"Da muss jemand anderes meinen Rechner genutzt haben", lautet die häufige Ausrede, wenn herauskommt, dass Mitarbeiter am Arbeitsplatz anstößige Internet-Seiten aufgerufen haben. Allerdings zählt dieses Risiko noch zu den kleineren, wenn Rechner ohne Zugangssperre unbeaufsichtigt laufen.
Gravierender für die Unternehmen kann ein nicht-autorisierter Zugriff auf sensible Unternehmensdaten sein. Auch könnten Buchhaltungssysteme manipuliert, oder E-Mails unter fremden Namen geschickt werden. Der Schadenszuweisung ist prinzipiell immer schwierig, solange der physikalische Zugang zu den Rechnern nicht eindeutig beschränkt ist.
Aufwendige Systeme werden ausgehebelt
"Unbeaufsichtigte PCs sind für die IT-Sicherheit das Äquivalent einer tief hängenden Frucht", sagt Jay Heiser, leitender Gartner-Analyst. "Die Implementierung aufwendiger Identitäts- und Zugangs-Management-Systeme macht wenig Sinn, solange nicht sichergestellt ist, dass die Mitarbeiter vor ihren Rechnern sitzen bleiben, solange sie ins System eingeloggt sind."
Heiser legt den Unternehmen nahe, das Thema Login-Session nicht auf die leichte Schulter zu nehmen. Den Mitarbeitern muss – auch eindringlich – klargemacht werden, dass es sich dabei um einen wichtigen Sicherheitsaspekt handelt. Um das Problem in den Griff zu bekommen, empfiehlt Gartner den Unternehmen, sowohl eine entsprechende Policy als auch technische Lösungen in Betracht zu ziehen.
Eine der technisch einfachsten Lösungen sind Timeouts: Der Zugang zum Rechner wird nach einer festgelegten Zeit ohne Nutzereingaben gesperrt. Um den Computer frei zu schalten, müssen sich die Nutzer erst wieder neu anmelden. Timeouts sind für die meisten Bereiche in Unternehmen sinnvoll.
Mitarbeiter vom Timeout nicht begeistert
Zwar begegnen viele Mitarbeiter so einer Logoff-Automatik nicht gerade mit Begeisterung. Doch wenn ihnen klar gemacht wird, dass sie für alle Schäden, die von ihrem Rechner ausgegangen sind, verantwortlich gemacht werden, sind die Widerstände meist geringer.
Es gibt allerdings auch Abteilungen in Unternehmen, in denen ständige Timeouts den Betrieb tatsächlich erheblich stören würden. So müssen etwa im technischen Support Rechner oft permanent Statusinformationen anzeigen, ohne dass ein Nutzer eingreift. Die Timeout-Funktion kann auch in Abteilungen hinderlich sein, in denen schnelles Reagieren gefragt ist. Beispielsweise im Finanz-Trading.
Token als Alternative
In solchen Fällen kann der Einsatz entfernungsabhängiger Token die beste Lösung sein. Die Mitarbeiter tragen den Token um den Hals. Sobald sie sich vom Rechner entfernen, wird dieser gesperrt. Nähern sie sich dem PC, wird der Nutzer wieder eingeloggt. Das System ist den Gartner-Analysten zufolge auch für Situationen gut geeignet, in denen sich viele Nutzer einen Computer teilen, beispielsweise in Krankenhäusern.
Ein weiterer Vorteil der Technik: Der Ausrede "Da muss jemand anderes meinen Rechner genutzt haben" wird die Grundlage entzogen.