Regelungen über Überwachungswerkzeuge

Die Überwachungswerkzeuge von M365 lassen sich in den meisten Fällen nicht „wegkonfigurieren“; allenfalls die Speicherdauer lässt sich teilweise beeinflussen. In einer Betriebsvereinbarung sollte deshalb klargestellt werden, für welche Zwecke ein direkter Zugriff auf die entsprechenden Daten zugelassen werden kann. Allerdings bedient sich zum Beispiel auch Graph mit den Elementeinblicken einiger dieser Protokolle, sodass eine vollständige Klärung aller Dienste und Funktionen, die aus den unterschiedlichen Protokollen bedient werden, in einer Betriebsvereinbarung nicht gelingen dürfte und ohnehin schnell veralten würde.

Was sich in einer Betriebsvereinbarung dagegen regeln lässt, ist, dass ein Zugriff auf die Protokolle selbst nur für einen eng bestimmten Katalog von Zwecken zugelassen wird: die Suche nach und Beseitigung von technischen Fehlern und Problemen, die Detektierung und Dokumentation von Angriffen durch Schadsoftware und andere illegale Handlungen sowie forensische Untersuchungen im Falle von Schädigungen oder Straftaten.

Die Administration selbst erfolgt vor allem über webbasierte Software, ergänzt um ein Befehlszeilensystem namens PowerShell für speziellere Funktionen. Es gibt eine Reihe unterschiedlicher Admin-Rollen, die umfassendsten Rechte hat der „globale Admin“. Der Administrator legt für alle Benutzerinnen und Benutzer fest, welche Dienste und Apps sie in welcher Weise nutzen können, weist Lizenzen zu und kann innerhalb der Lizenzen Nutzungsmöglichkeiten einschränken. Interessant ist in diesem Zusammenhang die Rolle „Global Reader“ – der Betriebsrat kann versuchen, diese Rolle für sich selbst zu beanspruchen, um sich einen eigenen, lesenden Überblick über die Einstellungen zu verschaffen.