Viele Beschäftigte arbeiten zumindest zeitweise von unterwegs. Das ist praktisch, hat aber einen Haken. Im Büro sorgen Türen, die technische Infrastruktur und festgelegte organisatorische Abläufe für ein Mindestmaß an Schutz, im Zug oder im Café fehlt all das. Die DSGVO macht da jedoch keinen Unterschied. Personenbezogene Daten müssen nach Art. 32 DSGVO auch beim mobilen Arbeiten durch angemessene technische und organisatorische Maßnahmen geschützt werden, also auch auf dem Klapptisch im ICE oder am Flughafen.
Wer schaut mit, wer hört zu?
Ein kurzer Blick auf den Laptop genügt manchmal schon, um vertrauliche Informationen mitzulesen. Gerade im Zug oder in öffentlichen Wartebereichen sollten Beschäftigte deshalb darauf achten, wo sie ihren Arbeitsplatz einrichten. Ein Sitzplatz mit dem Rücken zur Wand und eine Sichtschutzfolie können neugierige Blicke schon deutlich erschweren. Zudem sollte bei jedem Verlassen des Sitzplatzes der Bildschirm gesperrt werden.
Weniger offensichtlich ist das Risiko bei Telefonaten. Wer im Zug über Personalangelegenheiten, Gehälter oder Kundendaten spricht, macht vertrauliche oder sensible Informationen unter Umständen für das gesamte Abteil zugänglich. Sehr vertrauliche Gespräche sollten deshalb möglichst auf einen anderen Zeitpunkt verschoben werden. Ist das nicht möglich, helfen kurze, sachliche Formulierungen und der Verzicht auf Namen oder unnötige Details.
Öffentliches WLAN: Bitte zweimal hinschauen
Das kostenlose WLAN im Hotel oder am Bahnhof ist praktisch, aber nicht automatisch sicher. Angreifer können beispielsweise Netzwerke mit Namen einrichten, die offiziellen Hotspots täuschend ähnlich sehen. Wer sich damit verbindet, riskiert, dass Daten abgefangen oder Zugangsdaten ausgespäht werden.
Sicherer ist in der Regel der persönliche Hotspot über das Diensthandy. Lässt sich ein öffentliches Netzwerk nicht vermeiden, sollte vor dem Zugriff auf Unternehmensdaten zunächst eine VPN-Verbindung aktiviert werden. Eine zusätzliche Absicherung durch Mehr-Faktor-Authentifizierung ist ebenfalls empfehlenswert. Außerdem sollten Beschäftigte die automatische Verbindung mit bekannten WLAN-Netzen deaktivieren. Maßgeblich sind dabei immer die Sicherheitsvorgaben des Arbeitgebers. Das BSI rät davon ab, vertrauliche Daten ungeschützt über öffentliche WLAN-Netze zu übertragen, und nennt VPN-Verbindungen als geeignete Schutzmaßnahme.
Was passiert bei Verlust oder Diebstahl?
Geschäftlich genutzte Geräte sollten grundsätzlich verschlüsselt und mit einer Bildschirmsperre geschützt sein. Zudem sollten Sicherheitsupdates zeitnah installiert werden. Wichtig ist aber auch, dass Beschäftigte wissen, an wen sie sich im Ernstfall wenden müssen. Ein verlorenes oder gestohlenes Gerät sollte unverzüglich gemeldet werden, damit zeitnah Schutzmaßnahmen eingeleitet und das Gerät, soweit technisch möglich, aus der Ferne gesperrt oder gelöscht werden kann.
Sind personenbezogene Daten betroffen, muss das Unternehmen prüfen, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. In diesem Fall ist grundsätzlich eine Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO erforderlich. Die Meldung muss möglichst unverzüglich und grundsätzlich innerhalb von 72 Stunden erfolgen, nachdem dem Unternehmen die Datenschutzverletzung bekannt wurde. Die 72-Stunden-Frist gilt daher nicht automatisch bei jedem Geräteverlust.
Die Rolle des Arbeitgebers
Datenschutz unterwegs ist keine reine Aufgabe der Beschäftigten. Arbeitgeber müssen die technischen und organisatorischen Voraussetzungen schaffen, damit mobiles Arbeiten datenschutzkonform und sicher möglich ist. Dazu gehören je nach Schutzbedarf verschlüsselte Geräte, ein funktionierendes VPN und klare Regeln für den Umgang mit vertraulichen Informationen außerhalb des Büros. Auch Meldewege bei Verlust, Diebstahl oder anderen Sicherheitsvorfällen sollten eindeutig festgelegt sein. Das BSI empfiehlt verbindliche Sicherheitsrichtlinien sowie eine Sensibilisierung und Schulung der Beschäftigten.
Sinnvoll sind außerdem verständliche, praxisnahe Schulungen. Statt abstrakte Sicherheitsregeln zu vermitteln, sollten Unternehmen dabei typische Situationen aufgreifen. Darf ich im Café Kundendaten bearbeiten? Wie gehe ich mit vertraulichen Telefonaten im Zug um und was ist bei einem Geräteverlust zu tun?
Mobiles Arbeiten bringt Flexibilität, erfordert aber auch einen bewussten Umgang mit vertraulichen Informationen. Mit den richtigen technischen Vorkehrungen, klaren Unternehmensrichtlinien und etwas Aufmerksamkeit im Arbeitsalltag lassen sich viele Risiken vermeiden. Entscheidend ist, Datenschutz nicht als reine Büroangelegenheit zu betrachten, sondern auch außerhalb des Büros mitzudenken.