Monitoring

Monitoring ist die kontinuierliche oder periodische Beobachtung eines Systems, einer Person, eines Netzwerks oder eines Prozesses. Es dient dazu, deren Zustand zu kennen und Veränderungen zu erkennen, sobald sie auftreten. In der Unternehmens-IT werden Daten erfasst, während Ereignisse ablaufen. So kann die Organisation reagieren, solange es darauf ankommt, statt alles nachträglich zu rekonstruieren.

Passive Protokollierung speichert Ereignisse in Dateien. Ein nachträgliches Audit prüft Aktivitäten im Nachhinein gegen einen Standard. Monitoring bedeutet dagegen aktive Beobachtung mit der Absicht, Auffälligkeiten zu erkennen und zu handeln.

Je nachdem, was beobachtet wird und warum, lässt sich Monitoring in mehrere anerkannte Arten gliedern. Die Grenzen sind fließend: Ein einzelner Endpoint-Agent kann gleichzeitig Sicherheits-, Mitarbeiter- und Asset-Monitoring speisen. In der Praxis zählen daher Umfang und Tiefe der Erfassung mehr als die Bezeichnung. Der mitarbeiterbezogene Teil dieser Liste wird unter Überwachung der Nutzeraktivität beschrieben.

Monitoring-Daten reichen von leicht bis tiefgehend. Am leichten Ende stehen Metadaten: welche Anwendung wie lange lief, welche Website kontaktiert wurde, wann sich eine Datei änderte. Tiefere Erfassung umfasst Inhalte wie Nachrichtentexte, Dokumentinhalte und Screenshots, in Hochsicherheitsumgebungen auch Audio- und Videoaufnahmen des Arbeitsplatzes. Je tiefer die Erfassung, desto nützlicher ist sie für Untersuchungen und desto schwerer lässt sie sich datenschutzrechtlich begründen. Das granularste Beispiel für dieses tiefe Ende ist die Überwachung von Tastatureingaben.

Typische Kategorien sind Authentifizierungsereignisse, Anwendungs- und Webaktivität, E-Mail-Verkehr, Dateivorgänge wie Kopieren, Drucken oder Übertragen auf Wechseldatenträger, Instant Messaging, Zwischenablage und Screenshots. Welche davon erfasst werden dürfen, wie lange und mit wessen Wissen, regeln Gesetz und interne Richtlinie.

Die genannten Gründe für Monitoring am Arbeitsplatz lassen sich auf fünf Ziele zurückführen. Das erste liegt am nächsten an der Erkennung interner Bedrohungen, wo Aktivitätszeitleisten zeigen, was vor einem Alarm geschah.

• Bedrohungserkennung: erkennt Malware, kompromittierte Konten und interne Aktivitäten
• Datenschutz: macht Datenabflüsse über E-Mail, Web und USB sichtbar
• Compliance und Nachweise: liefert einen Prüfpfad, wenn ein Vorfall untersucht oder gemeldet wird
• Produktivität und Ressourcen: zeigt, wie Arbeitszeit, Geräte und lizenzierte Software genutzt werden
• Vorfalluntersuchung: rekonstruiert, wer was wann und über welchen Kanal getan hat

Die Live-Ansicht stammt aus Anexet Activity: Ein Vorgesetzter sieht mehrere Arbeitsplätze gleichzeitig und kann von derselben Oberfläche aus eine Aufzeichnung starten. Die Verkehrsdiagramme gehören zur Netzwerk-Interception des Produkts, die auch Webverkehr-Monitoring abdeckt.

1 / 2

• 
• 

Monitoring ist der Punkt, an dem die Sicherheit einer Organisation auf das individuelle Recht auf Privatsphäre trifft. Jede Rechtsordnung löst diese Spannung anders. In der EU und ähnlichen Regelungen braucht Mitarbeitermonitoring eine Rechtsgrundlage, einen festgelegten Zweck, Verhältnismäßigkeit, Transparenz gegenüber den Betroffenen und Speicherbegrenzungen. Heimliches Monitoring ist in der Regel nur bei einem konkreten, dokumentierten Verdacht, für begrenzte Zeit und für einen begrenzten Personenkreis zulässig.

Die USA gehen von einer permissiveren Basis aus: Arbeitgeber haben weitreichende Rechte an Aktivitäten auf Firmensystemen. Landesgesetze zu Biometrie und zum Abfangen von Kommunikation setzen jedoch eigene Grenzen. Zwei Grundsätze gelten überall: das am wenigsten eingreifende Mittel wählen, das den Zweck erreicht, und Erwartungen vorab in einer Monitoring-Richtlinie festlegen, die Beschäftigte tatsächlich kennen.

Ein Monitoring-Programm, das rechtlicher und ethischer Prüfung standhält, folgt in jeder Rechtsordnung denselben Elementen.

1. 1

   Zweck dokumentieren

   Monitoring dient dazu, ein benanntes Risiko zu steuern, etwa Datenverlust, Betrug oder Systemausfall. Neugier ist kein Zweck.

2. 2

   Umfang verhältnismäßig halten

   Erfassungstiefe, überwachte Gruppe und Aufbewahrungsdauer entsprechen diesem Risiko. Die eingriffsintensivsten Techniken bleiben Untersuchungen mit konkretem Anlass vorbehalten.

3. 3

   Transparent sein

   Mitarbeiter wissen, dass Monitoring existiert, was es umfasst und wie sie ihre Rechte an den Daten ausüben können.

4. 4

   Monitoring-Daten schützen

   Aktivitätsaufzeichnungen gehören zu den sensibelsten Werten einer Organisation. Der Zugriff ist eingeschränkt und wird protokolliert.

Beginnen Sie mit dem Risiko, das das Monitoring beantworten soll, und wählen Sie dann die schlankste Erfassung, die dafür ausreicht. Ein schriftlicher Zweck, eine kurze Aufbewahrungsdauer und eine Richtlinie, die Beschäftigte gelesen haben, lassen sich leichter verteidigen als die vollständige Aufzeichnung jedes Bildschirms. Die Ergebnisse können anschließend als Compliance-Berichte zur Sicherheit an die Verantwortlichen für dieses Risiko weitergegeben werden.

Weiterlesen: SOC und Informationssicherheit.