- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ethische Fragen in der IT


Unternehmen sollten ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren
Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden

- Anzeigen -





Von Bill Evans, One Identity

Was haben Cybersicherheit, Compliance und die gute alte Neugier gemeinsam? Sie alle sind treibende Kräfte, wenn es um das Thema Ethik in der IT geht. Anders formuliert: was kann ein IT-Experte tun versus was sollte er tun. IT-Profis sehen sich heutzutage mit einer großen Zahl ethischer Entscheidungen konfrontiert. Das liegt an der vergleichsweise einzigartigen Position, in der sich IT-Spezialisten befinden. Nämlich am Schnittpunkt zwischen professionellen Anwendern, den Applikationen, die sie benutzen und den Daten, die sie verwenden.

Das gibt IT-Experten reichlich Gelegenheit, dem Unternehmen dienlich zu sein oder ihm umgekehrt zu schaden. Wenn geschäftliche Anwendungen in der Finanzabteilung oder im Personalwesen abstürzen, ist es an der IT-Abteilung Systeme und Anwendungen wiederherzustellen. Das gehört zum Arbeitsalltag. Dieser Einflussbereich hat aber seine Schattenseiten. Und die ursprünglich zu anderen Zwecken erteilten Befugnisse können für weit weniger hehre Ziele genutzt werden.

Nehmen wir das Personalwesen. IT-Experten haben hier nicht selten erweiterte administrative Rechte, denn schließlich soll die IT im Bedarfsfall genau diese Systeme wieder ans Laufen bringen. Dieselben Rechte erlauben es ihnen aber, beispielsweise Vergütungsdetails und Gehälter von praktisch jedem Mitarbeitenden innerhalb der Firma einzusehen. Sollte die IT-Abteilung das tun? Wahrscheinlich eher nicht. Wird sie es tun? Davon kann man getrost ausgehen. In einer von One Identity im letzten Jahr durchgeführten Studie gaben zwei von drei befragten Administratoren an, ihre erweiterten Rechte zu nutzen, um in den Daten des Unternehmens "herumzuschnüffeln". Daten, die sie keineswegs brauchen, um ihren Job zu machen. Aber trifft das wirklich so zu?

Eine Möglichkeit IT zu betrachten ist, sie mit einer Situation in der physischen Welt zu vergleichen. Wie würde man dann die Aktivitäten betrachten und bewerten? In der physischen Welt gehören Büro, Schreibtisch und Schränke dem betreffenden Mitarbeiter. Und jeder, vom Manager bis zu den freundlichen Mitarbeitern diverser Serviceunternehmen, kann das Büro betreten und beispielsweise auf dem Schreibtisch eines Mitarbeiters herumstöbern. So ein Verhalten würde sicherlich von den meisten Angestellten und Führungskräften verurteilt werden. Trotzdem kann es vorkommen. Aus irgendeinem Grund nehmen wir einen Computer genauso als persönlichen Besitz wahr wie die darin befindlichen Daten. Auch wenn es sich um einen rein geschäftlich genutzten Rechner handelt, betrachten wir ihn wie unseren persönlichen Besitz. Wenn also jemand aus der IT unsere Dateien durchsucht, fühlen wir uns in unseren Rechten verletzt.

Wenn wir ein Mal die Tatsache beiseite lassen, dass IT-Profis tatsächlich in Daten herumzuschnüffeln, die sie nichts angehen, gibt es noch einen anderen Bereich. In jedem durchschnittlichen Unternehmen gehört die Geschäftsausstattung, darunter der "eigene" Rechner, dem Arbeitgeber. Und der kann verlangen, dass dieser Rechner ausschließlich zu geschäftlichen Zwecken genutzt wird. Stellen wir uns folgendes Szenario vor. Ein IT-Experte stößt beim "Herumschnüffeln" auf nicht richtlinienkonforme Aktivitäten, die das Unternehmen in Gefahr bringen könnten. Ein Mitarbeiter importiert Kundendaten für eine Marketingkampagne in eine Exceltabelle, was gegen die Vorschriften der DSGVO verstößt. Ist die IT verpflichtet, diesen Vorgang zu melden? Was, wenn sie Anzeichen für eine weitreichende Datenschutzverletzung oder Veruntreuung finden? Ist die IT dann verpflichtet das Management, die Personalabteilung und die betreffenden Behörden zu informieren? Wenn dem so ist, würde gleichzeitig offenbar, dass der betreffende IT-Mitarbeiter mit Daten zugange war, die ihn schlicht nichts angehen. Ein schwieriges ethisches Dilemma.

In den USA hat der Gesetzgeber das Problem bis zu einem gewissen Grad gelöst. Im Bildungswesen sind Lehrende gesetzlich verpflichtet, Anzeichen eines vermuteten Missbrauchs oder einer Gefährdung des Kindswohls zu melden. Das bringt Lehrende aber auch in die Bredouille. Sie sind vielleicht gezwungen vor Gericht auszusagen oder befürchten als "Whistleblower" diffamiert zu werden. In den USA gibt es sogenannte "Good Samaritan” -Gesetze. Sie bieten Menschen gesetzlichen Schutz, die diejenigen unterstützen, die sich in Gefahr befinden oder von denen sie angenommen haben, dass sie sich in Gefahr befinden. Sind diese Gesetze perfekt? Sicher nicht, aber sie sind ein Schritt in die richtige Richtung. Und der Versuch, einen kritischen Bereich so weit zu standardisieren, dass alle Beteiligten die damit verbundenen Erwartungen verstehen.

Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden. Heute verwenden viele Angestellte Fitness-Tracker selbst bei der Arbeit, etwa um Stufen zu zählen oder die zu sich genommene Kalorienzahl. Im Allgemeinen kommunizieren Fitness-Tracker mit dem Smartphone des Trägers. Und das wiederum mit dem firmeneigenen Netzwerk und dem Internetzugang, wenn die betreffenden Daten hochgeladen, gespeichert und analysiert werden. Wem gehören diese Daten? Hat die IT-Abteilung das Recht auf diese Daten zuzugreifen? Sie kann es natürlich. Und wie die Umfrageergebnisse gezeigt haben, tut sie es auch.

Die Materie wird noch um einiges komplizierter, denn IoT-Geräte wie Fitness- und Gesundheits-Tracker tun mehr, als nur Stufen zu zählen. In nicht allzu ferner Zukunft werden wir es mit internetfähigen Überwachungsmonitoren für die Herztätigkeit und Herzschrittmachern zu tun bekommen sowie mit Insulinmessgeräten, die mit dem Netz verbunden sind. Und vermutlich mit noch sehr viel mehr internetfähigen Geräten, die es den Akteuren im Gesundheitswesen erlauben in Echtzeit miteinander zu kommunizieren. Sollte ein Unternehmen diese Daten speichern? Werden Unternehmen diese Daten nutzen, wenn es an das Berechnen von Gehältern geht oder darum, ob ein bestimmter Mitarbeiter eingestellt und ein anderer entlassen werden soll?

Ein anderes ethisches Problem, das insbesondere die IT betrifft, ist der Einfluss von behördlichen Regularien und Vorschriften. Das zeigt sich gerade besonders deutlich am Beispiel des Vereinigten Königreichs. Dort fordern Experten immer wieder, dass der Datenstrom im Internet nicht nur überwacht, sondern zensiert werden sollte. Und tatsächlich "droht" die Regierung bereits damit Plattformen wie Facebook, LinkedIn und Twitter technisch nach potenziell terroristischen Inhalten zu filtern. Wir sind uns sicher weitgehend darüber einig, was terroristische Inhalte sind und was nicht. Ein Mal installiert öffnet eine solche Technologie allerdings eine Reihe von Möglichkeiten für eine behördliche Überwachung oder die Überwachung durch politische Mandatsträger. Wer definiert dann, wer ins Visier der Überwachung gerät? Vielleicht rivalisierende politische Parteien? Inhalte von Personen oder Interessegruppen deren Lebensstil nicht zu den Ansichten der vorherrschenden Partei/en passt? Wahrscheinlich? Eher nicht. Möglich? Durchaus.

Die Antwort
Wir haben hier nur einige Bereiche beleuchtet, in denen ethische Fragen mit der IT kollidieren. Warum sind diese Fragen so schwierig zu beantworten und warum hat es bisher so wenige brauchbare Versuche gegeben? Dafür gibt es eine Reihe von Gründen. Zum einen gibt zwischen denen, die Gesetze machen, und denen, die sie "leben" einen Graben was die Tiefe des technischen Verständnisses anbelangt.

Regierungsbehörden und Agenturen sollten wesentlich enger mit den IT-Experten an der Basis zusammenarbeiten, um besser zu verstehen, wie sich ihre Wortwahl konkret auswirkt. Ein gutes Beispiel für eine solche Zusammenarbeit sind die Payment Card Industry’s (PCI) Standards für sichere Kreditkartentransaktionen. Die Vorschriften sind sehr explizit formuliert. Sowohl bei dem, was sie bewirken sollen, als auch dabei wie die Vorschriften umgesetzt werden. Andere Gesetze und Vorschriften, insbesondere solche, die von der jeweiligen Regierung erlassen werden (wie etwa die EU-Datenschutzgrundverordnung, DSGVO/GDPR) sind im Gegensatz zu Regularien, die direkt aus der betreffenden Branche kommen wie PCI, eher vage, wenn es an die Vorgaben zur Implementierung geht.

Das macht es den einzelnen Firmen nicht unbedingt leichter. Um diese Lücke zu füllen, sollten Unternehmen besser selbst aktiv werden und ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren. Es gibt bereits einige solcher Dokumentationen unter anderem vom SANS-Institut, einer Forschungs- und Bildungseinrichtung, der weltweit über 165.000 Sicherheitsexperten angehören.

Unternehmen sollten zudem eine Strategie von "Vertrauen und Verifizieren" verfolgen. Die schützt sowohl IT-Fachleute als auch Unternehmen vor Rechtsstreitigkeiten oder mangelnder Compliance. Es gibt Produktklassifikationen und Aktivitäten, die solche Maßnahmen unterstützen:

Privileged Access Management-Lösungen kontrollieren, wer hochprivilegierten Zugriff auf die jeweiligen Systeme hat.
Das Log-Management hält jede einzelne Aktivität fest, die auf einem Computer oder einem anderen Gerät stattfindet (das sogenannte "Audit-Log"); üblicherweise bieten diese Produkte entsprechende Sicherheitsmaßnahmen und stellen sicher, dass die Logs nicht manipuliert werden.
Kontinuierliche Schulungen für das IT-Personal vermitteln, was von ihm erwartet wird und welche Auswirkungen ihre Aktivitäten haben – auf die IT ebenso wie auf das Unternehmen selbst.

Unabhängig davon, für welche Lösung ein Unternehmen sich letzten Endes entscheidet, sollte die Entscheidung nicht ausschließlich gefällt werden, weil sie in sicherheitstechnischer Hinsicht nützlich ist. Moderne Sicherheitsprodukte und Lösungen werden inzwischen so entwickelt, dass sie zusätzlich in der Lage sind, Unternehmen agiler und produktiver zu machen. Viele Industriezweige verfügen mittlerweile über einen Code of Conduct, um ethische Dilemmata zu lösen. Die Zeit ist reif einen solchen Code of Conduct in der IT einzuführen. Er sollte sich an IT-Experten und Benutzer gleichermaßen richten und mehr Vertrauen und Verständnis dafür schaffen, was wir von der IT erwarten dürfen und was nicht. (One Identity: ra)

eingetragen: 30.04.18
Newsletterlauf: 28.05.18

One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert.

  • Tor-Browser, um IP-Adressen zu verschleiern

    Trotz ausgereifter Sicherheitstechnologien bleiben Anwender für Unternehmen eine empfindliche Schwachstelle, insbesondere deshalb, weil Cyberkriminelle ihre Social Engineering-Angriffe immer weiter verfeinern. Vor allem Phishing zählt zu den Angriffsvektoren, die Unternehmen gegenwärtig Kopfschmerzen bereiten. So werden E-Mails im Namen von Payment-Services, Shopanbietern oder E-Mailservice-Hosts von den kriminellen Hintermännern täuschend echt nachgeahmt, mit dem Ziel, durch das Abfischen von Logindaten weitere sensible, persönliche Daten zu erbeuten. Doch wie sehen die Konsequenzen aus, wenn Nutzerdaten von Mitarbeitern in die falschen Hände geraten und welche Auswirkungen hätte dies auf das Unternehmen? Das Forschungsteam von Bitglass hat versucht, mithilfe eines Experiments unter dem Namen "Cumulus" den Verbreitungswegen illegal erbeuteter Daten auf die Spur zu kommen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert. Die IoT-Entwicklung durchdringt mittlerweile alle Facetten unseres Lebens. Entsprechend rasant ist das Innovationstempo in diesem Bereich. Es existieren viele Anwendungen, die klug und ausgereift sind, aber leider auch solche, die das genaue Gegenteil davon sind. Dessen ungeachtet sind die weitaus meisten Anwendungen sehr wirkungsvoll etwa in der Landwirtschaft oder im Gesundheitswesen. Das IoT ist also nicht mehr weg zu denken. Trotzdem mutet die Entwicklung bisweilen so an, als versuche jemand zu rennen bevor er noch überhaupt laufen gelernt hat. Übersetzt heißt das, IoT-Entwickler vernachlässigen eine Kernkomponente unserer vernetzten Welt, die Sicherheit.