49
Firmendaten intern verschlüsseln (ohne Adminzugriff)
Hallo zusammen,
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Auf diesen Speicher sollen kritische Daten wie Mitarbeiterzeugnisse, Gehaltslisten und was weiß ich noch.
Momenten lösen wir das so:
- Ein Volume auf dem ich als Admin nur einen bestimmten Personenkreis Lese- bzw. Schreibzugriff gegeben habe.
- Diese Personen nutzen AxCrypt zum temporären ver- und entschüsseln der Dateien
- Da jede Datei einzeln verschlüsselt ist klappt das Backup ziemlich gut
- Die Admins sehen nur die verschlüsselten Dateien
Nextcloud mit dem End-to-End-Encryption Module hätte diese Lücke schließen können aber das Modul ist leider zu 100% unbrauchbar.
Klar, könnte ich einen verschlüsselten Container erstellen und aufs Netzlaufwerk legen aber es gibt es nur einen exklusiven Schreibzugriff (first come, first serve) für den ganzen Container. Ich suche so die eierlegende Wollmilchsau
face-smile
Wie wird das in anderen, größeren Firmen gelöst? Was nutzt ihr für solche Anforderungen? Sind wir zu paranoid?
Gibt es eine komfortable Lösung für geschützte aber gesicherte (Backup) Bereiche?
Danke und einen schönen Nachmittag.
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Auf diesen Speicher sollen kritische Daten wie Mitarbeiterzeugnisse, Gehaltslisten und was weiß ich noch.
Momenten lösen wir das so:
- Ein Volume auf dem ich als Admin nur einen bestimmten Personenkreis Lese- bzw. Schreibzugriff gegeben habe.
- Diese Personen nutzen AxCrypt zum temporären ver- und entschüsseln der Dateien
- Da jede Datei einzeln verschlüsselt ist klappt das Backup ziemlich gut
- Die Admins sehen nur die verschlüsselten Dateien
Nextcloud mit dem End-to-End-Encryption Module hätte diese Lücke schließen können aber das Modul ist leider zu 100% unbrauchbar.
Klar, könnte ich einen verschlüsselten Container erstellen und aufs Netzlaufwerk legen aber es gibt es nur einen exklusiven Schreibzugriff (first come, first serve) für den ganzen Container. Ich suche so die eierlegende Wollmilchsau
face-smileWie wird das in anderen, größeren Firmen gelöst? Was nutzt ihr für solche Anforderungen? Sind wir zu paranoid?
Gibt es eine komfortable Lösung für geschützte aber gesicherte (Backup) Bereiche?
Danke und einen schönen Nachmittag.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 841644367
Url: https://administrator.de/contentid/841644367
Printed on: April 19, 2024 at 21:04 o'clock
49 Comments
Latest comment
Hallo Ibtobi,
ggf. reicht ein Container (TrueCrypt od. Veracrypt) aus.
Gruß Nebellicht
ggf. reicht ein Container (TrueCrypt od. Veracrypt) aus.
Gruß Nebellicht
Servas
Nein, nicht zu "paranoid", das paßt schon. Ich bin da auch noch auf der Suche. Ich bin mir jetzt nicht sicher, aber Bitlocker?
VLAN? Routerregeln? Zugriffspaßwörter werden vom Chef geändert und sind nur bei ihm gespeichert/hinterlegt
Nein, nicht zu "paranoid", das paßt schon. Ich bin da auch noch auf der Suche. Ich bin mir jetzt nicht sicher, aber Bitlocker?
VLAN? Routerregeln? Zugriffspaßwörter werden vom Chef geändert und sind nur bei ihm gespeichert/hinterlegt
Nein, weil sowohl True- als auch Vercrypt, wie auch z.B. Cryptomator nur einen User gleichzeitig zugreifen lassen.
Zitat von @lbtobi:
Klar, könnte ich einen verschlüsselten Container erstellen und aufs Netzlaufwerk legen aber es gibt es nur einen exklusiven Schreibzugriff (first come, first serve) für den ganzen Container. Ich suche so die eierlegende Wollmilchsau face-smile
Klar, könnte ich einen verschlüsselten Container erstellen und aufs Netzlaufwerk legen aber es gibt es nur einen exklusiven Schreibzugriff (first come, first serve) für den ganzen Container. Ich suche so die eierlegende Wollmilchsau
face-smileWarum nicht den entschlüsselten Container freigeben? Dann muss halt bei jedem Server Reboot das Laufwerk vom Chef persönlich entschlüsselt werden? Ich kenn nur Veracrypt aber da gehen ja auch normale NTFS Rechte. Ggf. per Script nachm mounten die Rechte neu setzen, aber das ist ja alles kein Hexenwerk
Wie wird das in anderen, größeren Firmen gelöst? Was nutzt ihr für solche Anforderungen? Sind wir zu paranoid?
Anscheinend vertraut euer Chef euch nicht. Ich persönlich halte von solchen Bastellösungen überhaupt nix. Gar nix. Nada.
In größeren Firmen kapseln sich Betriebsräte auch gerne mal komplett(!) ab. Eigenenes NAS und je nach Größe sogar eigenen DSL Anschluss. Und wer kommt helfen wenn was nicht klappt? Richtig, der Admin/Fußsupporter für alle :D
Je nach Paranoia Level würde ich deinem Chef eher zu einem kleinen NAS raten, wenn das schon so los geht. Vielleicht mit kleinem Tapedrive als Backup fürn Tresor.
Zitat von @lbtobi:
Hallo zusammen,
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Hallo zusammen,
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Das eine schließt das andere aus: Entweder Admins sindwirkllich Admins und kämen dann wirklich an die Daten oder sie sind keine. Dann sehen sie das auch nicht.
lks
1Zitat von @Lochkartenstanzer:
Das eine schließt das andere aus: Entweder Admins sindwirkllich Admins und kämen dann wirklich an die Daten oder sie sind keine. Dann sehen sie das auch nicht.
lks
Zitat von @lbtobi:
Hallo zusammen,
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Hallo zusammen,
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Das eine schließt das andere aus: Entweder Admins sindwirkllich Admins und kämen dann wirklich an die Daten oder sie sind keine. Dann sehen sie das auch nicht.
lks
Hey lks,
grundsätzlich gebe ich dir Recht aber in dem Fall sind das ja wirklich Daten die mich als Admin absolut nichts angehen und ich über die ich auch nicht Bescheid Wissen muss. Wenn der Chef diese Daten vom Rest trennen will, ist das durchaus legitim. Dann kann man nur noch beraten und ihm viel Glück wünschen. Das ist nicht unüblich. Es macht dich nicht zu einem schlechteren Admin, wenn du ein kleines Nas (oder so) in Cheffes Büro stehen hast. Wenns Ihm um die Ohren fliegt, macht der das auch garantiert nie wieder
Hat alles vor und Nachteile :D
Moin,
nennt mich in dem Fall ein bisschen Schroedingers Katze:
sehe das wie @Lochkartenstanzer UND @ibtobi's Chef, Tendenz aber eher "Team LKS"
Grundsätzlich sollte man seinen (auserwählten) Admins trauen können und dennoch mag es Daten geben, die man dennoch "unter Verschluss" halten möchte.
Richte ihm einen eigenen Server ein, welcher nicht im AD hängt. Die Platte vollends per Bitlocker oder was auch immer verschlüsselt.
Admin-Kennwort hat nur die Chef-Etage, versiegelt im Safe.
Dann werden auf dem Server Benutzername und Kennwort gleichlautend zum AD-User hinterlegt. Läuft das Kennwort ab, müssen die Herren/ Damen/ Diversen sich per RDP am Server anmelden und auch dort das Kennwort angleichen.
Für das installieren der Updates ist dann die Chef-Etage verantwortlich, wobei du die Kisten trotzdem mit Updates versorgen kannst. Via Registry kann man dennoch einen WSUS mitgeben.
Backup wäre noch ein "Knackpunkt". Habe das Szenario noch nicht gehabt um hier aus Erfahrungen schöpfen zu können. IMHO dürfte es aber so sein, dass mit den meisten Backup-Tools auch ein FileZugriff möglich wäre.
Gruß
em-pie
Edit: Tatschfon-Fehler korrigiert
nennt mich in dem Fall ein bisschen Schroedingers Katze:
sehe das wie @Lochkartenstanzer UND @ibtobi's Chef, Tendenz aber eher "Team LKS"
Grundsätzlich sollte man seinen (auserwählten) Admins trauen können und dennoch mag es Daten geben, die man dennoch "unter Verschluss" halten möchte.
Richte ihm einen eigenen Server ein, welcher nicht im AD hängt. Die Platte vollends per Bitlocker oder was auch immer verschlüsselt.
Admin-Kennwort hat nur die Chef-Etage, versiegelt im Safe.
Dann werden auf dem Server Benutzername und Kennwort gleichlautend zum AD-User hinterlegt. Läuft das Kennwort ab, müssen die Herren/ Damen/ Diversen sich per RDP am Server anmelden und auch dort das Kennwort angleichen.
Für das installieren der Updates ist dann die Chef-Etage verantwortlich, wobei du die Kisten trotzdem mit Updates versorgen kannst. Via Registry kann man dennoch einen WSUS mitgeben.
Backup wäre noch ein "Knackpunkt". Habe das Szenario noch nicht gehabt um hier aus Erfahrungen schöpfen zu können. IMHO dürfte es aber so sein, dass mit den meisten Backup-Tools auch ein FileZugriff möglich wäre.
Gruß
em-pie
Edit: Tatschfon-Fehler korrigiert
Zitat von @Ex0r2k16:
Je nach Paranoia Level würde ich deinem Chef eher zu einem kleinen NAS raten, wenn das schon so los geht. Vielleicht mit kleinem Tapedrive als Backup fürn Tresor.
Je nach Paranoia Level würde ich deinem Chef eher zu einem kleinen NAS raten, wenn das schon so los geht. Vielleicht mit kleinem Tapedrive als Backup fürn Tresor.
Das hat er tatsächlich selber vorgeschlagen...
Zitat von @Ex0r2k16:
Wenns Ihm um die Ohren fliegt, macht der das auch garantiert nie wieder ... und genau davor habe ich Angst. Diese Lösung stellt mich in keinsterweise zufrieden. Vor allem das Backup Thema ist dann noch offen.
Mir fällt noch die Einzeldatei-Verschlüsselungsoption in unserem DMS ein (ELO). Da gibt es einen Verschlüsselungskreis, ich denke mal darüber kann man dann auch die Passwörter standartisert setzen so das man die Passwörter nicht auf jedem Dokument manuell vergeben muss. Aber richtig genutzt haben wir das nie, bei uns läuft das unter (familiärer) Vertrauensstellung. Es wäre aber für den Admin nicht zu umgehen.
Mahlzeit,
DESlock, bzw. Endpoint Encryption, von ESET kann das.
Man erstellt Schlüssel, die man mit Personen (die auch Deslock haben), teilt. Damit können diese Personen dann auch verschlüsselte Ordner auf dem Share oder wo auch immer öffnen. Funktioniert quasi als dritte Ebene hinter Share / NTFS Berechtigungen.
VG
Tezzla
DESlock, bzw. Endpoint Encryption, von ESET kann das.
Man erstellt Schlüssel, die man mit Personen (die auch Deslock haben), teilt. Damit können diese Personen dann auch verschlüsselte Ordner auf dem Share oder wo auch immer öffnen. Funktioniert quasi als dritte Ebene hinter Share / NTFS Berechtigungen.
VG
Tezzla
Erstmal würde ich überlegen: Natürlich gibt es Daten die den Admin nix anzugehen haben - und jeder Admin sollte sogar froh sein auf einiges KEINEN Zugriff zu haben (weil: Dann kann man eben auch nicht die Person die es irgendwelchen Kollegen gesagt hat wenn die Gerüchteküche wieder losgeht). Wer als Admin meint er braucht die "allgemeine Hoheit über alles" sollte sich lieber nen Sportwagen als Ersatz holen, das sehen wenigstens mehr Leute...
Ich würde halt auch überlegen wie weit es abgeschirmt sein soll und hier auf nen simples NAS (ggf. z.B. mit Offsite-Backup zum Chef nachhause) machen. Das is mit zwei Syno-Brühwürfeln in Minuten erledigt und der Chef hat ne saubere Lösung (und für weitere Backups ist er dann halt verantwortlich - das kann er ja z.B. auf ne USB-Disk ziehen,...). Er hat da auch die Userverwaltung und die Sache is recht simpel gemacht so das es eben auch Nicht-ITler hinbekommen...
Ich würde halt auch überlegen wie weit es abgeschirmt sein soll und hier auf nen simples NAS (ggf. z.B. mit Offsite-Backup zum Chef nachhause) machen. Das is mit zwei Syno-Brühwürfeln in Minuten erledigt und der Chef hat ne saubere Lösung (und für weitere Backups ist er dann halt verantwortlich - das kann er ja z.B. auf ne USB-Disk ziehen,...). Er hat da auch die Userverwaltung und die Sache is recht simpel gemacht so das es eben auch Nicht-ITler hinbekommen...
Hi
Wir setzen für sowas:
APSEC FideAS File Enterprise
https://www.apsec.de/de/produkte/datei-verschluesselung/
Mit freundlichen Grüßen Nemesis
Wir setzen für sowas:
APSEC FideAS File Enterprise
https://www.apsec.de/de/produkte/datei-verschluesselung/
Mit freundlichen Grüßen Nemesis
1Zitat von @maretz:
Wer als Admin meint er braucht die "allgemeine Hoheit über alles" sollte sich lieber nen Sportwagen als Ersatz holen, das sehen wenigstens mehr Leute...
Wer als Admin meint er braucht die "allgemeine Hoheit über alles" sollte sich lieber nen Sportwagen als Ersatz holen, das sehen wenigstens mehr Leute...
Das Problem ist: Ein Admin hat die Hoheit über alles, auch wenn er sie nicht braucht. Und Sportwagen heutztage haben nur Kindergrößen, ich passe da in keine rein..
lks
PS: Es gehört zum guten Ton als Admin, nichts anzurühren, daß nicht zum Erledigen der Aufgaben notwendig ist.
1Zitat von @Lochkartenstanzer:
Das Problem ist: Ein Admin hat die Hoheit über alles, auch wenn er sie nicht braucht. Und Sportwagen heutztage haben nur Kindergrößen, ich passe da in keine rein..
lks
PS: Es gehört zum guten Ton als Admin, nichts anzurühren, daß nicht zum Erledigen der Aufgaben notwendig ist.
Zitat von @maretz:
Wer als Admin meint er braucht die "allgemeine Hoheit über alles" sollte sich lieber nen Sportwagen als Ersatz holen, das sehen wenigstens mehr Leute...
Wer als Admin meint er braucht die "allgemeine Hoheit über alles" sollte sich lieber nen Sportwagen als Ersatz holen, das sehen wenigstens mehr Leute...
Das Problem ist: Ein Admin hat die Hoheit über alles, auch wenn er sie nicht braucht. Und Sportwagen heutztage haben nur Kindergrößen, ich passe da in keine rein..
lks
PS: Es gehört zum guten Ton als Admin, nichts anzurühren, daß nicht zum Erledigen der Aufgaben notwendig ist.
Da kommt mir doch glatt das Car-Sharing in den Sinn. Oder Just in Time
Gruß
C.C.
Hi.
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Gib denen eigene Rechner, auf denen Du keine Adminrechte hast, dann können sie auch wirksam verschlüsseln. Das Backupthema kriegt jeder 5-Jährige brauchbar selbst hin, und wenn es mit täglichen Vollsicherungen auf externe USB-Platten ist.
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Gib denen eigene Rechner, auf denen Du keine Adminrechte hast, dann können sie auch wirksam verschlüsseln. Das Backupthema kriegt jeder 5-Jährige brauchbar selbst hin, und wenn es mit täglichen Vollsicherungen auf externe USB-Platten ist.
2Zitat von @DerWoWusste:
Hi.
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Hi.
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Meine Rede.
lks
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
👍👍👍 😂🤣😂🤣
Zitat von @Lochkartenstanzer:
Meine Rede.
lks
Zitat von @DerWoWusste:
Hi.
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Hi.
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Es ist somit nicht Paranoia, sondern mi t diesen Voraussetzungen schlicht vergebliche Mühe.
Meine Rede.
lks
Vielleicht ist es euch noch nicht aufgefallen, aber es geht hier nicht darum als Admin ein Schlupfloch zu finden sondern eher darum den Chef glücklich zu machen
Und das ergibt sehr oft keinen Sinn. Habe auch schon von Fällen gehört wo der Chef seinen ITlern nicht vertraute und sein Zeug auf dropbox abgelegt hat - als Backup zu seinem eigenem NAS. Und nein - keine kleine Bude.
Guten Morgen
Meine Meinung: Es sollte halt nicht "zu einfach" sein, meine Behauptung ist, daß das meiste nicht absichtlich passiert. Somit sollte, wenn etwas "passiert" klar sein, daß es eben Absicht war.
Ich kenne Firmen die haben "externe" und mehrere "interne" Netze. Dort werden z.B. die Personaldaten und in einem anderen Netz die Forschungsdaten gespeichert und verarbeitet. Der Admin hat schon Zugriff, aber nicht von seinem PC aus. Er muß halt 2 Büros weiter gehen und von dort aus ...... warum nicht? Wenn der Aufwand den Nutzen rechtfertigt?
Meine Meinung: Es sollte halt nicht "zu einfach" sein, meine Behauptung ist, daß das meiste nicht absichtlich passiert. Somit sollte, wenn etwas "passiert" klar sein, daß es eben Absicht war.
Ich kenne Firmen die haben "externe" und mehrere "interne" Netze. Dort werden z.B. die Personaldaten und in einem anderen Netz die Forschungsdaten gespeichert und verarbeitet. Der Admin hat schon Zugriff, aber nicht von seinem PC aus. Er muß halt 2 Büros weiter gehen und von dort aus ...... warum nicht? Wenn der Aufwand den Nutzen rechtfertigt?
Moin lbtobi,
nice, diese Anfrage landet bei mir mindestens alle drei Monate von irgendeinem Kundenadmin auf dem Tisch. Meistens dann, wenn ein Datenschmutzbeauftragter vorher bei dem Kunden zu Besuch war.
Ein paar besänftigende Gespräche später, bleibt es dann meistens bei einer sauberen Berechtigungsstruktur als Schutzmaßnahme (incl. Admin mit vollen Zugriffsrechten).
Die liegen meistens als PDF’s rum und die kannst du ganz einfach Dateiseitig verschlüsseln. 😉
Beste Grüsse aus BaWü
Alex
mein Chef kam neulich zu mir und sagte (sinngemäß):
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Auf diesen Speicher sollen kritische Daten wie Mitarbeiterzeugnisse, Gehaltslisten und was weiß ich noch.
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann, die Admins die Dateien nicht sehen können und mit auf's Backup kommt."
Auf diesen Speicher sollen kritische Daten wie Mitarbeiterzeugnisse, Gehaltslisten und was weiß ich noch.
nice, diese Anfrage landet bei mir mindestens alle drei Monate von irgendeinem Kundenadmin auf dem Tisch. Meistens dann, wenn ein Datenschmutzbeauftragter vorher bei dem Kunden zu Besuch war.
Ein paar besänftigende Gespräche später, bleibt es dann meistens bei einer sauberen Berechtigungsstruktur als Schutzmaßnahme (incl. Admin mit vollen Zugriffsrechten).
Auf diesen Speicher sollen kritische Daten wie Mitarbeiterzeugnisse, Gehaltslisten und was weiß ich noch.
Die liegen meistens als PDF’s rum und die kannst du ganz einfach Dateiseitig verschlüsseln. 😉
Beste Grüsse aus BaWü
Alex
Es wird zwar immer wieder bezweifelt und wird gerne übergangen, aber: Systeme, die jemand administriert können nicht gegen selbigen geschützt werden. Als Admin installiere ich einen Keylogger und schneide die Kennwörter mit und fertig, vergiss die Verschlüsselung (unter diesen Randbedingungen). Ich kann ebenso nach Lust und Laune deinen Bildschirm bespannern (mit Shadowing ohne Deine Zustimmung) und mir so ein Bild davon machen, was da so an Personaldaten durchgeht.
Oder den Explorer als SYSTEM starten. 😜
Zu den Vorrednern:
Es gibt durchaus Konstellationen, wo eine Verschlüsselung der Daten ("data in rest") rechtlich vorgeschrieben ist und nach dem Stand der Technik durchzuführen ist. Auch bei "normalen Firmen" kann das für Systeme zutreffen, wo z.B. personenbezogene Daten von Beschäftigten oder allgemein "besondere" Daten abgelegt werden. Das zu erklären würde den Rahmen hier sprengen. Wer weitere Infos haben will, kann mich direkt fragen.
Die Vollverschlüsselung verhindert erst einmal, dass jemand die Festplatte klaut und sich an den Daten erfreuen kann.
Dass ein Admin auf alles Zugriff haben MUSS, möchte ich widersprechen. Auch kann es sein, dass der Gesetzgeber anderer Meinung ist(z.B. bei Berufsgeheimnisträgern). Die Systeme kann man so sichern, dass ein Admin nur mit erheblichem Aufwand und krimineller Energie an die Daten käme. 100%igen Schutz gibt es meist nicht, denn wer physikalisch an die Systeme kommt, hat meist gute Karten, wenn es um Datendiebstahl geht.
Ein Berechtigungssystem mit Authorisierung und Authentifizierung nachträglich irgendwo einzubauen, ist schwierig. Für schnelle (wirklich nur gaaaanz schnelle) Lösungen kann man Cryptomator benutzen. Geht aber nur mit "1-User-gleichzeitig-Zugriff".
Empfehlen kann ich das, was auch schon andere empfohlen haben und was schnell eingerichtet ist: Man nehme ein kann-alles-NAS, z.B. ein Synology. Dort lassen sich freigegebene Verzeichnisse voll verschlüsseln. Das NAS bietet verschiedene Stufen der Berechtigungen an, z.B. kann Usern oder Gruppen Schreib-/Leseberechtigungen erteilen. Backups verschlüsselt man und kann sie z.B. bei "C2" ablegen (Onlinedienst von Synology). Das Verschlüsselungspasswort kann z.B. ein Berechtigter eingeben und nicht der Admin.
Es gibt durchaus Konstellationen, wo eine Verschlüsselung der Daten ("data in rest") rechtlich vorgeschrieben ist und nach dem Stand der Technik durchzuführen ist. Auch bei "normalen Firmen" kann das für Systeme zutreffen, wo z.B. personenbezogene Daten von Beschäftigten oder allgemein "besondere" Daten abgelegt werden. Das zu erklären würde den Rahmen hier sprengen. Wer weitere Infos haben will, kann mich direkt fragen.
Die Vollverschlüsselung verhindert erst einmal, dass jemand die Festplatte klaut und sich an den Daten erfreuen kann.
Dass ein Admin auf alles Zugriff haben MUSS, möchte ich widersprechen. Auch kann es sein, dass der Gesetzgeber anderer Meinung ist(z.B. bei Berufsgeheimnisträgern). Die Systeme kann man so sichern, dass ein Admin nur mit erheblichem Aufwand und krimineller Energie an die Daten käme. 100%igen Schutz gibt es meist nicht, denn wer physikalisch an die Systeme kommt, hat meist gute Karten, wenn es um Datendiebstahl geht.
Ein Berechtigungssystem mit Authorisierung und Authentifizierung nachträglich irgendwo einzubauen, ist schwierig. Für schnelle (wirklich nur gaaaanz schnelle) Lösungen kann man Cryptomator benutzen. Geht aber nur mit "1-User-gleichzeitig-Zugriff".
Empfehlen kann ich das, was auch schon andere empfohlen haben und was schnell eingerichtet ist: Man nehme ein kann-alles-NAS, z.B. ein Synology. Dort lassen sich freigegebene Verzeichnisse voll verschlüsseln. Das NAS bietet verschiedene Stufen der Berechtigungen an, z.B. kann Usern oder Gruppen Schreib-/Leseberechtigungen erteilen. Backups verschlüsselt man und kann sie z.B. bei "C2" ablegen (Onlinedienst von Synology). Das Verschlüsselungspasswort kann z.B. ein Berechtigter eingeben und nicht der Admin.
Ich danke euch für eure Beiträge.
Es führen mal wieder zu viele Wege nach Rom: Der eine mag es lieber über Berge und der andere fährt mit dem Schiff. Und ich stehe momentan noch an der großen Kreuzung davor. :D
Ich kann mir vorstellen, dass am Ende ein NAS irgendwo steht oder sie, wie eingangs erwähnt, mit ihrer momentan AxCrypt-Lösung weiter arbeiten.
Vielleicht gibt es noch bessere Software die die Dateien mit einmaliger! Eingabe des Passworts automatisch ver- und entschlüsselt. Je einfach das alles ist desto weniger Fehler passieren.
Also nochmals vielen Dank.
Es führen mal wieder zu viele Wege nach Rom: Der eine mag es lieber über Berge und der andere fährt mit dem Schiff. Und ich stehe momentan noch an der großen Kreuzung davor. :D
Ich kann mir vorstellen, dass am Ende ein NAS irgendwo steht oder sie, wie eingangs erwähnt, mit ihrer momentan AxCrypt-Lösung weiter arbeiten.
Vielleicht gibt es noch bessere Software die die Dateien mit einmaliger! Eingabe des Passworts automatisch ver- und entschlüsselt. Je einfach das alles ist desto weniger Fehler passieren.
Also nochmals vielen Dank.
Moin,
zur Info: Für eine Kunden habe ich das mal so gelöst:
Ich habe dem GF aber auch gesagt, daß das alles nur kleine Hindernisse für einen Angreifer sind, wenn derjenige es darauf angelegt hat, an die Daten zu kommen, genauso wie ein Paßwort und Sperrbildschirm nur die Putzfrau dran hindert auf die Schnelle mal was "nachzuschauen", aber einen ernsthaften Angreifer mit Zugriff auf die Hardware und genug Zeit nicht daran hindert an die Daten zu extrahieren.
lks
zur Info: Für eine Kunden habe ich das mal so gelöst:
- Extra Server, der nicht in der Domain drin ist.
- Adminpaßwort dem Kunden (->GF) übergeben mit der Anweisung es zu ändern.
- einen User für den GF angelegt und ihn selbst das Paßwort setzen lassen.
- Zugriff auf den Serve rnur als dieser User.
Ich habe dem GF aber auch gesagt, daß das alles nur kleine Hindernisse für einen Angreifer sind, wenn derjenige es darauf angelegt hat, an die Daten zu kommen, genauso wie ein Paßwort und Sperrbildschirm nur die Putzfrau dran hindert auf die Schnelle mal was "nachzuschauen", aber einen ernsthaften Angreifer mit Zugriff auf die Hardware und genug Zeit nicht daran hindert an die Daten zu extrahieren.
lks
Hallo,
bieten gängige DMS Systeme nicht genau diese Lösung?
Ist zwar schon was länger her, aber bei dem was ich mal nutzen durfte kam man ohne die entsprechenden Berechtigungen in der Applikation auch als Admin nicht an Dokumente dran. Sowohl Files als auch DB waren komplett verschlüsselt. Backup als Desasterrecovery erfolgte über die VM. Dokumente konnte man nur "ausblenden" aber nicht löschen > war wohl die Archivfunktion...
Gruß
bieten gängige DMS Systeme nicht genau diese Lösung?
Ist zwar schon was länger her, aber bei dem was ich mal nutzen durfte kam man ohne die entsprechenden Berechtigungen in der Applikation auch als Admin nicht an Dokumente dran. Sowohl Files als auch DB waren komplett verschlüsselt. Backup als Desasterrecovery erfolgte über die VM. Dokumente konnte man nur "ausblenden" aber nicht löschen > war wohl die Archivfunktion...
Gruß
1
Gepriesen sei das Rauhe Haus,
Ich sehe ein konzeptionelles Problem, und zwar kann der Admin ein Key Logger auf den Rechner von Chef installieren. Geht auch über GPO. Darum sollte die ein Hardware Token zum Einsatz kommen.
Meine Idee wäre einfach ein Zertifikat für Verschlüsseltes Dateisystem auszustellen und von diesen kein Backup von Private Key zu machen. Dieser Private Key landet auf einer PIN Gesicherten SmartCard. Und eine zweite als Backup im Save von Chef. Der Admin selbst kann sich den Key dann auch nicht besorgen oder ein zweites Zertifikat anlegen.
Verschlüsseltes Dateisystem wird unter NTFS von Haus aus Unterstützt und alles was man dazu braucht ist bereits in Windows und Windows Server endhalten.
Hoffe ich liege da richtig aber das wäre so meine erste Idee.
Lieben Gruß an die IT-Welt,
Aleksandar J. Herbrich
Ich sehe ein konzeptionelles Problem, und zwar kann der Admin ein Key Logger auf den Rechner von Chef installieren. Geht auch über GPO. Darum sollte die ein Hardware Token zum Einsatz kommen.
Meine Idee wäre einfach ein Zertifikat für Verschlüsseltes Dateisystem auszustellen und von diesen kein Backup von Private Key zu machen. Dieser Private Key landet auf einer PIN Gesicherten SmartCard. Und eine zweite als Backup im Save von Chef. Der Admin selbst kann sich den Key dann auch nicht besorgen oder ein zweites Zertifikat anlegen.
Verschlüsseltes Dateisystem wird unter NTFS von Haus aus Unterstützt und alles was man dazu braucht ist bereits in Windows und Windows Server endhalten.
Hoffe ich liege da richtig aber das wäre so meine erste Idee.
Lieben Gruß an die IT-Welt,
Aleksandar J. Herbrich
Moin Herbrich19,
dein Vorschlag hört sich in der Theorie zwar interessant an ist aber aufgrund der folgenden Anforderung so nicht umsetzbar.
Wenn die ausgewählten Personen sich innerhalb der Organisation befinden, dann könnte man EFS durchaus für diese Anforderung verwenden. Aber dadurch verschiebst du die Vertraulichkeit lediglich vom Daten-Admin auf den CA-Admin und das ist in vielen Unternehmen ein und dieselbe Person. 🤪
Beste Grüsse aus BaWü
Alex
Meine Idee wäre einfach ein Zertifikat für Verschlüsseltes Dateisystem auszustellen und von diesen kein Backup von Private Key zu machen. Dieser Private Key landet auf einer PIN Gesicherten SmartCard. Und eine zweite als Backup im Save von Chef. Der Admin selbst kann sich den Key dann auch nicht besorgen oder ein zweites Zertifikat anlegen.
dein Vorschlag hört sich in der Theorie zwar interessant an ist aber aufgrund der folgenden Anforderung so nicht umsetzbar.
"Ich brauche einen Speicherplatz der verschlüsselt ist, den ich mit ausgewählten Personen teilen kann"
Wenn die ausgewählten Personen sich innerhalb der Organisation befinden, dann könnte man EFS durchaus für diese Anforderung verwenden. Aber dadurch verschiebst du die Vertraulichkeit lediglich vom Daten-Admin auf den CA-Admin und das ist in vielen Unternehmen ein und dieselbe Person. 🤪
Beste Grüsse aus BaWü
Alex
1
Moin yoppi1,
Das riecht nach der DSGVO und du bis bestimmt ein DSBler. 🙃
Da würde ich gerne als ITler mit etwas FiBu Erfahrung leicht Kontern.
GoBD sagt dir doch bestimmt auch etwas.
"Unterlagen, die steuerlich relevant und zugleich originär digital sind, müssen in dieser (elektronischen) Form aufbewahrt und dürfen innerhalb der Aufbewahrungsfrist weder verändert noch gelöscht werden. Außerdem müssen sie maschinell ausgewertet werden können."
Na dann versuch doch einfach mal etwas selbst zu Administrieren wo du keinen Zugriff drauf hast. 😉
Ja und jetzt. Wenn der Admin wirklich gut ist, dann hält Ihn dieses Konstrukt lediglich etwas auf, behindert Ihn jedoch keineswegs 100% daran, an die entsprechenden Informationen zu kommen. Unter dem Strich heuchelt man damit dem Chef einfach nur eine Lösung vor, damit dieser wieder etwas besser schlaffen kann und dass zumindest theoretisch, dem einen oder anderen DSGVO Paragraphen genüge getan wurde.
Rein praktisch gesehen, hat der Chef vom lbtobi meiner Ansicht nach nicht wirklich ein IT Problem, sondern eher ein Vertrauens- und oder Verständnisproblem mit der IT selbst.
Das ist bei alltäglichen IT Problemen langfristig gesehen nie klug ist, diese einfach mit noch mehr Software und oder Hardware zu erschlagen wird jeder erfahrene Admin wahrscheinlich schon wissen. Bei Vertrauensproblemen mit der IT selbst, klappt diese Taktik erst recht mehr schlecht als recht. 😉
Hier hilft meiner Ansicht nach eine ganz alte Vorgehensweise mit am besten.
Einfach ehrlich miteinander Reden 🕊☮
Beste Grüsse aus BaWü
Alex
Es gibt durchaus Konstellationen, wo eine Verschlüsselung der Daten ("data in rest") rechtlich vorgeschrieben ist und nach dem Stand der Technik durchzuführen ist. Auch bei "normalen Firmen" kann das für Systeme zutreffen, wo z.B. personenbezogene Daten von Beschäftigten oder allgemein "besondere" Daten abgelegt werden. Das zu erklären würde den Rahmen hier sprengen. Wer weitere Infos haben will, kann mich direkt fragen.
Das riecht nach der DSGVO und du bis bestimmt ein DSBler. 🙃
Da würde ich gerne als ITler mit etwas FiBu Erfahrung leicht Kontern.
GoBD sagt dir doch bestimmt auch etwas.
"Unterlagen, die steuerlich relevant und zugleich originär digital sind, müssen in dieser (elektronischen) Form aufbewahrt und dürfen innerhalb der Aufbewahrungsfrist weder verändert noch gelöscht werden. Außerdem müssen sie maschinell ausgewertet werden können."
Dass ein Admin auf alles Zugriff haben MUSS, möchte ich widersprechen.
Na dann versuch doch einfach mal etwas selbst zu Administrieren wo du keinen Zugriff drauf hast. 😉
Empfehlen kann ich das, was auch schon andere empfohlen haben und was schnell eingerichtet ist: Man nehme ein kann-alles-NAS, z.B. ein Synology. Dort lassen sich freigegebene Verzeichnisse voll verschlüsseln. Das NAS bietet verschiedene Stufen der Berechtigungen an, z.B. kann Usern oder Gruppen Schreib-/Leseberechtigungen erteilen. Backups verschlüsselt man und kann sie z.B. bei "C2" ablegen (Onlinedienst von Synology). Das Verschlüsselungspasswort kann z.B. ein Berechtigter eingeben und nicht der Admin.
Ja und jetzt. Wenn der Admin wirklich gut ist, dann hält Ihn dieses Konstrukt lediglich etwas auf, behindert Ihn jedoch keineswegs 100% daran, an die entsprechenden Informationen zu kommen. Unter dem Strich heuchelt man damit dem Chef einfach nur eine Lösung vor, damit dieser wieder etwas besser schlaffen kann und dass zumindest theoretisch, dem einen oder anderen DSGVO Paragraphen genüge getan wurde.
Rein praktisch gesehen, hat der Chef vom lbtobi meiner Ansicht nach nicht wirklich ein IT Problem, sondern eher ein Vertrauens- und oder Verständnisproblem mit der IT selbst.
Das ist bei alltäglichen IT Problemen langfristig gesehen nie klug ist, diese einfach mit noch mehr Software und oder Hardware zu erschlagen wird jeder erfahrene Admin wahrscheinlich schon wissen. Bei Vertrauensproblemen mit der IT selbst, klappt diese Taktik erst recht mehr schlecht als recht. 😉
Hier hilft meiner Ansicht nach eine ganz alte Vorgehensweise mit am besten.
Einfach ehrlich miteinander Reden 🕊☮
Beste Grüsse aus BaWü
Alex
Moin,
schau dir mal hicrypt an.
schau dir mal hicrypt an.
Mal anders aufgezopft.
Du besorgst ein verschlüsseltes Dokumenten Managementsystem (wenn Ihr schon eins habt eine zweite DB.)
Dort ziehen sich die GF und Manager die Daten rein.
Das PWD der Datenbank hat nur die GF.
Dann kannst die die DB Sichern und wiederherstellen, aufgrund der fehlenden Admin Möglichkeiten gibt es bei Fehler nur einen kalten Schnitt.
Du besorgst ein verschlüsseltes Dokumenten Managementsystem (wenn Ihr schon eins habt eine zweite DB.)
Dort ziehen sich die GF und Manager die Daten rein.
Das PWD der Datenbank hat nur die GF.
Dann kannst die die DB Sichern und wiederherstellen, aufgrund der fehlenden Admin Möglichkeiten gibt es bei Fehler nur einen kalten Schnitt.
Moin Schicksal,
es gibt schon genug Ansätze wie man dieses Problem mit noch mehr Aufwand zu tode Verwalten kann, jedoch sollte man bei der ganzen Planung, das Folgende nicht vergessen.
Was mach der Chef, sobald bei dem DMS und oder der Synology das erste Update ansteht und oder ein Problem aufgetaucht ist? 🤨
Na ganz einfach, er kratzt beim Admin mit den folgenden Worten an der Tür "Mach Mal". 😉
Und spätestens dann ist der Admin wieder ein Admin. 😜
Beste Grüsse aus BaWü
Alex
Mal anders aufgezopft.
Du besorgst ein verschlüsseltes Dokumenten Managementsystem (wenn Ihr schon eins habt eine zweite DB.)
Dort ziehen sich die GF und Manager die Daten rein.
Das PWD der Datenbank hat nur die GF.
Dann kannst die die DB Sichern und wiederherstellen, aufgrund der fehlenden Admin Möglichkeiten gibt es bei Fehler nur einen kalten Schnitt.
Du besorgst ein verschlüsseltes Dokumenten Managementsystem (wenn Ihr schon eins habt eine zweite DB.)
Dort ziehen sich die GF und Manager die Daten rein.
Das PWD der Datenbank hat nur die GF.
Dann kannst die die DB Sichern und wiederherstellen, aufgrund der fehlenden Admin Möglichkeiten gibt es bei Fehler nur einen kalten Schnitt.
es gibt schon genug Ansätze wie man dieses Problem mit noch mehr Aufwand zu tode Verwalten kann, jedoch sollte man bei der ganzen Planung, das Folgende nicht vergessen.
Was mach der Chef, sobald bei dem DMS und oder der Synology das erste Update ansteht und oder ein Problem aufgetaucht ist? 🤨
Na ganz einfach, er kratzt beim Admin mit den folgenden Worten an der Tür "Mach Mal". 😉
Und spätestens dann ist der Admin wieder ein Admin. 😜
Beste Grüsse aus BaWü
Alex
Das schein ein passender Artikel zu diesem Thema zu sein.
Ist aber für Nichtabonnenten leider nicht vollständig abrufbar, dennoch das was zu sehen ist ist auch schon sehr interessant.
https://www.admin-magazin.de/Das-Heft/2016/01/Vertrauen-versus-Kontrolle ...
Ist aber für Nichtabonnenten leider nicht vollständig abrufbar, dennoch das was zu sehen ist ist auch schon sehr interessant.
https://www.admin-magazin.de/Das-Heft/2016/01/Vertrauen-versus-Kontrolle ...
Ferner würde ich dem Chef von lbtobi und auch vielen anderen Chefs mit ähnlichen Problemen, gerne diese beiden Bücher weiterempfehlen.
https://www.amazon.de/Vertrauensbasierte-F%C3%BChrung-Praxis-Tom-Sommerl ...
https://www.amazon.de/Vertrauensbasierte-F%C3%BChrung-Forschung-Frank-Ke ...
Die helfen bestimmt bei diesem, aber auch bei ganz vielen anderen Chef-Problemen/Phänomenen.
Und um eines gleich klarzustellen, ich lästere gerade auch über mich selbst. 🙃
Alexander Fuchs
Geschäftsinhaber (sprich Chef) 🤪
🤔, da ich mich bei unserer überschaubaren Betriebsgrösse auch an der Systemadministration beteilige, sprich auch Administrator bin,
könnte ich mich eigentlich auch mit "Adgeschminäftsisfühtraretor" betiteln. 😁
https://www.amazon.de/Vertrauensbasierte-F%C3%BChrung-Praxis-Tom-Sommerl ...
https://www.amazon.de/Vertrauensbasierte-F%C3%BChrung-Forschung-Frank-Ke ...
Die helfen bestimmt bei diesem, aber auch bei ganz vielen anderen Chef-Problemen/Phänomenen.
Und um eines gleich klarzustellen, ich lästere gerade auch über mich selbst. 🙃
Alexander Fuchs
Geschäftsinhaber (sprich Chef) 🤪
🤔, da ich mich bei unserer überschaubaren Betriebsgrösse auch an der Systemadministration beteilige, sprich auch Administrator bin,
könnte ich mich eigentlich auch mit "Adgeschminäftsisfühtraretor" betiteln. 😁
1
Zitat von @schicksal:
Mal anders aufgezopft.
Du besorgst ein verschlüsseltes Dokumenten Managementsystem (wenn Ihr schon eins habt eine zweite DB.)
Dort ziehen sich die GF und Manager die Daten rein.
Das PWD der Datenbank hat nur die GF.
Dann kannst die die DB Sichern und wiederherstellen, aufgrund der fehlenden Admin Möglichkeiten gibt es bei Fehler nur einen kalten Schnitt.
Mal anders aufgezopft.
Du besorgst ein verschlüsseltes Dokumenten Managementsystem (wenn Ihr schon eins habt eine zweite DB.)
Dort ziehen sich die GF und Manager die Daten rein.
Das PWD der Datenbank hat nur die GF.
Dann kannst die die DB Sichern und wiederherstellen, aufgrund der fehlenden Admin Möglichkeiten gibt es bei Fehler nur einen kalten Schnitt.
Naja, als (böswilliger) Admin mache ich dann ein Backup der DB, nehme das mit nach Hause und restore die DB dort. Wenn ich dem Admin nicht vertraue sollte ich ihn kündigen, alles andere löst mein Problem nicht.
/Thomas
1
Moin Thomas,
so hart würde ich es jetzt aber auch nicht sehen.
Die wichtige Frage ist: Warum vertraut der Chef dem Admin in diesem Punkt nicht?
Oft passieren solche Dinge nachdem ein DSBler im Haus war oder der Chef einen Newsletter von irgend einem Security-Lösungs-Anbieter bekommen hat, in dem der Admin verteufelt wird. In diesem Fall hat der Chef ein generelles Misstrauen gegen die IT-Betreuer aufgebaut und dann hilft es auch nichts die bisherigen ITler, einfach mal so gegen Neue zu tauschen. Zumal das "einfach mal so", bei der heutigen IT-Arbeitsmarktlage eh nicht drin ist.
Beste Grüsse aus BaWü
Alex
Wenn ich dem Admin nicht vertraue sollte ich ihn kündigen, alles andere löst mein Problem nicht.
so hart würde ich es jetzt aber auch nicht sehen.
Die wichtige Frage ist: Warum vertraut der Chef dem Admin in diesem Punkt nicht?
Oft passieren solche Dinge nachdem ein DSBler im Haus war oder der Chef einen Newsletter von irgend einem Security-Lösungs-Anbieter bekommen hat, in dem der Admin verteufelt wird. In diesem Fall hat der Chef ein generelles Misstrauen gegen die IT-Betreuer aufgebaut und dann hilft es auch nichts die bisherigen ITler, einfach mal so gegen Neue zu tauschen. Zumal das "einfach mal so", bei der heutigen IT-Arbeitsmarktlage eh nicht drin ist.
Beste Grüsse aus BaWü
Alex
Zitat von @MysticFoxDE:
Die wichtige Frage ist: Warum vertraut der Chef dem Admin in diesem Punkt nicht?
Die wichtige Frage ist: Warum vertraut der Chef dem Admin in diesem Punkt nicht?
Das ist jetzt eine ziemliche Grundsatzdiskussion geworden, ist aber völlig in Ordnung.
Unser Chef, neu seit ca. 1 Jahr, kommt von diversen Großfirmen. Als Microsoft Liebhaber tut er sich in unserer Linux Welt (die letzten wenigen die noch Suse und Novell/MicroFocus einsetzen) wie unserer natürlich schwer.
Mich interessiert tatsächlich vor allem ob Microsoft für so was eine Lösung bietet - mit denen besagter Chef lange gearbeitet hat und dauernd davon schwärmt.
Natürlich auch wie es bei anderen Firmen so läuft. Aber das ist wohl ein generell heikles Thema da hier ein langfristiges Vertrauen im Vorschuss gegeben werden muss.
Aber so wie ich die ganzen Beiträge verstehe habe ich zwei Möglichkeiten:
1. Wir behalten das bisherige System bei und wir Admins können Zugriffe, Ausfallsicherheit und Backups gewährleisten. Ist jedoch nicht sehr komfortabel.
2. Irgendwie eine ziemliche Frickellösung mit der am Ende keiner so richtig zufrieden ist weil irgendwas immer nicht geht oder sehr umständlich und kompliziert zu implementieren ist - für ein bisschen mehr Komfort.
Cheers, Tobi
Zitat von @lbtobi:
Mich interessiert tatsächlich vor allem ob Microsoft für so was eine Lösung bietet - mit denen besagter Chef lange gearbeitet hat und dauernd davon schwärmt.
Mich interessiert tatsächlich vor allem ob Microsoft für so was eine Lösung bietet - mit denen besagter Chef lange gearbeitet hat und dauernd davon schwärmt.
Nicht wirklich.
Da gibt es zwar genauso abgestufte Berechtigungen wie unter Linux auch, sind aber etwas leichter einzurichten. Das vernebelt aber die Sicht darauf, daß sowohl unter Windows als auch unter Linux der Admin "Gott" ist.
Das Problem mit Leuten, die im nur Microsoft-Biotop gelebt haben, ist, daß sie sich nicht vorstellen können, daß es auch andere angenehme Biotope gibt.
lks
Zitat von @Lochkartenstanzer:
Nicht wirklich.
Da gibt es zwar genauso abgestufte Berechtigungen wie unter Linux auch, sind aber etwas leichter einzurichten. Das vernebelt aber die > Sicht darauf, daß sowohl unter Windows als auch unter Linux der Admin "Gott" ist.
Nicht wirklich.
Da gibt es zwar genauso abgestufte Berechtigungen wie unter Linux auch, sind aber etwas leichter einzurichten. Das vernebelt aber die > Sicht darauf, daß sowohl unter Windows als auch unter Linux der Admin "Gott" ist.
Alles klar, danke dir.
Das Problem mit Leuten, die im nur Microsoft-Biotop gelebt haben, ist, daß sie sich nicht vorstellen können, daß es auch andere angenehme Biotope gibt.
lks
lks
Wahre Worte.
Zitat von @lbtobi:
Mich interessiert tatsächlich vor allem ob Microsoft für so was eine Lösung bietet - mit denen besagter Chef lange gearbeitet hat und dauernd davon schwärmt.
Mich interessiert tatsächlich vor allem ob Microsoft für so was eine Lösung bietet - mit denen besagter Chef lange gearbeitet hat und dauernd davon schwärmt.
OneDrive würde wohl alle seine Wünsche bis auf das "mit aufs Backup kommen" erfüllen, dafür hat OneDrive halt Retention Policies.
/Thomas
Moin lbtobi,
Ist ja auch ein Grundsatzthema und betrifft keineswegs nur dich. 😉
Diese Chef-Gattung kenne ich auch zu genüge. 🙃
Kleiner Tip, falls er dich beim nächsten Mal wieder mit demselben Spruch anrempelt.
Frag Ihn einfach wie gross die IT-Abteilung in dem jeweiligen Grossunternehmen war und welches Jahresbudget diese zur Verfügung hatte? Und dann fragst du ihn als nächstes, wann dir diese Ressourcen zur Verfügung stehen könnten, damit du auch dasselbe leisten kannst, wie das was er aus den vorherigen Grossunternehmen gewohnt ist. 😉
Veränderung fordern, aber sich selbst nicht verbiegen wollen. 🤔
Das hört sich ja nach einer ganz besonderen Grossunternehmen-Chef-Spezies an. 😔
Und von welcher funktionierenden Lösung von Microsoft für diesen Zweck schwärmt er den?
Jetzt bin ich echt neugierig und tausende anderer Admin's wollen das glaube ich jetzt auch sehr gerne wissen. 😜
Sehr gut zusammengefasst. 👍👍👍
Beste Grüsse aus BaWü
Alex
Das ist jetzt eine ziemliche Grundsatzdiskussion geworden, ist aber völlig in Ordnung.
Ist ja auch ein Grundsatzthema und betrifft keineswegs nur dich. 😉
Unser Chef, neu seit ca. 1 Jahr, kommt von diversen Großfirmen.
Diese Chef-Gattung kenne ich auch zu genüge. 🙃
Kleiner Tip, falls er dich beim nächsten Mal wieder mit demselben Spruch anrempelt.
Frag Ihn einfach wie gross die IT-Abteilung in dem jeweiligen Grossunternehmen war und welches Jahresbudget diese zur Verfügung hatte? Und dann fragst du ihn als nächstes, wann dir diese Ressourcen zur Verfügung stehen könnten, damit du auch dasselbe leisten kannst, wie das was er aus den vorherigen Grossunternehmen gewohnt ist. 😉
Als Microsoft Liebhaber tut er sich in unserer Linux Welt (die letzten wenigen die noch Suse und Novell/MicroFocus einsetzen) wie unserer natürlich schwer.
Veränderung fordern, aber sich selbst nicht verbiegen wollen. 🤔
Das hört sich ja nach einer ganz besonderen Grossunternehmen-Chef-Spezies an. 😔
Mich interessiert tatsächlich vor allem ob Microsoft für so was eine Lösung bietet - mit denen besagter Chef lange gearbeitet hat und dauernd davon schwärmt.
Und von welcher funktionierenden Lösung von Microsoft für diesen Zweck schwärmt er den?
Jetzt bin ich echt neugierig und tausende anderer Admin's wollen das glaube ich jetzt auch sehr gerne wissen. 😜
Aber so wie ich die ganzen Beiträge verstehe habe ich zwei Möglichkeiten:
1. Wir behalten das bisherige System bei und wir Admins können Zugriffe, Ausfallsicherheit und Backups gewährleisten. Ist jedoch nicht sehr komfortabel.
2. Irgendwie eine ziemliche Frickellösung mit der am Ende keiner so richtig zufrieden ist weil irgendwas immer nicht geht oder sehr umständlich und kompliziert zu implementieren ist - für ein bisschen mehr Komfort.
1. Wir behalten das bisherige System bei und wir Admins können Zugriffe, Ausfallsicherheit und Backups gewährleisten. Ist jedoch nicht sehr komfortabel.
2. Irgendwie eine ziemliche Frickellösung mit der am Ende keiner so richtig zufrieden ist weil irgendwas immer nicht geht oder sehr umständlich und kompliziert zu implementieren ist - für ein bisschen mehr Komfort.
Sehr gut zusammengefasst. 👍👍👍
Beste Grüsse aus BaWü
Alex
Moin Lks,
dem möchte ich als Bewohner des besagten reinen Microsofts-Biotops gerne widersprechen!
Mir ist sehr wohl klar, dass Linux unter dem Strich der gleiche Murks ist wie Windows, hat halt eine anderen Oberfläche und die Wehwehchen sind auch etwas anders verteilt, aber auch dort vorhanden. 😜
Beste Grüsse aus BaWü
Alex
Das Problem mit Leuten, die im nur Microsoft-Biotop gelebt haben, ist, daß sie sich nicht vorstellen können, daß es auch andere angenehme Biotope gibt.
dem möchte ich als Bewohner des besagten reinen Microsofts-Biotops gerne widersprechen!
Mir ist sehr wohl klar, dass Linux unter dem Strich der gleiche Murks ist wie Windows, hat halt eine anderen Oberfläche und die Wehwehchen sind auch etwas anders verteilt, aber auch dort vorhanden. 😜
Beste Grüsse aus BaWü
Alex
Zitat von @MysticFoxDE:
Moin Lks,
dem möchte ich als Bewohner des besagten reinen Microsofts-Biotops gerne widersprechen!
Mir ist sehr wohl klar, dass Linux unter dem Strich der gleiche Murks ist wie Windows, hat halt eine anderen Oberfläche und die Wehwehchen sind auch etwas anders verteilt, aber auch dort vorhanden. 😜
Moin Lks,
Das Problem mit Leuten, die im nur Microsoft-Biotop gelebt haben, ist, daß sie sich nicht vorstellen können, daß es auch andere angenehme Biotope gibt.
dem möchte ich als Bewohner des besagten reinen Microsofts-Biotops gerne widersprechen!
Mir ist sehr wohl klar, dass Linux unter dem Strich der gleiche Murks ist wie Windows, hat halt eine anderen Oberfläche und die Wehwehchen sind auch etwas anders verteilt, aber auch dort vorhanden. 😜
Hat ja keiner behauptet, daß es unter BSD, MacOS, Solaris & Co. keine Wehwehchen gibt. Nur einfach zu sagen, daß es unter Windows alles nur Friede-Freude-Eierkuchen war, täuscht darüber hinweg, daß man da sich nur mit den Fehlern arangiert hat, statt zu versuchen, diese aus der Welt zu schaffen.
lks
Moin lks,
am Ende des Tages kommt es eh viel mehr auf denjenigen an, der die Systeme einrichtet und vor allem wie gut er sich mit diesen auskennt, als auf das System selbst. Das teuerste IT-System der Welt bringt absolut nichts, wenn sowohl für die Einführung als auch für den Betrieb nicht die benötigte Kompetenz vorhanden ist.
Beste Grüsse aus BaWü
Alex
Hat ja keiner behauptet, daß es unter BSD, MacOS, Solaris & Co. keine Wehwehchen gibt. Nur einfach zu sagen, daß es unter Windows alles nur Friede-Freude-Eierkuchen war, täuscht darüber hinweg, daß man da sich nur mit den Fehlern arangiert hat, statt zu versuchen, diese aus der Welt zu schaffen.
am Ende des Tages kommt es eh viel mehr auf denjenigen an, der die Systeme einrichtet und vor allem wie gut er sich mit diesen auskennt, als auf das System selbst. Das teuerste IT-System der Welt bringt absolut nichts, wenn sowohl für die Einführung als auch für den Betrieb nicht die benötigte Kompetenz vorhanden ist.
Beste Grüsse aus BaWü
Alex
Also - natürlich kann man (egal ob unter Linux, Windows,...) Keylogger usw. einsetzen. Nur: Dann macht man sich auch als Admin strafbar und kann von Glück reden wenn man erwischt wird und nur fristlos gekündigt wird. Und da gibts ja auch durchaus Möglichkeiten wenn der Chef da nen Verdacht hat sowas zu prüfen (und da reicht ja wenn der "Admin" in der Kaffeestube z.B. mal versehentlich eine Info raushaut oder bestätigt die der *eigentlich* noch gar nicht haben dürfte - beim ersten Mal ggf. noch als "Zufall" abgetan, beim 2ten/3ten mal wird man dann ggf. doch stutzig). Wenn man davon ausgeht kann sich eine Firma gegen kaum einen Mitarbeiter schützen der nen Schlüssel hat - der kann genauso einfach am WE kurz nen HW-Keylogger am Rechner vom Chef hauen und den dann Mo Abends abbauen -> da wird das Passwort ziemlich sicher drin sein...
Ich denke darum gehts aber in den meisten Fällen nicht - mit krimineller Energie ist das natürlich zu umgehen. Es geht halt einfach darum das dort ggf. vertrauliche Daten wie Gehaltslisten usw. liegen die dem Admin einfach nichts angehen und die man dann eben nicht auf dem Fileserver legen will wo die Verlockung dann doch grösser ist "mal eben" nen Blick zu werfen. Denn wenn man das auch noch verhindern will müsste man dem Chef eine völlig isolierte Insel bauen - er könnte schließlich auch Mails haben (die der Admin idR. auch einsehen könnte wenn er will) oder Daten übers Netzwerk schieben (bei dem der Admin auch wieder rankommt). Da müsste man also eine Umgebung mit nem PC, NAS, eigenem Router und eigenem Mail-Account schaffen und bestenfalls sogar noch aktiv verhindern das Daten zwischen Firmen-PC und "Insel-PC" ausgetauscht werden. Ich denke das ist in den wenigsten Fällen Sinnvoll - und wenn dann würde ich persönlich dem Chef empfehlen dieses im Homeoffice aufzubauen da man da auch noch recht sicher sein kann das keiner einfach mal im falschen Moment reinkommt und über die Schulter guckt...
Ich denke darum gehts aber in den meisten Fällen nicht - mit krimineller Energie ist das natürlich zu umgehen. Es geht halt einfach darum das dort ggf. vertrauliche Daten wie Gehaltslisten usw. liegen die dem Admin einfach nichts angehen und die man dann eben nicht auf dem Fileserver legen will wo die Verlockung dann doch grösser ist "mal eben" nen Blick zu werfen. Denn wenn man das auch noch verhindern will müsste man dem Chef eine völlig isolierte Insel bauen - er könnte schließlich auch Mails haben (die der Admin idR. auch einsehen könnte wenn er will) oder Daten übers Netzwerk schieben (bei dem der Admin auch wieder rankommt). Da müsste man also eine Umgebung mit nem PC, NAS, eigenem Router und eigenem Mail-Account schaffen und bestenfalls sogar noch aktiv verhindern das Daten zwischen Firmen-PC und "Insel-PC" ausgetauscht werden. Ich denke das ist in den wenigsten Fällen Sinnvoll - und wenn dann würde ich persönlich dem Chef empfehlen dieses im Homeoffice aufzubauen da man da auch noch recht sicher sein kann das keiner einfach mal im falschen Moment reinkommt und über die Schulter guckt...
Moin maretz:
der Admin macht sich bereits schon strafbar, wenn er Daten einsieht, die er nicht für die Ausführung seiner Tätigkeit einsehen muss.
Egal ob es sich um die Gehaltsdaten der Belegschaft handelt oder um das Postfach der Geschäftsleitung, der Inhalt dieser Daten ist für einen Admin im Normalfall tabu. Ja wir Admins können diese Daten meistens ohne grossen Aufwand einsehen, aber wir dürfen es nicht!
Beste Grüsse aus BaWü
Alex
Also - natürlich kann man (egal ob unter Linux, Windows,...) Keylogger usw. einsetzen. Nur: Dann macht man sich auch als Admin strafbar und kann von Glück reden wenn man erwischt wird und nur fristlos gekündigt wird.
der Admin macht sich bereits schon strafbar, wenn er Daten einsieht, die er nicht für die Ausführung seiner Tätigkeit einsehen muss.
Egal ob es sich um die Gehaltsdaten der Belegschaft handelt oder um das Postfach der Geschäftsleitung, der Inhalt dieser Daten ist für einen Admin im Normalfall tabu. Ja wir Admins können diese Daten meistens ohne grossen Aufwand einsehen, aber wir dürfen es nicht!
Beste Grüsse aus BaWü
Alex
Zitat von @MysticFoxDE:
Moin yoppi1,
Das riecht nach der DSGVO und du bis bestimmt ein DSBler. 🙃
Da würde ich gerne als ITler mit etwas FiBu Erfahrung leicht Kontern.
GoBD sagt dir doch bestimmt auch etwas.
"Unterlagen, die steuerlich relevant und zugleich originär digital sind, müssen in dieser (elektronischen) Form aufbewahrt und dürfen innerhalb der Aufbewahrungsfrist weder verändert noch gelöscht werden. Außerdem müssen sie maschinell ausgewertet werden können."
Moin yoppi1,
Es gibt durchaus Konstellationen, wo eine Verschlüsselung der Daten ("data in rest") rechtlich vorgeschrieben ist und nach dem Stand der Technik durchzuführen ist. Auch bei "normalen Firmen" kann das für Systeme zutreffen, wo z.B. personenbezogene Daten von Beschäftigten oder allgemein "besondere" Daten abgelegt werden. Das zu erklären würde den Rahmen hier sprengen. Wer weitere Infos haben will, kann mich direkt fragen.
Das riecht nach der DSGVO und du bis bestimmt ein DSBler. 🙃
Da würde ich gerne als ITler mit etwas FiBu Erfahrung leicht Kontern.
GoBD sagt dir doch bestimmt auch etwas.
"Unterlagen, die steuerlich relevant und zugleich originär digital sind, müssen in dieser (elektronischen) Form aufbewahrt und dürfen innerhalb der Aufbewahrungsfrist weder verändert noch gelöscht werden. Außerdem müssen sie maschinell ausgewertet werden können."
[..schnippschnapp..]
DSGVO, BDSG n.F. und GoB widersprechen sich ja nicht. Im Gegenteil. Die DSGVO hat genau für diesen Punkt die Öffnungsklauseln in Art.6 DSGVO parat, also z.B. die Ausnahme zur Erlaubnis der Verarbeitung von personenbezogenen Daten, wenn es zur rechtlichen Verpflichtung notwendig ist. Gleiches gilt u.a. für Speicherfristen aus AO und HGB.
Die DSGVO sagt nicht: "Dein Datenschutz muss superbillig sein". Geld und Aufwand sind aus Sicht der DSGVO solange keine Grenze, wie es unverhältnismäßig wird. Die Hürden sind aber hoch.
Im Sinne der DSGVO ist zu beurteilen, welches Risiko für die betroffenen Personen besteht, wenn deren Daten anderen, unbefugten offengelegt werden. Die Erkenntnisse aus so einer Risikobeurteilung sowie die Erkenntnisse des BSI zum "Stand der Technik" führen dann zu den dann erlaubten MItteln der Datenverarbeitung, die das Minimum darstellen.
Wie von anderen auch vorgeschlagen, würde ich ein NAS nehmen, was nicht im Verzeichnisdienst steht, dort einen verschlüsselten Ordner erstellen, wo nur die Geschäftsführung das Passwort eingibt und kennt und gut ist. Sperrt man das auch noch in einen Serverraum mit Zugangskontrolle, dann ist dem Stand der Technik Genüge getan. Der Admin kommt nicht an die Daten. Gegen kriminelle Handlungen ist kein Kraut gewachsen - es geht nur darum, dass man nicht an die Daten kommt, wenn man nicht einen hohen oder kriminellen Aufwand betreibt.
Das Risiko eines Datenverlustes sollte man dann aber kalkulieren - denn wenn die Geschäftsführung das Passwort vergisst und es kein Backup gibt, kommt wieder die DSGVO um die Ecke und verteilt Bußgelder
Eine 100% saubere Lösung gibt es meines Wissens nach nicht. Man sollte sich der Risiken der Lösungen oder nicht-Lösungen bewusst sein. Wenn man sich gegen eine "supersichere" Lösung entscheidet und statt dessen nur die "einfachsichere" nimmt und das ganze noch argumentiert und dokumentiert, dann kommt man auch mit der DSGVO und den Aufsichtsbehörden zurecht.
1
Moin yoppi1,
auch wenn ich dir bei dem einen oder anderen Punkt so nicht zu 100% zustimme, sehe ich dennoch aus dem was du geschrieben hast heraus, dass du zu den DSBler gehörts, mit denen ich durchaus mit Freude zusammenarbeiten könnte.
Was theoretisch möglich ist und was praktisch aufgrund von Kapazitäten und auch Kompetenzen umsetzbar ist, sind leider zwei ganz unterschiedliche paar Stiefel. Auf das letztere nimmt die DSGVO und auch viele andere leider überhaupt keine Rücksicht, obwohl das der wichtigere Punkt wäre. 😉 Stichwort: Fachkräftemangel
Ja klar und wir als Admin's haben dann auf der einen Seite eine ausfallsichere HA-Umgebung da stehen auf der z.B. das FiBu System läuft und oder auch das DMS System aus welchen wir selbstverständlich keine Gehaltsdaten herauslesen können 🙃 und dann haben wir daneben noch einen kleinen NAS-Zoo mit Betriebsrat-NAS und nun auch noch GL-NAS rumstehen, die wir am Ende des Tages eh betreuen müssen. Den "Stand der Technik" bedeutet auch zugleich aktueller Softwarestand auf der Technik und dafür ist der Admin verantwortlich und nicht GL oder BR. 😉
👍👍👍 Diese Aussage hat mir ehrlich gesagt mit am besten gefallen und hier stimme ich dir auch ohne Meckern zu 100% zu. 😀
Beste Grüsse aus BaWü
Alex
auch wenn ich dir bei dem einen oder anderen Punkt so nicht zu 100% zustimme, sehe ich dennoch aus dem was du geschrieben hast heraus, dass du zu den DSBler gehörts, mit denen ich durchaus mit Freude zusammenarbeiten könnte.
Die Erkenntnisse aus so einer Risikobeurteilung sowie die Erkenntnisse des BSI zum "Stand der Technik" führen dann zu den dann erlaubten MItteln der Datenverarbeitung, die das Minimum darstellen.
Was theoretisch möglich ist und was praktisch aufgrund von Kapazitäten und auch Kompetenzen umsetzbar ist, sind leider zwei ganz unterschiedliche paar Stiefel. Auf das letztere nimmt die DSGVO und auch viele andere leider überhaupt keine Rücksicht, obwohl das der wichtigere Punkt wäre. 😉 Stichwort: Fachkräftemangel
Wie von anderen auch vorgeschlagen, würde ich ein NAS nehmen, was nicht im Verzeichnisdienst steht, dort einen verschlüsselten Ordner erstellen, wo nur die Geschäftsführung das Passwort eingibt und kennt und gut ist. Sperrt man das auch noch in einen Serverraum mit Zugangskontrolle, dann ist dem Stand der Technik Genüge getan. Der Admin kommt nicht an die Daten. Gegen kriminelle Handlungen ist kein Kraut gewachsen.
Ja klar und wir als Admin's haben dann auf der einen Seite eine ausfallsichere HA-Umgebung da stehen auf der z.B. das FiBu System läuft und oder auch das DMS System aus welchen wir selbstverständlich keine Gehaltsdaten herauslesen können 🙃 und dann haben wir daneben noch einen kleinen NAS-Zoo mit Betriebsrat-NAS und nun auch noch GL-NAS rumstehen, die wir am Ende des Tages eh betreuen müssen. Den "Stand der Technik" bedeutet auch zugleich aktueller Softwarestand auf der Technik und dafür ist der Admin verantwortlich und nicht GL oder BR. 😉
Eine 100% saubere Lösung gibt es meines Wissens nach nicht. Man sollte sich der Risiken der Lösungen oder nicht-Lösungen bewusst sein. Wenn man sich gegen eine "supersichere" Lösung entscheidet und statt dessen nur die "einfachsichere" nimmt und das ganze noch argumentiert und dokumentiert, dann kommt man auch mit der DSGVO und den Aufsichtsbehörden zurecht.
👍👍👍 Diese Aussage hat mir ehrlich gesagt mit am besten gefallen und hier stimme ich dir auch ohne Meckern zu 100% zu. 😀
Beste Grüsse aus BaWü
Alex
Ich habe mir nicht alles durchgelesen, aber: keepass? Boxcryptor? hashicorp vault? Alles kann shared bereitgestellt werden wobei Vault wohl mit einer selbst geschriebenen Helpersoftware die technisch beste Lösung darstellen sollte.
