Aktuelles aus dem Rechenzentrum

In einem früheren Artikel wurden Speichersysteme vorgestellt, die von Mitgliedern der Universität Freiburg für eine gemeinsame Datenhaltung in Projekten oder Arbeitsgruppen genutzt werden können. Ein Vorschlag war der Landesdienst bwSync&Share, gehostet vom KIT. bwSync&Share konnte sich nicht so verbreiten, wie es bei der Einrichtung des Dienstes beabsichtigt war. Ein Grund waren Abstriche bei der Praktikabilität.

Nextcloud

Für das Teilen von Dateien setzt im Open-Source-Segment die Softwarelösung Nextcloud den Standard. Deshalb hat das KIT sich zu einem Wechsel entschieden. Ein Testserver ist seit einigen Wochen im Einsatz. Er kann von allen Mitgliedern der Universität Freiburg genutzt werden. 

Nextcloud hat inzwischen im öffentlichen Sektor eine sehr große Verbreitung als Alternative zu Dropbox, GoogleDrive, OneDrive und weiteren Diensten. Besonders die Offenheit, Daten auf Servern unter eigener Regie auf eigener Hardware zu hosten, schafft neue Spielräume in der datenschutzfreundlichen Gestaltung von Filehosting. Selbst auf Bundesebene wird für Behörden Nextcloud als Plattform ins Auge gefasst, auch Frankreich, Schweden und die Niederlande haben sich in Ausschreibungen für die Open-Source-Plattform entschieden. Im Hochschulbereich wird es im großen Maßstab eingesetzt, beispielsweise in Nordrhein-Westfalen, wo es unter dem Namen „sciebo – die Campuscloud“ vom dortigen Bildungsministerium gefördert und von der WWU Münster betrieben wird. 

Die Betreuung wird in solchen Konstruktionen an spezialisierte Anbieter oder sich spezialisierende Mitglieder im Verbund ausgelagert, weil das Hosten ab einer gewissen Größe zu einem komplexen Dienst wird, den nicht jeder selbst betreiben möchte. Die Fähigkeit, komplexe Dienstleistung im Hintergrund für die Kund:innen einfach und zuverlässig bedienbar zu machen, führte zur großen Verbreitung der gängigen amerikanischen Angebote in der Schatten-IT von Hochschulen, die datenschutzrechtlich aber problematisch ist. Nextcloud auf selbst kontrollierter Hardware laufen zu lassen, betreut von einem Dienstleister, mit dem die Nutzungsbedingungen auf Augenhöhe verhandelt werden können, ist ein Pfad, dieses Problem zu lösen.

Testbetrieb

Die Testinstanz des neuen bwSync&Share ist erreichbar unter https://nextcloud.scc.kit.edu/, das Login möglich mit dem Uniaccount. In der Testphase lässt sich die neue Plattform gründlich testen. Weil Nextcloud eine ausgereifte Plattform ist, lässt sich die Testinstanz uneingeschränkt nutzen. Ein Zugang ist möglich über die genannte Webseite und über Clients, die es für praktisch jedes Betriebssystem gibt. Wenn ein Client bereits installiert ist, weil Nextcloud bereits an anderer Stelle verwendet wird, muss lediglich der Hostname der Testinstanz hinzugefügt werden. Tester:innen aus der Universität berichten im Adminforum von ersten Erfahrungen. 

Terms & Conditions

Für Mitglieder der Universität Freiburg wird bwSync&Share auch weiterhin kostenfrei nutzbar bleiben.¹ Der Anteil der Universität Freiburg am Betrieb wird aus dem Haushalt des Rechenzentrums bestritten. Dieser Anteil deckt vor allem die Kosten für Personal und Technik ab, die dem KIT als zentraler Hoster entstehen. Welches Level an Verfügbarkeit das KIT bieten wird, ist noch nicht geklärt: Welche Uptime wird garantiert? Bis zu welchem Grad an Vertraulichkeit von Daten wird das KIT in den Nutzungsbedingungen einstehen? Die Speicherung personenbezogener Daten wurde bislang in juristischer Hinsicht bislang nicht unterstützt. Eine solche Unterstützung fehlt im übrigen auch bei Dropbox und Co. Auch dort verbietet sich, schaut man auf die allgemeinen Geschäftsbedingungen, die Speicherung personenbezogener Daten. Mit einer Verschlüsselung der Daten lässt sich die Grenze dessen, was gespeichert werden kann, verschieben (Artikel 6, Abs. 4). Die praktische Umsetzung mit Verschlüsselungssoftware soll in einem weiteren Artikel erläutert werden.

Ein wichtiges Feature wird die Offenheit bleiben, Dateien mit Anderen zu teilen, die nicht zu einer Hochschule in Baden-Württemberg gehören. Diese können freigegebene Dateien zwar nicht bearbeiten, aber anschauen und herunterladen, sobald sie den Freigabelink kennen.

Abwägungen

Aus den Kontakten zu Administrator:innen auf dem Campus ist bekannt, dass in vielen Instituten Nextcloud bereits eingesetzt wird. Es ist serverseitig relativ einfach zu installieren, bei vielen Netzspeichern (Network Attached Storage, abgek. NAS), die im freien Handel gekauft werden, als Point-and-Click-Lösung vorinstalliert. Der Betrieb einer eigenen Nextcloud ist eine legitime Anwendung, bringt jedoch einige Pflichten mit, über die nachzudenken ist. 

• Der oder die Betreiber:in muss die physischen Grundlagen, die Hardware im Griff haben. Sie müssen je nach Schutzbedarf seiner Daten gesetzlichen Vorgaben entsprechen. 

• Die Software zum Betrieb von Nextcloud – Webserver, Datenbanken, PHP – muss aktuell sein, Sicherheitslücken müssen schnell geschlossen werden. Das gehört in der Regel nicht zum Geschäft wissenschaftlicher Institute und hat geringere Priorität. Die Wahrscheinlichkeit von Sicherheitslücken ist höher als bei professionellen Partnern. 

• Mit Hosting auf eigener Hardware, die nicht an das vom RZ verwaltete Identitätsmanagement (IDM) angebunden ist, wird eine eigene Nutzerverwaltung notwendig. Das IDM im RZ trägt Personen, die als Mitglieder der Universität ausscheiden, in automatisierten Verfahren aus, so dass sie keinen Vollzugang zu verbundenen Systemen haben. Dies wird mit dem Begriff Deprovisionierung beschrieben. Wenn ähnliche Prozesse nicht in der eigenen Einrichtung nachgebaut werden, behalten die Personen, die nicht mehr dazu gehören, ihren Zugriff. Das widerspräche den Vorgaben von Datensicherheit. Die oben beschriebene Freigabe über Links ist hiervon nicht betroffen.

• Die Nextcloud bringt eine implizite Versionierung für die Nutzer:innen mit. Der selbst aufgesetzte Server als solcher ist damit aber noch nicht redundant, um bei technischen Störungen den Weiterbetrieb zu gewährleisten oder wenigstens noch eine Wiederherstellung von Daten als „Desaster Recovery“ anbieten zu können. Das heißt, auch das ist im Eigenbetrieb zusätzlich zu organisieren.

Im akademischen Alltag bilden sich häufig Arbeitsgruppen spontan quer zu institutionellen Grenzen. Falls noch kein eigener Server am Start ist, müsste er als erstes neu aufgesetzt werden. Das unterbricht den fachlichen Arbeitsablauf. Gerade Institute mit wenig Ressourcen für IT stoßen an Grenzen.

bwSync&Share entlastet von diesen fachfremden Abläufen und schafft eine Flexibilität, die zudem in ganz anderer Weise datenschutzkonform ist als kommerzielle Anbieter, deren allgemeine Geschäftsbedingungen nicht beeinflussbar sind.

Jan Leendertse

¹ Leider beteiligen sich nicht alle Universitäten bzw. Hochschulen in Baden-Württemberg an der neuen Version von bwSync&Share.

Ungefragte Ausdrucke

Mitarbeiter des Rechenzentrums schicken seit dem 19. März wieder Sicherheitshinweise an Drucker der Universität. Das geht, weil diese Drucker ungeschützt im öffentlichen Netz stehen, das weltweit offen steht, ohne von einer Firewall geschützt zu sein. So praktisch es ist, von unterwegs zu drucken, so offen sind solche Drucker als Scheunentor zu sensiblen Informationen.

Jeder Drucker, der solche ungefragten Papiere im Ausgangsschacht hatte, ist ungeschützt. Tests von Kolleg_innen belegen, dass jede Adresse im Uninetz, die von außen erreichbar ist, pro Minute mehrfach auf offene Stellen gescannt wird. Und solche Drucker sind, um die Multifunktionen bereitzustellen, als Computer konstruiert, die über die Netzkabel auf Schwachstellen untersucht werden können.

Von der Datei auf's Papier, vom Papier in Dateien

Außer Drucken beherrschen solche Geräte weitere Aufgaben. Sie scannen Papiere und machen daraus Bilddateien, die gespeichert oder als Mail weitergeleitet werden können. Oder sie empfangen und verschicken Faxe mit Vertragsdetails, Auftragsbestätigungen usw.

Diese Geräte sind immer beteiligt, wenn Informationen von einem Medium in ein anderes überführt wird, ob von Papier in maschinenlesbare Dateien oder beim Ausgeben von Dateien auf Papier. Und bei jeder dieser Umwandlungen wird im Arbeitsspeicher eine Kopie vorgehalten. Diese Kopie kann in eine Datei umgewandelt werden, die sich herunterladen lässt. Über das Netzkabel, mit dem das Multifunktionsgerät mit dem ganzen Internet ungeschützt verbunden ist.

Was für ein Problem das sein kann, wird bewusst, wenn man sich vergegenwärtigt, dass jeder Druck, jeder Scan, jedes Fax durch das Gerät durch muss.

Manipulation

Es geht aber noch mehr.

Die ungefragten Sicherheitshinweise zeigen es ja. In Kombination mit der Variante, sich Dateien aus dem Drucker herunterzuladen, lässt sich folgender Fall konstruieren: Vor einer millionenschweren Ausschreibung holt sich jemand die zugehörigen Unterlagen aus dem Drucker und bastelt eine Rechnung mit einer präparierten Kontonummer. Und die Rechnung wird als normaler Druckauftrag im Ausgabeschacht plaziert. Als Papier, nicht als Verdacht erregender Mailanhang.

Multifunktionsgeräte arbeiten mit Bilddateien oder Seitenbeschreibungssprachen wie etwa Postscript. Und Postscript ist eine Turing-vollständige Programmiersprache, keine Sprache für Anfänger, aber mit allen Möglichkeiten. Zum Beispiel lassen sich Textschnipsel durch andere ersetzen. Ideen?

• Die offizielle Mailadresse im Briefkopf wird durch eine gefälschte ersetzt.
• Die Kontonummer in der Fußzeile von Rechnungen wird ersetzt.
• Noten in Zeugnissen werden verwürfelt.

Und das während des Ausdruckens. Auf dem Bildschirm ist beim letzten Kontrollblick alles noch richtig, auf dem Papier mit dem Siegel der Universität steht etwas anderes. Um so etwas zu verhindern, müssen alle Ausdrucke noch einmal in einer Sichtprüfung mit dem Bildschirm abgeglichen werden.

Szenario Prüfungsämter

Als Gedankenspiel stelle man sich Prüfungsämter vor, die hunderte von Zeugnissen ausdrucken. Jedes Zertifikat müsste vor dem endgültigen Kuvertieren mit dem Bildschirm verglichen werden. Laufend eintrudelnde Nonsensdrucke haben das Vertrauen in die Apparate genügend unterminiert, um Zweifel an der Notwendigkeit von Sichtprüfungen zurückzuweisen. Jedes falsche Zeugnis würde irreparablen Schaden anrichten, denn es kam ja aus dem Drucker der Universität, das lässt sich forensisch beweisen. Und das Papier hat das Siegel der Universität.

Was kann man tun?

Einen Überblick der Maßnahmen findet sich auf der Webseite des Rechenzentrums. Die wichtigste Maßnahme ist:

Raus aus dem öffentlichen Netz. Damit ist keine direkte Verbindung über das Internet mehr mit dem Drucker möglich. Ein Direktdruck, falls gewünscht, ist dennoch über VPN möglich.

Und direkt bei Inbetriebnahme sollten alle Passwörter sofort durch eigene ersetzt werden.

Jan Leendertse, Marcel Tschöpe

Diese drei Schutzziele – Verfügbarkeit, Authenzität und Integrität – sind Kernziele der Informationssicherheit nach BSI (Bundesamt für Sicherheit in der Informationstechnik) und den betreffenden ISO-Normen. Mit Verfüg­barkeit ist gemeint, dass Daten in dem Moment zugegriffen werden können, in dem es notwendig oder gewünscht ist. Authenzität bedeutet, dass die Daten eindeutig und unzweifelhaft einer Quelle zugeordnet werden können. Integrität bedeutet, dass Daten nach Speicherung durch den Urheber nicht verändert wurden.

Datenschutz und Schutzziele

Um der Erfüllung dieser Ziele nahe zu kommen, bietet das Rechenzentrum für Einrichtungen der Universität verschiedene Dienste an oder beteiligt sich an Verbundlösungen in Baden-Württemberg. Diese Dienste richten sich an einzelne Personen, die ihre dienstlichen Daten in einem eigenen Verzeichnis sicher speichern möchten, und an Gruppen, die eine gemeinsame Datenhaltung benötigen. Diese Gruppen können feste Einrichtungen der Universität oder sich fließend organisierende Arbeits­formen sein.

Ein Aspekt ist die Beachtung des Datenschutz, sobald sich aus Daten ein Personenbezug herstellen lässt. Mit der Europäischen Datenschutz-Grundverordnung (DSGVO) und dem in der Folge novellierten Landes­datenschutzgesetz (LDSG) ist die Verantwortung gewachsen, die mit der Verarbeitung untrennbar einhergeht. Diese Verantwortung ist beim Einsatz selbst beschaffter Systeme und auch bei der Nutzung beispielsweise der Ressourcen des Rechenzentrums zu tragen. Für eine juristisch tragfähige Beurteilung, wie der Datenschutz für einen konkreten Anwendungsfall auszugestalten ist, empfiehlt sich eine Beratung mit einem Datenschutz­beauftragten.

Die Entscheidung für eine der vorgestellten Speichervarianten sollte auf den datenschutzrechtlichen Erwägungen aufbauen.

Ein Vorteil der Speicherlösungen, die durch das Rechenzentrum der Universität bereitgestellt werden, ist, dass die Schutzziele Verfügbarkeit, Authenzität und Integrität bei der Planung und im Betrieb berücksichtigt sind.

Persönliche Ablage

Das Rechenzentrum bietet jedem Mitglied der Universität, das eine zugewiesene Kennung hat, die über myAccount bearbeitet werden kann, eine persönliche Dateiablage mit 20 GB Speicherplatz an. Dieser Speicher kann unter allen gängigen Betriebssystemen (Windows, MacOS, Linux) eingebunden werden. Unter Windows wird das Homedirectory mit einem Laufwerksbuchstaben versehen und ist über den Dateiexplorer bedienbar. Von den Dateien werden sogenannte Snapshots in einem festen Turnus angelegt. Mit ihnen können versehentlich geänderte oder gelöschte Dateien von den Nutzer_innen selbst zurückgespielt werden. Dafür ist keine Unterstützung durch einen Administrator mit zusätzlichen Rechten nötig.

Die Einbindung als Laufwerk kann jedes Mitglied selbständig durchführen, ohne auf die Unterstützung von IT-Betreuern oder Fachpersonal vom Rechenzentrum zurückgreifen zu müssen. Auf der Webseite des Rechen­zentrums gibt es eine Anleitung mit Screenshots, die Schritt für Schritt das Verfahren erläutert.

Gruppenlaufwerke für Universitätseinrichtungen

Mit dem gleichen technischen Verfahren können auf den allgemein verfügbaren Speichersystemen Gruppenlaufwerke eingerichtet werden. Bis zu 250 GB Speicherplatz pro Einrichtung ist die Nutzung kostenfrei. Die Bedingungen sind in einer Service­beschreibung festgehalten, die innerhalb des Universitätsnetzes abgerufen werden kann.

Auf Gruppenlaufwerke können mehrere Personen zugreifen, die alle Mitglieder der Universität sein müssen und dementsprechend einen Univer­sitätsaccount besitzen. Sie erfordern zusätzlich ein Berechtigungs­management, das initial vom Rechenzentrum einzurichten ist.

Bei der Gegenüberstellung der Aufwände für Gruppenlaufwerke zu den für selbst administrierte Speicherlösungen sollte berücksichtigt werden, dass bei Gruppenlaufwerken erheblich weniger Organisations- und Personalaufwand nötig ist. Bei der Nutzung von Gruppenlaufwerken entfällt die Beschaffung und Wartung der Hardware, es muss keine Hardware im Institut zutritts­sicher untergebracht werden, die zusätzlich selbst zu kühlen und mit Energie zu versorgen ist.

Und es entfällt die Notwendigkeit des Aufbau eines komplexen Daten­sicherungsplans, der die wachsenden Anforderungen an Informations­sicherheit zu berücksichtigen hat. Eine parallele Sicherung auf das TSM-System im Rechenzentrum ist weiterhin möglich.

Bei noch höheren Speicherbedarfen als 250 GB berät das Rechenzentrum.

Arbeitsgruppenserver

Gruppen, gebildet durch Mitglieder der Universität Freiburg, können sich über den universitätseigenen Arbeitsgruppenserver selbst organisieren. Auf ihm lassen sich Dokumente ablegen, teilen, online editieren und Arbeits­abläufe wie Gruppenkalender, Terminfindung, Umfragen etc. digital abbil­den. Für die Einrichtung einer Gruppen wird lediglich die übliche Kennung und das Passwort benötigt, mit dem man sich in z.B. myAccount einloggt. Die Einladung weiterer Gruppenteilnehmer geschieht aus dem Arbeits­gruppenserver heraus. Eine zusätzliche Administration durch IT-Betreuer oder eine Genehmigung ist nicht notwendig.

Windows-Rechner können auf die Dateien auf dem Arbeitsgruppenserver über das gängige Zugriffsprotokoll WebDAV zugreifen, das vom Datei­explorer in Windows unterstützt wird. Dateien verbleiben dabei auf dem Arbeitsgruppenserver und erfordern eine stehende Internetverbindung aus dem Universitätsnetz.

Alle Daten dieses Servers liegen auf Speichern, die in den Maschinensälen des Rechenzentrums untergebracht sind. Für den Betrieb von Ressourcen in diesen Sälen wurde die Maschinensaalbenutzungsordnung verabschiedet, in der die Betriebssicherheit gemäß der Schutzziele beschrieben ist. Die Speicherung von Daten auf dem Arbeitsgruppenserver genügt damit den Anforderungen geltender Datenschutzgesetze, sofern nicht Daten mit besonders hohem Schutzbedarf abgelegt werden.

Landesweit nutzbarer Datenspeicher bwSync&Share

Der Landesdienst bwSync&Share, an dem die Universität Freiburg beteiligt ist, verfolgt einen anderen technischen Ansatz. Durch ihn wird die Arbeit außerhalb des Universitätsnetzes besser unterstützt und die Kooperation in hochschulübergreifenden Arbeitsgruppen ermöglicht. Alle Mitglieder von Hochschulen in Baden-Württemberg sind berechtigt, diesen Dienst ohne weitere Genehmigung zu nutzen, weitere Personen können durch explizite Einladungen aus bwSync&Share hinzugefügt werden.

Die Nutzung von bwSync&Share ist der von Dropbox nachgebildet. Dropbox ist populär auch im Hochschulbereich, jedoch entspricht der Einsatz nicht den Datenschutzvorgaben für baden-württembergische Universitäten. Für alle gängigen Betriebssysteme gibt es lokal installierbare Clients, die sich mit dem zentralen Speicher synchronisieren, sobald eine vertrauenswürdige Internetverbindung hergestellt ist. Jedem autorisierten Nutzer stehen in bwSync&Share bis zu 25 Gigabyte Speicher zur Verfügung.

Ausblick

Die Auswertung von Sicherheitsvorfällen innerhalb der Universität zeigt das Risiko einer lokalen Speicherung:

• Lokale Speicherlösungen wie NAS-Geräte oder Desktop-Rechner mit zusätzlichen Festplatten stehen in Räumen mit Publikumsverkehr oder nicht nachvollziehbaren Zutrittsberechtigungen.

• Die Betriebssysteme solcher Speicherlösungen werden nicht regelmäßig aktualisiert, was sie für Angriffe von außen zum leichten Opfer macht.

• Die Hardware lokaler Systeme wird über die empfohlene Dauer der Hersteller hinaus verwendet. Defekte treten zur Unzeit auf und werden durch unzureichende Ad-Hoc-Maßnahmen überbrückt.

Und die Dateiablage über externe Clouddienste wirft folgende Probleme auf:

• Die Speicherung von Daten, besonders wenn personenbezogene Informationen enthalten sind, widerspricht in der Regel der Europäischen Datenschutzverordnung (DSGVO) oder dem für Universität Freiburg anwendbaren Landesdatenschutzgesetz (LDSG).

• Möglicherweise sind nicht alle Mitglieder einer Arbeitsgruppe beim ausgewählten Clouddienst registriert.

• Die Lebensdauer von Clouddiensten ist nicht einschätzbar. Bei Daten, die bis zu zehn Jahren aufzuheben sind, wie die DFG es bei von ihr geförderten Projekten verlangt, kann dies zu vorher nicht abschätzbaren Problemen führen.

• Die Attribution von Mitarbeitenden an Daten ist von außen nicht garantiert nachzuvollziehen. Das widerspricht dem Schutzziel der Authenzität.

Um Lösungen für diese Probleme zu haben, hat das Rechenzentrum die vorgestellten Speicherdienste entwickelt oder sich an landesweiten Projekten beteiligt. Die „Entscheidungshilfe zur Auswahl eines Speichersystems“ gibt eine Orientierung, welches der vorgestellten Systeme zum Bedarf passt. Eine Bewertung datenschutzrechtlicher Aspekte sollte einer Entscheidung für eine Speichervariante vorausgehen.

Jan Leendertse

Schutzwürdigkeit

Die Schutzwürdigkeit von personenbezogenen Daten hat sich gegenüber der Zeit vor der DSGVO weniger geändert, als das mediale Echo es vermuten lässt. Vorher galt für Universität Freiburg das Landesdatenschutzgesetz (LDSG), das im Zuge des endgültigen Inkrafttreten der DSGVO aktualisiert wurde. Sowohl das LDSG als auch die DSGVO haben zum Ziel, die informationelle Selbstbestimmung zu stärken und Daten im Interessensgegensatz zu großen Unternehmen und öffentlichen Einrichtungen besser zu schützen.

Pflichten der Datenverarbeitenden

In einigen Punkten geht die DSGVO über das bis 2018 geltende LDSG hinaus. Das betrifft vor allem die Pflichten derjenigen, die mit personenbezogenen Daten arbeiten. Systeme sind beispielsweise auf minimale Datenerfassung zu auszulegen. Verarbeitung von Daten ist nur gestattet, wenn eine Einwilligung vorliegt oder eine Rechtsgrundlage vorhanden ist. Das Sammeln von Daten auf Vorrat ist nicht gestattet.

Die Verantwortung besonders der Leitungen in datenerfassenden Stellen rückt viel stärker in den Fokus. Die Rechenschaftspflicht – bei Verstößen muss der oder die Datenverarbeitende belegen, alles Notwendige getan zu haben – bewirkt, dass ein Ignorieren von Datenschutzverstößen nicht mehr zuverlässig vor negativen Folgen für die Institution oder Personen in deren Auftrag schützt.

Eine Vertreterin der Aufsichtsbehörde des Landes Baden-Württemberg hat anlässlich eines Vortrages, Anfang März 2018 von der Internen Weiterbildung organisiert, deutlich gesagt, dass nicht beabsichtigt ist, Mitglieder der Universität zu kriminalisieren. Bedrohungsszenarien sind also fehl am Platz. In ein ähnliches Horn hat die EU-Kommissarin Věra Jourová (Justiz, Verbraucherschutz und Gleichstellung) gestoßen, die als politische Verantwortliche bei der Umsetzung auf den gesunden Menschenverstand setzt.

Als Universität geht es darum, die Pflichten als Provider mit Datenverarbeitung, der sie und die nachgeordneten Instanzen nunmal auch sind, anzunehmen. Die IT-Systeme der Universität wimmeln vor personenbezogenen Daten. Forschung, Lehre und Verwaltung tun sich in dieser Hinsicht nicht viel.

Übersicht gewinnen

Eine Gesamtübersicht, welches System welche Daten über Personen verwaltet, hat niemand. Eine solche Übersicht herzustellen ist Arbeit, die jedoch schon nach dem vorherigen LDGS verpflichtend war. Neue Pflichten gibt es bei der Bearbeitung von Vorfällen, die personenbezogene Daten in Gefahr bringen. Die DSGVO verpflichtet datenverarbeitende Stellen zu einer proaktiven Meldung an die zuständige Aufsichtsbehörde. Nichtbefolgen dieser Vorschrift wird von der DSGVO als strafrechtlich relevant bewertet. Weil es so viele unabhängige Systeme an der Universität Freiburg gibt, sind alle Betreibende in der Pflicht mitzuarbeiten. Jede Einrichtung der Universität sollte eine Übersicht der Daten haben, die Personenbezug haben.

Meldewege

Dem Rechenzentrum kommt insofern eine herausgehobene Bedeutung zu, weil es in der Regel als erstes informiert wird, besonders wenn nur eine IP-Adresse bekannt ist und zuerst eine Zuordnung innerhalb der Universität zu machen ist. In solchen Fällen reicht das Rechenzentrum die Vorfallsmeldung, möglicherweise durch eigene Nachforschungen erweitert, an die Einrichtung auf dem Campus weiter.

Es kann aber in der Mehrzahl nicht beurteilen, ob personenbezogene Daten von dem Vorfall betroffen sind. Das müssen die Betreibende vor Ort selbst feststellen. Falls das Rechenzentrum von Externen, wie beispielsweise Strafvollzugsbehörden, um Herausgabe von Daten gebeten wird, reicht es die Bitte als „Amtshilfe“ weiter.

Die DSGVO setzt auch öffentlichen Einrichtungen eine Frist von 72 Stunden, um Vorfälle zu melden. Dies ist unabhängig davon, ob sie von außen gemeldet, durch regelmäßige Scans oder per Zufall aufgedeckt wurden. Sie wird nicht verlängert durch Wochenenden, Urlaube oder Feiertage, sondern gilt immer für die Organisation als Ganzes. Das heißt, nach dieser Zeit muss der Datenschutzbeauftragte oder andere juristisch Bevollmächtigte der Universität den Vorfall der Aufsichtsbehörde in Baden-Württemberg gemeldet haben. Um solche zeitlichen Vorgaben halten zu können, muss an Stelle von zeitraubenden Ad-Hoc-Maßnahmen ein vorbestimmter Ablauf treten.

Prozess im Rechenzentrum

Das Rechenzentrum hat einen Prozess festgelegt, wie intern auf sicherheitsrelevante Vorfälle reagiert werden soll. Mit ihm soll sichergestellt werden, dass sofort nach Bekanntwerden ein gültiger Zeitstempel für den Beginn der Frist von 72 Stunden gesetzt wird, schnellstmöglich die technischen und vor allem organisatorischen Details des Vorfalls erfasst werden und zügig beurteilt wird, ob personenbezogene Daten gefährdet sind. Falls von einer solchen Gefährdung auszugehen ist, wird das Rechenzentrum die Angelegenheit an den Datenschutzbeauftragten übergeben. Unabhängig von einem möglichen Personenbezug wird der Vorfall in einem Informationssicherheitsmanagementsystem (ISMS) erfasst.

Jan Leendertse

Rollenverteilung

Das Rechenzentrum ist eine zentrale Einrichtung der Universität, die IT-Dienstleistungen bereitstellt. IT als Abkürzung für Informationstechnologie ist überall. Jedes Institut, jede Professur, jede Fakultät hat eigene Leute, die vor Ort administrieren.

Kümmerten sich diese Administratoren vor 10 bis 20 Jahren hauptsächlich um einzelne Rechner und die darauf installierte Software, werden sie heute von einer Vielzahl von Aufgaben und Anforderungen überrollt. IT-Administration ist heute hochkomplex, neben Technik wird viel Organisatorisches verlangt.

Beim wissenschaftlichen Erkenntnisprozess ist IT zentral. IT-Administratoren müssen das Wechselspiel von Fach und Technik beherrschen. Das Management der IT fordert deshalb eine sinnvolle Lastenverteilung zwischen IT-Adminstratoren und Rechenzentrum, um die finanziellen und personellen Ressourcen der Universität optimal zu nutzen. Hierauf will das Rechenzentrum gemeinsam mit den Admins Antworten finden und deshalb deutlich stärker in den Austausch mit den IT-Beauftragten vor Ort treten.

Regelmäßige Admintreffen

Das halbjährliche Admintreffen ist als Instrument gedacht, in einen regelmäßigen Austausch mit den IT-Verantwortlichen auf dem Campus einzutreten. Deren Handeln soll besser mit den allgemeinen Richtlinien des Rechenzentrums abgestimmt sein. Das Treffen soll den Administratoren besser verständlich machen, wie das Rechenzentrum arbeitet und mit welchen Konzepten und Diensten es vor Ort unterstützen möchte und kann. Gleichzeitig nutzt das RZ dieses Treffen, um ein direktes Feedback „aus der Fläche“ zu erhalten. Ebenso bietet sich das Treffen als Forum an, um Quervernetzungen zwischen Administratoren voranzutreiben. Eine direkte Weisungsbefugnis hat das Rechenzentrum nicht und strebt sich auch nicht an. Es möchte mit den Angeboten überzeugen und Best-Practices für viele Standardprobleme und -aufgaben anbieten. Das Admintreffen soll weiterhin in regelmäßigen Abständen über die langfristigen Entwicklungen der IT-Strategie und der Dienste des Rechenzentrums und der Universität informieren.

Zeit und Ort der Treffen werden über das Adminforum koordiniert, das weiter unten vorgestellt wird.

anruf

Der anruf, bis 2016 vorwiegend gedruckt veröffentlicht, wurde auf eine Online-Plattform umgezogen. In ihm sollen Themen allgemeiner und ohne zu großen technischen Ballast zeitnah vorgestellt werden. Die Absicht ist, die Arbeit des Rechenzentrum frühzeitig in die jeweiligen Zusammenhänge zu stellen und anstehende Entwicklungen aufzuzeigen. Der anruf richtet sich an alle Mitglieder der Universität.

Forum für Administratoren

Zwischen den Treffen bietet das Adminforum, erreichbar über den Permanentlink
https://www.rz.uni-freiburg.de/go/adminforum, eine Plattform für Fragen und Ankündigungen. Alle Inhaber eines Uniaccounts haben hier Zugriff. Das Spektrum angesprochener Themen im Diskussionsforum ist schon sehr breit. Das Forum ist jedoch von seiner ursprünglichen Intention in beide Richtungen zu arbeiten bisher noch etwas entfernt. Hilfe zur Selbsthilfe kommt allen Beteiligten zugute, vielfach werden auf dem Campus kreative Lösungen gefunden, von denen auch das Rechenzentrum profitieren könnte.

Die Entscheidung für das Weiterbildungs-ILIAS als technischer Lösung wurde bewusst getroffen. ILIAS ist seit mehreren Jahren an der Uni Freiburg für die Lehre am Start und der Betrieb der Plattform als solcher ist gesichert. Damit sollte der Umgang den Admins der einzelnen Fakultäten vertraut sein, was damit vorteilhaft für den Austausch zwischen Fachbereichen ist.

Die Regeln für die Nutzung erläutern die Netiquette. Basis ist Fair-Use, und der Tonfall soll sachlich bleiben.

Sollte es haken bei der Strukturierung von Themen, die Foren zu unübersichtlich werden oder es sonstige Hinweise geben, freut sich das Rechenzentrum über Hinweise, gerne auch per Mail an beratung@rz.uni-freiburg.de.

Mailinglisten und Ticket-Queues

Das Rechenzentrum unterscheidet zwei Formen für den Mailkontakt, die traditionelle Mailingliste für die Kommunikation nach außen und funktionelle Mail-Adressen (die intern auf OTRS-Ticket-Queues abgebildet werden) für den Empfang von Meldungen und Aufträgen. Mailinglisten sind ein klassischer und seit vielen Jahren etablierter Informationskanal zu zentralen Themen und Fragestellungen. Sie eignen sich jedoch wegen der schieren Größe der Universität nicht für einen direkten Austausch und Diskussion von Spezialthemen. Das Funktionieren der Listen hängt in erster Linie davon ab, ob die Adressaten aktuell und die verhandelten Themen von Belang sind. Deshalb wird das RZ in Zukunft weiterhin Listen nur moderiert betreiben. Aufgrund der hohen Fluktuation bei den IT-Beauftragten werden Fakultäten gebeten, im eigenen Interesse für die Aktualität dieser Listen sorgen. Hierzu können sie sich beim Sekretariat des Rechenzentrums oder der allgemeinen Benutzerberatung melden, um neue Kolleginnen zu melden oder alte Kollegen austragen zu lassen.

Für die Meldung von Störungen oder Aufträgen und um mit dem jeweiligen Fach-Team am RZ in Kontakt zu treten, wurden einzelne Ticket-Queues eingerichtet. Diese sollten vorrangig genutzt werden, da eine Mail an einzelne Personen im RZ leicht durch Urlaub, hohe Last oder Umsetzung eines bestimmten Projekts überlastet sein könnten. Ticket-Queues erlauben eine einfache Nachverfolgung von Problemen und Anfragen, insbesondere, wenn es Rückfragen gibt oder weitere Erläuterungen benötigt werden.

RZ-Wiki zur gemeinsamen Dokumentation

Dokumentation lebt vom Input vieler Seiten und Perspektiven: Anbieter von Diensten oder Software wenden die von ihnen entwickelte Software selten im Alltag an. Manchen Anwendungsfall und sich daraus ergebende Fragen haben sie nicht vorausgesehen. Open-Source-Systeme haben daraus eine Tugend gemacht und binden die Anwender ein. Anstatt eine Frage in eine isolierte Mail zu schreiben, kann sie auch in einem Forum – siehe Adminforum – oder in ein Wiki geschrieben werden. Wikis entfalten ihren Vorteil besonders dann, wenn die Lösung ganz oder teilweise vom Anwender schon gefunden ist.

Hier kommt das RZ-Wiki ins Spiel, das zu vielen Fragen schon einen Weg zur Antwort niedergeschrieben hat. Der Zugang erfordert einen Uniaccount.

Im Wiki können nicht nur RZ-Mitarbeiter in einer nur lose vorgegebenen Struktur Themen vorantreiben, Dienste dokumentieren und Tipps und Tricks hinterlegen. Universitätsmitglieder sind ebenfalls eingeladen, ihre Fachkompetenz einzubringen, Ergänzungen oder Korrekturen vorzunehmen und damit zum gemeinsamen Wissen beizutragen.

Die Benutzung des Wikis ist recht einfach, nach der Anmeldung mit dem Uni-Account bekommt ein Nutzer die Möglichkeit, Texte zu bearbeiten oder neu anzulegen. Sinnvollerweise sollte man bei neuen Texten vorher prüfen, ob sich nicht bereits das Thema irgendwo behandelt findet, bevor eine neue Seite erzeugt wird. Ein geeignetes Tagging erleichtert die spätere Suche für Nachnutzer. Am besten orientiert man sich an Seiten, die man selbst für gut gelungen hält. Ein Beispiel für ein aktuelles Wiki und umfangreicher dokumentiertes Thema bieten die Seiten zur Beschreibung der Nutzung der PC-Pools auf Basis von bwLehrpool.

Ringvorlesung

Im Wintersemester 2017/18 hat das Rechenzentrum erstmals in einer Onlinevorlesungsreihe zusätzliche Aspekte vertieft. Die Reihe schloss sich an den E-Lunch aus dem Jahr 2014 an, das Spektrum war jedoch deutlich breiter. Das Rechenzentrum war selbst gespannt auf das Echo. Die Livezahlen waren zunächst ziemlich bescheiden, doch die späteren hohen Abrufzahlen der aufgezeichneten Beiträge haben alle Beteiligten überrascht.

Die Mitschnitte der abgeschlossenen Reihe sind bequem online über das Adminforum verfügbar. In der nächsten Runde soll das Format – halbe Stunde Onlinevortrag, viertel Stunde Frage über Chat – beibehalten werden.

Interne Weiterbildung

Seit Jahren stark vertreten ist das Rechenzentrum bei der Internen Weiterbildung der Universität (IWB). Zum Campus-Management mit HISinOne, dem Content-Management-System mit Zope (CMS) und dem Betrieb eigener Wikis werden regelmäßig gut besuchte Schulungen angeboten. Für das E-Learning existiert ein dediziertes Qualifizierungsprogramm. Die Veranstaltungen wenden sich vorwiegend an diejenigen, die diese Systeme in Forschung und Lehre nutzen.

Neu hinzugekommen sind Schulungen für die IT-Beauftragten, hier sind zunächst diejenigen im Fokus, deren beruflicher Hintergrund nicht primär in der IT liegt und weil diese oft als freiwillig Berufene dieses brachliegende Feld beackern müssen. Diese Kurse sind noch im Aufbau. Die Inhalte müssen noch stärker differenziert werden, da in den bisherigen Terminen für IT-Beauftragte die Spannbreite der Vorkenntnisse noch sehr groß war.

Unabhängig von den Schulungen der IWB, die von ihr zertifiziert werden, können zur Zeit einzelne Module von Einrichtungen vor Ort gebucht werden. Bislang vorbereitet sind „Passwortverwaltung einrichtungsübergreifend“, „Einbindung Homedirectories des RZ“, „Verwendung von Mailzertifikaten für elektronische Signierung und Verschlüsselung“. Mit diesen Kurzmodulen sollen Kleingruppen von drei bis acht Leute angesprochen werden, die konkrete Arbeitshilfen in ihrer Umgebung wünschen. Es ist nicht geplant, solche kurzen Formen dauerhaft zu etablieren. Sie ist eine Reaktion auf die geänderte Bewertung der Sicherheitslage.

Kontaktinformationen

Bereichs- und themenbezogene Mailinglisten

maschinensaal-admins@rz.uni-freiburg.de – Liste für die Nutzer der verschiedenen gemanagten Maschinensäle des Rechenzentrums (derzeit Standorte A, B in der Hermann-Herder-Str. 10 und KG II), hauptsächlich Informationen z.B. zu möglichen oder notwendigen Stromabschaltungen wegen Umbauten, Wartungen oder Prüfung des Notstromaggregats

hpc-news-subscribe@hpc.uni-freiburg.de – Adresse für das Subscriben für News und Informationen zu Entwicklungen im Bereich HPC in englischer Sprache (low-traffic)

vm-lehrpools@rz.uni-freiburg.de – Informations- und Austausch-Mailingliste für die Nutzer spezifisch von bwLehrpool (in den PC-Pools auf dem Campus)

info@bw-cloud.org – Informationsliste zur bwCloud (wird automatisch anhand der laufenden Projekte in der bwCloud gefüllt)

fileserver-info@listserv.uni-freiburg.de – Wartungsankündigungen und Störungsmeldungen des zentralen Speichersystems (Fileserver). Diese Liste kann jede/r selbst über myAccount abonnieren.

mysql@rz.uni-freiburg.de – Informationsliste zum zentralen MySQL-Datenbankserver der Universität. Diese Liste kann jede/r selbst über myAccount abonnieren.

netinfo@listserv.uni-freiburg.de – technische Störungen im Netzbereich oder Wartungen, die von der Abt. für Netze & Kommunikationssysteme oder BelWü gemeldet werden.

Funktionale Mailadressen für OTRS-Ticket-Queues

maschinensaal@rz.uni-freiburg.de – Anfragen zum Einbringen neuer Geräte in die gemanagten Serverräume des RZ (Machine-Hosting, Koordination Netzanschluss, Aufbau)

technik@rz.uni-freiburg.de – Anfragen und Aufträge zu Netzwerkdosen, Telefonen und allgemeinen Netzwerkproblemen

hostmaster@rz.uni-freiburg.de – Anfragen zu DNS und Netzwerkstruktur

webserveradmin@rz.uni-freiburg.de – OTRS-Frontend für die Webserveradmins, die nicht das Zope/Plone verwenden

cmssupport@rz.uni-freiburg.de – OTRS-Frontend für das Content Management System Plone (Standard Web-Umgebung der Universität und Einrichtungen)

windows@rz.uni-freiburg.de – OTRS-Frontend für Windows und die vom RZ betriebene Active Directory Domain

pools@rz.uni-freiburg.de – OTRS-Frontend für Fragen rund um das “Universitäre PC-Pool-Konzept” (verschiedene vom RZ verwaltete öffentliche Computer-Pools am Campus)

loginserver@rz.uni-freiburg.de – OTRS-Frontend für den Dienst “Login-Server”

cm@rz.uni-freiburg.de – Support der Abteilung Campus-Management

enm-support@hpc.uni-freiburg.de – Ticket-Queue für den NEMO Support (bwForCluster HPC Cluster hier am Standort Freiburg)

hpc-support@hpc.uni-freiburg.de – Ticket-Queue für den generellen HPC-Support (andere Cluster im Land, Anfragen für Bedarfe in HPC etc.)

betrieb@rz.uni-freiburg.de – Ausfälle, notwendige Reparaturen etc. beispielsweise für Pool-Räume, die dem RZ unterstehen (bildet auf eine OTRS-Queue ab)

frits@rz.uni-freiburg.de – Anlaufstelle für Hinweise auf Vorfälle zur Informationssicherheit und Schwachstellen in IT-Systemen

fileserver@rz.uni-freiburg.de – OTRS-Frontend zum zentralen Fileserver (Fragen zu den Homeverzeichnissen, Gruppenlaufwerken usw.)

virtualisierung@rz.uni-freiburg.de – OTRS-Frontend für die Virtualisierungsinfrastruktur. Hier können z.B. Anfragen nach virtuellen Maschinen gestellt werden.

elearning@rz.uni-freiburg.de – Allgemeine E-Learning-Fragen & E-Learning Qualifizierungsprogramm

ilias@rz.uni-freiburg.de – Lernplattform ILIAS

onlinemeetings@rz.uni-freiburg.de – Virtual Classroom (Adobe Connect)

groupserver@rz.uni-freiburg.de – Arbeitsgruppenserver (BSCW)

e-klausuren@rz.uni-freiburg.de – Anfragen zur Durchführung von elektronischen Prüfungen und Tests

fdm@rz.uni-freiburg.de – Anfragen rund um Forschungsdatenmanagement an die
Mitglieder der Virtuellen Organisation (Research Data Management Group)

medientechnik@rz.uni-freiburg.de – Anfragen zur technischen Hörsaalausstattung und Medientechnik am Campus

vk@rz.uni-freiburg.de - Anfragen zu Videokonferenzen (H3.2.3-Standard)

Jan Leendertse, Dirk von Suchodoletz

Update am 10.05.2019: Mailadresse zur Medienausstattung ergänzt

Rechenzentrum war schneller

Einen ähnlichen Beschluss fasste die Leitung des Rechenzentrums bereits im Februar 2018. In diesem wird in einer ersten Phase für Webseiten bestimmt, die vom Rechenzentrum betreut werden, mindestens TLS 1.1 einzusetzen, besser aber noch TLS 1.2. Die Verpflichtung zu TLS 1.3 ist im RZ-Beschluss noch nicht vorgesehen, weil die IETF diesen Versionsstand erst später offiziell machte.

Warum soll mit aktuellen Versionen verschlüsselt werden?

Es gibt mehrere Gründe, den aktuelle Stand von TLS einzusetzen.

In älteren Versionen gibt es Sicherheitslücken, die nicht mehr geschlossen werden. Sie gelten nicht mehr als Standards, Patches zum Schließen werden daher nicht mehr ausgeliefert. Einige Lücken liegen in der Architektur älterer Verschlüsselungssuiten begründet und können auch mit hohem technischen Aufwand nicht mehr geschlossen werden.

Solche Lücken lassen mehrere Angriffsvektoren offen. So lässt sich die Kommunikation zwischen einem Webserver und dem abrufenden Client wie beispielsweise einem Webbrowser entschlüsseln und von Zwischenstationen auslesen. Das ist ein großes Problem für alle Webdienste, bei denen ein Passwort im Webbrowser eingegeben und an den Server übertragen wird. Ein weiteres Szenario ist die Ausstellung eines Webzertifikats auf eine falsche Organisation. Kommt einem eine Webseite oder die Domain verdächtig vor und überprüft das gefälschte Zertifikat, wird man trotz anfänglicher Verdachtsmomente überzeugt, sensible Daten den falschen Leuten anzuvertrauen.

Kriminelle scannen Webseiten gerne nach Zertifikaten mit Lücken, um den Webserver nach Lücken zu durchsuchen. Und in einem gängigen System, das schlecht gewartet ist, finden Angreifer mit hoher Wahrscheinlichkeit schnell eine Lücke. Dann sind Passwörter in Gefahr oder der Webserver wird für energiefressendes Blockchain-Mining missbraucht, um zwei Beispiele zu nennen.

Das Alter

Als Begründung für den Einsatz alter Verschlüsselungssuiten wird gerne ins Feld geführt, älteren Browserversionen den Zugang offen zu halten. Aber die von der IETF für obsolet erklärten Versionen sind seit 12 Jahren und mehr auf dem Markt. Der Anteil von alten Versionen von Firefox, Chrome, Internet Explorer liegt inzwischen im Bereich der statistischen Insignifikanz. Es ist nicht notwendig, bewusst in Webservern alte Versionen der Verschlüsselung mitlaufen zu lassen. Sie untergraben die Sicherheit des Webservers, nur um theoretisch alten Browsern Zugriff zu geben, die auf der anderen Seite der Verbindung die Sicherheit des Clients untergraben.

Anbieter wie Apple oder Google, über die ein sehr großer Anteil des Internetverkehrs läuft, setzen seit einiger Zeit nur noch TLS 1.2 und höher ein. Und deren Nutzerzahlen sind seitdem nicht zurückgegangen. Diesen Vorbildern kann man durchaus folgen.

Wie Updaten?

Die Mozilla-Foundation, die den Firefox-Browser programmiert, bietet eine nützliche Hilfe, um Webserver sicher zu konfigurieren. Dort wird ein Formular angeboten, das automatisch eine Konfiguration erzeugt, die zum eigenen Webserver passt. Es müssen nur Schaltflächen über Software und Version des Webservers angekreuzt werden. Die generierte Konfiguration kann per Copy-Paste übernommen werden.

Das Rechenzentrum

Die meisten Webpräsenzen der Universität werden vom Rechenzentrum über das Content-Managesystem direkt betreut oder auf Systemen betrieben, die im RZ untergestellt sind.

Bei den direkt betriebenen Plone-Instanzen hat die Umstellung auf neuere TLS-Versionen bereits begonnen. Wann die Umstellung abgeschlossen ist, lässt sich nicht mit Bestimmtheit angeben. Sie folgt keinem fixen Plan, sondern geschieht situativ, wenn einzelne Webpräsenzen anderweitig angefasst werden oder wenn die sonstige Auslastung es zulässt.

Für die Webseiten in eigener Betreuung heißt es, selbst tätig zu werden. Dies gilt ebenso für Webseiten, deren Pflege an externe Agenturen ausgelagert wurde. Die Verantwortung liegt auch in diesem Fall weiterhin beim inhaltlich Verantwortlichem.

Prüfen eigener Zertifikate

Wie es um die eigenen Zertifikate bestellt ist, kann aus dem Uninetz schnell nachgeprüft werden. Unter dem Link http://www.rz.uni-freiburg.de/go/ssl-scan kann ein Hostname eingegeben werden. Nach kurzem Rechnen wird das Zertifikat eingestuft auf einer Skala von A bis F. Sie orientiert sich am Bewertungsschema von SSLlabs, das weltweit als Referenz für die Qualität eines Zertifikats herangezogen wird.

Ein Ergebnis A fasst zusammen, dass die Verschlüsselung einer Webseite dem Stand der Technik entspricht. Es ist nur erreichbar mit TLS 1.2 oder 1.3. Ältere Verschlüsselungssuiten führen zu schlechteren Resultaten und zeigen deutlichen Verbesserungsbedarf.

Jan Leendertse, Jan Schopper

Bildnachweis

Logo der IETF: The IETF Trust - http://www.ietf.org/images/logos/, Gemeinfrei, https://commons.wikimedia.org/w/index.php?curid=30062957

Update am 14.03.2019: Korrektur des Links auf SSL-Scan im vorletzten Absatz

Frau Rolland und Herr Selcuk erhielten einen umfassenden Einblick in aktuelle Lehrszenarien und digital unterstützte Präsenzveranstaltungen sowie in die Beratungsleistungen der Abteilung E-Learning. In der anschließenden Diskussion ging Prof. Schneider auf die Herausforderungen der zunehmenden Digitalisierung, den daraus resultierenden Kulturwandel in der Gesellschaft und den sich verändernden Anforderungen an den Hochschulen ein und verwies darauf, dass es sehr hohe Erwartungen an die IT gibt, die rund um die Uhr funktionieren muss; insbesondere auch die in der Lehre eingesetzten Systeme, bei denen mehr als 30.000 Nutzende den Anspruch haben, „anytime und anywhere“ auf die Lernmaterialien zugreifen zu können. Dass hinter einer entsprechenden IT-Infrastruktur aber auch ausreichend Betriebspersonal vorhanden sein muss, wird bisher nicht ausreichend berücksichtigt. Die Hoffnung ist, dass im Rahmen der Verhandlungen zur zweiten Tranche des Hochschulfinanzierungsvertrages insbesondere die Digitalisierung und die sich rasant verändernden Rahmenbedingungen in den Blick genommen und die zum Teil immer noch aus den 1980er-Jahren stammenden Personalschlüssel für IT-Dienstleistungen der Rechenzentren überdacht werden. Diesen Punkt nahmen die beiden MdLs sehr interessiert auf und sagten zu, sich um die Verstetigung der Personalstellen zu bemühen. "Digitale Lernplattformen stellen für die Studierenden und Lehrenden einen enormen Mehrwert dar und müssen auskömmlich finanziert werden", so Gabi Rolland.

Abschließend hatten die beiden Abgeordneten noch die Gelegenheit, in der Abteilung Windows die potenzielle Zukunft des digitalen Lernens zu erleben: Virtual Reality auf Basis der Microsoft Hololens. Schon allein die Demoprogramme, die mit der virtuellen Brille ausgeliefert werden, lassen die reale und die virtuelle Welt so miteinander verschmelzen, so dass man sich z. B. mitten in der Galaxie und den auf einen zufliegenden Raumschiffen wähnt, denen man unweigerlich mit einer kleinen Körperdrehung ausweicht. Gerade im Bereich der Simulation schlummert sehr viel Potenzial für die Lehre, die darauf wartet, von engagierten Lehrenden genutzt zu werden.

Dr. Nicole Wöhrle

Neue Qualität

Einen gewissen Bodensatz an Spams, die es durch die Filter schaffen, ist man gewöhnt. Doch diese Mails schaffen es, neue Aufmerksamkeit und auch Beunruhigung hervorzurufen. Offensichtlich ist es den Dichtern des Erpresserbriefs gelungen, neues Bedrohungspotenzial aufzubauen. Und das, obwohl von mehreren einschlägigen Newsletterdiensten erläutert wird, dass der Erpressungsversuch keinerlei Substanz hat. In einer Meldung des Heise-Newsletters vom 13. Juli wird der Text zum Vergleich veröffentlicht. Auch das BSI verweist in seinem Newsletterdienst „Bürger-CERT“ vom 19.07. auf eine Pressemeldung der niedersächsischen Polizei, wo davor gewarnt wird, auf solche Mails einzugehen.

Analysiert man den Text, bleibt an Drohkulisse nichts übrig. Das Passwort, das als Beispiel zugeschickt wird, ist seit längerem bekannt, zum Beispiel aus dem LinkedIn-Hack von 2012. Listen mit diesem Passwort werden in einschlägigen Kreisen seit Jahren weiterverkauft. Das Deutsche Forschungsnetz (DFN) weist regelmäßig auf die Existenz dieser Listen hin. Das Rechenzentrum hat die Besitzer von Mailboxen mit veröffentlichten Passwörtern unterrichtet, so weit sie dem Rechenzentrum bekannt waren. Das kompromittierte Passwort jedenfalls sollte sofort geändert werden.

Die Nutzer*innen aus der Universität haben dem Rechenzentrum durch die Bank zurückgemeldet, dass sie alt waren und seit langem nicht mehr genutzt wurden und vor allem nicht im Umfeld von Uni-Accounts. Aus diesem Grund kommt das Rechenzentrum zur Einschätzung, dass von den Passwörtern keine akute Gefahr ausgeht.

Weitere Elemente, mit denen Druck aufgebaut wird, sind die angeblich kopierten Adresslisten und die Webcam-Videos, die beim Betrachten von Porno-Webseiten angeblich aufgenommen sein sollen, sowie ein Tracking-Pixel. Dieser Pixel soll dem Absender anzeigen, wann eine Mail geöffnet wurde, denn ab diesem Zeitpunkt liefe die Uhr für das Zahlen der Erpressungssumme. IT-Fachleute des Heise-Verlags haben die Mail nach diesem Pixel durchsucht und keines gefunden. Und Adresslisten abzugreifen und Webcam beim Betrachten bestimmter Webseiten zu aktivieren ist sehr schwierig. Die Schlussfolgerung daraus ist: Diese Mail ist heiße Luft, nur das Passwort ist von lange bekannten Listen übernommen, die aus anderen Hacks generiert wurden.

Geklaut

Die Schreiber*innen der Mail haben sich nicht nur bei alten Listen bedient, sondern sogar die Idee für die Erpressermail woanders besorgt. Kollegen aus dem Rechenzentrum fühlten sich sofort an den Plot einer Folge der englischen Fernsehserie „Black Mirror“ erinnert.

Womit wir bei der Frage angekommen sind, was realer ist: Internet, Fernsehen oder das Büro. Die Spammail jedenfalls kann man getrost löschen.

Jan Leendertse

Es gibt keine fehlerfreien IT-Systeme

Fehlerfrei funktionierende IT-Systeme sind eine Unmöglichkeit, weil die Einsatzzwecke wegen ihrer Flexibilität sich im Gebrauch ändern. Die Hersteller können nicht alle Szenarien voraussehen und entsprechende Vorkehrungen treffen. Auch wenn man als Verbraucher*in dies anerkennt, ist andererseits festzustellen, dass die Hersteller der Verantwortung für ihre Produkte nicht vollständig nachkommen. Darunter leiden alle, Endnutzer*innen und auch verantwortungsvolle Hersteller.

Für die Administrator*innen von selbst gemanagten Umgebungen auf dem Campus heißt es daher: Patchen, patchen, patchen.

Update-Service von Microsoft

Microsoft bietet für seine Plattform einen automatisch laufenden Update-Service, der in allen Rechnern mit Microsoft als Betriebssystem, ob Server, Desktop-Rechner oder Laptop, laufend kontrolliert, was nachzuinstallieren ist. Bei einem einzelnen, privaten Rechner macht das Verfahren Sinn, für die Universität als Ganzes hat es Nachteile.

Microsoft weiß mehr über die Windows-Systeme auf dem Campus als die Universität selbst. Es hat vor allem die Gesamtübersicht. Standard-Patches werden tausendfach heruntergeladen, den ganzen Weg von Microsoft bis zum Endsystem. Je nach Wartungszustand sind die Rechner auf dem Campus uneinheitlicher als nötig. Bei Störungen müssen die Administrator*innen jedes Problem mit Updates individuell lösen und haben unter Umständen keinen Überblick über den aktuellen Patchstand ihrer Maschinen.

In Unternehmen ist es daher Standard, ein Repository zu betreiben. Dieses hat die Funktion, eine gemanagte Verteilung der Patches zu ermöglichen. Es hilft, doppelte Verarbeitungen auf den Rechnern zu vermeiden und die Leitungen vom Unternehmen zu Microsoft zu entlasten. Und er unterbricht eine direkte Verbindung von Microsoft zu den einzelnen Stationen. Dieser Update-Server ist als Zwischeninstanz unter dem Produktnamen WSUS („Windows Server Update Services“) bekannt.

WSUS-Server im Rechenzentrum

Zwei solcher Server betreibt das Rechenzentrum für Fakultäten, Institute und Einrichtungen. Beide Varianten können unter unterschiedlichen Voraussetzungen vom Campus genutzt werden. Sie unterscheiden sich im Wesentlichen bezüglich Managementgrad und Patchfreigabe. Wie der Dienst angezapft werden kann, ist in einer Servicebeschreibung Update-Services festgehalten.

In ihr ist niedergelegt, unter welchem vollgültigen Hostnamen der WSUS-Dienst erreichbar ist, welche Teildienste er enthält, wie die Bestellung läuft und wer bei Störungen zu kontaktieren ist inklusive eventuell nötiger Eskalationen.

Funktion der Servicebeschreibung

Der WSUS-Server ist seit einiger Zeit bereits im Einsatz mit einer sehr hohen Verfügbarkeit von deutlich über 99%. Um diese prozentuale Servicequalitäten oder theoretischen Hochverfügbarkeiten geht es in der Servicebeschreibung jedoch nicht. Die hauptsächliche Absicht ist es, eine gemeinsame Verständigung über den Dienst für die Kolleg*innen im Rechenzentrum und auf dem Campus zu schaffen. Es soll bestimmt werden, was die Update-Services machen, aber auch, wozu sie nicht dienen. Ein Beispiel: Mit dem Angebot des Update-Service geht die Verantwortung, ob auf einem Rechner auf dem Campus bekannte Sicherheitslücken geschlossen sind, nicht auf das Rechenzentrum über. Der Update-Server dient, wie schon angedeutet, nicht der Garantierung sicherer Zustände einzelner Rechner oder Umgebungen, sondern der Steigerung der Effizienz auf den ganzen Campus gesehen. Das Rechenzentrum geht dennoch davon aus, dass auch der Campus von dem Angebot des Update-Servers profitiert.

Definitiv unterstützen wird er beim Verfolgen des Ziels, die Informationssicherheit der Universität zu erhöhen. Zu diesem Ziel ist sie durch aktuelle Verwaltungsvorschriften verpflichtet. Sie muss Übersicht gewinnen über die IT auf dem Campus, wo Sicherheitslücken durch fehlgeschlagene Aktualisierungen offen bleiben. Mit dem WSUS-Server lässt sich der Patchzustand aller Rechner dokumentieren, die mit ihm verbunden sind. In Zusammenarbeit mit den Kund*innen können die Rechner auf dem Campus zu Gruppen zusammengefasst werden. Einzelne Rechner fungieren als Frühwarnstationen für solche Gruppen, um zu schauen, ob Updates fehlerfrei hineinlaufen.

Damit wäre ein Vorteil für Administrator*innen genannt. Sie tragen durch die Beteiligung an Peergruppen bei, Patches zu identifizieren, die möglicherweise nur in wenigen Einsatzszenarios zu unvorhergesehenen Zuständen führen.

Der Update-Server für ungemanagte Umgebungen kann von jedem im Uninetz ohne explizite Meldung im Rechenzentrum genutzt werden. Bei Fragen stehen dort die Kolleg*innen unter windows@rz.uni-freiburg.de gerne zur Verfügung. Eine weitere Quelle ist das Adminforum, das zum Austausch aller animiert, die an der Universität Freiburg mit IT zu tun haben.

Jan Leendertse, ms

Situationsbeschreibung

Fast jedes Mitglied der Universität hat ein Smartphone, doch nur einem Bruchteil von ihnen wurde es als Dienstgerät ausgehändigt. Eine flächendeckende Versorgung ist auch mittelfristig nicht möglich. Eine Überschlagsrechnung zeigt, dass die Universität bei einem niedrig angesetzten Einzelpreis von EUR 200 für 2.000 Mitarbeitern und Mitarbeiterinnen einen Betrag von EUR 400.000 budgetieren müsste. Und dies regelmäßig über zwei Jahre, weil Geräte veralten, verloren gehen oder beschädigt werden.

Und warum auch, fast jeder Mitarbeiter oder Mitarbeiterin hat schon ein Gerät, auf dem ohne Aufwand und ohne Abnutzung rasch ein paar zusätzliche Accounts eingerichtet sind. Und Smartphones sind nicht die einzige Geräteklasse, wo privates Eigentum so eingesetzt wird. Laptops lassen sich ebenso um dienstliche Accounts erweitern, und sie sind eher teurer als Smartphones. Die Mitarbeiter und Mitarbeiterinnen müssen nicht warten, bis ein Gerät genehmigt, beschafft und eingerichtet ist.

Wo liegt dann das Problem?

Kontrollverlust

Allen diesen Geräten ist gemein, dass sie nicht von einer technischen Person betreut werden, die für das Funktionieren gemäß der Vorgaben der Universität als Arbeitgeberin verantwortlich sind. Es ist nicht nachvollziehbar, welcher Gerätezoo sich mit den Systemen der Uni-IT verbindet, wie er konfiguriert ist, wo er ist, rein räumlich gesehen. Das Landesdatenschutzgesetz (LDSG) verlangt von den Betreibern informationstechnischer Systeme, dass sie jederzeit die Kontrolle haben, sofern personenbezogene Daten gespeichert oder verarbeitet werden. Für die Nutzer und Nutzerinnen stellt sich das nicht als Problem dar, für die Betreuer und Betreuerinnen der IT und die Universität als Betreiberin ist es eins.

Zwei Gedankenexperimente verdeutlichen dies. Ein Mitarbeiter aus der Zentralen Universitätsverwaltung (ZUV) erhält eine E-Mail mit den Unterlagen einer Bewerberin. Einer Professorin einer sich selbst verwaltenden Fakultät wird eine Mail mit der Entschuldigung einer Studierenden zugeschickt, die Abgabe einer Hausarbeit verzögere sich. Sobald der Mitarbeiter oder die Professorin diese Mails von unterwegs abrufen, liegen sie in diesem Moment außerhalb der Systeme der Universität. Sie sind nicht mehr unter vollständiger Kontrolle der zuständigen Administratoren bzw. Administratorinnen. Jede Taschenlampen-App mit Zugriff auf die Mails des Smartphones kann sie lesen.

Dieses Gedankenspiele allein verdeutlichen, wie diffizil die Verarbeitung dienstlicher Daten auf privaten Geräten ist. Es wird nicht legaler dadurch, dass es so einfach ist und es ein Großteil so macht.

Andererseits, der Gewinn an Effizienz ist so eklatant, besonders wenn Termine drängen oder Leute warten, denen schnell zu helfen ist. Da ist man ungern pedantisch.

Geänderte Verantwortlichkeiten

Abgesehen von den juristisch Verantwortlichen und den technischen Betreuern oder Betreuerinnen war kaum jemand unglücklich über die Nutzung privater Geräte. Mit den gestiegenen gesetzlichen Anforderungen durch die Datenschutz-Grundverordnung (DSGVO) und weiterer Regulierungen sowie der gestiegenen Sensibilität gegenüber dem Wert personenbezogener Daten verändert sich die Haltung der Betreiber von IT-Systemen, auf die mit privaten Geräten zugegriffen wird.

In Behörden des Bundes oder des Landes Baden-Württemberg ist der technische Aufwand für die Telearbeit, die von Angestellten in den eigenen vier Wänden geleistet wird, deutlich höher als noch vor ein paar Jahren. Das gilt auch schon für Mitarbeiter und Mitarbeiterinnen in der ZUV. Für sie gilt seit 2017 eine Richtlinie, die von ihnen im Umgang mit IT mehr Verantwortung verlangt. Aus dieser Richtlinie lässt sich indirekt herauslesen, dass sich ein unreflektierter Gebrauch privater Geräte verbietet.

Der Grund für dieses Verdikt ist vor allem das Bemühen, die Universität haftungsrechtlich für den Fall von Vorkommnissen freizustellen. Technisch lässt sich beispielsweise der Zugriff auf Mails kaum mit vertretbarem Aufwand abriegeln. Da sind die Administratoren und Administratorinnen der Mailserver auf die Mitwirkung der Nutzerinnen angewiesen. Ein ausgesprochenes Verbot verlagert die Haftung eindeutig auf diejenigen, die dem Verbot zuwiderhandeln.

Terms & Conditions

Üblicherweise blendet jeder Anbieter einer App beim Installieren ein seitenlanges Dokument ein, mit dem der Verwendungszweck der eingegebenen Daten beschrieben wird. Dass viele der Anbieter mit dem Mittel der juristischen Verklausulierung effektiv Verschleierung betreiben, tut nichts zur Sache.

Bei Mailaccounts sind nur die Zugangsdaten einzugeben. Als Nutzer oder Nutzerin sollte man sich der Tragweite bewusst sein, die hinter dem Eingeben von Daten eines Dienstaccounts in ein privates Smartphone steht.

Pflichten aus dem Arbeitsverhältnis

Mit dem Arbeitsvertrag unterschreibt jeder Mitarbeiter oder Mitarbeiterin eine weitere Verpflichtung, sich um den Datenschutz zu sorgen. Sie wird bekräftigt im Merkblatt zum Datengeheimnis, herausgegeben von Zendas und durch das Justiziariat der Universität verfügbar gemacht. In diesem Blatt wird „ausdrücklich zur Wahrung des Datengeheimnisses“ aufgerufen. Bei Zuwiderhandlungen greifen nominell sogar Regeln des Strafgesetzbuches. Dem Rechenzentrum sind aber keine Kollegen oder Kolleginnen bekannt, die deswegen ihre Adresse in einer Justizvollzugsanstalt haben.

Innerhalb dieser Diskrepanz muss daher jede Mitarbeiter oder Mitarbeiterin die Entscheidung selbst fällen, ob sie Dienstaccounts auf dem Privatgerät einrichtet, auf einem Dienstgerät insistiert oder Mails nur am Arbeitsplatz abruft.

Jan Leendertse, Manja Dehmer

Bildnachweis

Bild aus Wikicommons: https://commons.wikimedia.org/wiki/File:Assistent.jpg, By Pol.fores01 [CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0)], from Wikimedia Commons.