"Überwachen" des Internettraffics durch die Firewall - Datenschutz?

[Sithys]

Hallo zusammen,
wir haben uns vor kurzem für ein Produkt von Sophos entschieden und nun eine XG 135 im Einsatz. Zusätzlich dazu ist auf den 15 Clients jetzt Intercept X (Antivirus, Sicheres surfen im Netz etc.) installiert.

Nun kommt der erste Mitarbeiter und meint, dass das ein Eingriff ins Datenschutzrecht wäre, wenn der Antivirus-Client jetzt den Internetverkehr überwacht quasi und Seiten, die was mit Pornografie oder sonstigem zu tun haben, sperrt.

Jetzt habe ich mal im Internet gegoogelt, aber absolut nichts zu dem Thema gefunden, obwohl das ganze ja immer wieder groß aufgebauscht wird von den Medien. Vermutlich hab ich die falschen Schlagworte benutzt, aber eventuell hat ja noch mal jemand etwas Input für mich zu dem Bereich.

Natürlich kann ich in der Sophos sehen, wenn etwas blockiert wurde auf dem PC. Ich wüsste aber nicht, wo ich jetzt jede besuchte Seite des Users auswerten könnte und glaube, das geht auch gar nicht. Ich sehe nur "User X wollte eine Seite (www.blbla.tld) aufrufen, die etwas mit Pornografie zu tun hatte, dies wurde gesperrt.)

 

[Fard Dwalling]

Ich geh mal davon aus, dass ihr das in der Firma nutzt? Dann habt ihr doch bestimmt entsprechende Datenschutzrichtlinien für die Benutzer. In unseren stehen entsprechende Absätze drin.
Aber an sich ein Thema für einen Datenschutzbeauftragten oder Betriebsrat.

 

[MainframeX]

Pronoseiten muss man nicht blockieren, tendenziell wird da weniger Schadcode verteilt als auf irgendwelchen Hobby-Blogs
Wichtig bei dieser Frage ist: Gibt es eine Vereinbarung über die private Nutzung des Internetzugangs? Also ist es per Vereinbarung den Mitarbeitern erlaubt privat zu surfen? Falls ja gibt es deutlich mehr Vorgaben, die zu beachten sind.

 

[Fard Dwalling]

Hier ist das ganz erklärt:
https://www.datenschutz-wiki.de/Protokollierung_des_Internet-Zugangs_am_Arbeitsplatz

Auch die weiterführenden Links beachten.

 

[Falc410]

Es kommt darauf an ob ihr die private Nutzung des Internets am Arbeitsplatz erlaubt bzw. duldet. Es gibt aber Firmen dort ist es ausdrücklich verboten und den Mitarbeitern wird das auch im Arbeitsvertrag so mitgeteilt, dass der Traffic ausgewertet und analysiert wird.

Generell aber ein heikles Thema bei dem man auf jeden Fall den Datenschutzbeauftragten zur Rate ziehen sollte. Bevor so ein Sophos installiert und eingesetzt wird habt ihr ja sicher auch eine Datenschutzerklärung, Sicherheitsrichtlinie, Betriebskonzept oder ähnliches entwickelt.

 

[DiedMatrix]

Soweit ich weiß kann man sowas auch mit dem Interesse des Firmenschutzes (vor Bedrohungen) begründen, oder?

 

[UweP44]

zB einfach die private Nutzung des Internets auf Firmengeräten untersagen.

Dazu in der Firma eine Richtlinie erstellen, was die "berufliche" Nutzung des Internets am Arbeitsplatz angeht und darin festlegen, dass die Firma das Recht hat alles zu sperren was nicht im "Betrieblichen Interesse" liegt. Dazu dürften bei den meisten Firmen auch sämtliche Pornoseiten, P2P usw. zählen.

Wenn jemand eine bestimmte Webseite aus betrieblichen Interesse aufrufen will und sie gesperrt ist, dann kann er das betriebliche Interesse nachweisen und die Webseite freischalten lassen.

Für eine private Nutzung des Internets könnte man ja zusätzlich einen Hotspot einrichten an dem die Mitarbeiter mit ihren privaten Geräten (Handy usw.) in den Pausen auf ein ungefiltertes Internet zugreifen können.

 

[Benzer]

Also je nach Branche sind Pornoseiten keine private Nutzung.... generell geht es darum was zwischen Arbeitgeber und Mitarbeiter (bzw. Mitarbeitervertretung oder Betriebsrat) vereinbart wurde. Außerdem darf eine Überwachung nicht einfach so eingeführt werden ohne das Mitarbeiter (bzw. Mitarbeitervertretung oder Betriebsrat) darüber informiert wurden und Mitarbeitervertretung oder Betriebsrat dem zugestimmt haben.

 

[Raijin]

Das Blockieren von bestimmten Internetseiten und die Protokollierung der Nutzeraktivitäten sind zwei Paar Schuhe.

Ersteres hat mit Datenschutz rein gar nichts zu tun, da der Anschlussinhaber durchaus bestimmen kann in welchem Rahmen die von ihm zur Verfügung gestellte Internetverbindung genutzt werden darf - quasi die AGBs. Beim Blockieren wird von der schlicht und ergreifend gesagt: "Das ist verboten".

Letzteres wiederum steht auf einem anderen Blatt. Wenn die Firewall aufzeichnet welcher Mitarbeiter wann was wie lange angesurft hat, fällt das definitiv in den Bereich des Datenschutzes. Dabei ist es unerheblich ob etwas geblockt wurde oder nicht.

Wie dem auch sei, Datenschutz ist ein heikles Thema und du solltest dich nicht zu sehr auf Aussagen von anonymen Nutzern in einem beliebigen Forum verlassen - das schließt mich natürlich mit ein. Um auf der sicheren Seite zu sein, empfehle ich dir, dich rechtlich abzusichern. Frag zB einen fachkundigen Anwalt und/oder sprich mit eurem IT-Dienstleister falls vorhanden. Auch könnten die Seiten des BSI (Bundesamt für Sicherheit in der IT) oder dergleichen hilfreich sein.

Ergänzung (18. Oktober 2018)

Die einfachste Form eines Internetblocks ist übrigens ein gefilterter DNS. Dieser gibt bei bestimmten Domains dann einfach eine falsche IP zurück, ganz ohne Protokollierung. Komplizierter und unter Umständen auch datenschutztechnisch relevant wird es hingegen bei DPI (Deep Packet Inspection). Dabei analysiert die Firewall jedes einzelne Datenpaket, um nicht nur bestimmte Internetseiten zu Blockieren, sondern um zB auch VPNs, o.ä. auf x-beliebigen Ports zu erkennen. DPI kann also auch aktiv verschleierte Verbindungen erkennen und blockieren, muss dazu dem Nutzer aber effektiv die ganze Zeit über die Schulter sehen, auch bei legitimen Verbindungen.
Dennoch können die meisten dieser Maßnahmen mit entsprechendem KnowHow und Aufwand auch umgangen werden. Deswegen enthalten Nutzungsvereinbarungen zwischen Firma und Angestellten in der Regel auch den Satz "Das Umgehen der Schutzmechanismen ist untersagt."

 

[h00bi]

Nun kommt der erste Mitarbeiter und meint, dass das ein Eingriff ins Datenschutzrecht wäre, wenn der Antivirus-Client jetzt den Internetverkehr überwacht quasi und Seiten, die was mit Pornografie oder sonstigem zu tun haben, sperrt.

Ganz ehrlich: Lass die Finger davon. Versuch mit so einem gar nicht erst irgendwas zu diskutieren, erst recht nicht wenn du deine Infos aus dem Netz und/oder einem Forum beziehst.
Schick ihn direkt zum Datenschutzbeauftragten, wenn ihr keinen habt schick ihn zur Geschäftsleitung. Das was da vorliegt ist KEIN IT Problem.

Pronoseiten muss man nicht blockieren, tendenziell wird da weniger Schadcode verteilt als auf irgendwelchen Hobby-Blogs

Beste Möglichkeit um den Traffic auf porn einzuschränken ist Facebook, Twitter und Instagram nicht zu blocken. Die Leute werden immer irgendwo im Netz Zeit totschlagen statt zu arbeiten. Es ist nicht die Aufgabe der IT dafür zu sorgen dass die Leute ihren Job machen.