- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ethische Fragen in der IT


Unternehmen sollten ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren
Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden

- Anzeigen -





Von Bill Evans, One Identity

Was haben Cybersicherheit, Compliance und die gute alte Neugier gemeinsam? Sie alle sind treibende Kräfte, wenn es um das Thema Ethik in der IT geht. Anders formuliert: was kann ein IT-Experte tun versus was sollte er tun. IT-Profis sehen sich heutzutage mit einer großen Zahl ethischer Entscheidungen konfrontiert. Das liegt an der vergleichsweise einzigartigen Position, in der sich IT-Spezialisten befinden. Nämlich am Schnittpunkt zwischen professionellen Anwendern, den Applikationen, die sie benutzen und den Daten, die sie verwenden.

Das gibt IT-Experten reichlich Gelegenheit, dem Unternehmen dienlich zu sein oder ihm umgekehrt zu schaden. Wenn geschäftliche Anwendungen in der Finanzabteilung oder im Personalwesen abstürzen, ist es an der IT-Abteilung Systeme und Anwendungen wiederherzustellen. Das gehört zum Arbeitsalltag. Dieser Einflussbereich hat aber seine Schattenseiten. Und die ursprünglich zu anderen Zwecken erteilten Befugnisse können für weit weniger hehre Ziele genutzt werden.

Nehmen wir das Personalwesen. IT-Experten haben hier nicht selten erweiterte administrative Rechte, denn schließlich soll die IT im Bedarfsfall genau diese Systeme wieder ans Laufen bringen. Dieselben Rechte erlauben es ihnen aber, beispielsweise Vergütungsdetails und Gehälter von praktisch jedem Mitarbeitenden innerhalb der Firma einzusehen. Sollte die IT-Abteilung das tun? Wahrscheinlich eher nicht. Wird sie es tun? Davon kann man getrost ausgehen. In einer von One Identity im letzten Jahr durchgeführten Studie gaben zwei von drei befragten Administratoren an, ihre erweiterten Rechte zu nutzen, um in den Daten des Unternehmens "herumzuschnüffeln". Daten, die sie keineswegs brauchen, um ihren Job zu machen. Aber trifft das wirklich so zu?

Eine Möglichkeit IT zu betrachten ist, sie mit einer Situation in der physischen Welt zu vergleichen. Wie würde man dann die Aktivitäten betrachten und bewerten? In der physischen Welt gehören Büro, Schreibtisch und Schränke dem betreffenden Mitarbeiter. Und jeder, vom Manager bis zu den freundlichen Mitarbeitern diverser Serviceunternehmen, kann das Büro betreten und beispielsweise auf dem Schreibtisch eines Mitarbeiters herumstöbern. So ein Verhalten würde sicherlich von den meisten Angestellten und Führungskräften verurteilt werden. Trotzdem kann es vorkommen. Aus irgendeinem Grund nehmen wir einen Computer genauso als persönlichen Besitz wahr wie die darin befindlichen Daten. Auch wenn es sich um einen rein geschäftlich genutzten Rechner handelt, betrachten wir ihn wie unseren persönlichen Besitz. Wenn also jemand aus der IT unsere Dateien durchsucht, fühlen wir uns in unseren Rechten verletzt.

Wenn wir ein Mal die Tatsache beiseite lassen, dass IT-Profis tatsächlich in Daten herumzuschnüffeln, die sie nichts angehen, gibt es noch einen anderen Bereich. In jedem durchschnittlichen Unternehmen gehört die Geschäftsausstattung, darunter der "eigene" Rechner, dem Arbeitgeber. Und der kann verlangen, dass dieser Rechner ausschließlich zu geschäftlichen Zwecken genutzt wird. Stellen wir uns folgendes Szenario vor. Ein IT-Experte stößt beim "Herumschnüffeln" auf nicht richtlinienkonforme Aktivitäten, die das Unternehmen in Gefahr bringen könnten. Ein Mitarbeiter importiert Kundendaten für eine Marketingkampagne in eine Exceltabelle, was gegen die Vorschriften der DSGVO verstößt. Ist die IT verpflichtet, diesen Vorgang zu melden? Was, wenn sie Anzeichen für eine weitreichende Datenschutzverletzung oder Veruntreuung finden? Ist die IT dann verpflichtet das Management, die Personalabteilung und die betreffenden Behörden zu informieren? Wenn dem so ist, würde gleichzeitig offenbar, dass der betreffende IT-Mitarbeiter mit Daten zugange war, die ihn schlicht nichts angehen. Ein schwieriges ethisches Dilemma.

In den USA hat der Gesetzgeber das Problem bis zu einem gewissen Grad gelöst. Im Bildungswesen sind Lehrende gesetzlich verpflichtet, Anzeichen eines vermuteten Missbrauchs oder einer Gefährdung des Kindswohls zu melden. Das bringt Lehrende aber auch in die Bredouille. Sie sind vielleicht gezwungen vor Gericht auszusagen oder befürchten als "Whistleblower" diffamiert zu werden. In den USA gibt es sogenannte "Good Samaritan” -Gesetze. Sie bieten Menschen gesetzlichen Schutz, die diejenigen unterstützen, die sich in Gefahr befinden oder von denen sie angenommen haben, dass sie sich in Gefahr befinden. Sind diese Gesetze perfekt? Sicher nicht, aber sie sind ein Schritt in die richtige Richtung. Und der Versuch, einen kritischen Bereich so weit zu standardisieren, dass alle Beteiligten die damit verbundenen Erwartungen verstehen.

Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden. Heute verwenden viele Angestellte Fitness-Tracker selbst bei der Arbeit, etwa um Stufen zu zählen oder die zu sich genommene Kalorienzahl. Im Allgemeinen kommunizieren Fitness-Tracker mit dem Smartphone des Trägers. Und das wiederum mit dem firmeneigenen Netzwerk und dem Internetzugang, wenn die betreffenden Daten hochgeladen, gespeichert und analysiert werden. Wem gehören diese Daten? Hat die IT-Abteilung das Recht auf diese Daten zuzugreifen? Sie kann es natürlich. Und wie die Umfrageergebnisse gezeigt haben, tut sie es auch.

Die Materie wird noch um einiges komplizierter, denn IoT-Geräte wie Fitness- und Gesundheits-Tracker tun mehr, als nur Stufen zu zählen. In nicht allzu ferner Zukunft werden wir es mit internetfähigen Überwachungsmonitoren für die Herztätigkeit und Herzschrittmachern zu tun bekommen sowie mit Insulinmessgeräten, die mit dem Netz verbunden sind. Und vermutlich mit noch sehr viel mehr internetfähigen Geräten, die es den Akteuren im Gesundheitswesen erlauben in Echtzeit miteinander zu kommunizieren. Sollte ein Unternehmen diese Daten speichern? Werden Unternehmen diese Daten nutzen, wenn es an das Berechnen von Gehältern geht oder darum, ob ein bestimmter Mitarbeiter eingestellt und ein anderer entlassen werden soll?

Ein anderes ethisches Problem, das insbesondere die IT betrifft, ist der Einfluss von behördlichen Regularien und Vorschriften. Das zeigt sich gerade besonders deutlich am Beispiel des Vereinigten Königreichs. Dort fordern Experten immer wieder, dass der Datenstrom im Internet nicht nur überwacht, sondern zensiert werden sollte. Und tatsächlich "droht" die Regierung bereits damit Plattformen wie Facebook, LinkedIn und Twitter technisch nach potenziell terroristischen Inhalten zu filtern. Wir sind uns sicher weitgehend darüber einig, was terroristische Inhalte sind und was nicht. Ein Mal installiert öffnet eine solche Technologie allerdings eine Reihe von Möglichkeiten für eine behördliche Überwachung oder die Überwachung durch politische Mandatsträger. Wer definiert dann, wer ins Visier der Überwachung gerät? Vielleicht rivalisierende politische Parteien? Inhalte von Personen oder Interessegruppen deren Lebensstil nicht zu den Ansichten der vorherrschenden Partei/en passt? Wahrscheinlich? Eher nicht. Möglich? Durchaus.

Die Antwort
Wir haben hier nur einige Bereiche beleuchtet, in denen ethische Fragen mit der IT kollidieren. Warum sind diese Fragen so schwierig zu beantworten und warum hat es bisher so wenige brauchbare Versuche gegeben? Dafür gibt es eine Reihe von Gründen. Zum einen gibt zwischen denen, die Gesetze machen, und denen, die sie "leben" einen Graben was die Tiefe des technischen Verständnisses anbelangt.

Regierungsbehörden und Agenturen sollten wesentlich enger mit den IT-Experten an der Basis zusammenarbeiten, um besser zu verstehen, wie sich ihre Wortwahl konkret auswirkt. Ein gutes Beispiel für eine solche Zusammenarbeit sind die Payment Card Industry’s (PCI) Standards für sichere Kreditkartentransaktionen. Die Vorschriften sind sehr explizit formuliert. Sowohl bei dem, was sie bewirken sollen, als auch dabei wie die Vorschriften umgesetzt werden. Andere Gesetze und Vorschriften, insbesondere solche, die von der jeweiligen Regierung erlassen werden (wie etwa die EU-Datenschutzgrundverordnung, DSGVO/GDPR) sind im Gegensatz zu Regularien, die direkt aus der betreffenden Branche kommen wie PCI, eher vage, wenn es an die Vorgaben zur Implementierung geht.

Das macht es den einzelnen Firmen nicht unbedingt leichter. Um diese Lücke zu füllen, sollten Unternehmen besser selbst aktiv werden und ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren. Es gibt bereits einige solcher Dokumentationen unter anderem vom SANS-Institut, einer Forschungs- und Bildungseinrichtung, der weltweit über 165.000 Sicherheitsexperten angehören.

Unternehmen sollten zudem eine Strategie von "Vertrauen und Verifizieren" verfolgen. Die schützt sowohl IT-Fachleute als auch Unternehmen vor Rechtsstreitigkeiten oder mangelnder Compliance. Es gibt Produktklassifikationen und Aktivitäten, die solche Maßnahmen unterstützen:

Privileged Access Management-Lösungen kontrollieren, wer hochprivilegierten Zugriff auf die jeweiligen Systeme hat.
Das Log-Management hält jede einzelne Aktivität fest, die auf einem Computer oder einem anderen Gerät stattfindet (das sogenannte "Audit-Log"); üblicherweise bieten diese Produkte entsprechende Sicherheitsmaßnahmen und stellen sicher, dass die Logs nicht manipuliert werden.
Kontinuierliche Schulungen für das IT-Personal vermitteln, was von ihm erwartet wird und welche Auswirkungen ihre Aktivitäten haben – auf die IT ebenso wie auf das Unternehmen selbst.

Unabhängig davon, für welche Lösung ein Unternehmen sich letzten Endes entscheidet, sollte die Entscheidung nicht ausschließlich gefällt werden, weil sie in sicherheitstechnischer Hinsicht nützlich ist. Moderne Sicherheitsprodukte und Lösungen werden inzwischen so entwickelt, dass sie zusätzlich in der Lage sind, Unternehmen agiler und produktiver zu machen. Viele Industriezweige verfügen mittlerweile über einen Code of Conduct, um ethische Dilemmata zu lösen. Die Zeit ist reif einen solchen Code of Conduct in der IT einzuführen. Er sollte sich an IT-Experten und Benutzer gleichermaßen richten und mehr Vertrauen und Verständnis dafür schaffen, was wir von der IT erwarten dürfen und was nicht. (One Identity: ra)

eingetragen: 30.04.18
Newsletterlauf: 28.05.18

One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Geschichte und Zukunft der Ransomware

    Aktuelle Ransomware-Angriffe wie das erneute Aufflammen der GandCrab-Welle oder die Attacke auf den deutschen Maschinenbauer Krauss Maffei, durch den zahlreiche Rechner lahmgelegt und die Produktion wochenlang gedrosselt wurde, zeigen, dass das Geschäftsmodell der Datengeiselnahme für Cyberkriminelle leider nichts an Attraktivität eingebüßt hat. Lösegelderpressung durch Ransomware hat von ihren frühesten Anfängen vor 30 Jahren bis heute eine berüchtigte Karriere hingelegt. Durch die enorme Professionalisierung der Vertriebswege, beispielsweise durch Ransomware-as-a-Service (RaaS), wurden Krypto-Trojaner-Attacken auch für technisch wenig versierte Kriminelle zu einer der lohnenswertesten und erfolgreichsten Angriffsarten.

  • Unterschätzte Bedrohung "Datendiebstahl"

    Datendiebstahl zählt zu den größten Bedrohungen in der Cyberwelt. So wurden im Jahr 2017 rund 2,6 Milliarden Daten gestohlen. Das entspricht einer Zunahme von 88 Prozent im Vergleich zum Vorjahr (1). Trotzdem wird diese Gefahr häufig noch immer unterschätzt. Denn gerade durch das Aufkommen des Internet of Things (IoT) sowie des Industrial Internet of Things (IIoT) können die Folgen solcher ungewollten Datenabflüsse weitaus größere Ausmaße haben als "nur" den reinen Verlust von wichtigen Daten. Dabei haben es die Hacker auf den ersten Blick auf vermeintlich uninteressante Unternehmens- und Mitarbeiterdaten abgesehen.

  • Wer muss die Sicherheitsstrategie mittragen?

    Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?

  • Biometrie hat viele Gesichter

    Laut National Academies Press versteht man unter Biometrie "die automatisierte Erkennung von Individuen anhand von Verhaltensmerkmalen und biologischen Eigenschaften". Diese Merkmale werden zunehmend genutzt, um eine wachsende Zahl digitaler Systeme und Objekte wie Anwendungen, Datenquellen, Mobiltelefone, PCs und Gebäude zu sichern sowie den Zugang oder Zugriff zu ermöglichen. Hier ersetzen biometrische Merkmale vermehrt Passwörter und Codes, die wesentlich einfacher zu knacken sind. Passwörter haben fundamentale Schwächen. Sie können kompromittiert oder gestohlen, oder in einigen Fällen sogar einfach erraten werden - und so die digitale Identität einer Person gefährden. Biometrische Technologien sind an dieser Stelle wesentlich sicherer, weil sie sich auf einzigartige Erscheinungsmerkmale oder Verhaltensweisen einer Person stützen, bevor diese auf Geräte, Datenbanken oder Systeme zugreifen darf.

  • Fragmentierung macht Compliance-Nachweis schwierig

    Die Verschlüsselung von Daten ist rund um den Globus zu einem zentralen Bestandteil der IT-Sicherheitsstrategie von Unternehmen geworden. Das hat unterschiedliche Gründe. Öffentlich bekannt gewordene Fälle von Datenschutzverletzungen und Datendiebstahl haben Unternehmenslenker für die Folgewirkungen sensibilisiert. Neben rechtlichen Konsequenzen können Datenschutzverletzungen und Datenverluste auch negative Folgen für den Ruf des Unternehmens haben. Und auch Compliance-Anforderungen, wie sie etwa der PCI DSS an Unternehmen stellt, die Kreditkartentransaktionen nutzen, sind ein entscheidender Motivationsfaktor für den Einsatz von Verschlüsselungstechnologie. Moderne Datenverschlüsselung steht auf fünf Säulen: Sie ist universell, hoch automatisiert, sie nutzt moderne Authentifizierungsmechanismen, sie setzt auf Verschlüsselungstechnologien auf Hardwareebene und sie ist transparent und zentral verwaltet. Die Säulen im Einzelnen.