- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Ethische Fragen in der IT


Unternehmen sollten ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren
Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden



Von Bill Evans, One Identity

Was haben Cybersicherheit, Compliance und die gute alte Neugier gemeinsam? Sie alle sind treibende Kräfte, wenn es um das Thema Ethik in der IT geht. Anders formuliert: was kann ein IT-Experte tun versus was sollte er tun. IT-Profis sehen sich heutzutage mit einer großen Zahl ethischer Entscheidungen konfrontiert. Das liegt an der vergleichsweise einzigartigen Position, in der sich IT-Spezialisten befinden. Nämlich am Schnittpunkt zwischen professionellen Anwendern, den Applikationen, die sie benutzen und den Daten, die sie verwenden.

Das gibt IT-Experten reichlich Gelegenheit, dem Unternehmen dienlich zu sein oder ihm umgekehrt zu schaden. Wenn geschäftliche Anwendungen in der Finanzabteilung oder im Personalwesen abstürzen, ist es an der IT-Abteilung Systeme und Anwendungen wiederherzustellen. Das gehört zum Arbeitsalltag. Dieser Einflussbereich hat aber seine Schattenseiten. Und die ursprünglich zu anderen Zwecken erteilten Befugnisse können für weit weniger hehre Ziele genutzt werden.

Nehmen wir das Personalwesen. IT-Experten haben hier nicht selten erweiterte administrative Rechte, denn schließlich soll die IT im Bedarfsfall genau diese Systeme wieder ans Laufen bringen. Dieselben Rechte erlauben es ihnen aber, beispielsweise Vergütungsdetails und Gehälter von praktisch jedem Mitarbeitenden innerhalb der Firma einzusehen. Sollte die IT-Abteilung das tun? Wahrscheinlich eher nicht. Wird sie es tun? Davon kann man getrost ausgehen. In einer von One Identity im letzten Jahr durchgeführten Studie gaben zwei von drei befragten Administratoren an, ihre erweiterten Rechte zu nutzen, um in den Daten des Unternehmens "herumzuschnüffeln". Daten, die sie keineswegs brauchen, um ihren Job zu machen. Aber trifft das wirklich so zu?

Eine Möglichkeit IT zu betrachten ist, sie mit einer Situation in der physischen Welt zu vergleichen. Wie würde man dann die Aktivitäten betrachten und bewerten? In der physischen Welt gehören Büro, Schreibtisch und Schränke dem betreffenden Mitarbeiter. Und jeder, vom Manager bis zu den freundlichen Mitarbeitern diverser Serviceunternehmen, kann das Büro betreten und beispielsweise auf dem Schreibtisch eines Mitarbeiters herumstöbern. So ein Verhalten würde sicherlich von den meisten Angestellten und Führungskräften verurteilt werden. Trotzdem kann es vorkommen. Aus irgendeinem Grund nehmen wir einen Computer genauso als persönlichen Besitz wahr wie die darin befindlichen Daten. Auch wenn es sich um einen rein geschäftlich genutzten Rechner handelt, betrachten wir ihn wie unseren persönlichen Besitz. Wenn also jemand aus der IT unsere Dateien durchsucht, fühlen wir uns in unseren Rechten verletzt.

Wenn wir ein Mal die Tatsache beiseite lassen, dass IT-Profis tatsächlich in Daten herumzuschnüffeln, die sie nichts angehen, gibt es noch einen anderen Bereich. In jedem durchschnittlichen Unternehmen gehört die Geschäftsausstattung, darunter der "eigene" Rechner, dem Arbeitgeber. Und der kann verlangen, dass dieser Rechner ausschließlich zu geschäftlichen Zwecken genutzt wird. Stellen wir uns folgendes Szenario vor. Ein IT-Experte stößt beim "Herumschnüffeln" auf nicht richtlinienkonforme Aktivitäten, die das Unternehmen in Gefahr bringen könnten. Ein Mitarbeiter importiert Kundendaten für eine Marketingkampagne in eine Exceltabelle, was gegen die Vorschriften der DSGVO verstößt. Ist die IT verpflichtet, diesen Vorgang zu melden? Was, wenn sie Anzeichen für eine weitreichende Datenschutzverletzung oder Veruntreuung finden? Ist die IT dann verpflichtet das Management, die Personalabteilung und die betreffenden Behörden zu informieren? Wenn dem so ist, würde gleichzeitig offenbar, dass der betreffende IT-Mitarbeiter mit Daten zugange war, die ihn schlicht nichts angehen. Ein schwieriges ethisches Dilemma.

In den USA hat der Gesetzgeber das Problem bis zu einem gewissen Grad gelöst. Im Bildungswesen sind Lehrende gesetzlich verpflichtet, Anzeichen eines vermuteten Missbrauchs oder einer Gefährdung des Kindswohls zu melden. Das bringt Lehrende aber auch in die Bredouille. Sie sind vielleicht gezwungen vor Gericht auszusagen oder befürchten als "Whistleblower" diffamiert zu werden. In den USA gibt es sogenannte "Good Samaritan” -Gesetze. Sie bieten Menschen gesetzlichen Schutz, die diejenigen unterstützen, die sich in Gefahr befinden oder von denen sie angenommen haben, dass sie sich in Gefahr befinden. Sind diese Gesetze perfekt? Sicher nicht, aber sie sind ein Schritt in die richtige Richtung. Und der Versuch, einen kritischen Bereich so weit zu standardisieren, dass alle Beteiligten die damit verbundenen Erwartungen verstehen.

Mit dem Aufkommen neuartiger Technologien wie beispielsweise dem Internet der Dinge (IoT) ist die IT-Landschaft um ein Vielfaches komplexer geworden. Heute verwenden viele Angestellte Fitness-Tracker selbst bei der Arbeit, etwa um Stufen zu zählen oder die zu sich genommene Kalorienzahl. Im Allgemeinen kommunizieren Fitness-Tracker mit dem Smartphone des Trägers. Und das wiederum mit dem firmeneigenen Netzwerk und dem Internetzugang, wenn die betreffenden Daten hochgeladen, gespeichert und analysiert werden. Wem gehören diese Daten? Hat die IT-Abteilung das Recht auf diese Daten zuzugreifen? Sie kann es natürlich. Und wie die Umfrageergebnisse gezeigt haben, tut sie es auch.

Die Materie wird noch um einiges komplizierter, denn IoT-Geräte wie Fitness- und Gesundheits-Tracker tun mehr, als nur Stufen zu zählen. In nicht allzu ferner Zukunft werden wir es mit internetfähigen Überwachungsmonitoren für die Herztätigkeit und Herzschrittmachern zu tun bekommen sowie mit Insulinmessgeräten, die mit dem Netz verbunden sind. Und vermutlich mit noch sehr viel mehr internetfähigen Geräten, die es den Akteuren im Gesundheitswesen erlauben in Echtzeit miteinander zu kommunizieren. Sollte ein Unternehmen diese Daten speichern? Werden Unternehmen diese Daten nutzen, wenn es an das Berechnen von Gehältern geht oder darum, ob ein bestimmter Mitarbeiter eingestellt und ein anderer entlassen werden soll?

Ein anderes ethisches Problem, das insbesondere die IT betrifft, ist der Einfluss von behördlichen Regularien und Vorschriften. Das zeigt sich gerade besonders deutlich am Beispiel des Vereinigten Königreichs. Dort fordern Experten immer wieder, dass der Datenstrom im Internet nicht nur überwacht, sondern zensiert werden sollte. Und tatsächlich "droht" die Regierung bereits damit Plattformen wie Facebook, LinkedIn und Twitter technisch nach potenziell terroristischen Inhalten zu filtern. Wir sind uns sicher weitgehend darüber einig, was terroristische Inhalte sind und was nicht. Ein Mal installiert öffnet eine solche Technologie allerdings eine Reihe von Möglichkeiten für eine behördliche Überwachung oder die Überwachung durch politische Mandatsträger. Wer definiert dann, wer ins Visier der Überwachung gerät? Vielleicht rivalisierende politische Parteien? Inhalte von Personen oder Interessegruppen deren Lebensstil nicht zu den Ansichten der vorherrschenden Partei/en passt? Wahrscheinlich? Eher nicht. Möglich? Durchaus.

Die Antwort
Wir haben hier nur einige Bereiche beleuchtet, in denen ethische Fragen mit der IT kollidieren. Warum sind diese Fragen so schwierig zu beantworten und warum hat es bisher so wenige brauchbare Versuche gegeben? Dafür gibt es eine Reihe von Gründen. Zum einen gibt zwischen denen, die Gesetze machen, und denen, die sie "leben" einen Graben was die Tiefe des technischen Verständnisses anbelangt.

Regierungsbehörden und Agenturen sollten wesentlich enger mit den IT-Experten an der Basis zusammenarbeiten, um besser zu verstehen, wie sich ihre Wortwahl konkret auswirkt. Ein gutes Beispiel für eine solche Zusammenarbeit sind die Payment Card Industry’s (PCI) Standards für sichere Kreditkartentransaktionen. Die Vorschriften sind sehr explizit formuliert. Sowohl bei dem, was sie bewirken sollen, als auch dabei wie die Vorschriften umgesetzt werden. Andere Gesetze und Vorschriften, insbesondere solche, die von der jeweiligen Regierung erlassen werden (wie etwa die EU-Datenschutzgrundverordnung, DSGVO/GDPR) sind im Gegensatz zu Regularien, die direkt aus der betreffenden Branche kommen wie PCI, eher vage, wenn es an die Vorgaben zur Implementierung geht.

Das macht es den einzelnen Firmen nicht unbedingt leichter. Um diese Lücke zu füllen, sollten Unternehmen besser selbst aktiv werden und ihre Erwartungen in einem "IT Code of Conduct" klären und dokumentieren. Es gibt bereits einige solcher Dokumentationen unter anderem vom SANS-Institut, einer Forschungs- und Bildungseinrichtung, der weltweit über 165.000 Sicherheitsexperten angehören.

Unternehmen sollten zudem eine Strategie von "Vertrauen und Verifizieren" verfolgen. Die schützt sowohl IT-Fachleute als auch Unternehmen vor Rechtsstreitigkeiten oder mangelnder Compliance. Es gibt Produktklassifikationen und Aktivitäten, die solche Maßnahmen unterstützen:

Privileged Access Management-Lösungen kontrollieren, wer hochprivilegierten Zugriff auf die jeweiligen Systeme hat.
Das Log-Management hält jede einzelne Aktivität fest, die auf einem Computer oder einem anderen Gerät stattfindet (das sogenannte "Audit-Log"); üblicherweise bieten diese Produkte entsprechende Sicherheitsmaßnahmen und stellen sicher, dass die Logs nicht manipuliert werden.
Kontinuierliche Schulungen für das IT-Personal vermitteln, was von ihm erwartet wird und welche Auswirkungen ihre Aktivitäten haben – auf die IT ebenso wie auf das Unternehmen selbst.

Unabhängig davon, für welche Lösung ein Unternehmen sich letzten Endes entscheidet, sollte die Entscheidung nicht ausschließlich gefällt werden, weil sie in sicherheitstechnischer Hinsicht nützlich ist. Moderne Sicherheitsprodukte und Lösungen werden inzwischen so entwickelt, dass sie zusätzlich in der Lage sind, Unternehmen agiler und produktiver zu machen. Viele Industriezweige verfügen mittlerweile über einen Code of Conduct, um ethische Dilemmata zu lösen. Die Zeit ist reif einen solchen Code of Conduct in der IT einzuführen. Er sollte sich an IT-Experten und Benutzer gleichermaßen richten und mehr Vertrauen und Verständnis dafür schaffen, was wir von der IT erwarten dürfen und was nicht. (One Identity: ra)

eingetragen: 30.04.18
Newsletterlauf: 28.05.18

One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Zertifikat ist allerdings nicht gleich Zertifikat

    Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

  • Datensicherheit und -kontrolle mit CASBs

    Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

  • KI: Neue Spielregeln für IT-Sicherheit

    Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.