Wie ermöglicht man ortsunabhängigen Zugriff über den Browser ohne komplexe IT?

Eine Mitarbeiterin arbeitet im Homeoffice, ein Servicetechniker benötigt beim Kunden aktuelle Auftragsdaten und die Geschäftsleitung greift von einer zweiten Niederlassung auf dieselbe Unternehmenssoftware zu. Für solche Situationen ist nicht zwingend eine aufwendige Fernwartungs- oder Desktop-Infrastruktur erforderlich. Wenn die Anwendungen dafür ausgelegt sind, genügt ein moderner Webbrowser als Zugang.

Beim ortsunabhängigen Browserzugriff bleiben Anwendungen und Unternehmensdaten zentral bereitgestellt. Mitarbeitende melden sich über eine geschützte Verbindung an und erhalten die Funktionen, die sie für ihre Arbeit benötigen. Lokale Softwareinstallationen und gerätespezifische Konfigurationen lassen sich dadurch häufig vermeiden.

Für Schweizer KMU kann das den laufenden IT-Aufwand deutlich vereinfachen. Allerdings verschwinden die technischen Anforderungen nicht vollständig: Identitätsprüfung, Endgerätesicherheit, Berechtigungen und Verfügbarkeit müssen weiterhin organisiert werden. Entscheidend ist deshalb eine Lösung, die zum tatsächlichen Arbeitsalltag passt und Sicherheit nicht mit unnötiger Komplexität verwechselt.

Warum reduziert Browserzugriff den technischen Aufwand für mobile Mitarbeitende?

Browserzugriff reduziert den IT-Aufwand, weil webfähige Unternehmensanwendungen nicht auf jedem Endgerät installiert und einzeln gepflegt werden müssen. Die Software läuft zentral, während Mitarbeitende sie über den Browser bedienen. Updates, Wartung und viele Fehlerbehebungen erfolgen dadurch an einer zentralen Stelle. Voraussetzung sind eine geeignete Anwendung, ein sicherer Zugang und eine ausreichend zuverlässige Internetverbindung.

Bei einer klassischen Desktop-Anwendung benötigt ein neuer Arbeitsplatz häufig eine Installation, passende Softwareversionen, lokale Einstellungen und gegebenenfalls zusätzliche Komponenten. Werden unterschiedliche Geräte und Betriebssysteme eingesetzt, steigt der Verwaltungsaufwand.

Eine browserbasierte Anwendung trennt dagegen die Bereitstellung der Software weitgehend vom Endgerät. Der Arbeitsplatz benötigt im Wesentlichen einen kompatiblen Browser und die erforderlichen Zugriffsberechtigungen. Ein zusätzlicher VPN-Client oder eine lokale Datensynchronisation ist nicht grundsätzlich notwendig, sofern die Anwendung sicher über einen geeigneten Webzugang erreichbar ist.

Für ein Schweizer Kleinunternehmen ohne eigene IT-Abteilung kann das besonders relevant sein. Wenn ein externer Dienstleister bisher einzelne Arbeitsplatzrechner aktualisieren oder bei Problemen vor Ort eingreifen musste, entfallen bei einer geeigneten Weblösung zahlreiche gerätebezogene Tätigkeiten. Ob dadurch tatsächlich Kosten sinken, hängt jedoch vom Betriebsmodell und den Dienstleistungsverträgen ab.

Auch die Hardwareanforderungen verändern sich. Da die eigentliche Verarbeitung teilweise oder überwiegend auf zentralen Systemen stattfindet, können einfachere Endgeräte für bestimmte Geschäftsprozesse ausreichen. Private Geräte kommen grundsätzlich ebenfalls infrage, sofern Sicherheits- und Datenschutzanforderungen eingehalten werden.

Die Kehrseite ist eine stärkere Abhängigkeit von der zentralen Infrastruktur. Fällt die Anwendung, der Server oder eine notwendige Identitätsplattform aus, können mehrere Arbeitsorte gleichzeitig betroffen sein. Auch langsame Verbindungen wirken sich unmittelbar auf die Bedienung aus.

Eine einfache Lösung entsteht deshalb nicht allein durch den Verzicht auf Installationen. Erst eine zuverlässige Bereitstellung mit klaren Zuständigkeiten macht Browserzugriff im mobilen Arbeitsalltag praktikabel.

Wie organisiert man sicheren Browserzugriff für Mitarbeitende ausserhalb des Büros?

Sicherer Browserzugriff lässt sich mit einem Zugriffskonzept in drei Schichten organisieren: Wer darf welche Anwendungen und Daten nutzen, über welchen geschützten Zugangsweg erfolgt die Verbindung und welche Endgeräte sind zugelassen? Individuelle Konten, Mehrfaktor-Authentifizierung und ein dokumentierter Sperrprozess ergänzen diese Regeln. So bleibt der Fernzugriff überschaubar, ohne Sicherheitsentscheidungen dem einzelnen Mitarbeitenden zu überlassen.

Die erste Schicht betrifft die Berechtigungen. Ein Aussendienstmitarbeiter benötigt beispielsweise Zugriff auf Kunden- und Auftragsinformationen, aber nicht automatisch auf Lohnabrechnungen oder sämtliche Administrationsfunktionen. Rollen sollten deshalb aus tatsächlichen Arbeitsaufgaben abgeleitet werden.

Die zweite Schicht ist der Zugangsweg. Browserbasierte Verbindungen sollten über HTTPS mit zeitgemässer TLS-Konfiguration abgesichert werden. Je nach Anwendung und Risikoprofil kann zusätzlich ein VPN, ein sicherer Anwendungszugang oder ein Zero-Trust-Ansatz sinnvoll sein.

Die dritte Schicht betrifft das Endgerät. Ein aktueller Browser auf einem schlecht gewarteten, möglicherweise infizierten Privatcomputer ist kein verlässlicher Schutz. Unternehmen sollten festlegen, ob private Geräte zugelassen sind und welche Mindestanforderungen gelten, etwa Sicherheitsupdates, Gerätesperre und Schutz vor Schadsoftware. Bei besonders sensiblen Daten können verwaltete Geräte oder stärker abgeschottete Zugriffssitzungen erforderlich sein.

Im täglichen Betrieb braucht es zusätzlich einfache und verbindliche Abläufe. Mitarbeitende sollten einen Passwort-Manager verwenden, keine Zugangsdaten teilen und eine Mehrfaktor-Authentifizierung nutzen. Bei Verlust eines Smartphones oder Laptops muss bekannt sein, wer erreichbar ist und wie aktive Sitzungen, Zugangsdaten und gegebenenfalls Geräte unverzüglich gesperrt werden.

Das Schweizer Datenschutzgesetz auf Fedlex verlangt bei der Bearbeitung von Personendaten eine dem Risiko angemessene Datensicherheit durch technische und organisatorische Massnahmen. Daraus ergibt sich keine allgemeine gesetzliche Pflicht zur Zwei-Faktor-Authentifizierung bei jedem Browserzugriff. Die erforderlichen Schutzmassnahmen müssen anhand der konkreten Daten und Risiken bestimmt werden.

Diese organisatorische Grundlage ist unabhängig davon notwendig, ob später eine reine Webanwendung oder eine Remote-Desktop-Umgebung eingesetzt wird.

Browserzugriff oder Remote Desktop: Was eignet sich für verteilte Teams besser?

Browserzugriff eignet sich besonders für Teams, die dieselben webfähigen Geschäftsanwendungen an unterschiedlichen Arbeitsorten nutzen. Remote Desktop ist dagegen sinnvoll, wenn bestehende Windows-Programme, spezielle Arbeitsumgebungen oder zentral bereitgestellte Rechenleistung benötigt werden. Ausschlaggebend sind die tatsächlich erforderlichen Funktionen, die Qualität der Internetverbindung, die Lizenzierung und der Aufwand für den laufenden Betrieb.

Beim Browserzugriff kommuniziert die Webanwendung über eine dafür vorgesehene Schnittstelle mit dem zentralen System. Dabei werden je nach Anwendung Daten, Seitenelemente und weitere Inhalte übertragen. Remote Desktop übermittelt hingegen eine entfernte Arbeitsoberfläche und verarbeitet Eingaben wie Tastatur- und Mausaktionen auf dem Zielsystem.

Dieser Unterschied beeinflusst das Nutzererlebnis. Klassische Geschäftsanwendungen im Browser können bei schwankenden Verbindungen vergleichsweise effizient arbeiten. Eine Remote-Desktop-Sitzung kann sich bei hoher Latenz oder instabiler Bandbreite verzögert anfühlen. Allerdings benötigen auch datenintensive Webanwendungen unter Umständen erhebliche Bandbreite, während moderne Remote-Desktop-Technologien ihre Übertragung optimieren können.

Für die Auswahl hilft eine Gegenüberstellung konkreter Anforderungen:

Bei Microsoft Remote Desktop Services auf Windows Server können zusätzliche Zugriffslizenzen erforderlich sein. Die Microsoft-Dokumentation zu RDS-Zugriffslizenzen erläutert die Unterscheidung zwischen benutzer- und gerätebezogenen CALs. Diese Anforderungen lassen sich nicht pauschal auf sämtliche Remote-Desktop-Produkte übertragen.

Auch Druckprozesse und Dateizugriffe verdienen Aufmerksamkeit. Benötigt ein Aussendienstteam eine Windows-Fachanwendung mit speziellen Druckfunktionen, kann Remote Desktop trotz zusätzlicher Administration praktischer sein als eine Webanwendung mit eingeschränkter Funktionalität. Umgekehrt lässt sich eine vollständig browserfähige Auftragsverwaltung häufig einfacher an wechselnden Arbeitsorten nutzen.

Die technisch modernere Oberfläche ist nicht automatisch die passendere Lösung. Massgeblich ist, ob Mitarbeitende ihre Aufgaben ohne unnötige Unterbrechungen zuverlässig erledigen können.

Welche Sicherheitsfehler gefährden browserbasierten Zugriff ausserhalb des Unternehmens?

Browserbasierter Fernzugriff wird vor allem durch gemeinsam genutzte Benutzerkonten, fehlende Mehrfaktor-Authentifizierung, unsichere Endgeräte und unkontrollierte Sitzungen gefährdet. Weitere Risiken entstehen, wenn Zugriffsrechte nach Stellenwechseln bestehen bleiben oder Mitarbeitende auf private Cloud-Dienste ausweichen. Entscheidend sind deshalb nachvollziehbare Identitäten, regelmässige Berechtigungsprüfungen und die Kontrolle auffälliger Zugriffe.

Ein gemeinsames Login für mehrere Personen mag zunächst bequem erscheinen. Im Sicherheitsfall lässt sich jedoch kaum feststellen, welche Person eine bestimmte Aktion ausgeführt hat. Zudem muss bei einem Personalwechsel unter Umständen das gemeinsame Passwort für alle geändert werden. Individuelle Konten machen eine gezielte Sperrung und nachvollziehbare Protokollierung erst praktikabel.

Weitere typische Fehler sind dauerhaft gespeicherte Passwörter auf gemeinsam genutzten Privatgeräten, ungeschützte Sitzungen und die Weitergabe von Zugangslinks. Besonders kritisch wird es, wenn eine gestohlene Sitzung weiterhin gültig bleibt, obwohl ein Passwort inzwischen geändert wurde.

Phishing-Angriffe zielen zunehmend auf Zugangsdaten und aktive Sitzungen. Je nach Angriffstechnik können auch Verfahren mit zusätzlichem Bestätigungsschritt umgangen werden, beispielsweise wenn Angreifer gültige Sitzungsinformationen abfangen. Phishing-resistente Authentifizierungsverfahren, kurze beziehungsweise risikogerechte Sitzungsdauern, Login-Warnungen und die Möglichkeit zum zentralen Widerruf von Sitzungen verbessern den Schutz.

Ein weiterer Risikofaktor ist die Schatten-IT. Wenn der offizielle Zugriff kompliziert oder langsam ist, verschicken Mitarbeitende möglicherweise Geschäftsdokumente über private E-Mail-Konten oder speichern sie bei nicht freigegebenen Cloud-Diensten. Unautorisierte Browser-Erweiterungen können zusätzliche Zugriffs- und Datenschutzrisiken schaffen.

Unternehmen sollten deshalb nicht ausschliesslich Verbote aussprechen, sondern einen funktionierenden offiziellen Arbeitsweg anbieten. Technische Protokolle können verdächtige Anmeldungen oder ungewöhnliche Datenübertragungen sichtbar machen. Dabei sind Zweckbindung, Verhältnismässigkeit und Datenschutz der Mitarbeitenden zu berücksichtigen.

Besonders leicht übersehen werden veraltete Berechtigungen. Zugänge werden bei der Einstellung eingerichtet, bei einem internen Rollenwechsel erweitert und beim Austritt nicht immer vollständig entzogen. Ein periodischer Abgleich aktiver Benutzerkonten mit der aktuellen Personal- und Rollenliste deckt solche Abweichungen auf.

Die grössten Schwachstellen entstehen häufig an den Übergängen zwischen Menschen, Geräten und Zuständigkeiten. Werden diese Übergänge zuverlässig geregelt, lassen sich viele alltägliche Risiken bereits ohne komplexe Sicherheitsarchitektur reduzieren.

Wann braucht browserbasierter Zugriff zusätzliche Identitäts- und Sicherheitslösungen?

Zusätzliche Identitätslösungen werden sinnvoll, wenn Mitarbeitende viele Anwendungen nutzen, sensible Daten von ausserhalb bearbeiten oder externe Partner Zugriff benötigen. Single Sign-On, zentrale Identitätsverwaltung und bedingte Zugriffsregeln vereinfachen dann die Kontrolle. Je höher die Risiken und regulatorischen Anforderungen, desto wichtiger sind einheitliche Sicherheitsrichtlinien, Protokollierung und die schnelle zentrale Sperrung von Berechtigungen.

Für eine einzelne, wenig kritische interne Anwendung kann eine eigene Benutzerverwaltung mit starkem Passwort und angemessener zusätzlicher Absicherung ausreichen. Sobald dieselben Mitarbeitenden jedoch mehrere Geschäftssysteme verwenden, entstehen viele getrennte Konten, Passwörter und Verwaltungsprozesse.

Single Sign-On (SSO) ermöglicht es, mehrere Anwendungen über einen zentralen Identitätsdienst anzubinden. Ein Identity Provider (IdP), beispielsweise Microsoft Entra ID, kann Authentifizierung und Sicherheitsrichtlinien zentral bereitstellen. Beim Austritt einer Person lassen sich verbundene Zugänge einfacher deaktivieren, sofern die Anwendungen korrekt integriert sind und auch bestehende Sitzungen berücksichtigt werden.

SSO bedeutet allerdings nicht automatisch, dass sämtliche Berechtigungen in jeder Anwendung zentral gesteuert werden. Fachliche Rollen und Freigaben müssen gegebenenfalls weiterhin direkt im jeweiligen System verwaltet werden.

Ein weiterer Ausbau besteht in bedingten Zugriffsregeln. Diese können beispielsweise prüfen, ob ein Gerät verwaltet wird, aus welchem Kontext eine Anmeldung erfolgt oder ob zusätzliche Authentifizierung nötig ist.

Die NIST-Publikation zur Zero-Trust-Architektur beschreibt das zugrunde liegende Sicherheitsprinzip: Der Zugriff auf Ressourcen soll nicht allein aufgrund des Standorts oder der Zugehörigkeit zu einem Netzwerk als vertrauenswürdig gelten. Identität, Gerät und Berechtigungen werden stattdessen im Zusammenhang mit der jeweiligen Ressource beurteilt.

Eine stärkere Zentralisierung bringt aber neue Abhängigkeiten. Fällt der Identitätsdienst aus, können mehrere verbundene Anwendungen gleichzeitig unerreichbar werden. Unternehmen sollten deshalb Wiederherstellungsverfahren, geschützte Notfallkonten und klar zugewiesene Verantwortlichkeiten vorsehen.

Im regulierten Schweizer Finanzsektor können darüber hinaus besondere Anforderungen gelten. Das FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz behandelt für bestimmte beaufsichtigte Institute unter anderem IKT-Risiken, kritische Daten und Betriebskontinuität. Es begründet jedoch keine pauschal nachgewiesene MFA-Pflicht für jeden Browserzugriff sämtlicher Schweizer Unternehmen.

Die Einführung eines Identitätsdienstes ist somit eine Frage der tatsächlichen Komplexität und des Risikos. Kleinere Unternehmen profitieren häufig davon, zunächst die Grundlagen konsequent umzusetzen und zusätzliche Funktionen gezielt nachzurüsten.

Webanwendung oder Desktop-Software: Was passt zu mobilen Teams besser?

Webanwendungen passen meist besser zu mobilen Teams, wenn zentrale Datenbestände, einheitliche Softwareversionen und wechselnde Endgeräte wichtig sind. Desktop-Software bleibt sinnvoll, wenn Mitarbeitende ohne Internet arbeiten, spezielle Gerätefunktionen benötigen oder bestehende Fachprogramme vollständig weiterverwenden müssen. Eine belastbare Entscheidung berücksichtigt deshalb nicht nur den Installationsaufwand, sondern auch Offline-Fähigkeit, Funktionsumfang und den tatsächlichen Einsatzort.

Webanwendungen stellen Funktionen zentral bereit. Verbesserungen und Fehlerkorrekturen können dadurch serverseitig ausgerollt werden, ohne dass jede Person die gesamte Anwendung neu installieren muss. Bei Desktop-Software hängt die Aktualisierung stärker von der gewählten Bereitstellungs- und Geräteverwaltung ab. Zentral verwaltete Desktop-Umgebungen können allerdings ebenfalls automatisierte Updates unterstützen.

Auch der Datenort unterscheidet sich nicht immer so eindeutig, wie die Bezeichnungen vermuten lassen. Eine Desktop-Anwendung kann mit einer zentralen Datenbank arbeiten, während eine Webanwendung Daten zeitweise lokal zwischenspeichert. Entscheidend ist daher, wo die verbindliche Datenversion liegt und wie Änderungen abgeglichen werden.

Besonders wichtig ist die Offline-Fähigkeit. Ein Mitarbeitender auf einer Baustelle, in einem Lager oder bei einem Kunden mit schwachem Mobilfunkempfang kann unter Umständen nicht zuverlässig auf eine reine Online-Anwendung zugreifen. Eine lokal nutzbare Desktop-Lösung oder eine Webanwendung mit ausdrücklich unterstütztem Offline-Modus kann dann den Arbeitsprozess sichern.

Vor einer Umstellung sollten kritische Abläufe unter realistischen Bedingungen getestet werden:

• Funktionieren Datenerfassung, Berichte, Dateiimporte und Exporte vollständig im Browser?
• Lassen sich Dokumente an den benötigten Arbeitsorten korrekt drucken oder herunterladen?
• Bleibt die Anwendung über typische mobile Internetverbindungen ausreichend bedienbar?
• Was geschieht mit nicht gespeicherten Eingaben bei einem Verbindungsabbruch?
• Welche Funktionen benötigen weiterhin lokale Geräte, Programme oder spezielle Schnittstellen?

Bei Schweizer KMU ist auch ein bewusst geplanter Mischbetrieb realistisch. Beispielsweise kann die Buchhaltung zunächst als Desktop-Anwendung im Büro verbleiben, während Auftragsverwaltung und Kundendaten schrittweise über den Browser bereitgestellt werden. In dieser Phase müssen Datenverantwortung, Synchronisation und Zugriffsrechte eindeutig geregelt sein.

Beim Kostenvergleich sollten zudem unterschiedliche Lizenz- und Betriebsmodelle betrachtet werden. Weder der einmalige Kauf einer Desktop-Lizenz noch das Abonnement einer Webanwendung ist für sich allein ein verlässlicher Hinweis auf die langfristigen Gesamtkosten.

Ein schrittweiser Übergang reduziert das Risiko, bewährte Arbeitsabläufe vorschnell aufzugeben. Er setzt allerdings voraus, dass auch im Mischbetrieb klar bleibt, welche Systeme und Datenbestände verbindlich sind.

Wie setzt man das Prinzip der minimalen Rechte im Unternehmensalltag um?

Das Prinzip der minimalen Rechte bedeutet, dass jede Person nur jene Zugriffe erhält, die sie für ihre Aufgaben tatsächlich benötigt. Im Unternehmensalltag lässt sich dies mit wenigen klar definierten Rollen, dokumentierten Genehmigungen und regelmässigen Berechtigungsprüfungen umsetzen. Besonders wichtig ist, administrative Sonderrechte getrennt zu behandeln und zusätzliche Zugänge nur für den erforderlichen Zeitraum zu vergeben.

Statt für jeden Mitarbeitenden zahlreiche Einzelberechtigungen zu verwalten, kann ein KMU zunächst typische Tätigkeiten zusammenfassen. Ein mögliches, ausdrücklich beispielhaftes Rollenmodell für eine Auftragsanwendung umfasst:

• Lesen: Informationen einsehen, aber keine Geschäftsdaten verändern.
• Erfassen: Aufträge oder Kundeneinträge im zugewiesenen Bereich erstellen und bearbeiten.
• Freigeben: Definierte Vorgänge nach fachlicher Prüfung genehmigen.
• Administrieren: Technische Konfiguration und Benutzerverwaltung übernehmen.

Diese Rollen sind kein allgemeingültiger Standard. Ein Unternehmen kann weitere Rollen benötigen oder einzelne Aufgaben anders aufteilen. Entscheidend ist, dass Berechtigungen aus Arbeitsaufgaben abgeleitet und nicht vorsorglich möglichst weit vergeben werden.

Eine häufige Schwachstelle entsteht bei kurzfristigen Anfragen. Wenn ein Mitarbeitender eine zusätzliche Funktion benötigt, ist die dauerhafte Vergabe einer umfassenden Administratorrolle zwar einfach, schafft aber unnötige Risiken. Besser sind ein dokumentierter Genehmigungsweg und zeitlich begrenzte Sonderberechtigungen, die nach Ablauf automatisch oder kontrolliert entzogen werden.

Administrative Konten verdienen besondere Aufmerksamkeit. Wer alltägliche E-Mails bearbeitet und gleichzeitig mit weitreichenden Systemrechten angemeldet ist, erhöht bei kompromittierten Sitzungen den möglichen Schaden. Separate Administratorkonten, zusätzliche Authentifizierung und nachvollziehbare Protokolle begrenzen dieses Risiko.

Auch Dienstkonten und technische Integrationen benötigen eigene Berechtigungen. Sie sollten weder als allgemeine Benutzerkonten noch als bequemes Ersatzlogin für Mitarbeitende verwendet werden.

Als praktikabler Ausgangspunkt bietet sich eine Berechtigungsprüfung mindestens einmal jährlich an; bei sensiblen Systemen oder häufigen Personalwechseln kann ein kürzerer Abstand erforderlich sein. Zusätzlich sollten Eintritt, interne Versetzung und Austritt jeweils eine anlassbezogene Prüfung auslösen.

Für extern erreichbare Anwendungen ist das besonders relevant. Selbst bei einem gestohlenen Konto bleibt der mögliche Schaden geringer, wenn die zugewiesenen Rechte eng begrenzt sind. Standortbeschränkungen und Mehrfaktor-Authentifizierung ergänzen diese Kontrolle, ersetzen sie aber nicht.

Damit sind die Voraussetzungen geschaffen, die einzelnen Massnahmen zu einem dauerhaft nutzbaren Fernzugriffskonzept zusammenzuführen.

Wie ermöglicht man ortsunabhängigen Zugriff auf Unternehmensdaten sicher?

Sicherer ortsunabhängiger Zugriff entsteht durch das Zusammenspiel einer geeigneten Anwendungsplattform, verschlüsselter Verbindungen, verlässlicher Identitätsprüfung und begrenzter Zugriffsrechte. Ergänzend müssen Endgeräte geschützt und Ausfälle vorbereitet werden. Für Schweizer KMU empfiehlt sich eine schrittweise Umsetzung: zuerst sichere Konten und Zugangsregeln, danach Rollen und Geräteverwaltung und schliesslich bedarfsgerechte zentrale Sicherheitsfunktionen.

Die technische Grundlage hängt von den Anwendungen ab. Bereits webfähige Geschäftssoftware kann über einen abgesicherten Browserzugang bereitgestellt werden. Für bestehende Desktop-Anwendungen kommen dagegen Remote Desktop oder andere zentrale Bereitstellungsformen infrage. Vor einer Entscheidung müssen Funktionsumfang, Internetabhängigkeit und Datenflüsse geprüft werden.

Bei der Umsetzung hilft eine Priorisierung in drei Stufen:

1. Basis absichern: Individuelle Benutzerkonten einrichten, Mehrfaktor-Authentifizierung aktivieren, verschlüsselte Zugänge prüfen und grundlegende Verhaltensregeln dokumentieren.
2. Zugriffe strukturieren: Fachliche Rollen definieren, zugelassene Geräte festlegen, Freigaben dokumentieren und Sperrprozesse für Personalwechsel oder Geräteverlust testen.
3. Kontrollen gezielt erweitern: Bei Bedarf SSO, bedingte Zugriffsregeln, zentrale Protokollierung und automatisierte Benutzerverwaltung ergänzen.

Diese Reihenfolge verhindert, dass Unternehmen umfangreiche Sicherheitsprodukte einführen, bevor Verantwortlichkeiten und alltägliche Prozesse geklärt sind.

Wie streng Zugriffe kontrolliert werden müssen, hängt auch von den verarbeiteten Daten ab. Allgemeine Terminplanung und besonders schützenswerte Personendaten verlangen nicht zwangsläufig dieselben Massnahmen. Eine risikobasierte Einteilung erleichtert nachvollziehbare Entscheidungen darüber, welche Anwendungen ausschliesslich auf verwalteten Geräten erreichbar sein sollen und wann zusätzliche Prüfungen erforderlich sind.

Die Absicherung darf den Arbeitsprozess allerdings nicht unnötig behindern. Werden alltägliche Aufgaben durch komplizierte Anmeldeschritte oder fehlende Funktionen erschwert, steigt das Risiko unerwünschter Umgehungslösungen. Geeignete Authentifizierungsverfahren und gut definierte Rollen können Sicherheitskontrollen mit einem praktikablen Nutzererlebnis verbinden.

Schliesslich gehört die Betriebskontinuität zur Planung. Unternehmen sollten durchspielen, was geschieht, wenn die Internetverbindung, die zentrale Anwendung, ein externer Dienstleister oder der Identitätsdienst ausfällt. Für geschäftskritische Systeme sind Zuständigkeiten, Wiederherstellungsabläufe und gegebenenfalls alternative Arbeitsverfahren zu dokumentieren.

Im regulierten Finanzbereich behandelt das FINMA-Rundschreiben 2023/1 entsprechende Themen der operationellen Resilienz für seinen definierten Adressatenkreis. Auch ausserhalb dieser Regulierung ist es betrieblich sinnvoll, Wiederanlaufziele und zulässige Datenverlustzeiten für wichtige Anwendungen festzulegen, statt erst im Störungsfall darüber zu entscheiden.

Als nächster Schritt sollten Unternehmen eine geschäftskritische Anwendung auswählen, ihre Zugriffssituation dokumentieren und den sicheren Browserzugang mit einer kleinen Benutzergruppe unter realistischen Arbeitsbedingungen testen. Die Ergebnisse zeigen, welche Anforderungen bereits erfüllt sind und wo zusätzliche Massnahmen tatsächlich benötigt werden.