Wenn der private Laptop zur Unternehmensbaustelle wird: Homeoffice- und BYOD Sicherheit im Unternehmen
Homeoffice ist aus dem deutschen Arbeitsalltag nicht mehr wegzudenken. Was einst als Notlösung während der Corona-Zeit begann, hat sich als feste Arbeitsform etabliert, mit allen Vorteilen für Flexibilität und Mitarbeiterzufriedenheit. Was dabei oft nicht mitgewachsen ist: die IT-Sicherheit. Und genau da liegt ein Problem, das in vielen Unternehmen größer ist, als es von außen aussieht: Die BYOD Sicherheit.
Ein Begriff steht im Mittelpunkt dieser Entwicklung: BYOD, also Bring Your Own Device. Gemeint ist die Nutzung privater Geräte für berufliche Zwecke. Der private Laptop im Homeoffice, das eigene Smartphone für Firmen-E-Mails, das Tablet für den Zugriff auf Unternehmensdaten. Was für Mitarbeitende praktisch ist, stellt Unternehmen vor rechtliche und technische Fragen, die selten vollständig beantwortet werden… So lange, bis etwas schiefgeht.
Das eigentliche Problem ist nämlich: Der Überblick fehlt.
In vielen Unternehmen weiß die IT-Abteilung, oder wer auch immer diese Rolle übernimmt, nicht genau, welche Geräte gerade auf das Firmennetz zugreifen. Das Firmentelefon ist bekannt, der Firmen-Laptop ebenfalls. Aber das private Tablet, mit dem ein Mitarbeiter abends noch schnell eine E-Mail beantwortet? Das private Smartphone, auf dem die Firmen-App installiert ist? Die landen meist nicht in der Inventarliste.
Hierbei handelt es sich um ein strukturelles Problem: Homeoffice und BYOD sind in vielen Betrieben ohne klare Regeln gewachsen, weil beides einfach funktioniert hat. Die Frage, was dabei aus IT-Sicherheitsperspektive passiert, wurde selten gestellt und noch seltener beantwortet.
Die Konsequenz: Unternehmensgeräte werden zentral verwaltet, bekommen Updates eingespielt und sind durch Sicherheitssoftware geschützt. Private Geräte nicht. Wer auf einem privaten Laptop mit veralteten Sicherheitsupdates auf das Firmennetz zugreift, öffnet Angreifern eine Tür, die die beste Firewall nicht schließen kann!
Warum BYOD 2026 zum Haftungsthema wird
Drei Entwicklungen machen die Auseinandersetzung mit einer Policy für die BYOD Sicherheit unausweichlich.
- Erstens die Rechtslage. Die DSGVO gilt für jeden Vorgang, bei dem personenbezogene Daten verarbeitet werden, unabhängig davon, auf welchem Gerät das passiert. Wer als Geschäftsführer nicht sicherstellen kann, dass Kundendaten auf privaten Geräten seiner Mitarbeitenden angemessen geschützt sind, trägt dafür die rechtliche Verantwortung. Das ist keine theoretische Bedrohung, sondern ein konkretes Bußgeldrisiko.
- Zweitens die Cyberversicherung. Versicherer prüfen inzwischen deutlich genauer, wie Unternehmen ihre IT-Umgebung kontrollieren. Wer BYOD ohne klare Richtlinien betreibt und im Schadensfall nachweisen muss, dass Sicherheitsstandards eingehalten wurden, steht möglicherweise ohne Schutz da, obwohl eine Police bezahlt wurde.
- Drittens die Bedrohungslage. Cyberangriffe werden gezielter und technisch ausgefeilter. Angreifer suchen nicht mehr nur nach Lücken in der zentralen Firmen-IT. Sie suchen den schwächsten Punkt, und der liegt in vielen Unternehmen im Homeoffice-Netzwerk eines Mitarbeitenden, der seinen privaten Router seit drei Jahren nicht aktualisiert hat.
Wer weiß, was auf privaten Geräten wirklich passiert…?
Der private Laptop eines Mitarbeitenden teilt sich das WLAN mit dem Smart-TV, der Spielekonsole des Kindes und möglicherweise einem unsichere konfigurierten Router. Familienmitglieder nutzen dasselbe Netzwerk. Vielleicht auch denselben Browser mit gespeicherten Passwörtern, die nirgendwo sonst geschützt sind.
Dazu kommt: Private Geräte werden nicht zentral verwaltet. Software-Updates werden aufgeschoben, weil der Laptop gerade gebraucht wird. Sicherheitssoftware ist vielleicht vorhanden, vielleicht auch nicht, vielleicht abgelaufen. Es gibt keine Stelle im Unternehmen, die das prüft, weil das Gerät offiziell gar nicht Teil der Firmen-IT ist.
Wenn ein solches Gerät auf Firmen-E-Mails, SharePoint-Dateien oder ein Unternehmens-VPN zugreift, sind diese Daten nicht mehr nur auf der gesicherten Firmeninfrastruktur. Sie befinden sich auf einem Gerät, über dessen Zustand das Unternehmen nichts weiß und über das es keine Kontrolle hat!
So können Unternehmen konkret vorgehen
Die Lösung ist nicht, BYOD zu verbieten, das funktioniert in der Praxis kaum und ist selten sinnvoll. Stattdessen liegt der Fokus auf einer klaren Struktur, die Flexibilität und Kontrolle verbindet.
Der erste Schritt ist dabei Transparenz: Welche Geräte greifen auf welche Systeme zu? Das lässt sich technisch erfassen, ohne in die Privatsphäre der Mitarbeitenden einzugreifen. Wichtig ist dabei nicht die totale Kontrolle, sondern die Grundlage für informierte Entscheidungen.
Der zweite Schritt ist Trennung: Unternehmensdaten und private Nutzung sollten auf einem Gerät klar getrennt sein, und zwar technisch, nicht nur organisatorisch. Mobile Device Management (MDM) ermöglicht genau das: Der Unternehmensbereich eines Geräts wird zentral verwaltet, der private Bereich bleibt unangetastet.
Der dritte Schritt ist Dokumentation: Wer BYOD zulässt, sollte das in einer klaren Richtlinie festhalten: Was erlaubt ist, welche Mindestanforderungen an private Geräte gestellt werden und was im Fall eines Verlusts oder einer Sicherheitslücke passiert. Diese Dokumentation schützt das Unternehmen rechtlich und schafft Klarheit für alle Beteiligten.
Und der vierte Schritt, der in der Praxis oft übersprungen wird, ist das VPN. Ein gut konfiguriertes VPN stellt sicher, dass der Datenverkehr zwischen privatem Gerät und Firmeninfrastruktur verschlüsselt läuft. Es ersetzt keine der anderen Maßnahmen, ist aber ein grundlegender Schutzfaktor, der ohne großen Aufwand eingerichtet werden kann.
Was BYOD Sicherheit mit dem Mittelstand zu tun hat
Große Unternehmen haben IT-Abteilungen, die sich mit diesen Fragen beschäftigen. Mittelständische Unternehmen haben oft niemanden, der das explizit im Blick hat, weil die IT entweder intern überlastet ist oder von einer einzelnen Person betreut wird, die das Tagesgeschäft kaum stemmt.
Dies ist gar nicht als Vorwurf gemeint, sondern lediglich eine Beschreibung der Realität. Und genau das ist der Grund, warum das Thema BYOD im Mittelstand besonders relevant ist: Wer keine eigene IT-Kapazität hat, die sich damit befasst, hat auch kein Regelwerk, keine Übersicht und keine technischen Schutzmaßnahmen. Das Risiko ist real, es ist nur noch niemand direkt damit konfrontiert worden.
Das ändert sich jetzt allerdings. Nicht weil die Welt schlechter geworden ist, sondern weil Angreifer gezielter vorgehen, Versicherer genauer prüfen und Aufsichtsbehörden mehr Durchsetzungswillen zeigen als früher.
Wer jetzt die Grundlage schafft (klare Regeln, technische Mindeststandards und Überblick darüber, was in der eigenen IT-Umgebung passiert!) ist besser aufgestellt als die meisten Wettbewerber. Das ist keine Frage der Unternehmensgröße. Es ist eine Frage der Entscheidung.
Sie sind unsicher, wie Homeoffice-Geräte in Ihrem Unternehmen aktuell abgesichert sind oder ob es überhaupt eine Regelung gibt? Wir schauen uns das gemeinsam an.
