Ein Freelancer, der mit dem WLAN im fünften Stock verbunden ist, lädt eine Kundendatei herunter, während ein unbekannter Coworker, zwei Tische weiter, dasselbe Netzwerk ohne jegliche Zugangsbeschränkungen nutzt. Dieses Szenario wiederholt sich jeden Tag in den meisten französischen Coworking-Spaces. Die IT-Sicherheit eines Coworking-Spaces beruht nicht auf einem einzelnen Tool, sondern auf einer Reihe technischer Reflexe, die täglich von den Managern und Mitgliedern angewendet werden.
Netzwerksegmentierung Wi-Fi: die oft fehlende erste Verteidigungslinie
In vielen Shared Spaces gibt es nur ein einziges WLAN-Netzwerk, das alle Arbeitsplätze bedient. Man glaubt, dass das Passwort, das an der Rezeption angezeigt wird, ausreicht. In Wirklichkeit kann in einem flachen Netzwerk jedes verbundene Gerät potenziell den Datenverkehr anderer scannen.
Die erste konkrete Maßnahme besteht darin, das Netzwerk in separate VLANs zu unterteilen: ein Segment für feste Mitglieder, eines für gelegentliche Besucher, eines für IoT-Geräte (Drucker, Kameras). Jedes VLAN hat sein eigenes Subnetz und Firewall-Regeln, die die seitliche Kommunikation zwischen den Segmenten verbieten.
Diese Segmentierung wird durch die Aktivierung des WPA3-Protokolls an jedem Zugangspunkt und durch ein Captive Portal ergänzt, das namentliche Anmeldedaten anstelle eines gemeinsamen Passworts vergibt. Ein Manager, der seine Maßnahmen auf der Sicherheitsseite von Open Syd detailliert, zeigt den Mitgliedern, dass der Datenschutz kein Marketing-Geschwätz, sondern eine überprüfbare Infrastruktur ist.
Die Rückmeldungen variieren in diesem Punkt je nach Größe des Raums: Ein Coworking mit zehn Arbeitsplätzen kann mit einem professionellen Router mit integrierten VLANs auskommen, während ein Standort mit mehreren hundert Mitgliedern einen zentralisierten WLAN-Controller benötigt.
Multifaktor-Authentifizierung und namentliche Zugänge in einem Coworking-Space
Das Einmalpasswort bleibt das schwächste Glied. Wenn ein Mitglied den Raum verlässt, bleibt der Zugang zu den gemeinsamen Diensten (NAS, Buchungsplattform, Abrechnungswerkzeug) oft wochenlang bestehen. Das ist ein Identitätsmanagement-Problem, kein Technologieproblem.
Jedes Konto muss namentlich sein und mit einer Multifaktor-Authentifizierung (MFA) verbunden sein. Praktisch bedeutet das, dass das Mitglied beim Einloggen ins Netzwerk oder in einen internen Dienst sein Passwort eingibt und dann über eine Authentifizierungs-App auf seinem Telefon bestätigt.
Die Löschung von Zugängen muss einem einfachen Prozess folgen: Wenn ein Mitglied sein Abonnement kündigt, werden seine Anmeldedaten am selben Tag deaktiviert. Eine gemeinsame Tabelle reicht für diese Nachverfolgung nicht aus. Es wird ein zentrales Verzeichnis (z.B. LDAP oder ein Cloud-Service für Identitätsmanagement) empfohlen, das es ermöglicht, den Zugang mit einem Klick zu sperren.
Was die NIS2-Richtlinie für Coworkings ändert
Die NIS2-Richtlinie, die in Frankreich durch das Gesetz zur Resilienz kritischer Infrastrukturen und zur Cybersicherheit, das 2025 verabschiedet wurde, umgesetzt wurde, richtet sich nicht direkt an kleine Coworking-Spaces. Sie gilt für die Anbieter von digitalen Diensten (Cloud, Hosting), die diese Räume nutzen.
Der Kaskadeneffekt ist konkret: Kunden, die NIS2 unterliegen, verlangen nun namentliche Zugänge und getestete Backups von ihrem Arbeitsplatz. Ein Raum, der kein Inventar seiner Systeme oder ein Verfahren zur Vorfallbenachrichtigung bereitstellen kann, verliert diese Kunden an einen besser vorbereiteten Konkurrenten. Die betroffenen Stellen müssen sich über die Plattform MonEspaceNIS2 bei der ANSSI registrieren.
Schutz vor Visual Hacking und physischen Leaks
Cybersicherheit beschränkt sich nicht auf Kabel und Server. In einem Open Space exponiert ein Bildschirm, der vom Flur aus sichtbar ist, vertrauliche Daten, ohne dass Malware eingreift.
- Installieren Sie Datenschutzfilter auf den geteilten Bildschirmen und ermutigen Sie jedes Mitglied, einen auf seinem Laptop anzubringen. Die Kosten sind gering, die Wirkung sofort.
- Positionieren Sie die Arbeitsplätze so, dass die Bildschirme gegen eine Wand oder eine Trennwand gerichtet sind, niemals in Richtung eines Durchgangs oder einer Glasfront.
- Schließen Sie systematisch Ihre Sitzung, sobald Sie Ihren Arbeitsplatz verlassen, selbst um einen Kaffee zu holen. Unter Windows dauert die Tastenkombination Win+L weniger als eine Sekunde.
- Reservieren Sie vertrauliche Anrufe in einer akustischen Kabine oder einem geschlossenen Raum. Ein Telefongespräch mit einem Kunden, das von zehn Personen gehört wird, stellt einen Datenleck im Sinne der DSGVO dar.
Auswahl der Cloud-Anbieter und ANSSI-Referenzrahmen 2026
Ein Coworking-Space nutzt in der Regel mehrere Cloud-Dienste: Buchungsmanagement, Abrechnung, Speicherung von gemeinsam genutzten Dokumenten, Netzwerküberwachung. Die Wahl dieser Anbieter hat direkte Auswirkungen auf den Datenschutz der Mitglieder.
Der Anforderungskatalog für Cloud-Service-Anbieter, genehmigt durch eine Verordnung vom 12. August 2026 gemäß Artikel 31 des Gesetzes vom 21. Mai 2024, schafft einen offiziellen Rahmen zur Qualifizierung dieser Dienste. Für einen Raum-Manager bedeutet die Bevorzugung eines von der ANSSI qualifizierten Cloud-Anbieters eine Verringerung des rechtlichen und technischen Risikos.
Praktisch überprüft man drei Punkte, bevor man einen Vertrag mit einem Anbieter unterzeichnet:
- Der Standort der Daten (Server in der Europäischen Union, außerhalb des Einflussbereichs des amerikanischen Cloud Act).
- Die Verschlüsselungspolitik im Ruhezustand und während der Übertragung, mit Schlüsseln, die vom Kunden oder von einem vertrauenswürdigen Dritten verwaltet werden.
- Die vertraglichen Verpflichtungen zur Vorfallbenachrichtigung: Der Anbieter muss innerhalb eines festgelegten Zeitrahmens alarmieren, der mit den NIS2-Verpflichtungen Ihrer Mitglieder kompatibel ist.
Den Austausch eines öffentlichen Cloud-Tools durch einen qualifizierten Dienst zu ersetzen, erfordert Zeit für die Migration, aber ein Coworking-Space, der Daten von Dutzenden von Unternehmen speichert, hat eine Verantwortung, die mit der eines Hosting-Anbieters vergleichbar ist.
Tägliche Cybersicherheitsroutine für einen Shared Space
Tools können das Fehlen von Disziplin nicht ausgleichen. Eine tägliche Checkliste, die vom Manager angewendet wird, verankert die Sicherheit im tatsächlichen Betrieb des Raums.
Jeden Morgen wird überprüft, ob die Firmware-Updates für Router und Zugangspunkte angewendet wurden. Nicht installierte Sicherheitsupdates stellen den am häufigsten ausgenutzten Einstiegspunkt für Angreifer dar. Jeden Abend wird die Liste der mit dem Netzwerk verbundenen Geräte kontrolliert, um unbekannte Maschinen zu identifizieren.
Einmal im Monat wird die Wiederherstellung eines Backups getestet. Ein Backup, das nie getestet wurde, existiert nicht. Man nutzt die Gelegenheit, um die Zugänge ehemaliger Mitglieder zu widerrufen und die interne Dokumentation zu aktualisieren.
Die IT-Sicherheit eines Coworking-Spaces hängt weniger vom Kauf von Hardware ab, sondern von der Strenge der Gewohnheiten. Ein segmentiertes Netzwerk, namentliche Zugänge, qualifizierte Anbieter und eine tägliche Überprüfungsroutine bilden eine Grundlage, die jeder Raum ohne übermäßiges Budget umsetzen kann. Der ANSSI-Referenzrahmen 2026 und die NIS2-Anforderungen beschleunigen nur einen Prozess, der sowohl den Managern als auch den Mitgliedern zugutekommt.