8
Datenschutz für Administratoren
Hallo alle zusammen,
ich beschäftige mich seit ca. einem halben - 3/4 Jahr immer mal wieder mit dem Thema Datenschutz und weiß um die Problematik ein Administrator in einem mittelständischem Unternehmen zu sein. Speziell das Thema Datenschutz wirft momentan wieder einige Fragen auf :
Was kann der Admin.
Wenn es um Personenbezogene Daten geht, die im Personalordner sind und eigendlich vor jedem geschützt sein sollten, ... dann ist da immernoch der Admin!
So kann man das Spiel immer weiter treiben und immer bleibt der Admin als Risikofaktor übrig!
Ich würde gerne mal wissen wie Ihr damit umgeht !
Welche Lösungsansätze verfolgt Ihr dazu ? Seit Ihr evtl. auch in der gleichen Situation ?
Verwendet Ihr Protokollierungssoftware ? Wenn ja .. welche ?
Das wir einen Datenschutzbeauftragten nötig haben, bete ich bereits seit 1 Jahr, aber was das wieder alles kostet ............
same procedure as every ...
Bitte verbessert mich, aber wenn ich es richtig im Kopf habe, dann benötigt man "laut Gesetz" einen Datenschutzbeauftragten (ab einer bestimmten Betriebsgröße).
Dieser ist meistens ein externer und dient als Kontrollinstanz zur IT-Administration.
Wie oder wo ist noch mal die genaue Stelle an der man das nachlesen kann !? Dann kann ich das der GL zum Nachdruck bzw. veranschaulichung vorlegen!
Über Google habe ich verschiedene Lösungsansätze gefunden, aber in der Firma werden wir sicher keine X Administratoren einstellen und es gibt niemanden dem ich annähernd so viel IT-Wissen zusprechen würde, dass man es Ihm oder Ihr zutrauen könnte.
Ich suche einfach ein paar Ideen wie man es zumindest annähernd Lösen könnte.
Danke schon mal für Eure Beiträge...
ich beschäftige mich seit ca. einem halben - 3/4 Jahr immer mal wieder mit dem Thema Datenschutz und weiß um die Problematik ein Administrator in einem mittelständischem Unternehmen zu sein. Speziell das Thema Datenschutz wirft momentan wieder einige Fragen auf :
Was kann der Admin.
Wenn es um Personenbezogene Daten geht, die im Personalordner sind und eigendlich vor jedem geschützt sein sollten, ... dann ist da immernoch der Admin!
So kann man das Spiel immer weiter treiben und immer bleibt der Admin als Risikofaktor übrig!
Ich würde gerne mal wissen wie Ihr damit umgeht !
Welche Lösungsansätze verfolgt Ihr dazu ? Seit Ihr evtl. auch in der gleichen Situation ?
Verwendet Ihr Protokollierungssoftware ? Wenn ja .. welche ?
Das wir einen Datenschutzbeauftragten nötig haben, bete ich bereits seit 1 Jahr, aber was das wieder alles kostet ............
same procedure as every ...Bitte verbessert mich, aber wenn ich es richtig im Kopf habe, dann benötigt man "laut Gesetz" einen Datenschutzbeauftragten (ab einer bestimmten Betriebsgröße).
Dieser ist meistens ein externer und dient als Kontrollinstanz zur IT-Administration.
Wie oder wo ist noch mal die genaue Stelle an der man das nachlesen kann !? Dann kann ich das der GL zum Nachdruck bzw. veranschaulichung vorlegen!
Über Google habe ich verschiedene Lösungsansätze gefunden, aber in der Firma werden wir sicher keine X Administratoren einstellen und es gibt niemanden dem ich annähernd so viel IT-Wissen zusprechen würde, dass man es Ihm oder Ihr zutrauen könnte.
Ich suche einfach ein paar Ideen wie man es zumindest annähernd Lösen könnte.
Danke schon mal für Eure Beiträge...
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 211224
Url: https://administrator.de/contentid/211224
Ausgedruckt am: 22.11.2024 um 17:11 Uhr
8 Kommentare
Neuester Kommentar
Hi
Zum gesetzlichen kann ich dir nicht viel sagen, ausserdem ist es in Deutschland sowieso anders als bei mir in der Schweiz.
Ich glaube man kann noch so viele Datenschutzbeauftragte einstellen und noch so viel Protokollierungssoftware verwenden, ein Admin mit bösen Absichten wird immer an viele Informationen rankommen.
Es ist bei uns immer wieder mal ein Thema, man belässt es jedoch bei der Erkenntnis, dass man nur Leute mit Adminrechten ausstattet, denen man zu 100% vertrauen kann. Und dann bleibt eben das Restrisiko, sie die berühmten Steuer-CDs.
Wäre es vielleicht ein Thema den Datenschutz in die QS zu geben? Die legen die Regeln fest nach denen der Admin zu arbeiten hat. Aber wie gesagt, kriminelle Energie verhinderst du damit nicht.
Gruss
Michael
Zum gesetzlichen kann ich dir nicht viel sagen, ausserdem ist es in Deutschland sowieso anders als bei mir in der Schweiz.
Ich glaube man kann noch so viele Datenschutzbeauftragte einstellen und noch so viel Protokollierungssoftware verwenden, ein Admin mit bösen Absichten wird immer an viele Informationen rankommen.
Es ist bei uns immer wieder mal ein Thema, man belässt es jedoch bei der Erkenntnis, dass man nur Leute mit Adminrechten ausstattet, denen man zu 100% vertrauen kann. Und dann bleibt eben das Restrisiko, sie die berühmten Steuer-CDs.
Wäre es vielleicht ein Thema den Datenschutz in die QS zu geben? Die legen die Regeln fest nach denen der Admin zu arbeiten hat. Aber wie gesagt, kriminelle Energie verhinderst du damit nicht.
Gruss
Michael
Hi,
Du kannst es drehen und wenden wie Du willst: jemand mit Administrator-Rechten hat immer auf alles Zugriff, wenn er möchte
- anders ist das ja auch nicht möglich.
Grundlage ist deshalb, dass einem vertraut wird.
Anders geht das nicht.
Grüße
Du kannst es drehen und wenden wie Du willst: jemand mit Administrator-Rechten hat immer auf alles Zugriff, wenn er möchte
- anders ist das ja auch nicht möglich.
Grundlage ist deshalb, dass einem vertraut wird.
Anders geht das nicht.
Grüße
Hi michmeie,
Hi benpunkt,
so ist auch meine Auffassung der Situation und so habe ich es auch eben an unsere Prokuristin, die mit der Frage auf mich zugekommen ist, weiter gegeben.
Na dann .. ist leider wirklich keine andere Lösung oder Möglichkeit vorhanden !
Hi benpunkt,
so ist auch meine Auffassung der Situation und so habe ich es auch eben an unsere Prokuristin, die mit der Frage auf mich zugekommen ist, weiter gegeben.
Na dann .. ist leider wirklich keine andere Lösung oder Möglichkeit vorhanden !
Hallo,
natürlich kann man einem Admin nicht "verbieten" auf einem Server in bestimmte (nicht "öffentliche) Verzeichnisse zu schauen. Wie schon richtig ausgeführt wurde, ein Admin ist eben ein Admin. Das betrifft ja nicht nur Personaldaten, auch Forschung, Entwicklung und Konstruktion sind sensible Bereiche.
Versuch doch mal einen anderen Ansatz: Die Datei als solches ist ja nicht das Problem, sondern der Inhalt der Datei soll vor "fremden Blicken" geschützt werden! Also verschlüssele doch die Dateien, d.h. Dein Prokurist. Das Paßwort kennt nur der Prokurist, Du kannst aber mit den Dateien "arbeiten" (Datensicherung usw.). Natürlich ist das ein Mehraufwand für den Prokuristen, aber Sicherheit kostet (zB. Zeit).
Jürgen
natürlich kann man einem Admin nicht "verbieten" auf einem Server in bestimmte (nicht "öffentliche) Verzeichnisse zu schauen. Wie schon richtig ausgeführt wurde, ein Admin ist eben ein Admin. Das betrifft ja nicht nur Personaldaten, auch Forschung, Entwicklung und Konstruktion sind sensible Bereiche.
Versuch doch mal einen anderen Ansatz: Die Datei als solches ist ja nicht das Problem, sondern der Inhalt der Datei soll vor "fremden Blicken" geschützt werden! Also verschlüssele doch die Dateien, d.h. Dein Prokurist. Das Paßwort kennt nur der Prokurist, Du kannst aber mit den Dateien "arbeiten" (Datensicherung usw.). Natürlich ist das ein Mehraufwand für den Prokuristen, aber Sicherheit kostet (zB. Zeit).
Jürgen
Moin
ich werfe hier mal den Stein rein - man kann das trennen.
Rollen & Verschlüsselung heißt das Stichwort.
DomAdmin sieht nur die verschlüsselten Daten (kann die sichern und wiederherstellen)
SecurityAdmin kann anderen die Rechte erteilen, da reinzuschauen != DomAdmin
Verschlüsselung über Filer per Smartcards.
Gibt es genug Literatur und Erfahrungsberichte drüber - einfach mal an ein passendes Systemhaus wenden - allerdings lohnt sich das nur bei einer entsprechenden Firmengröße.
Gruß
24
ich werfe hier mal den Stein rein - man kann das trennen.
Rollen & Verschlüsselung heißt das Stichwort.
DomAdmin sieht nur die verschlüsselten Daten (kann die sichern und wiederherstellen)
SecurityAdmin kann anderen die Rechte erteilen, da reinzuschauen != DomAdmin
Verschlüsselung über Filer per Smartcards.
Gibt es genug Literatur und Erfahrungsberichte drüber - einfach mal an ein passendes Systemhaus wenden - allerdings lohnt sich das nur bei einer entsprechenden Firmengröße.
Gruß
24
Zitat von @LordNicon79:
Bitte verbessert mich, aber wenn ich es richtig im Kopf habe, dann benötigt man "laut Gesetz" einen
Datenschutzbeauftragten (ab einer bestimmten Betriebsgröße).
Dieser ist meistens ein externer und dient als Kontrollinstanz zur IT-Administration.
Wie oder wo ist noch mal die genaue Stelle an der man das nachlesen kann !? Dann kann ich das der GL zum Nachdruck bzw.
veranschaulichung vorlegen!
Bitte verbessert mich, aber wenn ich es richtig im Kopf habe, dann benötigt man "laut Gesetz" einen
Datenschutzbeauftragten (ab einer bestimmten Betriebsgröße).
Dieser ist meistens ein externer und dient als Kontrollinstanz zur IT-Administration.
Wie oder wo ist noch mal die genaue Stelle an der man das nachlesen kann !? Dann kann ich das der GL zum Nachdruck bzw.
veranschaulichung vorlegen!
Das steht im BDSG, http://www.gesetze-im-internet.de/bdsg_1990/__4f.html
Absatz 1, Satz 1
(1) Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind. Die Sätze 1 und 2 gelten nicht für die nichtöffentlichen Stellen, die in der Regel höchstens neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Gruß
Moin,
im Großen und Ganzen schließe ich mich meinen Vorrednern an. Ein paar Anmerkungen habe ich noch:
Auch in mittelständischen Unternehmen kommt es vor, dass beispielsweise das "Geschäftsführerlaufwerk" verschlüsselt ist. Als Admin kannst Du die Daten sichern, wenn die Geschäftsführung dem Admin nicht traur (oder ihn schützen will, je nach Sichtweise), wird ein externer Dienstleister beauftragt, der hilft, wenn dem Geschäftsführer der Schlüssel verloren geht oder die Daten inkonsistent sind. Einsehbar sind die Daten für den Dienstleister aber auch nicht.
Was Deinen Hinweis auf den Datenschutzbeauftragten angeht: Jo, das mangelnde Verständnis und Interesse für IT ist halt in ziemlich allen Unternehmen begrenzt oder auch nicht vorhanden. Ich mache das so, dass ich die Geschäftsführung anspreche und möglichst alles per Mail festhalte. Schreibe Hinweis- und Erinnerungsmails, in denen ich mich in BCC setze. So bin ich zumindest meiner Hinweispflicht nachgekommen, reagiert die Geschäftsführung nicht, liegt der stinkende Fisch im Problemfall nachweisbar dort und ich bin zumindest rechtlich raus aus der Nummer. Und: Davon mal abgesehen, dass man als Admin auch Mittel und Wege findet, den Datenschutzbeauftragten zu umgehen, KANN es unter Umständen besser sein, keinen zu haben, weil der einem im Zweifel reichlich Mehrarbeit und weitere Wege verschaffen kann. Ich kenne da einige Leute, die auf alle möglichen Dinge bestehen. Einfach, weil sie es können und es Spaß macht, Säue (Admins) durchs Dorf zu treiben...
Gruß
im Großen und Ganzen schließe ich mich meinen Vorrednern an. Ein paar Anmerkungen habe ich noch:
Auch in mittelständischen Unternehmen kommt es vor, dass beispielsweise das "Geschäftsführerlaufwerk" verschlüsselt ist. Als Admin kannst Du die Daten sichern, wenn die Geschäftsführung dem Admin nicht traur (oder ihn schützen will, je nach Sichtweise
), wird ein externer Dienstleister beauftragt, der hilft, wenn dem Geschäftsführer der Schlüssel verloren geht oder die Daten inkonsistent sind. Einsehbar sind die Daten für den Dienstleister aber auch nicht.Was Deinen Hinweis auf den Datenschutzbeauftragten angeht: Jo, das mangelnde Verständnis und Interesse für IT ist halt in ziemlich allen Unternehmen begrenzt oder auch nicht vorhanden. Ich mache das so, dass ich die Geschäftsführung anspreche und möglichst alles per Mail festhalte. Schreibe Hinweis- und Erinnerungsmails, in denen ich mich in BCC setze. So bin ich zumindest meiner Hinweispflicht nachgekommen, reagiert die Geschäftsführung nicht, liegt der stinkende Fisch im Problemfall nachweisbar dort und ich bin zumindest rechtlich raus aus der Nummer. Und: Davon mal abgesehen, dass man als Admin auch Mittel und Wege findet, den Datenschutzbeauftragten zu umgehen, KANN es unter Umständen besser sein, keinen zu haben, weil der einem im Zweifel reichlich Mehrarbeit und weitere Wege verschaffen kann. Ich kenne da einige Leute, die auf alle möglichen Dinge bestehen. Einfach, weil sie es können und es Spaß macht, Säue (Admins) durchs Dorf zu treiben...
Gruß
1
Ein fettes Danke an Euch alle !
