Den Büro-Arbeitsplatz absichern

Einordnung im IT-Grundschutz

Für den Arbeitsplatz sind im IT-Grundschutz-Kompendium mehrere Bausteine einschlägig:

• SYS.2.1 «Allgemeiner Client» sowie je nach Betriebssystem SYS.2.2.3 «Clients unter Windows», SYS.2.3 «Clients unter Linux und Unix» oder SYS.2.4 «Clients unter macOS»,
• SYS.3.1 «Laptops» für mobile Geräte,
• APP.1.1 «Office-Produkte» und APP.1.2 «Webbrowser»,
• INF.7 «Büroarbeitsplatz» für den Raum und das Verhalten.

In den WiBA-Checklisten des BSI finden sich die Themen unter «Client» und «Bürosoftware».

Den Arbeitsplatz absichern: Technik

Einheitliche Grundkonfiguration

Alle Arbeitsplatzrechner werden nach einer dokumentierten Vorlage eingerichtet. Das spart Zeit, verhindert Lücken durch vergessene Einstellungen und macht Abweichungen sichtbar. Viele Hersteller und das BSI bieten Empfehlungen zur Härtung, die als Ausgangspunkt dienen können. Zur Vorlage gehören Betriebssystemversion, installierte Software, Sicherheitseinstellungen, Verschlüsselung und Anbindung an die zentrale Verwaltung.

Updates

Betriebssystem, Browser, Office-Programme und weitere Anwendungen erhalten Sicherheitsupdates automatisch. Neustarts werden erzwungen, wenn sie zu lange aufgeschoben wurden. Geräte mit Betriebssystemen ohne Herstellerunterstützung werden ersetzt.

Benutzerrechte

Im Alltag wird ohne Administratorrechte gearbeitet. Software wird zentral oder durch die Administration installiert. Das begrenzt, was ein Schadprogramm nach einem Fehlklick anrichten kann.

Schutzsoftware und Firewall

Ein Virenschutz mit Verhaltenserkennung ist aktiv und gegen Abschalten geschützt; die Firewall des Betriebssystems ist eingeschaltet und lässt nur benötigte eingehende Verbindungen zu.

Programmausführung einschränken

Das BSI empfiehlt, das Ausführen unerwünschter Software zu verhindern, etwa durch Application Whitelisting oder zumindest durch die Beschränkung auf Verzeichnisse, in die Benutzer nicht schreiben können. Das stoppt viele Schadprogramme, die aus dem Download-Ordner gestartet werden.

Office und Makros

Makros in Dokumenten aus dem Internet werden blockiert. Wo Makros gebraucht werden, nur signierte Makros aus vertrauenswürdigen Quellen zulassen. Die DIN SPEC 27076 zählt die standardmäßige Deaktivierung von Makros zu den TOP-Anforderungen.

Browser

Ein aktueller Browser, zentral verwaltet, mit eingeschaltetem Schutz vor gefährlichen Seiten. Erweiterungen nur aus einer freigegebenen Liste. Gespeicherte Passwörter im Browser nur, wenn der Betrieb das bewusst so geregelt hat; besser ist ein zentraler Passwortmanager.

Verschlüsselung und Bildschirmsperre

Laptops und, wo sinnvoll, auch Desktop-Rechner werden mit der Festplattenverschlüsselung des Betriebssystems geschützt. Die Wiederherstellungsschlüssel werden zentral und sicher verwahrt. Der Bildschirm sperrt sich nach kurzer Inaktivität automatisch.

Schnittstellen und Wechseldatenträger

USB-Sticks und externe Festplatten sind ein Weg für Schadsoftware und für Datenabfluss. Je nach Schutzbedarf wird ihre Nutzung eingeschränkt, etwa auf freigegebene Geräte. Der Baustein SYS.4.5 «Wechseldatenträger» gibt Orientierung.

Den Arbeitsplatz absichern: Raum und Verhalten

Zutritt

Büros mit vertraulichen Unterlagen oder Geräten werden beim Verlassen abgeschlossen, Besucher werden begleitet. Fenster im Erdgeschoss werden außerhalb der Arbeitszeit geschlossen.

Aufgeräumter Schreibtisch

Vertrauliche Unterlagen, Datenträger und Notizen mit Zugangsdaten liegen nicht offen herum. Ausdrucke werden zeitnah am Drucker abgeholt; bei Bedarf hilft eine Druckfreigabe per PIN.

Bildschirm

Bildschirme sind so aufgestellt, dass Besucher oder Passanten nicht mitlesen können. Beim Verlassen des Platzes wird der Bildschirm von Hand gesperrt, unter Windows zum Beispiel mit der Windows-Taste und L.

Entsorgung

Datenträger und Geräte werden vor der Entsorgung sicher gelöscht oder vernichtet, Papier mit vertraulichen Inhalten über verschlossene Behälter oder Aktenvernichter. Der Baustein CON.6 «Löschen und Vernichten» beschreibt die Anforderungen.

Lebenszyklus eines Arbeitsplatzrechners

1. Beschaffung: Geräte mit ausreichender Herstellerunterstützung für Updates wählen.
2. Einrichtung: nach der Vorlage, Aufnahme ins Inventar, Zuordnung zu einer Person.
3. Betrieb: Updates, Überwachung durch Schutzsoftware und Verwaltung.
4. Übergabe bei Personalwechsel: Daten sichern, Gerät zurücksetzen, Konten anpassen.
5. Ausmusterung: sicher löschen, aus Inventar und Verwaltung entfernen.

Gemeinsam genutzte Arbeitsplätze

Empfang, Werkstatt, Lager oder Schichtbetrieb haben oft Rechner, an denen mehrere Personen arbeiten. Auch dort sollte jede Person ein eigenes Konto haben, damit nachvollziehbar bleibt, wer was getan hat, und damit Zugänge beim Austritt gezielt entzogen werden können. Wo ein schneller Benutzerwechsel nötig ist, helfen kurze Sperrzeiten und eine schnelle Anmeldung, etwa per Chipkarte oder Sicherheitsschlüssel. Auf solchen Rechnern sollten keine persönlichen Daten lokal gespeichert werden und der Browser keine Passwörter merken.

Kontrolle

Ob die Vorlage eingehalten wird, zeigt die zentrale Verwaltung: Welche Geräte sind nicht verschlüsselt, welche haben ausstehende Updates, wo ist die Schutzsoftware inaktiv? Ein monatlicher Blick auf diese drei Fragen genügt in kleinen Betrieben, um Abweichungen früh zu erkennen.

Typische Schwachstellen in kleinen Büros

• Ein gemeinsames Benutzerkonto für mehrere Personen am Empfang.
• Ein alter Rechner für eine einzelne Spezialanwendung, der keine Updates mehr bekommt.
• Passwörter auf Zetteln unter der Tastatur.
• Unverschlüsselte Laptops, die auch mit nach Hause genommen werden.
• Lokale Ablage wichtiger Dateien auf dem Desktop, die nicht gesichert wird.