"Hotspot" implementieren

[cane]

Hi @all,

möchte für den Veranstaltungsbereich einer Behörde einen Hotspot implementieren damit referenten und Besucher das Internet nutzen können.

Habe mir mal verschiedene Lösungen angeschaut, nocatauth scheint mir ganz nett zu sein...

Vorraussetzungen: Läuft unter Linux, Irgendeine Art von Authentifizierung (am besten Webfrontend) damit ich userbezogene Logs erstellen kann für den Fall das jemand "Mist gemacht" hat.

Ideen, Fragen, Anregungen, Sonstiges?

Wie habt ihr so etwas realisiert?

mfg

cane

[setiII]

damit ich userbezogene Logs erstellen kann für den Fall das jemand "Mist gemacht" hat.

Vorsicht damit, wenn du das öffentlich machst, kannst du nicht über jeden User Protokollieren was du möchtest.

Es gibt dazu gravierende Einschränkungen was du alles speichern darfst und wie lange, und wie du es auswerten kannst

http://www.bundesdatenschutz.de/

[cane]

Vorsicht damit, wenn du das öffentlich machst, kannst du nicht über jeden User Protokollieren was du möchtest.

Mitarbeiter im Hause haben eine Mitarbeitervereinbarung unterschrieben die private Nutzung von Email / Internet verbietet. Wird zwar nicht kontrolliert, ist aber eine Absicherung da man als Arbeitgeber sonst rechtlich gegenüber dem Mitarbeiter zum Provider mutiert. Die Logs sind nur mir und einem anderen Sysadmin zugänglich, eine Verfälschung ist ausgeschlossen da mein Squid die User per ntlm_auth aus dem Active Directory zieht und die Lease Time sehr kurz gehalten ist.

Bei Besuchern / Referenten prüft unser Jurist noch, entweder wir lassen eine Nutzungsvereinbarung händisch unterschreiben oder anklicken und bestätigen in der unter anderem steht das die Zugriffe geloggt und für einen Zeitraum X archiviert werden. Ich denke mal zwei, drei Jahre sollten reichen. Ob der Personalausweis kopiert wird oder wir uns nur name und Anschrift geben lassen steht auch noch offen.

Somit haben alle Parteien ihre Rechte in Bezug auf Datenschutz an mich abgetreten, auf der anderen Seite sind die Daten sicher verwahrt.

Ich schau die Logs sowieso nur bei Fehlern durch - wenn ich "User" wäre würde ich das ja auch erwarten. Sysadmins die Schindluder mit solchen Daten treiben (schon oft im Gespräch mit anderen Sysadmins mitbekommen "Unsere User sind heute wieder auf xxx.de gewesen, bin ich nicht toll das ich das sehen kann") sind in meinen Augen Asoziale ohne jeden Berufsethos.

Wenn ich mitbekommen würde das man meine Internetzugriffe irgendwo mitschneidet bekämen diese Sysadmins zusätzlich zu dicken Augen noch eine saftige Anzeige und hoffentlich die Kündigung... Da hörts bei mir auf.

mfg

cane

[setiII]

Mitarbeiter im Hause haben eine Mitarbeitervereinbarung unterschrieben die private Nutzung von Email / Internet verbietet. Wird zwar nicht kontrolliert, ist aber eine Absicherung da man als Arbeitgeber sonst rechtlich gegenüber dem Mitarbeiter zum Provider mutiert. Die Logs sind nur mir und einem anderen Sysadmin zugänglich, eine Verfälschung ist ausgeschlossen da mein Squid die User per ntlm_auth aus dem Active Directory zieht und die Lease Time sehr kurz gehalten ist.

Ok, damit fallen diese sowiso raus, da sie das netz ja nur noch zu dienstlichen Zwecken nutzen.

Bei Besuchern / Referenten prüft unser Jurist noch, entweder wir lassen eine Nutzungsvereinbarung händisch unterschreiben oder anklicken und bestätigen in der unter anderem steht das die Zugriffe geloggt und für einen Zeitraum X archiviert werden. Ich denke mal zwei, drei Jahre sollten reichen. Ob der Personalausweis kopiert wird oder wir uns nur name und Anschrift geben lassen steht auch noch offen.

Für diese bist du dann zum "Provieder mutiert"

Du stellst damit für diese die Schnittstelle zum Netz her.

Das erfüllt die vorraussetzung zum Betreiber.

Und nein nur weil du sie zur Zustmmung zwingst hat das Bundesdatneschutzgesetz weiter gültigkeit.

Und das erlaubt eben nur die Speicherung von "unbedingt notwendigem".

Und darunter fällt dein debuggen oder sonstiges garantiert nicht.

Auch die Vorratsdatenspeicherung ist nicht erlaubt.

Somit haben alle Parteien ihre Rechte in Bezug auf Datenschutz an mich abgetreten, auf der anderen Seite sind die Daten sicher verwahrt.

Gesetzlich verbiefte Rechte kann man nicht abtreten.

Und das sonst keiner darauf Zugriff hat, sollte ja selbstverständlich sein

Ich schau die Logs sowieso nur bei Fehlern durch - wenn ich "User" wäre würde ich das ja auch erwarten.

Hmm, dann solltest du dir mal deiner Rechte kundig machen.

Weil das jemand LOG Files über meine Person auswertet nur um seine eigenen Fehler zu finden ist nicht OK

Sysadmins die Schindluder mit solchen Daten treiben (schon oft im Gespräch mit anderen Sysadmins mitbekommen "Unsere User sind heute wieder auf xxx.de gewesen, bin ich nicht toll das ich das sehen kann") sind in meinen Augen Asoziale ohne jeden Berufsethos.

Wenn ich mitbekommen würde das man meine Internetzugriffe irgendwo mitschneidet bekämen diese Sysadmins zusätzlich zu dicken Augen noch eine saftige Anzeige und hoffentlich die Kündigung... Da hörts bei mir auf.

Na ja ich wollte hier keine Grundsatzdiskussion lostreten, aber es sollte sich jeder bewusst machen das es für sowas ein Gesetz gibt.

Und um dieses führt auch keine Unterschrift aller ich verzichte auf meine rechte vorbei.

Und die meisten Betreiber von Servern verstoßen durch LOG Files gegen solche Gesetze.

Nur sollte sich jeder darüber im klaren sein, das dies wenn sich der Falsche ärgert eben mal schnell zu einer Anzeige oder ähnlichem führen kann.

Und soweit ich weis Klagt derzeit sogar jemand gegen T-Online gegen die langfristige Speicherung seiner IP Addresse.

Als immer im Hinterkopf behalten, da war doch ein Gesetz.

mfg

Ben

[Bubble]

Bei Besuchern / Referenten prüft unser Jurist noch, entweder wir lassen eine Nutzungsvereinbarung händisch unterschreiben oder anklicken und bestätigen in der unter anderem steht das die Zugriffe geloggt und für einen Zeitraum X archiviert werden. Ich denke mal zwei, drei Jahre sollten reichen. Ob der Personalausweis kopiert wird oder wir uns nur name und Anschrift geben lassen steht auch noch offen.

LOL! Alle Zugriffe 3 Jahre personenbezogen von irgendwelchen Admins ohne Kontrollinstanz gespeichert! Auf die Benutzung solch eines Hotspots würde ich dankend verzichten...

[cane]

LOL! Alle Zugriffe 3 Jahre personenbezogen von irgendwelchen Admins ohne Kontrollinstanz gespeichert! Auf die Benutzung solch eines Hotspots würde ich dankend verzichten...

Welcher Aussage entnimmst du das keine Kontrollinstanz existiert?

"Irgendwelche Admins" speichern gar nichts. Zwei Personen haben Zugriff, jeder zugriff wird geloggt und man braucht zum Zugriff (wie bei allen sensiblen sachen) einen speziellen Account - mit dem "normalen Adminaccount" kann man nicht mal nen Server rebooten geschweige denn an Passwörtern fummeln oder auf Userhomes, Logarchive etc. zugreifen.

Wiegesagt sind die juristischen Aspekte noch in der Klärung. Logging ist wichtig für den Fall das wir für eine Straftat die über unsere Leitung beganngen wird verantwortlicht gemacht werden.

Wie würdest Du das Szenario denn bitteschön zeit- und kostengünstig lösen Bubble?

mfg

cane

[setiII]

Logging ist wichtig für den Fall das wir für eine Straftat die über unsere Leitung beganngen wird verantwortlicht gemacht werden.

Die Staeftat dürfte eher im Zustandekommen der Files liegen

[cane]

Nein, habe mal eine kompetente Quelle rausgesucht:

http://www.bitkom.org/files/documents/Leitfaden_Version_1.2_29.04.05.pdf

Seite 13 - 15 sind relevant, es gibt drei wichtige Rechtsvorschriften die zu beachten sind. Zu beachten ist das private Nutzung in meinem Szenario per Mitarbeitervereinbarung ausgeschlossen ist, es liegt also eine reion dienstliche Nutzung vor, hier mal die relevanten Punkte:

Telekommunikationsgesetz

Bei rein dienstlicher Nutzung des Internet oder des Emailsystems durch den Arbeitnehmer dient die Erbringung dieses Telekommunikationsdienstes aber nicht fremden, sondern ausschließlich dienstlichen und damit eigenen Zwecken. Der Arbeitnehmer ist daher nicht als „Dritter“ anzusehen, so dass das TKG keine Anwendung findet.

Teledienstegesetz / Teledienstedatenschutzgesetz

Bei der nur dienstlichen Internetnutzung ist jedoch nicht der Arbeitnehmer, sondern der Arbeitgeber als Inhaber des Internetzugangs als „Nutzer“ anzusehen. Die Folge ist, dass die datenschutzrechtlichen Bestimmungen des TDDSG nicht zur Anwendung kommen.

Bundesdatenschutzgesetzes

Nach § 28 BDSG ist z.B. die Erhebung und Speicherung, Veränderung und

Übermittlung der Verbindungs-, Inhalts- und Nutzungsdaten der Arbeitnehmer zulässig,

• wenn die Verwendung der personenbezogenen Daten der Zweckbestimmung des Arbeitsvertragsverhältnisses zwischen Arbeitgeber und Arbeitnehmer dient (§ 28 I Nr.1) oder

• soweit es zur Wahrung berechtigter Interessen des Arbeitgebers erforderlich ist und ein schutzwürdiges Interesse des Arbeitnehmers nicht überwiegt (§ 28 I Nr.2).

Das Gesetz selbst sagt nichts darüber aus, was der Zweckbestimmung“ des Arbeitsverhältnisses dient und was nicht; es benennt auch nicht konkret berechtigte und schutzwürdige Interessen. Aus der Vorschrift lässt sich jedoch folgern, dass die Nutzung von solchen personenbezogenen Daten der Arbeitnehmer zulässig ist, die zur Erfüllung der Pflichten oder zur Wahrnehmung der Rechte aus dem Arbeitsvertrag erforderlich sind, sofern darin kein unverhältnismäßiger Eingriff in das Persönlichkeitsrecht des Arbeitnehmers liegt.

Zu diesen Daten gehören auch Daten über Tatsachen, die die Verwirklichung des Vertragszwecks gefährden können, also z.B. tatsächliche oder vermeintliche Verletzungen der dem Vertragspartner gegenüber obliegenden Verpflichtungen. Ob die Nutzung dieser Daten zulässig ist, kann aber letztlich nur in einer einzelfallbezogenen Betrachtung ermittelt werden (vgl. unten zu den Kontrollmöglichkeiten des Arbeitgebers). Eine besondere Erlaubnis gibt auch § 31 BDSG. Danach ist eine Protokollierung und Speicherung von Daten

zum Zweck der Datensicherung oder der Gewährleistung eines ordnungsgemäßen Betriebs der Datenverarbeitungsanlage möglich. Es ist also zulässig, mit Hilfe der Protokolldaten einen Virenangriff etc. nachzuweisen, nicht aber, diese Daten zur Leistungskontrolle der Arbeitnehmer auszuwerten. Darüber hinaus ist auch der Grundsatz der Datenvermeidung und der Datensparsamkeit zu beachten (§ 3 a BDSG).

Also kann ich IMHO die Zugriffe der Mitarbeiter loggen, aber nicht die der Besucher / Referenten. Inwieweit die Referenten diese rechte abtreten können bleibt also zu klären. Sollte es nicht möglich sein die Zugriffe zu loggen ist mir ein "Hotspot" zu kritisch da unser unternehmen gegenüber Dritten haftbar wäre wenn "Mist gemacht wird" und wir den Schuldigen wegen fehlender Logs nicht benennen können.

Kommentare, Anregungen, Ideen erwünscht

mfg

cane