Zahlreiche Indikatoren von „ “ haben in den vergangenen Monaten darauf hingedeutet, dass die Vorschriften zur Rückkehr ins Büro in diesem Jahr zunehmen werden, und die Anweisung von Präsident Trump, die Regelungen zur Telearbeit in Bundesbehörden zu beenden, dürfte diesen Trend noch weiter verstärken – einhergehend mit einem möglichen Anstieg der Bedrohungen für die Cybersicherheit.
Führungskräfte aus der Wirtschaft, die sich für eine Rückkehr ins Büro einsetzen, scheinen vor allem besorgt über mögliche Einbußen bei der Zusammenarbeit und Produktivität der Mitarbeiter zu sein – und natürlich über die Kosten für die Aufrechterhaltung halb leerer Büroräume. Tatsächlich deuten Forschungsergebnisse darauf hin, dass eine Richtlinie, die eine fünftägige Anwesenheit im Büro vorschreibt, kaum zur Steigerung der Mitarbeiterproduktivität, der Unternehmensgewinne oder der Börsenperformance beiträgt – und es besteht definitiv die Gefahr, dass Mitarbeiter während der Umstellungsphase verärgert werden oder sogar abwandern.
Ein solcher Anstieg bei Beschwerden von Mitarbeitern und Stress am Arbeitsplatz hat schwerwiegende Auswirkungen auf die Chief Information Security Officers (CISOs) von sowie auf andere Verantwortliche, deren Aufgabe es ist, „Insider-Bedrohungen“ sowie die allgemeine Cybersicherheit in öffentlichen und privaten Organisationen zu überwachen.
Und dies ist ein Grund, warum Führungskräfte in Unternehmen die Cybersicherheit stets im Blick behalten müssen, wenn sie die Vor- und Nachteile der verschiedenen Arbeitsorte ihrer Mitarbeiter abwägen.
“Interne Bedrohungen, einschließlich Sabotage, müssen berücksichtigt werden, da einige Mitarbeiter möglicherweise persönlich von der Veränderung betroffen sind und in extremen Fällen zu gewalttätigen Handlungen greifen könnten.“Fritz-Jean Louis, leitender Berater für Cybersicherheit, Info-Tech Research
Denn es geht nicht nur darum, zur Normalität vor der Pandemie zurückzukehren. RTO wirkt sich auf vielfältige Weise auf die Cybersicherheit aus. Es gibt zwar durchaus positive Aspekte, doch Experten sehen einige erhebliche Herausforderungen auf sich zukommen, da alte Sicherheitsbedrohungen wieder aktuell werden und andere unvorhergesehene Risiken die Lage für die Sicherheitsteams erschweren.
Vor- und Nachteile von RTOs für CISOs
Zunächst zu den positiven Aspekten: Auch wenn eine RTO-Initiative gewisse Herausforderungen mit sich bringen mag, erleichtert sie laut Larry Whiteside Jr. den CISOs in einigen Bereichen der Cybersicherheit die Arbeit . Der erfahrene CISO leitet heute Confide, einen Dienst für Produktbewertung und -weiterverkauf, der sich an CISOs richtet.
“„Es ist weitaus einfacher, die Menschen innerhalb der Mauern Ihres Unternehmens zu schützen.“Larry Whiteside Jr., CISO und Mitbegründer von Confide
„Es ist weitaus einfacher, die Sicherheit der Mitarbeiter innerhalb der Unternehmensgrenzen zu gewährleisten“, sagt er. „Sie kennen weder die technische Ausstattung der Nutzer zu Hause noch deren Heimnetzwerk.“ Wer nutzt seinen Dienstcomputer, wenn er nicht anwesend ist? Welche weiteren ungesicherten Geräte befinden sich in diesem Netzwerk? „Die meisten Heimrouter sind ein einziges Durcheinander“, fügt er hinzu. Nur wenige Menschen aktualisieren jemals die darauf installierte Software – abgesehen vielleicht von den chinesischen APT-Gruppen „ “ , die diese Geräte mit der Malware „“ infizieren.
Das „Zero-Trust“- – das Prinzip, allem im Netzwerk zu misstrauen und Zugriffsrechte auf der Grundlage einer robusten Authentifizierung nach dem „ “-Prinzip zu vergeben – sollte diese Probleme beheben. Whiteside Jr. erklärt jedoch, dass es sich hierbei um ein komplexes „ “-Framework und nicht um ein einzelnes Produkt handelt, und dass viele Unternehmen noch nicht darauf vorbereitet waren.
RTO-Vorgaben bringen jedoch ihre eigenen Herausforderungen mit sich, darunter die gefürchtete „“ (), bei der ein Angreifer, der ein Gerät kompromittiert hat, anschließend auf andere Geräte im Unternehmensnetzwerk übergreifen und diese ebenfalls kompromittieren kann.
„Es ging nicht darum, während der Pandemie, als alle zu Hause waren, von einem Gerät auf ein anderes zu wechseln; es ging vielmehr um die Ausweitung von Berechtigungen“, erklärt Whiteside Jr.
Zu Hause ist ein Arbeitsgerät nicht mit dem Unternehmensnetzwerk verbunden, sodass Angreifer keine Möglichkeit haben, von diesem infizierten Gerät auf Rechner im Büronetzwerk überzuspringen. Stattdessen haben sich Cyberangreifer in den letzten Jahren darauf konzentriert, Anmeldedaten von Mitarbeitern von Remote-Geräten zu stehlen, wodurch sie deren Online-Arbeitskonten in Cloud-Software kapern können. Ein infizierter Rechner in einem Heimnetzwerk könnte beispielsweise die Anmeldedaten für den cloudbasierten Microsoft 365 -Arbeitsbereich eines Mitarbeiters preisgeben, auf den ein Angreifer dann von seinem eigenen Computer aus zugreifen könnte, um dessen Arbeitsdateien zu stehlen. ( e Richtlinien zur Identitäts- und Zugriffsverwaltung sowie entsprechende Technologien können dabei helfen, Benutzerberechtigungen zu überwachen und solche Risiken zu mindern.)
Durch laterale (oder sogenannte Ost-West-)Bewegungen kann sich ein Angreifer horizontal durch ein Netzwerk bewegen und so seinen Zugriff relativ mühelos ausweiten. Während Endpunkt-Erkennungstools den Nord-Süd-Datenverkehr (beispielsweise den Datenverkehr in ein Netzwerk hinein oder aus diesem heraus) problemlos identifizieren, lassen sich laterale Bewegungen unter Umständen schwerer erkennen. Unternehmen müssen auf autonomes Endpunktmanagement und Echtzeit-Überwachungslösungen wie Anomalieerkennung sowie ausgefeilte Cybersicherheitsanalysen setzen, die jeweils ungewöhnliche Benutzeraktivitäten erfassen und nachverfolgen können.
Das größte Cybersicherheitsrisiko für RTOs: Wenn Mitarbeiter auf eigene Faust handeln
Ein weiteres Problem im Zusammenhang mit RTOs, das CISOs Sorgen bereitet: Feindseligkeiten, die die Daten oder Cybersysteme eines Unternehmens gefährden könnten.
“Viele Unternehmen teilten mir mit, dass sie sich gefreut hätten, als Amazon [im vergangenen September] die Rückkehr ins Büro an fünf Tagen ankündigte. Sie sehen darin eine Chance, einige hochqualifizierte Mitarbeiter von Amazon abzuwerben.”Dr. Mark Ma, außerordentlicher Professor für Betriebswirtschaftslehre an der Universität Pittsburgh
Mark Ma, außerordentlicher Professor für Betriebswirtschaftslehre an der University of Pittsburgh, , untersuchte die Richtlinien zum „ “ (RTO) und stellte fest, dass die Mitarbeiterzufriedenheit deutlich sank, als Unternehmen ihre Mitarbeiter zur Rückkehr an den Arbeitsplatz aufforderten. Dies führte unmittelbar zu einer hohen Fluktuation, insbesondere bei weiblichen Beschäftigten mit Kindern zu Hause sowie bei erfahrenen Mitarbeitern – einer Gruppe, die oft großen Wert auf ihre Eigenständigkeit legt und für potenzielle Arbeitgeber äußerst attraktiv ist, wie Ma anmerkt. „Viele Unternehmen haben mir gegenüber geäußert, dass sie sich gefreut haben, als Amazon [im vergangenen September] die Rückkehr ins Büro an fünf Tagen pro Woche ankündigte“, sagt er. „Sie sehen darin eine Chance, einige hochqualifizierte Mitarbeiter von Amazon abzuwerben.“
Werden einige dieser Mitarbeiter Betriebsgeheimnisse mitnehmen, vielleicht um das Angebot eines neuen Arbeitgebers attraktiver zu gestalten? Dies ist ein echtes Problem, sagen Experten.
„Interne Bedrohungen, einschließlich Sabotage, müssen berücksichtigt werden, da einige Mitarbeiter möglicherweise persönlich von der Veränderung betroffen sind und in extremen Fällen zu gewalttätigen Handlungen greifen könnten“, warnt Fritz-Jean Louis, leitender Berater für Cybersicherheit beim Analyseunternehmen Info-Tech Research.
Mitarbeiter könnten versucht sein, Vergeltungsmaßnahmen zu ergreifen, wenn sie während der Arbeit im Homeoffice einer drakonischen Überwachung durch den Arbeitgeber ausgesetzt wären. Es gibt zahlreiche Berichte über paranoide Unternehmen, die ihre im Homeoffice tätigen Mitarbeiter ausspionieren – –, indem sie -Software einsetzen, die überwacht, wie regelmäßig die Mitarbeiter im Homeoffice ihre Maus bewegen, um zu überprüfen, ob sie an ihrem Schreibtisch sitzen.
[Lesen Sie auch: Warum Mitarbeiter auf „Schatten-KI“ setzen und damit Unternehmensdaten gefährden]
„Diese Kultur des virtuellen Präsentismus entfremdet nicht nur die Mitarbeiter, sondern ist zudem ein unzuverlässiger Maßstab für die Produktivität“, warnt Ma.„Wir haben keine signifikanten Belege dafür gefunden, dass Vorschriften zur Rückkehr ins Büro die Unternehmensleistung oder die Aktienkursbewertung tatsächlich verbessern oder beeinträchtigen“, sagt Ma.
Ein Weg nach vorn
Diese akzeptablere Lösung ist auch Teil dessen, was er als Weg in die Zukunft für Unternehmen ansieht, die eine Präsenz im Büro benötigen und gleichzeitig respektvolle, produktive Beziehungen zu ihren Mitarbeitern pflegen möchten. „Warum verfolgen und überwachen Sie die Produktion nicht direkt?“ schlägt er vor. „Inwieweit die Mitarbeiter ihrem Ziel – den erwarteten Ergebnissen – bereits näher gekommen sind.“
“„[Ein hybrider] Ansatz räumt den Bedürfnissen der Mitarbeiter in gewissem Maße Vorrang ein und untersucht gleichzeitig, wie wir diese Zeit im Büro wertvoller gestalten können.“Elysca Fernandes, Leiterin der Abteilung für Personalforschung und -beratung bei McLean and Company
Er empfiehlt einen hybriden Ansatz, um die Vorteile der Arbeit im Büro zu nutzen und gleichzeitig die negativen Auswirkungen auf die Arbeitsmoral sowie andere Probleme, die zu erheblichen Cybersicherheitsrisiken führen können, so gering wie möglich zu halten.
Für Personalverantwortliche stellt dies eine Win-Win-Situation dar. „Es handelt sich um einen Ansatz, der den Bedürfnissen der Mitarbeiter in gewissem Maße Vorrang einräumt und gleichzeitig untersucht, wie wir diese Zeit im Büro wertvoller gestalten können“, sagt Elysca Fernandes, Leiterin der Abteilung für Personalforschung und -beratung bei der Beratungsgesellschaft McLean and Company. „All dies ist Teil eines allgemeinen Trends, wonach die Zeit, die Menschen in Büroumgebungen oder an physischen Arbeitsorten außerhalb ihres Zuhauses verbringen, zunimmt – selbst wenn sie weiterhin von zu Hause aus arbeiten.“
Ma schlägt vor, den Teams die Entscheidung selbst zu überlassen, wann es sinnvoll ist, ins Büro zu kommen. Dies könnte regelmäßige Uhrzeiten oder Tage umfassen oder sich auf bestimmte Arten von Veranstaltungen beziehen, wie beispielsweise große Teambesprechungen oder Kundengespräche. Der Schlüssel zum Erfolg ist ein transparentes, robustes System zur Leistungsüberwachung, das konkrete Ergebnisse misst, wie beispielsweise die Anzahl der verarbeiteten Datensätze oder den Zeitpunkt der Einreichung eines Berichts.
Bei sorgfältiger Ausarbeitung können RTO-Richtlinien die Unternehmensziele mit den Bedürfnissen der Mitarbeiter in Einklang bringen – und dabei den Herausforderungen der Cybersicherheit im Entscheidungsprozess Vorrang einräumen.
