Was erfasst wird
Ein Endpoint-Agent erfasst jedes Eingabeereignis zusammen mit Kontextmetadaten, sodass ein roher Zeichenstrom wieder in eine sinnvolle Reihenfolge gebracht werden kann. Die Erfassung von Tastatureingaben ist eine Datenart der Überwachung der Nutzeraktivität. Jedes erfasste Element umfasst:
- Tastatureingaben als Text: die eingegebenen Zeichen, einschließlich Buchstaben, Ziffern, Symbolen und Steuertasten wie Enter oder Tab. Zusammen rekonstruieren sie Wörter, Suchanfragen und Nachrichten.
- Anwendungskontext: das Programm oder das Browserfenster, in dem die Tasten gedrückt wurden. Er zeigt, wo die Eingabe stattfand.
- Zeitstempel: Datum und Uhrzeit jedes Tastendrucks, damit sich die Eingaben mit anderen Aktivitäten abgleichen lassen, etwa Anmeldung, Dateiübertragung oder Alarm.
- Umfang der Erfassung: je nach Richtlinie alle Nutzer laufend, nur markierte Konten oder nur ausgewählte Anwendungen. Diese Wahl bestimmt die Eingriffstiefe am stärksten.
Wo die Erfassung aktiviert wird
Die Erfassung ist eine Einstellung des Agentenprofils. Sie steht neben den PC-Aktivitätsstatistiken und der Zwischenablagekontrolle, sodass ihr Umfang der Überwachungsrichtlinie folgt. Die Konsole unten zeigt den Schalter für die Keylogger-Nutzung im gewählten Profil.
Wie Organisationen die Daten nutzen
Der Nutzen entsteht durch Suche und Korrelation der Tastatureingaben mit anderen Aktivitätsdaten. Typische Einsätze:
- Untersuchungen bei Insidern: Rekonstruktion dessen, wonach ein mutmaßlicher Datenabfluss gesucht oder was er in einem Chat geschrieben hat, im geprüften Zeitraum, im Rahmen der Erkennung von Insider-Bedrohungen.
- Betrugs- und Prozessprüfungen: Nachweis, was die bearbeitende Person in einer Buchung oder einem Kundendatensatz eingegeben hat, wenn deren Richtigkeit bezweifelt wird.
- Reaktion auf Vorfälle: Wiederherstellung von Nachrichten oder Befehlen, die in Anwendungen ohne eigenes serverseitiges Protokoll eingegeben wurden.
- Produktivitätsanalyse: Anzahl der Anschläge als Näherungswert für aktive Arbeitszeit. Das ist ein umstrittener Einsatz, den viele Organisationen meiden.
Überwachung von Tastatureingaben vs. Keylogger
Ein Keylogger ist technisch derselbe Mechanismus: Software oder Hardware, die Tastenanschläge registriert. Der Unterschied liegt darin, wer sie einsetzt und unter welchen Bedingungen. Sicherheitsberichte behandeln Keylogging als von Natur aus kriminell, doch dieselbe Erfassung kann am Arbeitsplatz eine rechtmäßige Kontrolle sein. Entscheidend sind Hinweis, Zweck und Verhältnismäßigkeit, nicht die Technik.
| Merkmal | Betriebliche Überwachung | Schädlicher Keylogger |
|---|---|---|
| In einer schriftlichen Richtlinie offengelegt | ||
| Vom Arbeitgeber auf Firmengeräten betrieben | ||
| Heimlich installiert, ohne Wissen des Nutzers | ||
| Durch Gesetz und angegebenen Zweck begrenzt |
Passwörter und sensible Eingaben
Tastaturen erfassen einige der sensibelsten Daten eines Unternehmens: Passwörter, Einmalcodes, persönliche Nachrichten sowie Gesundheits- oder Finanzangaben in Webformularen. Die laufende Erfassung zeichnet zwangsläufig einen Teil davon auf, deshalb ist ihr Umgang die zentrale Datenschutzfrage. Übliche Schutzmaßnahmen:
- Maskierung oder Ausschluss: Passwortfelder und festgelegte Anwendungen werden von der Erfassung ausgenommen, oder ihre Eingaben werden maskiert statt im Klartext gespeichert.
- Zweckbindung: erfasste Zugangsdaten werden nur für festgelegte Untersuchungen genutzt, nicht für allgemeines Durchsuchen der Protokolle.
- Zugriffskontrolle: Datensätze sind nur für namentlich benannte Ermittlungsrollen lesbar, und jeder Zugriff wird protokolliert.
- Aufbewahrungsgrenzen: Datensätze werden nach einem festgelegten, in der Überwachungsrichtlinie genannten Zeitraum automatisch gelöscht.
Rechtlicher Rahmen nach Rechtsraum
Die Antwort unterscheidet sich je nach Rechtsraum deutlich, das Muster ist aber allgemein. Arbeitgeber stehen auf Firmengeräten mit Hinweis und festgelegten Zwecken am stärksten da. Am schwächsten sind sie, wenn die Erfassung verdeckt oder flächendeckend ist oder private Kommunikation erfasst.
| Rechtsraum | Allgemeiner Ansatz | Zusätzliche Bedingung |
|---|---|---|
| Vereinigte Staaten | Auf Geräten des Arbeitgebers weitgehend zulässig | Mehrere Bundesstaaten verlangen schriftlichen Hinweis |
| Europäische Union | DSGVO: Rechtsgrundlage, Zweckbindung, Verhältnismäßigkeit | Flächendeckende Erfassung gilt als unverhältnismäßig |
| Deutschland oder Niederlande | Die DSGVO gilt uneingeschränkt | Zusätzlich ist eine Betriebsvereinbarung erforderlich |
| Vereinigtes Königreich | Möglich nach UK GDPR | Dokumentiertes berechtigtes Interesse und Folgenabschätzung |
| Brasilien, Kanada, Australien | Ähnliche Logik wie in den genannten Modellen (in Brasilien gilt die LGPD) | Die Einwilligung der Beschäftigten ist nur eingeschränkt freiwillig |
Vor der Aktivierung der Erfassung
Die meisten Streitfälle beginnen mit einem fehlenden Schritt, nicht mit der Technik. Klären Sie diese Punkte schriftlich, bevor der erste Agent aufzeichnet:
- 1
Zweck festlegen
Benennen Sie die Untersuchung oder Kontrolle, der die Erfassung dient. Erfassung um ihrer selbst willen lässt sich am schwersten rechtfertigen.
- 2
Umfang begrenzen
Legen Sie Nutzer, Anwendungen und Geräte fest, die erfasst werden. Schließen Sie Passwortfelder und private Kommunikation aus, soweit die Richtlinie es erlaubt.
- 3
Schriftlich informieren
Beschreiben Sie die Erfassung in der Überwachungsrichtlinie und beteiligen Sie den Betriebsrat oder ein vergleichbares Gremium, wo das Gesetz es verlangt.
- 4
Aufbewahrung und Zugriff regeln
Legen Sie fest, wie lange Datensätze aufbewahrt werden, welche Ermittlungsrollen sie lesen dürfen und wie jeder Zugriff protokolliert wird.
Wo Sie anfangen sollten
Beginnen Sie bei den Daten, deren Abfluss den größten Schaden anrichten würde, und bei den Geräten, auf denen sie tatsächlich verarbeitet werden. Eine eng begrenzte, offengelegte und kurzlebige Erfassung lässt sich Beschäftigten und Prüfern leichter erklären.
Weiterlesen: Profiling.
Tastatureingaben zeigen, was getippt wurde. Die Richtlinie entscheidet, ob es jemand lesen darf.
Anexet TeamWie Anexet das löst
Das Modul Activity von Anexet umfasst die Erfassung von Tastatureingaben als konfigurierbaren Teil der Überwachung der Nutzeraktivität. Endpoint-Agenten erfassen gedrückte Tasten zusammen mit dem Anwendungsnamen und dem Zeitpunkt jedes Tastendrucks, und die Datensätze stehen in der Sicherheitskonsole bereit:
Tastatureingaben gehören zu den sensibelsten Daten, die eine Organisation speichern kann. Die On-Premise-Architektur hält erfasste Eingaben in der Infrastruktur der Organisation, und jedes Ereignis wird in einem vollständigen, zurechenbaren Prüfpfad festgehalten.
Was erfasst wird
Jeder Tastendruck wird mit der Anwendung, in der er eingegeben wurde, und seinem Zeitstempel protokolliert. Eingaben lassen sich je Nutzer, Anwendung und Zeitfenster rekonstruieren.
Kennzeichnung von Passwortfeldern
Datensätze werden markiert, wenn die Eingabe in einem Passwortfeld erfolgte. Anmeldedaten finden sich über eine eigene Suchbedingung, statt Protokolle Zeile für Zeile zu lesen.
Durchsuchbar zusammen mit den übrigen Aktivitätsdaten
Tastaturdatensätze sind zusammen mit Anwendungs-, Zwischenablage-, Screenshot- und abgefangenen Übertragungsdaten durchsuchbar, sodass Eingaben im Kontext gelesen werden.
Prüfpfad
Jedes erfasste Ereignis trägt Metadaten zu Nutzer, Zeitpunkt und Anwendung. Das unterstützt Untersuchungen und die Aufbewahrungsrichtlinie.
Keylogger-Funktion
Mehr erfahren