Wie weit darf man das treiben? Mein Chef möchte, daß ich
protokolliere, wann wer welche Seite aufruft um Privatsurfern
nicht vollständig, aber teilweise das private Surfen
ungenießbar zu machen.
Also nicht falsch verstehen: Es soll nicht ganz verboten
werden, nur etwas in den Kosten reduziert werden. Privates
Surfen ist nicht verboten!
Darf ich ihm sagen, Mitarbeiter X hat heute um 7:00 eine
Stunde die Börsennews gelesen?
So wie du die Sache schilderst, ist dies grundsätzlich nicht erlaubt. Selbst wenn es eine Betriebsvereinbarung (BV) gibt, die privates Surfen zwar erlaubt, aber klar darauf hinweist, dass die Zugriffe protokolliert werden, um Missbrauch zu verhindern, darfst du Daten aus den Protokollen nur bei erheblichem Verdacht auf tatsächlichen Missbrauch an die GL weitergeben.
Hierzu ist in der BV klar und für jeden Mitarbeiter verständlich festzulegen, was als Missbrauch des Inetzugangs zu bewerten ist. Wenn z.B. der Download von Programmen aller Art grundsätzlich untersagt ist, und du stellst fest, dass sich ein Mitarbeiter regelmässig auf Warez-Sites herumtreibt und tatsächlich den neuesten 0190-Dialer oder das Moorhuhn downgeloadet hat, ist ein begründeter Verdacht auf Missbrauch gegeben und du darfst diese Info weitergeben.
Selbst du als Admin darfst aber erst dann die Protokolle eingehend analysieren, wenn ein begründeter Anfangsverdacht gegeben ist. Dieser Anfangsverdacht kann sich z. B. durch automatisierte Analyse der Protokolle anhand von in der BV festgelegten Regeln ergeben.
Das Mitprotokollieren der Daten selbst unterliegt nur teilweise der BV, da du als Admin verpflichtet bist, an der Schnittstelle von internem zu externem Netz Protokolle zu fahren, um Sicherheitslücken und Angriffe erkennen und eliminieren zu können.
Du darfst auch an zentralen Hubs oder Switches innerhalb der Firma aus diesem Grund jederzeit den gesamten Datenverkehr, z. B. mittels IDS (Intrusion Detection Systeme) überwachen.
An einem Proxyserver aber, den die Mitarbeiter zwingend für den Inetzugang benutzen müssen, darfst du nur im Rahmen einer BV überhaupt Zugriffsprotokolle fahren. Dies gilt auch dann, wenn dieser Server (etwa ein Apache) gleichzeitig im Internet hängt. Hier überwiegen die Schutzinteressen der Firma nicht, da durch eine zumutbare Änderung der Infrastruktur eine gleichzeitige interne/externe Nutzung eines Servers leicht zu vermeiden ist.
Um privates Surfen zwar nicht zu verbieten, aber „ungeniessbar“ zu machen, steht es dir allerdings jederzeit frei, auf dem Proxy den Zugriff auf bestimmte MIME-Typen zu unterbinden, auf der Firewall Ports zu sperren, oder den Zugriff auf bestimmte Seiten per Proxy oder per Firewall zu verhindern.
Wenn du anhand der Protokolle auf der Firewall feststellst, dass jeden morgen zw. 7:00 und 8:00 ein erheblicher Datenverkehr auf die Seiten der Financial Times Deutschland geht, darfst du die IP der FTD einfach sperren, du darfst aber nicht analysieren, von wem dieser Verkehr ausgeht.