System-Administratoren haben grosse Macht. Wie viel, das hat jüngst das Beispiel Philipp Hildebrand gezeigt: Es war ein IT-Mitarbeiter der Bank Sarasin, der die Kontoauszüge des ehemaligen Nationalbankpräsidenten ans Licht brachte. Aber: Was darf ein System-Administrator wirklich? Und was nicht?
Bruno Baeriswyl, der Datenschutzbeauftragte des Kantons Zürich, fasst zusammen: «Auch am Arbeitsplatz gilt das Recht auf Schutz der Privatsphäre. Der Arbeitgeber hat zwar Zugriff auf die Daten seiner Angestellten, aber nur soweit das für das Arbeitsverhältnis notwendig ist.»
Eine systematische Überwachung der Angestellten sei nicht gerechtfertigt, auch wenn sie rein technisch möglich wäre. Bei E-Mails kommt zusätzlich das Postgeheimnis dazu, welches das Öffnen von privaten E-Mails untersagt. Weil sich der Inhalt einer E-Mail nur schwer bestimmen lässt, ohne die E-Mail vorher zu öffnen, wird aus rechtlichen Gründen meist auf eine Kontrolle verzichtet.
Kontrolle nur bei Verdacht auf Missbrauch
Aber es gibt Ausnahmen: Wenn der Verdacht auf Missbrauch oder eine strafbare Handlung besteht, dann können bestimmte Dokumente auch genauer kontrolliert werden. Allerdings muss der Mitarbeiter darüber informiert werden, bevor eine E-Mail geöffnet wird. Und sobald sich ein Verdachtsfall erhärtet, übernehmen die zuständigen Behörden die weitere Untersuchung.
In vielen Unternehmen besteht ein Reglement, welches das genaue Vorgehen bei einem solchen Verdacht regelt. Das Reglement macht die Mitarbeiter auch darauf aufmerksam, dass E-Mails und Datenträger bei Verdacht genauer kontrolliert werden können.
Keine Kontrolle ohne vorherigen Hinweis
Was ist mit Unternehmen, die private E-Mails und Internetbenutzung am Arbeitsplatz gleich ganz verbieten? Sie dürfen den Datenfluss in im Computernetzwerk analysieren, um die Einhaltung solcher Weisungen sicherzustellen.
Doch solche Kontrollen dürfen nicht auf eine Überwachung der Mitarbeiter hinauslaufen. Sie geschehen deshalb in einem ersten Schritt anonymisiert: Es wird nur das Datenvolumen angeschaut sowie Häufigkeit und Dauer der Zugriffe festgehalten, ohne dass diese Daten schon an eine Person geknüpft sind.
Erst wenn sich ein Verdacht erhärtet, wird geschaut, wer genau hinter diesen Daten steckt. Auch hier muss ein Mitarbeiter vor einer Überprüfung darauf hingewiesen werden. Im besten Fall ist dieser gleich selbst dabei.
Unternehmen haben Auskunftspflicht
Doch was tun, wenn man sich am Arbeitsplatz ausspioniert fühlt, diesen Verdacht aber nicht beweisen kann? Datenschützer Bruno Baeriswyl rät in diesem Fall zum Gespräch mit dem Vorgesetzten. Ein Unternehmen hat nämlich die Pflicht, einen Angestellten auf Wunsch darüber zu informieren, ob Daten über ihn gesammelt werden und - falls ja - um welche Daten es sich handelt. Kommt dabei ans Licht, dass die Privatsphäre des Mitarbeiters verletzt wurde, ist eine Zivilklage möglich.
Ein Logfile überwacht die Überwacher
Um im Nachhinein festzustellen zu können, wer wann Zugriff auf welche Daten hatte, lassen die meisten Unternehmen die Aktivitäten ihrer Systemadministratoren protokollieren. Ein sogenanntes «Logfile» gibt dann über die einzelnen Systemzugriffe Auskunft.
Dasselbe passiert, wenn ein System-Administrator von aussen auf den Computer eines Angestellten zugreift, etwa um ein neues Programm zu installieren oder einen Fehler zu beheben. Auch diese Eingriffe werden protokolliert, damit sich im Nachhinein sagen lässt, welche Daten angeschaut und eventuell verändert wurden.
