Sitzungen externer Dienstleister aufzeichnen: Auditing mit Apache Guacamole
Aufzeichnen ist technisch schnell aktiviert. Die eigentlichen Fragen kommen danach: Wo liegen die Mitschnitte, wer darf sie ansehen, wie lange werden sie aufbewahrt – und was steht darin, das dort besser nicht stünde? Dieser Beitrag geht die Punkte der Reihe nach durch.
Das Wichtigste in Kürze
- Guacamole kann grafische Sitzungen und Terminalsitzungen aufzeichnen und die Mitschnitte später im Browser abspielen.
- Werden Tastatureingaben mitgeschnitten, stehen darin auch eingetippte Kennwörter. Die Mitschnitte sind damit selbst schützenswerte Daten.
- Ein tragfähiges Auditing regelt vorher, wer Aufnahmen ansehen darf, wie lange sie liegen und wer wann darüber informiert wird.
Was ein Zugangsportal wie Apache Guacamole grundsätzlich leistet und warum es externe Zugriffe nachvollziehbar macht, steht in Fernwartung im Browser. Dort haben wir die Aufzeichnung als den eigentlichen Grund für den Aufbau genannt. Dieser Beitrag geht in die Tiefe: wie die Aufzeichnung funktioniert und was dabei zu entscheiden ist.
Der Anlass ist meist konkret. Ein Dienstleister hat an einem System gearbeitet, danach funktioniert etwas nicht mehr, und niemand kann sagen, was geändert wurde. Oder ein Prüfer, ein Versicherer oder ein Kunde fragt, wie externe Zugriffe kontrolliert werden. In beiden Fällen hilft eine Aufzeichnung – wenn sie richtig aufgesetzt ist.
Was aufgezeichnet werden kann
| Art | Inhalt | Auswertung |
|---|---|---|
| Grafische Aufzeichnung | Bildschirminhalt einer RDP-, VNC- oder SSH-Sitzung | Abspielen im Browser, Umwandlung in ein Video |
| Tastatureingaben | Gedrückte Tasten, als Teil der grafischen Aufzeichnung | Lesbare Auflistung, durchsuchbar |
| Terminal-Mitschnitt (SSH) | Vollständiger Text der Sitzung samt Zeitablauf | Nachlesen, gezielt durchsuchen |
Welche Aufzeichnung aktiv ist, wird je Verbindung festgelegt. Die grafische Aufzeichnung
wird in einem Verzeichnis auf dem Guacamole-Server abgelegt; über eine Erweiterung lassen
sich die Aufnahmen direkt aus dem Verlauf der Verwaltungsoberfläche abspielen. Seit Version
1.6 zeigt die Wiedergabe im Browser auch die mitgeschnittenen Tastatureingaben neben dem
Bild an, sodass man darin suchen kann. Für die Archivierung außerhalb von Guacamole lässt
sich eine Aufzeichnung mit dem mitgelieferten Werkzeug guacenc in ein
Videoformat umwandeln.
Für SSH-Sitzungen gibt es zusätzlich den reinen Textmitschnitt. Er ist klein, schnell zu durchsuchen und für Linux-Systeme oft aussagekräftiger als das Bild: Jeder ausgeführte Befehl und jede Ausgabe steht darin.
Das heikle Detail: Tastatureingaben
Tastatureingaben mitzuschneiden, klingt nach der vollständigsten Form der Nachvollziehbarkeit. Es hat eine Kehrseite, die man vorher kennen muss: Alles, was getippt wird, steht darin – auch Kennwörter. Meldet sich ein Dienstleister innerhalb der Sitzung an einer Anwendung an oder tippt ein Datenbankkennwort, steht es im Klartext in der Aufnahme.
Wer auf die Aufnahmen zugreifen kann, kann darin unter Umständen Kennwörter finden. Das Verzeichnis mit den Mitschnitten gehört deshalb genauso geschützt wie ein Kennwortspeicher: wenige Berechtigte, kein Zugriff aus dem normalen Arbeitsnetz, keine Kopien in allgemeinen Freigaben. Wo es geht, sollten Zugangsdaten für Zielsysteme im Portal hinterlegt sein, damit sie gar nicht erst getippt werden.
Ob Tastatureingaben aufgezeichnet werden sollen, ist deshalb eine bewusste Abwägung: Für Verwaltungszugänge auf kritische Systeme durch Externe spricht viel dafür. Für den Routinezugriff eines Softwareherstellers auf seine eigene Anwendung genügt oft das Bild.
Speicherort und Aufbewahrung
Grafische Aufzeichnungen wachsen mit der Dauer und dem Bildinhalt einer Sitzung. Bei gelegentlichen Fernwartungen bleibt das überschaubar, bei häufigen langen Sitzungen nicht. Drei Festlegungen gehören vor den Start:
- Wo liegen die Aufnahmen? Auf einem eigenen Datenträger oder Speicherort, der nicht vollläuft, wenn einmal viel aufgezeichnet wird – ein volles Dateisystem legt sonst das Portal lahm.
- Wie lange werden sie aufbewahrt? So lange, wie sie für den Zweck nötig sind, und nicht länger. Für die Frage „Was hat der Dienstleister letzte Woche geändert?“ genügen wenige Monate. Eine unbegrenzte Aufbewahrung ist datenschutzrechtlich kaum zu begründen.
- Wer darf sie ansehen? Namentlich festgelegt, mit Protokoll über den Zugriff. Wer die Aufnahmen verwaltet, sollte nicht dieselbe Person sein, deren Arbeit aufgezeichnet wird.
Vorher klären, nicht nachher
Eine Aufzeichnung verarbeitet personenbezogene Daten – die der Person, die in der Sitzung arbeitet. Das ist bei externen Dienstleistern in aller Regel gut begründbar, verlangt aber Klarheit:
- Der Dienstleister wird vorher informiert, idealerweise im Vertrag oder in der Beauftragung.
- Zweck, Umfang und Aufbewahrungsdauer sind schriftlich festgelegt.
- Sind eigene Beschäftigte betroffen, gehören Datenschutzbeauftragter und – wo vorhanden – Betriebsrat vorher an den Tisch.
Das ist keine Rechtsberatung, sondern die Reihenfolge, die sich bewährt hat. Die Einzelheiten klären Sie mit Ihrem Datenschutzbeauftragten.
Wie ausgewertet wird
Niemand sieht sich jede Aufzeichnung an, und das ist auch nicht der Zweck. Bewährt haben sich zwei Anlässe: Stichproben in festen Abständen – etwa eine Sitzung je Dienstleister im Quartal – und die gezielte Durchsicht, wenn nach einem Einsatz etwas nicht stimmt. Allein das Wissen, dass aufgezeichnet wird, verändert erfahrungsgemäß die Sorgfalt, mit der gearbeitet wird.
Wo Aufzeichnung nicht hilft
- Bei Zugriffen am Portal vorbei. Eine Aufzeichnung erfasst nur, was durch Guacamole läuft. Bestehen daneben noch alte VPN-Zugänge oder Fernwartungsprogramme, sind diese blind. Das Portal muss der einzige Weg sein.
- Als Echtzeit-Schutz. Eine Aufzeichnung dokumentiert, sie verhindert nichts. Wer Eingriffe live begleiten will, nutzt die Möglichkeit, eine Sitzung gemeinsam zu sehen.
- Ohne abgesichertes Portal. Wie Guacamole selbst mit zweitem Faktor und zentraler Anmeldung geschützt wird, steht in Guacamole mit Keycloak oder Entra ID absichern.
Fazit
Die Aufzeichnung externer Sitzungen ist mit Guacamole schnell eingeschaltet. Tragfähig wird sie durch die Festlegungen drumherum: welche Art der Aufzeichnung für welche Verbindung, wie die Mitschnitte gegen unbefugten Zugriff geschützt sind – gerade wegen der darin enthaltenen Tastatureingaben –, wie lange sie liegen, und wer vorher informiert wurde. Wer das geregelt hat, kann auf die Frage nach der Kontrolle externer Zugriffe eine klare Antwort geben.
Wir richten solche Portale samt Aufzeichnung ein und übernehmen auf Wunsch den Betrieb – siehe Netzwerk & IT-Sicherheit und Managed Services.
