Surfbar sperren für MA

[Sebastian2003]

Hallo Leute,

in unserem Institut gibt es leider eine gewisse Person die während der Arbeitszeit gewisse Surfbar Utilities nutzt. Da dies u.a. aus sicherheitstechnischen Gründen bedenklich ist, würden wir dies gerne unterbinden.
Generell hat jeder Nutzer volle Administrationsrechte ( ... ), daher ist eine Sperrung der Administrationsrechte eher die letzte Alternative.
Als DHCP/NAT nutzen wir eine Endian Variante. Leider kennen wir uns wenig aus mit solchen Surfbar Programmen, daher die generelle Frage: Wie sperrt man im einfachsten Fall den Zugang zu solch einer Surfbar? Werden hier bestimmte Ports genutzt oder läuft das Ganze generell über Port 80? Gibt es eine vorgefertigte Blacklist für Surfbars? Wenn ja, wo? Wenn nein, könnte man auch gewisse Seiten sperren, allerdings welche Seiten sollte man sperren?

Vielen Dank

 

[Baya]

Wie wäre es den Mitarbeiter darauf hinzuweisen?

 

[Leon_FR]

Sperr halt die Seiten über die HOST Datei ....

Unsere Azubis haben es bis heute nicht gecheckt ;- )

 

[Kyze]

Wenn er Adminrechte hat, dann werdet ihr ihn auf Softwareebene wenig einschränken können.

Ein bestimmtes Gespräche und bei weiterem Verstoß eine Abmahnung sind hier eher zielführend.

 

[damn80]

Wie wäre es den Mitarbeiter darauf hinzuweisen?

zu einfach!!?
es soll leider menschen geben (erlebe es tagtäglich bei mir auf der arbeit) die interessiert es nicht was man ihnen sagt was sie tun dürfen und was nicht, es gilt für sie einfach nicht, meinen sie.

 

[Baya]

Dann folgen halt arbeitsrechtliche Konsequenzen. Das verstehen die meisten.

 

[rsfb]

Adminrechte entziehen - Alternativ offiziell verbieten und dann Abmahnen.

Der Computer ist ein gestelltes Arbeitsmittel und ist auch als Arbeitsmittel zu benutzen.

Nur weil ich eine Tischkreissäge zum Brot schneiden benutzen kann, darf ich es als Mitarbeiter nicht. Im Normalfall beinhalten Arbeitsverträge auch einen Passus, dass mit den bereitgestellten Arbeitsmitteln sorgsam umgegangen werden muss und den Einweisungen und Vorschriften entsprechend zu benutzen sind.

Ignoranz im Bezug auf IT Belehrungen und Anordnungen erlebe ich auch oft genug. Wenn es nicht auf die freundliche Art geht, dann per Anordnung und Androhung der Abmahnung durch die Vorgesetzten.

@Topic:

Jeder Anwender hat Adminrechte, dann aber über Sicherheitsbedenken einer Surfbar Gedanken machen? Das ist meines Erachtens nur die Ausprägung die bekämpft wird, nicht die Ursache.

 

[Darklordx]

Am besten jemanden von der IT mit einem Mitarbeiter der Personalabteilung und ggf. Betriebsrat dort aufschlagen, unter Zeugen den PC zeigen lassen und wenn die Toolbars vorhanden sind, darauf hinweisen, dass wegen Datenschutz diese Toolbars nicht erlaubt sind und diese jetzt zu deinstallieren sind und wenn die noch mal installiert werden, personalrechtliche Maßnahmen folgen.

Der Mitarbeiter von der Personalabteilung setzt für die Akte ein Gesprächsprotokoll auf, dass von allen Anwesenden unterzeichnet wird und dann zur Personalakte genommen wird.

Tauchen die Toolbars wieder auf ==> Abmahnung, in der die Installation der Toolbars ausdrücklich verboten werden, mit Androhung einer fristlosen Kündigung bei erneuert Installation der Toolbars.

Alles andere hat keinen Zweck, solange die betreffenden Person als Administrator unterwegs ist. Warum ist das überhaupt so?

 

[EvilKnivel1]

Hier gibt es schon geschrieben mehrere Möglichkeiten:

1. Verbieten und bei nicht Beachtung abmahnen
2. Verbieten und bei nicht Beachtung die Adminrechte entziehen
3. Falls es möglich ist bieten Firewalls heute auch die Möglichkeit der Softwareerkennung und man kann die Software über die Firewalls sperren.

 

[NIGHTFIL]

Eure Vorschläge "Redet doch einfach mit ihm, wenn er es wiederholt, gibt es eine Abmahnung" können aber schnell nach hinten losgehen.
1. Kann man es nachweisen das er es war?
2. Viel wichtiger: Wie hast du es herausgefunden dass es er war? Stichwort Mitarbeiterüberwachung! Hoffentlich hast du einen legalen weg gefunden um ihn zu überführen, ansonsten habt ihr schneller eine Anzeige (Beschäftigtendatenschutz) am Hals bevor Ihr das Wort Abmahnung überhaupt aussprechen könnt.

 

[supastar]

@ NIGHTFIL:

Mit ihm reden hat noch nie geschadet.
Wenn er es nicht macht, braucht man ja nicht abmahnen.
Sondern dann schränkt man halt einfach die Rechte ein und entzieht die Admin-Rechte, das ist in jedem Fall erlaubt.

Ansonsten kann man einzelne Seiten natürlich auch blacklisten (in der Firewall bzw. UTM-Appliance mit Content Filter).


Wobei ich nicht sicher weiß, ob mit einer "Surfbar" eine Browser-Werkzeugleiste gemeint ist...

 

[Hito]

Die Adminrechte entziehen und die unerwünschte Software deinstallieren. Alleine schon aus Sicherheitsgründen um den Rest des Netztwerks nicht zu kompromittieren, sollten Adminrechte auch wirklich nur an Admins verteilt werden.

 

[Sebastian2003]

Genau es liegt darin begründet, dass man diesem Mitarbeiter es nicht nachweisen kann. Reden bringt leider hier auch herzlich wenig in Bezug auf IT, da jeder meint er müsste seine IT so einrichten und so benutzen wie es ihm gefällt. Was wir hier schon alles hatten ( Institut-> Uni-> Akademisierungsgrad = 95% ) ist oft einfach nur noch zu Belächeln. Es gibt sogar Leute, die nutzen irgendwelche Warez auf ihren Arbeitsrechnern, wo wir aber sowieso schon eine Lizenz besitzen... et cetera.

Unser Vorhaben war eigentlich dieser, dass wir diesem Mitarbeiter den Zugang verwehren, wenn dann von diesem Mitarbeiter kommt, dass er Probleme mit dem Zugang hat, haben wir einen hinreichenden Verdacht, dass diese Programme auch genutzt werden und nicht "beiläufig" installiert worden sind.

Nun brauchen wir natürlich Mittel um dies erstmal zu unterbinden!
Mit Surfbar sind diese Art von Utilities gemeint, die wohl durch "Klicks" auf Werbung Geld generieren und hierbei dies durch Automatismen geschieht. ( siehe: http://verdiensteonline.de.tl/Erkl.ae.rungen.htm Punkt 4) )

Da es sich wahrscheinlich um explizit dieses Programm ( Paradiesbar ) handelt, würde ich erstmal vorschlagen dies zu blocken.
Nur was genau muss ich hier Blocken? :-)

 

[supastar]

Wie krank muss man eigentlich sein, sich freiwillig sinnlose Werbung auf einem Arbeitsrechner anzutun?
Da scheint die eigene Arbeit ja nicht wirklich wichtig zu sein, wenn man sich nebenbei von Werbung ablenken lassen möchte.

Einen Nebenjob während der Arbeitszeit zu machen, dürfte eine sofortige Kündigung ermöglichen...


Was genau zu blocken ist, kann man wohl nur durch eine Aufzeichnung des Netzwerktraffics herausfinden.

 

[Theo Rehtisch]

Vorausgesetzt, daß es sich um eine Domänen-Struktur handelt & daß jeder Mitarbeiter seinen eigenen, persönlichen Account hat (muss wohl so sein, sonst würde der Plan "dass wir diesem Mitarbeiter den Zugang verwehren" für mich wenig Sinn ergeben), sollte sich doch wohl herausfinden lassen, welcher User die fragliche Installation vorgenommen hat.

 

[Sebastian2003]

Nein eben es liegt keine Domänverwaltung vor. Ich dachte dass man dies evtl. über die Firewall sperren kann. Dies kann man aber wohl nur wenn auch ein Http proxy verwendet wird?!

 

[Raijin]

Grundsätzlich sollte es so sein, dass "nicht erwünschte Software" auch in den Arbeitsrichtlinien der Firma festgelegt ist. Dort sind Dinge wie Kernarbeitszeit, Reiserichtlinien (Mietwagen, Hotels, Abrechnung, etc) vorgeschrieben. Ferner ist dort definiert, dass die Arbeitsgeräte, darunter fallen Laptops, PCs, Handys, etc., dem Arbeitnehmer nur zur beruflichen Nutzung zur Verfügung gestellt werden. Das heißt, dass keinerlei ungenehmigte Veränderungen vorgenommen werden dürfen und auch nur explizit freigegebene Software zum Einsatz kommen darf.

Punkt aus.

Der Nachweis beim Arbeitnehmer ist dabei gar nicht so schwierig und illegal wie viele hier denken. Schließlich gehört der PC nach wie vor dem Arbeitgeber und der darf diesen auch auf ordnungsgemäßen Zustand überprüfen.

Bei uns in der Firma (Maschinenbau) gibt es ganz strikte Vorgaben welche Software verwendet werden darf. Zwar gibt es keine Kontrollen, aber es kann mächtig Ärger geben, wenn man dem zuwiderhandelt. Das kann in der Tat bis zur Abmahnung führen. Deswegen habe ich, als Software Ingenieur eine Ausnahmeregelung in obige Richtlinien aufnehmen lassen, weil ich nun mal häufig mit kleinen Tools und Progrämmchen arbeiten muss, die über Word, Excel, Outlook/Lotus hinausgehen. Ja, ich benutze zum Beispiel kein Windows Notepad zum Bearbeiten von Text- bzw. INI-Dateien ^^


Eine technische Lösung ist bei solch einer Thematik nicht so trivial. Wenn man fragen muss wie man das unterbindet, dann wird man es mit ziemlicher Sicherheit nicht können, Forum hin oder her. Ich kann daher nur dringendst dazu raten, den Arbeitnehmer deutlich darauf aufmerksam zu machen, dass er grob fahrlässig handelt und wiederholt gegen Firmenbestimmungen verstößt. Darauf pfeifen kann er zwar, aber der nächste Schritt ist dann unausweichlich und ob er dann noch "pfeifend vom Hof geleitet wird" ist die Frage..


Nur mal so: In meiner alten Firma ging das soweit, dass der normale User nicht mal die Desktopicons verschieben konnte. Adminrechte haben in solchen Händen nun mal nichts zu suchen. Ob das nu bis hin zu den Icons auf dem Desktop gehen muss, sei mal dahingestellt, aber abgesehen von Technikern im weitesten Sinne des Wortes (IT, Etechnik, etc), braucht kein normaler Arbeitnehmer Adminrechte.


Im Zweifelsfalle kann vielleicht auch ein Anruf, eine eMail beim Softwareanbieter hilfreich sein. Wenn man denen das Problem darlegt, können Sie vielleicht einen Hinweis geben, dies zu unterbinden. Da wäre zB die Kontaktaufnahme zu einem Herstellerserver, die man blocken könnte. Bei der Traffic-Analyse ist das bisher vielleicht unter den Tisch gefallen.

 

[phreeze]

Wie krank muss man eigentlich sein, sich freiwillig sinnlose Werbung auf einem Arbeitsrechner anzutun?
Da scheint die eigene Arbeit ja nicht wirklich wichtig zu sein, wenn man sich nebenbei von Werbung ablenken lassen möchte.

Einen Nebenjob während der Arbeitszeit zu machen, dürfte eine sofortige Kündigung ermöglichen...


Was genau zu blocken ist, kann man wohl nur durch eine Aufzeichnung des Netzwerktraffics herausfinden.

genau das.
Wenn du Chef bist, hast du anscheinend kein Durchsetzungsvermögen, dann musst du halt das Gesetz rauskramen und ihne darauf hinweisen, dass es demnächst ein grösseres Gespräch gibt....vor die Tür setzen wär ma was...

 

[Raijin]

Problematisch wird es dann, wenn sogar die Sicherheit der Unternehmensdaten gefährdet ist - beispielsweise durch Viren. Wenn die Mitarbeiter sogar Warez einsetzen, dann sind sie auch auf entsprechenden Seiten unterwegs, die gerne mal .. .. kleine Mitbringsel auf den Weg geben..

Darüberhinaus können diese Warez im übrigen massive Schadensersatzforderungen der Herstellerfirma nach sich ziehen. Selbst wenn Lizenzen vorhanden sind, sind diese womöglich für eine bestimmte Version (zB "Standard") und im Netz findet man eine gecrackte "Pro". Das darf man nicht unterschätzen! Wir haben bei uns in der Firma vor kurzem eine Aufräumaktion starten müssen, weil über die Jahre hinweg alte Lizenzen nicht mit Upgrades versorgt wurden und am Ende nur eine Lizenz mehrfach kopiert wurde. Wir haben am Ende einen deutlich 4-stelligen Betrag ausgeben müssen, um das alles wieder glatt zu ziehen. Solche Lizenzen kosten nicht wie private Lizenzen nur mal 100 €, sondern meine Entwicklulngsumgebung zB schlanke 7000€ Ein-Mann-Lizenz.

Ich kann nur dringend dazu raten, das Problem rechtzeitig anzugehen. Sollte irgendwann mal ein angepisster Ex-Mitarbeiter (wie zB der notorische Dingsbar-Nutzer nach der 3. Abmahnung) da eine kurze Mail an den Hersteller geben, habt ihr plötzlich ne Dicke Klage am Hals....

 

[Sebastian2003]

Ich sag mal so, wir stehen unter dem Schutz einer öffentlichen Einrichtung... Das Ganze ist eigentlich auch nicht mein Fachbereich, sondern mache das Nebenher in unterstützender Funktion. Wir werden da schon eine Lösung finden :-) Danke dennoch für die zahlreichen Antworten!