de_EDV

Bei uns ist das so eingerichtet: mit dem AD Passwort allein kannst du dich am PC anmelden. Damit hast du nur Zugriff auf lokal gespeicherte Daten. Die Festplatte ist Bitlocker-Verschlüsselt um die Daten bei Diebstahl zu schützen. Remote-Zugriff ist deaktiviert und eine Endpoint Protection Lösung auf Basis einer Whitelist (Watchguard Adaptive Defense 360) schützt auch vor unbekannter Malware und Phishing Links. Ins Firmennetzwerk kommst du nur wenn du physisch in der Firma sitzt, dann ist der zweite Faktor der Ort. Oder über VPN, dafür ist der zweite Faktor der Yubikey. Der darf eingesteckt bleiben, muss dann aber bei Verlust des Laptops natürlich sofort gesperrt werden.
Alternativ zum Yubikey kannst du auch eine Authenticator App als 2FA für das VPN einrichten, dann muss aber auch das Handy entsprechend per MDM (z.B. Relution) abgesichert sein.