IT-Sicherheit auf Dienstreise und im Urlaub: Firmendaten schützen

Der Sommerurlaub beginnt – und damit auch eine der gefährlichsten IT-Phasen für viele KMU. Mitarbeiter nehmen Firmengeräte mit in Regionen mit unbekannter Netzinfrastruktur, verbinden sich mit Hotel-WLAN, lassen Laptops im Mietwagen liegen oder greifen über öffentliche Computer auf Firmendaten zu. Was im Büro durch Firewall, zentrales Monitoring und klare Zugriffskonzepte abgesichert ist, fällt auf Reisen komplett weg. Dieser Leitfaden zeigt, was ostdeutsche KMU vor dem Urlaub und vor jeder Dienstreise regeln sollten.

Warum Dienstreisen und Urlaub IT-Risiken erhöhen

Firmennetzwerke in Büros sind kontrollierbar. Reisen sind es nicht. Die Kombination aus unkontrollierten Netzwerken, physischem Diebstahlrisiko und gesenkter Aufmerksamkeit schafft eine Angriffsfläche, die für Angreifer besonders attraktiv ist.

Die häufigsten Zwischenfälle auf Reisen

Diebstahl von Geräten
Ein Laptop im Hotelzimmer, eine Tasche im Zug, ein Smartphone am Strand – Gerätediebstahl ist die häufigste Form von Datenverlust auf Reisen. Wenn das Gerät nicht verschlüsselt ist, hat der Finder sofortigen Zugriff auf alle gespeicherten Daten, E-Mails und Zugangsdaten.

Offene WLAN-Netze
Hotel-WLAN, Flughafen-WLAN, Cafés – all das sind unverschlüsselte oder schwach gesicherte Netzwerke, in denen Man-in-the-Middle-Angriffe ohne besondere Kenntnisse möglich sind. Angreifer können Verbindungen abfangen, Session-Cookies stehlen oder gefälschte WLAN-Hotspots aufbauen, die legitimen Netzen zum Verwechseln ähneln.

Shoulder Surfing und Social Engineering
Im Großraumbüro eines Co-Working-Spaces, in der Bahn oder im Flugzeug: Passwörter und vertrauliche Dokumente werden von Umstehenden mitgelesen. In Hotels werden Mitarbeiter manchmal gezielt angesprochen, um Informationen über ihr Unternehmen preiszugeben.

Kompromittierte Ladestationen
USB-Ladeanschlüsse an Flughäfen, in Hotels und in Zügen können manipuliert sein. Sogenannte “Juice Jacking”-Angriffe übertragen Malware oder exfiltrieren Daten, sobald ein Gerät angeschlossen wird.

Zollkontrollen mit Gerätezugriff
In einigen Ländern – darunter die USA, Kanada, China und verschiedene Länder in Nahost und Asien – können Behörden an der Grenze verlangen, dass Reisende ihre Geräte entsperren. Firmendaten und Zugangsdaten sind dann offen einsehbar.

Technische Maßnahmen vor jeder Reise

Geräteverschlüsselung aktivieren

Jeder Firmenlaptop muss vor der Reise vollständig verschlüsselt sein. Unter Windows erledigt das BitLocker, unter Linux LUKS. Ohne Verschlüsselung ist ein gestohlenes Gerät gleichbedeutend mit einem erfolgreichen Einbruch in die Unternehmens-IT – unabhängig davon, ob Windows-Passwörter gesetzt sind.

Prüfen Sie außerdem:

• Ist der Recovery-Key sicher gespeichert (nicht auf dem Gerät selbst)?
• Ist der Login mit PIN oder starkem Passwort gesichert?
• Schaltet sich der Bildschirm nach wenigen Minuten automatisch ab und sperrt das Gerät?

VPN immer und überall

Firmendaten dürfen auf Reisen nur über ein VPN übertragen werden. Das gilt für E-Mails, Cloud-Zugriffe, Remote-Desktop-Verbindungen und jeden anderen Unternehmenszugang. WireGuard ist heute die empfohlene Lösung für KMU: schnell, ressourcenschonend und auf allen gängigen Betriebssystemen verfügbar.

Konfigurieren Sie VPN am besten so, dass keine Verbindung ohne aktiven VPN-Tunnel möglich ist (“Always-on VPN” bzw. “Kill Switch”). So verhindert ein einfacher Konfigurationsfehler keine Katastrophe.

Lokale Datenspeicherung minimieren

Je weniger Daten lokal auf dem Gerät liegen, desto geringer ist der Schaden bei Diebstahl. Nutzen Sie Ihre eigene Nextcloud-Instanz oder eine andere selbst gehostete Lösung, und greifen Sie auf Dokumente über den Browser oder den VPN-gesicherten Sync zu – anstatt alles lokal zu speichern.

Patches und Updates – vor der Abreise

Reisende Geräte werden nicht mehr zentral gepatcht. Stellen Sie sicher, dass Betriebssystem, Browser und alle relevanten Anwendungen vor der Reise auf dem neuesten Stand sind. Ein ungepatchtes System auf Reisen ist ein ungepatchtes System ohne Schutz.

Verhaltensregeln für Mitarbeiter

Technische Schutzmaßnahmen greifen nur, wenn Mitarbeiter die Regeln kennen und einhalten. Eine klare Reise-IT-Richtlinie ist kein Luxus, sondern Grundlage.

Was Mitarbeiter auf Reisen tun sollten

• VPN immer aktivieren, bevor auf Firmendienste zugegriffen wird – keine Ausnahme
• Gerät nie unbeaufsichtigt lassen, auch nicht im verschlossenen Hotelzimmer (Safes bieten minimalen Schutz)
• Blickschutzfolie nutzen bei der Arbeit in öffentlichen Verkehrsmitteln oder Cafés
• Nur eigene Ladekabel und Ladegeräte verwenden – keine USB-Anschlüsse an fremden Geräten oder öffentlichen Stationen
• Keine fremden USB-Sticks anschließen – auch nicht scheinbar harmlose “vergessene” Sticks

Was Mitarbeiter auf Reisen vermeiden sollten

• Keine privaten Geräte für Firmenaufgaben nutzen (“BYOD auf Reisen” ist ein hohes Risiko)
• Kein Zugriff auf Firmendaten über öffentliche Computer (Bibliothek, Hotelpressezentrum)
• Keine Firmendaten über ungesicherte Cloud-Dienste oder persönliche E-Mail-Adressen versenden
• Keine sensiblen Gespräche in öffentlichen Bereichen führen

Besonderheiten bei Reisen in Hochrisikoländer

Für Reisen in Länder mit bekannten staatlichen Überwachungsprogrammen oder strengen Zollkontrollen gilt: Nehmen Sie wenn möglich ein frisch aufgesetztes “Reise-Gerät” ohne Firmendaten mit. Alle notwendigen Daten laden Sie nach der Einreise über VPN, und nach der Rückkehr wird das Gerät komplett neu aufgesetzt.

Bevor ein Mitarbeiter ein solches Land besucht, sollten alle Zugangsdaten geändert und alle aktiven Sessions der betroffenen Konten beendet werden.

Notfallplan: Was tun wenn ein Gerät verloren geht?

Kein technisches Konzept nützt etwas, wenn im Verlustfall niemand weiß, was zu tun ist. Jede KMU in Dresden und Sachsen sollte einen klaren Notfallprozess definieren:

1. Sofort melden – Verlust oder Diebstahl umgehend dem IT-Verantwortlichen melden, nicht erst nach dem Urlaub
2. Fernlöschung einleiten – Über Mobile Device Management oder integrierte Lösungen (Microsoft Intune, Jamf) lässt sich ein Gerät remote löschen
3. Zugangsdaten sperren – Sofortige Deaktivierung aller Konten, die auf dem Gerät aktiv waren
4. VPN-Zertifikate widerrufen – Das betroffene Gerät-Zertifikat sofort aus der VPN-Infrastruktur entfernen
5. Vorfall dokumentieren – Für interne Nachverfolgung, mögliche Meldepflichten unter DSGVO und NIS2

Sie suchen Unterstützung in Dresden?

Rexoma IT hilft KMU in Dresden und Sachsen dabei, sichere Reise-IT-Konzepte umzusetzen: von der Geräteverschlüsselung über WireGuard-VPN bis hin zu Mobile Device Management und Mitarbeiter-Schulungen. Ob Sie zehn oder hundert Mitarbeiter haben – ein klares Konzept für Dienstreisen und Homeoffice gehört zur Grundlage jeder modernen IT-Sicherheitsstrategie.

Sprechen Sie uns an, bevor Ihr Team in den Sommerurlaub fährt.

FAQ: IT-Sicherheit auf Reisen

Muss ich als KMU eine IT-Reiserichtlinie haben?
Keine gesetzliche Pflicht existiert explizit, aber unter DSGVO und NIS2 sind KMU verpflichtet, technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Eine fehlende Reiserichtlinie kann bei einem Datenverlust auf Reisen als Versäumnis gewertet werden.

Ist Hotel-WLAN wirklich so gefährlich?
Ja, besonders in günstigeren Hotels und in Ländern mit schwacher Netzinfrastruktur. Selbst wenn das WLAN legitim ist, fehlen Netzwerktrennung und Verschlüsselung. Mit VPN ist das Risiko drastisch reduziert.

Was ist “Juice Jacking” und wie schützt man sich?
Juice Jacking bezeichnet Angriffe über USB-Ladeanschlüsse, bei denen Malware übertragen oder Daten abgegriffen werden. Schutz: Nur eigene Ladekabel nutzen, oder spezielle “USB-Kondome” (Datenblocker) verwenden, die nur den Ladestrom durchlassen.

Darf ich auf Dienstreise privaten Cloud-Speicher wie Google Drive nutzen?
Für Firmendaten grundsätzlich nicht. Private Cloud-Dienste unterliegen nicht den IT-Richtlinien des Unternehmens, und Daten könnten dort für andere Zwecke verarbeitet werden. Nutzen Sie ausschließlich vom Unternehmen freigegebene Dienste.

Was tun, wenn ich an der Grenze aufgefordert werde, meinen Laptop zu entsperren?
Wenn möglich, kontaktieren Sie umgehend Ihre IT-Abteilung. Lehnen Sie den Entsperrvorgang nicht aktiv ab – das kann zu strafrechtlichen Konsequenzen führen. Informieren Sie nach Ihrer Einreise sofort das IT-Team, damit betroffene Zugangsdaten geändert und alle Sessions beendet werden können.