Die Internetanbindung am Arbeitsplatz ist das schwächste Glied in der IT-Sicherheitskette, weil der Webbrowser direkten Kontakt zur gefährlichsten Außenwelt herstellt, die ein Unternehmensnetzwerk kennt: dem offenen Internet. Während Firewalls und Zugriffskontrollen interne Systeme voneinander trennen, öffnet jeder Browseraufruf eine aktive Verbindung zu externen Servern, auf deren Sicherheit Unternehmen keinen Einfluss haben. Die folgenden Fragen zeigen, warum diese Schwachstelle so gravierend ist und welche Maßnahmen wirklich schützen.
Wie gelangt Schadsoftware über den Browser ins interne Netzwerk?
Schadsoftware gelangt über den Browser ins interne Netzwerk, indem sie Sicherheitslücken in der Browser-Engine, in Plugins oder in eingebetteten Skripten ausnutzt, um Schadcode auf dem Arbeitsplatzrechner auszuführen. Da der Browser auf demselben Gerät läuft wie der Netzwerkzugang, kann dieser Schadcode von dort aus ins interne Netz vordringen.
Die häufigsten Angriffswege sind sogenannte Drive-by-Downloads, bei denen das bloße Aufrufen einer kompromittierten Webseite ausreicht, um Schadsoftware zu laden. Dazu kommen Phishing-Seiten, die legitime Unternehmensportale imitieren, sowie manipulierte Werbeanzeigen, die über vertrauenswürdige Nachrichtenportale ausgeliefert werden. Selbst ohne Nutzerinteraktion können schadhafter JavaScript-Code oder manipulierte PDF-Dateien einen Angriff auslösen.
Besonders kritisch ist, dass der Browser typischerweise mit den Rechten des angemeldeten Nutzers läuft. Gelingt es einem Angreifer, den Browser zu kompromittieren, erhält er unmittelbaren Zugriff auf das Dateisystem, Netzwerklaufwerke und interne Dienste. Der Weg von einer infizierten Webseite bis zu sensiblen Unternehmensdaten kann erschreckend kurz sein, wenn die Ausführungsumgebung des Browsers nicht vom restlichen System isoliert ist.
Welche Branchen sind durch unsichere Internetanbindungen besonders gefährdet?
Besonders gefährdet durch unsichere Internetanbindungen am Arbeitsplatz sind Behörden, Finanzinstitute, Betreiber Kritischer Infrastrukturen und Industrieunternehmen. In diesen Branchen verbinden Mitarbeitende täglich interne Systeme mit dem Internet, während gleichzeitig der Schutz hochsensibler Daten und betriebskritischer Prozesse oberste Priorität hat.
Im öffentlichen Sektor verwalten Behörden personenbezogene Daten von Millionen Bürgerinnen und Bürgern. Ein erfolgreicher Angriff über einen kompromittierten Browser kann nicht nur Datenschutzverletzungen verursachen, sondern auch den Betrieb ganzer Verwaltungseinheiten lahmlegen. Finanzinstitute stehen vor einem ähnlichen Dilemma: Ihre Mitarbeitenden benötigen Internetzugang für Recherchen, Kundenkommunikation und externe Plattformen, während gleichzeitig Transaktionsdaten und Kontoinformationen geschützt werden müssen.
Industrieunternehmen und Betreiber Kritischer Infrastrukturen wie Energieversorger oder Wasserwerke sind besonders anfällig, weil ein Sicherheitsvorfall nicht nur digitale, sondern auch physische Konsequenzen haben kann. Hier kann die Kompromittierung eines einzigen Arbeitsplatzes im schlimmsten Fall Produktionsprozesse oder Versorgungsnetze beeinträchtigen. Für alle diese Branchen gilt: Je sensibler die verwalteten Daten und Prozesse, desto höher das Risiko durch eine unzureichend gesicherte sichere Internetanbindung.
Wir bei m-privacy GmbH haben uns seit 2002 auf genau diese Herausforderung spezialisiert: die zuverlässige Absicherung des Internetzugangs an Arbeitsplätzen in Unternehmen und Behörden. Unser Ansatz verbindet bewährte Technologie mit unabhängiger Beratung und konkreter Umsetzungskompetenz.
- TightGate-Pro: Unsere ReCoBS-Lösung trennt die Ausführungsumgebung des Webbrowsers physisch vom Arbeitsplatzrechner. Im März 2026 wurde TightGate-Pro (CC) 2.0 erfolgreich nach Common Criteria EAL3+ durch das BSI rezertifiziert und ist damit eine der wenigen geprüften Lösungen für sicherheitskritische Einsatzumgebungen.
- Security Audits nach ISO 27001: Wir analysieren Ihre bestehende IT-Sicherheitsarchitektur systematisch und identifizieren konkrete Schwachstellen im Bereich Internetanbindung und Netzwerkzugang.
- Methodische Risikoanalysen: Wir bewerten Ihre individuelle Bedrohungslage und leiten daraus priorisierte Handlungsempfehlungen ab.
- Schulungen und Informationsschutzberatung: Wir sensibilisieren Ihre Mitarbeitenden für sichere Verhaltensweisen im Umgang mit dem Internet am Arbeitsplatz.
- Externer Datenschutzbeauftragter: Als Alternative zur internen Stabsstelle übernehmen wir die datenschutzrechtliche Verantwortung in Ihrem Unternehmen.
Ob Sie TightGate-Pro einführen, eine Risikoanalyse durchführen oder Ihre bestehende Sicherheitsarchitektur überprüfen möchten: Wir unterstützen Sie mit dem Wissen eines erfahrenen Berliner IT-Sicherheitsunternehmens. Kontaktieren Sie uns und erfahren Sie, wie wir Ihre Internetanbindung zuverlässig absichern können.
Was ist ein Remote-Controlled Browser System und wie schützt es Netzwerke?
Ein Remote-Controlled Browser System (ReCoBS) ist eine Sicherheitsarchitektur, bei der der Webbrowser nicht auf dem Arbeitsplatzrechner selbst, sondern auf einem separaten Server ausgeführt wird. Der Nutzer sieht lediglich eine Bildschirmübertragung des Browsers, während sämtliche Internetinhalte auf dem isolierten Server verarbeitet werden und niemals das interne Netzwerk erreichen.
Das Schutzprinzip ist so einfach wie wirkungsvoll: Selbst wenn eine besuchte Webseite Schadsoftware enthält, kann diese nur den Server infizieren, nicht aber den Arbeitsplatzrechner oder das dahinterliegende Netzwerk. Die physische Trennung zwischen Ausführungsumgebung und Endgerät unterbricht die Angriffskette an der entscheidenden Stelle. Schadcode hat schlicht keinen Weg, vom Browser-Server in das interne Netz zu gelangen.
Für Unternehmen bedeutet das einen grundlegenden Paradigmenwechsel: Statt zu versuchen, jeden möglichen Angriff zu erkennen und zu blockieren, wird die Angriffsfläche durch strukturelle Trennung auf ein Minimum reduziert. Dieses Prinzip gilt als präventiver Ansatz, der auch gegen bisher unbekannte Sicherheitslücken in Browsern wirksam ist, da diese Lücken außerhalb des geschützten Netzwerks ausgenutzt werden würden.
Warum reichen Firewalls und Antivirensoftware allein nicht mehr aus?
Firewalls und Antivirensoftware reichen allein nicht mehr aus, weil sie auf der Erkennung bekannter Bedrohungen basieren. Gegen Zero-Day-Exploits, also Angriffe auf noch unbekannte Sicherheitslücken, und gegen verschlüsselten Schadcode bieten sie keinen zuverlässigen Schutz. Moderne Angriffe sind darauf ausgelegt, diese klassischen Sicherheitsmechanismen gezielt zu umgehen.
Firewalls kontrollieren den Netzwerkverkehr nach definierten Regeln. Legitimer HTTPS-Verkehr zu einer kompromittierten Webseite wird dabei in der Regel durchgelassen, weil er sich von normalem Browserverkehr nicht unterscheidet. Antivirensoftware wiederum arbeitet mit Signaturen bekannter Schadprogramme. Wird ein Angriff so gestaltet, dass er keiner bekannten Signatur entspricht, bleibt er unentdeckt.
Hinzu kommt, dass die Komplexität moderner Webanwendungen die Angriffsfläche kontinuierlich vergrößert. Browser interpretieren JavaScript, WebAssembly, CSS und zahlreiche weitere Technologien. Jede dieser Technologien kann potenziell als Angriffsvektor genutzt werden. Wer den Netzwerkzugang absichern möchte, braucht daher Ansätze, die nicht auf Erkennung, sondern auf struktureller Isolation beruhen.
Wie bewertet das BSI die Sicherheit von Remote-Controlled-Browser-Lösungen?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet Remote-Controlled-Browser-Lösungen positiv und hat das ReCoBS-Konzept in eigenen technischen Leitlinien als geeignete Schutzmaßnahme für die sichere Internetanbindung von Arbeitsplätzen empfohlen. Lösungen, die nach Common Criteria zertifiziert sind, gelten als geprüft und vertrauenswürdig für den Einsatz in sicherheitskritischen Umgebungen.
Common Criteria (CC) ist ein international anerkannter Standard für die Sicherheitsbewertung von IT-Produkten. Die Evaluierungsstufen reichen von EAL1 bis EAL7, wobei höhere Stufen eine tiefergehende Prüfung bedeuten. EAL3+ steht für eine methodisch getestete und überprüfte Sicherheitsarchitektur, bei der sowohl Entwicklungsprozesse als auch das Produkt selbst einer unabhängigen Prüfung standhalten müssen.
Für Behörden und Betreiber Kritischer Infrastrukturen ist eine BSI-Zertifizierung häufig nicht nur ein Qualitätsmerkmal, sondern eine Anforderung aus regulatorischen Vorgaben. Die Empfehlung des BSI für das ReCoBS-Prinzip unterstreicht, dass klassische Sicherheitsansätze in bestimmten Einsatzszenarien nicht ausreichen und strukturelle Isolation als notwendige Ergänzung betrachtet wird.
Wann sollte ein Unternehmen seine Internetanbindung sicherheitstechnisch neu bewerten?
Ein Unternehmen sollte seine Internetanbindung sicherheitstechnisch neu bewerten, wenn sich die Bedrohungslage, die eigene IT-Infrastruktur oder die regulatorischen Anforderungen wesentlich verändert haben. Konkrete Auslöser sind unter anderem ein Sicherheitsvorfall, eine Erweiterung der Belegschaft, der Einsatz neuer Anwendungen oder verschärfte gesetzliche Vorgaben.
Darüber hinaus gibt es strukturelle Indikatoren, die eine Neubewertung nahelegen:
- Mitarbeitende greifen regelmäßig auf externe Webseiten, Cloud-Dienste oder SaaS-Plattformen zu
- Das Unternehmen verarbeitet besonders schützenswerte Daten, etwa Gesundheits-, Finanz- oder Behördendaten
- Die bestehende Sicherheitsarchitektur basiert ausschließlich auf Firewalls und Antivirensoftware
- Es wurden keine strukturierten Risikoanalysen für den Internetzugang durchgeführt
- Das Unternehmen fällt unter die NIS2-Richtlinie oder andere aktuelle Cybersicherheitsvorschriften
Eine methodische Risikoanalyse hilft dabei, konkrete Schwachstellen zu identifizieren und Maßnahmen zu priorisieren. Wer den Netzwerkzugang an Arbeitsplätzen absichern möchte, sollte dabei nicht nur technische, sondern auch organisatorische und prozessuale Faktoren berücksichtigen. Sicherheitsaudits nach ISO 27001 bieten hierfür einen bewährten Rahmen.