Homeoffice und mobiles Arbeiten sind gekommen, um zu bleiben – die Risiken auch
Was während der Pandemie zur Übergangslösung wurde, ist heute Alltag. Hybrides Arbeiten hat sich in vielen Branchen etabliert, allerdings in zwei sehr unterschiedlichen Spielarten:
- Homeoffice (Telearbeit) beschreibt einen festen, im Arbeitsvertrag geregelten Arbeitsplatz im Privatbereich des Mitarbeitenden – mit eigenen Anforderungen aus der Arbeitsstättenverordnung.
- Mobiles Arbeiten meint die ortsunabhängige Tätigkeit: im Zug, im Café, im Coworking-Space, im Hotel, beim Kunden oder zwischendurch zu Hause. Es ist weder gesetzlich definiert noch räumlich gebunden.
Beide Formen haben eines gemeinsam: Die Sicherheitsstandards sind nicht mit ihrer Verbreitung mitgewachsen.
Der BSI-Lagebericht zur IT-Sicherheit 2025 zeigt: Rund 80 Prozent der angezeigten Cyberangriffe richten sich gegen kleine und mittlere Unternehmen. Der durch Cyberangriffe entstandene Schaden für die deutsche Wirtschaft beträgt allein binnen eines Jahres 202 Milliarden Euro.
Ein wachsender Anteil der erfolgreichen Angriffe nutzt dabei genau jene Schwachstellen, die im Büro nicht existieren: das ungesicherte Heimnetzwerk – oder, im mobilen Einsatz, das ungesicherte öffentliche WLAN.
Warum Homeoffice und mobiles Arbeiten für Angreifer attraktiv sind
Die Schwachstellen unterscheiden sich – die Folgen nicht.
Im Homeoffice:
- Private Router sind oft jahrelang nicht aktualisiert
- Standardpasswörter werden selten geändert
- Familienmitglieder nutzen dieselben Geräte
- Smarte Haushaltsgeräte hängen im selben Netzwerk
- Privates und berufliches E-Mail-Postfach werden parallel auf einem Gerät genutzt
Beim mobilen Arbeiten:
- Öffentliche WLANs in Cafés, Hotels, Bahnhöfen und Flughäfen sind selten ausreichend abgesichert
- Bildschirme bleiben unbeaufsichtigt – „Shoulder Surfing" wird im Zug zur realen Bedrohung
- Geräte werden verloren oder gestohlen, oft mit unverschlüsselten Daten
- USB-Ladestationen an öffentlichen Orten („Juice Jacking") können präparierte Schnittstellen enthalten
- Sensible Telefonate werden in Hörweite Dritter geführt
In beiden Szenarien greifen Mitarbeitende deutlich häufiger zu Sicherheits-Workarounds als im Büro. USB-Sticks für den schnellen Datentransfer, private Cloud-Speicher für „nur mal eben", VPN-Verbindungen werden umgangen oder gar nicht erst genutzt – jede dieser Abkürzungen schafft eine neue Angriffsfläche.
VPN als Sicherheitsanker – mit Tücken
Der BSI-Lagebericht 2025 weist ausdrücklich darauf hin, dass zahlreiche deutsche Unternehmen im vergangenen Jahr von Schwachstellen in VPN-Software betroffen waren. Wer sich durch einen VPN-Tunnel sicher wähnt, irrt also – wenn die Software nicht aktuell gehalten wird.
Gerade beim mobilen Arbeiten ist das VPN nicht nur Komfortfeature, sondern Pflichtprogramm: Ohne verschlüsselten Tunnel sind in öffentlichen WLANs alle übertragenen Daten potenziell mitlesbar – von Anmeldedaten bis zu vertraulichen Geschäftsunterlagen.
Das bedeutet: Allein die Existenz eines VPN-Zugangs reicht nicht. Patch-Management, Multifaktor-Authentifizierung und regelmäßige Sicherheitsupdates sind Pflichtprogramm – auch und gerade auf Geräten, die im Homeoffice oder unterwegs eingesetzt werden.
Die Haftungsfrage: Wer zahlt eigentlich?
Im Schadenfall stehen drei Beteiligte mit unterschiedlichen Verantwortlichkeiten:
Der Arbeitgeber
Im Außenverhältnis – also gegenüber Kunden, Geschäftspartnern und Datenschutzbehörden – haftet zunächst das Unternehmen. Daran ändert auch ein Schaden im Homeoffice oder beim mobilen Arbeiten nichts. Aus Sicht der DSGVO ist und bleibt der Arbeitgeber der Verantwortliche für die Datenverarbeitung – unabhängig vom Ort der Verarbeitung.
Der Arbeitnehmer
Im Innenverhältnis kann das Unternehmen den Mitarbeitenden in Regress nehmen, wenn dieser grob fahrlässig oder vorsätzlich gehandelt hat. Klassische Beispiele: Der Phishing-Link wurde trotz Schulung angeklickt, das Passwort lag offen im Familienkalender, der Diensthandy-Bildschirm wurde im ICE nicht gesperrt, sensible Vertragsunterlagen blieben im Hotelzimmer offen liegen.
Die Versicherung
Hier wird es entscheidend: Die Cyberversicherung des Unternehmens greift grundsätzlich auch bei Schäden im Homeoffice oder beim mobilen Arbeiten – wenn die vertraglichen Voraussetzungen erfüllt sind. Genau diese Voraussetzungen werden in der Praxis aber häufig nicht beachtet. Und gerade beim mobilen Arbeiten kommt eine weitere Frage hinzu: Ist der räumliche Geltungsbereich der Police überhaupt auf weltweite Tätigkeit ausgelegt?
Vor Gericht: Was Versicherer schon entschieden haben
Wie streng die Sorgfaltspflichten in Cyberverträgen ausgelegt werden, zeigen zwei deutsche Gerichtsurteile:
Das Landgericht Tübingen (Az. 4 O 193/21) sprach einem Unternehmen 2,8 Millionen Euro zu, obwohl mehrere Server veraltet waren. Begründung: Die veralteten Systeme waren nicht ursächlich für den Schaden. Das Urteil ist beim OLG Stuttgart in der Berufung anhängig.
Anders das Landgericht Kiel (Az. 5 O 128/21): Ein Holzgroßhändler hatte Risikofragen falsch beantwortet – die Cyberversicherung war damit nichtig. Der gesamte Schaden in Höhe von rund 500.000 Euro blieb am Unternehmen hängen. Das Urteil wurde inzwischen vom OLG bestätigt.
Die Botschaft beider Urteile: Wer beim Vertragsabschluss Angaben zu Mitarbeiterzahl, Homeoffice-Anteil, Anteil mobiler Arbeit, eingesetzter Sicherheitssoftware oder VPN-Nutzung macht, muss diese Angaben auch tatsächlich umsetzen können. Sonst steht der Versicherungsschutz im Schadenfall auf dem Spiel.
Die typischen Lücken in Cyberverträgen
Nicht jede Cyberpolice deckt die hybride Arbeitswelt gleich gut ab. In der Praxis tauchen immer wieder dieselben Stolperstellen auf:
- Räumlicher Geltungsbereich: Manche Verträge gelten nur am offiziellen Betriebsort – mobiles Arbeiten im Ausland, im Zug oder beim Kunden ist dann nicht abgedeckt
- Geräteklauseln: Schäden auf privaten Endgeräten sind teilweise ausgeschlossen
- Mindestanforderungen an die IT-Sicherheit: ohne dokumentierte Umsetzung droht Leistungskürzung
- BYOD-Klauseln (Bring Your Own Device): häufig nicht oder nur eingeschränkt mitversichert
- Zugriff über öffentliche WLANs: oft als grobe Fahrlässigkeit eingestuft – besonders kritisch für Vertrieb, Außendienst und beratende Berufe
- Verlust und Diebstahl mobiler Endgeräte: je nach Vertrag nur eingeschränkt abgedeckt, vor allem bei Folgeschäden durch unbefugten Datenzugriff
- Schulungspflicht der Mitarbeitenden: ohne Nachweis kein voller Versicherungsschutz
Besonders kritisch: Auch die DSGVO-Bußgelder und Benachrichtigungskosten nach einem Datenleak sind nicht in jedem Cybervertrag abgedeckt.
Welche Pflichten Arbeitgeber jetzt haben
Mit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 haben sich die Anforderungen an die IT-Sicherheit für rund 30.000 deutsche Unternehmen deutlich verschärft. Auch wenn ein Unternehmen nicht direkt unter NIS2 fällt, gelten allgemeine Sorgfaltspflichten:
- Schriftliche Richtlinie für Homeoffice und mobiles Arbeiten mit klaren Sicherheitsvorgaben
- Verpflichtender VPN-Einsatz mit Multifaktor-Authentifizierung – insbesondere in fremden Netzwerken
- Regelmäßige Mitarbeiterschulungen mit Dokumentation
- Trennung von beruflicher und privater Nutzung
- Zentrale Verwaltung von Endgeräten (Mobile Device Management) inklusive Fernlöschung bei Verlust
- Verschlüsselte Festplatten und automatische Bildschirmsperre als Standard
- Sichtschutzfolien für die Arbeit in öffentlichen Räumen
- Klare Meldewege bei Sicherheitsvorfällen – auch bei Geräteverlust unterwegs
Ein Beispiel: Ein verschlüsselungsbedingter Ausfall eines Heimarbeitsplatzes – oder ein im Zug verlorenes Notebook – kann sich innerhalb weniger Stunden auf das gesamte Unternehmensnetzwerk auswirken. Ohne dokumentierte Schulungs- und Sicherheitsmaßnahmen wird die spätere Beweisführung gegenüber Versicherer und Aufsichtsbehörde fast unmöglich.
Was eine moderne Cyberpolice für hybride Arbeit leisten muss
Eine zeitgemäße Cyberversicherung berücksichtigt sowohl das stationäre Homeoffice als auch das mobile Arbeiten. Im Idealfall sind folgende Punkte vertraglich klar geregelt:
- Geltungsbereich: weltweit, einschließlich aller mobilen Arbeitsplätze und Geschäftsreisen
- Mitversicherung von BYOD und privat genutzten Endgeräten mit dienstlichem Zugriff
- Klare Definition der Mindestanforderungen an die IT-Sicherheit
- Übernahme von Forensik, Datenwiederherstellung und Krisenkommunikation
- Betriebsunterbrechungsschäden auch bei Heimarbeitsplätzen und mobilen Einsätzen
- Verlust und Diebstahl mobiler Endgeräte – inklusive Folgeschäden durch unbefugten Datenzugriff
- DSGVO-Bußgelder, soweit gesetzlich versicherbar
- Rechtsberatung im Zusammenhang mit Meldepflichten
- Mitarbeiterschulungen und Präventionsleistungen als Servicebausteine
Zusammenfassung: Die Sicherheitsgrenze des Unternehmens endet nicht am Bürotürrahmen
Homeoffice und mobiles Arbeiten sind kein Sonderfall mehr, sondern fester Bestandteil moderner Unternehmensstrukturen. Genau deshalb müssen IT-Sicherheit und Cyberversicherung diesen Realitätscheck bestehen.
Wer noch immer mit einer Cyberpolice arbeitet, die in den Jahren vor 2020 abgeschlossen wurde, sollte spätestens jetzt prüfen lassen, ob der Vertrag die heutige Arbeitsrealität abbildet. Die Grenze zwischen privatem Wohnzimmer, Zugabteil und beruflicher Datensicherheit verläuft heute fließend – die Versicherungsbedingungen müssen das widerspiegeln.
Wer die Lücken erst im Schadenfall entdeckt, hat doppelt verloren: einmal durch den Angriff, ein zweites Mal durch die nicht greifende Versicherung.
👉 Sprechen Sie mit uns – wir prüfen Ihren bestehenden Schutz, identifizieren NIS2-bedingte Deckungslücken und stellen sicher, dass Geschäftsführung und Unternehmen im Ernstfall handlungsfähig bleiben. Persönlich, ungebunden und vorausschauend.
