CCTV

Das entscheidende Wort ist geschlossen. Das Signal läuft von den Kameras zu einem begrenzten Kreis von Empfängern, etwa einem Rekorder, einem Sicherheitsraum oder einem Überwachungsdienst, und wird nie öffentlich ausgestrahlt. Eine typische Installation kombiniert mehrere Komponenten:

CCTV begann als Erweiterung des Wachrundgangs: eine Möglichkeit, Orte zu beobachten, an denen niemand dauerhaft stehen kann. Es beobachtet Ein- und Ausgänge, Geländegrenzen, Laderampen, Kassen, Serverräume und andere Punkte, an denen das Risiko Einbruch, Diebstahl, Vandalismus oder Unfall ist. Gegenstand der Beobachtung ist ein Ereignis, etwa eine nachts aufgebrochene Tür, eine unbeaufsichtigte Tasche oder ein Gabelstaplerunfall. Die Personen im Bild sind vor allem Zeugen oder Beteiligte dieses Ereignisses.

So eingesetzt sind Kameras kaum umstritten und weitgehend erwartet. Einzelhandel, Banken, Verkehr und Industrie setzen auf sie, Versicherer verlangen sie oft, und Aufnahmen stützen regelmäßig Polizeiberichte und Versicherungsfälle.

Dieselben Kameras, auf Arbeitsplätze, Produktionslinien oder Verkaufstheken gerichtet und den größten Teil des Arbeitstags in Betrieb, hören auf, physische Sicherheit zu sein, und werden zur Überwachung des Verhaltens von Beschäftigten. Entscheidend sind Zweck und Verhältnismäßigkeit, nicht die Technik. Eine Kamera an einer Tür erfasst vorbeigehende Menschen. Eine Kamera über einem Schreibtisch erfasst eine Person ständig, einschließlich Bewegungen, Interaktionen und Pausen. Die meisten Rechtsordnungen behandeln den zweiten Fall deutlich strenger, und mehrere verlangen vor der Einführung die Anhörung der Arbeitnehmervertretung.

In dieser Rolle dienen dieselben Kameras dazu:

• Produktivitätsbeobachtung: ob Personal auf seinem Platz ist, Arbeitstempo und Länge der Pausen.
• Betrugs- und Schwundkontrolle: Verkaufsflächen, Lager und Kassenpunkte werden auf Verluste überwacht.
• Einhaltung von Sicherheitsvorgaben: vorgeschriebene Schutzausrüstung, verbotene Zonen und Verfahrenstreue.
• Unterstützung von Untersuchungen: Prüfung, was nach einer Meldung an einem bestimmten Ort und zu einer bestimmten Zeit geschah.

Die Überwachung am Arbeitsplatz hat zwei Ebenen. Sie werden oft verwechselt, weil sie denselben Zielen dienen: Sicherheit, Ordnung und Erkennung von Insiderrisiken. Doch sie beobachten Unterschiedliches und unterliegen unterschiedlichen Regeln:

Eine Kamera kann keinen Bildschirm lesen, und ein Aktivitätsprotokoll sieht keinen Besucher, der einen Monitor filmt. Deshalb werden bei Untersuchungen von physischem Datendiebstahl meist beide Ebenen zusammen betrachtet. Die rechtliche Seite von Kameras am Arbeitsplatz wird in Europa von einem Rahmenwerk bestimmt. Nach der DSGVO sind Aufnahmen, auf denen eine Person erkennbar ist, personenbezogene Daten, und ein Kamerasystem stellt deren Verarbeitung dar.

Die Verordnung prägt jeden Teil einer Installation:

1. 1

   Rechtsgrundlage

   Das berechtigte Interesse am Schutz von Eigentum und Personen ist die übliche Grundlage. Die Einwilligung von Beschäftigten ist wegen des Machtgefälles selten gültig.

2. 2

   Folgenabschätzung

   Die systematische Überwachung von Bereichen, die Menschen durchqueren, erfordert in der Regel vor der Installation eine Datenschutz-Folgenabschätzung.

3. 3

   Transparenz

   Klare Beschilderung an Eingängen und in überwachten Bereichen nennt, wer die Kameras betreibt und warum. Verdeckte Aufzeichnung ist die Ausnahme.

4. 4

   Minimierung und Zweckbindung

   Kameras richten sich auf Räume, nicht auf Einzelpersonen. Zu Sicherheitszwecken erhobenes Material darf nicht für allgemeine Leistungskontrollen verwendet werden.

5. 5

   Aufbewahrung

   Speicherfristen bleiben kurz, meist wenige Tage bis etwa einen Monat. Längere Aufbewahrung gilt nur für Material, das mit einem erfassten Vorfall verknüpft ist.

Anexet kann eine Sitzung am Arbeitsplatz mit Bildschirmaufzeichnung wiedergeben, mit Mikrofon- und Lautsprecherspuren auf einer gemeinsamen Zeitachse. Erfasst wird der Computer und nicht der Raum, daher deckt sie ab, was eine Kamera nicht lesen kann: den Bildschirm und den Ton am Gerät.

Wird Material in einer internen Untersuchung, einem Disziplinarverfahren oder einem Streit verwendet, hängt sein Gewicht von drei Dingen ab: der Rechtmäßigkeit der Erhebung, der Integrität der Aufzeichnung und der Genauigkeit der Extraktion. Material, das unter Verstoß gegen Datenschutzregeln gewonnen wurde, kann von der Verwendung ausgeschlossen sein oder wenig Gewicht haben, unabhängig davon, was es zeigt. Integrität heißt, dass nachweisbar ist, dass die Datei unverändert ist: Originalformat, Zeitstempel, ein Hash oder Wasserzeichen, sofern das System sie bereitstellt, und eine dokumentierte Beweiskette für den exportierten Ausschnitt. Genauigkeit heißt, dass der Ausschnitt einer bestimmten Kamera, Uhrzeit und einem Ort zugeordnet ist und im Zusammenhang geprüft wird, nicht als isolierte Einzelbilder.

Damit ist der Überwachungsraum ebenso wichtig wie die Kameras: eingeschränkter Zugriff auf Live-Ansichten und Archive, ein Protokoll darüber, wer was angesehen und exportiert hat, und ein Exportverfahren, das das Original bewahrt. All das entscheidet, ob eine Aufzeichnung eine Entscheidung tragen kann.

Beginnen Sie bei den Orten, an denen ein Verlust am meisten schaden würde, und legen Sie dann fest, wer das Material sehen darf und wie lange es aufbewahrt wird. Zugriffsregeln wiegen meist schwerer als die Anzahl der Kameras.

Kameras und Erkennung von Insider-Bedrohungen beantworten dieselbe Frage von zwei Seiten, deshalb sollten ihre Regeln gemeinsam formuliert werden.

Weiterlesen: Informationssicherheit im Büro.