'Big Brother' - Webmaster sieht alles?

lstr · 5. März 2003 um 15:21

In Firmen können Webmaster ja so ziemlich alles sehen, was man gemacht hat im Internet und auch Intranet.

Frage: Können die auch meine Emails, die ich beispielweise von Yahoo verschicke und empfange sehen, wenn ich die TEMP-Dateien lösche bzw. gelöscht habe ? Es geht mir darum, ob es eine Intimität gibt bei Mails, die ich beispielsweise für Korrespondenz mit anderen Arbeitgebern nutzen kann…

Oder gibt es dann auch Dateien, auf denen man sehen kann, was ich geschrieben bzw. bekommen habe?

Beste Grüße, Lothar

Malte_4b1c84 · 5. März 2003 um 15:35

Im Prinzip ja.

Frage: Können die auch meine Emails, die ich beispielweise von
Yahoo verschicke und empfange sehen, wenn ich die TEMP-Dateien
lösche bzw. gelöscht habe ? Es geht mir darum, ob es eine
Intimität gibt bei Mails, die ich beispielsweise für
Korrespondenz mit anderen Arbeitgebern nutzen kann…

Oder gibt es dann auch Dateien, auf denen man sehen kann, was
ich geschrieben bzw. bekommen habe?

Also, grundsätzlich ist es möglich, sogar recht leicht, alles, aber auch alles, was in Klartext über die Leitung geht, mitzuloggen. Dafür braucht’s gar keine Dateien, nein, es wird einfach der Datenstrom ins Internet mitgeschnitten, irgendwo auf nem Admin-Rechner oder Zugangsserver geloggt und dann analysiert.

Rechtlich ist solch ein Vorgehen allerdings zweifelhaft. Vertraulichkeit wird ausschliesslich durch starke Verschlüsselung gewährleistet. Bei dem Punkt Webmail wäre das z.B. eine Verbindung via SSL (das erkennst Du an dem Prefix „https://“ und dem kleinen Vorhängeschloß im IE, z.B.). ABER: Wenn auch SSL-Verbindungen über einen Firmen-Proxy gehen, können auch diese dort in Klartext mitgelesen werden!

Also in Kurzform: Ja, der Firmenadmin _kann_ grundsätzlich alles mitlesen, er wird es aber idR nicht tun.

Bei Fragen - fragen!

Gruß,

Doc.

Stefan_Schustereit · 5. März 2003 um 16:23

Also in Kurzform: Ja, der Firmenadmin _kann_ grundsätzlich
alles mitlesen, er wird es aber idR nicht tun.

Er darf es nicht einmal. Selbst wenn er etwas mitliest, hält er besser den Mund.

Stefan

anon72630274 · 5. März 2003 um 16:41

ABER: Wenn auch SSL-Verbindungen über einen Firmen-Proxy gehen, können auch diese dort in Klartext mitgelesen werden!

Wieso dieses?

Fabian

Sebastian · 5. März 2003 um 17:30

ABER: Wenn auch SSL-Verbindungen über einen Firmen-Proxy
gehen, können auch diese dort in Klartext mitgelesen
werden!

Wieso dieses?

DocValde hat sich ausnahmsweise mal geirrt…

Sebastian

Malte_4b1c84 · 5. März 2003 um 17:55

‚Das kommt darauf an‘
Es soll Application Proxy Gateways geben, die sich auch zwischen SSL-Verbindungen schalten… Soll heissen:

 +--------+
PC | Proxy | www
| | in out| |
| +--+--+--+ |
| sichere Verbindung | | sichere Verbindung |
+--------------------------+ +-------------------------+

So daß sichere Verbindungen vom PC zum Proxy und vom Proxy zum www bestehen, aber zwischen „Proxy in“ und „Proxy out“ Klartext vorliegt. Gesehen hab ich sowas auch noch nicht, aber ich meine mich an eine entpsrechende Vorlesung zu erinnern… Ich check das nochmal.

Gruß,

Doc.

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Sebastian · 5. März 2003 um 18:05

ABER: Wenn auch SSL-Verbindungen über einen Firmen-Proxy
gehen, können auch diese dort in Klartext mitgelesen
werden!

DocValde hat sich ausnahmsweise mal geirrt…

Es soll Application Proxy Gateways geben, die sich auch
zwischen SSL-Verbindungen schalten… Soll heissen:

So daß sichere Verbindungen vom PC zum Proxy und vom Proxy zum
www bestehen, aber zwischen „Proxy in“ und „Proxy out“
Klartext vorliegt.

Sowwas ist zwar denkbar, aber unsinnig. Was meinst Du, würde der Browser sagen, wenn er das Zertifikat vom Proxy aber die URL von meiner Haubank sieht?

Richtig, er würde mir die ganze Arbeitsfläche mit berechtigten Warnmeldungen vollspucken…

Gruß,

Sebastian

Malte_4b1c84 · 5. März 2003 um 18:17

So daß sichere Verbindungen vom PC zum Proxy und vom Proxy zum
www bestehen, aber zwischen „Proxy in“ und „Proxy out“
Klartext vorliegt.

Sowwas ist zwar denkbar, aber unsinnig. Was meinst Du, würde
der Browser sagen, wenn er das Zertifikat vom Proxy aber die
URL von meiner Haubank sieht?

Richtig, er würde mir die ganze Arbeitsfläche mit berechtigten
Warnmeldungen vollspucken…

Ich seh die Problematik. Ich finde den Part auch grad nicht in meinen Unterlagen. Ich erinnere mich noch, daß das gemacht wurde, um auch https-Traffic auf malicious content hin untersuchen zu können. Hm. Je nach Unternehmens-SecPol kann man die Browser btw. dann entsprechend konfigurieren, wenn das denn gewollt ist. Ich geb ja zu, daß das auch nicht mein bevorzugter Weg wäre, aber es gibt bestimmt Admins und v.a. CIOs, die das ganz toll finden.

Gruß,

Doc.

Sebastian · 5. März 2003 um 18:57

Ich erinnere mich noch, daß das gemacht
wurde, um auch https-Traffic auf malicious content hin
untersuchen zu können.

Auauau! Auf daß man weiter mit Schrottsoftware arbeiten kann…

Hm. Je nach Unternehmens-SecPol kann
man die Browser btw. dann entsprechend konfigurieren, wenn das
denn gewollt ist.

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine institutionalisierte „MAn in the middle attack“?

Ich geb ja zu, daß das auch nicht mein
bevorzugter Weg wäre, aber es gibt bestimmt Admins und v.a.
CIOs,
die das ganz toll finden.

Wir üblich phänomenal planlose Leute. Naja.

Und nachher faseln, daß Internet „inhärent unsicher“ sei. Die Kaspernasen kenn 'mer…

Sebastian

Malte_4b1c84 · 5. März 2003 um 19:09

Ich erinnere mich noch, daß das gemacht
wurde, um auch https-Traffic auf malicious content hin
untersuchen zu können.

Auauau! Auf daß man weiter mit Schrottsoftware arbeiten
kann…

Genau deshalb ist das nicht mein Weg, aber der von u.g. Pappnasen.

Hm. Je nach Unternehmens-SecPol kann
man die Browser btw. dann entsprechend konfigurieren, wenn das
denn gewollt ist.

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine
institutionalisierte „MAn in the middle attack“?

Klar geht das. Ich bin mir jetzt noch unsicherer, aber IIRC gibt’s das sogar für PGP-encrypted-eMails. Natürlich müssen die Clients da entsprechend mitspielen, also ganz unbemerkt geht nicht, aber wie gesagt „Security Policy“ ist ein irreführender Begriff - je nach Inhalt.

Wir üblich phänomenal planlose Leute. Naja.
Und nachher faseln, daß Internet „inhärent unsicher“ sei. Die
Kaspernasen kenn 'mer…

Rien d’ajouter.

Doc.

Sebastian · 5. März 2003 um 20:00

Hm. Je nach Unternehmens-SecPol kann
man die Browser btw. dann entsprechend konfigurieren, wenn das
denn gewollt ist.

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine
institutionalisierte „MAn in the middle attack“?

Klar geht das.

Sicher? Bei SSL und einem „gängigen Browser“?

Ich bin mir jetzt noch unsicherer, aber IIRC
gibt’s das sogar für PGP-encrypted-eMails.

Das ist die Sache mit dem „ADK“, die prinzipiell anders läuft (und unter PGP funktioniert aber nicht nativ unter SSL).

Sebastian

Malte_4b1c84 · 5. März 2003 um 20:17

Hm. Je nach Unternehmens-SecPol kann
man die Browser btw. dann entsprechend konfigurieren, wenn das
denn gewollt ist.

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine
institutionalisierte „MAn in the middle attack“?

Klar geht das.

Sicher? Bei SSL und einem „gängigen Browser“?

*grübel* Das ist ganz dünnes Eis, auf dem ich mich grad bewege, also alles unter gro´ßen Vorbehalten - ich hab grad nicht Muße und Möglichkeit, das zu testen, aber es müsste doch einstellbar sein, daß Zertifikate nicht überprüft werden, denke ich - zumindest beim Internet Exploder.

Ich bin mir jetzt noch unsicherer, aber IIRC
gibt’s das sogar für PGP-encrypted-eMails.

Das ist die Sache mit dem „ADK“, die prinzipiell anders läuft
(und unter PGP funktioniert aber nicht nativ unter SSL).

ADK? Hey, Du bist hier Mailguru, haste ma’n Link?

Doc.

Sebastian · 5. März 2003 um 21:33

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine
institutionalisierte „MAn in the middle attack“?

*grübel* Das ist ganz dünnes Eis, auf dem ich mich grad
bewege, also alles unter gro´ßen Vorbehalten - ich hab grad
nicht Muße und Möglichkeit, das zu testen, aber es müsste doch
einstellbar sein, daß Zertifikate nicht überprüft werden,
denke ich - zumindest beim Internet Exploder.

Das kann ich mir nicht vorstellen. Ich habe das Betreff mal so gewählt, daß es Leute anzieht, die Microsoft verteidigen könnten und offe auf deren Klarstellung

Das ist die Sache mit dem „ADK“, die prinzipiell anders läuft
(und unter PGP funktioniert aber nicht nativ unter SSL).

ADK? Hey, Du bist hier Mailguru, haste ma’n Link?

http://kai.iks-jena.de/pgp/pgp/pgp02c.html

Gruß,

Sebastian

Malte_4b1c84 · 5. März 2003 um 21:40

Napalm auf Redmond

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine
institutionalisierte „MAn in the middle attack“?

*grübel* Das ist ganz dünnes Eis, auf dem ich mich grad
bewege, also alles unter gro´ßen Vorbehalten - ich hab grad
nicht Muße und Möglichkeit, das zu testen, aber es müsste doch
einstellbar sein, daß Zertifikate nicht überprüft werden,
denke ich - zumindest beim Internet Exploder.

Das kann ich mir nicht vorstellen.

Ich lasse das gerade mal klären, hab mal meinen Squid-Gott angeschrieben. Rückmeldung folgt. Ansonsten frag ich mal die Oberchecker von unserem Windows CC in der Firma.

Ich habe das Betreff mal so
gewählt, daß es Leute anzieht, die Microsoft verteidigen
könnten und offe auf deren Klarstellung

Ich auch )

Das ist die Sache mit dem „ADK“, die prinzipiell anders läuft
(und unter PGP funktioniert aber nicht nativ unter SSL).

ADK? Hey, Du bist hier Mailguru, haste ma’n Link?

http://kai.iks-jena.de/pgp/pgp/pgp02c.html

Achja, die Geschichte. Naja. Wer benutzt schon closed source.

Gruß,

Doc.

Sebastian · 5. März 2003 um 23:12

Cannibals: Open all Gates!

Ich lasse das gerade mal klären, hab mal meinen Squid-Gott
angeschrieben. Rückmeldung folgt.

Danke…

Ich auch )

Eben

http://kai.iks-jena.de/pgp/pgp/pgp02c.html

Achja, die Geschichte. Naja. Wer benutzt schon closed source.

Oh, meines Wissend gab es auch Versionen, die den Mist auch quellcodeoffen unterstützten. Aber ich kann mich auch irren…

Sebastian

Anonym · 6. März 2003 um 00:45

In Firmen können Webmaster ja so ziemlich alles sehen, was man
gemacht hat im Internet und auch Intranet.

Frage: Können die auch meine Emails, die ich beispielweise von
Yahoo verschicke und empfange sehen, wenn ich die TEMP-Dateien
lösche bzw. gelöscht habe ?

Der Webmaster kann auf jeden Fall sehen, dass du auf ein Yahoo-Mailkonto zugegriffen hast. Und wenn die Unternehmensrichtlinien (wofür es gute Gründe gibt) den Zugriff auf Webmailkonten verbieten, dann hast du ein Problem…

Sobald es solche Unternehmensrichtlinien gibt und in diesen Richtlinien auch die Art und Weise der Überprüfung für alle Anwender offen dargelegt wird, darf der Admin deine Internetzugriffe sämtlich mitprotokollieren und überwachen.

Es geht mir darum, ob es eine
Intimität gibt bei Mails, die ich beispielsweise für
Korrespondenz mit anderen Arbeitgebern nutzen kann…

Wenn privater Mailverkehr untersagt ist, gibt es keinerlei Rechtsanspruch auf Intimität, dann darf dein Abteilungsleiter jede deiner Mails mitlesen. Ist privater Mailverkehr erlaubt, darf der Webmaster im Rahmen einer Betriebsvereinbarung mitprotokollieren, mitlesen schon nicht mehr. Insbesondere darf er dann Inhalte, von denen er im Rahmen seiner Aufgabe Kenntnis nimmt, nicht an dritte im Unternehmen weitergeben. Er darf aber offenkundige Verstösse gegen Unternehmensrichtlinien z. B. ans Personalbüro incl. der entspr. Protokollauszüge melden.

Oder gibt es dann auch Dateien, auf denen man sehen kann, was
ich geschrieben bzw. bekommen habe?

Wenn du dich nicht zu dumm anstellst, nein.

Gruss,
Schorsch

Anonym · 6. März 2003 um 09:53

Ein Browser, der das erlaubt, ist total krank. Geht das? Eine
institutionalisierte „MAn in the middle attack“?

Klar geht das.

Sicher? Bei SSL und einem „gängigen Browser“?

Man erzeuge sein eigenes Root-Zertifikat (macht inzwischen fast jeder, der irgendwas testen will, da sonst zu teuer).
Man importiert das in die Liste der Root-Zetifikate des Browsers (geht zumindestens bei Netscape und IE)

3: Normalbetrieb:

a. Der Browser schickt eine Anfrage an irgendeine https-Adresse
Der Proxy leitets weiter

b. Die Bank schickt ihren Public Key zurück, der Proxy behält diesen

c) der Proxy erzeuht ein Paar (URL der bank,irgendein Punlic Key)
und signiert dies mit dem eigenen Root-Zertifikat. das Schickt er an den Browser

d) der Browser prüft das Zertifikat, glaubt dran, (da von einem Root-zertifikat bestaetigt)

e) der Browser generiert einen Session-Key verschlusselt diesen mit dem public Key den er erhalten hat und schicht das ganze los

f) der Proxy faengft das teil ab, dekodiert mit seinem Private Key den Session-Key verschluesselt ihn mit dem public Key der Bank und schickts weiter

g) Browser und Bank korresponideren unter verwendung des Session_keys; der Proxy kann alles mitlesen.

Fazit: Einmal ein falsches Root-Zertifikat akzeptiert, schon ists vorbei. Das Installieren des Zertifikats sollte ein Sysop auf den meisten Systemen auch Remote machen können - aber warum sollte er dann den Verkehr belauschen - er kann ja gleich Tatstatur und Bildschirm ueberwachen.

Besucht doch mal:

http://www.loehnertz.de/java/next/signed/x509.cacert

ist nur fuer Java-Applets, aber https Zertifikate kann man genauso machen.

MfG
ML

Little_H · 6. März 2003 um 09:52

Hallo,

In Firmen können Webmaster ja so ziemlich alles sehen, was man
gemacht hat im Internet und auch Intranet.

Frage: Können die auch meine Emails, die ich beispielweise von
Yahoo verschicke und empfange sehen, wenn ich die TEMP-Dateien
lösche bzw. gelöscht habe ?

Der Webmaster kann auf jeden Fall sehen, dass du auf ein
Yahoo-Mailkonto zugegriffen hast. Und wenn die
Unternehmensrichtlinien (wofür es gute Gründe gibt) den
Zugriff auf Webmailkonten verbieten, dann hast du ein
Problem…

Richtig. Es muss allerdings auf jedenfall Ausdrücklich darauf hingewiesen werden, welche Richtlinien angewendet werden.
Ein Verstoss gegen diese Richtlinien kann bis zur Entlassung führen.

Sobald es solche Unternehmensrichtlinien gibt und in diesen
Richtlinien auch die Art und Weise der Überprüfung für alle
Anwender offen dargelegt wird, darf der Admin deine
Internetzugriffe sämtlich mitprotokollieren und überwachen.

Also das ist imho falsch! Es darf niemand überwacht werden! Der Admin darf zwar schauen das etwas getan wird, aber er darf dies weder verwertbar protokollieren noch detaillierter überwachen. Mitarbeiterprofile dürfen hieraus nicht ableitbar sein.

Es geht mir darum, ob es eine
Intimität gibt bei Mails, die ich beispielsweise für
Korrespondenz mit anderen Arbeitgebern nutzen kann…

Wenn privater Mailverkehr untersagt ist, gibt es keinerlei
Rechtsanspruch auf Intimität, dann darf dein Abteilungsleiter
jede deiner Mails mitlesen.

Falsch. Auch hier gilt grundsätzlich das Postgeheimnis (oder wie das dann auch immer im Amtsdeutsch heissen mag ).
Er darf lediglich feststellen bzw. abmahnen. Dies kann dann zwar auch bis zur Kündigung führen, aber die Mails lesen darf er auf keinen Fall.

Ist privater Mailverkehr erlaubt,
darf der Webmaster im Rahmen einer Betriebsvereinbarung
mitprotokollieren, mitlesen schon nicht mehr.

Jain, wie oben gesagt. Er darf nur protokollieren, das etwas gemacht wurde, nicht was. Das was also in der „normalen“ Log Datei des Proxy Servers steht darf verwendet werden. Nicht mehr!

Insbesondere
darf er dann Inhalte, von denen er im Rahmen seiner Aufgabe
Kenntnis nimmt, nicht an dritte im Unternehmen weitergeben.

Das sowieso.

Er
darf aber offenkundige Verstösse gegen Unternehmensrichtlinien
z. B. ans Personalbüro incl. der entspr. Protokollauszüge
melden.

Darf und muss. Allerdings eben nicht „Hall, die Frau Maier hat an Ihren Mann geschrieben, das er 2Kg Hackfleisch einkaufen soll. Das verstösst gegen die Unternehmensrichtlinien“ )

Little_H · 6. März 2003 um 10:07

Hallo,

ich denke es ist zwar schon fast alles gesagt, aber vielleicht nochmals zum nachdenken )

In Firmen können Webmaster ja so ziemlich alles sehen, was man
gemacht hat im Internet und auch Intranet.

Frage: Können die auch meine Emails, die ich beispielweise von
Yahoo verschicke und empfange sehen, wenn ich die TEMP-Dateien
lösche bzw. gelöscht habe ? Es geht mir darum, ob es eine
Intimität gibt bei Mails, die ich beispielsweise für
Korrespondenz mit anderen Arbeitgebern nutzen kann…

Möglich ist dies. Nur wie schon erwähnt etwas aufwendig für den „normalen“ Firmenbetrieb. Es kommt auch darauf an wie gross die Firma ist und ob eben ein Proxy Server im Hause steht, wie der verwaltet wird und welche Software so darauf installiert ist, etc.
Grundsätzlich ist alles im Internet als Klartext lesbar (@unsere_cracks_doc_seb_etc.: Jaja, SSL und ähnliches mal aussen vor ). Wenn man immer den Verlauf und die temp-Dateien des Browsers löscht ist das schonmal ein guter Anfang.
Allerdings kommt es darauf an was Du mit „andere Arbeitgeber“ meinst.
Wenn Du z.B. mit anderen Arbeitgebern Kontakt während Deiner Arbeitszeit aufnimmst und dies laut Deinem Arbeitsvertrag untersagt ist (wie mal bei ca. 90% der Arbeitsverträge schätze ich mal) ist dies natürlich ein Kündigungsgrund. Der Arbeitgeber kann sich informieren ob Du den Arbeitsvertrag einhälst. Dazu darf er überprüfen ob Du diesen einhälst. Wenn dann noch laut der Betrieblichen Richtlinien ein privater E-Mail Verkehr untersagt ist und E-Mails von der Firmen E-Mail Adresse verschickt und empfangen werden könnte dies dann ein grosses Problem werden.
Anders sieht es da z.b. mit Web basierten Diensten aus. Diese übertragen zwar auch meist den Klartext, aber anhand des Headers ist nicht so einfach zu ersehen ob es sich nicht doch um irgendein Formular geht, welches für die Firma ausgefüllt wurde

Korrespondenz mit dem anderen Arbeitgeber (Arbeitsplatz Wechsel, anderes Projekt, etc.) ist da sowieso schwierig, weil hier ja auch Firmengeheimnisse preisgegeben werden könnten… Insofern wird der AG besonderen wert darauf legen, das da nix nach aussen dringt …

Oder gibt es dann auch Dateien, auf denen man sehen kann, was
ich geschrieben bzw. bekommen habe?

Also in den Log Dateien (auf dem Server) steht auch drin was alles geschrieben wurde, klar. Aber verwendet darf dies nicht werden. Ebenso muss dies auch entsprechend aktiviert werden, das dies mitprotokolliert wird. Das kostet Speicherplatz und bei einer grösseren Firma werden das pro tag dann schon mehrere Gigabyte…
Kann mir nicht vorstellen, das dies angewendet wird

Gruß
h.

Anonym · 6. März 2003 um 10:11

Sobald es solche Unternehmensrichtlinien gibt und in diesen
Richtlinien auch die Art und Weise der Überprüfung für alle
Anwender offen dargelegt wird, darf der Admin deine
Internetzugriffe sämtlich mitprotokollieren und überwachen.

Also das ist imho falsch! Es darf niemand überwacht werden!
Der Admin darf zwar schauen das etwas getan wird, aber
er darf dies weder verwertbar protokollieren noch
detaillierter überwachen.

Der Admin muss Daten mitprotokollieren, allein schon um die Sicherheit des Netzwerkes gegen Angriffe von aussen gewährleisten zu können. Ausserdem darf die Einhaltung von Richtlinien in einem Unternehmen selbstverständlich überprüft werden. Dass die Protokolle nach Zweckerfüllung zu löschen sind ist allerdings ebenso selbstverständlich.

Mitarbeiterprofile dürfen hieraus
nicht ableitbar sein.

Mitarbeiterprofile dürfen aus diesen Daten nicht erstellt werden. Protokolle können aber durchaus berechtigt so aussehen, dass Profile erstellt werden könnten.

Wenn privater Mailverkehr untersagt ist, gibt es keinerlei
Rechtsanspruch auf Intimität, dann darf dein Abteilungsleiter
jede deiner Mails mitlesen.

Falsch. Auch hier gilt grundsätzlich das Postgeheimnis (oder
wie das dann auch immer im Amtsdeutsch heissen mag ).
Er darf lediglich feststellen bzw. abmahnen. Dies kann dann
zwar auch bis zur Kündigung führen, aber die Mails lesen darf
er auf keinen Fall.

Das Postgeheimnis gilt hier genauso wenig wie bei Papiermails im Unternehmen, die ebenfalls an der Pforte geöffnet und gelesen werden dürfen.

Ist privater Mailverkehr erlaubt,
darf der Webmaster im Rahmen einer Betriebsvereinbarung
mitprotokollieren, mitlesen schon nicht mehr.

Jain, wie oben gesagt. Er darf nur protokollieren, das etwas
gemacht wurde, nicht was. Das was also in der „normalen“ Log
Datei des Proxy Servers steht darf verwendet werden. Nicht
mehr!

Das, was in der „normalen“ Log-datei des Servers steht, reicht völlig aus, um detaillierte Mitarbeiterprofile zu erstellen. Aus dieser Datei erkennst du im Extremfall sogar die Pinkelpausen des MA.

Der Admin darf aber durchaus auch zur Sicherung des Netzwerkes den gesamten Datenverkehr einen Unternehmens mitschneiden. Ein guter Admin verfügt zumindest (es muss nicht zwingend immer aktiv sein) über ein Intrusion Detection System. Und das richtet sich ausdrücklich auch nach innen.

Es ist lediglich klarzustellen, wie die Daten zu welchen Zwecken (evtl. wann) erhoben werden, wie mit ihnen umgegangen und wann sie gelöscht werden.

Gruss,
Schorsch