#79 Wie viel Kontrolle über Mitarbeitende darf IT haben?
Zwischen Informationssicherheit, Datenschutz und Überwachung
09.10.2026 69 min
Zusammenfassung & Show Notes
Wie viel Kontrolle darf die IT über Mitarbeitende haben – und ab wann wird Sicherheit zur Überwachung? Wir diskutieren Monitoring, Microsoft 365, Remote Support und MDM im Spannungsfeld zwischen IT-Sicherheit, Datenschutz und Vertrauen. Denn nicht alles, was technisch möglich ist, sollte auch erlaubt sein.
Wie viel darf die IT über Mitarbeitende wissen? Und wo endet notwendige IT-Sicherheit und beginnt unzulässige Überwachung?
René und Michael diskutieren diese Frage aus zwei unterschiedlichen Perspektiven: der technischen Sicht und der des Datenschutzes. Denn moderne IT-Systeme ermöglichen tiefe Einblicke in das Verhalten von Mitarbeitenden – von Anmeldezeiten und Standortinformationen über Webseitenzugriffe bis hin zu Aktivitäten in Microsoft 365.
Doch nur weil Daten technisch verfügbar sind, dürfen sie nicht automatisch zur Mitarbeiterkontrolle genutzt werden.
Wir sprechen darüber, warum Protokollierung für die IT-Sicherheit unverzichtbar sein kann, weshalb der Teams-Status kein geeigneter Leistungsnachweis ist und welche Grenzen beim Remote Support oder beim Einsatz von Mobile Device Management (MDM) gelten sollten.
Besonders kontrovers wird es, wenn konkrete Verdachtsmomente entstehen: Darf ein Unternehmen ausscheidende Mitarbeitende gezielt überwachen, um einen möglichen Datenabfluss zu verhindern? Welche Rolle spielen dabei die Geschäftsführung, die IT und der Datenschutz?
Auch die Verantwortung der IT-Administratoren steht zur Diskussion. Was passiert, wenn Techniker zufällig private Informationen entdecken oder Hinweise auf einen möglichen Regelverstoß erhalten?
Am Ende geht es um eine zentrale Frage: Wie schaffen Unternehmen die notwendige Transparenz für ihre IT-Sicherheit, ohne das Vertrauen ihrer Mitarbeitenden zu verlieren?
Denn IT-Sicherheit und Datenschutz müssen keine Gegensätze sein. Entscheidend sind klare Zwecke, angemessene Maßnahmen, definierte Zugriffsrechte und ein verantwortungsvoller Umgang mit den verfügbaren Informationen.
Für mehr Inhalte besucht die users lounge bei Instagram, Facebook, LinkedIn, YouTube & TikTok oder im Web.
Für Themen rund um IT meldet euch bei ServeCom über Instagram, Facebook, LinkedIn, YouTube & TikTok oder im Web.
Für Beratung rund um Datenschutz und Informationssicherheit meldet euch bei der QS Kornmann über LinkedIn oder im Web.
Transkript
Grüß dich, René, hi.
Moin, Michael.
Moin.
Ja, Freitag, schön.
Ja, schön, oder? Lass uns mal das den offiziellen Termin nennen. Hiernach geht Scheuklappen an und mal so ein Stückchen rein in den Computer und mal ein bisschen wegarbeiten.
Ja, ja, ich habe gerade schon gesagt, so wie die Woche lief, schön, dass wir jetzt hier zusammensitzen, mal eine Stunde entspannt miteinander quatschen. Das ist schon gut so. Ja, Michael, eine Sache haben wir völlig verpasst und asche auf mein Haupt, dass ich es auch nicht genannt habe.
Uns gibt es seit drei Jahren, seit über drei Jahren jetzt.
Ehrlich?
Grob, drei Jahre, einen Monat.
Mein Glückwunsch, René, mein Glückwunsch.
Ja, gleichfalls.
Du hältst das immerhin schon drei Jahre mit mir aus.
Ach, da bist du ja leicht zu händeln. Das passt schon.
Sehr schön.
Ich mache es auch immer noch gerne, Michael.
Das ist cool, aber es ist echt schon drei Jahre.
Ja, ich habe mich auch erschrocken ein wenig. Was heißt erschrocken? Aber es ist natürlich, da greift man halt nicht, wenn man alle zwei Wochen miteinander spricht.
Und irgendwann liest man dann so vor drei Jahren erste Veröffentlichung der Episode. Dann ist es schon, ja, schon nicht schlecht.
So cool. Na, dann machen wir mal die nächsten drei, mal mindestens.
Ich verspreche nichts, aber wir arbeiten genau daran.
Wir arbeiten genau daran, so sehe ich das auch. Okay, du hast ein cooles Thema mitgebracht. Mir passt, das habe ich gerade schon gesagt, einleitend.
Hau raus, worüber reden wir heute?
Ja, mal ein bisschen kontroverser aus zwei Perspektiven, und zwar wie viel Kontrolle über Mitarbeiter darf IT haben? Ich glaube, das birgt viel Gesprächsstoff, gerade aus unseren zwei unterschiedlichen Perspektiven halt. Du natürlich immer so Datenschutz, Informationssicherheit und ich technisch halt.
Es gibt eine relativ kurze Folge, glaube ich.
Das glaube ich nicht.
Auf die Frage, wie viel Kontrolle darf die IT über den Mitarbeitern haben, ist die Antwort einfach keine. Vielen lieben Dank, Benne.
Ich glaube, wir sollten ein bisschen schauen, dass wir da gewisse Fragen in diesem Oberthema abarbeiten.
Da merkst du schon die Kontroverse zwischen dem Datenschützer und dem ITler. Du fängst an zu lachen und ich sage, für mich ist das eindeutig. Ich sage nein und dann ist die Sache durch.
Ja, aber ich denke, an der einen oder anderen Stelle wirst du wahrscheinlich auch sagen, ja okay, da wird sowas gehen. Egal, lass mal erstmal locker reinsteigen. Erstmal gucken, welche Themen es da so geben kann.
Ich würde sagen, dann starten wir mal wirklich mit der ersten Frage. Weißt du, was ich als Administrator theoretisch alles über Mitarbeiter herausfinden könnte?
Leider ja. Beruflich bedingt und durch meine Arbeit bedingt weiß ich es leider ja. Und ich weiß, dass es ziemlich viel ist.
Definitiv. Gehen wir mal so ein bisschen durch. Das sind jetzt nur so ein paar Stichpunkte, aber nehmen wir mal alleine Anmeldung und Anmeldeort.
Das ist, denke ich, klar. Anmeldeort hängt natürlich ein bisschen davon ab, welche Systeme ich einsetze. Das ist nicht überall möglich, aber M365 ist ein Paradebeispiel genau dafür.
Das war aber schon vor ... Wir hatten echt beide eine scheiß Woche. Wenn wir ein bisschen locker sind und ein bisschen schlagsich hin und her machen, das gibt ein bisschen Input und das auf jeden Fall mitnehmen.
Aber gerade hier, das war aber vor 20 Jahren schon so. Wir haben vor 20 Jahren ... Da muss ich überlegen, das ist echt schon 20 Jahre her.
Wir haben vor 20, vor 25 Jahren, fuck. Wir haben vor 25 Jahren schon, wie wir die Rechner hochgefahren haben, wie wir morgens in die Firma gekommen sind, wir haben erst die Rechner hochgefahren, wir haben uns erst eingeloggt und haben dann angefangen, und haben Kaffee zu trinken und haben gesprochen. Ich wusste, dass was kommt.
Weil vor 25 Jahren es schon so war, dass sich die Geschäftsleitung, also das war klar, dass die das gemacht hat irgendwie, dass sich die Geschäftsleitung die Log-in-Daten gegeben hat oder die Daten gegeben hat, wann du dich an deinem Rechner eingemeldet hast. Man hat das verglichen mit der Zeitbuchung. Und wenn du morgens um sieben eingestempelt hast und hast um halb acht erst den Rechner hochgefahren, dann war die Frage, tja, Herr Kornmann, woran hat es gelegen?
Was haben Sie die erste halbe Stunde getan? Das ist mir so in Fleisch und Blut, wie gesagt, das war vor 25 Jahren noch, so in Fleisch und Blut übergegangen. Wenn du auf die Arbeit kommst, nach dem Einbuchen in die Zeiterfassung, es geht sofort der Rechner an und er wird sich angemeldet.
Und erst danach gibt es den Quatsch, den Tratsch, das Kaffee, das was auch immer. Das war vor 25 Jahren schon so.
Ich glaube, das ist auch unternehmensabhängig. Das muss man auch dazu sagen.
Die Kontrolle von dem ist auf jeden Fall unternehmensabhängig. Aber du hast vor 25 Jahren schon über Log-Daten als ITler rückverfolgen können, wann der User sich angemeldet hat oder nicht. Das ist kein 365-Thema.
Nein, natürlich, das stimmt. Genau, ja, also Anmeldedaten oder Anmeldezeiten und so weiter. Dann verwendete Geräte.
Das denke ich auch klar. IP-Adressen, Dateiaktivitäten, fehlgeschlagene Anmeldung, E-Mail-Flüsse, auch klar. Du kannst halt gucken, wie die geroutet werden, was gescheitert ist, wie auch immer.
Webseitenzugriffe, USB-Geräte, installierte Programme, Zugriff auf Unternehmensdaten, Security-Events und Standortinformationen generell. Das sind jetzt nur so ein paar Punkte, da gibt es deutlich mehr noch. Aber rein theoretisch ist all das schon möglich zu nutzen.
Ja, und wo ich dir sicherlich recht gebe ist, nur weil es möglich ist, muss man es nicht tun.
Aber auch das vielleicht gleich am Anfang, dass es alles nutzbar ist, ohne irgendwelche speziellen Software-Systeme oder irgendwelche Überwachungs-Softwaren, die wir vielleicht heute noch ein Stück anschneiden, aber wo wir auf gar keinen Fall ins Detail reingehen. Aber alles das ist nativ natürlich möglich. Wenn du als IT-Admin guckst, dann siehst du natürlich, welcher Rechner und welcher User oder welcher User hat sich mit welchem Rechner wann angemeldet.
Das sind klassische Log-Files, die du einfach technisch, die Systeme technisch erzeugen, die du sehen kannst. Du siehst natürlich IP-Adressen, du hast natürlich E-Mail-Flüsse. Du hast auch, auch das, je nachdem, wenn du denn IT-Admin bist und du hast ein E-Mail-Archiv, wirst du als IT-Admin entsprechend auch sämtliche Mails über den E-Mail-Archiv gegebenenfalls sehen können oder zumindestens sehen können, wie viel Traffic da ist, wie sich das Postfach füllt oder sich das Archiv füllt.
Also du hast als IT-Lehrer allein durch systembedingte Optionen schon ganz, ganz viele Möglichkeiten, über Mitarbeiter Dinge herauszufinden.
Genau. Eins ist wichtig dazu zu sagen, das, was ich gerade genannt habe und die Sachen, die es natürlich noch darüber hinaus gibt. Nicht alles ist zu jeder Zeit einsehbar.
Das ist schon mal wichtig. Also auch für einen Administrator ist nicht immer alles einsehbar. Entweder gibt es dafür Freigaben oder sonst irgendwas.
Ein Unternehmen sollte immer gut strukturiert sein. Das heißt auch, also selbst wenn es eine externe IT ist, sollte es trotzdem immer so sein, dass diese sich möglichst aussperrt. Nicht aussperren im Sinne von verwalten, sondern aussperren im Sinne von, ich kann diese Informationen sehen.
Das ist, glaube ich, so in die Richtung, die du auch bevorzugst, logischerweise. Aber am Ende des Tages muss man halt sagen, wenn man da jemanden hat, der damit nicht so sehr verantwortungsvoll umgeht, dann hat er natürlich auch Möglichkeiten, diese Dinge zu sehen.
Ja, genau. Und nur weil du es eben technisch kannst, warum solltest du es nicht dürfen? Das ist so genau das, was ich dann der IT-Lehrer denke.
Und aus diesem Grund gibt es ja immer mehr noch mal engere NDAs, engere Verschwiegenheiten, sollte es geben in einem gut geführten Unternehmen. Engere NDAs, engere Verschwiegenheitserklärung, engere Anforderungen noch mal an ITler und IT-Administratoren, weil die halt wirklich noch mal ein Stück tiefer ins Unternehmen reinstehen und noch mal mehr sehen, wie es vielleicht ein Standardmitarbeiter sieht.
Ja, absolut. Ja, man muss auch einfach sagen, also eigentlich ist die IT ja logischerweise nicht dazu gebaut worden, irgendwie Mitarbeiter zu überwachen. Aber trotzdem entstehen ja beim Betrieb, wie du gerade gesagt hast, die Logdaten und was weiß ich was, die entstehen ja nun mal und dadurch ist es dann wieder nachvollziehbar.
Das ist halt immer so genau dieser Zwiespalt.
Genau, das ist genau so dieses Spannungsfeld. Der ITler sagt, ich brauche es und er braucht es auch wirklich. Wir kommen ja gleich nachher noch dazu.
Und dann hast du halt eben Brauch und Missbrauch. Und das ist halt eben so die Sache. Und was halt auch da ist, ist, das ist aber auch ein generelles Problem.
Also hast du Daten, wächst du Bedürfnisse. Wenn du Optionen hast und hast die Möglichkeiten, hast die Daten da, wächst du Bedürfnisse. Jetzt kannst du sagen, ob du es nutzt oder nicht, ist die eine Sache.
Du darfst nicht Rechtsgrundlage verbieten, organisatorisch, technisch, was auch immer. Aber dass du das alles schon irgendwie klar machen musst und musst das gerade ziehen, zeigt ja schon, dass du an sich das Bedürfnis geweckt hast, mit den Dingen irgendwas zu tun. Und der Klassiker, den ich eben am Anfang gesagt habe, ist ganz klar das Bedürfnis des Chefs der Mitarbeiterkontrolle, nenne ich es jetzt einfach mal, oder des Abgleichs von den gebuchten Stunden zum Login vom Rechner oder was auch immer.
Das ist das Kontrollbedürfnis von dem gewesen oder von der Geschäftsführung. Und das ist halt, hast du Daten, wächst du Begehrlichkeiten. Das ist so das Kernproblem oder Kernzwiespalt, wo wir uns drin bewegen.
Ja, genau. So, wenn wir jetzt mal in praktische Beispiele reingehen. Warum braucht die IT diese Daten überhaupt?
Du hast es ja gerade schon so ein bisschen angeteasert, dass es logischerweise auch Fälle gibt, wo man diese Daten auch braucht. Nehmen wir mal ein Beispiel. Du kriegst jetzt einen Security-Alarm, nachts 3.17 Uhr Anmeldung eines Mitarbeiters, einer Mitarbeiterin in einem ungewöhnlichen Kontext. Das kann das Land sein. Das kann, keine Ahnung, auch die Uhrzeit sein, wie auch immer. Was soll die IT jetzt machen?
Logischerweise soll sie ja nachsehen. Und in diesem Augenblick passiert ja, also wenn wir jetzt kein Logging hätten, mal angenommen, wir hätten all diese Daten nicht erfasst, dann fehlen mir ja quasi Möglichkeiten. Also sprich eine Angriffserkennung, Fehlersuche, Incident Response, eine Nachvollziehbarkeit.
Ich kann nicht administrieren. Logischerweise eine Forensik kann ich schon mal gar nicht durchführen. Und ich kann auch die Compliance nicht gegenüberlegen.
Das heißt, also mir fehlt sehr, sehr viel dann an der Stelle, um überhaupt diesen Fall nachvollziehen zu können und da aktiv werden zu können.
Ja, und da ist es ja auch grundsätzlich technisch. Es ist halt technisch einfach unmöglich, sich irgendwo anzumelden oder irgendwo sich rein in ein System zu gehen. Und es werden keine Logfiles geschrieben.
Es ist halt einfach eine technische Sache. Dem ist so. Und du brauchst halt diese Daten, die da erhoben werden, genau für solche Fälle.
Dann musst du halt auf diesen Datenstamm zugreifen können.
Und das Logging ist ja theoretisch, wenn ich es richtig habe, auch wieder ein Grundbestandteil der Informationssicherheit, korrekt?
Ja, zum Teil musst du. Wir reden ja über Speicherdauern, über Sachen, aber genau zu dem Zweck, dass du eben kontrollieren können musst, wenn was passiert ist und kannst nachvollziehen, von wo kommt denn das Logging? War es jetzt der Mitarbeiter oder kommt es aus einem fremden Land oder wo kommt es denn her oder von wo ist denn mein Angriffsvektor?
Da musst du es natürlich mit Logdaten machen. Wie willst du denn sonst da drangehen? Und natürlich ist es auch eine Pflicht des Unternehmens und ein natürliches Interesse vom Unternehmen, die IT entsprechend so unter Kontrolle zu haben, dass ich in Monitoring über den ganzen Systemfall fahre und gucke, sind meine Systeme safe oder habe ich von irgendwo ein Angriffsvektor drin?
Das ist vollkommen normal, ja.
Ja, aber dann ist doch schon mal, da müsste man ja jetzt eine spezielle Frage stellen. Auf der einen Seite im Datenschutz ist natürlich das Gebot, möglichst wenig Daten zu erfassen. Und auf der anderen Seite die Informationssicherheit braucht aber ja diese Protokollierung.
Wer überwiegt? Also was gibt es da irgendwas, wo man sagt, okay, da darf ich jetzt abwägen und da wird es dann weniger oder eben mehr?
Ja, ja, ja. Mad Max, die Donnerkugel, zwei gehen rein, einer geht raus.
So ungefähr, ja, genau.
Ja, du brauchst also erst mal brauchst, du brauchst für alles einen vernünftigen Grund, Rechtsgrundlage. Das heißt, du musst für alles, was du verarbeitest, brauchst du einen Zweck. Hast du keinen Zweck, hast du keine Rechtsgrundlage, verarbeitest du es nicht.
Also Zweck der Geschäftsleitung, Mitarbeiterüberwachung, macht man Haken dran, kicke. Ja, wenn du aber sagst, du hast den Zweck der Sicherstellung der funktionstüchtigen IT und des Monitorings oder die ganzen Sachen, da hast du schon mal einen legitimen Zweck. Daraus kannst du dir eine Rechtsgrundlage ableiten und dann musst du wie immer.
Und das ist halt einfach die Disziplin an der ganzen Sache. Du musst dir einen Zeitraum festlegen und eine Speicherdauer festlegen, über welche Daten du über welchen Zeitraum aufbewahrst. Und jetzt muss man gucken, bleibt man klassisch bei den Locking-Daten auf dem Server oder auf dem Endgerät.
Wie lange ist es sinnvoll, dass ich mir diesen Datensatz aufhebe oder dass ich diese Daten sammle, bis die Daten so alt sind, dass es für mich nicht mehr interessant ist? Das heißt, da muss der ITler mit dem Datenschützer, mit der Geschäftsleitung in einen Dialog gehen und dann sagt der ITler, ich würde gerne Lockfiles speichern. Und dann sagt der Datenschützer, ha ha ha, lasst mal Finger weg für warum und wie lange.
Das sind immer so bei mir so die klassischen Fragen, die ich dann einfach stelle, wenn das auf mich zukommt. Kannst du auch mit Videoüberwachung machen. Ja, wir möchten jetzt Videoüberwachung machen.
Warum? Wie lange? Also Zweck, Dauer.
Und dann geht man in einen Dialog und dann sagt man, sagt der ITler, ja, ich brauche das, dass wenn mal was in den Binsen geht, dass ich gucken kann, dass ich nachvollziehen kann. Ich will auch selbst gucken, ob ein Mitarbeiter sich irgendwie nachts einloggt. Ich will gucken, ob er auf Systeme versucht, darauf zuzugreifen.
Sag ich, ja, ist klar, ist ein legitimer Zweck, kriegen wir hin. Wie lange brauchst du es denn? Und dann sagt der, fünf Jahre am liebsten, unbeschränkt.
Und dann geht es halt los, sag ich, was kannst du damit anfangen? Wie lange interessiert dich das wirklich? Also was macht denn?
Und dann kommst du, dann fängt es an bei dem ITler zu rotieren und dann kommst du ganz schnell auf so einen Punkt, wo du einfach mit dem ITler in einen Bereich reinkommst, wo du sagst, klar, klar, wenn du das jetzt, sag ich mal, 14 Tage brauchst, dann speicherst 14 Tage, aber dann stelle bitte sicher, dass du das eben nach den 14 Tagen rollst, sprich alternierst, sprich rauslöscht. Dann hast du halt eben nur einen 14-Tage-Loop in irgendwas drin mit Logfiles. Ich habe Kunden, die sagen, ja, Logfiles, drei Monate.
Ich muss dann nochmal zurück. Gibt ja je nachdem, nicht jeder Angriff ist direkt. Das kann ja durchaus sein, dass irgendwo ein Angriff stattfindet, sich das Ding in die Ecke legt und nach Tag X erst hochkommt.
Dann sage ich, alles klar, mit drei Monaten gehen wir noch mit. Aber ab dann musst du schon eine verdammt gute Argumentation haben, die Logfiles eben länger zu speichern. Und das sieht man ja auch je System.
Das ist ja nicht einheitlich über alle. Nee, das kannst du ja auf dem System festlegen. Und das ist halt scheiße, weil das ist Arbeit.
Du musst dir halt einfach Gedanken machen. Das ist ein Thema unserer letzten drei Jahre. Mach dir Gedanken über das, was du tust und definier es sauber und setz es dann halt auch sauber um.
Und dann kommst du in einen Bereich rein, wo es okay ist. Also klar. Aber auch das, um es vielleicht auch überzuleiten.
Daten müssen zweckgebunden verarbeitet werden. Das heißt, wir bleiben bei unserem klassischen Beispiel. Du sagst als ITler, ich will die Logging-Daten speichern zur Überwachung von Missbrauch.
Sag ich jetzt einfach mal ziemlich pauschal. Dann kann nicht auf einmal ein Chef um die Ecke kommen und kann sagen, hey, du hast doch Logging-Daten. Sag mir mal, ob Müllermeier Schulze vor drei Monaten oder vor sechs Wochen an dem und dem Tag eingeloggt war.
Das ist ein anderer Zweck. Da hat ein verarbeitete zweckgebunden und auf den Zweck und auf den Zweck habe ich meine Rechtsgrundlage und die Basis meiner Verarbeitung. Und dann ist eben nicht die Sache, dass auf einmal irgendeiner um die Ecke kommt und sagt, ja, jetzt haben wir die Daten sowieso.
Jetzt machen wir was ganz anderes Tolles damit. Und lass mal alles in der KI reinschmeißen. Lass mal gucken, wie viel durchschnittlich der Mitarbeiter arbeitet.
Ja, lass mal. Wie gesagt, wir sind wieder bei diesem Thema Begehrlichkeiten. Und du grenzt die Begehrlichkeiten einfach ein, indem du einen klaren Zweck für diese Verarbeitung definierst.
Und das ist der Kern an der ganzen Nummer.
Er ist gut. Du hast jetzt gerade so ein bisschen auch den den den nächsten Punkt mitgenommen. Also wir gehen jetzt mal so ein paar Fälle durch.
Der nächste Punkt, den ich so für mich notiert hatte, war auf welchen Webseiten war ein IT, also ein Mitarbeiter, so eine Mitarbeiterin, wie auch immer. Also wenn das ist wirklich so ein Alltagsfall in der Firewall. Du hättest ja rein theoretisch die Möglichkeiten.
Auf der einen Seite ist es technisch natürlich interessant, weil du halt sagen kannst Okay, Malwarephishing, Command and Control, kompromittierte Geräte, Datenabfluss. Also es gibt so viele Dinge, wo man dann auch das in Verbindung mit den besuchten Websites bringen kann und da vielleicht Schlüsse draus ziehen kann. Und so wie du gerade gesagt hast, das ist der technische Part, wenn wir den jetzt auf die andere Perspektive bringen, da kommen wir ja genau dahin, was du gerade gesagt hast.
Also wenn jetzt wirklich die Frage wäre, keine Ahnung, ich mache mir jetzt eine Liste und Michael war jetzt heute 47 Minuten auf YouTube. Bild.de oder wie auch immer, ist ja völlig egal, welche Seite. Aber am Ende des Tages entsteht daraus etwas, das einen völlig anderen Zweck hat, so wie du schon gesagt hast.
Genau, aber auch das ist ganz im Ernst, aber auch das ist in meinen Augen schon wieder nicht richtig umgesetzte Fleißarbeit. Wenn du eine Firewall hast und du willst den Traffic beschränken und du willst eben nicht, dass was weiß ich, Bild, Bunde, egal welche Webseiten irgendwie da großartig in der Firma besucht werden, dann block es, dann block es doch gleich. Dann musst du hinterher nicht hinterher rennen und hast das Bedürfnis, deine Mitarbeiter zu kontrollieren, wie viele Stunden sie bei YouTube waren.
Das kannst du dir sparen, wenn du über die Firewall YouTube dichtmachst. Das macht halt einmal Arbeit. Das macht halt einmal Arbeit, auf der Firewall den Block zu setzen.
Und es gibt dabei immer technische Möglichkeiten, die auch zu umgehen. Also das muss man auch sagen.
Ja, aber du hast schon mal einen Anfang in der ganzen Kiste drin.
Ganz klar. Ich gebe dem Kern recht. Die Sache ist die, also ich glaube, und da kommen wir ja wieder an das Thema, was wir schon vor langer Zeit mal besprochen hatten.
Wenn ich jetzt anfange zu kontrollieren, wie viele Minuten jemand auf Seite XY verbracht hat, dann habe ich doch irgendwas falsch gemacht. Weil generell geht es doch eigentlich darum, dass man seine Ziele erreicht. Sind die Ziele erreicht, ist mir jetzt mal übertrieben gesagt völlig egal, auf welcher Seite wer unterwegs ist.
Ich meine, so wie ich gerade gesagt habe, technisch gibt es immer Möglichkeiten, das zu umgehen. Ob ich jetzt, keine Ahnung, nebenbei mein Handy als Hotspot nutze oder ob ich ein Proxy nutze. Ja, aber du weißt, was ich meine.
Natürlich, auch das lässt sich ja irgendwie unterbinden oder auch organisatorisch regeln. Keine Frage. Aber am Ende des Tages halte ich das nicht für den richtigen Weg.
Auf welcher Website wer war, sagt nichts über seine Effektivität aus.
Ja, da gehe ich wieder vollkommen mit dir mit. Aber du bist halt einfach in der Sache. Du hast halt eine Fireball, wo du eben in Webseiten Logging hast, nennen wir es mal so.
Und dann hast du natürlich die Daten und dann hast du natürlich die Begehrlichkeiten, zu sagen, lass mal gucken. Das hast du halt einfach. Und deswegen musst du das klar regeln und musst das Ding klar aufmachen.
Ja, deswegen. Aber man muss da halt ein bisschen vorsichtig sein. Jetzt haben wir jetzt das YouTube Beispiel.
Nehmen wir mal einen, der hat, was weiß ich, einen Spotify-Account. Hört den ganzen Tag Spotify nebenbei. So und der Nächste hat einen YouTube-Account und hört die Musik da.
Aber der, der davor sitzt, sagt dann, aber er guckt den ganzen Tag Videos bei YouTube.
Also du weißt, was ich meine. Da musst du wenig ziehen. Supergeil.
Zum Anfang. Zum Anfang. Na ja, zum Anfang.
Egal, auch schon wieder 20 Jahre her, früher. Haben wir mit dem Computer irgendwelche Radio-Player gehabt. Da war Rock-Antenne.
Hatten wir da als Radio-Player gefunden. Und da haben wir ein 3,5er Klinken-Kabel mit auf der anderen Seite Chinsch rübergezogen auf die Stellanlage auf der Arbeit und haben da mit dem ganzen Tag Musik gehört. Lief im Stream.
Da war aber das Genöle groß. Ja, das wurde dann auch irgendwann, ich weiß nicht, ob es kontrolliert wurde, was los war oder ob jemand rumging und hat kontrolliert, weil die Bandbreite einfach nicht mehr gestimmt hat. Weil das einfach, das haben wir halt einfach dann mehr gemacht.
Und dann haben wir einfach 10, 15 Streams auf einmal laufen gehabt. Aber das ist echt schon 20 Jahre her. Und dann war die Diskussion da.
Deswegen sage ich, dann versuchst irgendwie technisch zu regeln. Ja, also versuch nicht.
Da gibt es einen Grund für. Aber das hättest du ja heute zum Beispiel nicht mehr.
Die Bandbreiten sind ja da. Aber wo ich vielleicht hin will ist, kommuniziere offen, was du willst in deinem Unternehmen, was du nicht willst. Und dann hast du es wesentlich einfacher, wie zu versuchen, durch die Hintertür mit irgendwelchen, nennst du mal Spionage und Kontrollfunktion, zu versuchen, ob irgendwas gemacht wird oder nicht gemacht wird, sondern rede offensichtlich über Themen und sag Nein, lass die Finger da weg.
Und gib Alternativen, auch das wieder. Wenn jemand Musik hören will, die Natur findet ihren Weg. Dann lässt er sich halt was anderes einfallen.
Aber dann sag halt, dann stell dir halt ein Radio dahin oder sonst irgendwas. Dann ist auch gut.
Naja, genau. Ja, deswegen. Also da wollte ich nur darauf hinaus, dass halt so ein Logging nichts mit der Leistungskontrolle zu tun hat.
Genau. Auf gar keinen Fall. Also nicht mit einer wirklichen, nicht mit einer wirklichen Leistungskontrolle, sondern nur mit einer vermeintlich fiktiven Leistungskontrolle.
Das ist genau.
Ja, nehmen wir mal jetzt den zweiten Fall. Ähm, der Chef ruft beim Mitarbeiter an oder beim Administrator an und sagt dann, ja, kannst du mal nachschauen, wann Michael gestern angemeldet war? Ich glaube, der arbeitet im Homeoffice nicht, nicht effektiv, so möchte ich es mal sagen.
Technisch zwei Minuten Arbeit. Ja, keine Frage. Tja.
Macht ihr es? Nein. Gut, damit hast du die Frage beantwortet.
Nein, machen wir tatsächlich nicht. Aber das ist das Gleiche, wie ich gerade gesagt habe. Dieses Kontrollieren, das ist halt so eine Ebene.
Weiß ich nicht. Also zum einen ist es Misstrauen natürlich. Dann, wenn man so was durchführt und auf der anderen Seite ist es, es sagt nichts über Effektivität aus.
Genau. Das Angemeldetsein. Ja, auch das, das finde ich ja noch am allerbesten, wenn man jetzt irgendwie guckt, den Teams-Status doch einfach an.
Wenn du jetzt durch deine Liste gehst, wirst du sicherlich dazwischen irgendwie Leute haben, die gelb angezeigt werden, was ja bedeutet, dass sie seit mehr als fünf Minuten nicht mehr an ihrem Platz waren. Ja, aber heißt das, dass derjenige nicht arbeitet? Der kann auch mal ein Blatt Papier da liegen haben, was er kontrollieren muss, lesen muss, was weiß ich was.
Der kann auch mal, was weiß ich, eine andere Aufgabe haben, abseits von seinem Arbeitsplatz. So, das heißt aber nicht, dass derjenige nicht arbeitet und macht gerade was anderes.
Ja, ja, aber ja, das ist so eine einfache Kontrolle. Gehst du einfach über das Teams-Ding durch und guckst, wer rot, gelb und grün ist. Aber das sagt halt nichts über irgendwas aus.
Sage ich ja, aber das ist das Gleiche wie mit der Anmeldung. Wenn jetzt mein Mitarbeiter hier morgens durch die Tür kommt und nimmt das Telefon in die Hand und telefoniert als erstes mit, ja gut, bei uns schwierig, wir haben ein digitales Telefon, also Software auf dem Rechner, dann bist du natürlich angemeldet. Aber nehmen wir mal an, du hast jetzt noch ein Telefon auf dem Desktop stehen, also auf deinem Schreibtisch.
Nimmst du als erstes den Hörer in die Hand und gehst ans Telefon, dann bist du logischerweise nicht angemeldet, wenn du es nebenbei nicht machst, weil du ja gerade noch was anderes machst. So sagt also nichts darüber aus, ob ich pünktlich am Arbeitsplatz war oder ähnlich.
Das sagt meiner Meinung nach gar nichts aus. Eben. Überhaupt nicht.
In keinster Weise.
Ja, deswegen, also darauf wollte ich auch hinaus. Also so ist es ähnlich auch, wenn diese Anmelde-Auswertung halt kommt und jetzt ist es halt natürlich ein bisschen schwierig. Michael, darf man das?
Ich glaube, die Frage haben wir gerade geklärt. Aber und das ist, glaube ich, noch eine viel wichtigere Frage. Wer trägt die Verantwortung, wenn der Administrator eben genau so einer Anweisung folgt?
Ist es dann der Chef, der Administrator selber? Ist es das Unternehmen? Was ist, was wäre im schlimmsten Fall straftechnisch?
Wer ist dann derjenige, der da was? Ja, logischerweise zu befürchten hätte ich meinen. Meistens sagen wir der Chef, aber am Ende des Tages der Administrator überschreitet seine seine Kompetenz oder seine seine Befugnisse ja eigentlich auch.
Ja. Es kommt darauf an. Lass uns gerne ein paar Szenarien mal besprechen beziehungsweise mal in den Dialog reingehen.
Ich habe das auch schon mal in meiner Beratung drin, dass ein IT-Admin mich anruft und sagt Pass mal auf, der Chef will von mir was. Das finde ich jetzt so ziemlich uncool. Und dann sage ich, du bist IT-Admin.
Deine Verantwortung, deine IT zu schützen. Das ist also das Oberhauptsein. Wenn du schon weißt, dein Bauch krummelt schon, sagt deinem Chef eine coole Idee.
Aber nee. Stunde später klingelt das Telefon, sagt er Pass auf, Chef. Ich habe eine coole Idee gehabt.
Ich bin gleich zu meinem Chef. Ich habe gesagt, Chef, hast du eine coole Idee gehabt? Aber nee, mache ich nicht.
Sagt der Chef, alles klar, machst du es nicht, kriegst du eine Abmahnung. Sagt er, alles klar, ich habe mich noch mal umgedreht. Was meine ich jetzt?
Sag ich, okay, also wir kürzen das ab. Du kannst das Spiel jetzt zweimal spielen, aber spätestens bei der dritten Abmahnung würde ich vor die Tür setzen. Am Ende bist du in der Abhängigkeit drin.
Der Chef hat die Gesamtverantwortung. Mach folgendes. Lass dir die Weisung schriftlich geben.
Äußere auf diese Weisung schriftlich deine Bedenken und bestätige. Lass dir von ihm explizit bestätigen, dass du gegen deine Überzeugung, gegen dein Kram hier auf absolute Weisung von ihm handelst und keinerlei Haftung für Konsequenzen übernimmst und dass er voll in der Kiste drinne steht. Schick die Mail raus, lass die Mail kommen, schick die Mail raus, lass dir das bestätigen.
Und wenn du das schriftlich hast, riskier nicht deinen Job, dann tu es halt. Jetzt kann man das vertreten, kann sagen Ja, cool, er hätte standhafter bleiben müssen. Man hätte auch sagen können, ob ITler ist doch angestellt, dem sein Brot ich esse, dem sein Zeug ich rät.
Lass doch einfach machen. Ich sehe es genauso, wie ich es gerade erklärt habe. Weil wenn die Sache crasht, und das hast du ja eindeutig gesagt und crashen heißt am Ende vom Tag, wir sehen uns vorm Richter und auf hoher See und vorm Gericht.
Und dann hätte ich gerne als ITler mindestens das in der Hand, dass ich das zeigen kann. Habe ich nichts Schriftliches und es crasht, wird ein Chef so leid, wie mir das tut und so so gut, wie ich es meine, ist. Aber am Ende stehst du alleine vor dem Kadi.
Es wird dir am Ende keiner den Arsch retten. Es wird keiner für dich in die Bresche springen. Und also ich habe es zumindest erlebt, wenn es irgendein anderer erlebt hat.
Glückwunsch, alles cool. Ich habe es noch nicht erlebt, dass einer aufgesprungen ist und hat gesagt Jawohl, das hat er gemacht. Der hatte keinen schriftlichen Auftrag.
Aber ich habe es gesagt, ich übernehme die Verantwortung. Bitte nehmt mich. Das wird leider einfach nicht passieren.
Und deswegen musst du. Also es ist meine Sache. Du kannst gleich deine Meinung sagen.
Du musst es dir mindestens schriftlich mehrfach absichern lassen. Chef, ich habe dir gesagt, es ist eine Scheiß Idee. Du willst es unbedingt haben.
Ich sage jetzt das zweite Mal. Es ist eine Scheiß Idee, wenn du es wirklich unbedingt haben willst. Bestätige wie immer, dass du es brauchst.
Und mit deiner Bestätigung nehme ich bitte aus der Haftungssache raus. Im Endverhältnis. Fertig.
Und dann hast du was in der Hand. So würde ich es praktizieren.
Ja, also genau dein Beispiel gerade, was du gebracht hast. Das ist nämlich, glaube ich, auch das, was wo sich wahrscheinlich nicht viele ITler wiederfinden. So das ist jetzt falsch ausgedrückt.
Aber ich denke, dass das so ein bisschen die Situation ist, in der ein ITler recht schnell ist. Wenn der Chef wirklich um die Ecke kommt und sagt, ey komm, mach mal und dann die meisten, denke ich, ducken erst mal und sagen, ja, mache ich. Aber die, die wirklich sagen und davon sollte es mehr geben, die, die wirklich sagen, ne, das geht mir jetzt hier gerade einen Schritt zu weit oder es ist gegen meine Überzeugung.
Ja, da auch immer schriftlich dann eben machen. Okay, dann kriegt man die Bestätigung. Dann ist man da fein raus.
Dann geht halt diese Haftung über.
Von daher, ja, also das gehe ich komplett mit. Und man muss das, ich bleibe jetzt mal neutral, man muss das aber auch als ITler vernünftig abwägen, wie weit ich an welche Stelle gehe. Also so ein Stück weit die, die die Verantwortung muss ich mir da schon selbst mitnehmen, weil ich bin der IT-Admin.
Ich bin der, der die Ahnung hat. Das heißt, ich muss dem gegenüber schon so ein Stück weit hinweisen und sagen, Idee scheiße oder frag nochmal den ISB, frag nochmal den DSB. Also Idee kacke, kann man machen, ist halt doof.
Das, das glaube ich, liegt dem IT-Admin schon. Aber am Ende, wenn es eine Weisung ist, aber zu dem Thema Weisung nur mal so ein paar Beispiele. Gib mir mal die Logging-Daten.
Zeigt mir mal, welche Webseiten er besucht hat. Letzte Telefonanrufe, die letzten E-Mails von. Installiert bei ihm mal ein Tool, dass ich sehen kann, wie sein Mauszeiger sich bewegt und dass ich eine Live-Überwachung von seinem Bildschirm kriege jederzeit.
Hat auch schon Anfragen gewesen. Guck mal, dass du in der Nähe vom Arbeitsplatz eine Videokamera installierst. Er muss es ja nicht mitkriegen.
Also das sind so Anfragen, die in der Praxis... Ja, ja, das sind so Beratungsanfragen, die in der Praxis reinkommen in so Sachen. Ja, und wo du halt einfach wirklich ein gefestigtes Selbstbewusstsein haben musst und eine Persönlichkeit haben musst, dass du da halt mal mindestens vorsichtig dir irgendeinen zurade ziehst, mit dem du mal telefonierst.
Warst du halt eben nicht einfach so auf Weisung nach dem Motto Chef schmeißt dir zu oder jemand schmeißt dir zu. Wir hätten jetzt gerne, dass du beim Mitarbeiter ABC jetzt die Software installierst, dass wir jederzeit on the fly auf dem Desktop gucken können, was er macht. Dann musst du schon die Hand heben können.
Das kannst du nicht einfach so machen.
Ja, genau.
Okay, oder Funktionen einschalten. Auch da lass uns ganz kurz oder eben Funktionen aktivieren, die da sind. Was ist das?
Microsoft Purview? Ist das Purview, die so feucht? Ich meine ja, Purview, Purview, Purview, die da sau tief reingehen können, sind wir auch wieder bei Begehrlichkeiten.
Das Tool an sich ist super. Du kannst da viele Sachen schon mal mit mit monitoren und kannst es mitlaufen lassen und kannst Security nach oben ziehen. Du hast dann einfach sau viele Daten und so viele Funktionen, die gegebenenfalls wieder Begehrlichkeiten wecken, die du einfach nutzen willst oder dich selbst destabilisieren.
Brauche ich keinen Zweck, keine Rechtsgrundlage, lasse ich die Finger von, weil ich brauche es einfach nicht. Ja, genau.
Ja, wenn wir mal. Wir haben schon mal so grob über den nächsten Fall gesprochen, aber in einem anderen Kontext. Also nehmen wir mal an, du hast jetzt einen Mitarbeiter, verlässt dein Unternehmen, wechselt möglicherweise am besten noch zu einem Konkurrenten, also zu einem Wettbewerber und kurz vor dem Ausscheiden stellst du halt fest, ungewöhnlich viele Downloads, USB-Stick angeschlossen, größere Datenmengen, Dateien aus mehreren Kundenordnern am besten noch.
Da müsste ich doch jetzt reinschauen, was da los ist.
Also erst mal kommt es drauf, wie immer, es kommt drauf an. Persönliche Meinung und Sache ist die, je nachdem, welchen Mitarbeiter du in Kündigung hast und wenn du gekündigt hast, ab einer gewissen Position. Es klingt zwar jetzt doof, aber es ist einfach für alle Parteien einfacher und sicherer.
Schicken heim, lass dir ein Notebook geben, lass dir einen Laptop geben, schicken heim. Kostet zwar vielleicht noch vier Wochen oder sechs Wochen Gehalt, aber schicken heim. Das ist wesentlich günstiger, wie das Risiko zu haben, was du gerade beschrieben hast oder sonst irgendwas.
Das heißt, für mich wäre der erste Weg Freistellung. Das kannst du aber nur machen, wenn du einen Mitarbeiter kündigst. Die Gefahr liegt eher in den Mitarbeitern, die von sich aus kündigen, aber im Vorfeld schon genau wissen, die Daten ziehe ich mir mal rüber, die hole ich mir mal weg.
Wer weiß, ob ich sie für den nächsten Arbeitgeber gebrauchen kann oder ob ich sie nicht gebrauchen kann und machen das. Dieses Klientel an Mitarbeitern zieht sich die Daten aber wahrscheinlich schon, bevor sie gekündigt haben. Das heißt, dein Fall ist, dass du nach der Kündigung größere Datenmengen siehst.
Ist relativ theoretisch, weil aus meiner Erfahrung ziehen die sich das Feuer an.
Ist auch reine Theorie, natürlich.
Ist reine Theorie. Aber hier redest du mit dem Datenschützer, hier redest du mit der Geschäftsleitung, hier redest du mit dem ITler. Und wenn ihr zu der Sache kommt, ich habe einen Mitarbeiter, den ich in der sensiblen, der aus der sensiblen Position raus gekündigt hat.
Und wir reden ja von der Kündigungsfrist. Ich sage jetzt einfach mal sechs Wochen oder irgend so ein Kram. Dann sagst du halt, lass uns doch mal die nächsten vier Wochen gezielt auf sowas, mal ein Monitoring fahren.
Dann hast du aber einen konkreten Anhaltspunkt. Kannst dir theoretisch eine konkrete Rechtsgrundlage oder eine Grundlage herausarbeiten, auf das du das verarbeiten kannst und bist zeitlich wieder eingeschränkt. Das heißt, du machst eine ganz gezielte, fokussierte Aktion auf einen, den du begründet im Fokus sitzen hast, wo du einfach sagst, das wäre schon, da sollten wir mal gucken.
Erst recht, wenn du vielleicht sogar weißt, wo er hingeht. Wenn du weißt, der geht direkt zum Mitbewerber oder irgendwann. Es ist ein Vertriebler, der dir direkt zum Mitbewerber geht und hat gekündigt.
Dann würde ich doch sagen, lass mal sechs Wochen Monitoring gerechtfertigt auf dem Ding drüber laufen lassen. Da kann man drüber reden. Dafür ist das ja am Ende dann auch da.
Das ist ja wieder der Schutz des Unternehmens, der eigenen Daten. Jetzt kannst du kommen. Ja gut, der Mitarbeiter hat ja ein NDA unterschrieben.
Der Mitarbeiter hat ja gesagt, was er unterschreibt und was er macht. Also das sind ja auch immer zwei USB-Sticks.
Finde ich, finde ich, wird ziemlich uninteressant werden. Ich würde eher nach Uploads gucken anstatt nach Downloads. Ich würde nämlich eher gucken, was schiebt er in die Cloud rein?
Das wäre eher so das, wo ich gucken würde, was er noch mal. Ja, genau. Also da gibt es Optionen und Möglichkeiten, da was hinzumachen.
Aber holt an dieser Stelle den Datenschützer mit ins Boot rein, in die Bewertung rein. Macht es nicht eigenmächtig. Holt euren Datenschützer mit dabei.
Bewertet das vernünftig und findet eine Lösung. Und vor allen Dingen musst du dann auch wieder gucken. Das ist ja das dann, wo du, welche Daten?
Was brauchst du denn, um dir ein gewisses Lagebild zu machen von der ganzen Situation? Also Erforderlichkeit und Verhältnismäßigkeit. Was braucht, was, was, was bockt dich denn?
Ja, es ist ein ungewöhnlicher Download, es ist ein ungewöhnlicher Upload, es hat sich ein USB-Stick reingesteckt. Es ist ja, er schickt jetzt viele Mails. Was, was ist jetzt Masse wirklich auf Basis dessen, du welche Entscheidung treffen willst?
Und wenn du dann überlegst und sagst Ja, gut, ich sag jetzt mal, wenn er mehr wie ein Gigabyte Upload hat, dann ist es wohl verdächtig. Was willst du dann tun? Oder was ist dann die, die, die, die Maßnahme, die du ableitest aus der, aus den Erkenntnissen, die du gewonnen hast?
Und so, aber auch da, ein Gigabyte ist ein Gigabyte wirklich verdächtig. Mittlerweile hast du Software, wenn du die mal einmal als ISO irgendwo reinlegst, hast du auch mal eben drei, vier Gigabyte.
Also es ist schwierig, die passende Hürde damit zu finden. Das meine ich damit, dann sagst du Okay, lass uns das mal fiktiv durchspielen. In dem Fall, du sagst Mitarbeiter hat gekündigt, der ist nach acht Wochen im Unternehmen.
Du sprichst mit dem ITler, mit dem Datenschützer, Geschäftsteil, du setzt dich zusammen, sagst, ist ein Kritischer, ist ein Vertriebler, geht direkt von, geht zum direkten Mitbewerber. Wir fahren mal ein Monitoring über den User. So, was wollt ihr denn monitoren?
Mit welchem, mit welcher Schwelle einer Handlung? Bei welchem, bei welchem Monitoring-Faktor? Ja, was, was, was habt ihr denn?
Dann guckt ihr euch nach acht Wochen die Daten an und dann seht ihr, ja, der hat ein Gigabyte hochgeladen. Der hat noch zwei USB-Sticks drin gehabt. Der hat sich noch mal 300 Kundendaten angeschaut und der hat noch mal das.
Und dann, also was, was, was ist und dann? Was wollt ihr machen? Also was ist die Schwelle?
Wann erkennt ihr oder wann ist das für euch die Meinung? Es ist, nennen wir es mal Spionage oder sonst was. Was wollt ihr denn machen?
Wenn wir mit Mitarbeiter reden. Aber dann willst du es auch festmachen. Genau, das meine ich.
Du musst es ja noch zu 100% festlegen, dass du sagst, das ist es jetzt.
Du willst ihn ja am Ende vom Tag, willst du ihn ja greifen können mit irgendwas. Also was hast du vor? Also muss die Konsequenz sein, dass was du gemacht hast und das, was du gesammelt hast, muss, sind wir wieder beim Kadi, muss vor einem Richter Bestand haben können, um nachzuweisen, dass er Industrie-Spionage begangen hat oder dass er deine Unternehmensdaten geklaut hat.
Also was sind deine Faktoren, an was du das wasserdicht ausmachst, dass sowas ist? Und dann wird es halt dünn, weil nur ein Bauchgefühl und naja, nur mal, wie du das eben schon gesagt hast, nur mal drei Gigabyte runtergeladen oder nur mal ein Gigabyte im Upload ist noch lange kein Indikator dafür, welche Daten es waren und dass er in irgendeiner Art und Weise was Böses zu seinem Unternehmen getan hat. Und das muss man im Vorfeld und im Einzelfall.
Also wir haben das schon ein paar Mal gehabt in unserem Podcast. Da haben wir immer gesagt, stelle keine Frage, auf die du die Antwort nicht hören willst. Und das ist im Prinzip hier genau das Gleiche.
Was sammelst du an Informationen und was willst du mit den Informationen machen? Oder anderes Beispiel, wir haben Google Analytics auf der Webseite und sammeln 1000 Analytics Daten auf der Webseite. Ja, was machst du denn mit den Dingern?
Ja, wir sammeln die Daten. Ja, aber warum? Ja, das weiß ich nicht.
Und das ist genau, schlägt genau in so eine Kerbe rein. Du musst wissen, was du vorhast.
Haben ist besser als brauchen.
Ja, aber du kannst damit nichts anfangen. Also am Ende vom Tag musst du wissen, wenn du was Wertloses sammelst, kannst du dir die Finger davon lassen. Das ist so.
Absolut.
Genau, so jetzt habe ich noch so zwei, drei Punkte, die ich denke, kürzer sind, wenn wir uns da einig bleiben.
Wenn sie kürzer sind, sind wir uns immer einig.
Ja, nicht zu 100 Prozent, aber ja. So, pass auf. Remote Support.
Ja, so der Techniker verbindet sich jetzt auf dem Rechner und findet plötzlich oder sieht plötzlich nicht nicht gesucht, sondern einfach schlichtweg gefunden. So ungefähr. Es liegt schon da.
Private Nachricht, Gehaltsabrechnung, Bewerbung, private E-Mail, vertrauliche Kundendaten, irgendwas. So was macht ein Techniker jetzt mit diesen Informationen, die er gar nicht gesucht hat? Nichts, nichts, gar nichts.
Also ich finde, deswegen können wir das auch recht kurz halten. Also ich denke, das ist der wichtige Punkt. Wenn jemand sagt, schalte ich bei mir auf, dann muss dieses Aufschalten immer nur per Zustimmung laufen.
Genau. Also da kann ich eben einfach sagen, ey ruft, melde dich mal oder schalte ich mal eben drauf. Selbst wenn es so ist, dann muss diese Remote Software hergeben, dass da eine Zustimmung erfolgt.
Ja, dann weiß der Mitarbeiter oder die Mitarbeiterin auch genau, dass ich mich in diesem Augenblick aufschalte und hat auch die Gelegenheit, seine Fenster zu schließen oder Dateien verschwinden zu lassen oder wie auch immer.
Ja, also ich glaube, das ist schon wichtig. Das geht nur mit Zustimmung. Das geht auch nur, also das sage ich immer, also du musst schon echt ein saugutes Vertrauen haben.
Jetzt müssen wir unterscheiden interne und externe ITler. Also du hast einen Software Supporter, der sagt, ich schalte mich mal kurz auf deinen Rechner, dass ich in der Software was nachgucken kann. Da wäre ich auf jeden Fall und zu keiner Zeit nicht vor dem Bildschirm und würde nicht kontrollieren, was er macht.
Da würde ich dabei sitzen bleiben und da würde ich jeden Mauszeiger kontrollieren und ich würde aufpassen, was er macht. Wenn du deinen internen ITler sagst, komm her, schalte ich mal kurz auf. Ich gehe in die Mittagspause, installieren wir mal Windows neu oder machen wir das neu.
Mag das eine andere Sache sein? Aber wenn es ein dritter ist, klassischer ist ein Supportdienstleister von irgendeiner Software, den lasse ich auf gar keinen Fall alleine an meinem Rechner, zu keiner Zeit.
Gehe ich grundsätzlich mit, wo ich den nicht durchgebe, ist, dass das der meiste Fall ist, weil ich glaube, das hält sich relativ in der Waage. Ich meine, wir sind externer Dienstleister, ja. Was ich aber festgestellt habe, ist, dass wahrscheinlich auch bei extern die Entfernung so groß ist, dass es eigentlich egal ist, ob er meine Bewerbung findet, kenne ich eh nicht, der wird meinen Chef nicht ansprechen, nix.
Der ITler, der hier ist, der läuft wieder los. Also das ist so meine Einschätzung, deswegen gleicht es sich relativ aus.
Das stimmt auch wieder, ja. Der Punkt geht an dich.
Es gibt so und so. Aber ja, ich gebe dir völlig recht. Also ich meine, wenn es jetzt um Unternehmenssicherheit geht, natürlich, dann sollte man eher dem Internen vertrauen als dem Externen.
Andersherum, wie gesagt, also es ist so und so.
Wobei ich jetzt auch wieder differenzieren muss, wenn ihr ja als IT-Dienstleister extern bist, bist du ja dem Unternehmen bekannt und hast ja einen permanenten Draht zu dem Unternehmen. Ich war jetzt eher, wenn du ein Software-as-a-Service-Anbieter hast, der sagt, du hast ein technisches Problem mit deiner Software und er sagt, ich schalte mich mal eben auf, weißt du, den du sonst nicht groß kennst. Ja, und da ist übrigens saufreakig der Apple-Support.
Die sind so schnell bei dir auf der Kiste drauf. Dann drückst du. Das ist unfassbar, wie einfach und salopp die drin sind.
Pass mal auf, ich schicke dir auf dein Handy mal eben schnell eine Nachricht, drück da mal drauf und dann macht das Palopp und dann fängt an und dein Mauszeiger wandert. Also es ist ja.
Na ja, gut, aber man hat es ja dann wieder bestätigt. Das ist ja die Bestätigung, die wir quasi gerade hatten. Also von daher, das ist schon okay.
Aber es muss halt eine Regelung dafür geben, dass man eindeutig weiß, jetzt geht es hier los. Also von daher passt das. So an dem Thema würde ich mich gar nicht so weit noch lange aufhalten wollen.
Firmenhandy und MDM. Wenn wir das jetzt mal als Beispiel nehmen, also Mobile Device Management. Mitarbeiter bekommt jetzt meinetwegen ein iPhone, Android, egal.
Da ist ein MDM drauf. Jetzt wäre ja die Frage vom Mitarbeiter, kann die Firma jetzt sehen, wo ich bin? Ich glaube, da gibt es verschiedene Dinge.
Also zum einen, was kann ein MDM tatsächlich sehen? Welche Funktionen hängen von der Plattform? Das ist halt also zum einen.
Was kann ein MDM sehen? Ein MDM ist nicht. Also klar, es gibt MDM Systeme, die eben auch den Standort erfassen können.
Auch da hat es immer so einen Punkt. Muss ich es erfassen? Wenn ja, wofür?
Wenn nein, ja, dann abschalten. Dann ist das nicht das Problem. Ansonsten ist es eigentlich aus meiner Sicht, weil ich finde, dass der Standort nur dann interessant ist, wenn zum Beispiel jemand das Land verlässt, bewusst auch, also sprich im Urlaub ist oder was weiß ich was.
Aber ansonsten, wenn sich die Leute eher in Deutschland aufhalten, ist es erst mal kein Problem. So, da sollte man davon absehen, Standorte überhaupt zu erfassen.
Standort kriegst du hier beim Firmenwagen. Der fliegt nicht mit. Aber ja, man kann sagen, Standort in Deutschland kriegst du eh beim Firmenwagen.
Aber das ist eigentlich vielmehr, um das Betriebssystem zu sehen. Welche Apps sind drauf, Container und so weiter. Dafür ist das MDM hauptsächlich.
So, dann welche Funktionen? Wie gesagt, hatte ich ja gerade gesagt, die lassen sich einschränken. Dafür ist es halt da.
Nicht um, also ganz, ganz wichtig. Das MDM ist auch im Kern nicht dafür gemacht, zu überwachen. Es ist dafür gemacht, um zu verwalten und zu überprüfen, ob wir unsere Richtlinien einhalten.
Darum geht es. So und der Standort ist in den allermeisten Fällen kein Teil, der dazu beiträgt. Wie gesagt, in manchen Dingen, wenn man das Land verlässt im Urlaub oder sonst was, weil man dann halt sehen kann, okay, der Mitarbeiter ist jetzt wirklich gerade da an diesem Standort rund um dieses Hotel 50 Kilometer, meinetwegen oder 100.
Aber wenn es noch weiter wegkommt, dann sollte ich schon wegen Conditional Access und was weiß ich, was da einen Zugriff drauf haben, aber auch nur punktuell. Und dann sind es halt so Dinge, Apps hatte ich gerade gesagt, Gerätezustand, wo man halt sagen kann Okay, ist jetzt end of life oder was weiß ich, ist nicht mehr im Support, dann muss das irgendwann mal raus. Private Nutzung Bring your own device ist dabei ja auch ein Thema.
Und gerade bei Bring your own device sollte man noch, wenn man es als Unternehmen einsetzt, noch viel, viel sensibler auf so was eingehen. Denn das Gerät gehört dir als Unternehmen ja nicht. Ja, genau.
So, also da wäre es ja richtig gefährlich, da die Standorte und so abzugreifen. Auf gar keinen Fall. So und so.
Jetzt wäre noch die Frage, wenn wir jetzt Ich habe ja gerade gesagt Bring your own device. Wenn es ein Arbeitsgerät ist. Darf das Unternehmen dann deswegen jederzeit auf alle Daten zugreifen?
Also sprich alles kontrollieren?
Naja, wenn du die letzten 50 Minuten zugehört hast, kannst du dir die Antwort geben. Nein, ich frage es trotzdem deutlich. Ich kannte deine Antwort schon.
Nein, natürlich nicht. Natürlich nicht. Natürlich nicht.
Natürlich, natürlich können wir jetzt darüber diskutieren. Das ist ein Unternehmensgerät. Aber das legitimiert dich zum MDM.
Also das legitimiert dich dazu, mal eine App zu installieren oder nicht zu installieren. Das legitimiert dich dazu, festzuschreiben, welche Apps installiert werden dürfen und welche nicht. Das legitimiert dich vielleicht auch noch dazu, je nachdem, was du für eine Richtlinie geschrieben hast, wie du es deinem Mitarbeiter kommuniziert hast.
Wenn du sagst, es gibt keine Klospiele auf dem Handy und du gehst einmal im Jahr durchs MDM und siehst, das sind wieder fünf Klospiele auf dem Handy installiert, dass du einfach sagst, löschen. Das soweit geht das, aber eben nicht weiter.
Ja, ja, genau. Auch da speziell auch Nachrichten und so, dass die nicht eingesehen werden können. Und da muss ich auch ganz wichtig, da möchte ich auch dazu sagen, es ist nicht möglich, Nachrichten zu lesen.
Ich wollte das sagen. Das ist mir wichtig, weil wenn wir jetzt von Rechnern oder sowas sprechen, also bei Microsoft oder so, du hättest mit Sicherheit. Habe ich tatsächlich nie ausprobiert.
Aber du hättest, glaube ich, da es so viele Möglichkeiten gibt, schon die Möglichkeit, auch Nachrichten abzugreifen, wenn du es wirklich darauf anlegst. Beim MDM weiß ich aber sehr genau, dass das nicht möglich ist. Und von daher also da, um da jemandem schon mal die Angst zu nehmen, falls es da irgendwie eine private Nutzung mit drin gibt.
Ihr könnt Nachrichten darüber schicken. Es passiert nichts. Kann nichts passieren.
Es sei denn, ihr gebt wieder jetzt wieder gleich den Schulterstoß, ihr gebt wieder den Bildschirm frei und geht auf die Nachrichten. Dann also über eine Bildschirmfreigabe kannst du es sehen, aber sonst über Metadaten und über ein MDM geht es nicht. Genau.
Bringt mich bringt mich als Datenschützer zum zum Teaser. Das mache ich jetzt mal rein. Bin ich vielleicht überflüssig beziehungsweise verschlechter ich in meiner Funktion als Datenschutz sogar die IT Security?
Also das würde ich jetzt mal so und so sehen. Also im Verschlechtern auf jeden Fall nicht. Ich glaube, dass man einfach nur eine weitere Ebene mit reinbringt.
Also auf der einen Seite natürlich. Ja, es ist technisch. Aber da dreht sich das Ganze ja eigentlich im Kreis gerade.
Damit sind wir ja eingestiegen. Wenn wir jetzt Security Maßnahmen einführen. Ja, wir brauchen auf der einen Seite natürlich Logdaten und so weiter.
Du hast aber jetzt im Lauf die ganze Zeit immer wiederholt. Es ist nicht so, dass wir keine Logs erfassen dürfen, sondern wir dürfen sie nur zweckgebunden nutzen. Und das widerstrebt ja dem Security Gedanken nicht.
Es führt halt nur noch eine Ebene dazwischen, dass ich das mit Verantwortung mache und nicht los geht's.
Wir machen damit, was wir wollen. Total verrückt. Ja, wir machen es mit Verantwortung.
Ja, ich glaube auch, also ich sehe mich da auch eher als der Ermöglicher oder der Buddy, der sagt, der den Rahmen absteckt und noch mal grob sagt, wie man es verarbeiten sollte. Natürlich auch der, der zwischendurch mal grob den Finger hebt und sagt Idee gut, aber nein. Aber auch das immer wieder nur Datenschützer sind immer nur beratend tätig.
Mir geht's. Wir hatten eben die Analogie zu dem IT-Administrator. Ich habe das in einer ähnlichen Art und Weise.
Ich weise zweimal darauf hin, dass es kacke ist. Und dann verweise ich eben, dann mache ich eine Aktennotiz und dann ist die Sache erledigt. Und wenn dann der Verantwortliche im Sinne der DSGVO der Meinung ist, er müsste es trotzdem tun und es crasht, dann hole ich mein Zettelchen raus in der Hoffnung, dass das ein wenig dann zur Linderung beiträgt.
Aber das ist ziemlich easy. Aber ich glaube auch, es geht eher darum, einen Rahmen abzustecken. Und wenn du das Ding noch größer siehst und machst IT-Security, Datenschutz, dann bist du im Compliance-Thema drinne.
Und dann bin ich ein Zahnrad oder der Datenschützer ist ein Zahnrad, Compliance sicherzustellen und die ganze Sache halt eben so zu machen, dass das Risiko auf ein Compliance-Vorfall relativ gering wird. Und dass das einfach geschmeidig durchläuft.
Und da würde ich allen auch einen Tipp geben. Natürlich kann man jetzt aus administrativer Sicht sagen Ja, ich will jetzt was umsetzen oder ich muss was nachgucken und jetzt muss ich eine Schleife drehen. Ja, das stimmt.
Dieser Weg ist zusätzlich. Aber was ich euch raten würde, ist dann wirklich eine gewisse Nähe zu Datenschützern oder zum Informationssicherheitsbeauftragten oder sonst wem zu halten. Weil dann ist dieser Weg, auch wenn es eine Schleife ist, nicht so lang.
So und dann hat man Dinge auch schnell geklärt. Also das ist jetzt meine Erfahrung auch zwischen uns beiden, wo man einfach sagen kann Weißt du was? Im Zweifel, ich schicke dir eine Nachricht.
Du antwortest mir eben drauf und es passiert dann, wenn du Glück hast, wirklich in ganz kurzer Zeit das Thema auch sofort gegessen. Entweder leitest du dann Schritte in die Wege oder du sagst Okay, nee, passt schon. Kannst du weitermachen?
Ja, dann geht's doch sofort weiter. Also das passt.
Ich finde das halt immer wichtig, noch mal, wenn man sich als egal wer in seiner Bubble irgendwas überlegt, ist es immer ganz gut, noch mal einen Dritten dazu zu holen und ihn von der Idee zu überzeugen. Das ist ja nichts anderes. Machst du ja auch oder mache ich mit meinen Kunden auch.
Mein Kunde ruft an, das ist eine saugeile Idee, machen wir jetzt. Und dann ist immer noch mal cool oder ist immer noch mal eine Sache, wenn ich sage Hast du aber das gedacht? Hast du das gedacht?
Mach bitte dies. Überdenke bitte das. Hast du an sowas überlegt?
Und dann hast du noch mal so ein Buddy, mit dem du das Spiel einmal durchspielst. Und wenn man sich am Ende einig ist und sagt Die Idee ist cool. Umsetzung machen wir so und so, dann ist alles in Ordnung.
Oder du hast durchaus Das kommt auch schon mal vor, dass der sagt, sagt Ja, hast du recht? Habe ich nicht daran gedacht. Das müsste man aber jetzt dann auch noch mal.
Und das müsste ich auch mal. Und das müsste ich auch mal. Weißt du was?
Das ist mir viel zu kompliziert. Dann lasse ich es lieber ganz. Dann sage ich Vielen Dank fürs Gespräch.
Danke, dass wir drüber gesprochen haben. Und das finde ich halt noch mal die unterschiedlichen Blickwinkel in so einer Diskussion drin zu haben und auf Basis dessen oder darauf eine fundierte Basis zu erschaffen, auf die man Entscheidungen treffen kann.
Ja, richtig. Ja, Michael, ich lasse jetzt mal ein paar andere Punkte weg aufgrund der fortgeschrittenen Zeit. Das werden aber nur ergänzende Fälle im gleichen Sinne wie gerade eben auch.
Was ich aber gerne noch machen würde, ist es halt so, wo wir uns gegenseitig so ein paar Fragen stellen. Das sind wirklich nur ganz kurze, wo man also es kommt halt nur quasi ein Satz und dann ganz kurze Frage dazu und dann, wo wir halt einfach sagen, wie wir darüber denken, wie wir jetzt in dem Fall verfahren würden. Ich glaube, das ist in dem Fall also hinsichtlich dieses Themas gar nicht uninteressant.
Da würde ich mal einmal starten wollen. Mitarbeiter meldet sich nachts um zwei Uhr an. Nachsehen?
Nein. Was würdest du machen? Nein, es darf auch jemand mal nachts Nachrichten lesen.
Mitarbeiter besucht während der Arbeitszeit regelmäßig YouTube.
Auswerten? Nein.
Hatte ich ja gesagt, aus welchen Gründen ich das nicht tun würde.
Hat nichts mit Effizienz zu tun. Genau so sieht es aus.
Jo, 500 Gigabyte Download drei Tage vor Kündigung. Würdest du das untersuchen?
Ja. Ich würde mir das anschauen. Ich werde gucken, ob ich rausfinden könnte, was an Download passiert ist.
Okay, da bin ich mir tatsächlich ein bisschen unschlüssig.
Ja, das nennst du bei mir aus der Antwort auch raus. Aber ich bei 500 Gigabyte drei Tage vor Kündigung, das sind zwei Faktoren drin, wo ich sagen würde, da gucken wir noch mal.
Ja, aber 500 Gigabyte ist schon so. Also das ist schon hoch, da schon. Aber am Ende des Tages, ja, ich glaube, das wäre so ein Kurzcheck.
Den würde ich tatsächlich als Kurzcheck durchführen, wo ich sage, woher kommen diese Daten? Wo wurden sie runtergeladen und was damit passiert?
Was viel spannender wäre, lass dafür gerne einen anderen Fall weg, aber viel anders, da wäre die Frage 300 Gigabyte drei Tage vor Kündigung gelöscht.
Jo.
Da wären wir uns, glaube ich, einig, was wir machen würden. Untersuchen, ganz klar. Untersuchen, genau.
Ja, genau. So möchte die Lockingzeiten eines Mitarbeiters.
Ja, als Administrator hatten wir vorhin gesagt, nein, der Chef drängt dich natürlich dazu, aber dann mit Abgabe der Verantwortung an die Geschäftsführer. Genauso. Genau Security System meldet Anmeldung aus einem ungewöhnlichen Land untersuchen.
Ja.
Würde ich auch in jedem Fall einfach, um zu gucken, aus welchem Land. Ich weiß ja theoretisch, dass meine Mitarbeiter, also wo die sich aufhalten, jetzt vielleicht nicht, wenn sie im Urlaub sind, aber grundsätzlich weiß ich, wo sie arbeiten.
Das weißt du doch über das MDM. Wahrscheinlich.
Nein, aber so was würde ich schon untersuchen, weil sowas, das kann schnell schon ein Problem sein. Ja, Mitarbeiter kopiert Kundendaten auf USB. Was tun oder alarmieren?
Würdest du irgendwas daraus machen? Kommt auf die Position.
Ja, würde ich was machen.
Ja, also ich wäre da ein bisschen hin und her gerissen, weil für mich jetzt gerade ein bisschen sich die Frage auftut, was sind denn die Kundendaten? Also woher weiß ich, dass es Kundendaten sind?
Ja, genau.
Wenn es Daten von meinem Rechner sind, sind es Daten von meinem Rechner. Dann kann ich ja theoretisch erst mal gar nicht wissen, dass es Kundendaten sind.
Richtig. Deswegen, ich würde wenigstens mal gucken.
Aber wenn ich genau wüsste, es sind Kundendaten. Ja, okay, dann sollte man mal einmal checken, was da los ist.
Genau. Und dann bist du beim Vertriebler und dann sagt der Vertriebler Naja, die habe ich mir auf den USB-Stick gezogen. Das mache ich einmal im Quartal.
Die synchronisiere ich nämlich mit meinem privaten Laptop, weil mir der Chef des Homeoffice kein Notebook zur Verfügung stellt.
Da ist wieder der Punkt. Natur findet ihren Weg.
Oh Mann, ja.
Genau. So, Techniker entdeckt beim Support zufällig eine private Bewerbung. Nichts tun.
Nichts zu keiner Zeit. Irgendwas. Absolut.
Also auch da möchte ich mal kurz an jeden Administratoren gerichtet sagen. Und ich gehe davon aus, dass ihr sowieso so handelt. Falls nicht, nehmt es euch bitte zu Herzen.
Administrator, auch wenn ihr keine Ärzte oder sowas seid. Verschwiegenheit steht ganz oben. Ihr seht so viele Dinge über Personen, die euch eigentlich nichts angehen.
Dementsprechend da einfach. Also ich habe mir tatsächlich irgendwann angewöhnt. Oder was heißt irgendwann?
Das ging recht schnell. Wenn man mit vielen Systemen zu tun hat. Man guckt da nicht drauf.
Das heißt, da liegt eine Datei. Ja, okay, ist eine Datei. Egal wie sie benannt ist.
Mich interessiert es nicht, weil es geht mir darum, den Fall zu lösen. Also da wirklich schaut nicht auf Inhalte, bewertet nichts, was ihr seht. Völlig uninteressant.
Kümmert euch um eure IT. Der ganze Rest geht uns nichts an. So, dann KI erkennt ungewöhnlich geringe Aktivität eines Mitarbeiters.
Geschäftsführung informieren?
Würde ich vorher anfangen mit der Diskussion, wie kommt eine KI dazu, der Meinung zu sein, Daten zu kriegen, eine ungewöhnliche Aktivität zu empfangen? Da würde ich meiner vorher anfangen. Da würde ich vorher anfangen, bevor ich mir über die Analyse Gedanken mache.
Da sind mehrere Dinge schiefgelaufen.
Ja, das Gute dabei ist, nur kurz zur Information. Michael und wir, wir von Surfcom hatten eine Veranstaltung. Michael war als Redner da, hinsichtlich Datenschutz.
Und da haben wir auch über das Thema KI gesprochen, wann es eben zulässig ist und so. Das wäre dieser Hochrisikobereich, wenn ich es nicht ganz falsch verstanden habe.
Wenn du es nicht ganz falsch verstanden hast, ja. Personaldaten.
Genau, da bitte nicht machen. Ja, und letzte Frage in dem Bereich. Mitarbeiter steht im Verdacht, Unternehmensdaten mitzunehmen.
Wie weit darf die IT gehen? Also ich würde sagen, es ist halt die Frage, wie entsteht dieser Verdacht aus meiner Sicht? Wenn ich ganz klar weiß, hier wurde schon an der einen oder anderen Stelle angekündigt, ich gehe jetzt zum Mitbewerber und der Kunde wäre für mich interessant.
Okay, das ist schon ein Verdacht, wo ich sage, okay, kann man schon nehmen. Wenn ich aber rein einfach nur aufgrund der Persönlichkeit oder so was dieser Person etwas unterstelle, reicht das für mich als Verdacht nicht aus. Auf gar keinen Fall.
Und sagen wir mal so, jetzt ging es ja darum, wie weit darf die IT gehen? Also ich glaube, in dem Fall, wo dieser Verdacht hinten raus zu gering ist, ist natürlich gar nichts. Wenn ich aber jetzt in der Situation bin, wo ich sage, okay, das ist jetzt gerechtfertigt.
Da bin ich mir einfach mit mir selbst schlüssig. Da muss jetzt was gemacht werden. Dann wäre ja die Frage, wie weit darf die IT an der Stelle gehen?
Und auch da bin ich ein bisschen hin und hergerissen. Das ist ein bisschen schwierig, weil auf der einen Seite ist es so, dass ich sagen würde, okay, ich darf ich darf natürlich schauen, was mit diesen Dateien passiert oder was für Dateiverschiebungen passiert sind oder sonst irgendwas. Wie weit ich nicht gehen würde, ist, dass ich jetzt einfach proaktiv anfange, Mailinhalte zu lesen oder Ähnliches.
Also das halte ich für zu weit. Jetzt machst du zum Schluss von dem Thema noch ein Fästchen auf. Zum Thema Wie weit würde ich als ITler gehen?
Das ist total einfach. Ich kann ja ganz genau sagen, wie weit du als ITler gehst. Bist beim Chef ins Büro und machst eine Meldung.
Und sonst machst du gar nichts. Du fängst überhaupt nicht an. Nicht selbstständig.
Ja, okay. Du fängst überhaupt nicht an irgendwas zu machen, sondern du meldest. Melden macht frei und belastet den Vorgesetzten.
Das war zur Bundeswehr schon so. Ja, das ist auch jetzt noch so. Du meldest und du stimmst dich ab und dann werden Maßnahmen entschieden und dann darfst du bei Maßnahmen, die entschieden werden wollen, wieder als ITler deinen Senf dazugeben.
Dann sind wir wieder genau in der Thematik, wo du auch mit deinem Datenschützer bist. Gute Idee, schlechte Idee, können wir tun, können wir ja nicht tun. Aber erst mal machst du gar nichts, außer die Hand heben und melden.
Mehr machst du nicht. Ende. Du fängst nicht an.
Ich hab den Schritt übergangen.
Du fängst nicht an und sagst Pass mal auf, Chef, vor sechs Wochen hatte ich das Gefühl, der Günter nimmt irgendwelche Daten weg. Ich habe den jetzt mal sechs Wochen gemonitort, habe das analysiert und schau an, das machst du nicht, sondern du meldest nach oben. Ja, ja, ja, genau.
Okay, ja, also wie gesagt, wir haben den Schritt übergangen. Wir haben die Stunde schon wieder geknackt.
Genau. Ja, also wenn wir es so ein bisschen zusammenfassen wollen, würde ich sagen, der Administrator hat schon eine gewisse Macht über Systeme, aber es gibt ihm nicht automatisch das Recht, diese Macht auch beliebig zu nutzen. Das kommen wir gerade hervon.
Genau so sieht es aus, ja.
Genau. Ja, und andersrum, wenn wir jetzt deinen Punkt zurücknehmen, also aus Datenschutzsicht, hast du ja selber auch gesagt, Datenschutz darf aber auch auf der anderen Seite nicht bedeuten, dass die IT-Sicherheit deswegen blind arbeiten muss. Deswegen ja immer dieses Abwägen zwischen dem, ja eigentlich mit dem Zweck.
Genau. Ja, daraus hast du halt die Quintessenz. Daraus hast du schon das, was wir eben auch hatten.
Daraus hast du einfach die Quintessenz, dass du in Symbiose mit IT-Security und Datenschutz arbeiten musst, dass du einfach sagen kannst, welche Daten brauchen wir sinnvoll wofür? Wer soll sie erheben? Wer darf darauf zugreifen?
Und das, was wir eben auch ganz kurz im Beispiel hatten, was ist ein Verdachtsfall und was passiert, wenn wir dann wirklich haben? Und das ist das, was du gemeinsam ausarbeiten musst und wo du Lösungen und Antworten darauf brauchst.
Ja. Michael, bevor wir uns noch länger wieder in das Thema reinstürzen, hätte ich noch eine letzte Frage zum Abschluss. Dann hauen wir rein.
Was wäre dir lieber, ein Unternehmen, das technisch sehr viel über die Mitarbeiter sehen kann, aber klare Regeln für den Zugriff hat, oder eben eins, das wenig protokolliert und deswegen im Sicherheitsfall kaum nachvollziehen kann, was passiert ist?
Ja, das war doch jetzt gemein. Die Frage zum Schluss, das kannst du ja nicht mit entweder oder machen. Ich hätte gerne das dazwischen.
Ja, ja.
Ich hätte gerne das dazwischen. Ich hätte gerne das Unternehmen, was mit einem gesunden Augenmaß über einen angemessenen Zeitraum sinnvoll das dokumentiert, was es benötigt, um ein angemessenes Sicherheitsniveau im Unternehmen sicherzustellen. Dass im Falle eines Inzidents nachvollziehbar ist, was passiert ist, und wie das Problem zu lösen ist.
Das hätte ich gerne.
Ja, die Frage schließt ja so ein bisschen an dem an, was ich zwischendurch schon mal gefragt habe. Was überwiegt Informationssicherheit oder Datenschutz? Die Antwort ist ja eben sehr identisch.
Von daher, ja, das passt. Michael, damit wäre ich ehrlich gesagt durch, hätte nichts zu diesem Thema mehr. Ich bedanke mich an die Runde.
Ich bedanke mich natürlich auch bei dir und würde sagen, wir hören uns in 14 Tagen wieder. Bis in alter Frische. Bis dahin.
So tun wir. Vielen Dank fürs Zuhören. Grüße aus Hüttenberg.
Macht's gut und tschüss.
René
00:01:01
Michael
00:01:02
René
00:01:04
Michael
00:01:06
René
00:01:21
Michael
00:01:46
René
00:01:47
Michael
00:01:50
René
00:01:53
Michael
00:01:54
René
00:01:57
Michael
00:02:02
René
00:02:03
Michael
00:02:05
René
00:02:08
Michael
00:02:29
René
00:02:34
Michael
00:02:38
René
00:02:50
Michael
00:03:09
René
00:03:14
Michael
00:03:17
René
00:03:28
Michael
00:03:37
René
00:03:47
Michael
00:04:17
René
00:04:31
Michael
00:04:54
René
00:06:22
Michael
00:06:30
René
00:06:44
Michael
00:07:35
René
00:08:46
Michael
00:09:40
René
00:10:11
Michael
00:10:31
René
00:11:42
Michael
00:13:01
René
00:13:24
Michael
00:13:32
René
00:14:16
Michael
00:14:45
René
00:14:51
Michael
00:14:53
René
00:19:19
Michael
00:20:42
René
00:21:24
Michael
00:21:28
René
00:21:32
Michael
00:22:30
René
00:22:56
Michael
00:23:20
René
00:24:20
Michael
00:24:23
René
00:25:00
Michael
00:25:07
René
00:25:20
Michael
00:26:46
René
00:26:56
Michael
00:27:29
René
00:27:36
Michael
00:28:36
René
00:31:59
Michael
00:32:46
René
00:34:38
Michael
00:34:41
René
00:35:36
Michael
00:36:12
René
00:37:26
Michael
00:37:28
René
00:38:41
Michael
00:38:48
René
00:40:04
Michael
00:40:16
René
00:41:18
Michael
00:41:22
René
00:42:37
Michael
00:42:39
René
00:42:48
Michael
00:42:58
René
00:43:02
Michael
00:44:08
René
00:45:02
Michael
00:45:31
René
00:45:33
Michael
00:45:47
René
00:46:28
Michael
00:47:55
René
00:48:06
Michael
00:49:58
René
00:50:48
Michael
00:51:33
René
00:52:01
Michael
00:52:45
René
00:54:06
Michael
00:55:06
René
00:56:07
Michael
00:57:04
René
00:57:06
Michael
00:57:10
René
00:57:15
Michael
00:57:22
René
00:57:31
Michael
00:57:36
René
00:57:45
Michael
00:58:05
René
00:58:15
Michael
00:58:17
René
00:58:29
Michael
00:58:46
René
00:58:47
Michael
00:58:58
René
00:59:03
Michael
00:59:25
René
00:59:28
Michael
00:59:36
René
00:59:37
Michael
00:59:42
René
00:59:45
Michael
00:59:53
René
01:00:06
Michael
01:00:12
René
01:00:15
Michael
01:01:29
René
01:01:47
Michael
01:02:05
René
01:02:08
Michael
01:03:49
René
01:04:44
Michael
01:04:46
René
01:05:08
Michael
01:05:26
René
01:05:30
Michael
01:05:48
René
01:06:29
Michael
01:06:53
René
01:07:01
Michael
01:07:03
René
01:07:34
Michael
01:08:06