Überwachung des Rechners des Azubis

[Fedac]

Servus Gemeinde,

hat sich jemand mal mit der Thematik befasst, was ist wenn der Azubi mit entprechenden Tools überwacht wird (Scanner, Sniffer, etc.) von der Firma. Also was passiert da, wo surfter, wei benutzt er den Rechner, bis zum extrem Fall des Auflisten von Passwörtern etc....hat das jemand schonmal gehabt und weiß wie da die vorgehensweise ist!? Also gesetzlich!???

best regards

Fedac

[Struppi]

Hmm hört sich ja fast so an als ob du selbst betroffen wärst...

Naja also ich denke man muss hier unterscheiden:

wenn man Spiele o.ä. findet bzw den Verdacht hat und deswegen guckt ist das meiner Meinung nach okay. Wenn da allerdings regelrechte Akten mit allem angelegt werden ist das äußerst anrüchig...

Ich würde in solch einem Fall mal bei meiner Gewerkschaft anrufen ob der Arbeitgeber das darf.

Grüße

[Piccolo2045]

Mich wundert ein bisserl die Formulierung "Überwachung eines Azubi..."!

In großen Unternehmen und auch in vielen kleineren Betrieben ist es gang und gebe, dass der Arbeitgeber das Surfverhalten in der Firma untersucht...

Ich glaube allerdings nicht, dass er gucken darf WER WOHIN surft, sondern nur wohin generell gesurft wird. Da ist es auch völlig rechtens, wenn der AG dann diese Seite/n wegen nicht dienstlichem content sperrt.

[Beelzebub]

um wirklich zu sehen welche seiten der user besucht braucht man (zumindest bei uns) eine genehmigung vom betriebsrat!

wie leicht oder schwer man die bekommt is natürlich die frage

[timmi-bonn]

[...], dass der Arbeitgeber das Surfverhalten in der Firma untersucht...

Ich glaube allerdings nicht, dass er gucken darf WER WOHIN surft, sondern nur wohin generell gesurft wird. Da ist es auch völlig rechtens, wenn der AG dann diese Seite/n wegen nicht dienstlichem content sperrt.

Richtig! Es dürfen keinerlei heimlichen Auswertungen zur Verhaltens- und Leistungskontrolle (darunter fällt das) stattfinden. Daher dürfen zwar Logs angelegt werden, aus denen das hervorginge - aber sie dürfen nicht danach ausgewertet werden.

gruss, timmi

[zirri]

um wirklich zu sehen welche seiten der user besucht braucht man (zumindest bei uns) eine genehmigung vom betriebsrat!

wie leicht oder schwer man die bekommt is natürlich die frage

Richtig! Es dürfen keinerlei heimlichen Auswertungen zur Verhaltens- und Leistungskontrolle (darunter fällt das) stattfinden. Daher dürfen zwar Logs angelegt werden, aus denen das hervorginge - aber sie dürfen nicht danach ausgewertet werden.

gruss, timmi

Es sei denn, das Gegenteil steht in Deinem Arbeitsvertrag....

und Du hast es unterschrieben.,....

gruss

[IT-Shrek]

Hi,

und wie sieht das aus mit dingen die über surfverhalten und co hinausgehen?

Sprich heimliche Remoteüberwachung mit NetOP und co?

Shrek

[timmi-bonn]

und wie sieht das aus mit dingen die über surfverhalten und co hinausgehen? Sprich heimliche Remoteüberwachung mit NetOP und co?

Das hatte ich doch geschrieben: siehe heimliche "Verhaltens- und Leistungskontrolle".

gruss, timmi

[IT-Shrek]

Ok,

aber eine Genehmigung des Betriebsrates würde ausreichen? Auch wenn die Benutzer selbst davon nichts wissen?

Shrek

[timmi-bonn]

aber eine Genehmigung des Betriebsrates würde ausreichen? Auch wenn die Benutzer selbst davon nichts wissen?

Auch ein BRAT darf nicht gegen gültige Gesetze handeln. So dürfen z.B. Betriebsvereinbarungen nur Regelungen enthalten, die den Arbeitnehmer besser stellen, als es die allgemeine Gesetzeslage sowieso tut.

Ein heisser Tip: Lest doch mal das BDSG und die sonstigen für die IT relevanten Gesetzestexte. Speziell meinen Prüflingen würde ich dazu dringendst raten!!

gruss, timmi

[Sariel]

aber eine Genehmigung des Betriebsrates würde ausreichen? Auch wenn die Benutzer selbst davon nichts wissen?

Hi Shrek,

ich meine der Betroffene muss davon auch unterrichtet werden.

Alles andere würde ich schlimm finden! :eek

Gruß Daniel

[cane]

Mal ein Beispiel aus der Praxis:

Ein Unternehmen möchte die Internetverbindungen mitarbeiterbezogen protokollieren, problematisch ist aber die Tatsache das 90 % der Mitarbeiter über Citrix-Terminalserver arbeiten und somit die User schonmal nicht über ihre IP identifiziert werden können.

Also hab ich zwei Fliegen mit einer Klappe geschlagen:

Hab nen Squid auf Basis Debian Sarge implementiert der über Kerberos am AD authetifiziert und sich die User aus dem AD holt. Er lässt den Internetzugriff dann auch nur für im AD registrierte User zu (kann man auch gruppenbezogen machen), Verfahren ist NTLM_Auth.

Die Zugriffe werden ja auf nem proxy erstmal generell weggeschrieben, bei meinem Squid stehen die relevanten Informationen hauptsächlich in /var/log/access.log. Die Date parse ich mit dem Loganalyzer SARG und generiere damit HTML das der Admin nach Authentifizierung per .htaccess über nen Apache abrufen kann. Dann noch die Cronjobs / Logrotates angepasst damit Tages-, Wochen- und Monatsstatistiken erstellt werden. Die Performancestatistiken erstelle ich mir mit dem Perl-Script Squeezer.

Zum eigentlichen Thema: Alle Mitarbeiter mussten eine Mitarbeitervereinbarung unterschreiben in der die private nutzung desr internetverbindung und die private Nutzung der unternehmenseigenen Email-Addy quasi verboten wird. Das wird nicht generell überprüft, Hintergrund ist folgender:

Wenn das Unternehmen den Mitarbeitern nicht verbietet die Email-Addy privat zu nutzen tritt das Unternehmen in diesem Fall als Provider gegenüber dem eigenen Mitarbeiter auf. Entsteht dem Mitarbeiter ein Schaden durch nicht erhaltene Emails (Spamfilter, Virenfilter, Mailserverdefekt) kann er das unternehmen verklagen! Da gibts Präsidenzfälle.

Fazit des Projekts:

- Unternehmen wieder rechtlich auf der sicheren Seite

- Squid steigerte die Performance von HTTP/HTTPS/FTP um mehr als 300 %

- Userbezogenes Logging implementiert

- Keine Lizenzkosten

mfg

cane

[eNo]

Ich habe mal ein einer der größten Speditionen Deutschlands ein Praktikum gemacht, wo sogar die Toilettenzeiten gelogt wurden, da man nur mir seiner Chipkarte die Tür aufbekam.

[Aquano]

Toilettenzeiten zu ermitteln ist nix ungewöhnliches, schliesslich muss man ermitteln wie lange ein PT in der Firma wirklich ist. Die tatsächliche Arbeitszeit liegt ja unter der vereinbarten (Klo, Kaffee, Flurfunk, ...)

Ausserdem kann man mittels der Chipkarte ermitteln, wer den braunen Riesen in der Schüssel gelassen hat - ne wat bin ich wieder ekelig...

[zirri]

Hi Shrek,

ich meine der Betroffene muss davon auch unterrichtet werden.

Alles andere würde ich schlimm finden! :eek

Gruß Daniel

Nein muss er nicht......

sofern Du das unterschrieben hast.....

Warum schlimm ?

Du wirst auch fürs Arbeiten bezahlt, nicht fürs surfen etc.

[Ntl]

ich meine der Betroffene muss davon auch unterrichtet werden.

Alles andere würde ich schlimm finden! :eek

Da hat wohl jemand Angst :mod:

Gut, dass mein Ausbilder selbst mir die URL von dem Board gegeben hat...

[Beelzebub]

Ausserdem kann man mittels der Chipkarte ermitteln, wer den braunen Riesen in der Schüssel gelassen hat - ne wat bin ich wieder ekelig...

hehe dann kommt da ne mail:

herr sowieso bitte die bremstreifen auf toilette x1 entfernen :D

[Sariel]

Nein muss er nicht......

sofern Du das unterschrieben hast.....

Also wurde er darüber informiert, oder? *g*

Nicht mehr oder weniger wollte ich mit meinem Posting sagen. Ich sprach lediglich von "nicht informieren"!

Warum schlimm ?

Wenn keine Informationen über das überwachen gegeben werden würden / werden müssten - vertraglich oder anderweitig ... Dann würde ich das schlimm finden!

Du wirst auch fürs Arbeiten bezahlt, nicht fürs surfen etc.

Keine Frage.

Da hat wohl jemand Angst :mod:

Hm. Oben geschriebenes sollte meine Meinung nochmal verdeutlichen.

Gruß Vin

[timmi-bonn]

- Userbezogenes Logging implementiert

Nicht das Logging als solches ist problematisch - die Auswertung ist problematisch. Juristen unterscheiden da ganz klar.

gruss, timmi

[Kelnor]

Bei mir (öffentlicher Dienst) ist es so das ich am Anfang der Ausbildung unterschrieben habe den Internetzugang nur zu dienstlichen Zwecken nutze - woran ich mich auch brav halte. Ansonsten ist mir nichts über hier eingesetzte Sniffer oder Keylogger bekannt, die Emails bleiben natürlich auf den Exchange-Servern, selbst bei Löschung durch den User, 90 Tage einsehbar.

Man muss bei derartiegn Dingen auch immer bedenken das es ein ziemlicher Aufwand ist das Surfverhalten bzw. das allgemeine Verhalten eines Mitarbeiters am PC auszuwerten. Gerade Informatiker sind ja bei Recherchen auf den merkwürdigsten Seiten unterwegs, die teilweise für nicht eingeweihte sehr merkwürdige Namen haben (netzmafia). Auch gewisse Programme, gerade im OpenSource Bereich, können schnell mit einschlägigen Aktivitäten verwechselt werden (BitchX). Also müsste der Chef bei jeder Adresse erstmal nachfragen, sich die zeigen lassen, etc. etc.

Gleiches gilt für Keylogger. Die sich ansammelnden Datenmengen in Betrieben über 1000 Mitarbeiter dürften astronomisch sein.

[timmi-bonn]

Bei mir (...) ist es so das ich am Anfang der Ausbildung unterschrieben habe den Internetzugang nur zu dienstlichen Zwecken nutze

Falls ein Arbeitgeber sich diese Regelung vom AN unterschreiben lässt, dann ist er, der AG, gut beraten, auch zu kontrollieren, ob diese Regelung auch eingehalten wird. Tut er das über längere Zeit nicht, dann darf der AN das als billigende Duldung auffassen - es entsteht ein Gewohnheitsrecht des AN, welches die Verpflichtung durch die unterschriebene Erklärung aufhebt.

gruss, timmi

[mikado]

Gilt das analog auch für die Telefonanlage? Also ist eine nebenstellenbezogene Auswertung der Telefondaten inkl. Angabe der kompletten Nummern eingehender und ausgehender Gespräche auch verboten?

[Fedac]

Erstmal danke für die Infos...

Soweit ich das rausgefunden hab, waren einige Programms im Hintergrund am laufen (wenn man sowas schon macht, dann sollte man das auch richtig machen), die nich allerdings deinstalliert habe...mir ist es relativ latte wenn einer es interessant findet was und wo ich surfe...nicht mehr lustig ist es wenn (wie bei uns in der Schule sehr gerne gemacht) Passwörter etc. mitgelsen werden...ob das hier der Fall ist weiß ich noch nicht ganz...aber sollte sich das rausstellen muss ich wohl zum Chef...eigentlich will ich da keine große Sache draus machen (weiß wer den Krempel installiert hat)...ging mir nur drum in wieweit ich (sollte das jetzt überhand nehmen) mich wehren kann....

ach und bei uns ist surfen frei und unterschreiben musst ich auch nix.

Grüße

Fadec

[LittleS]

[quote=Aquano

Ausserdem kann man mittels der Chipkarte ermitteln, wer den braunen Riesen in der Schüssel gelassen hat - ne wat bin ich wieder ekelig...

[cane]

nicht mehr lustig ist es wenn (wie bei uns in der Schule sehr gerne gemacht) Passwörter etc. mitgelsen werden...ob das hier der Fall ist weiß ich noch nicht ganz

Naja - das Mitlesen der Passwörter ist bei uns @school unter den ITlern auch recht verbreitet. Allerdings sind diejenigen die ihre Passworte im Schulnetz über Klartextprotokolle versenden (Beliebt ist das Mitsniffen der Webmail-Passwörter) irgendwo selbst schuld - sollen sie sichere alternativen nutzen - jeder gute Webmailer bietet beispielsweise HTTPS und die wenigsten Mitschüler sind in der Lage HTTPS-Zertifikate so zu generieren das sie wenigstens etwas echt aussehen

Die MitM-Attacken erkennt man sowieso leicht - die meisten verwenden Sniffer die die karte in den Promiscous-Mode versetzen - kann man ja einfach feststellen.

Wer ganz paranoid ist kann sich ja auch die MAC des nächsten Routers notieren und diese bei jeder Nutzung händisch / per Script kontrollieren.

Was haben wir noch? Hmm, bei einigen Rechnern ohne Domänenanmeldung wird ab und zu die lokale SAM ausgelesen um dann per LM-Yryptanalysis alle Windows-Passwörter < 15 Zeichen zu cracken. Selbst schuld wer solche verwendet - die Unsicherheit von LM-Hashes sind ja Jahre bekannt...

Wer einen solchen verdacht hat das Mitschüler mitsniffen kann ja auch einfach den sysadmin informieren, einfacher, schneller und eher von erfolg gekrönt (sysadmins haben wenig Zeit) ist es den Schuldigen zu ermitteln und ihm eins auf die Zwölf zu geben

Fazit:

- Sichere Protokolle nutzen

- MAC des Routers kontrollieren

- Windows-Passwörter >= 15 Zeichen verwenden

Oder ganz einfach gar keine Passwörter / Accounts vom Schulnetz / areitsplatz aus nutzen

mfg

cane