAN, ein Familienmitglied mit Zugang zum Firmengerät — für diese Szenarien braucht es klare Handlungsanweisungen. Die Meldepflicht (A.6.8) gilt auch und besonders im Remote-Kontext, wo die Hemmschwelle höher sein kann.
Typische Audit-Nachweise
Auditoren erwarten bei A.6.7 typischerweise diese Nachweise:
- Telearbeitsrichtlinie — das dokumentierte Regelwerk (→ Telearbeitsrichtlinie im Starter Kit)
- Technische Baseline — Dokumentation der Mindestanforderungen an Endgeräte
- MDM-Konfiguration — Nachweis, dass die Baseline technisch durchgesetzt wird
- Selbstauskünfte — Bestätigungen der Beschäftigten zur Heimarbeitsplatzgestaltung
- VPN-Logs — Nachweis, dass Remote-Zugriffe über verschlüsselte Verbindungen erfolgen
- Schulungsnachweis — Beleg, dass Beschäftigte die Telearbeitsrichtlinie kennen
KPI
% der Remote-Mitarbeitenden mit nachgewiesener Einhaltung der Fernarbeitsrichtlinie
Gemessen als Prozentsatz: Wie viele der Beschäftigten, die regelmäßig remote arbeiten, erfüllen nachweislich alle Anforderungen der Telearbeitsrichtlinie (Selbstauskunft, MDM-Enrollment, VPN-Nutzung)? Ziel: 100%. In der Praxis starten viele Organisationen bei 70–80%, weil Altgeräte oder BYOD-Fälle nachgerüstet werden müssen.
Ergänzende KPIs:
- Anteil der Remote-Endgeräte mit durchgesetzter technischer Baseline
- Anzahl der Remote-Zugriffe ohne VPN pro Monat (Ziel: 0)
- Anteil der Beschäftigten mit aktueller Selbstauskunft zum Heimarbeitsplatz
BSI IT-Grundschutz
A.6.7 mappt auf mehrere BSI-Bausteine, da Telearbeit ein Querschnittsthema ist:
- OPS.1.2.4 (Telearbeit) — der Kernbaustein. Fordert eine Telearbeitsrichtlinie, technische und organisatorische Maßnahmen für den Remote-Arbeitsplatz und die Schulung der Beschäftigten.
- INF.8 (Häuslicher Arbeitsplatz) — definiert Anforderungen an die physische Sicherheit des Heimarbeitsplatzes: abschließbarer Bereich, Sichtschutz, sichere Aufbewahrung von Unterlagen und Datenträgern.
- INF.9 (Mobiler Arbeitsplatz) — ergänzt INF.8 um die Anforderungen für mobile Arbeitsszenarien: Reisen, Kundeneinsätze, Coworking-Spaces.
- NET.3.3 (VPN) — technische Anforderungen an die VPN-Lösung: Verschlüsselung, Authentifizierung, Konfiguration.
- CON.7.A7 (Sicherer Fernzugriff) — übergreifende Anforderungen an den sicheren Zugriff auf Organisationsressourcen von außerhalb.
Verwandte Kontrollen
- A.6.8 — Meldung von IS-Vorfällen: Sicherheitsvorfälle im Remote-Kontext (Gerätediebstahl, kompromittiertes Netzwerk) müssen über denselben Meldeprozess erfasst werden.
- A.8.1 — Endgeräte der Benutzer: Technische Sicherheitsanforderungen an die Endgeräte selbst — A.6.7 ergänzt den organisatorischen Rahmen.
- A.6.6 — Vertraulichkeitsvereinbarungen: Im Remote-Kontext besonders relevant, da Dritte (Familienmitglieder, Mitreisende) leichter Einblick in vertrauliche Informationen erhalten können.
Quellen
- ISO/IEC 27001:2022 Annex A, Control A.6.7 — Telearbeit
- ISO/IEC 27002:2022 Abschnitt 6.7 — Umsetzungshinweise zur Telearbeit
- BSI IT-Grundschutz, OPS.1.2.4 — Telearbeit
- BSI IT-Grundschutz, INF.8 — Häuslicher Arbeitsplatz