Praktische Regeln für vertrauliche Dateien im Homeoffice
Das Zuhause ist ein Arbeitsplatz und gleichzeitig eine nicht verwaltete Umgebung
Mit der zunehmenden Verbreitung der Telearbeit steigen die Situationen, in denen hochvertrauliche Dateien wie Kundeninformationen, Angebote, Verträge, Anwesenheitsdaten und Konstruktionsunterlagen von zu Hause aus bearbeitet werden. In den Büros des Unternehmens verfügen Sie über eine gewisse Kontrolle über das Netzwerk, die Drucker, die Lagerorte und die Blicke anderer. Zu Hause gibt es jedoch viele schwer zu kontrollierende Faktoren, wie z. B. Familienmitglieder im selben Raum, die Nutzung privater Internetleitungen, das Mitführen des Geräts oder das Verlassen des Arbeitsplatzes bei eingeschaltetem Bildschirm.
Es besteht jedoch keine Notwendigkeit, übermäßig besorgt über den Umgang mit sensiblen Dateien während der Telearbeit zu sein. Wichtig ist, die Risiken aufzuschlüsseln und konkrete Regeln für den Umgang mit ihnen vor der Übergabe der Dateien festzulegen. In diesem Artikel stellen wir praktische operative Punkte für den Umgang mit vertraulichen Dateien von außerhalb des Unternehmens vor, die auf dem Konzept der temporären Freigabe und des Passwortschutzes von FS!QR basieren.
Regel 1: Vertraulichkeit aufteilen und Freigabemethoden ändern
Wenn Sie alle Dateien auf die gleiche Weise behandeln, ist der Schutz für wichtige Dokumente möglicherweise unzureichend oder umgekehrt wird bei geringfügigen Dokumenten ein unverhältnismäßig hoher Aufwand betrieben. Teilen Sie zunächst die Vertraulichkeit der freizugebenden Dateien einfach ein. Die erforderliche Schutzstufe unterscheidet sich für bereits extern veröffentlichte Dokumente, nur interne Dokumente, Dokumente mit persönlichen Daten oder Transaktionsbedingungen sowie Dokumente im Zusammenhang mit Verträgen oder dem Personal.
Für bereits extern veröffentlichte Informationsdokumente kann die Freigabe der URL für kurze Zeit ausreichend sein. Andererseits müssen Dateien, die Kundennamen, Beträge, Adressen oder unveröffentlichte Informationen enthalten, Passwortschutz, Empfängerbestätigung und kürzere Aufbewahrungsfristen kombinieren. Um Zweifel bei jedem Teilen zu vermeiden, macht das Vorhandensein einfacher Entscheidungskriterien im Team wie 'immer Passwort verwenden, wenn persönliche Daten enthalten sind' oder 'Freigabe nach Empfangsbestätigung bei Verträgen beenden' die Verwaltung reibungsloser.
Regel 2: Empfänger vor dem Hochladen bestätigen
Ein häufiger Fehler bei E-Mails oder Chats ist das Senden des Freigabelinks an die falsche Person nach dem Hochladen. Da beim Teilen von Links leicht eine Situation entsteht, in der jeder, der den Link kennt, darauf zugreifen kann, ist die Bestätigung des Empfängers unerlässlich. Bestätigen Sie vor dem Hochladen der Dateien, an wen Sie sie übergeben, ob es sich um eine interne oder externe Person handelt und ob sie tatsächlich berechtigt ist, das Dokument einzusehen.
Wenn Sie an mehrere Personen senden, listen Sie nicht nur die Namen der Empfänger auf, sondern geben Sie auch den Zweck der Freigabe klar an. Wenn der Zweck angegeben ist, wie z. B. 'Angebotsbestätigung für Firma A', 'Bewerberunterlagen für Einstellungsgespräche' oder 'Rechnungen zur Buchhaltungsprüfung', kann die andere Partei leichter beurteilen, ob es sich um eine Datei handelt, die sie erhalten sollte. Maßnahmen gegen Fehlsendungen erfordern, dass dem Empfänger ebenso wie dem Absender Prüfmaterialien zur Verfügung gestellt werden.
Regel 3: Das Passwort nicht im selben Bereich wie den Link ablegen
Wenn Sie vertrauliche Dateien teilen, wird die Wirkung des Passworts geschwächt, wenn Sie es in derselben Nachricht wie die Freigabe-URL senden. Wenn derselbe Chat-Verlauf oder E-Mail-Text eingesehen wird, werden URL und Passwort gleichzeitig offengelegt. Übermitteln Sie die Freigabe-URL und das Passwort idealerweise über verschiedene Kanäle.
Übermitteln Sie beispielsweise die URL über den geschäftlichen Chat und das Passwort per Telefon oder über einen anderen Kanal. Zeigen Sie während eines Online-Meetings den QR-Code per Bildschirmfreigabe an und teilen Sie das Passwort mündlich mit. Senden Sie es an externe Empfänger separat an einen vorab vereinbarten Kontakt. Diese Kanaltrennung ist trotz des geringen Aufwands sehr effektiv. Vermeiden Sie außerdem Passwörter, die leicht aus dem Dokumenten- oder Firmennamen erraten werden können, und verwenden Sie keine zu kurzen Wörter.
Regel 4: Über den Umgang mit lokaler Speicherung und erneuter Freigabe entscheiden
Bei der Telearbeit können empfangene Dateien im Download-Ordner verbleiben. Selbst wenn der Freigabedienst die Dateien serverseitig automatisch löscht, kann er auf dem Gerät des Empfängers gespeicherte Dateien nicht löschen. Daher ist es beim Teilen vertraulicher Dateien erforderlich, auch die Behandlung nach dem Empfang anzugeben.
Schreiben Sie die erwarteten Aktionen konkret auf, wie 'Bitte nach Bestätigung aus dem lokalen Speicher löschen', 'Bitte senden Sie die bearbeitete Datei mit der angegebenen Methode zurück, anstatt über diesen Raum', oder 'Die Weitergabe außerhalb des Unternehmens ist untersagt'. Klären Sie insbesondere beim Teilen mit externen Partnerunternehmen oder temporären Mitgliedern, ob eine erneute Freigabe zulässig ist. Die Übergabe einer Datei bedeutet auch die Übergabe ihrer Richtlinien zur Verwaltung.
Regel 5: Freigabefrist verkürzen und immer eine Empfangsbestätigung einholen
Beim Teilen vertraulicher Dateien ist zu vermeiden, dass der Link auch nach Beendigung der erforderlichen Arbeiten aktiv bleibt. Wenn Links über einen längeren Zeitraum aktiv bleiben, besteht eine hohe Wahrscheinlichkeit, dass jemand, der später den Chat-Verlauf ansieht, darauf zugreift, dass der Link weitergeleitet wird oder alte Versionen eingesehen werden. Wenn Sie ein temporäres Freigabesystem wie FS!QR verwenden, legen Sie die Frist so fest, dass sie nur der für die Arbeit erforderlichen Zeit entspricht.
Verifizieren Sie stattdessen den Empfang zuverlässig, anstatt die Frist zu verkürzen. Wenn Sie bestätigen, dass der Empfänger die Datei herunterladen und öffnen konnte und dass die betroffene Datei korrekt ist, besteht keine Notwendigkeit, sie lange öffentlich zu halten. Legen Sie Beendigungsbedingungen fest, wie z. B. bis zum Ende des Meetings für die Dokumentenbestätigung während eines Meetings, nur am selben Tag für die Überprüfung des Tages, und bis zur Empfangsbestätigung für die temporäre Zusendung an Kunden.
Regel 6: Freigabeverlauf einfach protokollieren
Bei Tätigkeiten mit vertraulichen Dateien ist es auch wichtig, nachträglich bestätigen zu können, 'an wen, wann und was übergeben wurde'. Selbst in Umgebungen ohne detaillierte Überwachungsprotokolle erleichtert das einfache Hinterlassen von Freigabeprotokollen in Chats oder Aufgabenverwaltungstools die Überprüfung bei Anfragen oder Problemen. Für Protokolle reicht es aus, den Dateinamen, den Freigabepartner, den Zweck, die Frist und das Vorhandensein oder Fehlen einer Empfangsbestätigung anzugeben.
Es ist jedoch nicht erforderlich, die vertraulichen Informationen selbst in das Protokoll einzufügen. Ziel ist es, die Tatsache des Teilens nachverfolgen zu können, nicht den Inhalt der Datei. Die Protokolle auf das Nötigste zu beschränken und die Datei selbst über die temporäre Freigabe nur kurzzeitig zu nutzen—diese Kombination ermöglicht Sicherheit und Arbeitsgeschwindigkeit bei der Telearbeit.
Sicheres Arbeiten im Homeoffice beginnt damit, die Verfahren nicht zu komplex zu gestalten
Sicherheitsmaßnahmen werden in der Praxis nicht funktionieren, wenn sie zu streng gestaltet werden. Wenn jedes Mal komplexe Anträge erforderlich sind oder der Empfänger aufgefordert wird, eine spezielle App zu installieren, wird bei dringenden Angelegenheiten möglicherweise ein anderes Mittel verwendet. Daher ist es wichtig, die Grundlagen der browserbasierten temporären Freigabe, des Passwortschutzes, kurzer Aufbewahrungsfristen und der Empfangsbestätigung in einer für jeden ausführbaren Form bereitzustellen.
Machen Sie beim Umgang mit vertraulichen Dateien während der Telearbeit den Ablauf aus 'vor dem Senden filtern', 'Empfänger bestätigen', 'Link und Passwort trennen', 'Behandlung nach dem Empfang angeben' und 'Frist verkürzen' zu einer gemeinsamen Regel für das Team. Selbst kleine Verfahren können zu einer wichtigen Sicherheit werden, wenn sie jedes Mal auf die gleiche Weise ausgeführt werden.