Die Internet-Technologie bildet zunehmend das Rückgrat der unternehmensinternen Kommunikation. Dabei übernimmt der Computer die Rolle des wichtigsten Handwerkzeugs. Aber eben dieses Hilfsmittel ist geradezu prädestiniert, um Benutzeraktionen aufzuzeichnen und auszuwerten. Problemlos lassen sich exakte Benutzerprofile erstellen. Der Systemadministrator spielt dabei die Rolle des "allmächtigen Herrschers" über jedes scheinbar noch so unbedeutende Bit.
Über all das, was technisch machbar ist, zerbrechen sich die wenigsten Anwender ihre Köpfe. Meist setzt man sich erst dann mit der Thematik auseinander, wenn es fast schon zu spät ist. Wenn beispielsweise eine Abmahnung auf dem Schreibtisch liegt, in der der Arbeitgeber seinem Mitarbeiter mit Kündigung droht, wenn er nochmals versucht, geschützte Daten zu löschen oder seinen privaten E-Mail-Verkehr weiter während der Arbeitszeit erledigt.
Sicherheit versus Überwachung
Grundsätzlich haben Unternehmen durchaus ein legitimes Interesse daran, über die Tätigkeiten ihrer Mitarbeiter im Bilde zu sein. Das Problem: Unter dem Deckmantel unternehmensrelevanter Aufsicht und Überwachung tasten sich Unternehmen mehr und mehr an Grenzen heran, bei denen auch das letzte Bisschen Privatsphäre verloren geht. Die lückenlose Überwachung von Angestellten ist aber nicht erst seit der Vernetzung der Büro-PCs bekannt. Längst hat man sich an Videoüberwachung oder das Abhören von Telefonaten und die Speicherung der unterschiedlichsten Informationen gewöhnt.
Für die Überwachung der Mitarbeiter spricht aus Unternehmenssicht auch, dass man deren Produktivität besser bewerten kann, wenn ein exaktes Bild der Arbeitsleistung vorliegt. Unternehmen führen gerne ein weiteres Argument ins Feld: das Aufspüren von Engpässen. So lassen sich durch Monitoring Schwachstellen der Infrastruktur aufdecken. Dabei wird aber gerne unterschlagen, dass für derlei Analysen die Aktionen der einzelnen Anwender irrelevant sind. Ausschlaggebend ist das Gesamtbild.
Ein weiteres Problem: In vielen Unternehmen setzen sich Mitarbeiter und auch Betriebsräte mit derlei Fragestellen bislang selten oder gar nicht auseinander. Und: Die Verunsicherung der Mitarbeiter macht es Unternehmen leicht, Angestellte erweiterten Kontrollen auszusetzen.
Mittendrin: der Systemadministrator
Quasi zwischen den Stühlen sitzt der Systemadministrator - unabhängig von der jeweilige Architektur und Infrastruktur der Kommunikationsplattform. Seine Aufgaben sind sehr vielfältig. Zu seinen wichtigsten Aufgaben zählt das Hinzufügen von neuen Benutzern, die Vergabe von Zugriffsrechten, Durchführung von Backups, das Monitoring und Optimierung des Systems, und, und, und. Seine wichtigste Aufgabe jedoch: Er muss für ein ausgewogenes Verhältnis zwischen Sicherheit und Funktionalität sorgen.
Prinzipiell hat ein Systemadministrator zu allen Bereichen eines Netzes vollen Zugriff. Salopp formuliert, bekommt der Admin das zu sehen, was er sehen will. Er kann also nicht nur erkennen, wer auf welche Daten zugegriffen hat, sondern kann theoretisch jede E-Mail lesen oder gar einen Blick in die Dateiablage des Mitarbeiters werfen. Natürlich bekommt er auch mit, wenn sich Anwender über gesetzte Restriktionen hinwegsetzen wollen.
Infoquelle Logfiles
Das Problem dabei: Nicht immer liegen diese Informationen in einer Form vor, die direkt erkennen lassen, was wo passiert. Web-, Mail- oder auch File-Server protokollieren jede Aktion. Nur die Form der Aufbereitung oder Ausgabe von Warnmeldungen ist sehr unterschiedlich. Doch auch dafür gibt es Hilfsmittel, die solche Daten "lesbar" aufbereiten.
In der Praxis hat der Administrator aber anderes zu tun, als in fremden Daten herumzuschnüffeln. In der Regel beschränkt sich seine Überwachung auf das Überfliegen der Logfiles. Der routinierte Admin erkennt in der Regel sofort, ob alles "normal" aussieht.
In den Logfiles stehen nur statistische Daten. Aber aus diesen Informationsquellen lassen sich oft Hacks oder Manipulationsversuch herauslesen. Anzeichen dafür sind beispielsweise, wenn bei Connect-Versuchen wüste Loginnamen, ungültige Zeichen oder seltsamen E-Mail-Adressen auftauchen.
Der Datenschutz besteht im Wesentlichen aus einem gewissen Vertrauen, das die Benutzer dem Systemverwalter entgegenbringen müssen. Für den User gibt es ohnehin kaum technische Möglichkeiten, einen geschickten Abhörversuch des Systemverwalters zu erkennen. Einen gewissen Schutz bieten lediglich Verschlüsselungsmethoden wie PGP oder SSL. Deren Einsatz ist aber in der Regel nicht praktikabel und zudem mit einem erhöhten Aufwand verbunden.
Überwachung von E-Mail
Welche Informationsquellen sind für den Administrator von besonderer Bedeutung? Dieser Frage soll bei den drei gängigen Servertypen, Mail-, Web- und Fileserver, nachgegangen werden.
Die scheinbar größte Problemquelle stellen E-Mails dar. Gerade hier vermischt sich häufig Privates und Geschäftliches. Mailserver protokollieren wie andere Servertypen alle dienstrelevanten Informationen in Logfiles. In der Grundkonfiguration machen die Server in der Regel nichts anderes, als die Entgegennahme und Weiterleitung von Mails zu protokollieren. Sie überwachen dabei natürlich auch, wer welche Mails wohin versendet.
In den Aufgabenbereich Systemmonitoring des Postmasters fällt insbesondere die Überwachung der Mailserver-Logfiles. Mailserver wie beispielsweise PostOffice 3.5 bieten dem Administrator die Möglichkeit, Warnmeldungen bei auftretenden Fehler an den Systemadministrator zu verschicken. Sie weisen den Admin auf Versuche von unbekannten Anwendern hin, die sich Zugriff zu Postfächern verschaffen wollen. Gleiches gilt für den Versuch unberechtigter Benutzer, Mails zu verschicken. Selbst "kleinere" Mailserver wie beispielsweise Merkur 3.1 besitzen einen Protokollmonitor, der die Aktionen der einzelnen Dienste überwacht und die gesammelten Informationen dem Administrator in aufbereiteter Form zur Verfügung stellt.
Auch der Klassiker sendmail beherrscht die Ausgabe von Fehlermeldungen. Über die M4-Variable confCOPY_ERRORS_TO wird beispielsweise die Adresse angegeben, die Kopien aller Fehlermeldungen erhält. M4 ist ein Makroprozessor, der die Konfigurationsdateien kompiliert.
Datenquelle Webserver
Ähnlich sieht es bei typischen Webservern aus. Sie protokollieren in ihren Logfiles ebenfalls jede Aktion. Gerade bei internen Webservern ist es relativ einfach, ein exaktes Bild der Benutzeraktivitäten zu erstellen. In den Logfiles wird unter anderem festgehalten, welcher Rechner auf die Site zugreift und welche Inhalte abgerufen werden.
Webserver-Logfiles sind wie die Protokolldateien von Mail- und FTP-Servern einfache Textdateien. Auch bei diesen Typen lässt sich insbesondere aus den vom Webserver produzierten Fehlertypen ablesen, wo sich unberechtigte User an dem System zu schaffen gemacht haben.
Dabei interessieren insbesondere 5xx-Server-Fehler, bei denen der Server einen gültigen Request nicht bearbeiten kann. Solche Fehlermeldungen werden in der Error-Log-Datei abgelegt. Da die manuelle Auswertung recht aufwendig ist, greift man am besten zu gängigen Logfile-Analyzern, die die darin enthaltenen Informationen analysieren, auswerten und grafisch aufbereiten.
Prinzipiell macht es keinen großen Unterschied, ob es sich um einen Server des Typs A oder des Typs B handelt. Auch FTP-Server protokollieren die Aktivitäten von registrierten und anonymen Benutzern. Wie bei anderen Servertypen werden Benutzer in einer Datenbank verwaltet. Dort werden neben den Zugangsdaten auch die Berechtigungen definiert. Sie sind lediglich für den Administrator zugänglich.
Auch aus den vom FTP-Server erzeugten Logfiles, insbesondere den Fehlermeldungen, lassen sich Rückschlüsse auf die Benutzeraktionen ziehen. Da der Server in der Regel auch die IP-Adresse des Benutzers protokolliert, ist die Identifizierung des "Angreifers" denkbar einfach. Selbst wenn in einem lokalen Netz die Vergabe der IP-Adressen an die angeschlossenen Workstations dynamisch über einen DHCP-Server erfolgt, lässt sich der "Bösewicht" identifizieren: Auch der DHCP-Server führt ein Protokoll.
Überwachungstools
Unternehmen, die sich nicht mit den Informationen begnügen wollen, die Server-Bordmittel ausgeben, können noch einen drauflegen. Mit Hilfe von Spezialwerkzeugen lassen sich nicht nur Zugriffe auf beliebige Server, sondern gar Inhalte von ein- und ausgehende Mails analysieren, Mausklicks protokollieren und der Zugriff auf Websites aufzeichnen.
Assentor ist ein solcher Spezialist. Das Monitoring-System ist auf die Überwachung und Analyse elektronischer Nachrichten spezialisiert. Das Programm erkennt Satzstellungen und Kontext, die über ein NLP-Modul (Natural Language Processing) analysiert werden. Stößt das Programm auf unerwünschte Inhalte, gibt es eine Warnmeldung an den Systemadministrator aus. Außerdem ist Assentor SEC-kompatibel (Securities and Exchange Commission). Mittels SEC-Regeln soll verhindert werden, dass relevante Informationen das Unternehmen per Mail verlassen.
Der Aufgabenbereich des Internet Manager ist ein etwas anderer. Dieses System überwacht den Netzwerktraffic auf WWW-, FTP- und Newsserver. Das Programm zeichnet dabei nicht nur die Benutzeraktivitäten auf, sondern erlaubt es dem Administrator, Sites für den Zugriff zu sperren. Von gleichen Entwickler stammt der Message Inspector, der auf die Filterung von E-Mail und News-Posting ausgerichtet ist.
Noch umfassender sind die Überwachungsmechansimen von WinWhatWhere. Dieses Programm überwacht nicht nur die Netzwerkaktivitäten des Anwenders, sondern jede Aktion am Rechner. Dabei wird jeder Mausklick, jeder Tastendruck und sogar die zurückgelegte Strecke des Mauszeigers aufgezeichnet - totale Überwachung pur.
Ob der Einsatz solcher Tools dem Betriebsklima und der Motivation der Mitarbeiter zuträglich ist, darf man allerdings bezweifeln.
Fazit und rechtliche Aspekte
Im LAN ist es für den Arbeitgeber oder seinen Systemadministrator eine Leichtes E-Mails von Mitarbeitern zu überwachen und abgerufene Webseiten nachzuvollziehen.
Der Arbeitgeber ist dabei berechtigt die Netzdaten zu speichern, also Anzahl, Zeitpunkt und Ziel. Dies gilt jedenfalls für dienstliche Mails und Anfragen.
Bei dienstlichen Mails wird man dem Arbeitgeber ohne weiteres das Recht einräumen müssen, auch Mails der Mitarbeiter zu öffnen und zu lesen. Diese sind Teil des dem Arbeitgeber zu erbringenden Arbeitsergebnisses und einer offiziellen Geschäftspost gleichzusetzen.
Schwieriger ist die Frage bei privaten Mails und Web-Zugriffen zu beantworten. Hier ist als Eingangsfrage zu klären, ob die private Nutzung überhaupt vom Arbeitgeber erlaubt ist. Denn der Arbeitgeber hat das Recht die private Nutzung ohne weiteres zu untersagen. In diesem Fall kann der Arbeitgeber davon ausgehen, dass jede Mail geschäftlich ist und von ihm damit gelesen werden darf, es sei denn, diese ist ausdrücklich als privat gekennzeichnet.
Regelungen hinsichtlich der privaten Nutzung können im Arbeitsvertrag oder in Betriebsvereinbarungen getroffen werden, unterliegen aber der zwingenden Mitbestimmung des Betriebsrates und sind daher von Betrieb zu Betrieb verschieden. Das Lesen von erkennbar privaten Mails ohne ausdrückliche Vereinbarung ist jedoch im Hinblick auf den grundrechtlichen Schutz der Persönlichkeit unzulässig. Eine Registrierung der Webzugriffe und der Zugriffszeiten zu Abrechnungszwecken ist dagegen ohne weiteres zulässig. Wundern darf man sich daher nicht, wenn man einem bei intensiver privater Nutzung des Firmennetzes auf die Schliche kommt. (mhe)