Prüfprogramm Fernzugriff und mobiles Arbeiten.
Wie Sie prüfen, ob Zugriffe von außen über abgesicherte Wege mit starker Anmeldung erfolgen, nur auf das Nötige reichen und das Arbeiten zu Hause und unterwegs geregelt ist.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation Fernzugriffe von Beschäftigten und Dienstleistern über freigegebene, gehärtete Zugänge mit Mehrfaktor-Anmeldung abwickelt, die Zugriffe auf das Erforderliche begrenzt und überwacht. Sie beurteilt außerdem, ob Regeln für das Arbeiten zu Hause, unterwegs und im Ausland bestehen und eingehalten werden.
Geltungsbereich
- VPN, Zugänge nach dem Zero-Trust-Prinzip, Remote-Desktop-Gateways und vergleichbare Fernzugänge
- Fernwartungszugänge von Dienstleistern
- Arbeit im häuslichen Umfeld, unterwegs und auf Auslandsreisen
- Nicht Gegenstand: die allgemeine Netzarchitektur, die ein eigenes Prüfprogramm hat
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie regelt mobiles Arbeiten und Telearbeit einschließlich zulässiger Orte, Geräte und Verhaltensregeln. | ISO/IEC 27001:2022 Anhang A 6.7; BSI OPS.1.2.4 | Richtlinie lesen, Freigabe prüfen und mit der Vereinbarung zur mobilen Arbeit abgleichen. | Richtlinie mobiles Arbeiten, Vereinbarung mit der Arbeitnehmervertretung |
| 2 | Fernzugriffe sind nur über freigegebene und zentral verwaltete Zugänge möglich. | BSI NET.3.3; ISO/IEC 27001:2022 Anhang A 8.20 | Übersicht der Fernzugänge mit einem Scan der von außen erreichbaren Dienste vergleichen. | Liste der Fernzugänge, Ergebnis des externen Scans |
| 3 | Jeder Fernzugriff erfordert eine Anmeldung mit mehreren Faktoren. | NIS2-Richtlinie Art. 21 Abs. 2 lit. j; § 30 Abs. 2 Nr. 10 BSIG; ISO/IEC 27001:2022 Anhang A 8.5 | Anmeldekonfiguration der Zugänge prüfen und Konten ohne zweiten Faktor auflisten lassen. | Konfiguration der Anmeldung, Ausnahmeliste |
| 4 | Nur verwaltete Geräte in einem geprüften Zustand dürfen sich verbinden. | ISO/IEC 27001:2022 Anhang A 8.1 | Prüfregeln für den Gerätezustand ansehen und einen Verbindungsversuch mit einem nicht verwalteten Gerät nachvollziehen. | Regeln zur Geräteprüfung, Protokoll abgewiesener Verbindungen |
| 5 | VPN-Gateways und Zugangssysteme sind gehärtet und werden zeitnah aktualisiert. | BSI NET.3.3; ISO/IEC 27001:2022 Anhang A 8.8 | Versionsstand der Zugangssysteme mit Herstellerhinweisen vergleichen und die Reaktion auf die letzte kritische Schwachstelle nachvollziehen. | Versionsstand, Patchprotokoll, Sicherheitshinweise des Herstellers |
| 6 | Für den VPN-Tunnel werden empfohlene Protokolle und Verfahren verwendet. | BSI TR-02102-3 | Konfiguration von Protokollversionen und Verschlüsselungsverfahren auslesen und mit den Empfehlungen vergleichen. | Konfigurationsauszug des VPN |
| 7 | Fernzugriffe reichen nur in die Netze und Systeme, die für die jeweilige Aufgabe nötig sind. | ISO/IEC 27001:2022 Anhang A 8.22 | Zugriffsregeln je Nutzergruppe auswerten und pauschale Freigaben auf das gesamte interne Netz markieren. | Regelwerk des Zugangs je Gruppe |
| 8 | Fernwartung durch Dienstleister erfolgt nur nach Freigabe, zeitlich begrenzt und nachvollziehbar. | BSI OPS.1.2.5 | Fünf Fernwartungssitzungen auf Anlass, Freigabe, Dauer und Protokoll prüfen. | Fernwartungsprotokolle, Freigaben, Vertragsregelungen |
| 9 | Anmeldungen und Sitzungen über Fernzugänge werden protokolliert und auf Auffälligkeiten überwacht. | ISO/IEC 27001:2022 Anhang A 8.15 und 8.16 | Überwachungsregeln für Fernzugriffe ansehen, etwa für Anmeldungen aus ungewöhnlichen Ländern, und einen Alarm nachvollziehen. | Protokollauszug, Regelkatalog, Alarmbeispiel |
| 10 | Regeln für den Arbeitsplatz zu Hause und unterwegs schützen Informationen vor Einsicht und Verlust. | BSI INF.8; BSI INF.9; ISO/IEC 27001:2022 Anhang A 7.7 | Regeln zu Sichtschutz, Ausdrucken und Aufbewahrung prüfen und ihre Bekanntheit bei fünf Mitarbeitenden erfragen. | Verhaltensregeln, Interviewnotizen |
| 11 | Für Reisen und Arbeit im Ausland gelten besondere Regeln, etwa zu Geräten und Datenmitnahme. | BSI CON.7 | Regelung für Auslandsreisen lesen und für zwei Reisen die Anwendung nachvollziehen. | Regelung für Auslandsreisen, Reisegeräte, Genehmigungen |
| 12 | Berechtigungen für Fernzugriffe werden regelmäßig überprüft und bei Austritt sofort entzogen. | ISO/IEC 27001:2022 Anhang A 5.18 | Mitglieder der Zugangsgruppen mit dem Personalstand abgleichen und die letzte Überprüfung ansehen. | Gruppenmitglieder, Austrittsliste, Überprüfungsprotokoll |
Unterlagen zur Anforderung
- Richtlinie mobiles Arbeiten und Telearbeit
- Liste der Fernzugänge und Ergebnis eines externen Scans
- Konfiguration von Anmeldung und Geräteprüfung
- Versionsstand und Patchprotokoll der Zugangssysteme
- Regelwerk der Fernzugänge je Nutzergruppe
- Fernwartungsprotokolle und Vertragsregelungen mit Dienstleistern
- Regelung für Auslandsreisen
- Protokoll der letzten Überprüfung der Zugangsberechtigungen
Typische Feststellungen
- Ein alter Fernzugang ist noch von außen erreichbar und ohne zweiten Faktor nutzbar.
- VPN-Gateways wurden nach kritischen Herstellerhinweisen nicht zeitnah aktualisiert.
- Über den Fernzugang ist das gesamte interne Netz erreichbar.
- Fernwartungszugänge von Dienstleistern sind dauerhaft offen.
- Private Geräte können sich ohne Prüfung verbinden.
- Zugangsberechtigungen werden nie überprüft.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen