Möglichst sicher Unternehmensnetzwerk von Zuhause

[Prarrior]

Guten Morgen

In meiner Firma (50+ Mitarbeiter) geht gerade die Düse wegen Corona und viele müssen in die Kurzarbeit. Einige sind auch mittlerweile im Home Office mit den Notebooks die uns zur Verfügung stehen. Allerdings sind hier nun alle aufgebraucht und es sollen noch mehr von Zuhause aus arbeiten. Teilweise auch Grafiker der entsprechend starke Notebooks benötigen. Und da lohnt es sich nicht für einige Monate nun noch so teure Geräte anzuschaffen. Diese haben aber eben entsprechend potente Hardware zu Hause stehen.

Nun mache ich mir aber als halb Verantwortlicher Gedanken wie man das möglichst sicher handhaben kann. Die Grafiker benötigen Zugang zu unserem firmeninternen Netzwerk um die Dateien hin und herzuschieben. Die Büromenschen hier arbeiten auf unseren Notebooks mit Citrix wo es Office und unser ERP gibt. Das funktioniert bei den Grafikern aber nicht und zusätzlich haben wir keine Citrix Zugänge mehr, da wir hier ohnehin langsam wechseln wollen.

Also wie kann ich es am sichersten lösen, dass die Leute im Hom Office arbeiten können und keine Sicherheitslücke entsteht? Die erste Lösung die mir einfiel war einfach eine Sandbox auf den entsprechenden Rechnern zu installieren die von den restlichen Festplatten abgeschottet ist und somit keine Chance besteht, dass sich irgendwas in unser Netzwerk einschleicht. Aber es wäre schon sehr viel gefordert bei den Menschen hier, dass so zu regeln. Gibt es noch eine weitere "kurzfristige" Lösung?

 

[Purple]

Bitte von einer Fachfirma beraten lassen, sonst wird das nichts.

 

[piepenkorn]

Ich würde mir professionelle Hilfe holen.

 

[nitech]

VPN ins Firmennetzwerk, dann direkt per Remote Desktop auf den jeweiligen PC des Grafikers zugang geben? Evt. dann nur günstige zugenagelte Notebooks den Grafikern geben wo nur das VPN funzt :-)

 

[M4ttX]

Dateien per Cloud hin und herschieben. Dann gibts eine definierte Schnittstelle zum System.

 

[nebulein]

Pfsense aber bei der Größenordnung sollte man sich von einer Fachfirma Hilfe holen, sonst sitzen die Mitarbeiter schnell zu Hause und können nichts arbeiten, was den Betrieb deutlich mehr kosten wird.

 

[VmaxGunni]

z. Bsp. mit VMware Horizon
hier steht auch etwas zu Citrix dabei
https://www.vmware.com/de/products/horizon.html

 

[Jasmin83]

Würde auch gucken, mit einem einfachen Laptop + gutem Monitor per VPN und RDP verbinden und dann so arbeiten, mach ich auch so mit meinem Matlab Sachen, klappt echt gut.

 

[snaxilian]

Das ist für ein Unternehmen, da hängen Gehälter und Existenzen dran und fragst hier in einem Forum nach wo du keinerlei Vertrauen haben kannst, wer dir etwas antwortet? Man kann dir hier den größten Quatsch auftischen und du würdest es kaufen.
Genau für solche Fragen gibt es freiberufliche Admins und Systemhäuser. Ja, die kosten Geld aber die machen das nicht erst seit gestern und wissen daher meist was sie machen.

Oder der Chef besorgt FFP2 Masken in ausreichender! Anzahl und die Grafiker verteilen sich flächenmäßig auf die Bereiche derjenigen, die jetzt zuhause sitzen damit jeder ein Einzelbüro hat.

Ansonsten wurde die Standardlösung jetzt schon paar Mal genannt: VPN und dann per RDP weiter. Wichtig: VPN per 2FA/MFA absichern! Gefühlt jeder Anbieter in den letzten Jahren hatte irgendwelche Lücken (PulseSecure, Citrix, FortiNet, Palo Alto, Cisco sowieso und jetzt Sonicwall) und bei allen hätte/würde 2FA/MFA den Schmerz verringern.
VPN und dann RDP ist aber nur der grobe Weg, die genaue Umsetzung und Implementierung sollte von jemandem übernommen werden, der weiß was er da macht.

 

[Smily]

Citrix wo es Office und unser ERP gibt.

Wer das eingerichtet hat, sollte dir auch in dieser Frage helfen. Dafür ist so ein Forum schlicht der falsche Ort. Denn wer richtet das ein? Und wer hilft dir, wenn deine 50 Mitarbeiter plötzlich nicht mehr arbeiten können? oder ist 5 Tage Stillstand, weil etwas abgestürzt ist nicht schlimm bei dir?

 

[-Overlord-]

Aus eigener Erfahrung kann ich sagen, dass das Problem mit Grafikern und VPN ist, dass die Leute zu schlechte Leitungen zuhause haben. Im Download geht das meist noch, aber den Upload kannst in der Regel in Skat drücken. Die meisten Anwender wissen auch nicht mal was sie für ne Leitung zuhause haben.

Bei uns haben die Leute das so gemacht, dass sie sich die Dateien erst runter geladen haben, bearbeitet und dann hoch. Hat zwar mitunter ewig gedauert, ging aber nicht anders. Einige, mit den ganz schlechten Leitungen, haben das so gemacht, dass sie entweder ganz in der Firma waren, oder einfach einen Tag mit dem Gerät vorbei sind und dann die letzten X Tage hochgeladen haben.

 

[SoDaTierchen]

Also wie kann ich es am sichersten lösen, dass die Leute im Hom Office arbeiten können und keine Sicherheitslücke entsteht?

Sobald Leute im HomeOffice sind hast du immer ein erhöhtes Sicherheitsrisiko. "Am sichersten" ist hier relativ und "keine Sicherheitslücke" ist unmöglich.

"Relativ" sicher wäre es, wenn die Anforderungen an das HomeOffice aufgestellt werden. Anschließend kann man einen VPN-Tunnel konfigurieren, den die Mitarbeiter auf ihren Geräten nutzen können, über die sie exakt und NUR das können, was in den Anforderungen beschrieben ist.

Einfacher: Man gibt den Leuten günstige (gern auch billige) Notebooks sowie einen potenten Bildschirm und Eingabegeräte mit (falls die das brauchen, sind ja Grafiker) und lässt sie per RDP über VPN auf ihren dienstlichen Geräten arbeiten. Dabei sollten diese Billig-Notebooks aber so eingeschränkt werden, dass die Leute dort außer Updates und RDP starten nichts machen können. Man kann RDP auch von den privaten Geräten ermöglichen, damit holt man sich aber unerwünschte Sicherheitslücken rein.

Noch einfacher: Professionelle Beratung einholen und die das lösen lassen. Dazu würde ich auch raten, denn hier müssten noch bequem 20 weitere Fragen stehen und beantwortet werden, bevor man so etwas sinnvoll beraten und umsetzen kann.

Generell gilt aber: Sicherheit kostet Geld. Keine Sicherheit kostet mit Pech aber noch viel mehr Geld. Kostenlos wird das nicht funktionieren, das sollte allen Beteiligten klar sein.

 

[FrAGgi]

Ich frage mich hier eher: Warum macht man sich jetzt erst über sowas Gedanken? Corona kam ja nicht erst letzte Woche hier an. Das riecht nach Katastrophe.

 

[charmin]

VPN, Bitlocker und USB, DVD, ... sperren. VPN so konfigurieren das ein Internetzugriff ohne VPN nicht möglich ist (geht z.B. mit Cisco ASA und AnyConnect). Dann ist die Kiste soweit erstmal dicht.

 

[SpamBot]

Remote

Vergiss das für Grafiker gleich wieder, ich arbeite an 3d Modellen und bei dem delay würde ich ausrasten, ist als Grafiker vermutlich noch schlimmer.

Bei uns nehmen die Kollegen einfach die Workstation mit heim, teilweiser sogar mit Bildschirmen und Schreibtisch ..

 

[kachiri]

VPN ins Firmennetzwerk, dann direkt per Remote Desktop auf den jeweiligen PC des Grafikers zugang geben? Evt. dann nur günstige zugenagelte Notebooks den Grafikern geben wo nur das VPN funzt :-)

Das willst du nicht, Remote Desktop ist recht träge. Als Grafiker macht das sicher keinen Spaß. Eher sollte die Überlegung sein, in Zukunft statt potente Desktops, vor allem potente Notebooks anzuschaffen.

Der Ansatz per VPN ist aber schon richtig.

Bei uns gibt es zwei Möglichkeiten:

• Citrix für diejenigen, die kein vom AG gestelltes Laptop besitzen. (Remote Desktop)
• Zugang über VPN für diejenigen, die ein vom AG gestelltes Laptop besitzen.

Letztere haben am Arbeitsplatz auch nur noch Monitore, Maus und Tastatur und eine Docking Station - keinen Rechner mehr.

Mich nervt der Delay mit Citrix schon... Und ich "tippe" quasi nur... Anderen Kollegen fällt der Delay nicht einmal auf

 

[SpamBot]

FFP2 Masken

Geht das im Job so einfach? Ich glaube Lackierer und co. bekommen hier eine Einweisung zum richtigen atmen und ähnliches, den Arbeitern einfach eine ffp2 Maske aufsetzen geht nicht so einfach.... Privat sieht das natürlich anders aus.

 

[Endless Storm]

Bestimmt haben die Mitarbeiter auch alle ECC-Speicher zuhause, damit die Anwendungen so prima laufen. Achja, wer schon darüber nachdenkt, die Anwendungen auf dem privaten PC der Mitarbeiter laufen zu lassen, hat ja genug Geld locker für die zusätzlichen Lizenzen...

Alles, was nicht in RDP läuft mit VPN sollte nicht durchgespielt werden gedanklich. Die Kisten der Mitarbeiter könnten seit Jahren schon unbemerkt mit Viren und Malware infiziert sein. Da wäre mir selbst der Transport der Daten auf USB-Stick oder DVD zu unsicher. Das Unternehmen verdient mit Daten Geld, also müssen eben jede gut geschützt sein.

Bitte externe Unternehmen damit beauftragen, falls ihr jetzt noch Termine bekommt, denn seit die Regierung HomeOffice quasi angeordnet hat, werden die Fachfirmen gerade alle Hände voll zu tun haben mit Unternehmen, die nicht weit genug denken.

 

[Trefoil80]

Bitte externe Unternehmen damit beauftragen, falls ihr jetzt noch Termine bekommt, denn seit die Regierung HomeOffice quasi angeordnet hat, werden die Fachfirmen gerade alle Hände voll zu tun haben mit Unternehmen, die nicht weit genug denken.

Genau das!

 

[Scirca]

Firewall mit VPN, dann VPN Client und entsprechende Regeln auf der Firewall. Dann noch DHCP Reservierungen und alles entsprechend statisch konfigurieren. VPN Client auf die privat PCs und von Extern darf diese IP nur zum Unternehmens Hosts.
Ist zwar nicht Top sicher, aber damit erschlägt man 99,9% das letzte 0,01% ist eh nicht existent. Da sitzt dann die nächst größere Gefahr wieder vor dem Bildschirm.

Aber wie schon 50mal erwähnt einen entsprechenden IT-Dienstleister konsolidieren. Ich mein bei 50 Man mit Grafikern sollte sowieso schon ein Kontakt mit einem Dienstleister bestehen.