Regelwerk für den Umgang mit Log- und Protokolldateien auf Mailservern und Firewalls der Technischen Universität Hamburg-Harburg

§ 1

Gegenstand und Geltungsbereich

Vorliegendes Regelwerk definiert die Rahmenbedingungen für den Umgang mit Log- und Protokolldateien auf Mailservern und Firewalls der Technischen Universität Hamburg-Harburg (TUHH). Sofern einzelne Einheiten der TUHH hiervon abweichen wollen, erstellen sie hierfür eine eigene Regelung, die mit der oder dem behördlichen Datenschutzbeauftragten der TUHH, oder falls kein behördlicher Datenschutz-beauftragter benannt ist, mit dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit abzustimmen und allgemein zugänglich zu dokumentieren ist.
Die Regelungen für Firewall-Systeme sind sinngemäß auf alle weiteren vom Institut, einer Arbeitsgruppe oder einem Servicebereich betriebenen Serversysteme anzuwenden. Ausnahmen müssen in der Verfahrensbeschreibung und Risikoanalyse begründet werden.

§ 2

Zielsetzung

Mit Hilfe dieses Regelwerks soll ein Standard für den Umgang mit Log- und Protokolldateien geschaffen werden, der einerseits für die vom Rechenzentrum betriebenen Firewall-Systeme und Email-Server verbindlich ist und andererseits eine Orientierung für die von Instituten und anderen Einrichtung betriebenen Verfahren bietet. Das Regelwerk ersetzt nicht die vom Hamburgischen Datenschutzgesetz (HmbDSG §§ 8,9) geforderte Erstellung von Verfahrensbeschreibung und Vorabkontrolle (Risikoanalyse) und deren Abstimmung mit der oder dem zuständigen Datenschutzbeauftragten. Die öffentlichen Verfahrensbeschreibungen für das zentrale Firewall-System und den Email-Server werden vom Rechenzentrum als beispielhafte Vorlage zur Verfügung gestellt.

§ 3

Verarbeitete Datenarten

Im Rahmen der Nutzung von Email und Internet durch Mitarbeiter der TUHH werden Verbindungs- und Nutzungsdaten protokolliert. Hierzu zählt auch die IP-Adresse des Rechners von dem eine Internetverbindung hergestellt wird - ein Datum, zu dem sich in der Regel ein Personenbezug herstellen lässt.

§ 4

Zweckbestimmung

Log- und Protokolldaten werden im Zusammenhang mit dem Betrieb von Email-Servern und Firewall-Systemen verarbeitet. Die Verarbeitung hat ausschließlich zu folgenden Zwecken zu erfolgen:

• Gewährleistung der Netz- und Systemsicherheit
• Schutz vor Missbrauch
• Analyse und Korrektur technischer Fehler
• Optimierung des Netzes
• statistische Feststellung des Gesamtnutzungsvolumens.

Eine Verarbeitung der Daten zur Verhaltens- oder Leistungskontrolle stellt einen Verstoß gegen datenschutzrechtliche Bestimmungen dar und findet deshalb nicht statt. Ein Verstoß gegen diese Bestimmung kann neben dienst- und arbeitsrechtlichen Folgen auch strafrechtliche Konsequenzen haben.

§ 5

Zugriff

Der Zugriff auf Log- und Protokolldaten ist auf den zuständigen IT-Sicherheits-beauftragten und die Administratoren des Systems zu beschränken. Die IT-Sicherheitsbeauftragten sind gegenüber der Dienststelle (Rechenzentrum) namentlich zu benennen. Die Verantwortung für die Beschränkung des Zugriffs auf die vorstehenden Funktionsträger tragen die Leiterinnen und Leiter der Institute, Arbeitsgruppen und Servicebereiche.

Die Mechanismen zur Erkennung von Anomalien und Unregelmäßigkeiten, z.B. das Auftreten deutlich erhöhter Anzahl der Netzzugriffe oder übertragener Datenvolumina, sind weitestgehend zu automatisieren.

Der Zugriff auf Protokolldaten ist auf das Vorliegen folgender Fälle zu beschränken:

• Verdacht oder ein Hinweis auf Missbrauch,
• Anomalien, die bei einer automatisierten Auswertung der Protokolldaten auftreten,
• Fehler beim Systembetrieb.

§ 6

Löschfristen

Die Aufbewahrungsfrist der Log- und Protokolldaten beträgt für Email-Server maximal 30 Tage und für Firewalls maximal 7 Tage (zuzüglich jeweils weitere 14 Tage im Backup), soweit nicht gesetzliche Regelungen, z.B. des Telekommunikationsgesetzes, oder behördliche Auflagen andere Fristen erfordern. Die Daten sind nach Ablauf der Frist in einem automatisierten Verfahren vollständig zu löschen. Ausnahmen bedürfen einer besonderen Begründung, die vom zuständigen Datenschutzbeauftragten geprüft und als ausreichend erachtet wird.

§ 7

Schulungen

Die Dienststelle bietet regelmäßig Schulungen für IT-Sicherheitsbeauftragte und Systemadministratoren an. Die Schulungen sind verpflichtend. Die IT-Sicherheitsbeauftragten müssen die Schulung vor Übernahme ihrer Aufgabe absolviert haben. Die Systemadministratoren sollen die Schulung vor Übernahme ihrer Aufgabe absolviert haben; wenn dies aus praktischen Gründen nicht möglich ist, so ist die Teilnahme an der zeitlich ersten Schulung nach Übernahme der Aufgabe verpflichtend.

Prof. Dr.-Ing. habil. E. Kreuzer

Präsident