End User Monitoring (EUM)

Im IT-Betrieb misst End User Monitoring (oft als End User Experience Monitoring, EUM oder EUEM bezeichnet), was ein Mensch von einer Anwendung tatsächlich bekommt: wie schnell eine Seite lädt, ob eine Transaktion scheitert, wie lange ein Laptop zum Reagieren braucht. Im Mittelpunkt steht das Nutzungserlebnis, und das Ziel ist, Verlangsamungen zu finden, bevor das Telefon des Helpdesks klingelt.

In Sicherheit und Management beschreiben dieselben Worte das Beobachten dessen, was der Mensch tut: welche Programme und Websites er nutzt, wann die Arbeit beginnt und endet, welche Dateien und Nachrichten bewegt werden. Das ist die Überwachung der Nutzeraktivität, und sie beantwortet eine andere Frage: nicht, ob das Werkzeug für den Menschen funktioniert, sondern was der Mensch damit tut.

Beide Bedeutungen beruhen auf einem Gedanken: Nur der Endpunkt zeigt das vollständige Bild, denn dort treffen Anwendungen, Netzwerk und Menschen aufeinander. Sie unterscheiden sich in dem, was sie aufbewahren. Ein Performance-Werkzeug kann die Identität verwerfen, sobald die Kennzahl berechnet ist, ein Aktivitätswerkzeug existiert gerade, um sie zu behalten. Die Überwachung von Anwendungen und Websites liegt an der Grenze, denn derselbe Datensatz zur Nutzungszeit je Anwendung dient beiden Zwecken.

Unabhängig vom Zweck verläuft die Erfassung ähnlich. Was sich ändert, sind der Erfassungspunkt und die Dauer, für die die Identität erhalten bleibt.

1. 1

   Die Frage festlegen

   Entscheiden, ob Erlebnis, Aktivität oder beides gemessen wird. Die Antwort bestimmt, was erfasst wird und wer es sehen darf.

2. 2

   Erfassungspunkte wählen

   Die Anwendung instrumentieren, einen Agenten auf dem Gerät installieren oder skriptgesteuerte Testtransaktionen von außen ausführen.

3. 3

   Ereignisse erfassen

   Je nach Zweck Seitenaufrufe, Fehler, Programmstarts, Fenstertitel sowie Datei- und Netzwerkvorgänge aufzeichnen.

4. 4

   Ereignisse in den Kontext stellen

   Jedes Ereignis einem Gerät, einer Sitzung und, soweit begründet, einer Person zuordnen, samt Zeit und Anwendung.

5. 5

   Auswerten und prüfen

   In Dashboards, Trends und Warnungen verdichten und Rohereignisse nur so lange aufbewahren, wie die Richtlinie es erlaubt.

Die beiden Einsatzzwecke verschwimmen leicht, deshalb hilft es, sie nach der Frage zu vergleichen, die jeder beantwortet. Viele Produkte vereinen beides, und Personalanalytik-Software ist der klarste Fall von Aktivitätsdaten, die zu Managementkennzahlen werden.

In Anexet Activity zeigt sich die Aktivitätsseite des End User Monitoring in Ansichten je Nutzer. Das Anwendungsdiagramm zeigt, welche Programme die meiste aktive Zeit beansprucht haben, und die Tageszeitleiste legt die Ereignisse Stunde für Stunde aus, sodass die prüfende Person sieht, wann etwas Ungewöhnliches geschah.

1 / 2

• 
• 

Das Monitoring des Erlebnisses selbst nutzt mehrere Methoden, die einander ergänzen. Real User Monitoring (RUM) misst echte Sitzungen im Browser oder in der App. Synthetisches Monitoring führt skriptgesteuerte Prüfungen nach Zeitplan aus. Ein Aktivitätsagent auf dem Gerät beobachtet, was die Person tut. Keine davon deckt alles ab:

Die meisten Misserfolge gehen auf dieselben Gewohnheiten zurück, gleichgültig, welche Bedeutung das Team im Kopf hat:

• Alles erfassen, weil der Agent es kann, etwa die Überwachung von Tastatureingaben aktivieren, obwohl Summen der Arbeitszeit die Frage beantworten würden
• Durchschnitte mit dem Erlebnis verwechseln: Ein schneller Median verbirgt die Minderheit mit schlechter Verbindung oder altem Laptop
• Menschen nach Aktivitätszahlen beurteilen, etwa nach Stunden in einer Anwendung, was den Anschein von Geschäftigkeit belohnt
• Identität und Rohereignisse länger aufbewahren, als der Zweck erfordert
• Die Einführung stillschweigend vornehmen, sodass Mitarbeitende davon durch Gerüchte erfahren

Monitoring-Daten werden von verschiedenen Personen aus verschiedenen Gründen gelesen, und der Zugriff sollte dem Grund folgen, nicht allein der Funktion.

Die Überwachung von Menschen ist reguliert. Das Datenschutzrecht, etwa die DSGVO in der EU, erwartet einen klaren Zweck, eine Rechtsgrundlage, Transparenz gegenüber den Beschäftigten und Verhältnismäßigkeit: erfasst wird, was der Zweck braucht, und nicht mehr. Das Arbeitsrecht kann eigene Pflichten hinzufügen, etwa die Information oder Anhörung der Arbeitnehmervertretung, und die Regeln unterscheiden sich von Land zu Land.

Ein tragfähiger Anfang ist klein. Die Frage aufschreiben, die am wenigsten eingreifende Methode wählen, die sie beantwortet, die Menschen über die Erfassung informieren und Einzelpersonen anlassbezogen nach einer Warnung ansehen statt standardmäßig. Wo Einzeldatensätze nötig sind, gehören sie zu Fällen des Insider-Risikomanagements, und jede automatisierte Bewertung einer Person gilt als Profiling, das eigenes rechtliches Gewicht hat.