Neuer IT-Mitarbeiter bekommt Vollzugriff auf den Server — ist eine Sicherheitsüberprüfung Pflicht?

Nach dem deutschen Bundesdatenschutzgesetz unterliegt die Erhebung von Mitarbeiterdaten den Grundsätzen der Erforderlichkeit und Verhältnismäßigkeit. Die Anforderung eines Führungszeugnisses gilt nur im Umfang dessen, was die Aufgabe erfordert; frühere, nicht relevante Verstöße dürfen kein Grund sein, die Einstellung zu verhindern. Den Prozess mit einem Arbeitsrechtsexperten schriftlich festzuhalten, beugt möglichen Schadensersatzrisiken vor.

Definiert Root-Zugriff nicht personenbezogen. Beim Systemzugang sollte eine Zwei-Faktor-Authentifizierung mit Hardware-Schlüssel Pflicht sein und alle 'sudo'-Befehle sollten in Echtzeit auf einen zentralen, unveränderlichen Log-Server fließen. Der Mitarbeiter muss wissen, dass jeder von ihm ausgeführte Befehl eine unabhängige Prüfspur hinterlässt. Diese Abschreckung ist wirksamer als jede Untersuchung.

Gebt dem Kandidaten nicht direkt morgen Vollzugriff. In Deutschland ist die gesetzliche Probezeit das beste Werkzeug für solche Vertrauenstests. Schaltet die Zugriffsrechte während der ersten sechs Monate schrittweise frei; gebt ihm zuerst Test- und Entwicklungsumgebungen und bindet den Zugriff auf Produktivsysteme an Pair-Working mit dem Teamleiter.

Habt ihr in euren SLAs oder Auftragsverarbeitungsverträgen (AVV) mit Kunden konkrete Verpflichtungen bezüglich Personalprüfungen vereinbart? Manchmal verlangen Unternehmenskunden, dass Mitarbeiter bestimmte Sicherheitszertifikate vorweisen oder jährliche Sicherheitsschulungen durchlaufen.

Vor zehn Jahren hatten wir mal dieselbe Sorge und haben einen neuen Sysadmin dermaßen eingeschränkt, dass er nach zwei Monaten gekündigt hat – mit den Worten: „Wenn ihr mir nicht vertraut, warum habt ihr mich dann überhaupt eingestellt?“ Und er hatte recht. Statt nach Sicherheitsüberprüfungen zu suchen, haken wir heute bei den Referenzen im Recruiting extrem gründlich nach. Direkt mit früheren Führungskräften zu sprechen und nach der Integrität in Krisensituationen zu fragen, sagt uns viel mehr als jede Prüfung auf dem Papier.

offizielle überprüfung ist eh staatssache, das lassen die uns gar nicht machen. wir verlangen ein führungszeugnis und haben auf den servern root-login komplett dichtgemacht jeder loggt sich mit eigenem account ein und nutzt sudo die logs gehen direkt in ne externe cloud.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Um die Infrastruktur abzusichern, setzt diese drei Schritte um: 1) Direkten Zugriff auf Produktionsdatenbanken per VPN und IP-Whitelisting beschränken. 2) Bei kritischen Konfigurationsänderungen das Vier-Augen-Prinzip vorschreiben. 3) Einen zentralen Identity-Provider einrichten, über den beim Ausscheiden des Mitarbeiters alle Berechtigungen mit einem einzigen Klick entzogen werden können.

Gut dass du diesen Thread eröffnet hast.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Danke fürs Schreiben, das ist genau richtig. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich spreche mal aus der Gegenperspektive ich bin auf der Lieferantenseite. Bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet.

Das wars, entschuldige, wenn ich zu lang war.

Danke fürs Schreiben, das ist genau richtig. Ein nicht getestetes Backup ist kein Backup.

An deiner Stelle würde ich so vorgehen.

Genau so, und das ist zudem kaum bekannt. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

bei uns war es so aber schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

wenn du zu einem Thema drei versschiedene Antworten bekommst war die Frage falsch gestellt und also korrigiert mich, falls ich falsch liege.

Ich würde mich freuen, wenn du das Ergebnis postest.

Das hört man oft, aber bei uns war es nie so. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich fasse das Thema mal zusammen da es mehrere unterschiedliche Antworten gab. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Wenn deine Situation anders ist, ändert sich das natürlich.

Ich stimme voll und ganz zu. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.