Personal, HR und Innentäter

Indem Sie prüfen, welche Geräte sich tatsächlich verbinden, nicht nur, welche Konten gesperrt wurden. Beim Offboarding wird meist das Benutzerkonto gelöscht und der Laptop eingesammelt, doch ein nicht zurückgegebener Laptop, ein privates Handy mit gespeichertem WLAN-Passwort oder ein vergessenes Fernwartungswerkzeug können sich weiter verbinden. Vergleichen Sie die Liste der zurückgegebenen Geräte mit den Geräten, die nach dem Austrittsdatum im Netz zu sehen sind, ändern Sie gemeinsame WLAN- und VPN-Zugangsdaten, die die Person kannte, und widerrufen Sie Zertifikate ihrer Geräte. In jedem Plan listet die Netzwerkkarte von NetSenX die in überwachten Segmenten gesehenen Geräte auf, mit dem Namen, den jedes Gerät meldet, und dem Zeitpunkt, zu dem es zuerst und zuletzt gesehen wurde. Wer das Unternehmen verlassen hat, weiß NetSenX nicht: Das entscheiden HR und IT, und die Netzsicht zeigt, ob die Tür wirklich zu ist.

Die Zugänge, die die Person hatte, nicht nur ihr Konto. Eine kurze Austritts-Checkliste für die IT: Verzeichnis- und E-Mail-Konto sperren und Token der Multi-Faktor-Authentifizierung entfernen; Firmengeräte einsammeln und ihre Namen notieren; gemeinsame Passwörter ändern, die die Person kannte, etwa für WLAN, VPN, Administrator- und Lieferantenportale; von ihr installierte Fernzugriffswerkzeuge entfernen; Gerätezertifikate widerrufen; und einige Tage sowie einige Wochen nach dem Austritt prüfen, dass keines ihrer Geräte mehr im Netz auftaucht. Wenden Sie dieselbe Liste bei Externen und Praktikanten an. Vereinbaren Sie mit HR, wer sie wann auslöst. NetSenX hilft beim letzten Schritt: Die Netzwerkkarte zeigt in jedem Plan den Namen jedes Geräts und wann es zuletzt gesehen wurde, sodass ein Gerät auffällt, das nicht mehr da sein sollte.

Ja, wenn er sich mit einem überwachten Segment verbindet oder der NetSenX-Agent noch auf ihm läuft. In jedem Plan zeigt die Netzwerkkarte jedes Gerät mit dem gemeldeten Namen und dem Zeitpunkt, zu dem es zuletzt gesehen wurde; ein Laptop, der nach dem Ausscheiden seines Nutzers wieder auftaucht, ist also sichtbar, und beginnt er zu scannen, regelmäßig einen externen Server zu kontaktieren oder ungewöhnlich hochzuladen, folgen Alarme. Ein Laptop, der nur zu Hause oder in einem anderen Netz genutzt wird und keinen Agenten hat, ist für einen Netzwerksensor unsichtbar. Schließen Sie parallel die anderen Türen: Konten sperren, Zertifikate und VPN-Profil des Geräts widerrufen und, falls vorhanden, das Gerät über Ihre Geräteverwaltung aus der Ferne sperren oder löschen. Die Rückforderung des Geräts und Schritte gegen die Person sind Sache von HR und Rechtsberatung.

Teilweise: Sie sehen ungewöhnliche Uploads von seinem Rechner, nicht die Dateien und nicht die Person. In jedem Plan vergleicht NetSenX den ausgehenden Verkehr jedes Geräts mit dessen eigenen üblichen Zielen, Mengen und Tageszeiten und meldet einen Alarm, wenn etwa ein Laptop, der sonst wenig sendet, nachts plötzlich mehrere Gigabyte zu einem Cloud-Speicher hochlädt. Der Alarm zeigt Gerät, Ziel, Menge und Zeit. Dateinamen oder Inhalte zeigt er nicht, weil der Verkehr verschlüsselt ist und NetSenX nie entschlüsselt, und Kopien auf einen USB-Stick sieht er nicht. Behandeln Sie einen solchen Alarm zuerst als Sicherheitsereignis: Der Laptop kann auch infiziert sein. Jeder Schritt gegenüber dem Mitarbeiter sollte Ihrer Richtlinie, dem Gesetz und dem Rat von HR und Rechtsberatung folgen, nicht dem Alarm allein.

Nur, was das nationale Arbeits- und Datenschutzrecht erlaubt, erhoben für einen legitimen Zweck und verhältnismäßig dazu. Allgemein verlangt die DSGVO eine Rechtsgrundlage, einen bestimmten Zweck, Datenminimierung und Transparenz gegenüber den Beschäftigten, und viele Länder ergänzen arbeitsrechtliche Regeln zur Überwachung und zur Beteiligung von Betriebsräten. Aufzeichnungen, die Sie bereits für die Sicherheit führen, etwa Alarme zu ungewöhnlichen Uploads, dürfen nur weiterverwendet werden, wo der neue Zweck vereinbar ist und das Gesetz es zulässt; heimliches Lesen privater Kommunikation ist grundsätzlich tabu. Ziehen Sie vor jeder Erhebung HR, den Datenschutzbeauftragten und Rechtsberatung hinzu, dokumentieren Sie den Verdacht und die Schritte, und lassen Sie Beweise von dafür qualifizierten Personen sichern. NetSenX zeigt in Alarmen Geräteaktivität; es ist kein Werkzeug, um eine Person zu durchleuchten.

Nein. Ein Netzwerksensor sieht Verbindungen, keine Dateien. Die meisten Uploads laufen heute in verschlüsselten Sitzungen, und NetSenX entschlüsselt nie, kann also weder Dateinamen noch Inhalte lesen. Zeigen kann es, dass ein bestimmtes Gerät zu einer bestimmten Zeit ungewöhnlich viele Daten an ein bestimmtes Ziel gesendet hat, gemessen am normalen Verhalten dieses Geräts. Das grenzt die Frage ein: wann, von welchem Gerät und wohin. Welche Dateien betroffen waren, erfahren Sie aus anderen Quellen: den Audit-Protokollen des Cloud-Dienstes, den Zugriffsprotokollen des Dateiservers, Endpoint-Werkzeugen oder Software zur Verhinderung von Datenabfluss (DLP), jeweils im Rahmen des Arbeits- und Datenschutzrechts. Eine Kopie auf einen USB-Stick oder ein Ausdruck berührt das Netzwerk gar nicht.

Bei NetSenX nicht. Es analysiert Metadaten und einige Protokollfelder: welches Gerät sich wann, wie oft und mit wie viel Datenvolumen mit welcher Adresse und welchem Port verbunden hat, den Servernamen im TLS-Handshake und die Antworten auf DNS-Anfragen. Es entschlüsselt nie, deshalb bleiben die Inhalte von E-Mails, Chatnachrichten, Webseiten und Eingaben in KI-Werkzeuge ungelesen. Manche anderen Produkte entschlüsseln oder prüfen Inhalte; stellen Sie jedem Anbieter dieselbe Frage und lassen Sie sich die Antwort schriftlich geben. Metadaten können trotzdem personenbezogene Daten sein, weil sich Gerätenamen und IP-Adressen einer Person zuordnen lassen; die DSGVO gilt also. Erklären Sie diesen Unterschied den Beschäftigten und dem Betriebsrat vor dem Start: Er beantwortet die häufigste Sorge präzise.

Daten über Geräte, nicht über Menschen, doch einiges davon kann trotzdem eine Person erkennbar machen. NetSenX zeichnet Verbindungsmetadaten aus den überwachten Segmenten auf: interne und externe IP-Adressen, Ports, Zeiten, Datenmengen, die Servernamen, die Geräte kontaktieren (aus TLS-Handshake und DNS-Antworten), und die Namen, die Geräte im Netz melden. Daraus entstehen Alarme und eine Netzwerkkarte. Inhalte von Nachrichten oder Dateien zeichnet es nicht auf, und es entschlüsselt nie. Weil ein nach seiner Nutzerin benannter Laptop oder eine dem Rechner einer Person zugeordnete Adresse auf einen Menschen verweisen kann, behandeln Sie diese Aufzeichnungen als personenbezogene Daten: Beschäftigte informieren, nur das Nötige aufbewahren, den Zugriff beschränken und planmäßig löschen. NetSenX speichert Kundendaten in der EU und veröffentlicht seinen Auftragsverarbeitungsvertrag mit der vollständigen Liste der Unterauftragsverarbeiter.

Möglicherweise, je nach Land und danach, wie die Überwachung genutzt werden könnte. In Deutschland gibt § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz dem Betriebsrat ein Mitbestimmungsrecht bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen; viele Unternehmen schließen vor dem Einsatz von Sicherheitswerkzeugen eine Betriebsvereinbarung. Andere Länder geben Arbeitnehmervertretungen Informations- und Anhörungsrechte, und die DSGVO erlaubt dem nationalen Recht spezifischere Regeln im Beschäftigungskontext. Beziehen Sie Betriebsrat oder Arbeitnehmervertretung früh ein und erklären Sie, dass der Zweck die Angriffserkennung auf Geräten ist, was aufgezeichnet wird und was nicht, wer die Alarme sieht und wie lange Daten aufbewahrt werden. Die veröffentlichte Beschreibung dessen, was NetSenX liest, macht dieses Gespräch konkret; die rechtliche Bewertung bleibt bei Ihnen.

Indem Sie darauf schauen, was sich tatsächlich mit Ihrem Netz verbindet, statt auf Ihr Inventar. Private Handys, Laptops und smarte Geräte landen oft im Büro-WLAN oder an einer freien Netzwerkdose, ohne dass es jemand festhält. In jedem Plan listet die Netzwerkkarte von NetSenX die in überwachten Segmenten gesehenen Geräte auf, mit dem Namen, den jedes Gerät meldet, und dem ersten und letzten Zeitpunkt, an dem es gesehen wurde; unbekannte Geräte fallen so auf, und wenn eines davon das Netz scannt oder ständig einen unbekannten externen Server kontaktiert, folgt ein Alarm. Wem ein Gerät gehört und ob es erlaubt ist, kann ein Netzwerksensor nicht sagen: Vergleichen Sie die Liste mit Inventar und Richtlinie. Die dauerhafte Lösung ist strukturell: ein eigenes Gästenetz für private Geräte und, wo möglich, eine Netzwerkzugangskontrolle im Büronetz.

Ja, vor allem, weil niemand weiß, was darauf ist. Ein privater Laptop hat womöglich keinen Endpoint-Schutz, veraltete Software, raubkopierte Programme oder zu Hause eingefangene Schadsoftware, und in einem flachen Büronetz steht er direkt neben Lohn- und Kundendaten. Außerdem entzieht er sich Ihrer Kontrolle, wenn die Person geht. Sicherer ist: den Firmenlaptop am ersten Tag ausgeben; wenn das nicht geht, vorübergehenden Zugang über ein getrenntes Gästenetz und den Browser zu Cloud-Diensten geben, nicht zu internen Dateifreigaben; und die Regel in das Onboarding schreiben. Verbinden sich private Geräte doch, beobachten Sie, was sie tun: NetSenX zeigt in jedem Plan neue Geräte auf der Netzwerkkarte und meldet einen Alarm, wenn ein Gerät das Netz scannt oder ständig einen unbekannten externen Server kontaktiert.

Ja, für die Segmente, die NetSenX überwacht. In jedem Plan listet die Netzwerkkarte jedes dort gesehene Gerät mit dem gemeldeten Namen und dem ersten und letzten Zeitpunkt, an dem es gesehen wurde; Geräte, die diesen Monat zum ersten Mal auftauchten, lassen sich so leicht herausfiltern und mit Onboarding-Unterlagen und Inventar abgleichen. Die Liste umfasst nur Segmente mit Sensor: Ein Agent am Spiegelport eines Switches (SPAN) oder an einem Netzwerk-TAP sieht ein ganzes Segment, ein Gäste-WLAN oder eine Filiale ohne Sensor bleiben außen vor. Gerätenamen sind das, was Geräte selbst melden, keine geprüften Identitäten, und sie lassen sich ändern. Ein Gerät, das nur kurz verbunden war und nichts Auffälliges gesendet hat, erscheint unter Umständen mit sehr wenigen Angaben. Für ein vollständiges Inventar kombinieren Sie diese Sicht mit Ihrer Geräteverwaltung und den DHCP-Aufzeichnungen.

Nur dort, wo Sie den Verkehr des Laptops sehen: wenn der NetSenX-Agent auf ihm läuft oder sein Verkehr ein überwachtes Segment erreicht, etwa über das Firmen-VPN. Ein kommerzielles VPN oder das Tor-Netz zeigt sich als langlebige verschlüsselte Verbindung zu einer externen Adresse statt der üblichen Mischung von Zielen; NetSenX zeigt Ziele und Datenmengen, und ob ein Ziel zu einem solchen Dienst gehört, beurteilen Sie anhand der Adresse und der beteiligten Servernamen. In den Tunnel hinein sieht es nicht. Ein privates VPN ist oft harmlos; beginnen Sie also mit einer Frage, nicht mit einem Vorwurf, und prüfen Sie Ihre Homeoffice-Regelung. Werkzeuge zur Geräteverwaltung, die das Firmen-VPN erzwingen, und Identitätsprotokolle, die zeigen, woher Anmeldungen kommen, decken ab, was ein Netzwerksensor nicht sieht.

Vor allem, dass die Person nicht die ist, die sie zu sein vorgibt, oder dass ihre Geräte nicht unter Ihrer Kontrolle stehen. Bewerber mit geliehenen oder erfundenen Identitäten wurden schon genutzt, um legitimen Zugang zu Code, Daten und internen Systemen zu bekommen, und ein Laptop, der sich immer nur aus dem Ausland über einen privaten Tunnel verbindet, lässt sich schwer beaufsichtigen. Senken Sie das Risiko bei Einstellung und Onboarding: Identität per Live-Videogespräch und amtlichen Dokumenten prüfen, Referenzen direkt einholen, einen verwalteten Firmenlaptop schicken statt einen privaten zuzulassen, Zugänge schrittweise und nur für das Nötige vergeben und Multi-Faktor-Authentifizierung verlangen. Identitätsprüfung ist Aufgabe von HR. Läuft der NetSenX-Agent auf dem Laptop, zeigen sich ungewöhnliche Tunnel, Beaconing oder große Uploads als Hinweise oder Alarme, die die IT prüfen kann.

Nein: Überwachen Sie die Firmengeräte und das, was beim Unternehmen ankommt, nicht das Zuhause der Beschäftigten. Ein Heimnetz trägt die Handys der Familie, Spiele und privaten Verkehr; es zu beobachten hieße, personenbezogene Daten zu sammeln, für die Sie keinen Grund haben, was nach DSGVO und Arbeitsrecht schwer zu rechtfertigen ist. Schützen können Sie vernünftigerweise den Firmenlaptop und das Firmennetz: Endpoint-Schutz und Geräteverwaltung auf dem Laptop, Firmen-VPN als Pflicht für interne Ressourcen und Überwachung dort, wo dieser Verkehr ankommt. Bei NetSenX kann ein Firmenlaptop selbst den Agenten ausführen, der die Verbindungen genau dieses einen Geräts beobachtet, wo immer es ist; andere Geräte im Heimnetz überwacht er nicht. Sagen Sie den Beschäftigten genau, was auf ihrem Arbeitsgerät überwacht wird und warum.

Indem Sie beobachten, welche Geräte mit ihm sprechen, und neue markieren. Ein Lohn- oder Personalserver hat normalerweise einen kleinen, stabilen Kreis von Clients: einige Rechner in Personal und Finanzen, ein Backup-System, vielleicht den Lohnabrechnungsdienstleister. Verbindet sich plötzlich ein Arbeitsplatz, der das nie getan hat, besonders zu ungewöhnlicher Zeit oder nachdem er andere Rechner gescannt hat, ist sofortige Prüfung angebracht. In jedem Plan lernt NetSenX die üblichen Verbindungen jedes Hosts und meldet einen Alarm wegen lateraler Bewegung, wenn Sitzungen zwischen Geräten nicht zu diesem Muster passen, mit Quellgerät, Ziel und Zeit. Berechtigungen verwaltet es nicht, und wer an der Tastatur saß, weiß es nicht: Begrenzen Sie den Zugriff über Konten und Firewall-Regeln, und sehen Sie in den Anmeldeprotokollen des Servers nach, welches Konto verwendet wurde.

Meist die Lohn- und Personalsysteme, freigegebene Ordner mit Verträgen und Krankmeldungen, der Verzeichnisserver mit allen Konten, der Backup-Server mit Kopien von allem und die Postfächer von Personalabteilung und Geschäftsleitung. Erstellen Sie zuerst eine Liste: wem jedes System gehört, welche Rechner und Lieferanten es erreichen sollen und ob es im Haus oder in der Cloud läuft. Schützen Sie sie dann in Schichten: Multi-Faktor-Authentifizierung, Zugriff nur für die, die ihn brauchen, Verschlüsselung gespeicherter Daten, Anmeldeprotokolle und Backups, die aus dem Netz nicht gelöscht werden können. Für Systeme im eigenen Netz hilft NetSenX bei einer Schicht: In jedem Plan meldet es einen Alarm, wenn sich ein Gerät mit ihnen verbindet, das das sonst nicht tut, oder wenn eines von ihnen ungewöhnliche Datenmengen nach außen sendet. Personaldienste in der Cloud brauchen ihre eigenen Audit-Protokolle.

Zuerst als Sicherheitsereignis zu einem Gerät, nicht als Beweis gegen eine Person. Ein Alarm sagt, dass sich ein Gerät ungewöhnlich verhalten hat: Es kann infiziert sein, von jemand anderem benutzt werden oder etwas Legitimes tun, das seltsam aussieht. Die IT klärt zuerst die Fakten: was das Gerät getan hat, wann, ob Schadsoftware vorhanden ist und ob ein Konto missbraucht wurde. HR wird nur einbezogen, wenn die Fakten auf ein Fehlverhalten hindeuten, und dann nach Ihrer Disziplinarregelung, dem Arbeitsrecht und dem Datenschutzrecht, am besten nach Rücksprache mit dem Datenschutzbeauftragten. Halten Sie den Kreis klein, dokumentieren Sie jeden Schritt und nennen Sie keine Namen, bevor die Fakten klar sind. NetSenX unterstützt diese Trennung: Seine Alarme beschreiben Geräte, Verbindungen und Ziele, und das Audit-Log hält fest, wer einen Alarm bearbeitet und was entschieden hat.

Nur in engen Grenzen, und dafür ist NetSenX nicht gebaut. Sicherheitsüberwachung dient dazu, Angriffe auf Geräte zu erkennen; ihre Aufzeichnungen zur Untersuchung einer Person zu nutzen, ist ein anderer Zweck, den das Datenschutzrecht als eigene Frage von Zweckvereinbarkeit, Rechtsgrundlage und Verhältnismäßigkeit behandelt und den Arbeitsrecht und Betriebsratsrechte oft weiter einschränken. In manchen Fällen, etwa bei einem dokumentierten Verdacht auf eine schwere Straftat, kann eine begrenzte Nutzung nach Rechtsberatung zulässig sein. Führen Sie nie auf eigene Faust eine verdeckte Ermittlung über ein Sicherheitswerkzeug. NetSenX ist gerätezentriert: Seine Alarme beschreiben, was ein Gerät im Netz getan hat, nicht den Browserverlauf einer Person, und es liest nie Inhalte. Legen Sie vorab schriftlich fest, wer Sicherheitsaufzeichnungen für eine Untersuchung anfordern darf und wer das genehmigt.

Manchmal, aber das hängt vom nationalen Recht ab und davon, wie die Protokolle erhoben und angekündigt wurden. Nach der DSGVO dürfen personenbezogene Daten, die für einen Zweck wie die Netzwerksicherheit erhoben wurden, nur dann für einen anderen genutzt werden, wenn der neue Zweck vereinbar ist oder eine andere Rechtsgrundlage greift, und die Beschäftigten müssen über die Überwachung informiert worden sein. Das nationale Arbeitsrecht stellt eigene Bedingungen: Manche Länder verlangen vorherige Information oder eine Betriebsvereinbarung, und Gerichte in mehreren Mitgliedstaaten haben Beweise aus verdeckter oder unverhältnismäßiger Überwachung nicht verwertet. Holen Sie deshalb Rechtsrat ein, bevor ein Protokoll gegen jemanden verwendet wird, beziehen Sie den Datenschutzbeauftragten ein und prüfen Sie, was den Beschäftigten mitgeteilt wurde. NetSenX-Protokolle beschreiben Geräteaktivität und werden für die Aufbewahrungsdauer Ihres Plans gespeichert; ob sie verwertbar sind, ist eine Rechtsfrage.

Indem Sie Zweck, Daten und zugriffsberechtigte Personen vor dem Start festlegen und schriftlich festhalten. Formulieren Sie den Zweck als Erkennung von Angriffen auf Geräte und Systeme und schließen Sie Leistungs- oder Verhaltenskontrolle ausdrücklich aus. Erheben Sie nur Metadaten, bewahren Sie sie für eine festgelegte Dauer auf und beschränken Sie den Zugriff auf die wenigen Personen, die Sicherheit bearbeiten, mit einem Protokoll ihres Handelns. Informieren Sie die Beschäftigten, was überwacht wird und warum, beziehen Sie Betriebsrat oder Arbeitnehmervertretung ein, wo es sie gibt, und führen Sie eine Datenschutz-Folgenabschätzung durch, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt. Überprüfen Sie die Aufstellung jährlich. NetSenX unterstützt das von Grund auf: Es beobachtet Geräte und Verbindungen, entschlüsselt nie, meldet KI-Nutzung je Gerät und Programm statt je Person und führt ein Audit-Log, wer im Konto was getan hat.

Ja, und er ist oft ein gutes Versteck. Ein Rechner, den niemand nutzt, der aber eingeschaltet und verbunden bleibt, etwa der Arbeitsplatz einer Person in Langzeitabwesenheit, ein Ersatz-PC im Besprechungsraum oder ein alter Rechner für ein einziges Programm, bekommt selten Updates, und niemand merkt, wenn er sich seltsam verhält. Angreifer nutzen solche Geräte als ruhigen Stützpunkt, um das Netz zu scannen, Server zu erreichen oder Daten hinauszuschicken. Schalten Sie ab und trennen Sie, was nicht gebraucht wird, halten Sie den Rest aktuell und geben Sie jedem Gerät einen Verantwortlichen. In jedem Plan meldet NetSenX Alarme, wenn ein überwachtes Gerät beginnt, regelmäßig einen externen Server zu kontaktieren, zu scannen, sich mit nie genutzten Hosts zu verbinden oder ungewöhnliche Mengen hochzuladen; am deutlichsten fällt das bei einem Rechner auf, der eigentlich nichts tun sollte.

Indem Sie vergleichen, was er jetzt tut, mit dem, was er normalerweise tut. Ein Rechner, der ruhen sollte, weil seine Nutzerin abwesend ist oder er nur für Updates eingeschaltet wird, hat ein sehr kleines normales Muster: einige Update-Server, vielleicht das Backup-System. Alles darüber hinaus, etwa regelmäßige Verbindungen zu einem unbekannten externen Server, Anmeldungen an anderen internen Rechnern, Scans oder große nächtliche Uploads, ist ein starkes Signal. In jedem Plan lernt NetSenX die üblichen Ziele, Mengen und Tageszeiten jedes Geräts und meldet Alarme für C2-Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Datenvolumen, mit Gerät, Ziel und Zeit. Was ohne Netzwerkverkehr im Rechner selbst geschieht, sieht es nicht; das deckt der Endpoint-Schutz ab. Halten Sie schriftlich fest, welche Rechner ruhen sollten, damit auch eine Vertretung es weiß.

Meist ausschalten oder einziehen und dafür sorgen, dass ihre Konten in der Zwischenzeit nicht missbraucht werden. Vereinbaren Sie mit HR eine einfache Routine für Abwesenheiten von mehr als einigen Wochen, etwa Elternzeit, längere Krankheit oder ein Sabbatical: Der Laptop wird verwahrt oder bleibt ausgeschaltet, Desktop-Rechner werden heruntergefahren, und das Konto wird gesperrt oder bleibt nur mit Multi-Faktor-Authentifizierung aktiv, je nachdem, ob die Person noch Fernzugriff braucht. Kehrt die Person zurück, aktualisieren Sie den Rechner, bevor er wieder ins Netz geht. Behandeln Sie das als Sicherheitsschritt, nicht als Urteil über die Person, und schreiben Sie das so in die Richtlinie. Muss ein Gerät laufen, etwa für eine gemeinsame Aufgabe, braucht es eine verantwortliche Person. NetSenX meldet in jedem Plan einen Alarm, wenn ein solches Gerät beginnt zu beaconen, zu scannen oder hochzuladen, während es ruhig sein sollte.

Vor allem, indem Sie steuern, wo sie sich verbinden dürfen, und dann beobachten, was sie dort tun. Externe bringen meist eigene Laptops mit, die Sie weder verwalten noch prüfen können. Geben Sie ihnen ein eigenes Netz oder VLAN mit Zugriff nur auf die Systeme, die ihr Projekt braucht, befristete Konten mit Multi-Faktor-Authentifizierung und eine Vertragsklausel zu Sicherheit und Vorfallmeldung. Überwachen Sie dann dieses Segment. In jedem Plan listet NetSenX die dort gesehenen Geräte mit dem gemeldeten Namen und dem ersten und letzten Zeitpunkt auf und meldet Alarme, wenn ein Laptop eines Externen das Netz scannt, ständig einen unbekannten externen Server kontaktiert oder sich außerhalb seines üblichen Musters mit internen Rechnern verbindet. In den Laptop oder in verschlüsselte Sitzungen sieht es nicht. Sagen Sie Externen, was überwacht wird, so wie Sie es Beschäftigten sagen.

Ja, wo möglich, denn es begrenzt, was ein nicht verwalteter Laptop erreichen kann. In einem flachen Netz steht der Laptop eines Externen neben Lohnsystem, Dateiservern und Produktionssystemen, sodass jede mitgebrachte Schadsoftware versuchen kann, sie alle zu erreichen. Ein eigenes WLAN oder VLAN, das über eine Firewall nur das Internet und die konkreten Systeme des Projekts erlaubt, macht daraus eine kurze, prüfbare Liste erlaubter Verbindungen. Entziehen Sie den Zugang, wenn das Projekt endet. Segmentierung geschieht in Switches, Firewall und WLAN-Controller; NetSenX ändert keine Netzeinstellungen und blockiert keinen Verkehr. Es ergänzt die Prüfung, ob die Trennung wirkt: Zeigt die Überwachung, dass ein Gerät eines Externen interne Hosts außerhalb der erlaubten Liste erreicht oder scannt, meldet es einen Alarm.

Ja, in den Segmenten, die NetSenX überwacht: Die Netzwerkkarte zeigt in jedem Plan, wann jedes Gerät zuletzt gesehen wurde. Prüfen Sie nach Projektende, dass die Geräte der Externen nicht mehr auftauchen, und schauen Sie einige Wochen später noch einmal nach; ein Laptop, der nach dem Enddatum wiederkommt, bedeutet, dass der Zugang nicht vollständig entzogen wurde, sei es durch ein gespeichertes WLAN-Passwort, ein VPN-Profil oder ein zurückgelassenes Fernzugriffswerkzeug. Kombinieren Sie das mit den administrativen Schritten: Konten der Externen am Enddatum sperren, ihnen überlassene gemeinsame Zugangsdaten ändern, VPN-Profile und Zertifikate entfernen und Ausweise oder Hardware einsammeln. Die Netzsicht kennt weder Verträge noch Enddaten; führen Sie deshalb eine einfache Liste der Geräte von Externen mit dem erwarteten Enddatum und gleichen Sie sie mit der Karte ab.

Nein. Das Kopieren von Dateien auf einen USB-Stick, eine externe Festplatte oder ein per Kabel verbundenes Handy geschieht im Rechner und berührt das Netzwerk nie; kein Netzwerksensor, auch NetSenX nicht, kann es sehen. Diese Lücke wird am Endgerät geschlossen: Gerätekontrolle im Endpoint-Schutz oder im Betriebssystem kann Wechseldatenträger sperren oder protokollieren, Werkzeuge zur Verhinderung von Datenabfluss (DLP) können beobachten, welche Dateien kopiert werden, und Festplattenverschlüsselung schützt Firmenlaptops bei Verlust. Netzwerküberwachung hilft erst später: Werden die kopierten Daten anschließend von einem Firmengerät in einem überwachten Netz hochgeladen, kann ein ungewöhnliches ausgehendes Datenvolumen dieses Geräts einen Alarm auslösen. Entscheiden Sie, welche Kontrolle passt, erklären Sie sie den Beschäftigten und prüfen Sie vor dem Einschalten einer Protokollierung auf Dateiebene die nationalen Regeln zur Überwachung am Arbeitsplatz.

Eine Kontrolle am Endgerät, kein Netzwerkwerkzeug. Die meisten Endpoint-Schutz-Pakete und die Verwaltungsfunktionen aktueller Betriebssysteme enthalten eine Gerätekontrolle: Sie können Wechseldatenträger ganz sperren, nur vom Unternehmen ausgegebene verschlüsselte Sticks zulassen oder nur Lesezugriff erlauben und Versuche protokollieren. Software zur Verhinderung von Datenabfluss (DLP) geht weiter und kann das Kopieren als vertraulich gekennzeichneter Dokumente blockieren. Beginnen Sie mit der einfachsten Regel, die zur Arbeit passt, denn ein Totalverbot bringt Menschen oft dazu, sich Dateien selbst zu mailen, und kombinieren Sie sie mit Festplattenverschlüsselung auf Laptops. Schreiben Sie die Regel in die IT-Richtlinie und informieren Sie die Beschäftigten, denn zu protokollieren, was Menschen kopieren, ist Überwachung im Sinne von Datenschutz- und Arbeitsrecht. NetSenX tut das nicht; es sieht nur Daten, die später das Netzwerk passieren.

Den Upload selbst, wenn er von einem überwachten Gerät oder Segment ausgeht: Gerät, Ziel, Menge und Zeit, aber nicht die Dateien. Kopiert jemand Daten im Büro auf einen USB-Stick und lädt sie zu Hause hoch, sieht das Büronetz den Upload nie. Erfolgt der Upload von einem Firmenlaptop mit NetSenX-Agent oder von einem Rechner in einem überwachten Segment, vergleicht NetSenX in jedem Plan diesen ausgehenden Verkehr mit dem normalen Muster des Geräts und meldet einen Alarm, wenn er ungewöhnlich ist, etwa mehrere Gigabyte nachts zu einem privaten Cloud-Speicher. Der Inhalt bleibt ungelesen, weil NetSenX nie entschlüsselt. Was hochgeladen wurde, erfahren Sie aus den Protokollen des Cloud-Dienstes oder von Endpoint-Werkzeugen, genutzt im Rahmen von Arbeits- und Datenschutzrecht.

Sie können einschränken, wer überhaupt Zugang zum Sicherheitskonto hat, und das ist der erste Schritt. Alarme können Geräte von Personalabteilung, Geschäftsleitung oder Finanzen nennen, und manchmal verweisen diese Namen auf Personen. Ab dem Starter-Plan unterstützt NetSenX Teamverwaltung mit Rollen, sodass Sie nur die wenigen Personen aufnehmen, die Sicherheit bearbeiten, und jeder die nötige Rolle geben; der Free-Plan hat einen einzigen Benutzer. Alle mit Zugang sollten wissen, dass Alarme vertraulich sind. Brauchen Sie eine feinere Trennung, etwa damit die IT keine Alarme zum Laptop der Personalleitung sieht, klären Sie mit uns, was das aktuelle Rollenmodell unterstützt, bevor Sie sich darauf verlassen, und erwägen Sie, solche Alarme einer kleinen Gruppe oder einem externen Dienstleister zu übertragen. Jede Aktion im Konto wird in jedem Plan im Audit-Log festgehalten.

Es protokolliert Aktionen. In jedem Plan hält das Audit-Log von NetSenX fest, was Benutzer im Konto tun: wer den Status eines Alarms geändert oder ihn geschlossen hat, wer eine Entscheidung erfasst hat, wer eine Einstellung geändert oder ein Teammitglied hinzugefügt hat, und wann. Das ergibt eine Spur für interne Prüfungen, Prüfer und Fragen des Betriebsrats, wer sensible Alarme bearbeitet hat. Das Audit-Log hat eine eigene Aufbewahrungsdauer, die mit dem Plan wächst; die Preisseite nennt sie. Gehen Sie nicht davon aus, dass bloßes Öffnen oder Lesen eines Alarms aufgezeichnet wird: Brauchen Sie einen Nachweis, wer was angesehen hat, fragen Sie uns, was die aktuelle Version protokolliert, bevor Sie es jemandem zusagen. Kombinieren Sie das Audit-Log mit einer kurzen schriftlichen Regel, wer auf Sicherheitsalarme zugreifen darf und warum.

Ja: Zwei-Faktor-Authentifizierung ist in jedem Plan verfügbar, auch im Free-Plan. Sie fügt der Anmeldung einen zweiten Schritt hinzu, meist einen Code aus einer Authenticator-App, sodass ein gestohlenes oder erratenes Passwort allein das Konto nicht öffnet. Schalten Sie sie für jede Person ein, die NetSenX nutzt, und nehmen Sie sie in Ihre Onboarding-Checkliste auf, denn ein Sicherheitskonto zeigt, wie Ihr Netz aufgebaut ist und welche Geräte Alarme ausgelöst haben, genau das, was ein Angreifer gern lesen würde. Dasselbe gilt für alle anderen Administratorkonten: E-Mail, Cloud-Dienste, Firewall, Backup-System und Fernzugriffswerkzeuge. NetSenX hält Aktionen und Änderungen im Konto zudem im Audit-Log fest, sodass sich unerwartete Aktivität im Konto prüfen lässt. Entfernen Sie Benutzer umgehend, wenn sie das Team verlassen.

Was überwacht wird, warum, was nicht, wer es sieht und wie lange es aufbewahrt wird, in klaren Worten und bevor die Überwachung beginnt. Die DSGVO verlangt von Verantwortlichen klare Informationen über die Verarbeitung personenbezogener Daten, und das Arbeitsrecht vieler Länder ergänzt Informations- oder Beteiligungspflichten. Eine gute Information sagt: Wir überwachen Firmengeräte und Netzwerkverbindungen, um Angriffe zu erkennen; wir speichern Verbindungsmetadaten wie Adressen, Zeiten, Datenmengen und Servernamen, nicht den Inhalt von Nachrichten oder Dateien; ein kleines benanntes Team sieht die Alarme; Aufzeichnungen werden für eine bestimmte Dauer aufbewahrt; Fragen beantwortet diese Person. Nehmen Sie das in die IT-Richtlinie und die Datenschutzinformation für Beschäftigte auf und aktualisieren Sie es bei Änderungen. Die Beschreibung dessen, was NetSenX liest, hilft, es präzise zu formulieren.

Nein. NetSenX meldet KI-Nutzung je Gerät und je Programm, nicht je Person. Ab dem Pro-Plan zeigt es, welche Geräte welche externen KI-Dienste oder lokalen Modellumgebungen erreicht haben, wann und mit wie viel Daten; wo der Agent auf dem Rechner selbst läuft, kann es auch das Programm nennen, das die Verbindung aufgebaut hat. Es entschlüsselt nie und kann daher nicht zeigen, was eingetippt, eingefügt oder hochgeladen wurde. Ein Gerät einer Person zuzuordnen ist ein eigener Schritt, den die Personalabteilung nur aus klarem, rechtmäßigem Grund gehen sollte, etwa bei Verdacht auf eine Datenpanne, und mit den Schutzvorkehrungen, die Ihre Richtlinie und das nationale Recht verlangen. Für die meisten Zwecke brauchen Sie keine Namen: Zu wissen, dass Geräte der Finanzabteilung Daten an einen nicht freigegebenen Dienst senden, reicht, um die Richtlinie anzupassen, ein geeignetes Werkzeug freizugeben oder Schulungen anzubieten.

Innentäterrisiko ist ein Schaden durch jemanden mit legitimem Zugang: Beschäftigte, Externe oder Lieferanten, die Daten oder Systeme absichtlich missbrauchen, einen teuren Fehler machen oder deren Konto übernommen wird. Der Unterschied zum Angriff von außen ist der Ausgangspunkt: Wer von innen handelt, ist schon hinter der Eingangstür, mit gültigen Zugangsdaten und unauffällig wirkender Aktivität; Schutz, der nur am Rand des Netzes ansetzt, übersieht das. Die meisten internen Vorfälle sind Fehler, nicht böse Absicht; die besten Maßnahmen sind daher einfach: nur den Zugang, den die Rolle braucht, Entzug bei Rollenwechsel, Multi-Faktor-Authentifizierung, Backups und Schulung. NetSenX sieht einen Teil davon: ungewöhnliches Verhalten eines Geräts, etwa Verbindungen zu nie genutzten Servern oder große Uploads. Absichten beurteilt es nicht, und es beobachtet keine Menschen.

Ja, sie können es erfragen, denn die DSGVO gibt jeder Person ein Auskunftsrecht über die sie betreffenden personenbezogenen Daten. Lassen sich Netzwerkaufzeichnungen einem Beschäftigten zuordnen, etwa über einen nach ihm benannten Laptop oder eine seinem Rechner zugewiesene Adresse, kann er eine Kopie sowie Angaben zu Zwecken, Empfängern und Speicherdauer verlangen, vorbehaltlich der Grenzen, die DSGVO und nationales Recht zulassen, etwa zum Schutz der Rechte anderer oder während laufender Ermittlungen. Als Arbeitgeber sind Sie Verantwortlicher und beantworten die Anfrage innerhalb der Frist aus Artikel 12 DSGVO. Bereiten Sie sich vor: Wissen Sie, wo Sicherheitsaufzeichnungen liegen, wer sie exportieren kann und wie Daten über andere Personen entfernt werden. NetSenX unterstützt als Ihr Auftragsverarbeiter solche Anfragen nach seinem Auftragsverarbeitungsvertrag; seine Aufzeichnungen betreffen Geräteverbindungen, keine Nachrichteninhalte.

Sie sollte klar sagen, dass Firmengeräte und Netze zur Sicherheit überwacht werden, was das bedeutet und wo die Grenzen liegen. Ein brauchbarer Abschnitt behandelt: den Zweck (Angriffe erkennen und Daten schützen, nicht Leistung messen); was aufgezeichnet wird (Verbindungsmetadaten von Firmengeräten und -netzen, keine Nachrichteninhalte); ob private Nutzung von Firmengeräten erlaubt ist und wie privater Verkehr behandelt wird; Regeln zu privaten Geräten, USB-Speichern, Fernzugriffswerkzeugen und KI-Diensten; wer Alarme sieht und wie lange Aufzeichnungen aufbewahrt werden; was geschieht, wenn ein Alarm das Gerät eines Beschäftigten betrifft; und an wen man sich wendet. Halten Sie sie kurz genug, dass sie gelesen wird, lassen Sie sie rechtlich prüfen und, wo nötig, mit dem Betriebsrat vereinbaren. Beschreiben Sie NetSenX nach dem, was es tut: Überwachung von Geräten und Verbindungen, ohne Entschlüsselung.

So lange, wie Sie sie für die Sicherheit und etwaige rechtliche Pflichten brauchen, und nicht länger: Der Grundsatz der Speicherbegrenzung der DSGVO verlangt eine festgelegte Frist, kein Aufbewahren auf Vorrat. Für Netzwerk-Sicherheitsprotokolle gibt es keine einheitliche EU-Zahl; legen Sie die Frist selbst fest und schreiben Sie die Begründung auf. Für eine längere Frist sprechen meist spät entdeckte Vorfälle, Anfragen von Prüfern, Versicherern und Behörden sowie branchen- oder landesrechtliche Aufbewahrungsregeln; für eine kürzere, dass die Protokolle identifizierbare Beschäftigte betreffen und weniger Daten weniger Schutzaufwand bedeuten. Viele Unternehmen wählen für Alarme eine Frist von Monaten und für Vorfalldokumentation und Entscheidungen eine längere. Die Aufbewahrung von Alarmhistorie und Audit-Log bei NetSenX hängt vom Plan ab; die Preisseite nennt beide.

Emotionserkennung am Arbeitsplatz ist verboten, und KI, die Beschäftigte überwacht oder bewertet, gilt als hochriskant. Artikel 5 der KI-Verordnung (AI Act) verbietet KI-Systeme, die Emotionen von Personen am Arbeitsplatz ableiten, außer aus medizinischen oder Sicherheitsgründen, und Anhang III führt KI zur Überwachung und Bewertung von Leistung und Verhalten von Personen in Arbeitsverhältnissen als Hochrisiko-System mit strengen Pflichten für Anbieter und Betreiber. DSGVO und nationales Arbeitsrecht gelten zusätzlich, und der Betriebsrat redet oft mit. Seien Sie deshalb vorsichtig mit Werkzeugen, die Produktivität bewerten, Tastatureingaben aufzeichnen oder Gesichter und Stimmen analysieren. NetSenX ist anders gebaut: Es beobachtet Geräte und Netzwerkverbindungen, um Angriffe zu erkennen, meldet KI-Nutzung je Gerät und Programm, nie je Person, und bewertet keine Beschäftigten.