Berufliche UND private Nutzung eines Macbooks: Beste Praxis

[Andreas Borutta]

Moin.

Meine Freundin arbeitet bei einem Verlag und erhält als Mitarbeiterin
ein Macbook gestellt. Die IT-Abteilung des Verlages hat das Gerät für
sie eingerichtet.
Eine private Nutzung in ihrem MA-Benutzeraccount ist explizit erlaubt.
Einen weiteren zusätzlichen Benutzeraccount gibt es nicht und sie hat
auch nicht die Rechte einen einzurichten.
Der Rechner ist im Verlagsgebäude in einem geschützten WLAN am Netz.
Im Homeoffice kommt ein VPN zum Einsatz.

Das ist der Ist-Zustand.

Angenommen, die IT-Abteilung/der AG wäre für Vorschläge offen, wäre
folgende Einrichtung aus eurer Bewertung besser für beide Seiten, für
den AG und für die MA?

Der Rechner erhält 2 unabhängige Betriebssysteme für einen Dual Boot
Betrieb.

https://support.apple.com/de-de/118282

Die IT-Abteilung richtet zwei Partitionen ein. Nennen wir die eine
"private Partition (PP)", die andere "berufliche Partition (BP)".
Die IT-Abteilung richtet nun auf der BP den MA-Benutzeraccount so ein
wie bisher.
Die Verschlüsselung FileFault wird aktiviert.

Das zweite OS richtet die MA selber auf der PP ein.
Die Verschlüsselung FileFault wird aktiviert.

Zu akzeptierender Nachteil/Merkmal:
Sowohl der AG als auch die MA kann die jeweils andere Partition
löschen.

Frage:
Werden bei so einer Einrichtungsweise die folgenden 2 wesentlichen
Schutzinteressen gewahrt?

1 Die Netzwerksicherheit des AG kann durch private Aktivitäten des MA
auf der PP nicht gefährdet werden.

2 Ein neugieriger Firmen-Admin kann keine unverschlüsselten Daten der
MA auf ihrer PP lesen.

Ich bin unerfahren in diesen Fragen und bitte um eine ganz offene
Antwort.
Wenn es viel bessere Wege gibt, einen Dual Use zu handhaben, lasst es
mich bitte wissen.

Ich möchte zunächst hier nur technische Seite der Sicherheit
diskutieren, keine rechtlichen und organisatorischen Aspekte. Das
können wir ja später oder besser in einem separaten Thread noch tun.

Ich möchte auch nicht diskutieren, ob man komplett die Finger von
privater Nutzung eines auch beruflichen Gerätes lassen sollte. Das ist
selbstverständlich eine kontroverse Diskussion.

Aktuell möchte ich auch keine Variante diskutieren, wo ein zweites OS
auf einer externen SSD eingerichtet wird. Auch das wäre ja denkbar,
daher erwähne ich es der Vollständigkeit halber.

Mein Anliegen hier im Thread ist, zu klären, ob die hier kurz
skizzierte Einrichtung für beide Seiten (AG und MA) eine deutliche
Verbesserung gegenüber dem Ist-Zustand (siehe oben) wäre.

Danke.

Andreas

[Ralph Aichinger]

Post by Andreas Borutta
ein Macbook gestellt. Die IT-Abteilung des Verlages hat das Gerät für

[Vorbemerkung: Ich arbeite seit Jahren in den IT-Abteilungen diverser
Firmen, auch solcher die hauptsächlich Macs ausgeben]

Post by Andreas Borutta
Angenommen, die IT-Abteilung/der AG wäre für Vorschläge offen, wäre
folgende Einrichtung aus eurer Bewertung besser für beide Seiten, für
den AG und für die MA?
Der Rechner erhält 2 unabhängige Betriebssysteme für einen Dual Boot
Betrieb.

Würde ich als jemand in einer IT-Abteilung nie akzeptieren:

1. Wegen der Komplexität.
2. Weil ich mir nicht sicher bin ob Festplattenverschlüsselung (die bei
Macs sonst immer schmerzlos ist) da noch problemlos funktioniert.

Was passiert, wenn der Mac in die Reparatur muß? Wer kümmert sich dann
darum, dass dieses komplexe Gebilde wieder rauf kommt? Ich würde das
als jemand in einer Firmen-IT nicht wollen.

Ich würde vermuten, dass das ganze so gedacht ist:

Mitarbeiter verwendet MacBook auch privat mit dem gleichen Login, dem
gleichen Betriebssystem wie dienstlich, schiebt eventuell seine Privaten
Sachen in einen Ordner. Wo ist da das Problem für dich?

Post by Andreas Borutta
Ich möchte auch nicht diskutieren, ob man komplett die Finger von
privater Nutzung eines auch beruflichen Gerätes lassen sollte. Das ist
selbstverständlich eine kontroverse Diskussion.

Ich kenne alle möglichen Abstufungen von "keinesfalls nie und nimmer"
bis hin zu "Mitarbeiter verwendenden mal das dienstliche, mal das
private Gerät, beides für dienstlich und privat, wie sie lustig sind.

Der Hauptunterschied sind die regulatorischen Rahmenbedingungen. Wenn du
im Bankenbereich arbeitest wird weniger möglich sein, als bei einem
Kulturveranstalter. Bei einem Verlag vermute ich, dass das alles recht
flexibel und mit Augenmaß geregelt ist, wenn nicht irgendwelche ISO
9001, ISO 27001 etc. Kriterien zu erfüllen sind, die dagegen sprechen.

Post by Andreas Borutta
Aktuell möchte ich auch keine Variante diskutieren, wo ein zweites OS
auf einer externen SSD eingerichtet wird. Auch das wäre ja denkbar,
daher erwähne ich es der Vollständigkeit halber.

Warum nicht "einfach so" mit gleichem Login, gleichem OS, gleichen
Programmen, zu verwenden, halt die Daten ein bißchen
auseinanderzusortieren.

/ralph

[Andreas Borutta]

Post by Ralph Aichinger
1. Wegen der Komplexität.

Ich habe das noch nie selber testweise aufgesetzt. Aber der verlinkten
Anleitung von Apple nach zu urteilen, dauert das nicht superlange.

Post by Ralph Aichinger
2. Weil ich mir nicht sicher bin ob Festplattenverschlüsselung (die bei
Macs sonst immer schmerzlos ist) da noch problemlos funktioniert.

Das sind technische Merkmale, die ich hoffe, hier klären zu können.

Vor allem aber: kann Malware von der PP auf die BP übergehen oder ist
das bei dem Setting sicher ausgeschlossen?

Post by Ralph Aichinger
Was passiert, wenn der Mac in die Reparatur muß?

Mir liegen dazu keine Informationen vor, wie bisher bei Reparaturen
vorgegangen wird.

Wenn die Daten verschlüsselt sind und Backups existieren, besteht IMHO
keine Notwendigkeit vor einer Hardwarereparatur das System sicher zu
löschen, oder wie seht ihr das?


Andreas

[Ralph Aichinger]

Post by Andreas Borutta

Post by Ralph Aichinger
1. Wegen der Komplexität.

Ich habe das noch nie selber testweise aufgesetzt. Aber der verlinkten
Anleitung von Apple nach zu urteilen, dauert das nicht superlange.

Ja schon, nur dann hast du in der Firma 50 Laptops die alle gleich sind,
und der 51. ist eine Schneeflocke und erfordert bei allem besondere
Aufmerksamkeit.

Post by Andreas Borutta
Vor allem aber: kann Malware von der PP auf die BP übergehen oder ist
das bei dem Setting sicher ausgeschlossen?

Ist das relevant? Weinn eine Firmen-IT einen Rechner für sowas freigibt,
dann sehen sie den Rechner sowieso als "Feindesland". Als Privater hätte
ich am ehesten noch Angst, dass jemand aus der Firmen-IT z.B.
irgendwelche privaten Fotos abgreift, je nach Seriosität der Firma und
Professionalität der IT.

Post by Andreas Borutta
Mir liegen dazu keine Informationen vor, wie bisher bei Reparaturen
vorgegangen wird.

Ich kann mich nicht mehr an die Details erinnern, aber ich hab mal
Reparaturen gehabt, wo ich der Werkstätte sogar Zugriff zur Apple-ID
des Geräts hab geben müssen. Was ist, wenn die sagen: So ein komplexes
Setup reparieren wir nicht? Ich hab keine Ahnung, ob das passieren kann,
aber ich würde es für vorstellbar halten.

Post by Andreas Borutta
Wenn die Daten verschlüsselt sind und Backups existieren, besteht IMHO
keine Notwendigkeit vor einer Hardwarereparatur das System sicher zu
löschen, oder wie seht ihr das?

Andererseits: Wenn Backups existieren, wovor soll die Trennung dann
schützen, was ist das Angriffsszenario, gegen das die doppelte
Installation hilft?

/ralph

[Stephan Seitz]

Post by Ralph Aichinger
Andererseits: Wenn Backups existieren, wovor soll die Trennung dann
schützen, was ist das Angriffsszenario, gegen das die doppelte
Installation hilft?

In dem Szenario sehe ich eher die Firmen-IT als "Feind", die
möglicherweise durch Überwachungs-Tools Dinge zu sehen bekommen, die
sie nicht sehen soll. Oder durch zu viele Sicherheitsmaßnahmen
blockiert.

Stephan

[Ralph Aichinger]

Post by Stephan Seitz
In dem Szenario sehe ich eher die Firmen-IT als "Feind", die
möglicherweise durch Überwachungs-Tools Dinge zu sehen bekommen, die
sie nicht sehen soll. Oder durch zu viele Sicherheitsmaßnahmen
blockiert.

Ja, ich auch, aber es soll ja vernünftige Firmen geben. De facto kann
man ja in vielen Bereichen (nein, nicht bei Banken oder Geheimdiensten)
sagen: Was am Notebook ist, das ist quasi zu opfern,
Arbeitszwischenstände die Relevanz haben werden auf zentralen Systemen
verwaltet, und ansonsten verhalten sich alle Beteiligten wie Erwachsene.

Ich hab z.B. mal in einer Firma die Rechner von hauptsächlich
Softwareentwicklern verwaltet. Die haben selbst Software installieren
dürfen nach Lust und Laune, sonst wäre deren Arbeit auch mühevoll und
weniger produktiv gewesen[1].

Es hat irgendwie die Konvention gegeben, dass Arbeitsresultate immer
aktuell im firmeninternen Gitlab gespeichert werden (d.h. dass nicht
ein Laptop wegkommt, und 3 Wochen Arbeit drauf verloren gehen können),
und ansonsten wurden nicht mal Backups von den Laptops gemacht (jeder
durfte natürlich selbst wenn er wollte).

/ralph

[1] Tatsächlich haben Großbetriebe, die uns als Dienstleister engagiert
haben, auch teilweilse uns Aufträge gegeben um Dinge zu machen, die die
eigenen Mitarbeiter nicht machen durften, weil sie von irgendwelchen
Regulatorien untersagt waren. Bei externen ging es. So kann man sich
auch selbst blockieren.

[Jörg Lorenz]

Post by Ralph Aichinger
[1] Tatsächlich haben Großbetriebe, die uns als Dienstleister engagiert
haben, auch teilweilse uns Aufträge gegeben um Dinge zu machen, die die
eigenen Mitarbeiter nicht machen durften, weil sie von irgendwelchen
Regulatorien untersagt waren. Bei externen ging es. So kann man sich
auch selbst blockieren.

Würdest Du die Banken-Regulation kennen, dann wüsstest Du, weshalb das
so ist. Ich nehme mal an in der Nukleartechnik, Luft- und Raumfahrt und
der Rüstungsindustrie ist das bedingt durch interne und externe
Regulation auch nicht anders.

Jörg

[Jörg Lorenz]

Post by Stephan Seitz

Post by Ralph Aichinger
Andererseits: Wenn Backups existieren, wovor soll die Trennung dann
schützen, was ist das Angriffsszenario, gegen das die doppelte
Installation hilft?

In dem Szenario sehe ich eher die Firmen-IT als "Feind", die
möglicherweise durch Überwachungs-Tools Dinge zu sehen bekommen, die
sie nicht sehen soll. Oder durch zu viele Sicherheitsmaßnahmen
blockiert.

Hä? Das ist ein Firmenrechner und es ist reine Nächstenliebe, wenn der
Nutzer seine privaten Dinge darauf speichern und erledigen darf.
Auf einem Firmenrechner gibt es keine Privatsphäre. Ende der Durchsage.

Jörg

[Stephan Seitz]

Post by Jörg Lorenz
Hä? Das ist ein Firmenrechner und es ist reine Nächstenliebe, wenn der
Nutzer seine privaten Dinge darauf speichern und erledigen darf.

Blödsinn. Das ist keine Nächstenliebe. Sowas kennen die gar nicht.
Das ist kalkül in irgendeiner Form. Entweder weil das leistungsfähige
Notebook auch privat für z.B. Spiele genutzt werden kann (und Firma
damit möglicherweise das Gehalt etwas drücken kann) oder weil der
Arbeitnehmer das Gerät dann auch z.B. in den Urlaub mitnimmt und damit
dann auch mal Firmenarbeiten erledigen kann.

Post by Jörg Lorenz
Auf einem Firmenrechner gibt es keine Privatsphäre. Ende der Durchsage.

Hm, so einfach ist das wohl nicht. Da gabs doch auch mal das Problem
mit der privaten Nutzung der Firmenmailadresse. Die Firma durfte dann
doch nicht mehr alles so handhaben.

Daher könnte ich mir durchaus vorstellen, daß bei einer offiziell
erlaubten privaten Nutzung des NBs die Firma nicht so auf dem Gerät
herumschnüffeln darf wie ohne Erlaubnis.

Private Nutzung ohne Privatsphäre ist ein Widerspruch.

Stephan

[Jörg Lorenz]

Post by Stephan Seitz

Post by Jörg Lorenz
Hä? Das ist ein Firmenrechner und es ist reine Nächstenliebe, wenn der
Nutzer seine privaten Dinge darauf speichern und erledigen darf.

Blödsinn. Das ist keine Nächstenliebe. Sowas kennen die gar nicht.
Das ist kalkül in irgendeiner Form. Entweder weil das leistungsfähige
Notebook auch privat für z.B. Spiele genutzt werden kann (und Firma
damit möglicherweise das Gehalt etwas drücken kann) oder weil der
Arbeitnehmer das Gerät dann auch z.B. in den Urlaub mitnimmt und damit
dann auch mal Firmenarbeiten erledigen kann.

Das ist totaler Blödsinn und zeigt, dass Dir die Handhabung von
Firmenrechnern sehr fern ist. Wenn Du für das Pfarramt arbeitest, mag
das ja so sein.

Post by Stephan Seitz

Post by Jörg Lorenz
Auf einem Firmenrechner gibt es keine Privatsphäre. Ende der Durchsage.

Hm, so einfach ist das wohl nicht. Da gabs doch auch mal das Problem
mit der privaten Nutzung der Firmenmailadresse. Die Firma durfte dann
doch nicht mehr alles so handhaben.

Firmen-Maildresse für private Zwecke? Aber nicht im Ernst. U.U. ein
Kündigungsgrund.

Post by Stephan Seitz
Daher könnte ich mir durchaus vorstellen, daß bei einer offiziell
erlaubten privaten Nutzung des NBs die Firma nicht so auf dem Gerät
herumschnüffeln darf wie ohne Erlaubnis.

Das ist eine Frage der firmeninternen Bestimmungen, die integraler
Bestandteil des Arbeitsvertrages sind.

Post by Stephan Seitz
Private Nutzung ohne Privatsphäre ist ein Widerspruch.

Blödsinn. Privatsphäre auf Firmeninfrastruktur? Ich lach mich tot. Gibt
es nicht mal für die Telefonie, wenn der Arbeitnehmer entsprechend
informiert ist und die Kenntnisnahme bestätigt hat.

Post by Stephan Seitz
Stephan

Jörg

[Ralph Aichinger]

Post by Jörg Lorenz

Post by Stephan Seitz
Blödsinn. Das ist keine Nächstenliebe. Sowas kennen die gar nicht.
Das ist kalkül in irgendeiner Form. Entweder weil das leistungsfähige
Notebook auch privat für z.B. Spiele genutzt werden kann (und Firma
damit möglicherweise das Gehalt etwas drücken kann) oder weil der
Arbeitnehmer das Gerät dann auch z.B. in den Urlaub mitnimmt und damit
dann auch mal Firmenarbeiten erledigen kann.

Das ist totaler Blödsinn und zeigt, dass Dir die Handhabung von
Firmenrechnern sehr fern ist. Wenn Du für das Pfarramt arbeitest, mag
das ja so sein.

Nein, das ist nicht totaler Blödsinn. Das ist einer der Hauptgründe
warum es gemacht wird, genauso wie von Stephan geschrieben. Bei vielen
Betrieben ist das auch keinerlei Problem. Wenn die Werbeagentur dem
Grafiker den Mac mitgibt, weil er im Liegestuhl an der Adria eventuell
eine gute Idee hat, dann kann da relativ wenig schiefgehen aus
Sicherheitssicht, und er kann auch im Bett damit Netflix schauen.

Und: *Gerade* in einem Pfarramt wird sowas am allerwenigsten möglich
sein. Ein Pfarramt hat u.U. Daten aus dem "höchstvertraulichen
Lebensbereich" (z.B. über stigmatisierte Krankheiten, sexuelle
Orientierung, Religiöse Einstellungen, traumatische Lebensereignisse)
die viel viel strikter zu behandeln sind als das was im
durchschnittlichen Mittelbetrieb, der mit abgekanteten Blechen handelt,
jemals vorkommt.

Ich hab mal ein bißchen Einblick in eine diözesane IT gehabt, und die
haben das schon vor 10-15 Jahren *viel* strikter gesehen als die meisten
Privatbetriebe (schon damals 2. Faktor mit RSA-Token, sensible
Anwendungen auf isolierten Citrix-Servern etc.).

Post by Jörg Lorenz
Firmen-Maildresse für private Zwecke? Aber nicht im Ernst. U.U. ein
Kündigungsgrund.

U.U. übernimmt da das "heavy lifting". Es ist zwar oft nicht schlau, aber in
vielen Firmen unproblematische gelebte Praxis. Die Umstände unter denen
das passiert sind recht zahlreich, auch *wenn* es in manchen Firmen und
Situationen völlig zu Recht ein Kündigungsgrund sein kann.

Post by Jörg Lorenz
Blödsinn. Privatsphäre auf Firmeninfrastruktur? Ich lach mich tot. Gibt

Ja, auch das. Sogar zwischen einzelnen Teilen der Firmeninfrastruktur
und anderen. Die Firmenärztin darf u.U. auf Firmencomputern
dokumentieren, dass der MA HIV hat, wenn das weitergegeben wird, dann
hat jemand ein ernstes rechtliches Problem.

/ralph

[Thomas Hochstein]

Post by Stephan Seitz
Da gabs doch auch mal das Problem
mit der privaten Nutzung der Firmenmailadresse. Die Firma durfte dann
doch nicht mehr alles so handhaben.

Teilweise wird vertreten, dass ohne Verbot einer privaten Nutzung der
Firmen-Mailadresse die Firma Telekommunkationsanbieter sei, daher das
Telekommunikationsgeheimnis gelte und sie auf den Mailaccount des
Mitarbeiters nicht zugreifen dürfe, was schon beim unerwarteten Eintritt
des Vertretungsfalls hinderlich sein kann. Dem versucht man durch solche
Verbote vorzubeugen - arbeitsrechtliche Rechtsprechung ist ja nicht immer
vorhersehbar, aber idR arbeitnehmerfreundlich.

[Jörg Lorenz]

Post by Ralph Aichinger

Post by Andreas Borutta

Post by Ralph Aichinger
1. Wegen der Komplexität.

Ich habe das noch nie selber testweise aufgesetzt. Aber der verlinkten
Anleitung von Apple nach zu urteilen, dauert das nicht superlange.

Ja schon, nur dann hast du in der Firma 50 Laptops die alle gleich sind,
und der 51. ist eine Schneeflocke und erfordert bei allem besondere
Aufmerksamkeit.

Firmen, die solche Nutzung ermöglichen, haben zu dazu eine Policy. Der
ist zu folgen. Alles andere ist zu teuer und viel zu komplex im
administrativen Handling. Die Haltung zu einem solchen Thema ist
vielleicht eine andere, wenn der Nutzer Mitglieder der GL ist.

Post by Ralph Aichinger

Post by Andreas Borutta
Vor allem aber: kann Malware von der PP auf die BP übergehen oder ist
das bei dem Setting sicher ausgeschlossen?

Ist das relevant? Weinn eine Firmen-IT einen Rechner für sowas freigibt,
dann sehen sie den Rechner sowieso als "Feindesland". Als Privater hätte
ich am ehesten noch Angst, dass jemand aus der Firmen-IT z.B.
irgendwelche privaten Fotos abgreift, je nach Seriosität der Firma und
Professionalität der IT.

Eine Firma, die solches erlaubt, sollte aus sicherheitstechnischer Sicht
zufrieden sein, wenn zwei getrennte Nutzerprofile bestehen. M.E. hat ein
Nutzer eines Firmenrechners grundsätzlich keine Privatsphäre auf der
betreffenden Maschine. Uns wurde solches immer klar gemacht und selbst
unsere privaten iOS-Geräte konnte die Bank swipen, wenn die Regeln beim
Exchange-Zugriff nicht eingehalten wurden.

Gruss, Jörg

[Ralph Aichinger]

Post by Jörg Lorenz
Firmen, die solche Nutzung ermöglichen, haben zu dazu eine Policy. Der
ist zu folgen. Alles andere ist zu teuer und viel zu komplex im
administrativen Handling. Die Haltung zu einem solchen Thema ist
vielleicht eine andere, wenn der Nutzer Mitglieder der GL ist.

Jein, bei kleinen Firmen läuft es u.U. nach dem Prinzip: Ihr seid alle
Erwachsene, macht bitte keinen Unsinn.

Es ist ja nicht so, dass derjenige, der bei der Privatnutzung sich wie
ein Vollidiot aufführt plötzlich bei der dienstlichen Nutzung schlauer
wird, nur weil er die Karte über die Stempeluhr gezogen hat.

Post by Jörg Lorenz
Eine Firma, die solches erlaubt, sollte aus sicherheitstechnischer Sicht
zufrieden sein, wenn zwei getrennte Nutzerprofile bestehen. M.E. hat ein
Nutzer eines Firmenrechners grundsätzlich keine Privatsphäre auf der
betreffenden Maschine. Uns wurde solches immer klar gemacht und selbst
unsere privaten iOS-Geräte konnte die Bank swipen, wenn die Regeln beim
Exchange-Zugriff nicht eingehalten wurden.

Bank ist sicher eine ganz andere Nummer als ein Verlag oder
Medienbranche. Sobald man die ganze ISO9001/270001/wasauchimmer-Sache
braucht, wird alles komplizierter, vermutlich zu recht. Aber
es gibt viele Tätigkeiten wo es z.B. kaum Geheimhaltungsanforderungen
gibt. Oder die halt nur zeitlich sehr begrenzt sind (die Werbekampagne
von nächster Woche muß eventuell geheim bleiben, die von vor 3 Wochen
ist oft kein Problem).

/ralph

[Andreas Borutta]

Post by Ralph Aichinger

Post by Andreas Borutta
Vor allem aber: kann Malware von der PP auf die BP übergehen oder ist
das bei dem Setting sicher ausgeschlossen?

Ist das relevant?

Ich halte es für relevant und es interessiert mich auch aus
technischer Neugier.

Andreas

[Wendelin Uez]

Post by Andreas Borutta

Post by Ralph Aichinger

Post by Andreas Borutta
Vor allem aber: kann Malware von der PP auf die BP übergehen oder ist
das bei dem Setting sicher ausgeschlossen?

Ist das relevant?

Ich halte es für relevant und es interessiert mich auch aus
technischer Neugier.

Wenn einunddasselbe OS Zugriff hat auf beide Partitionen, dann kann sich
eine Infektion selbstverständlich auf beide Partitionen auswirken.

Wenn beide Partitionen durch separate OS gebootet werden, dann heißt das ja
noch lange nicht, daß sie deswegen nicht an die andere Partition kommen. Die
ist dann zwar geschützter, aber Schutz ist immer relativ - auch wenn der
Normaluser nicht an die andere Partition herankommt kommt kann nie
ausgeschlossen werden, daß eine spezielle Software nicht doch drankommt.

[Andreas Borutta]

Post by Wendelin Uez

Post by Andreas Borutta

Post by Ralph Aichinger

Post by Andreas Borutta
Vor allem aber: kann Malware von der PP auf die BP übergehen oder ist
das bei dem Setting sicher ausgeschlossen?

Ist das relevant?

Ich halte es für relevant und es interessiert mich auch aus
technischer Neugier.

Wenn einunddasselbe OS Zugriff hat auf beide Partitionen, dann kann sich
eine Infektion selbstverständlich auf beide Partitionen auswirken.
Wenn beide Partitionen durch separate OS gebootet werden, dann heißt das ja
noch lange nicht, daß sie deswegen nicht an die andere Partition kommen. Die
ist dann zwar geschützter, aber Schutz ist immer relativ - auch wenn der
Normaluser nicht an die andere Partition herankommt kommt kann nie
ausgeschlossen werden, daß eine spezielle Software nicht doch drankommt.

Hat das verlinkte Verfahren schonmal jemand ausprobiert und kann dazu
was sagen?


Andreas

[Wendelin Uez]

Post by Andreas Borutta
Hat das verlinkte Verfahren schonmal jemand ausprobiert und kann dazu
was sagen?

Die Verschlüsselungssoftware VeraCrypt beispielsweise macht im Prinzip
sowas - nach dem Booten existiert für Windows nur die Partitionenliste
(\harddisk0\partition1 etc.), VeraCrypt greift über DiskNr. und PartiionNr.
auf die gewünschten Parttionen zu und macht sie Windows als formatierte
Partitionen verfügbar. Es greift also direkt auf Partitionen zu, die Windows
noch gar nicht lesen kann. Für Windows sind diese Partionen zu diesem
Zeitpunkt noch nicht formatiert, und Windows würde sie auch problemlos neu
formatieren.

Ein Programm kann also unabhängig von Windows (und seinen Restriktionen)
durchaus auf die vorhandenen Partitionen zugreifen, noch bevor irgendwelche
Windows-Rechte aktiv sind. Also wird es dann wohl auch möglich sein, die
dort liegenden Daten auszulesen und zu modifizieren. Weshalb man in
entsprechenden Umgebungen gerne das Booten per USB-Device verhindert.

Das alles ist sicher nicht trivial. Aber mit genügend Knoffhof und Aufwand
geht fast alles.

[Andreas M. Kirchwitz]

Die Verschlüsselungssoftware VeraCrypt [...]
Ein Programm kann also unabhängig von Windows (und seinen Restriktionen)
durchaus auf die vorhandenen Partitionen zugreifen, noch bevor irgendwelche
Windows-Rechte aktiv sind. Also wird es dann wohl auch möglich sein, die
dort liegenden Daten auszulesen und zu modifizieren. Weshalb man in
entsprechenden Umgebungen gerne das Booten per USB-Device verhindert.

Was meinst Du damit? Die Daten sind ja trotzdem verschlüsselt.
Dass VeraCrypt zusätzlich so tun kann, dass es auf den ersten
Blick so scheint, als wären dort nicht mal verschlüsselte Daten,
ist ja bloß ein kleiner Taschenspielertrick, der jedoch mit der
Verschlüsselung nichts zu tun hat. Die kommt ja trotzdem noch.

Wäre sonst sinnlos, wenn man bloß vom USB-Stick booten müsste
und würde dann alles im Klartext sehen.

Ein technisch sehr versierter Angreifer kann sich allerdings
bemühen, dem Verschlüsseler unauffällig etwas vorzuschalten,
so ähnlich wie der Verschlüsseler ja auch dem Betriebssystem
vorgeschaltet ist. Sehr vereinfacht ausgedrückt.

Wenn Leute es auf einen abgesehen haben, die so was mit
Leichtigkeit können, hat man aber möglicherweise andere
Probleme im Leben...

Grüße, Andreas

[Udo Steinbach]

Post by Andreas M. Kirchwitz
dem Verschlüsseler unauffällig etwas vorzuschalten

https://www.heise.de/news/Bootkit-hebelt-Festplattenverschluesselung-aus-748859.html

[Marcel Mueller]

Post by Andreas Borutta
Angenommen, die IT-Abteilung/der AG wäre für Vorschläge offen, wäre
folgende Einrichtung aus eurer Bewertung besser für beide Seiten, für
den AG und für die MA?
Der Rechner erhält 2 unabhängige Betriebssysteme für einen Dual Boot
Betrieb.

Zu viel Aufriss und unsicher.
Das laufende System kann auch das nicht laufende mühelos kompromittieren.

Post by Andreas Borutta
Sowohl der AG als auch die MA kann die jeweils andere Partition
löschen.

Unter anderem. Oder kompromittierte BIOS-/Firmware-Upgrades einspielen.

Post by Andreas Borutta
1 Die Netzwerksicherheit des AG kann durch private Aktivitäten des MA
auf der PP nicht gefährdet werden.

Sollte klappen.

Post by Andreas Borutta
2 Ein neugieriger Firmen-Admin kann keine unverschlüsselten Daten der
MA auf ihrer PP lesen.

Das auch.

Post by Andreas Borutta
Wenn es viel bessere Wege gibt, einen Dual Use zu handhaben, lasst es
mich bitte wissen.

Nur wenn ausschließlich der mit dem hohen Sicherheitsbedürfnis die
Alleinherrschaft über das Gerät hat, ist es wirklich halbwegs sicher.

Da bleibt eigentlich nur eine Virtualisierung für die private Nutzung.
Darin hat der Nutzer dann administrative Rechte. Die Konfiguration des
Virtualisierers durch die Firma stellt sicher, dass daraus kein Zugriff
über das VPN möglich ist. Je nach Sicherheitsanspruch werden auch
weitere Features wie z.B. Shared Folders eingeschränkt.

Post by Andreas Borutta
Mein Anliegen hier im Thread ist, zu klären, ob die hier kurz
skizzierte Einrichtung für beide Seiten (AG und MA) eine deutliche
Verbesserung gegenüber dem Ist-Zustand (siehe oben) wäre.

Eine Trennung ist durchaus im Interesse von beiden Parteien. Letztlich
obliegt es aber dem AG, festzulegen, was die Spielregeln sind. Und wenn
der sagt "mach halt", dann ist das eben so. Wenn man dann selbst nicht
mit der Sicherheit für die privaten Belange zufrieden ist, darf man das
freiwillig eingeräumte Feature halt nicht nutzen.
Möglicherweise genügen die eingeräumten User-Rechte aber, um ein eigenes
OS in einer VM, die nur dem User gehört, zu installieren.


Marcel

[Wendelin Uez]

Vergiß alles, was der IT Arbeit macht. Weder der Arbeitgeber und schon gar
nicht seine IT-Abteilung hat irgendeinen Anlaß, auf seiner Hardware
Drittanbieter-Software zu dulden, und möglicherweise stehen dem sogar auch
vertragliche Versicherungsvereinbarungen entgegen.

Ja, fragen kann man trotzdem, der Arbeitgeber muß nicht zustimmen, er kann
aber. Tut er es und es passiert etwas, dann hat er die A...karte - warum
also sollte er?

Mit der Duldung der Privatnutzung ohne Admin-Rechte übernimmt der
Arbeitgeber ohnehin schon das Risiko, daß durch Privatkontakte
möglicherweise infizierte Software eingeschleust wird. Der AG kann das sich
daraus ergebende Risiko nur dadurch eingrenzen, daß er völlige Kontrolle auf
den privaten Datenbestand und deren Kommunikation nach außen durch seine
eigenen Schutzmaßnahmen behält. Das würde bei jeglicher wirklich privater
Konfiguration entfallen, egal, wie diese Konfiguration im Detail aussehen
würde.

[Andreas M. Kirchwitz]

Post by Andreas Borutta
Meine Freundin arbeitet bei einem Verlag und erhält als Mitarbeiterin
ein Macbook gestellt. Die IT-Abteilung des Verlages hat das Gerät für
sie eingerichtet.
Eine private Nutzung in ihrem MA-Benutzeraccount ist explizit erlaubt.

Das finde ich durchaus nett von der Firma.

Post by Andreas Borutta
Einen weiteren zusätzlichen Benutzeraccount gibt es nicht und sie hat
auch nicht die Rechte einen einzurichten.

Ja, nun, es ist und bleibt die Installation der Firma,
auch wenn sie eine private Nutzung duldet/erlaubt.

Post by Andreas Borutta
Angenommen, die IT-Abteilung/der AG wäre für Vorschläge offen, wäre
folgende Einrichtung aus eurer Bewertung besser für beide Seiten, für
den AG und für die MA?
Der Rechner erhält 2 unabhängige Betriebssysteme für einen Dual Boot
Betrieb.

Technisch wäre das gewiss eine Möglichkeit. Wenn beide Systeme
verschlüsselt sind, können sie sich nicht so einfach gegenseitig
manipulieren oder ausspionieren. Es wäre mit "überschauberem"
Aufwand eine relativ saubere Trennung.

Für die IT-Abteilung verursachen komplexere Lösungen wie Dual-Boot-
Systeme natürlich trotzdem zusätzliche Arbeit bzw. Kosten, und die
sind gewiss messbar höher, als würde der Mitarbeiter das Firmen-OS
einfach bloß ein bisschen mitnutzen.

Aus Sicht des Mitarbeiters halte ich Dual-Boot für unpraktisch,
weil er ja immer nur ein System zu einer Zeit nutzen kann. Egal
ob man nur mal schnell zwischendurch was Berufliches oder Privates
machen will, aber gerade das "falsche" Betriebssystem laufen hat.

Tagsüber im Büro mal schnell private E-Mail checken? Da kann man
ja schlecht sämtliche berufliche Arbeit mal einfach so beenden
und gemütlich sein privates Zeug tun. Vielleicht in der Pause,
aber so würde ich meine Pausenzeiten nicht verschwenden wollen.

Außerdem muss man dann zwei Installationen pflegen, was allein
noch kein Problem wäre, aber man kann es nicht parallel machen,
sondern muss das hintereinander tun. Verschwendete Lebenszeit.

Post by Andreas Borutta
Sowohl der AG als auch die MA kann die jeweils andere Partition
löschen.

Der Arbeitgeber kann sowieso immer alles löschen, und der
Mitarbeiter kann auch mit dem Hammer aufs Gerät schlagen. :-)

Problem kann eher sein, dass Malware im privaten Bereich
auch den beruflichen Bereich löschen könnte, weil es in der
Regel Zugriff auf die HD/SSD hat. Vielleicht lässt sich das
beim Mac ja unterbinden. Keine Ahnung.

Malware im privaten Bereich ist sicherlich ein höheres Risiko,
wenn der Mitarbeiter nicht technikaffin ist und es mit Updates
nicht so genau nimmt.

Post by Andreas Borutta
Werden bei so einer Einrichtungsweise die folgenden 2 wesentlichen
Schutzinteressen gewahrt?
1 Die Netzwerksicherheit des AG kann durch private Aktivitäten des MA
auf der PP nicht gefährdet werden.

Die private Installation ist wie ein fremdes Gerät, was jemand
einzuschleusen versucht. So als ob jemand sein privates Notebook
anschließt. Mit sowas wird der Arbeitgeber hoffentlich rechnen.

Post by Andreas Borutta
2 Ein neugieriger Firmen-Admin kann keine unverschlüsselten Daten der
MA auf ihrer PP lesen.

Ja und nein. Natürlich sind die Daten nicht direkt auslesbar
wegen der Verschlüsselung. Aber bei Dual-Boot-Systemen, die ich
kenne, hat jedes OS durchaus Zugriff auf den Boot-Loader, und
so kann der Arbeitgeber der privaten Installation heimlich etwas
vorschalten, um dort zu spionieren.

Der Arbeitgeber hat nun mal die Hoheit über das Gerät, und der
Mitarbeiter muss am Ende seinem Arbeitgeber vertrauen, dass er
die Privatsphäre respektiert.

Am Ende ist das aber auch nicht viel anders als Cloud. Man muss
dem Betreiber vertrauen. Man muss - in Deinem Fall - auch Apple
vertrauen, dass die nicht spionieren.

Post by Andreas Borutta
Wenn es viel bessere Wege gibt, einen Dual Use zu handhaben, lasst es
mich bitte wissen.

Dual Use empfinde ich immer als eine Krücke.

Technisch betrachtet ziehe ICH es vor, im Kontext des Firmen-OS
einen Virtualisierer zu installieren, in dem dann mein privates
OS virtuell läuft. Darin bin ich allein Admin und kann technisch
installieren und machen, was ich möchte, und rein technisch kann
ich sogar einen VPN zu mir nach Hause aufbauen.

Natürlich ist die Frage, wie weit man seinem Arbeitgeber vertraut.

Selbstverständlich kann der Arbeitgeber als Admin des Firmen-OS
in den Virtualisierer reinschauen, aber sowas geschieht nicht
versehentlich, sondern das muss er schon mit Vorsatz tun.

Hingegen wenn ich z.B. mit dem Firmen-Browser des Firmen-OS
mal privat rumsurfe, und sei es nur zur Bestätigung eines
Arzttermins, dann sammeln sich Daten im Browser-Verlauf an,
und da kann der Arbeitgeber völlig ungewollt drüber stolpern.
Für beide Seiten kann das eine blöde Situation werden.

Aber wie gesagt, technisch betrachtet halte ich den von Dir
genannten Dual-Boot-Vorschlag für durchaus okay. Ja, man kann
da jetzt krampfhaft die Haare in der Suppe suchen, aber die
Sicherheit ist durchaus okay.

Ich persönlich glaube aus langjähriger Erfahrung in diversen
Firmen nur nicht so recht, dass sich die IT-Abteilung darauf
einlassen wird. Nicht wegen mangelnder Sicherheit, sondern
weil das die Pflege der Firmen-Installation verkompliziert.
Und ich halte es eben auch für den Mitarbeiter für keine
in der Praxis sinnvolle Lösung. Aber das ist nur meine Meinung.

Grüße, Andreas

[Ralph Aichinger]

Post by Andreas M. Kirchwitz
Hingegen wenn ich z.B. mit dem Firmen-Browser des Firmen-OS
mal privat rumsurfe, und sei es nur zur Bestätigung eines
Arzttermins, dann sammeln sich Daten im Browser-Verlauf an,
und da kann der Arbeitgeber völlig ungewollt drüber stolpern.
Für beide Seiten kann das eine blöde Situation werden.

Wenn es sich um einen "heiklen" Arzttermin oder was ähnliches in der
gleichen Preisklasse betrifft (also nicht den Zahnarzt, sondern die
HIV-Behandlung oder den Frauenarzt wegen der noch nicht offiziell
bekanntgegebenen Schwangerschaft bei Frauen) dann würde ich annehmen,
dass die vernünftigere Vorgehensweise heute ist, das ganze auch wenn es
während der Arbeitszeit passiert übers Privathandy abzuwickeln.

Aus diesem Grund finde ich auch beim Handy die private Mitnutzung von
Diensthandys (im Gegensatz zu umgekehrt, wenn man nicht mit zwei Handys
rumlaufen will) extrem blöd. Ich bin kein besonderer Geheimniskrämer,
aber dass mein Dienstgeber potentiell höchstpersönliche Dinge (zu
Sexualität, Gesundheit, politischen Aktivitäten oder Religion) mitlesen
kann, das möchte ich echt nicht haben. *Das* wären mir die paar Euro
gesparte Handygebühren nicht wert.

Während das mitnehmen von privaten Notebooks in manchen Firmen eher
nicht gern gesehen ist, oder sogar explizit verboten (letzteres meist im
Rahmen von irgendwelchen ISO27001-Sachen) ist, ist es heute IHMO sehr
schwierig dem Arbeitnehmer die private Nutzung des Privathandys während
der Dienstzeit zu verbieten, insbesondere wenn Betreuungspflichten
(Kinder, zu betreuende Angehörige) bestehen und kaum eine Firma macht
das.

/ralph

[Jörg Lorenz]

Post by Ralph Aichinger

Post by Andreas M. Kirchwitz
Hingegen wenn ich z.B. mit dem Firmen-Browser des Firmen-OS
mal privat rumsurfe, und sei es nur zur Bestätigung eines
Arzttermins, dann sammeln sich Daten im Browser-Verlauf an,
und da kann der Arbeitgeber völlig ungewollt drüber stolpern.
Für beide Seiten kann das eine blöde Situation werden.

Wenn es sich um einen "heiklen" Arzttermin oder was ähnliches in der
gleichen Preisklasse betrifft (also nicht den Zahnarzt, sondern die
HIV-Behandlung oder den Frauenarzt wegen der noch nicht offiziell
bekanntgegebenen Schwangerschaft bei Frauen) dann würde ich annehmen,
dass die vernünftigere Vorgehensweise heute ist, das ganze auch wenn es
während der Arbeitszeit passiert übers Privathandy abzuwickeln.

Quintessenz?
Privates hat nichts auf einem Firmenrechner/-gerät verloren.
Ob ein oder zwei Profile oder zwei OS-Installationen wird der Eigentümer
niemals akzeptieren, dass er nicht vollumfänglich die Kontrolle über den
Rechner hat. Im Zweifelsfalle führt das mindestens zu einer Plättung des
Rechners und im Extremfall wohl zur Kündigung.

Post by Ralph Aichinger
Aus diesem Grund finde ich auch beim Handy die private Mitnutzung von
Diensthandys (im Gegensatz zu umgekehrt, wenn man nicht mit zwei Handys
rumlaufen will) extrem blöd. Ich bin kein besonderer Geheimniskrämer,
aber dass mein Dienstgeber potentiell höchstpersönliche Dinge (zu
Sexualität, Gesundheit, politischen Aktivitäten oder Religion) mitlesen
kann, das möchte ich echt nicht haben. *Das* wären mir die paar Euro
gesparte Handygebühren nicht wert.

SIC! Dem OP und seiner Freundin ist die Anschaffung eines privaten
Rechners anzuraten.

Post by Ralph Aichinger
Während das mitnehmen von privaten Notebooks in manchen Firmen eher
nicht gern gesehen ist, oder sogar explizit verboten (letzteres meist im
Rahmen von irgendwelchen ISO27001-Sachen) ist, ist es heute IHMO sehr
schwierig dem Arbeitnehmer die private Nutzung des Privathandys während
der Dienstzeit zu verbieten, insbesondere wenn Betreuungspflichten
(Kinder, zu betreuende Angehörige) bestehen und kaum eine Firma macht
das.

In vielen Firmen - besonders im Finanzsektor - inzwischen strengstens
untersagt. Einige Banken mussten deswegen wegen Beihilfe zur Geldwäsche
und Umgehung von Dokumentationspflichten im Zusammenhang mit
Börsengeschäften schon Strafen von mehreren hundert Millionen Dollar,
Pfund, Schweizer Franken oder Euros zahlen. Vor allem, wenn dann noch so
lusches Zeugs wie WhatsApp im Spiel ist/war.

Post by Ralph Aichinger
/ralph

Jörg

[Ralph Aichinger]

Post by Jörg Lorenz
Quintessenz?
Privates hat nichts auf einem Firmenrechner/-gerät verloren.

Nein, so strikt kann man das doch nicht sagen. Arbeitgeber sind völlig
unterschiedlich. Ich hab mal bei einem Kulturverein gearbeitet, und bei
einem anderen Betrieb, der von der FMA https://www.fma.gv.at/
auditierten Unternehmen, mit ähnlichen Anforderungen wie an eine Bank.
Bei einem von den beiden war es überhaupt kein Problem private Geräte
und dienstliche bunt zu mischen, solange die Arbeit gemacht wurde.

Auch "privates" kann völlig unterschiedlich sein. Ich hab mal in der
Arbeit Photoshop auf dem Dienst-Mac gehabt, und mir damit privat einen
Stempel den ich in meine Bücher stempeln kann entworfen. Das ist für
niemanden der beteiligten irgendeine Art von Problem gewesen, könnte
aber u.U. in einer Bank aus regulatorischen Gründen ein Problem werden
(wenn jemand bei einem Audit private Daten auf Dienstgeräten findet).

Post by Jörg Lorenz
Ob ein oder zwei Profile oder zwei OS-Installationen wird der Eigentümer
niemals akzeptieren, dass er nicht vollumfänglich die Kontrolle über den
Rechner hat. Im Zweifelsfalle führt das mindestens zu einer Plättung des
Rechners und im Extremfall wohl zur Kündigung.

Auch das kann man nicht so pauschal sagen. Bei obigem Kulturverein war
"Kontrolle" ganz unten auf der Hierarchie der Dinge, die jemanden
interessiert haben. Sowas wächst wohl mit der Unternehmensgröße,
Formalisierung der Prozesse und Ausgeprägtheit der Hierarchie. In einer
Anwaltskanzlei mit mehreren gleichwertigen Partnern wird das wohl den
Konzipienten mehr betreffen als die Partner, selbst wenn die rein
rechtlich alle gleichermaßen vom Unternehmen angestellt sind.

In obigem Kulturverein hat der Grafiker privat einen Mac gehabt, und den
auch zur Gestaltung von Produkten für die Arbeit verwendet, wir konnten
und wollten ihm kein so teures Gerät bereitstellen, und eine Trennung
hätte auch keinen großen Sinn gemacht (kaum "Geheimnisse", aus
Sicherheitsgründen wären verlorene Daten weg gewesen wenn das Gerät
gestohlen wird, egal wem es gehört, etc.).

Andererseits hab ich mal kurz in einer Firma gearbeitet, in der es nicht
geduldet wurde, dass man ein privates Notebook mitnimmt, und/oder
dienstliche Geräte in minimalem Ausmaß für privates verwendet. Da muß
man sich dann halt auch dran halten. Für mich war das kein wichtiger,
aber doch ein Grund warum ich dort dann wieder gekündigt habe (noch im
Probemonat), weil das einfach überzogen war, und letztendlich
hauptsächlich der Machtausübung des Chefs gedient hat, ohne praktischen
Nutzen oder regulatorische Erfordernis.

Post by Jörg Lorenz
SIC! Dem OP und seiner Freundin ist die Anschaffung eines privaten
Rechners anzuraten.

Nimm mein Stempelbeispiel. Wenn es die Lizenzbedingungen erlauben, warum
sollte man nicht ein Adobe InDesign oder was auch immer für die privaten
Geburtstagseinladung mitverwenden, oder das CAD-Programm für das private
Entwerfen eines Fahrradteils, wenn dran nix geheimes ist, und man das am
nächsten Tag sowieso stolz im Kollegenkreis rumzeigt.

Nicht alles was man "privat" (ja, ich kenne die eigentliche
Wortbedeutung, vielleich sollte ich eher "nicht-dienstlich" schreiben)
macht, muß in irgendeiner Form vertraulich sein, das wenigste ist es.

Ich hab auch schon auf Arbeitsrechnern privat Tonaufnahmen geschnitten,
(nicht vertrauliche) Fotos gesichtet und bearbeitet, privaten Code geschrieben
und getestet, Stempel entworfen, Texte geschrieben, im Usenet gepostet,
etc.

Nein, um nichts in der Welt würde ich auf einem Dienstrechner mit dem
Psychiater Befunde besprechen, oder irgendwas machen wodurch man
Rückschlüsse auf meine sexuellen Vorlieben ziehen könnte. Aber die Welt
ist nicht schwarz-weiß. Privat kann die Bestellung im Fetisch-Shop
genauso sein wie das Ausdrucken einer Vorlage für eine weihnachtliche
Laubsägearbeit.

Post by Jörg Lorenz
In vielen Firmen - besonders im Finanzsektor - inzwischen strengstens
untersagt. Einige Banken mussten deswegen wegen Beihilfe zur Geldwäsche
und Umgehung von Dokumentationspflichten im Zusammenhang mit
Börsengeschäften schon Strafen von mehreren hundert Millionen Dollar,
Pfund, Schweizer Franken oder Euros zahlen. Vor allem, wenn dann noch so
lusches Zeugs wie WhatsApp im Spiel ist/war.

Das glaube ich durchaus, nur frage ich mich wie die Mitarbeiter mit der
Situation umgehen, dass sie von der Schule angerufen werden, wenn sich
das Kind im Turnuterricht weh getan hat, und vom Krankenhaus XY abgeholt
werden soll. Mich versuchen derzeit im Schnitt jeden zweiten Monat
entweder Schule, Hort oder Kindergarten wegen irgendsowas zu
kontaktieren (nein, keine wirklich ernsten Sachen, aber doch "holen sie
ihr Kind ab, es hustet und darf so nicht im Kindergarten bleiben").

/ralph

[Jörg Lorenz]

Post by Ralph Aichinger
Auch das kann man nicht so pauschal sagen. Bei obigem Kulturverein war
"Kontrolle" ganz unten auf der Hierarchie der Dinge, die jemanden
interessiert haben. Sowas wächst wohl mit der Unternehmensgröße,
Formalisierung der Prozesse und Ausgeprägtheit der Hierarchie.

Das kann man *so pauschal* nicht sagen. Dass man da eine
Zero-Trust-Kultur pflegen sollte, hat mehrere Gründe:

1. Sicherheit gegen innen und aussen
2. Wahrung von Firmengeheimnissen
3. Effizienz (Kosten)
4. Effektivität (Maximale Performance per Euro)
5. Kosten
6. und auch Schutz der Mitarbeiter

Schönes Wochenende,
Jörg

P.S.: Private Rechner in einem Firmennetzwerk ohne explizite Genehmigung
von höchster Stelle, sind aus meiner Sicht ein absolutes NoGo. Da wird
es nämlich sehr schnell zu einem Haftungsalptraum, wenn eine verwurmte
Windows-Kiste eine Firma in die Knie zwingt. Passiert jeden Tag.

[Stephan Seitz]

Post by Jörg Lorenz
P.S.: Private Rechner in einem Firmennetzwerk ohne explizite Genehmigung
von höchster Stelle, sind aus meiner Sicht ein absolutes NoGo. Da wird

Dummerweise sind es meist die höchsten Stellen, die ihre privaten
Geräte ins Firmennetz holen wollen (oder die von Geschäftspartnern).

Stephan

[Jörg Lorenz]

Post by Stephan Seitz

Post by Jörg Lorenz
P.S.: Private Rechner in einem Firmennetzwerk ohne explizite Genehmigung
von höchster Stelle, sind aus meiner Sicht ein absolutes NoGo. Da wird

Dummerweise sind es meist die höchsten Stellen, die ihre privaten
Geräte ins Firmennetz holen wollen (oder die von Geschäftspartnern).

Solches Verhalten habe ich in meiner beruflichen Karriere nur von
IT-Mitarbeitern gesehen. Dürfte mit der Branche zusammenhängen aus der
ich komme.

[Thomas Einzel]

Post by Stephan Seitz

Post by Jörg Lorenz
P.S.: Private Rechner in einem Firmennetzwerk ohne explizite Genehmigung
von höchster Stelle, sind aus meiner Sicht ein absolutes NoGo. Da wird

Dummerweise sind es meist die höchsten Stellen, die ihre privaten
Geräte ins Firmennetz holen wollen (oder die von Geschäftspartnern).

Was ja prinzipiell in beiden Fällen kein Problem ist, z.B. Hotspot oder
Gastnetz, letzteres kann man natürlich auch per Eth machen.
Wer nach intern will: z.B. via Terminalserver (oder Citrix), AD und 2FA.

Man kann es auch weiter dicht machen, was aber in Richtung
Geschäftspartner schwierig werden kann.

Ein Firmennetzwerk für nicht von der Firmen IT gemanagte Geräte deutlich
mehr zu öffnen, könnte sich schnell zu Harakiri/Seppuku des dafür
Verantwortlichen entwickeln. Da muss es nicht mal einen
Sicherheitsvorfall geben, das nächste Audit könnte reichen.

[Stephan Seitz]

Post by Thomas Einzel

Post by Stephan Seitz
Dummerweise sind es meist die höchsten Stellen, die ihre privaten
Geräte ins Firmennetz holen wollen (oder die von Geschäftspartnern).

Was ja prinzipiell in beiden Fällen kein Problem ist, z.B. Hotspot oder
Gastnetz, letzteres kann man natürlich auch per Eth machen.

Das war ja vorhanden, ist aber nicht identisch zu "ins Firmennetz
wollen". Natürlich wollten die dann auch auf die Drucker, etc.

Stephan

[Thomas Einzel]

Post by Stephan Seitz

Post by Thomas Einzel

Post by Stephan Seitz
Dummerweise sind es meist die höchsten Stellen, die ihre privaten
Geräte ins Firmennetz holen wollen (oder die von Geschäftspartnern).

Was ja prinzipiell in beiden Fällen kein Problem ist, z.B. Hotspot oder
Gastnetz, letzteres kann man natürlich auch per Eth machen.

Das war ja vorhanden, ist aber nicht identisch zu "ins Firmennetz
wollen".

Ins Firmennetz... das sind außer bei einem kleinen Handwerker bereits
mehrere Netze (VLAN). In eines der normales Client oder Server VLAN läßt
eine IT, bei der die Leute noch halbwegs bei klarem Verstand sind, keine
externen Endgeräte.
Klar kann das jemand "von oben" schriftlich anweisen, falls das gegen
Sicherheitspolicies verstößt, ist derjenige selber auf einer dünnen
Luftschicht, ist es gar ein GF, hat er wohl bald einen Fachkräftemangel
in der IT zu beklagen.

Post by Stephan Seitz
Natürlich wollten die dann auch auf die Drucker, etc.

In o.a. Setup kann man sie als Terminalserver- oder Citrix-Nutzer auch
zum drucken berechtigen.

[Ralph Aichinger]

Post by Stephan Seitz
Das war ja vorhanden, ist aber nicht identisch zu "ins Firmennetz
wollen". Natürlich wollten die dann auch auf die Drucker, etc.

Da kann man denen auch irgendeinen Tintenstrahler mit USB hinstellen.
Oder sie mailen Dokumente die gedruckt werden sollen.

Es kommt natürlich immer drauf an, wie lange die Leute in der Firma
arbeiten, das kann von de-facto-Leiharbeitern bis hin zu "Vertreter
schaut vorbei und will Produktdatenblatt ausdrucken" reichen.
Zumindest in letzteren Fällen finde ich es nicht mal unhöflich, wenn man
sagt "Es tut mir leid, aber aus regulatorischen Gründen kann ich ihnen
keinen Zugang zum internen Netz geben.".

/ralph

[Stephan Seitz]

Post by Ralph Aichinger
Es kommt natürlich immer drauf an, wie lange die Leute in der Firma
arbeiten, das kann von de-facto-Leiharbeitern bis hin zu "Vertreter

Das ist beim Rang der GF dummerweise ziemlich egal.

Stephan

[Jörg Lorenz]

Post by Stephan Seitz

Post by Ralph Aichinger
Es kommt natürlich immer drauf an, wie lange die Leute in der Firma
arbeiten, das kann von de-facto-Leiharbeitern bis hin zu "Vertreter

Das ist beim Rang der GF dummerweise ziemlich egal.

WTF is "GF"?

Post by Stephan Seitz
Stephan

Jörg

[Stephan Seitz]

Post by Jörg Lorenz

Post by Stephan Seitz
Das ist beim Rang der GF dummerweise ziemlich egal.

WTF is "GF"?

Geschäftsführung.

Stephan

[Andreas M. Kirchwitz]

Post by Ralph Aichinger
Aus diesem Grund finde ich auch beim Handy die private Mitnutzung von
Diensthandys (im Gegensatz zu umgekehrt, wenn man nicht mit zwei Handys
rumlaufen will) extrem blöd. Ich bin kein besonderer Geheimniskrämer,
aber dass mein Dienstgeber potentiell höchstpersönliche Dinge (zu
Sexualität, Gesundheit, politischen Aktivitäten oder Religion) mitlesen
kann, das möchte ich echt nicht haben. *Das* wären mir die paar Euro
gesparte Handygebühren nicht wert.

Ja, sehe ich auch so, und aus diesem Grund bin ich froh über
moderne Smartphones, die mir unterwegs technisch sehr viel
Unabhängigkeit bieten.

Wenn Arbeitgeber die private Nutzung von Firmen-IT dulden,
finde ich das trotzdem angenehm als Rückfallmöglichkeit.
Auf Dienstreisen nehme ich z.B. kein privates Notebook mit.
Wenn etwas partout nicht mit privatem Smartphone geht,
was mir aber gerade extrem wichtig ist, Privatsphäre hin
oder her, habe ich zumindest die sauber erlaubte Möglichkeit,
dafür das Firmen-Notebook verwenden zu können.

Sich zu sehr mit seinen privaten Sachen auf der Firmen-IT
auszubreiten (auch wenn es die Firma erlaubt), ist spätestens
dann doof, wenn ein Arbeitgeberwechsel ansteht. Egal ob man
aus eigenem Willen geht oder ob die ganze Firma dicht macht.
Dann muss man da sein ganzes Gedöns rausfriemeln. Hab ich
zu Beginn meines Berufslebens so gemacht, das waren aber
auch noch andere Zeiten, doch später habe ich das dann
freiwillig getrennt.

Grüße, Andreas

[Andreas Borutta]

Andreas M. Kirchwitz:

Danke für Deine ausführliche und freundlich-besonnene Antwort : )
Sowas schätze ich sehr.

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Angenommen, die IT-Abteilung/der AG wäre für Vorschläge offen, wäre
folgende Einrichtung aus eurer Bewertung besser für beide Seiten, für
den AG und für die MA?
Der Rechner erhält 2 unabhängige Betriebssysteme für einen Dual Boot
Betrieb.

Technisch wäre das gewiss eine Möglichkeit. Wenn beide Systeme
verschlüsselt sind, können sie sich nicht so einfach gegenseitig
manipulieren oder ausspionieren. Es wäre mit "überschauberem"
Aufwand eine relativ saubere Trennung.

Du schreibst "nicht so einfach", was andeutet, dass es /keine
vollständige/ Abschottung gegen Manipulation und Ausspionieren ist.

An welche Szenarien denkt ihr da bitte? Ist von solchen Szenarien je
bekannt geworden, dass sie stattgefunden haben?

Post by Andreas M. Kirchwitz
Für die IT-Abteilung verursachen komplexere Lösungen wie Dual-Boot-
Systeme natürlich trotzdem zusätzliche Arbeit bzw. Kosten, und die
sind gewiss messbar höher, als würde der Mitarbeiter das Firmen-OS
einfach bloß ein bisschen mitnutzen.

Das ist wohl so. Aber könnte es nicht sein, dass der Zusatzaufwand nur
wenige Minuten beträgt?
Und hätte der AG nicht einen enormen Sicherheitsvorteil gegenüber der
bisherigen Variante der praktizierten privaten Nutzung?

Post by Andreas M. Kirchwitz
Aus Sicht des Mitarbeiters halte ich Dual-Boot für unpraktisch,
weil er ja immer nur ein System zu einer Zeit nutzen kann. Egal
ob man nur mal schnell zwischendurch was Berufliches oder Privates
machen will, aber gerade das "falsche" Betriebssystem laufen hat.
Tagsüber im Büro mal schnell private E-Mail checken? Da kann man
ja schlecht sämtliche berufliche Arbeit mal einfach so beenden
und gemütlich sein privates Zeug tun. Vielleicht in der Pause,
aber so würde ich meine Pausenzeiten nicht verschwenden wollen.
Außerdem muss man dann zwei Installationen pflegen, was allein
noch kein Problem wäre, aber man kann es nicht parallel machen,
sondern muss das hintereinander tun. Verschwendete Lebenszeit.

Ja, dieser Nachteil des Neu-Booten müssens ist gewichtig. Das sehe ich
wie Du.
Zuvor hatte ich nach Texten gesucht, die die den Grad der Abschottung
von mehreren Benutzeraccounts in einem einzigen OS betrachten.

Es scheint in keinem OS bisher eine Technologie zu existieren, die
wirksam verhindert, dass Aktivitäten (z.B. Malware einfangen) auf dem
einen Benutzeraccount sich auf den anderen Benutzeraccount (und auf
die Netzwerksicherheit) auswirken.

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Sowohl der AG als auch die MA kann die jeweils andere Partition
löschen.

Der Arbeitgeber kann sowieso immer alles löschen, und der
Mitarbeiter kann auch mit dem Hammer aufs Gerät schlagen. :-)
Problem kann eher sein, dass Malware im privaten Bereich
auch den beruflichen Bereich löschen könnte, weil es in der
Regel Zugriff auf die HD/SSD hat. Vielleicht lässt sich das
beim Mac ja unterbinden. Keine Ahnung.

Das würde mich aus technischer Neugier interessieren:
Kann bei dem von mir genannten Setting eine Malware mehr anrichten als
die berufliche Partition zu löschen?

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Werden bei so einer Einrichtungsweise die folgenden 2 wesentlichen
Schutzinteressen gewahrt?
1 Die Netzwerksicherheit des AG kann durch private Aktivitäten des MA
auf der PP nicht gefährdet werden.

Die private Installation ist wie ein fremdes Gerät, was jemand
einzuschleusen versucht. So als ob jemand sein privates Notebook
anschließt. Mit sowas wird der Arbeitgeber hoffentlich rechnen.

Post by Andreas Borutta
2 Ein neugieriger Firmen-Admin kann keine unverschlüsselten Daten der
MA auf ihrer PP lesen.

Ja und nein. Natürlich sind die Daten nicht direkt auslesbar
wegen der Verschlüsselung. Aber bei Dual-Boot-Systemen, die ich
kenne, hat jedes OS durchaus Zugriff auf den Boot-Loader, und
so kann der Arbeitgeber der privaten Installation heimlich etwas
vorschalten, um dort zu spionieren.

Um solche Details ging es mir. Falls jemand dazu etwas Konkretes in
Bezug auf macOS weiß, freue ich mich über Hinweise.

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Wenn es viel bessere Wege gibt, einen Dual Use zu handhaben, lasst es
mich bitte wissen.

Dual Use empfinde ich immer als eine Krücke.
Technisch betrachtet ziehe ICH es vor, im Kontext des Firmen-OS
einen Virtualisierer zu installieren, in dem dann mein privates
OS virtuell läuft. Darin bin ich allein Admin und kann technisch
installieren und machen, was ich möchte, und rein technisch kann
ich sogar einen VPN zu mir nach Hause aufbauen.

Boetet denn wirklich ein virtuelles OS ein höheren Grad der
Abschottung/der Sicherheit als ein zweites System auf einer zweiten
Partition?

Ja, von Virtualisierung hatte ich als Handhabungsweise auch gelesen.
Soweit ich weiß ist das jedoch kostspielig und vermutlich auch
komplexer aufwändiger für die Firmen-IT. Aber ich kann mich täuschen.

Post by Andreas M. Kirchwitz
Natürlich ist die Frage, wie weit man seinem Arbeitgeber vertraut.
Selbstverständlich kann der Arbeitgeber als Admin des Firmen-OS
in den Virtualisierer reinschauen, aber sowas geschieht nicht
versehentlich, sondern das muss er schon mit Vorsatz tun.

Mir geht es ja bei der Diskussion explizit um den Usecase "neugieriger
Admin möchte auf private Daten zugreifen". Mich interessiert, ob es
praxistaugliche Settings des Dual Use (auf einem einzigen Gerät) gibt,
die das ausschließen.



Andreas

[Ralph Aichinger]

Post by Andreas Borutta

Post by Andreas M. Kirchwitz
Systeme natürlich trotzdem zusätzliche Arbeit bzw. Kosten, und die
sind gewiss messbar höher, als würde der Mitarbeiter das Firmen-OS
einfach bloß ein bisschen mitnutzen.

Das ist wohl so. Aber könnte es nicht sein, dass der Zusatzaufwand nur
wenige Minuten beträgt?

Das kommt immer auch darauf an, wieviel Betreuung und Händchenhalten
erwartet wird. Da ist das Spektrum breit. Ich hab in Firmen gearbeitet,
wo ich als IT-Admin von irgendwem gesagt bekommen hab: "XY kümmert sich
um seinen Rechner, der weiß was er tut, er wird bei Problemen nicht zu
dir kommen, sondern sie selbst lösen." Und das war perfekt OK für alle
Beiteiligten. Der betreffende Mitarbeiter war hardwarenaher Entwicker
und hätte sowieso Vollzugriff auf seine Maschine benötigt. In Firmen mit
strikterer Regulierung kriegen solche Mitarbeiter vermtulich 2 oder mehr
Geräte für unterschiedliche Aufgaben, allein schon von der Arbeit her.

Wenn aber der Mitarbeiter selbst für dienstliche Aufgaben sehr viel
Händchenhalten braucht (jeden dritten Tag in der IT-Abteilung steht,
weil der Drucker nicht geht, bei jedem Betriebssystemupdate wieder wegen
irgendwo "OK" klicken verunsichert ist und Betreuungsbedarf hat), dann
ist natürlich eine Dual-Boot-Lösung Gift. Was ist dann, wenn nach einem
Mac-OS-Upgrade die Maschine nicht hochbootet? Hab ich mal gehabt bei
IIRC Sierra, da sind dann 30% der Rechner nach einem Update am nächsten
Tag nicht mehr gebootet. Der Fix war irgendwie harmlos, aber wenn da
plötzlich 10 Leute was von dir wollen, das ist schon Aufwand. Und wenn
dann jemand Sonderlocken und Schneeflocken-Systeme hat, dann ist es
natürlich doppelt blöd (Welche OS hat jetzt Probleme gehabt?
Funktioniert mein Fix jetzt immer noch?).

Oder wenn Hardware getauscht wird. Wie muß ich meine Vorgehensweise beim
Backup jetzt anpassen? Da können u.U. Stunden draufgehen, wenn das alles
getestet und dokumentiert werden soll.

Post by Andreas Borutta
Und hätte der AG nicht einen enormen Sicherheitsvorteil gegenüber der
bisherigen Variante der praktizierten privaten Nutzung?

Ich seh das nicht so ganz. Wenn ein Mitarbeiter privat blöd irgendwo
draufklickt, dann macht er es vermutlich dienstlich in ähnlicher Weise.
Wichiger wär *mir* in so einer Rolle, dass der Rechner eines einzelnen
Mitarbeiters a) nicht nennenswert Arbeitsergebnisse verliert und b)
z.B. bei einer Infektion nicht andere Systeme mitreißt. Man kann das
eventuell dadurch erreichen, dass man dienstliche Geräte stärker
vernagelt (z.B. das Installieren eigener Software unterbindet),
allerdings je nach Aufgabe um den Preis großer Unzufriedenheit der
Mitarbeiter (z.B. Softwareentwicklung wird so potentiell sehr mühevoll).
In vielen Firmen wird sowas aber eh nicht praktiziert (und ich würde es
bei einem Verlag als plausibel empfinden, wenn man die Mitarbeiter
selbst über zu installierende Software entscheiden läßt, nach einer
enstprechenden rechtlichen Belehrung).

Realistischer ist es IMHO die zentraleren Systeme (Fileserver mit
Arbeitsergebnissen, ERP-System, finanzielle Systeme, ...) gegen
den Rest des Unternehmens abzuschotten. Nicht jeder Praktikant muß zum
ERP, der Buchhalter muß nicht die Reinzeichnungen der Platinenlayouts
verändern können, der Techniker muß keine Kontodaten für die Bestellung
von Büromöbeln kennen, etc.

Wenn man sowas konsequent organisiert, dann kann man sagen: Macht mit
eurem Laptop was ihr wollt, tut halt nix verbotenes (schwarzkopierte
Software, Kinderpornographie), ansonsten ist uns alles recht. Wenn nicht
irgendwelche rechtlichen Pflichten (und ja, die NIS-Richtlinie wird das
vermutlich unmöglich mahen) bestehen.

Post by Andreas Borutta
Es scheint in keinem OS bisher eine Technologie zu existieren, die
wirksam verhindert, dass Aktivitäten (z.B. Malware einfangen) auf dem
einen Benutzeraccount sich auf den anderen Benutzeraccount (und auf
die Netzwerksicherheit) auswirken.

Man kann, wenn man *unprivilegierte* Accounts hat sehr weit gehen. Aber
dann macht eben das praktische Arbeiten wenig Spaß, schon gar nicht für
private Nutzung. Und derjenige mit dem Admin-Zugriff (das kann auch eine
Third Party, also eventuell weder AG noch AN sein) hat halt immer
irgendwie Zugriff auf alles.

Post by Andreas Borutta
Boetet denn wirklich ein virtuelles OS ein höheren Grad der
Abschottung/der Sicherheit als ein zweites System auf einer zweiten
Partition?

In die eine Richtung schon (virtualisiertes OS kann nicht wirklich "nach
außen" ausbrechen). Umgekehrt nicht (der, der Kontrolle über das
virtualisierende OS hat hat Kontrolle auch über das virtualisierte) aber
es stimmt natürlich: Derjenige muß den Eingriff ins virtualisierte OS
bewußt setzen, "zufällig" über die Dateien stolpern oder Dinge in
Logfiles auftauchen haben, das gibt es dann kaum.

Wenn man ein paar Jahre als IT-Admin gearbeitet hat, dann steht man da
(wenn man eine vernünftige Persönlichkeit hat) aber eh irgendwann mal
drüber. Wenn mir klar ist, dass in einem Ordner auf einem
Arbeitscomputer Pornos sind, dann schau ich da nicht rein, und auch die
offensichtlich sexuellen Mitteilungen schau ich mir nicht an, wenn ich
per Zufall drüber stolper. Ich erzähle auch niemand was.

Post by Andreas Borutta
Ja, von Virtualisierung hatte ich als Handhabungsweise auch gelesen.
Soweit ich weiß ist das jedoch kostspielig und vermutlich auch
komplexer aufwändiger für die Firmen-IT. Aber ich kann mich täuschen.

IMHO nein, mit einer VM mit privatem Zeug hätte ich als Firmen IT
keinerlei Problem, außer die regulatorischen Rahmenbedingungen verbieten
es (aber dann gib es wohl so oder so keine Privatnutzung). Aus meiner
Sicht ist das wie ein weiteres Programm, das installiert wird.

Post by Andreas Borutta
Mir geht es ja bei der Diskussion explizit um den Usecase "neugieriger
Admin möchte auf private Daten zugreifen". Mich interessiert, ob es
praxistaugliche Settings des Dual Use (auf einem einzigen Gerät) gibt,
die das ausschließen.

Aus meiner Sicht, mit heutiger Consumer-Hardware: Nein.

Aus meiner Sicht hat es Sinn dienstliche Hardware für Dinge zu
verwenden, die für mich als Privatperson keinen extremen
Geheimhaltungsbedarf haben (Onlinebanking wär für mich schon grenzwertig
und würd ich nicht mehr machen), private Bastelprojekte, private Nutzung
teurer Software (wenn legal möglich), private Nutzung von teurer
Hardware, die man sich nicht selbst kaufen würde, am dienstlichen Gerät
im Hintergrund den BBC-Radiostream laufen lassen. Das sind so die Dinge,
für die *ich* persönlich private Nutzung sinnvoll finde.

/ralph

[Andreas Borutta]

Post by Ralph Aichinger

Post by Andreas Borutta
Und hätte der AG nicht einen enormen Sicherheitsvorteil gegenüber der
bisherigen Variante der praktizierten privaten Nutzung?

Realistischer ist es IMHO die zentraleren Systeme (Fileserver mit
Arbeitsergebnissen, ERP-System, finanzielle Systeme, ...) gegen
den Rest des Unternehmens abzuschotten. Nicht jeder Praktikant muß zum
ERP, der Buchhalter muß nicht die Reinzeichnungen der Platinenlayouts
verändern können, der Techniker muß keine Kontodaten für die Bestellung
von Büromöbeln kennen, etc.

Genauso wird es bereits gehandhabt. Die Daten liegen in der Cloud und
der Zugang ist entsprechend der Rolle des MA geregelt.

Verstehe ich Dich richtig, dass Du unter diesen Umständen (Daten sind
auf der Cloud) keine Gefahren für die Sicherheit (der Daten, des
Netzwerkes, ...) durch private Aktivität auf dem Firmen-Account
siehst?

Post by Ralph Aichinger
IMHO nein, mit einer VM mit privatem Zeug hätte ich als Firmen IT
keinerlei Problem, außer die regulatorischen Rahmenbedingungen verbieten
es (aber dann gib es wohl so oder so keine Privatnutzung). Aus meiner
Sicht ist das wie ein weiteres Programm, das installiert wird.

Danke für die Einschätzung. Nur erfüllt die Virtualisierung durch den
Firmen-Admin, Du schriebst es ja selber, nicht das Schutzinteresse des
MA für die privaten Aktivitäten.

Post by Ralph Aichinger

Post by Andreas Borutta
Mir geht es ja bei der Diskussion explizit um den Usecase "neugieriger
Admin möchte auf private Daten zugreifen". Mich interessiert, ob es
praxistaugliche Settings des Dual Use (auf einem einzigen Gerät) gibt,
die das ausschließen.

Aus meiner Sicht, mit heutiger Consumer-Hardware: Nein.
Aus meiner Sicht hat es Sinn dienstliche Hardware für Dinge zu
verwenden, die für mich als Privatperson keinen extremen
Geheimhaltungsbedarf haben (Onlinebanking wär für mich schon grenzwertig
und würd ich nicht mehr machen), private Bastelprojekte, private Nutzung
teurer Software (wenn legal möglich), private Nutzung von teurer
Hardware, die man sich nicht selbst kaufen würde, am dienstlichen Gerät
im Hintergrund den BBC-Radiostream laufen lassen. Das sind so die Dinge,
für die *ich* persönlich private Nutzung sinnvoll finde.

Das leuchtet mir ein.

Aber mein eigenes zugrunde liegendes Motiv für Dual Use ist ein
anderes:
Nachhaltigkeit im Umgang mit elektronischen Geräten.

Selbst wenn es aktuell noch keine technische Möglichkeit geben sollte,
die Aufgabe (mit macOS) zu lösen, würde mich in diesem Thread auch
interessieen, ob ihr für die Zukunft technische Konzepte seht, die das
möglicherweise können werden.

Ich fände es jedenfalls sehr erstrebenswert, den Konsum von
elektronischen Geräten durch Dual Use drastisch zu reduzieren.


Kann mich erst in einigen Tagen wieder melden, habe Besuch.


Andreas

[Ralph Aichinger]

Post by Andreas Borutta
Verstehe ich Dich richtig, dass Du unter diesen Umständen (Daten sind
auf der Cloud) keine Gefahren für die Sicherheit (der Daten, des
Netzwerkes, ...) durch private Aktivität auf dem Firmen-Account
siehst?

Gefahr ist immer da, und Abschottung einzelner Bereiche untereinander
kann auch unterschiedlich stark realisiert werden (z.B. hat man 10 Bereiche
oder nur 3, die man jeweils voneinander trennt? Muß man jedes mal einen
2. Faktor eintippen, wenn man so eine Grenze überschreitet?).

Post by Andreas Borutta
Aber mein eigenes zugrunde liegendes Motiv für Dual Use ist ein
Nachhaltigkeit im Umgang mit elektronischen Geräten.

Bezüglich Nachhaltigkeit wäre es vermutlich am wichtigsten, dass Geräte
nach betrieblicher Nutzung nicht aus Sicherheitsgründen oder Faulheit
vernichtet werden. Das passiert leider sehr oft. Oft geht es nur darum,
dass man sich die Diskussionen nicht antun will, wer die ausgeschiedenen
Geräte kriegt, und sie lieber verschrottet als sie herzuschenken.

/ralph

[Andreas Borutta]

Post by Ralph Aichinger

Post by Andreas Borutta
Aber mein eigenes zugrunde liegendes Motiv für Dual Use ist ein
Nachhaltigkeit im Umgang mit elektronischen Geräten.

Bezüglich Nachhaltigkeit wäre es vermutlich am wichtigsten, dass Geräte
nach betrieblicher Nutzung nicht aus Sicherheitsgründen oder Faulheit
vernichtet werden. Das passiert leider sehr oft. Oft geht es nur darum,
dass man sich die Diskussionen nicht antun will, wer die ausgeschiedenen
Geräte kriegt, und sie lieber verschrottet als sie herzuschenken.

Das ist auch ein guter Punkt, FACK.

Was wäre aus Deiner Bewertung nötig, damit eine Firma keine
Sicherheitsbedenken mehr hat?

Ein vom BSI freigegebenes Verfahren "sicheres Löschen" für die
verschiedenen OS/Hardwarevarianten?


Andreas

[Andreas M. Kirchwitz]

Post by Andreas Borutta

Post by Ralph Aichinger
IMHO nein, mit einer VM mit privatem Zeug hätte ich als Firmen IT
keinerlei Problem, außer die regulatorischen Rahmenbedingungen verbieten
es (aber dann gib es wohl so oder so keine Privatnutzung). Aus meiner
Sicht ist das wie ein weiteres Programm, das installiert wird.

Danke für die Einschätzung. Nur erfüllt die Virtualisierung durch den
Firmen-Admin, Du schriebst es ja selber, nicht das Schutzinteresse des
MA für die privaten Aktivitäten.

Man kann die Idee, die ich ja ebenfalls schon genannt hatte,
natürlich auch umdrehen. Das Gerät an sich wird ausschließlich
vom Mitarbeiter verwaltet, er installiert dort sein privates
MacOS, und das Firmen-Betriebssystem läuft virtualisiert im
Kontext des privaten Betriebssystems.

So erhält der Mitarbeiter seine geliebte Privatsphäre, denn nur
er hat die Kontrolle über die Hardware. Die Firma darf sich bloß
in der virtuellen Maschine austoben. Es gibt durchaus (große)
Firmen, die ihren Mitarbeitern dieses Vertrauen entgegenbringen.

Das klingt zunächst wie ein sehr großer Vertrauensvorschuss,
aber in Wahrheit ist der viel geringer, als man denkt, denn man
drückt dem Mitarbeiter ja sowieso die Hardware in der Hand.
Egal, wie sehr man das BIOS/UEFI verrammelt, solange das ein
normales Notebook von der Stange ist ohne spezielle Abschirmung
der Hardware, kann ein böswilliger Mitarbeiter das hacken, wenn
er unbedingt wollte. Wer Zugang zur Hardware hat, hat die Macht.

Ja, es gibt spezielle Hardware, die auch dieses Problem angeht,
aber meines Wissens nur PC-Hardware, nicht Apple/Mac.

Post by Andreas Borutta
Aber mein eigenes zugrunde liegendes Motiv für Dual Use ist ein
Nachhaltigkeit im Umgang mit elektronischen Geräten.

Nachhaltigkeit wird oft falsch gedacht. Man kann etwas vordergründig
nachhaltig gestalten, löst aber vielleicht im Hintergrund eine Lawine
aus, die alles nur noch viel schlimmer macht.

Post by Andreas Borutta
Ich fände es jedenfalls sehr erstrebenswert, den Konsum von
elektronischen Geräten durch Dual Use drastisch zu reduzieren.

Die Anzahl elektronischer Geräte pro Person hat natürliche Grenzen.
Das ist meiner Meinung nach nichts, worüber man sich den Kopf
zerbrechen sollte. Das regelt sich von allein.

Im Privatbereich ist es sehr verbreitet, dass Leute auf ihrem PC
in verschiedene Betriebssystem booten können. Ob nun Windows und
Linux oder z.B. verschiedene Windows-Versionen... gibt's alles.

Zwischen Privatleben und Arbeit besteht aber auf so vielen Ebenen
eine Trennlinie, da ist Dual Use nun mal mit Abstrichen verbunden.
Irgendwer muss auf Sicherheit oder Privatsphäre verzichten.
Das ist prinzipbedingt nicht vereinbar ohne Nebenwirkungen.

Da sind's dann eben zwei Geräte. Das stört die Umwelt nicht wirklich.

Wichtiger wäre es, dass Geräte länger genutzt werden, solange die
Hardware noch ihren Zweck erfüllt. Aber neue Software zwingt oft
verfrüht zur Anschaffung neuer Hardware. Technisch zwar ohne Not,
aber es gibt halt Absprachen zwischen den Herstellern, damit die
Umsätze angekurbelt werden.

Auch wäre es schön, wenn existierende Hardware, die für den einen
Zweck vielleicht tatsächlich zu alt ist, unkompliziert aber noch
für andere Zwecke genutzt werden könnte. Im Privatbereich wird
das durchaus praktiziert. In Firmen bekommt die Buchhaltung oft
beinahe einen Herzinfarkt, wenn man mit solchen Ideen ankommt.

Grüße, Andreas

[Andreas Borutta]

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Aber mein eigenes zugrunde liegendes Motiv für Dual Use ist ein
Nachhaltigkeit im Umgang mit elektronischen Geräten.

Nachhaltigkeit wird oft falsch gedacht. Man kann etwas vordergründig
nachhaltig gestalten, löst aber vielleicht im Hintergrund eine Lawine
aus, die alles nur noch viel schlimmer macht.

Das mag sein. Daher maße ich mir (als Laie im Bereich Security) ja
auch nicht an, eine Lösung zu kennen, sondern bitte hier um eure
Bewertung : )

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Ich fände es jedenfalls sehr erstrebenswert, den Konsum von
elektronischen Geräten durch Dual Use drastisch zu reduzieren.

Die Anzahl elektronischer Geräte pro Person hat natürliche Grenzen.
Das ist meiner Meinung nach nichts, worüber man sich den Kopf
zerbrechen sollte. Das regelt sich von allein.

Da verstehe ich Deine Bewertung noch nicht.
Warum denkst Du, dass es keine relevante Rolle den Verbrauch von
Ressourcen spielt, ob jemand 2 oder 4 Geräte (bleiben wir mal beim
Standard-Usecase 1 Smartphone und 1 Rechner) besitzt?

Post by Andreas M. Kirchwitz
Wichtiger wäre es, dass Geräte länger genutzt werden, solange die
Hardware noch ihren Zweck erfüllt.

Klar, das ist ein weiterer Hebel für mehr Nachhaltigkeit.

Post by Andreas M. Kirchwitz
Aber neue Software zwingt oft
verfrüht zur Anschaffung neuer Hardware. Technisch zwar ohne Not,

Eben. Und genau deshalb finde ich den Ansatz Dual Use sinnvoll.

Post by Andreas M. Kirchwitz
Auch wäre es schön, wenn existierende Hardware, die für den einen
Zweck vielleicht tatsächlich zu alt ist, unkompliziert aber noch
für andere Zwecke genutzt werden könnte. Im Privatbereich wird
das durchaus praktiziert. In Firmen bekommt die Buchhaltung oft
beinahe einen Herzinfarkt, wenn man mit solchen Ideen ankommt.

Ja.
Auch das ist, unabhängig von den anderen Hebeln, ein Bereich, der
verbesserungswürdig wäre. In diesem Fall: von Finanzministerium.

Wenn Nachhaltigkeit einen hohen Rang hätte, finden sich auch dafür
sicher elegante neue Regelungsmöglichkeiten. Aber das soll hier nicht
Thema sein.



Andreas

[Peter J. Holzer]

Post by Andreas Borutta

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Ich fände es jedenfalls sehr erstrebenswert, den Konsum von
elektronischen Geräten durch Dual Use drastisch zu reduzieren.

Die Anzahl elektronischer Geräte pro Person hat natürliche Grenzen.
Das ist meiner Meinung nach nichts, worüber man sich den Kopf
zerbrechen sollte. Das regelt sich von allein.

Da verstehe ich Deine Bewertung noch nicht.
Warum denkst Du, dass es keine relevante Rolle den Verbrauch von
Ressourcen spielt, ob jemand 2 oder 4 Geräte (bleiben wir mal beim
Standard-Usecase 1 Smartphone und 1 Rechner) besitzt?

Es spielt eine *relativ geringe* Rolle, weil man nicht sehr viele solche
Geräte gleichzeitig nutzen kann. Natürlich gibt es Leute, die drei
Handys und vier PCs nutzen, aber das ist die Ausnahme, den meisten
Leuten ist das einfach zu lästig. Hingegen ist die zeitliche Abfolge
wesentlich weniger eingeschränkt. Ich habe mein Handy jetzt seit über 4
Jahren, und ein weiteres Jahr wird es wohl noch durchhalten. Ich hätte
mir aber auch alle 6 Monate das neueste und beste kaufen können, das
wäre dann ein Faktor 10. Und wieviel Rechenzeit (und damit Strom) ich in
der Cloud verbrauchen kann, ist praktisch unbegrenzt.

hp

[Andreas M. Kirchwitz]

Post by Andreas Borutta
Du schreibst "nicht so einfach", was andeutet, dass es /keine
vollständige/ Abschottung gegen Manipulation und Ausspionieren ist.
An welche Szenarien denkt ihr da bitte? Ist von solchen Szenarien je
bekannt geworden, dass sie stattgefunden haben?

Also ich bin kein Experte für Apple-Hardware, doch in der
PC-Welt mit Windows und Unix/Linux ist es ja so, dass jede
Installation - sobald sie gebootet ist - vollen Zugriff auf
die Hardware hat, insbesondere auch die Speichermedien, Boot-
Loader, also absolut alles. Da Apple-Hardware über viele Jahre
auch bloß normale PC-Hardware gewesen ist, würde es mich
wundern, wenn es dort grundsätzlich so viel anders wäre.

Aufgrund der Verschlüsselung kann man zwar nicht direkt in die
anderen Partitionen reinsehen und Daten auslesen oder ändern,
aber man kann am Boot-Loader rumfummeln, sodass ein anderes
OS in einem manipulierten Kontext läuft und somit ausspioniert
werden kann, und da nützt dann auch die Verschlüsselung nichts.
Ganz normales Szenario, das seit Ewigkeiten praktiziert wird.

In der PC-Welt hat man z.B. "Secure Boot" eingeführt, um fremder
Fummelei am Boot-Vorgang ein paar Steine in den Weg zu legen,
aber in der Praxis hat sich der Sicherheitsgewinn als eher
durchwachsen herausgestellt, dafür ist der Support-Aufwand in
ungeahnte Höhen geschossen.

"Secure Boot" und "Dual Boot" sind prinzipbedingt Feinde. :-)

Post by Andreas Borutta

Post by Andreas M. Kirchwitz
Für die IT-Abteilung verursachen komplexere Lösungen wie Dual-Boot-
Systeme natürlich trotzdem zusätzliche Arbeit bzw. Kosten, und die
sind gewiss messbar höher, als würde der Mitarbeiter das Firmen-OS
einfach bloß ein bisschen mitnutzen.

Das ist wohl so. Aber könnte es nicht sein, dass der Zusatzaufwand nur
wenige Minuten beträgt?

Du denkst jetzt im Moment vielleicht nur daran, dass man das
irgendwo anklickt und dann ist Dual-Boot aktiv. Aber was ist
mit der weiteren Pflege? Die IT-Abteilung wird ja sicherlich
Updates verwalten. Und da kann es ein großer Unterschied sein,
ob man z.B. bei erforderlichen Änderungen am Boot-Loader plötzlich
mehrere Installationen berücksichtigen muss.

Dual-Boot ist vermutlich die arbeitsintensivste aller Lösungen.

Wenn irgendwas nicht funktioniert, weil die eine Installation
der anderen Installation irgendwo reingegrätscht hat (das muss
ja keine böse Absicht gewesen sein, sondern das passiert eben
bei der Administration manchmal), dann muss die IT-Abteilung
Zeit fürs Debugging opfern.

Was ist, wenn der Mitarbeiter bis dahin arbeitsunfähig ist?

Der wirtschaftliche Schaden für die Firma kann schon nach
kurzer Zeit so hoch sein, dass es günstiger gewesen wäre,
dem Mitarbeiter ein zweites Notebook zu überlassen zur
privaten Nutzung.

Post by Andreas Borutta
Und hätte der AG nicht einen enormen Sicherheitsvorteil gegenüber der
bisherigen Variante der praktizierten privaten Nutzung?

Also ich sehe in Dual-Boot nicht primär einen Sicherheitsvorteil,
eher im Gegenteil, Dual-Boot schwächt das System, weil man weiteren
Spielern vollen Zugriff gewährt, den man nachträglich mühsam wieder
einzuschränken versucht.

Dual-Boot hat eher den Vorteil der sehr klaren Datentrennung,
und der Mitarbeiter kann in seiner privaten Installation auch
eigene Software installieren (z.B. ein Spiel), die vielleicht
nur direkt auf der echten Hardware passabel läuft.

Post by Andreas Borutta
Zuvor hatte ich nach Texten gesucht, die die den Grad der Abschottung
von mehreren Benutzeraccounts in einem einzigen OS betrachten.

Die leichtgewichtigte Abschottung durch mehrere User-Accounts
ist heutzutage selten geworden. Früher war das gängige Praxis.

Das Sicherheitsniveau ist gut. Man hat eine Datentrennung.
Man kann parallel arbeiten. Man hat viele Freiheiten.

Keine Ahnung, warum das Konzept der Nutzer-Accounts heutzutage
so stiefmütterlich behandelt wird. Nur bei Server-Diensten wird
das hingegen sehr konsequent durchgezogen zur Abschottung. Wenn
es dort sogar als Sicherheitsfeature gilt, warum nicht für die
menschlichen Nutzer? Ich habe keine Antwort.

Post by Andreas Borutta
Es scheint in keinem OS bisher eine Technologie zu existieren, die
wirksam verhindert, dass Aktivitäten (z.B. Malware einfangen) auf dem
einen Benutzeraccount sich auf den anderen Benutzeraccount (und auf
die Netzwerksicherheit) auswirken.

Gute Nachrichten für Dich, die Technologie existiert, und es gibt
sogar verschiedene Produkte und Sicherheitsansätze. :-)

Man legt einen Virtualisierer drunter (der natürlich von der Firma
verwaltet wird), und *alle* Installationen, egal ob Firmen-OS oder
Privat-OS laufen nur noch virtualisiert. Sehr sicher, sehr gute
Trennung, sehr gut verwaltbar. Keine Installation kann der anderen
in die Quere kommen.

Natürlich ist das wiederum ein zusätzliches und leider auch etwas
komplexeres Setup, um das sich die Firmen-IT kümmern muss. Hier
kann man aber erstmals überhaupt von echter "Sicherheit" reden.

Post by Andreas Borutta

Post by Andreas M. Kirchwitz
Problem kann eher sein, dass Malware im privaten Bereich
auch den beruflichen Bereich löschen könnte, weil es in der
Regel Zugriff auf die HD/SSD hat. Vielleicht lässt sich das
beim Mac ja unterbinden. Keine Ahnung.

Kann bei dem von mir genannten Setting eine Malware mehr anrichten als
die berufliche Partition zu löschen?

Apple-Hardware ist nicht mein Fachgebiet. Vielleicht gibt es
dort auch so etwas wie "Secure Boot" wie in der Windows-Welt.
Wenn nicht, wird jede Installation jeder anderen Installation
in deren Boot-Vorgang eingreifen können.

Post by Andreas Borutta

Post by Andreas M. Kirchwitz
Technisch betrachtet ziehe ICH es vor, im Kontext des Firmen-OS
einen Virtualisierer zu installieren, in dem dann mein privates
OS virtuell läuft. Darin bin ich allein Admin und kann technisch
installieren und machen, was ich möchte, und rein technisch kann
ich sogar einen VPN zu mir nach Hause aufbauen.

Boetet denn wirklich ein virtuelles OS ein höheren Grad der
Abschottung/der Sicherheit als ein zweites System auf einer zweiten
Partition?

Das Ausbrechen aus virtuellen Maschinen ist möglich, aber es
ist durchaus anspruchsvoll. Sowas ist nicht die Art von Malware,
die man sich einfängt, wenn man auf dubiosen Websites surft und
aus Versehen den falschen Link anklickt.

Wäre ich eine Firma, würde ich meine Mitarbeiter lieber in einer
virtuellen Maschine innerhalb des von mir kontrollierten OS sehen
als in ihrer komplett eigenen Dual-Boot-Umgebung.

Für die Firma ist der Support-Aufwand nahezu null. Der Nutzer
kümmert sich um den Virtualisierer und alles darin selbst.
Für die Firma ist das sogar die beste Lösung, weil der Nutzer
sehr viel seltener Malware einschleppt in den Firmen-Bereich.

Vor allem bei technikaffinen Nutzern ist diese Lösung meines
Wissens sehr weit verbreitet.

Post by Andreas Borutta
Ja, von Virtualisierung hatte ich als Handhabungsweise auch gelesen.
Soweit ich weiß ist das jedoch kostspielig und vermutlich auch
komplexer aufwändiger für die Firmen-IT. Aber ich kann mich täuschen.

Für die Firmen-IT ist das eigentlich sogar die ideale Lösung.
Solche Virtualisierer sind teilweise kostenlos bzw. für wenig
Geld zu bekommen.

Bei Apple mag ein Problem sein, ob das Gerät noch auf klassicher
PC-Hardware läuft oder auf den proprietären Apple-Chips. Kann sein,
dass man dort für Virtualisierer eher zahlen muss. Üblicherweise ist
das aber kein nennenswertes Geld, das ist ein Allerweltsfeature.

Post by Andreas Borutta
Mir geht es ja bei der Diskussion explizit um den Usecase "neugieriger
Admin möchte auf private Daten zugreifen". Mich interessiert, ob es
praxistaugliche Settings des Dual Use (auf einem einzigen Gerät) gibt,
die das ausschließen.

Der Admin des Geräts kann (leider? zum Glück?) immer in die
privaten Daten und Abläufe reinschauen, wenn er dies wirklich
möchte. Das Gerät gehört der Firma. Die Firma hat die Kontrolle.

Wer solche Befürchtungen hat und seinem Arbeitgeber misstraut,
sollte keine Firmen-IT für Privates verwenden. Der Arbeitgeber
hat nicht nur grundsätzlich das Recht dazu, es ist im Zweifelsfall
sogar seine Pflicht, auch auf die privaten Bereiche zuzugreifen.

Und wenn ein böser Admin im Spiel ist, spielt das Gesetz sowieso
keine Rolle.

Ohne zumindest ein bisschen Vertrauen funktioniert IT nicht. :-)

Grüße, Andreas

[Andreas Borutta]

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Du schreibst "nicht so einfach", was andeutet, dass es /keine
vollständige/ Abschottung gegen Manipulation und Ausspionieren ist.
An welche Szenarien denkt ihr da bitte? Ist von solchen Szenarien je
bekannt geworden, dass sie stattgefunden haben?

Also ich bin kein Experte für Apple-Hardware, doch in der
PC-Welt mit Windows und Unix/Linux ist es ja so, dass jede
Installation - sobald sie gebootet ist - vollen Zugriff auf
die Hardware hat, insbesondere auch die Speichermedien, Boot-
Loader, also absolut alles. Da Apple-Hardware über viele Jahre
auch bloß normale PC-Hardware gewesen ist, würde es mich
wundern, wenn es dort grundsätzlich so viel anders wäre.
Aufgrund der Verschlüsselung kann man zwar nicht direkt in die
anderen Partitionen reinsehen und Daten auslesen oder ändern,
aber man kann am Boot-Loader rumfummeln, sodass ein anderes
OS in einem manipulierten Kontext läuft und somit ausspioniert
werden kann, und da nützt dann auch die Verschlüsselung nichts.
Ganz normales Szenario, das seit Ewigkeiten praktiziert wird.

OK, ich wußte nicht, dass ein solches Szenario offenbar problemlos
praktizierbar ist. Damit wäre dann jede weitere Überlegung zu einer
Abschottung von zwei Benutzern zueiander obsolet.

Kann jemand mit Kenntnissen zu aktueller Apple-Hardware bestätigen,
dass es sich auch dort so verhält?

Post by Andreas M. Kirchwitz

Post by Andreas Borutta

Post by Andreas M. Kirchwitz
Für die IT-Abteilung verursachen komplexere Lösungen wie Dual-Boot-
Systeme natürlich trotzdem zusätzliche Arbeit bzw. Kosten, und die
sind gewiss messbar höher, als würde der Mitarbeiter das Firmen-OS
einfach bloß ein bisschen mitnutzen.

Das ist wohl so. Aber könnte es nicht sein, dass der Zusatzaufwand nur
wenige Minuten beträgt?

Du denkst jetzt im Moment vielleicht nur daran, dass man das
irgendwo anklickt und dann ist Dual-Boot aktiv. Aber was ist
mit der weiteren Pflege? Die IT-Abteilung wird ja sicherlich
Updates verwalten. Und da kann es ein großer Unterschied sein,
ob man z.B. bei erforderlichen Änderungen am Boot-Loader plötzlich
mehrere Installationen berücksichtigen muss.

Meine Frage ist völlig offen gemeint gewesen. Ich kann den
Gesamtaufwand (selbstverständlich geht es auch um den Wartungsaufwand
eines "Dual Boot" im Vergleich zum "Single Boot" für die Firmen-IT) ja
nicht beurteilen.

Post by Andreas M. Kirchwitz
Dual-Boot ist vermutlich die arbeitsintensivste aller Lösungen.
Wenn irgendwas nicht funktioniert, weil die eine Installation
der anderen Installation irgendwo reingegrätscht hat (das muss
ja keine böse Absicht gewesen sein, sondern das passiert eben
bei der Administration manchmal), dann muss die IT-Abteilung
Zeit fürs Debugging opfern.
Was ist, wenn der Mitarbeiter bis dahin arbeitsunfähig ist?
Der wirtschaftliche Schaden für die Firma kann schon nach
kurzer Zeit so hoch sein, dass es günstiger gewesen wäre,
dem Mitarbeiter ein zweites Notebook zu überlassen zur
privaten Nutzung.

OK. Haken wir also Dual Boot ab.

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Zuvor hatte ich nach Texten gesucht, die die den Grad der Abschottung
von mehreren Benutzeraccounts in einem einzigen OS betrachten.

Die leichtgewichtigte Abschottung durch mehrere User-Accounts
ist heutzutage selten geworden. Früher war das gängige Praxis.
Das Sicherheitsniveau ist gut. Man hat eine Datentrennung.
Man kann parallel arbeiten. Man hat viele Freiheiten.
Keine Ahnung, warum das Konzept der Nutzer-Accounts heutzutage
so stiefmütterlich behandelt wird. Nur bei Server-Diensten wird
das hingegen sehr konsequent durchgezogen zur Abschottung. Wenn
es dort sogar als Sicherheitsfeature gilt, warum nicht für die
menschlichen Nutzer? Ich habe keine Antwort.

Deutest Du damit an, dass es für die Zukunft vermutlich durchaus
machbar wäre, eine viel weitergehende Abschottung mit Benutzeraccounts
(ich meine damit nicht die zusätzliche Schicht "Virtualisierer", die
Du weiter unten beschreibst) zu erzielen, als es heute mit macOS oder
auch anderen OS möglich ist?

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Es scheint in keinem OS bisher eine Technologie zu existieren, die
wirksam verhindert, dass Aktivitäten (z.B. Malware einfangen) auf dem
einen Benutzeraccount sich auf den anderen Benutzeraccount (und auf
die Netzwerksicherheit) auswirken.

Gute Nachrichten für Dich, die Technologie existiert, und es gibt
sogar verschiedene Produkte und Sicherheitsansätze. :-)
Man legt einen Virtualisierer drunter (der natürlich von der Firma
verwaltet wird), und *alle* Installationen, egal ob Firmen-OS oder
Privat-OS laufen nur noch virtualisiert. Sehr sicher, sehr gute
Trennung, sehr gut verwaltbar. Keine Installation kann der anderen
in die Quere kommen.
Natürlich ist das wiederum ein zusätzliches und leider auch etwas
komplexeres Setup, um das sich die Firmen-IT kümmern muss. Hier
kann man aber erstmals überhaupt von echter "Sicherheit" reden.

Vielen Dank für diese Hinweise.

Ein Virtualisierer stammt von einem Drittanbieter und muss daher pro
MA bezahlt werden, richtig?

Kannst Du vielleicht eine grobe Hausnummer nennen, wieviel
Minuten/Stunden Zusatzaufwand pro MA für die IT dazukäme?

Ich habe keinerlei Vorstellung davon.

[...]

Post by Andreas M. Kirchwitz
Für die Firma ist der Support-Aufwand nahezu null. Der Nutzer
kümmert sich um den Virtualisierer und alles darin selbst.
Für die Firma ist das sogar die beste Lösung, weil der Nutzer
sehr viel seltener Malware einschleppt in den Firmen-Bereich.
Vor allem bei technikaffinen Nutzern ist diese Lösung meines
Wissens sehr weit verbreitet.

Danke auch für diese klare Einschätzung. OK, alles spricht alles für
eine solche Lösung. Falls die IT bereit wäre, die Zusatzkosten für
Virtualisierung zu tragen.

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Ja, von Virtualisierung hatte ich als Handhabungsweise auch gelesen.
Soweit ich weiß ist das jedoch kostspielig und vermutlich auch
komplexer aufwändiger für die Firmen-IT. Aber ich kann mich täuschen.

Für die Firmen-IT ist das eigentlich sogar die ideale Lösung.
Solche Virtualisierer sind teilweise kostenlos bzw. für wenig
Geld zu bekommen.
Bei Apple mag ein Problem sein, ob das Gerät noch auf klassicher
PC-Hardware läuft oder auf den proprietären Apple-Chips. Kann sein,
dass man dort für Virtualisierer eher zahlen muss. Üblicherweise ist
das aber kein nennenswertes Geld, das ist ein Allerweltsfeature.

Soweit mir bekannt ist, wird im gesamten Verlag keine Mac Hardware mit
Intel-Chips mehr verwendet, sondern nur noch Apple-Chips (Silicon
M1/2/...).

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Mir geht es ja bei der Diskussion explizit um den Usecase "neugieriger
Admin möchte auf private Daten zugreifen". Mich interessiert, ob es
praxistaugliche Settings des Dual Use (auf einem einzigen Gerät) gibt,
die das ausschließen.

Der Admin des Geräts kann (leider? zum Glück?) immer in die
privaten Daten und Abläufe reinschauen, wenn er dies wirklich
möchte.

Aber nicht bei der Virtualisierung, richtig?



Andreas

[Peter J. Holzer]

Post by Andreas Borutta

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Du schreibst "nicht so einfach", was andeutet, dass es /keine
vollständige/ Abschottung gegen Manipulation und Ausspionieren ist.
An welche Szenarien denkt ihr da bitte? Ist von solchen Szenarien je
bekannt geworden, dass sie stattgefunden haben?

Also ich bin kein Experte für Apple-Hardware, doch in der
PC-Welt mit Windows und Unix/Linux ist es ja so, dass jede
Installation - sobald sie gebootet ist - vollen Zugriff auf
die Hardware hat, insbesondere auch die Speichermedien, Boot-
Loader, also absolut alles. Da Apple-Hardware über viele Jahre
auch bloß normale PC-Hardware gewesen ist, würde es mich
wundern, wenn es dort grundsätzlich so viel anders wäre.
Aufgrund der Verschlüsselung kann man zwar nicht direkt in die
anderen Partitionen reinsehen und Daten auslesen oder ändern,
aber man kann am Boot-Loader rumfummeln, sodass ein anderes
OS in einem manipulierten Kontext läuft und somit ausspioniert
werden kann, und da nützt dann auch die Verschlüsselung nichts.
Ganz normales Szenario, das seit Ewigkeiten praktiziert wird.

OK, ich wußte nicht, dass ein solches Szenario offenbar problemlos
praktizierbar ist.

Ob das problemlos praktizierbar ist, hängt vom System ab. Wenn das
System soetwas wie "Secure Boot" praktiziert (was ich bei Apple annehme,
aber nicht weiß), ist das nicht so leicht: Denn die Firmware wird nur
Software laden, die von einer vertrauenswürdigen Quelle signiert ist.

(Und ja, im PC-Bereich hat sich gerade herausgestellt, dass mehrere
große Hersteller einen öffentlich bekannten Demo-Schlüssel als
"vertrauenswürdig" eingestuft haben - Ups!)

Post by Andreas Borutta

Post by Andreas M. Kirchwitz
Keine Ahnung, warum das Konzept der Nutzer-Accounts heutzutage
so stiefmütterlich behandelt wird. Nur bei Server-Diensten wird
das hingegen sehr konsequent durchgezogen zur Abschottung. Wenn
es dort sogar als Sicherheitsfeature gilt, warum nicht für die
menschlichen Nutzer? Ich habe keine Antwort.

Deutest Du damit an, dass es für die Zukunft vermutlich durchaus
machbar wäre, eine viel weitergehende Abschottung mit Benutzeraccounts
(ich meine damit nicht die zusätzliche Schicht "Virtualisierer", die
Du weiter unten beschreibst) zu erzielen, als es heute mit macOS oder
auch anderen OS möglich ist?

Es ist auch heute schon möglich (und war das seit mindestens den
1970er-Jahren), wenn man ignoriert, dass Betriebssysteme Bugs haben
können. Die Entwicklung von bug-freien Betriebssystemen (oberhalb der
Komplexität eines Microkernels wie M4) halte ich in absehbarer Zeit
nicht für realistisch. Das trifft aber auch auf Virtualierer, etc. zu.

Es wird sich also IMHO an der aktuellen Situation (Betriebssysteme
stellen ausreichend Mechanismen zur Verfügung, um (nicht-privilegierte)
Benutzer voneinander zu isolieren, aber man muss hoffen, dass man
regelmäßige Updates Sicherheitslücken schneller schließen kann als sie
ausgenützt werden) nicht viel ändern.

Post by Andreas Borutta

Post by Andreas M. Kirchwitz

Post by Andreas Borutta
Mir geht es ja bei der Diskussion explizit um den Usecase "neugieriger
Admin möchte auf private Daten zugreifen". Mich interessiert, ob es
praxistaugliche Settings des Dual Use (auf einem einzigen Gerät) gibt,
die das ausschließen.

Der Admin des Geräts kann (leider? zum Glück?) immer in die
privaten Daten und Abläufe reinschauen, wenn er dies wirklich
möchte.

Aber nicht bei der Virtualisierung, richtig?

Doch, auch bei der Virtualisierung. Aus Sicht des Host-Betriebssystems
ist der Virtualisierer ja nur ein weiteres Programm. Es ist für den
durchschnittlichen neugierigen Admin wahrscheinlich zu aufwendig, aber
das trifft wahrscheinlich auch auf ein Dual-Boot-System mit unabhängiger
Verschlüsselung der Systeme zu. Die Frage da ist immer, wieviel an
krimineller Energie und Wissen traust Du Deinem Admin zu? Wenn der für
die NSA arbeitet, solltest Du Daten, die die NSA nicht sehen soll, eher
nicht auf dem Firmenlaptop speichern.

(Der Vollständigkeit halber sollte ich anmerken, dass manche neueren
CPUs Features haben, um virtuelle Maschinen vor dem Host zu schützen
(z.B. RAM-Verschlüsselung). Ich habe aber nicht wirklich verstanden, wie
das funktionieren soll und ich weiß auch nicht, ob die Apple Chips das
können.)

hp

[Thomas Heuving]

Post by Andreas Borutta
Moin.
Meine Freundin arbeitet bei einem Verlag und erhält als Mitarbeiterin
ein Macbook gestellt. Die IT-Abteilung des Verlages hat das Gerät für
sie eingerichtet.
Eine private Nutzung in ihrem MA-Benutzeraccount ist explizit erlaubt.
Einen weiteren zusätzlichen Benutzeraccount gibt es nicht und sie hat
auch nicht die Rechte einen einzurichten.
Der Rechner ist im Verlagsgebäude in einem geschützten WLAN am Netz.
Im Homeoffice kommt ein VPN zum Einsatz.
Das ist der Ist-Zustand.
Angenommen, die IT-Abteilung/der AG wäre für Vorschläge offen, wäre
folgende Einrichtung aus eurer Bewertung besser für beide Seiten, für
den AG und für die MA?
Der Rechner erhält 2 unabhängige Betriebssysteme für einen Dual Boot
Betrieb.

Warum nicht ein 2. BS als Dockerimage oder eine andere
Virtualisierungslösung (keine Ahnung, was es da bei Apple gibt). Da
muss die IT nur die Virtualisierungslösung installieren, deine
Freundin kann dann ein beliebiges 2. OS installieren. Das scheint mir
weniger aufwendig als ein Dual Boot.

Tschüß

Thomas