Der Browser in der eigenen VM: riskante Dateien öffnen, ohne das Firmennetz zu gefährden

Problem

Ein unbekannter E-Mail-Anhang, ein Link aus einer fragwürdigen Quelle, eine Recherche in einer Ecke des Netzes, in die man sein Arbeitsgerät lieber nicht steckt: In all diesen Fällen entscheidet ein Doppelklick darüber, ob ein Schadprogramm direkten Zugriff auf Ihren Rechner und damit auf Ihr Firmennetz bekommt. Klassischer Virenschutz prüft erst, wenn die Datei schon auf dem Gerät liegt, und er erkennt naturgemäß nur, was er kennt.

Gleichzeitig arbeiten viele Menschen mobil, an wechselnden Geräten, im Homeoffice oder unterwegs. Jedes dieser Geräte ist ein potenzieller Datenspeicher und ein potenzielles Einfallstor. Die Frage ist: Lässt sich das gefährliche Tun vom schützenswerten Gerät trennen?

Für wen ist das? Für IT-Verantwortliche und sicherheitsbewusste Organisationen, die riskante Inhalte verarbeiten oder mobil arbeiten und den Endpunkt aus der Schusslinie nehmen wollen.

Kurze Antwort

Browser-Isolation verlegt das Surfen und das Öffnen fremder Dateien in eine virtuelle Maschine (VM, ein vollständiger, vom Host getrennter Computer in Software), die fern auf gehärteter Infrastruktur läuft. Auf Ihrem Gerät erscheint nur ein Bildschirm-Stream.

• Schadcode landet in der VM, nicht auf Ihrem Rechner und nicht in Ihrem Netz.
• Sie entscheiden je VM, ob sie nach einer Aufgabe restlos gelöscht wird oder als dauerhafter Arbeitsplatz bestehen bleibt.
• Auf dem Endgerät bleibt kein Datenrest zurück, weil dort nur Pixel ankommen, keine Dateien.
• Die Zwischenablage lässt sich richtungsweise sperren, sodass nichts unkontrolliert hinein- oder herausgeht.
• Fällt der geschützte Internet-Weg aus, hat die VM schlicht kein Netz, statt heimlich auf einen ungeschützten Pfad zu wechseln.

So funktioniert es

Ein Wegwerf-Computer statt eines verseuchten Endgeräts

Jeder Arbeitsplatz ist eine eigene VM auf unserer Infrastruktur. Ihr Gerät zeigt nur deren Bildschirm und schickt Tastatur und Maus zurück - dieselbe Idee wie bei einer Fernwartung, aber als alltäglicher Arbeitsplatz. Öffnet die VM eine verseuchte Datei, bleibt der Schaden in der VM eingesperrt. Soll die VM nur eine einzelne riskante Aufgabe erledigen, löschen Sie sie danach mit einem Klick restlos. Soll sie Ihr mobiles Büro sein, behalten Sie sie mit Daten und Einstellungen. Diese Entscheidung muss nicht vorab fallen.

Kein Datenrest auf dem Endgerät

Weil auf Ihrem Tablet, Laptop oder Telefon nur der Bildschirm-Stream ankommt, liegt dort keine Arbeitsdatei, kein Download, kein Cache. Geht das Gerät verloren oder wird es gestohlen, ist darauf nichts Vertrauliches zu holen. Das entlastet die Pflichten zum Schutz der Endgeräte spürbar, weil das schützenswerte Material gar nicht erst dorthin gelangt.

Die Zwischenablage als kontrollierte Schleuse

Kopieren in die VM und Kopieren aus der VM heraus sind getrennt schaltbar. Eine Organisation kann zum Beispiel das Einfügen erlauben, das Heraustragen aber sperren, oder beides ganz unterbinden. So wird der eine Kanal, über den bei Bildschirm-Arbeitsplätzen sonst doch Daten wandern, zur bewusst gesteuerten Schleuse.

Schlüssel getrennt, Ausgang abgesichert

Die Entsperrschlüssel der VMs liegen in einem zweiten, räumlich getrennten Rechenzentrum und werden nur über einen separaten, geschützten Kanal geholt. Ein physischer Einbruch in ein einzelnes Rechenzentrum reicht damit nicht aus, um an Klartext zu kommen. Der ausgehende Verkehr der VMs läuft durch einen verschlüsselten Tunnel mit deutschem Einstieg (technisch WireGuard); fällt dieser Tunnel aus, verliert die VM ihr Internet vollständig, statt unbemerkt auf einen offenen Weg zurückzufallen. Eine sichtbare Störung ist immer besser als ein stiller Datenabfluss.

Pausieren statt schließen

Ein laufender Arbeitsplatz lässt sich einfrieren: Hauptspeicher, offene Programme, ungespeicherte Texte und alle Browser-Tabs bleiben erhalten. Beim Aufwecken stehen Sie Sekunden später genau dort, wo Sie aufgehört haben. Das ersetzt das mühsame Speichern und Wiederherstellen beim Themenwechsel oder am Feierabend.

Grenzen und was Browser-Isolation nicht leistet

Browser-Isolation schützt Ihr Endgerät und Ihr Netz, nicht die fremde Webseite und nicht den Empfänger Ihrer Inhalte. Wer in der isolierten Umgebung freiwillig Zugangsdaten auf einer Phishing-Seite eingibt, gibt sie trotzdem preis - die Isolation verhindert die Infektion, nicht die Selbsttäuschung. Eine reputationsgeprüfte Ausgangs-Adresse senkt das Risiko, auf Sperrlisten zu stehen, ist aber keine vollständige Garantie. Und ein Bildschirm-Arbeitsplatz braucht eine brauchbare Internet-Verbindung; bei sehr schlechter Leitung wird die Bedienung träge. Diese Grenzen offen zu benennen gehört zur ehrlichen Einordnung dazu.

Wie Dernium hier hilft

Dernium Desk ist genau dieses Modell als betriebener Dienst: ein vollwertiger Arbeitsplatz im Browser, ohne Installation, mit frei wählbarer Lebensdauer je VM - von Minuten bis Jahre. Dabei wählen Sie die Art des Arbeitsplatzes: einen schlanken, in Sekunden startenden Browser-Arbeitsplatz (Kiosk-Modus) für das schnelle, sichere Öffnen einer einzelnen Datei, oder einen vollwertigen Linux-Desktop mit mehr Anwendungen, auf Wunsch sogar einen Android-Arbeitsplatz für die abgeschirmte Nutzung nativer Apps. Die hier beschriebenen Eigenschaften sind eingebaut: getrennt schaltbare Zwischenablage, Entsperrschlüssel in einem zweiten Rechenzentrum, ausgehender Verkehr über Dernium Gateway mit hartem Abschalten bei Tunnel-Ausfall, wählbare und auf Wunsch rotierende Ausgangs-Adresse, Pause-Funktion und Coworking. Wer zusätzlich Dernium Clean und Dernium Scan bucht, ruft sie direkt aus dem laufenden Arbeitsplatz auf, ohne zweiten Login. Verarbeitung und Schlüssel bleiben in Deutschland. Desk ist bewusst kein Self-Service-Produkt: Wir nehmen Organisationen nach einem kurzen Gespräch auf, auch um die Konfiguration auf Ihre Anforderungen abzustimmen. Der Browser-only-Ansatz ohne Datenrest auf dem Client zahlt direkt auf die Sicherheit der Verarbeitung nach DSGVO Art. 32 ein.

Häufige Fragen

Ist das dasselbe wie ein VPN?

Nein. Ein VPN verlegt nur den Weg ins Internet, die Datei wird trotzdem auf Ihrem Gerät geöffnet. Bei Browser-Isolation läuft die ganze Arbeitsumgebung fern in einer VM; auf Ihrem Gerät kommt nur ein Bildschirmbild an. Den abgesicherten Internet-Ausgang gibt es hier zusätzlich obendrauf.

Verliere ich meine Arbeit, wenn die VM gelöscht wird?

Nur wenn Sie das wollen. Eine VM auf "behalten" bewahrt Daten und Einstellungen wie ein normaler Arbeitsplatz. Das einmalige, restlose Löschen ist für den Fall gedacht, dass Sie eine VM bewusst nur für eine einzelne riskante Aufgabe gestartet haben.

Brauchen meine Mitarbeitenden dafür neue Geräte?

Nein. Es genügt ein aktueller Browser. Der Arbeitsplatz läuft im Rechenzentrum, das Endgerät dient nur als Bildschirm und Eingabe. Auch Tablet und Telefon sind nutzbar.

Kann ein Schädling aus der VM in unser Netz gelangen?

Der direkte Pfad ist abgeschnitten: Die VM hat keinen Zugriff auf Ihr internes Netz, und ihr ausgehender Verkehr ist auf den geschützten Tunnel begrenzt. Vollständige Abwesenheit jedes Restrisikos kann seriös niemand versprechen, aber die übliche Einfallskette über das Endgerät ist unterbrochen.