- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ethische Fragen in der IT


Unternehmen sollten ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren
Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden

- Anzeigen -





Von Bill Evans, One Identity

Was haben Cybersicherheit, Compliance und die gute alte Neugier gemeinsam? Sie alle sind treibende Kräfte, wenn es um das Thema Ethik in der IT geht. Anders formuliert: was kann ein IT-Experte tun versus was sollte er tun. IT-Profis sehen sich heutzutage mit einer großen Zahl ethischer Entscheidungen konfrontiert. Das liegt an der vergleichsweise einzigartigen Position, in der sich IT-Spezialisten befinden. Nämlich am Schnittpunkt zwischen professionellen Anwendern, den Applikationen, die sie benutzen und den Daten, die sie verwenden.

Das gibt IT-Experten reichlich Gelegenheit, dem Unternehmen dienlich zu sein oder ihm umgekehrt zu schaden. Wenn geschäftliche Anwendungen in der Finanzabteilung oder im Personalwesen abstürzen, ist es an der IT-Abteilung Systeme und Anwendungen wiederherzustellen. Das gehört zum Arbeitsalltag. Dieser Einflussbereich hat aber seine Schattenseiten. Und die ursprünglich zu anderen Zwecken erteilten Befugnisse können für weit weniger hehre Ziele genutzt werden.

Nehmen wir das Personalwesen. IT-Experten haben hier nicht selten erweiterte administrative Rechte, denn schließlich soll die IT im Bedarfsfall genau diese Systeme wieder ans Laufen bringen. Dieselben Rechte erlauben es ihnen aber, beispielsweise Vergütungsdetails und Gehälter von praktisch jedem Mitarbeitenden innerhalb der Firma einzusehen. Sollte die IT-Abteilung das tun? Wahrscheinlich eher nicht. Wird sie es tun? Davon kann man getrost ausgehen. In einer von One Identity im letzten Jahr durchgeführten Studie gaben zwei von drei befragten Administratoren an, ihre erweiterten Rechte zu nutzen, um in den Daten des Unternehmens "herumzuschnüffeln". Daten, die sie keineswegs brauchen, um ihren Job zu machen. Aber trifft das wirklich so zu?

Eine Möglichkeit IT zu betrachten ist, sie mit einer Situation in der physischen Welt zu vergleichen. Wie würde man dann die Aktivitäten betrachten und bewerten? In der physischen Welt gehören Büro, Schreibtisch und Schränke dem betreffenden Mitarbeiter. Und jeder, vom Manager bis zu den freundlichen Mitarbeitern diverser Serviceunternehmen, kann das Büro betreten und beispielsweise auf dem Schreibtisch eines Mitarbeiters herumstöbern. So ein Verhalten würde sicherlich von den meisten Angestellten und Führungskräften verurteilt werden. Trotzdem kann es vorkommen. Aus irgendeinem Grund nehmen wir einen Computer genauso als persönlichen Besitz wahr wie die darin befindlichen Daten. Auch wenn es sich um einen rein geschäftlich genutzten Rechner handelt, betrachten wir ihn wie unseren persönlichen Besitz. Wenn also jemand aus der IT unsere Dateien durchsucht, fühlen wir uns in unseren Rechten verletzt.

Wenn wir ein Mal die Tatsache beiseite lassen, dass IT-Profis tatsächlich in Daten herumzuschnüffeln, die sie nichts angehen, gibt es noch einen anderen Bereich. In jedem durchschnittlichen Unternehmen gehört die Geschäftsausstattung, darunter der "eigene" Rechner, dem Arbeitgeber. Und der kann verlangen, dass dieser Rechner ausschließlich zu geschäftlichen Zwecken genutzt wird. Stellen wir uns folgendes Szenario vor. Ein IT-Experte stößt beim "Herumschnüffeln" auf nicht richtlinienkonforme Aktivitäten, die das Unternehmen in Gefahr bringen könnten. Ein Mitarbeiter importiert Kundendaten für eine Marketingkampagne in eine Exceltabelle, was gegen die Vorschriften der DSGVO verstößt. Ist die IT verpflichtet, diesen Vorgang zu melden? Was, wenn sie Anzeichen für eine weitreichende Datenschutzverletzung oder Veruntreuung finden? Ist die IT dann verpflichtet das Management, die Personalabteilung und die betreffenden Behörden zu informieren? Wenn dem so ist, würde gleichzeitig offenbar, dass der betreffende IT-Mitarbeiter mit Daten zugange war, die ihn schlicht nichts angehen. Ein schwieriges ethisches Dilemma.

In den USA hat der Gesetzgeber das Problem bis zu einem gewissen Grad gelöst. Im Bildungswesen sind Lehrende gesetzlich verpflichtet, Anzeichen eines vermuteten Missbrauchs oder einer Gefährdung des Kindswohls zu melden. Das bringt Lehrende aber auch in die Bredouille. Sie sind vielleicht gezwungen vor Gericht auszusagen oder befürchten als "Whistleblower" diffamiert zu werden. In den USA gibt es sogenannte "Good Samaritan” -Gesetze. Sie bieten Menschen gesetzlichen Schutz, die diejenigen unterstützen, die sich in Gefahr befinden oder von denen sie angenommen haben, dass sie sich in Gefahr befinden. Sind diese Gesetze perfekt? Sicher nicht, aber sie sind ein Schritt in die richtige Richtung. Und der Versuch, einen kritischen Bereich so weit zu standardisieren, dass alle Beteiligten die damit verbundenen Erwartungen verstehen.

Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden. Heute verwenden viele Angestellte Fitness-Tracker selbst bei der Arbeit, etwa um Stufen zu zählen oder die zu sich genommene Kalorienzahl. Im Allgemeinen kommunizieren Fitness-Tracker mit dem Smartphone des Trägers. Und das wiederum mit dem firmeneigenen Netzwerk und dem Internetzugang, wenn die betreffenden Daten hochgeladen, gespeichert und analysiert werden. Wem gehören diese Daten? Hat die IT-Abteilung das Recht auf diese Daten zuzugreifen? Sie kann es natürlich. Und wie die Umfrageergebnisse gezeigt haben, tut sie es auch.

Die Materie wird noch um einiges komplizierter, denn IoT-Geräte wie Fitness- und Gesundheits-Tracker tun mehr, als nur Stufen zu zählen. In nicht allzu ferner Zukunft werden wir es mit internetfähigen Überwachungsmonitoren für die Herztätigkeit und Herzschrittmachern zu tun bekommen sowie mit Insulinmessgeräten, die mit dem Netz verbunden sind. Und vermutlich mit noch sehr viel mehr internetfähigen Geräten, die es den Akteuren im Gesundheitswesen erlauben in Echtzeit miteinander zu kommunizieren. Sollte ein Unternehmen diese Daten speichern? Werden Unternehmen diese Daten nutzen, wenn es an das Berechnen von Gehältern geht oder darum, ob ein bestimmter Mitarbeiter eingestellt und ein anderer entlassen werden soll?

Ein anderes ethisches Problem, das insbesondere die IT betrifft, ist der Einfluss von behördlichen Regularien und Vorschriften. Das zeigt sich gerade besonders deutlich am Beispiel des Vereinigten Königreichs. Dort fordern Experten immer wieder, dass der Datenstrom im Internet nicht nur überwacht, sondern zensiert werden sollte. Und tatsächlich "droht" die Regierung bereits damit Plattformen wie Facebook, LinkedIn und Twitter technisch nach potenziell terroristischen Inhalten zu filtern. Wir sind uns sicher weitgehend darüber einig, was terroristische Inhalte sind und was nicht. Ein Mal installiert öffnet eine solche Technologie allerdings eine Reihe von Möglichkeiten für eine behördliche Überwachung oder die Überwachung durch politische Mandatsträger. Wer definiert dann, wer ins Visier der Überwachung gerät? Vielleicht rivalisierende politische Parteien? Inhalte von Personen oder Interessegruppen deren Lebensstil nicht zu den Ansichten der vorherrschenden Partei/en passt? Wahrscheinlich? Eher nicht. Möglich? Durchaus.

Die Antwort
Wir haben hier nur einige Bereiche beleuchtet, in denen ethische Fragen mit der IT kollidieren. Warum sind diese Fragen so schwierig zu beantworten und warum hat es bisher so wenige brauchbare Versuche gegeben? Dafür gibt es eine Reihe von Gründen. Zum einen gibt zwischen denen, die Gesetze machen, und denen, die sie "leben" einen Graben was die Tiefe des technischen Verständnisses anbelangt.

Regierungsbehörden und Agenturen sollten wesentlich enger mit den IT-Experten an der Basis zusammenarbeiten, um besser zu verstehen, wie sich ihre Wortwahl konkret auswirkt. Ein gutes Beispiel für eine solche Zusammenarbeit sind die Payment Card Industry’s (PCI) Standards für sichere Kreditkartentransaktionen. Die Vorschriften sind sehr explizit formuliert. Sowohl bei dem, was sie bewirken sollen, als auch dabei wie die Vorschriften umgesetzt werden. Andere Gesetze und Vorschriften, insbesondere solche, die von der jeweiligen Regierung erlassen werden (wie etwa die EU-Datenschutzgrundverordnung, DSGVO/GDPR) sind im Gegensatz zu Regularien, die direkt aus der betreffenden Branche kommen wie PCI, eher vage, wenn es an die Vorgaben zur Implementierung geht.

Das macht es den einzelnen Firmen nicht unbedingt leichter. Um diese Lücke zu füllen, sollten Unternehmen besser selbst aktiv werden und ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren. Es gibt bereits einige solcher Dokumentationen unter anderem vom SANS-Institut, einer Forschungs- und Bildungseinrichtung, der weltweit über 165.000 Sicherheitsexperten angehören.

Unternehmen sollten zudem eine Strategie von "Vertrauen und Verifizieren" verfolgen. Die schützt sowohl IT-Fachleute als auch Unternehmen vor Rechtsstreitigkeiten oder mangelnder Compliance. Es gibt Produktklassifikationen und Aktivitäten, die solche Maßnahmen unterstützen:

Privileged Access Management-Lösungen kontrollieren, wer hochprivilegierten Zugriff auf die jeweiligen Systeme hat.
Das Log-Management hält jede einzelne Aktivität fest, die auf einem Computer oder einem anderen Gerät stattfindet (das sogenannte "Audit-Log"); üblicherweise bieten diese Produkte entsprechende Sicherheitsmaßnahmen und stellen sicher, dass die Logs nicht manipuliert werden.
Kontinuierliche Schulungen für das IT-Personal vermitteln, was von ihm erwartet wird und welche Auswirkungen ihre Aktivitäten haben – auf die IT ebenso wie auf das Unternehmen selbst.

Unabhängig davon, für welche Lösung ein Unternehmen sich letzten Endes entscheidet, sollte die Entscheidung nicht ausschließlich gefällt werden, weil sie in sicherheitstechnischer Hinsicht nützlich ist. Moderne Sicherheitsprodukte und Lösungen werden inzwischen so entwickelt, dass sie zusätzlich in der Lage sind, Unternehmen agiler und produktiver zu machen. Viele Industriezweige verfügen mittlerweile über einen Code of Conduct, um ethische Dilemmata zu lösen. Die Zeit ist reif einen solchen Code of Conduct in der IT einzuführen. Er sollte sich an IT-Experten und Benutzer gleichermaßen richten und mehr Vertrauen und Verständnis dafür schaffen, was wir von der IT erwarten dürfen und was nicht. (One Identity: ra)

eingetragen: 30.04.18
Newsletterlauf: 28.05.18

One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Cybersicherheit ist ein schrittweiser Prozess

    Unsere zunehmende Abhängigkeit von digitalen Systemen schafft ständig neue Optionen für Hacker. Die jüngsten Änderungen bei der Kreditkarten- und E-Mail-Sicherheit erhöhen eher die Anzahl von Online-Identitätsdiebstählen und anderer Cyberverbrechen. Herkömmliche Maßnahmen reichen längst nicht mehr aus, meint GlobalSign-Gastautorin Shea Drake in ihrem Blogpost, rät aber trotzdem zu einer gewissen Pragmatik und gibt entsprechende Tipps.

  • Standardisierte Hacking-Techniken

    Anbieter von IT-Sicherheitslösungen werden sich stärker vor dem Gesetzgeber zu verantworten haben: Schwerwiegende und folgenreiche Angriffe wie WannaCry und Datenschutzverletzungen haben bereits die Aufmerksamkeit des Gesetzgebers sowohl in den USA als auch in Großbritannien und den übrigen europäischen Ländern auf sich gezogen. In den USA rechnet man fest damit, dass sich in nicht allzu ferner Zukunft Anbieter von Cybersicherheitslösungen vor dem Kongress werden verantworten müssen. Ähnliche Bestrebungen, Hersteller stärker als bisher in die Pflicht zu nehmen gibt es auch hierzulande. Das im Herbst letzten Jahres auf den Weg gebrachte BSI-Projekt "Impulse für eine smarte und sichere digitale Gesellschaft" zielt in eine ähnliche Richtung: "Ziel des von Vertretern aus Zivilgesellschaft, Kultur, Wirtschaft, Wissenschaft und Verwaltung formulierten Impulspapiers ist, den aktuellen Stand der gesellschaftlichen Debatte zu Fragen einer sicheren Informationsgesellschaft transparent zu machen und den weiteren Diskurs anzuregen. Insbesondere werden die Punkte der staatlichen und gesamtgesellschaftlichen Verantwortung, Bildung und Forschung, Haftung, Sicherheitsstandards sowie Zertifizierung adressiert."

  • Große Zahl ungesicherter IoT-Geräte

    DDoS-Angriffe haben sich in den letzten sechs Monaten nahezu verdoppelt. Laut einer Studie von Corero Network Security entspricht das einem monatlichen Mittel von 237 Angriffsversuchen. Einer der Gründe für den Anstieg liegt in der hohen Zahl einfach zu übernehmenden IoT-Geräten, die zumeist nur unzureichend geschützt sind. Diese "smarten" Geräte eignen sich dann ganz vorzüglich um zu einem Teil eines riesigen Botnets zu werden. Dieses Problem wird sich weiter verschärfen. Dazu muss man nur an die unzähligen Gadgets für Endverbraucher denken, die etwa in der Weihnachtszeit über die physischen und virtuellen Ladentische gewandert sind. Diese Geräte sind eines der vordringlichen Ziele für die Übernahme durch Hacker. Neben den Bedenken, die man im Hinblick auf die Sicherheit der Privatsphäre und vertraulicher Daten hegen kann gibt es noch eine ganze Reihe von weiteren ernsthaften Gefahren, die mit diesen Geräten verbunden sind. Hacker machen sich unsichere IoT-Geräte zunutze um riesige Bot-Netze aufzubauen und DDoS-Attacken zu lancieren. Unsichere IoT-Devices waren in einigen der größten DDoS-Angriffe auf Online-Plattformen innerhalb der letzten Jahre beteiligt. Es spielt bei DDoS-Angriffen keine Rolle, wie groß ein Unternehmen ist. Gefährdet sind alle. Und sollten entsprechend Sorge tragen, was die Sicherheit ihrer Geräte, Daten und Netzwerke anbelangt.

  • A fool with a tool

    Unternehmen stehen heute vielfältige Sicherheitslösungen zur Verfügung. Doch ein Sammelsurium aus technischen Einzelmaßnahmen kann nur bedingt gegen Angriffe schützen. Vielmehr benötigen Unternehmen eine Informationssicherheitsstrategie, gestützt auf Prozesse und Tools die es einem Unternehmen ermöglichen, Informationssicherheit effizient und effektiv zu managen. Der Schlüssel zum Erfolg wird dabei im richtigen Mix aus Menschen und deren Fähigkeiten, Prozessen und Tools liegen. Nur so wird es Unternehmen gelingen proaktiv zu agieren und durch Antizipation zukünftiger Bedrohungen und entsprechender Vorbereitung die richtigen Maßnahmen zum Schutz ihrer sensiblen Daten zu treffen.

  • Was ist Certificate Transparency?

    Möglicherweise haben Sie schon vor einigen Jahren von Certificate Transparency (CT) gehört, als Google die Anforderung für alle Extended Validation (EV) SSL/TLS-Zertifikate ankündigte, die nach dem 1. Januar 2015 ausgestellt worden sind. Seitdem hat Google die Anforderung auf alle Arten von SSL-Zertifikaten ausgedehnt und zuletzt eine Frist bis zum April 2018 gesetzt. Zertifikaten, die nicht CT-qualifiziert sind und die nach diesem Datum ausgestellt werden, wird in Chrome nicht vertraut. GlobalSign hat im Hintergrund bereits daran gearbeitet, dass alle Zertifikate mit CT ausgestattet werden - Extended Validation (EV) seit 2015, Domain Validated (DV) seit August 2016 und Organisation Validated (OV) ab Oktober 2017 - GlobalSign-Kunden sind damit für den Fristablauf seitens Google gerüstet.