Spätestens seit Homeoffice, mobilem Arbeiten und externen Dienstleistern gehören Remote-Zugriffe zum Alltag nahezu jedes Unternehmens. Administratoren greifen auf Server zu, Servicetechniker warten Maschinen aus der Ferne und Mitarbeiter arbeiten von unterwegs auf ihre gewohnte Windows-Umgebung. Gleichzeitig verarbeitet nahezu jeder dieser Zugriffe personenbezogene Daten – und genau hier setzt die Datenschutz-Grundverordnung (DSGVO) an.
Die DSGVO schreibt keine bestimmte Software oder Technologie vor. Sie fordert jedoch, dass personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen geschützt werden. Unternehmen müssen jederzeit nachweisen können, dass nur berechtigte Personen Zugriff erhalten und dass die Vertraulichkeit sowie Integrität der Daten gewährleistet bleiben.
Ein VPN allein erfüllt die DSGVO nicht
Viele Unternehmen setzen noch immer ausschließlich auf VPN-Verbindungen. Ein VPN verschlüsselt zwar den Transportweg, beantwortet jedoch nicht die entscheidenden Fragen der DSGVO.
Wer darf auf welche Systeme zugreifen? Welche Sitzungen wurden durchgeführt? Kann ein externer Dienstleister nur auf den vorgesehenen Server zugreifen? Lässt sich nachvollziehen, welche Aktivitäten stattgefunden haben? Wie wird verhindert, dass Daten auf private Endgeräte kopiert werden?
Diese Anforderungen liegen außerhalb der eigentlichen VPN-Technologie und müssen zusätzlich umgesetzt werden.
Was die DSGVO bei Remote-Zugriffen verlangt
Artikel 32 DSGVO fordert geeignete Sicherheitsmaßnahmen entsprechend dem Stand der Technik. Dazu gehören unter anderem eine sichere Authentifizierung, Zugriffskontrollen, die Vertraulichkeit personenbezogener Daten sowie Maßnahmen zur Wiederherstellung und regelmäßigen Überprüfung der Sicherheit.
Für Remote-Zugriffe bedeutet dies insbesondere:
- Zugriff nur für autorisierte Benutzer
- Starke Mehrfaktor-Authentifizierung
- Nachvollziehbarkeit der Zugriffe
- Schutz vor unbefugten Zugriffen
- Minimierung der übertragenen Daten
- Beschränkung auf notwendige Systeme und Anwendungen
Gerade bei externen Dienstleistern oder Homeoffice-Arbeitsplätzen entstehen häufig Risiken, wenn vollständige Netzwerkzugriffe oder dauerhaft installierte VPN-Clients verwendet werden.
Browserbasierter Remote-Zugriff reduziert Risiken
Ein moderner Ansatz besteht darin, den Zugriff ausschließlich über den Webbrowser bereitzustellen. Dabei wird keine VPN-Verbindung zum gesamten Unternehmensnetz aufgebaut. Stattdessen erhält der Benutzer ausschließlich Zugriff auf die konkret freigegebene Anwendung oder den gewünschten Server.
Kyvion Secure Access verfolgt genau diesen Ansatz.
Der Anwender öffnet lediglich seinen Browser und authentifiziert sich. Die eigentliche Verbindung zu Windows-Servern, Linux-Systemen, SSH-Sitzungen oder internen Webanwendungen erfolgt über das zentrale Gateway. Auf dem Endgerät müssen weder RDP-, SSH- noch VPN-Clients installiert werden.
Dadurch sinkt die Angriffsfläche erheblich, gleichzeitig wird die Administration deutlich einfacher.
Datenschutz durch kontrollierte Sitzungen
Besonders interessant für datenschutzkritische Bereiche ist die zentrale Kontrolle sämtlicher Sitzungen.
Unternehmen können exakt festlegen, welcher Benutzer auf welche Systeme zugreifen darf. Administratoren können Sitzungen aufzeichnen, Zugriffe protokollieren und bei Bedarf revisionssicher dokumentieren. Gerade im Rahmen interner Audits oder gegenüber Datenschutzbeauftragten entsteht dadurch eine deutlich bessere Nachvollziehbarkeit als bei klassischen VPN-Lösungen.
Externe Dienstleister erhalten ausschließlich Zugriff auf die Systeme, die sie tatsächlich benötigen. Ein vollständiger Netzwerkzugang ist nicht erforderlich.
Weniger Daten auf dem Endgerät
Ein weiterer Vorteil browserbasierter Lösungen besteht darin, dass personenbezogene Daten möglichst im Rechenzentrum verbleiben.
Der Browser dient lediglich als Anzeigemedium. Anwendungen laufen weiterhin auf den Servern des Unternehmens. Dadurch reduziert sich das Risiko, dass sensible Daten auf privaten oder unsicheren Endgeräten gespeichert werden.
Gerade bei Bring-your-own-Device-Konzepten oder externen Partnern ist dies ein erheblicher Sicherheitsgewinn.
DSGVO und Zero Trust ergänzen sich ideal
Die DSGVO fordert den Schutz personenbezogener Daten. Zero Trust verfolgt das Prinzip, keinem Benutzer oder Gerät grundsätzlich zu vertrauen.
Beide Ansätze ergänzen sich hervorragend. Statt pauschale Netzwerkzugriffe zu ermöglichen, wird jeder Zugriff individuell geprüft, authentifiziert und protokolliert. Die Berechtigungen orientieren sich ausschließlich an der jeweiligen Aufgabe des Benutzers.
Kyvion Secure Access unterstützt diesen Ansatz durch browserbasierte Zugriffe, Mehrfaktor-Authentifizierung, fein granulierte Berechtigungen und eine zentrale Verwaltung aller Remote-Sitzungen.
Fazit
Die DSGVO verlangt nicht den Einsatz einer bestimmten Fernzugriffslösung – sie verlangt nachweisbar sichere Prozesse. Unternehmen sollten deshalb ihre bestehenden Remote-Zugriffe kritisch hinterfragen. Reicht ein klassisches VPN noch aus, wenn externe Dienstleister, Homeoffice-Arbeitsplätze und Cloud-Dienste zum Alltag gehören?
Browserbasierte Lösungen wie Kyvion Secure Access ermöglichen einen modernen, datenschutzorientierten Fernzugriff. Sie reduzieren die Angriffsfläche, vermeiden unnötige Netzwerkverbindungen und schaffen Transparenz über sämtliche Zugriffe. Damit lassen sich viele Anforderungen der DSGVO einfacher und nachvollziehbarer umsetzen – ohne den Komfort für Administratoren, Mitarbeiter oder externe Partner einzuschränken.
Möchten Sie prüfen, ob Ihre Remote-Zugriffe DSGVO-konform sind?
Die Experten von Kyvion analysieren Ihre bestehende Infrastruktur und zeigen Ihnen, wie sich Fernzugriffe sicher, nachvollziehbar und datenschutzfreundlich umsetzen lassen – ganz ohne klassische VPN-Infrastruktur.
