Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Datenschutzkonformität Logging

Frage Sicherheit

Mitglied: Voldemort

Voldemort (Level 1) - Jetzt verbinden

28.01.2014 um 23:56 Uhr, 2800 Aufrufe, 4 Kommentare, 1 Danke

Guten Abend!

Ich werde bald ein Referat zum Thema Logging in Bezug auf Datenschutz halten. Dabei geht es auch, oder sogar vor allem, um die Datenschutzkonformität dieser Logdateien, die ja in vielen Systemen personenbezogene Daten enthalten, bspw. das Nutzungsverhalten von Administratoren. Beim Referat beziehe ich mich auf das Szenario eines Betriebs, der personenbezogene Daten verarbeitet, und diese Verarbeitung durch Logging kontrolliert.
Das meiste habe ich bereits ausgearbeitet. Es gibt aber noch einen Punkt, bei dem ich noch Hilfe gebrauchen könnte:

Welche Lösungen zu datenschutzkonformen Logging bieten aktuelle Produkte?

Hierbei ist mir der Begriff "aktuelle Produkte" ein bisschen zu schwammig - ist so etwas wie SysLog / SysLogNG gemeint?
Und wo finde ich Infos zu diesen Produkten? Generell finde ich kaum Infos zu "Logging-Programmen" - gibt es überhaupt Programme, die beliebig einstellbares Verhalten dokumentieren, oder gibt es nur Programme, die Logs aus verschiedenen Quellen zentral sammeln (denn, wenn ich es nicht falsch verstanden habe, genau das macht SysLog doch?)?

Ich bitte meine mangelhaften Kenntnisse auf diesem Gebiet zu entschuldigen - ich habe es selten so schwer gehabt, Infos zu einem Thema im Internet zu finden. Ich bin totaler Laie, habe eben erst im ersten Semester angefangen zu studieren und nun fehlt mir der richtige "Ansatzpunkt", um in dieses (schon sehr betriebsnahe, wie ich finde) Thema einzusteigen. Daher bin ich für alle Tipps / weiterführenden Infos / Info-Quellen etc. pp. sehr dankbar!

LG, You know who
Mitglied: ChrFriedel
29.01.2014 um 17:59 Uhr
Grüß dich Unaussprechlicher

Bisher hast du ja keine Antworten erhalten. Und ich bin mir auch nicht sicher ob ich dir wirklich helfen kann... aber vielleicht kann ich dir zumindest Denkanstösse geben.

Ich weiß auch nicht genau wie spezifisch die Frage gestellt ist...oder ist das was du erwähntest die komplette Frage? Und was genau verbirgt sich hinter aktuellen Produkten? Wenigstens eine Kategorie "Produkte" sollte hier schon erwähnt werden.

Aber damit wenigstens etwas sinnvolles in meinem Beitrag ist hier mal 2 Punkte die ich für wichtig erachte:

Bei wirklich kritischen Log-Files wäre es wohl sinnvoll die Logfiles an sich nur verschlüsselt zu speichern. Wenn du dazu ein wenig Prosa brauchst behandel einfach 2 Varianten -> jeden Eintrag im Log verschlüsseln vs. die ganze Datei verschlüsseln (2 ist die bessere Variante -> Grund dafür sind das die Verschlüsselung bei einzeln verschlüsselten Einträgen im Log leichter zu knacken ist )

Üblicherweise sollten die Log-Files natürlich schon durch geeignete Sicherheitsmaßnahmen auf Dateiebene gesichert sein.

Grüße
Bitte warten ..
Mitglied: Voldemort
29.01.2014 um 18:32 Uhr
Danke erstmal. Immerhin eine Antwort! ^ ^

Die von dir angesprochenen Punkte sind definitiv wichtig. Das Problem ist ja, ich weiß schon "wie" Protokollierungs-Methoden/Programme/Systeme (wie ist die korrekte Bezeichnung?) sein müssen, um datenschutzgerecht zu sein. Nur um konkrete Protokollierungs-... Dinger zu bewerten (wie in der obigen Frage gewünscht - die Frage ist exakt so gestellt, keinerlei Beschreibung zu "Produkten"), muss ich erstmal welche kennen.

Bzw. selbst wenn ich welche kenne - zB syslog / syslog-ng, wie soll ich dann beurteilen, ob diese datenschutzkonform sind? Soweit ich weiß sammeln sie ja nur Logs von verschiedenen Quellen an einem zentralen Ort. Wie die Logs aus diesen Quellen aussehen, ist dann ja nicht von syslog(-ng) abhängig, sondern von den Quellen selbst, also in welcher Form die Quellen diese Logs erstellen.
Ist also etwas ganz anderes mit "aktuellen Produkten" gemeint? Ich fühle mich dezent überfordert...

Danke im Voraus für alle weiteren Antworten und liebe Grüße
Bitte warten ..
Mitglied: ChrFriedel
30.01.2014 um 09:24 Uhr
Logging ist ja in meinen Augen auch immer nur eine Begleiterscheinung zu so ziemlich jeder halbwegs komplexen Software. Und ein Produkt das nur dazu da ist allgemein Logging zu betreiben wäre mir nicht bekannt.

Deswegen würde ich wohl an deiner Stelle ein "Produkt" nehmen bei dem zumindest datenschutzrechtlich interessante Informationen in großem Umfang geloggt werden könnten. Mir würde da als erstes der Microsoft ISA - Server einfallen. Über den, bzw. ähnliche geartete Proxys wie Squid, laufen schließlich alle Webseitenaufraufe des dahinter liegenden Netzwerkes. Vielleicht ist das ja ein Ansatz für dich.

Oder du beschäftigst dich in Richtung Cloud mit dem Thema, es sollte allerdings nahezu unmöglich sein herauszufinden was Dropbox und Konsorten mitloggen.

Und wenn du es abgedreht magst könntest du das Logging der aktuellen Smart-TVs (siehe aktuelle C't) untersuchen, aber auch hier dürfte das technisch ziemlich aufwändig sein.
Bitte warten ..
Mitglied: Datenschutz
30.01.2014 um 15:44 Uhr
Hallo Vodemort,

ich antworte Dir mal in meiner Eigenschaft als Datenschutzbeauftragter. Du liegst natürlich absolut richtig, dass in Log-Dateien personenbezogene Daten erhoben werden und das diese natürlich sowohl vom Administrator als auch von der Geschäftsführung eingesehen und ausgewertet werden können. Das ist nicht nur ein Thema des Datenschutzgesetzes, sondern auch ein Thema der betrieblichen Mitbestimmung (Schutz der Privatsphäre am Arbeitsplatz). Aus der Erfahrung heraus gehen Betriebsräte immer auf die Barrikaden, wenn es darum geht eine Protokollierung einzuführen und zu nutzen - selbst wenn sie ja durch das Datenschutzgesetz vorgeschrieben ist.

Zwischen Datenschutzbeauftragte und Betriebsräte gibt es daher auch zurzeit noch Konfliktpotential, dass sicherlich noch ausgeräumt werden muss. Dabei vertreten ja eigentlich beide Arbeitnehmerrechte aber Betriebsräte sind dieser neuen Funktion gegenüber noch sehr skeptisch.

Es gibt allerdings auch schon gesetzeskonforme Protokollierungslösungen, die das Problem erkannt haben und damit umgehen. Die haben dann ein sogenanntes 4 oder 6 Augenprinzip. Das bedeutet, dass z. B. beim 6 Augenprinzip der Geschäftsführer, der Betriebsrat (das könnten theoretisch auch der Datenschutzbeauftragte sein wenn sich beide grün wären) und der Administrator jeweils ein persönliches Passwort bekommen. Protokollierungsdateien mit personenbezogenen Daten können dann nur geöffnet werden, wenn alle drei durch die Eingabe ihres Passwortes ihre Zustimmung geben. Im Datenverlustfall kommt das dann vor, wenn z. B. ein Verlust von personenbezogenen Daten eingetreten ist und die Datenschutzbehörde Einsicht in die Protokollierung verlangt oder wenn Daten verloren gegangen sind, die einen massiven Schaden für das Unternehmen bedeuten z. B. Wirtschaftsspionage. In so einem Fall würde ein Betriebsrat dann auch immer zustimmen.

Ich habe bei einem Unternehmen mal so eine Lösung gesehen, mit der auch der Betriebsrat zufrieden war. Die kam aus dem Hause EgoSecure und die löste auch noch ein paar andere Datenschutzprobleme, wie Zugriffskontrolle, Verschlüsselung und Malwareschutz.

Ich hoffe, das hilft Dir bei Deinem Referat.

Viele Grüße
Bitte warten ..
Neuester Wissensbeitrag
Internet

Unbemerkt - Telekom Netzumschaltung! - BNG - Broadband Network Gateway

(3)

Erfahrungsbericht von ashnod zum Thema Internet ...

Ähnliche Inhalte
LAN, WAN, Wireless
WLAN Hotspot mit Ticketsystem, Abrechnung und Logging (6)

Frage von detmold79 zum Thema LAN, WAN, Wireless ...

Windows Server
gelöst MS-SQL Server lokale Authentifizierung - Logging (5)

Frage von ThomasAnderson zum Thema Windows Server ...

Debian
Debian 8, SSH Logging, Popuser-Meldung und rkhunter Problem (5)

Frage von d4shoerncheN zum Thema Debian ...

Heiß diskutierte Inhalte
Switche und Hubs
Trunk für 2xCisco Switch. Wo liegt der Fehler? (15)

Frage von JayyyH zum Thema Switche und Hubs ...

DSL, VDSL
DSL-Signal bewerten (13)

Frage von SarekHL zum Thema DSL, VDSL ...