Wer zusieht, wird gesehen

Fernwartung beginnt mit einem Satz, der harmlos klingt: „Darf ich kurz drauf?" Was danach passiert, ist der weitreichendste Zugriff, den der IT-Betrieb kennt. Wer einen Bildschirm übernimmt, sieht das geöffnete Postfach, das private Fenster daneben und die Nachricht, die genau jetzt aufpoppt.

Deshalb ist Bildschirmfernsteuerung mitbestimmungspflichtig. Der Grund dafür ist feiner, als er auf den ersten Blick wirkt.

Das Gesetz sagt „bestimmt", angewandt wird „geeignet"

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei technischen Einrichtungen, „die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". Wer den Wortlaut liest, hört eine Absicht heraus: dazu bestimmt, also gewollt.

So wird die Vorschrift nicht angewandt. Seit dem Produktograph-Beschluss von 1975 stellt das Bundesarbeitsgericht auf die objektive Eignung ab. Eine Einrichtung ist „dazu bestimmt", wenn sie Verhaltens- oder Leistungsdaten erheben kann, unabhängig davon, ob jemand das vorhat und ob die Funktion je benutzt wird. 2022 hat das Gericht denselben Maßstab an Microsoft 365 angelegt.

Für Fernwartung heißt das: Die Mitbestimmung hängt nicht daran, was Sie damit tun. Sie hängt daran, was das Werkzeug kann.

Deshalb ist das Modul ab Werk aus

Das Fernwartungsmodul startet nicht im Betrieb, sondern gesperrt. Es lässt sich erst einschalten, wenn die Rechtsgrundlage bestätigt ist: der Text dazu, die Referenz auf die Betriebsvereinbarung, die zugehörige Verarbeitungstätigkeit und die Löschfrist. Voreingestellt sind drei Jahre für die Sitzungsdaten und neunzig Tage für Aufzeichnungen.

Ein Werkzeug, das erst nach der Betriebsvereinbarung anläuft, erspart die unangenehmste Variante dieses Gesprächs: die, in der es längst läuft.

Eine Sitzung ist ein Vorgang, keine Verbindung

Der Zugriff wird beantragt, nicht aufgebaut. Zum Antrag gehören der Zweck und das Ticket, aus dem er stammt. Freigegeben wird im Vier-Augen-Prinzip, mit Kommentar. Die Sitzung bekommt ein Zeitfenster und endet damit von selbst. Die Kanäle sind einzeln aufgeführt: Beantragt wird, was gebraucht wird, freigegeben wird, was erlaubt ist, und beides steht getrennt in den Daten.

Für den Notfall gibt es einen eigenen Weg, und er ist bewusst nicht bequem: Er verlangt eine Begründung im Klartext und markiert die Sitzung dauerhaft als Notfallzugriff. Nicht verboten, aber sichtbar.

Ein Protokoll, dem man ansieht, wenn etwas fehlt

Jede Sitzung führt ihr eigenes Ereignisprotokoll, fortlaufend nummeriert und über eine Hash-Kette verbunden. Wer daraus nachträglich einen Eintrag entfernt oder ändert, zerreißt die Kette an dieser Stelle. Das Protokoll liegt getrennt vom allgemeinen Änderungsprotokoll, weil die Ereignisdichte eine andere ist: jeder Kanalwechsel, jede Dateiübertragung.

Und der Satz, der das ganze Modul erklärt

Aufzeichnungen sind der heikelste Teil. Nicht ihre Entstehung, sondern das, was danach mit ihnen passiert. Deshalb wird jede Einsichtnahme selbst protokolliert, mit Grund und mit der Person, die sie freigegeben hat. Im Datenmodell steht die Begründung dafür in einem Satz:

Wer Aufzeichnungen unbeobachtet ansehen kann, hat ein Überwachungswerkzeug – genau das, was die Betriebsvereinbarung ausschließen soll.

Diese eine Tabelle prüft sich nicht selbst, denn sie ist der Nachweis.

Was wir ausdrücklich nicht liefern

Die Übertragung. Bild, Tastatur und Dateien laufen weiter über das Werkzeug, das ohnehin im Haus steht, und mehrere gleichzeitig sind der Normalfall: Intune für die Windows-Notebooks, SSH für die Linux-Server, MeshCentral für den Rest. Was fehlt, ist selten die Fernwartung. Was fehlt, ist die Ebene darüber, auf der jemand entscheidet, wer wann worauf und warum.

Mehr auf der Modulseite Fernwartung. Produktbezogene Einordnung, keine Rechtsberatung.