Wer surft wo und wie oft im Netz?

[G60P60]

Hi, wir überlegen in unserem Betrieb die Internetzugänge zu überwachen. Langsam nimmt das ganze ein besorgniserregendes Ausmaß an. Kann man direkt im Serverraum eine Überwachungssoftware installieren, oder muss dies direkt auf den Clients erfolgen? Die Überwachung soll natürlich unbemerkt stattfinden. In den Arbeitsverträgen haben wir private Internetnutzung verboten aber keiner hält sich dran. Wäre piHole eine Möglichkeit? Grüße, Bernd.

 

[Incanus]

Da solltet Ihr erst mal mit dem Betriebsrat und Eurem Anwalt sprechen.

 

[Goldsmith]

Ganz dünnes Eis, zuerst einmal die Frage ob einen Betriebsrat gibt, wenn ja dann hat dieser Mitbestimmung nach (§ 87 Abs. 1 Nr. 6 BetrVG).

Weiter müssen die Mitarbeiter informiert werden, was überwacht und wie es protokolliert wird.

 

[Phrasendreher]

piHole ist ein DNS-Ersatz, welcher das Blocken von Werbung erleichtert. Also nein, komplett am Tor vorbeigeschossen.
Router, Proxy, Firewall sind die richtigen Kandidaten (über eine Fritzbox brauchen wir da nicht zu sprechen).
Also Rechtsberatung vom Justiziar, Hard- und/oder Softwareberatung vom Systemhaus, da gewerblicher Einsatz.

 

[wern001]

mit einem transparenten proxy (squid) und sarg geht das recht gut.
den router so konfiguieren das alle ausgehenden internetanfragen mit ziel port 80 und 443 auf den squid umgeleitet werden. der squid aber ausgegrenzt wird.

 

[Jasmin83]

Die Überwachung soll natürlich unbemerkt stattfinden.

Das will ich sehen, wie ihr damit versuchen wollte jemanden abzumahnen oder rauszuwerfen. Das geht zu 100% in die Hose und verursacht nur kosten.

vielleicht solltet ihr anreize schaffen, das das Arbeiten bei euch mehr Spass macht und man gar nicht erst großartig rumsurfen kann/will.

In den Arbeitsverträgen haben wir private Internetnutzung verboten aber keiner hält sich dran.

naja, dann habt ihr doch eine handhabe. Ich würds einfach mitteilen, das in Zukunft der Internettraffic mitgeloggt wird (Anwalt fragen!) und wer weiterhin privat surft, riskiert eine Abmahnung. Ich denke durch das Verbieten der privaten Nutzung ist doch schon alles geklärt.

P.S.: Von Überwachung halt ich gleich gar nichts und in so einem Betrieb würde ich auch wohl nie anfangen wollen zu arbeiten. Fürchterlich dieser Zwang immer alles und jeden zu jeder Sekunde kontrollieren zu wollen. Mitarbeiter werden dann sicher auch gehen, darüber sollte man sich auch klar werden. Es gibt genügend andere Arbeitgeber, die besseres bieten. My 2 cents.

 

[seyfhor]

Das kann ich nicht unterstützen!! Sperrt doch einfach ein paar Seiten (Yt, Social Media,...) Ich finde Euch dadurch trotzdem nicht sympathischer, aber ist irgendwie "netter" als zu spitzeln. Und vor allem kommunizieren, das und warum und wieso.

 

[^Dodo.bW]

ich würde noch nicht mal unbedingt protokollieren. Schafft euch eine ordentliche Firewall mit transparentem Proxy und SSL Interception (auf Webfilter-Basis) an. Dann sperrt mit Proxy-Listen den ganzen Socialmedia kram und was euch sonst noch stört, dann fühlt sich eh schon jeder ertappt, wenn eine rote Block-Seite kommt mit einem fetten Warnhinweis, dass die Website in der Kategorie XY gesperrt ist.

 

[madmax2010]

Das koennt ihr machen, aber ihr müsst euren ANgestellten dann wohl mit Hilfe eines Anwalts einen sehr präzisen DSGVO konformen Vertrag vorlegen, indem ihr sie über alles was da gelogged wird aufklärt

 

[Merle]

Ich würde mich da auch rückversichern, rechtlich. Aber durch das Verbot kannst du natürlich die private Nutzung auch faktisch unterbinden und auch loggen. Was man wie vorher kommunizieren muss usw. muss aber geklärt sein.

 

[Goldsmith]

Wenn ihr das in den Arbeitsverträgen untersagt, dann dürft ihr trotzdem nicht generell kontrollieren, eventuell ist stichprobenartig eine Kontrolle erlaubt, aber auch das muss im Einzelfall entschieden werden.

Ergänzung (23. Februar 2022)

Eine derart umfassende Überwachung wie sie oben beschrieben wird, ist in Deutschland als permanente Überwachung grundsätzlich nicht erlaubt.

Das hat unter anderem ein Urteil vom Bundesarbeitsgericht im Juli 2017 bestätigt. In dem verhandelten Fall ging es um die Überwachung eines Arbeitnehmers mithilfe eines Keyloggers, über dessen Einsatz er vorher nicht informiert wurde (Aktenzeichen 2 AZR 681/16).

Nur im Einzelfall, wenn ausreichende Gründe vorliegen, kann eine genaue Überwachung für eine begrenzte Zeit legal sein.

 

[Autokiller677]

Mal von alldem ab, was die anderen gesagt haben und das es wahrscheinlich illegal wäre... da heute fast jeder ein Smartphone mit mobilen Daten hat, wird das die Leute nicht unbedingt vom Surfen abhalten.

Und selbst wenn ihr alles Surfen unterbindet - wer keinen Bock hat zu arbeiten, arbeitet nicht (effektiv). Dann wird halt mit Kollegen gequatscht, in die Luft gestarrt, langsam und umständlich gearbeitet oder was auch immer. Angestellte die schlecht / kaum arbeiten gibt's nicht erst seit jeder einen PC und Internet am Arbeitsplatz hat.

Das private Surfen ist nur ein Symptom, die Ursache liegt woanders.

Heißt natürlich nicht, dass ein Proxy oder so keine gute Idee ist - meine Firma hat auch einen (private Nutzung ist hier trotzdem erlaubt), im Proxy werden aber erstmal grob völlig unnötige / böswillige Seiten weggeblockt. Filesharing-Dienste, ein paar zwilichtigere Cloudienste, Pr0n, bekannte Malwareschleudern usw. Wird aber afaik nicht geloggt.

Insgesamt schadet es nicht, sein Netzwerk etwas zu schützen - auf kurz oder lang fällt in jeder Firma mal einer auf ne Phishing Mail rein, und wenn dann der Link direkt geblockt wird umso besser.

 

[Merle]

Das ist keine komplette Überwachung des Clients und auch nicht gleichzusetzen. Die Nutzung des Proxys zu protokollieren und irgendwelche Syslogs auf Server zu dumpen im Regelbetrieb ist je nach Firma nicht illegal.
Abwandernden Verkehr zu kennen und erkennen kann je nach Branche sogar essenziell sein.

 

[G60P60]

Danke für die schnelle und ausführliche Hilfe! Dann lassen wir das besser mal sein. Alles was ich hier herauslese ist, dass vielleicht das Sperren von bestimmten Seiten, sowie eine piHole Installation gerade noch im legalen Rahmen wäre? Dann werden wir das vorerst mal so machen.

 

[Goldsmith]

Wenn der Betrieb nicht allzu groß ist, für jeden Mitarbeiter mit Internetzugang eine Arbeitsanweisung schreiben, in der definiert ist, was gemacht werden darf und was nicht, auch dass dies stichprobenartig überprüft wird.

Dann könnt ihr das hin und wieder auch überprüfen.

 

[Autokiller677]

Solange du nicht loggst wer auf was zugreift bist du legal sauber. Musst du aber auch drauf achten, dass das logging im pihole aus ist. Ein Allgemeines Log welche Seiten aufgerufen wurden geht soweit ich weiß auch noch - nur halt nicht einzelnen Nutzern zuordnen.

 

[Goldsmith]

Ein Allgemeines Log welche Seiten aufgerufen wurden geht soweit ich weiß auch noch - nur halt nicht einzelnen Nutzern zuordnen.

Jupp dem ist so, denn lässt es sich einer Person zuordnen, dann ist es eine technische Überwachung die eben nicht erlaubt ist.

 

[Raijin]

Es ist müßig, hier darüber zu diskutieren was jeder einzelne für vertretbar hält oder nicht. Nur ein Anwalt kann rechtssicher Aufschluss darüber geben wie weit man gehen darf oder nicht und welche Rechte und Pflichten sich daraus ergeben. Fakt ist, dass es eine Grenze gibt, deren Überschreitung für die Firma ernsthafte Konsequenzen nach sich ziehen kann. Der berühmte Schuss, der nach hinten losgeht.

 

[Goldsmith]

Dem ist ganz sicher so, eine rechtssichere Beratung bei einem Fachanwalt für Arbeitsrecht ist da zweifelsfrei die beste Lösung.

 

[F31v3l]

Müssen die Mitarbeiter bzw. deren PCs überhaupt Zugang zum Internet haben? Das stellt ja unabhängig des privaten Surfens eine Sicherheitslücke da.
Wenn kein Zugang benötigt wird, einfach den Zugang kappen.
Falls für irgendwelche Anwendungen doch eine Verbindung nach außen gebraucht wird, könnte man nur diese zulassen.

Die rechtliche Frage kann dir nur Fachanwalt für Arbeit, der sich zumindest auch im Thema Datenschutz auskennen sollte.
Ich würde allerdings nicht pauschal sagen, dass eine Kontrolle des Netzwerktraffics illegal ist (z.B. nachts um 3 hoher Traffic etc.). I.d.R. darf dieser allerdings nicht zu einer Personen bzw. zu dessen Rechner nachverfolgbar sein. Ausnahmen können sich durch den Beruf ergeben. Hier ist das allerdings dann meist bereits durch den Arbeitsvertrag geregelt.
Fällt dem Admin während der Arbeitszeit hoher Traffic auf, für den es keinen nachvollziehbaren Grund gibt (YouTube, Facebook, Instagram usw.), besteht ein Anfangsverdacht. Ob dieser rechtfertigt alle Mitarbeiter unter Generalverdacht zu stellen und dann den Traffic zu jedem PC/Mitarbeiter zu analysieren, kann dir nur ein Fachanwalt sagen.
Anders würde es wahrscheinlich aussehen, wenn ein begründeter Anfangsverdacht gegen einzelne Mitarbeiter besteht. Dann könnte man nur den Traffic dieses einzelnen Mitarbeiters analysieren. Was ein begründeter Anfangsverdacht ist, der auch eine Überwachung rechtfertigt, bitte mit einem Anwalt klären.