TLS-Inspection, Web-Filtering und der Betriebsrat: rechtssicher konfigurieren statt heimlich überwachen

TLS-Inspection und Betriebsrat, Web-Filter und Mitbestimmung — das Thema, um das in vielen IT-Projekten alle einen großen Bogen machen, bis es das Projekt aufhält. Die Kurzantwort vorab: Ja, Web-Filtering und TLS-Inspection sind technisch Überwachungseinrichtungen im Sinne der Mitbestimmung — nicht weil jemand überwachen will, sondern weil die Rechtsprechung auf die objektive Eignung abstellt, und die ist bei einem System, das Benutzernamen und besuchte Ziele kennt, schlicht gegeben. Die gute Nachricht steckt in der zweiten Hälfte des Satzes: Mitbestimmung heißt nicht Verhinderung. Wer den Betriebsrat früh einbindet, die Sichtbarkeit der Technik ehrlich erklärt und die Konfiguration datensparsam aufsetzt, bekommt beides — Sicherheit und Rechtsfrieden, meist schneller als der Kollege, der es heimlich versucht. Dieser Artikel liefert den kompletten Fahrplan: die Rechtslage in verständlich, die ehrliche Sichtbarkeits-Analyse, die datensparsamen Stellschrauben der XGS, die Bausteine der Betriebsvereinbarung, die Privatnutzungs-Weiche und das Stufenmodell für Auswertungen. Wie immer bei den Compliance-Themen gilt: Praxiswissen aus Projekten, keine Rechtsberatung — für die Vereinbarung selbst gehören Fachanwalt oder erfahrene Berater an den Tisch.

Warum die Firewall den Betriebsrat etwas angeht (§ 87 BetrVG)

Die Rechtsgrundlage ist kurz und hat es in sich: Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz bestimmt der Betriebsrat mit bei »Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen«. Der Satz, an dem sich alles entscheidet, ist das »dazu bestimmt« — und den hat die Rechtsprechung seit Jahrzehnten eindeutig ausgelegt: Es kommt nicht auf die Absicht des Arbeitgebers an, sondern auf die objektive Eignung der Einrichtung. Niemand kauft eine XGS, um Mitarbeiter zu überwachen — aber ein System, das protokollieren kann, welcher Benutzer wann welche Webseiten besucht hat, ist objektiv zur Verhaltenskontrolle geeignet, Punkt. Damit sind Web-Filter, TLS-Inspection und benutzerbezogene Protokollierung mitbestimmungspflichtig — die Einführung wie die spätere Änderung der Auswertungsmöglichkeiten. Wichtig ist die Einordnung: Der Betriebsrat bestimmt über das Wie mit, nicht über das Ob der IT-Sicherheit — sein legitimes Feld sind Logging-Tiefe, Auswertungsregeln und Schutzmechanismen. Klug angegangen ist die Mitbestimmung deshalb kein Hindernis, sondern der Weg zu einer Konfiguration, die hinterher niemand mehr anzweifelt.

Was TLS-Inspection technisch sichtbar macht — ehrlich erklärt

Der wichtigste Baustein für jedes Betriebsrats-Gespräch ist verblüffenderweise Ehrlichkeit — und zwar die präzise Sorte, wie die Sichtbarkeits-Skizze sie aufbaut. Ebene 1: Auch ganz ohne Entschlüsselung sieht die Firewall Metadaten — Ziel-Domain, Web-Kategorie, Volumen, Zeitstempel, und je nach Regelwerk den Benutzer; schon das ist mitbestimmungsrelevant, und wer das kleinredet, verliert Vertrauen in Minute eins. Ebene 2: Mit aktiver TLS-Inspection kann die Technik grundsätzlich fast alles sehen — vollständige URLs samt Suchbegriffen, Inhalte und Downloads während der Prüfung; die ehrliche und zugleich entlastende Erklärung dazu: Die Entschlüsselung geschieht zur Schadcode- und Richtlinienprüfung im Arbeitsspeicher der Engine, Inhalte werden geprüft und verworfen — gespeichert wird davon nichts, es sei denn, jemand konfiguriert es. Womit Ebene 3 erreicht ist, die entscheidende: Was tatsächlich protokolliert wird, ist reine Konfigurationssache — nur Blockierungen oder aller Verkehr, Kategorie oder volle URL, personenbezogen oder aggregiert, welche Frist ([LINK: C2]). Genau diese Stellschrauben sind der Verhandlungsraum der Betriebsvereinbarung. Wer dem Betriebsrat diese drei Ebenen sauber auseinanderlegt — kann sehen, prüft flüchtig, schreibt konfigurierbar auf —, hat aus einem Angstthema eine gestaltbare Sachfrage gemacht; die technischen Grundlagen der Betriebsmodi liefert bei Bedarf [LINK: A6].

Skizze 1: Drei Ebenen — immer sichtbare Metadaten, technisch Sichtbares im Prüfspeicher, tatsächlich Protokolliertes per Konfiguration. Ebene 3 ist der Verhandlungsraum.

Datensparsame Konfiguration: Kategorien statt Einzelprotokolle

Aus der Ebenen-Logik folgt das Konfigurationsprogramm, und sein Leitsatz lautet: so viel Sichtbarkeit wie für die Sicherheit nötig, so wenig Personenbezug wie möglich — Datensparsamkeit ist hier kein Zugeständnis an den Betriebsrat, sondern schlicht gutes Design, das nebenbei die DSGVO-Seite entlastet. Die Stellschrauben auf der XGS, die die Tabelle bewertet: das Protokollieren auf Blockierungen und Sicherheitsereignisse konzentrieren statt jeden erlaubten Klick mitzuschreiben (dieselbe Regel, die schon die SIEM-Kosten senkt); in Berichten und Auswertungen mit Web-Kategorien arbeiten statt mit vollen URLs — »Kategorie Glücksspiel, 47 Zugriffe« sagt der Sicherheit alles und über den Einzelnen wenig; Standardberichte aggregiert statt benutzerbezogen aufsetzen, sodass der Alltag ohne Namen auskommt; sensible Kategorien — Gesundheit, Banken, Religion, Rechtsberatung — konsequent von der Inspection UND vom Detail-Logging ausnehmen (die Ausnahmen-Mechanik dafür liefert [LINK: A7]); und die Aufbewahrung nach dem Fristen-Korridor des Nachbar-Artikels begrenzen. Das Ergebnis dieser Konfiguration ist verhandlungstaktisch Gold wert: Wer dem Betriebsrat nicht das Maximum vorlegt und sich herunterhandeln lässt, sondern von sich aus die datensparsame Variante präsentiert, verhandelt über Details statt über Grundsatzfragen.

Die Betriebsvereinbarung: Bausteine und Musterinhalte

Die Betriebsvereinbarung ist das Dokument, das aus der Konfiguration Rechtsfrieden macht — und sie ist kein Hexenwerk, sondern eine strukturierte Abarbeitung von zehn Bausteinen, die die Tabelle unten mit Musterinhalten füllt: Zweck und Geltungsbereich (Sicherheit, nicht Kontrolle — ausdrücklich), eine ehrliche Systembeschreibung entlang der drei Sichtbarkeits-Ebenen, die Privatnutzungs-Regel (das nächste Kapitel), der abschließende Protokollierungsumfang samt Fristen, das Zugriffskonzept mit Rollen, der Anlass-Prozess für benutzerbezogene Auswertungen mit Beteiligung und Vier-Augen-Prinzip, ein ausdrückliches Verwertungsverbot für Erkenntnisse außerhalb dieses Prozesses, die Information der Belegschaft, die Beteiligung bei Änderungen — und eine Evaluationsklausel, die nach sechs bis zwölf Monaten den gemeinsamen Rückblick verabredet. Der Beteiligungsfahrplan in der Skizze zeigt den Weg dorthin, und seine wichtigste Regel steht am Anfang: Betriebsrat und Datenschutzbeauftragter kommen vor der Beschaffung an den Tisch, nicht nach der Aktivierung — die Reihenfolge entscheidet zwischen sechs Wochen und acht Monaten, wie die Praxis-Geschichte belegt.

Skizze 2: Konzept mit DSB, frühe BR-Information, gemeinsame Ausgestaltung, Abschluss vor Aktivierung, Belegschafts-Info, Evaluation — die Reihenfolge ist die halbe Miete.

Private Nutzung erlaubt oder verboten — die Weichenstellung

Keine einzelne Entscheidung prägt die Rechtslage der Protokollierung so stark wie die Privatnutzungs-Frage — die Skizze stellt die Weiche mit ihren Konfigurationskonsequenzen dar. Variante eins, Verbot: Die Logs enthalten dann (fast) nur dienstliche Nutzung, der Auswertungsspielraum für Sicherheitszwecke ist am größten — aber das Verbot muss gelebt und maßvoll kontrolliert werden, denn ein Papierverbot bei jahrelang geduldeter Realität kippt in die Duldung. Variante zwei, Erlaubnis mit klaren Regeln: ehrlicher gegenüber der Lebenswirklichkeit, aber mit Konsequenzen — private Kommunikation landet in den Logs, und deren Schutzniveau steigt massiv; der Faktenkasten führt aus, wie drastisch das die Auswertung einschränkt. Variante drei, die stillschweigende Duldung, ist die schlechteste aller Welten: Sie wirkt nach Jahren wie eine konkludente Erlaubnis, bringt also deren Einschränkungen mit — nur ohne deren klare Regeln; wer hier steht, regelt nach, in die eine oder andere Richtung. Und für beide sauberen Varianten gibt es das entspannende Ventil: ein Gastnetz-WLAN für private Geräte — ohne Inspection, ohne Benutzer-Logging, getrennt vom Firmennetz. Damit verliert das Verbot seine soziale Härte (Privates läuft übers eigene Smartphone) und die Erlaubnis ihre Log-Probleme — eine Investition von einem Nachmittag, die in BV-Verhandlungen regelmäßig den Knoten löst.

Skizze 3: Verboten, erlaubt oder geduldet — jede Weiche hat Konfigurationsfolgen, und das Gastnetz ist das Ventil, das beide sauberen Varianten leichter macht.

Auswertungen: anlassbezogen statt anlasslos

Bleibt der Betrieb — und für den gilt ein Stufenmodell, das die Betriebsvereinbarung festschreibt und das die berüchtigte Müller-Anfrage aus dem Nachbar-Artikel ([LINK: C2]) geordnet beantwortet. Stufe eins, der Alltag: anlasslose Auswertungen nur aggregiert und ohne Personenbezug — Kategorien-Trends, Blockierungs-Statistiken, Sicherheitslage; damit arbeitet die IT täglich, ohne dass je ein Name fällt. Stufe zwei, die technische Auffälligkeit: Schlägt ein Sicherheitsereignis an — Malware-Kontakt, Datenabfluss-Verdacht, kompromittiertes Konto —, wird zunächst technisch untersucht: Gerät, Verbindung, Indikatoren; die Person interessiert erst, wenn die Technik nicht reicht. Stufe drei, der dokumentierte Verdacht: Erst bei konkretem, schriftlich festgehaltenem Verdacht auf eine schwerwiegende Pflichtverletzung öffnet sich die benutzerbezogene Auswertung — über den Anlass-Prozess: schriftlicher Auftrag, DSB-Beteiligung, BR-Beteiligung gemäß Vereinbarung, Vier-Augen-Prinzip, sachlich und zeitlich begrenzt, Ergebnis dokumentiert. Diese Disziplin ist handfester Eigenschutz: Die Arbeitsgerichte belegen Erkenntnisse aus unverhältnismäßiger oder verdeckter Überwachung wiederholt mit Verwertungsproblemen — der formell saubere Weg ist der einzige, der im Ernstfall vor Gericht trägt. Anlasslos wandert niemand durch fremde Surf-Historien; anlassbezogen steht der Weg offen und hält. Diese Balance ist das Versprechen der Betriebsvereinbarung — an beide Seiten.

FAQ — häufige Fragen zu Web-Filter, TLS-Inspection und Mitbestimmung

Muss der Betriebsrat der TLS-Inspection zustimmen?

Ja — die Einführung und Anwendung unterliegt der zwingenden Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, denn maßgeblich ist nicht die Absicht, sondern die objektive Eignung zur Verhaltenskontrolle, und die ist bei einem System mit Benutzer- und Zielprotokollierung gegeben. Praktisch heißt das: Vor der Aktivierung braucht es eine Regelung mit dem Betriebsrat — üblicherweise eine Betriebsvereinbarung, die Protokollierungsumfang, Zugriffe und Auswertungsregeln festschreibt; ohne sie kann der Betriebsrat die Unterlassung verlangen, notfalls gerichtlich. Drei Präzisierungen: Die Mitbestimmung gilt dem Wie, nicht dem Ob — der Betriebsrat kann die Netzsicherheit nicht verhindern, wohl aber ihre Ausgestaltung mitbestimmen; bei Dissens entscheidet die Einigungsstelle. Sie erfasst auch spätere Änderungen der Logging-Tiefe und Auswertungen. Und Bestandsschutz für heimlich Eingeführtes gibt es nicht — »läuft doch schon« ist keine Rechtsposition, sondern ein Risiko. Die gute Nachricht zum Schluss: Mit ehrlicher Sichtbarkeits-Darstellung und datensparsamer Vorzugsvariante ist die Zustimmung in der Praxis gut erreichbar — die Konflikte entstehen fast immer am Vorgehen, selten an der Technik.

Darf ich sehen, welche Webseiten ein Mitarbeiter besucht?

Technisch könnten Sie — genau deshalb ist die Frage falsch gestellt; richtig lautet sie: Unter welchen Voraussetzungen dürfen Sie? Und darauf antwortet das Stufenmodell. Im Regelbetrieb: nein — anlasslose Einsicht in das Surfverhalten einzelner Mitarbeiter ist Zweckentfremdung der Sicherheitsprotokollierung, verletzt die Zweckbindung und je nach Lage die Betriebsvereinbarung, und sie beschädigt bei Bekanntwerden das Vertrauen nachhaltiger als jeder Vorfall. Bei technischen Auffälligkeiten: zunächst weiterhin nein auf Personenebene — untersucht wird das Sicherheitsereignis (Gerät, Verbindung, Indikatoren), nicht der Mensch. Erst bei konkretem, dokumentiertem Verdacht auf eine schwerwiegende Pflichtverletzung: ja, über den Anlass-Prozess — schriftlicher Auftrag, Beteiligung von Datenschutzbeauftragtem und Betriebsrat gemäß Vereinbarung, Vier-Augen-Prinzip, sachlich und zeitlich begrenzte Auswertung, dokumentiertes Ergebnis. Diese Ordnung schützt beide Seiten: den Mitarbeiter vor anlassloser Neugier — und den Arbeitgeber davor, dass eine berechtigte Auswertung an Formfehlern scheitert. Für die konkrete Anfrage aus der Führungsebene: Der Warn-Kasten im C2-Artikel behandelt genau diese Situation.

Was gehört in eine Betriebsvereinbarung zur Firewall?

Zehn Bausteine, die die Tabelle im Artikel mit Musterinhalten füllt — hier die Logik dahinter: Zweck und Geltungsbereich stellen klar, dass es um Sicherheit geht und ausdrücklich nicht um Leistungs- oder Verhaltenskontrolle. Die Systembeschreibung erklärt ehrlich entlang der drei Sichtbarkeits-Ebenen, was die Technik sehen kann, was sie flüchtig prüft und was tatsächlich protokolliert wird — dieses Kapitel entscheidet über das Vertrauensklima der ganzen Vereinbarung. Die Privatnutzungs-Regel stellt die Weiche mit allen Konfigurationsfolgen. Protokollierungsumfang und Fristen werden abschließend gelistet (der C2-Korridor liefert die Werte), das Zugriffskonzept regelt Rollen und protokollierte Zugriffe, der Anlass-Prozess definiert den einzigen Weg zur benutzerbezogenen Auswertung — mit schriftlichem Auftrag, DSB- und BR-Beteiligung und Vier-Augen-Prinzip. Das Verwertungsverbot nimmt Erkenntnissen außerhalb dieses Prozesses die Verwendbarkeit, die Belegschafts-Information schafft Transparenz vor der Aktivierung, die Änderungsklausel sichert die Beteiligung bei Erweiterungen, und die Evaluationsklausel verabredet den gemeinsamen Rückblick nach sechs bis zwölf Monaten. Wichtig fürs Format: konkret statt abstrakt — »protokolliert werden Blockierungen mit Kategorie, 90 Tage« ist eine Regelung; »angemessene Protokollierung« ist ein künftiger Streit.

Ändert erlaubte Privatnutzung die Rechtslage?

Deutlich — sie ist die folgenreichste Einzelentscheidung des ganzen Themas. Mit der Erlaubnis (oder einer langjährigen Duldung, die wie eine wirkt) landet zwangsläufig private Kommunikation und private Lebensführung in den Protokollen, und deren Schutzniveau liegt erheblich über dem rein dienstlicher Daten: Detail-Auswertungen des Surfverhaltens scheiden im Regelbetrieb aus, sensible Kategorien gehören zwingend aus Inspection und Detail-Logging, die Fristen an den unteren Korridor-Rand, und jede anlassbezogene Auswertung braucht die volle Prozessstrecke. Die historisch diskutierte Fernmeldegeheimnis-Frage hat die neuere arbeitsgerichtliche Linie entschärft — aber ein Konzept, das nur bei günstigem Ausgang dieser Frage funktioniert, ist kein gutes Konzept. Die pragmatischen Konsequenzen: Erstens die Weiche bewusst stellen und in der Betriebsvereinbarung dokumentieren — Duldung ist die schlechteste aller Welten, weil sie die Einschränkungen der Erlaubnis ohne deren Klarheit bringt. Zweitens das Gastnetz-Ventil bauen: Privates auf privaten Geräten im getrennten WLAN ohne Inspection und Benutzer-Logging — damit wird das Verbot sozialverträglich und die Erlaubnis log-technisch entspannt. Drittens bei erlaubter Nutzung die datensparsame Konfiguration nicht als Option, sondern als Pflicht begreifen.

Dürfen Bank- und Gesundheitsseiten inspiziert werden?

Die kurze Antwort für die Praxis: Sie sollten nicht — und zwar unabhängig davon, wie die Privatnutzungs-Weiche steht. Die Begründung läuft über zwei Schienen: Datenschutzrechtlich berühren Aufrufe von Gesundheits-, Banken-, Religions- oder Rechtsberatungsseiten besonders geschützte Lebensbereiche — die Surf-Historie kann hier Rückschlüsse zulassen, die weit über das Arbeitsverhältnis hinausgehen, und schon das Detail-Logging solcher Aufrufe ist heikel, die inhaltliche Entschlüsselung erst recht. Technisch kommt dazu: Gerade Banken-Anwendungen reagieren empfindlich auf aufgebrochene Zertifikatsketten — Certificate Pinning und strenge Client-Prüfungen produzieren Fehlfunktionen, die dann als Support-Tickets zurückkommen. Die Lösung ist auf der XGS erfreulich einfach und gehört zum Standard-Repertoire der Ausnahmen-Konfiguration: Die einschlägigen Web-Kategorien (Finanzen/Banking, Gesundheit, Religion, Rechtsberatung — je nach Kategorienkatalog) werden von der TLS-Inspection ausgenommen und vom Detail-Logging ebenso; der Reputations- und Malware-Schutz auf Metadaten-Ebene bleibt dabei aktiv, die Sicherheitseinbuße ist minimal. In der Betriebsvereinbarung ist genau diese Ausnahmenliste ein Vertrauensbaustein erster Güte — sie zeigt konkret, dass die Grenze zwischen Sicherheitsprüfung und Privatsphäre technisch gezogen wurde, nicht nur versprochen.

Was tun bei konkretem Missbrauchsverdacht?

Den vorbereiteten Anlass-Prozess starten — und keinesfalls improvisieren, denn hier entscheidet die Form über die Verwertbarkeit. Die Schritte: Erstens den Verdacht dokumentieren — konkret, mit Anhaltspunkten, schriftlich; »der surft bestimmt privat« ist kein Anlass, ein dokumentierter Hinweis auf Datenabfluss oder schwerwiegende Pflichtverletzung schon. Zweitens den Prozess gemäß Betriebsvereinbarung auslösen: schriftlicher Auswertungsauftrag mit definiertem Zweck und Zeitraum, Beteiligung des Datenschutzbeauftragten, Beteiligung des Betriebsrats nach Vereinbarung, Durchführung im Vier-Augen-Prinzip. Drittens verhältnismäßig auswerten: sachlich und zeitlich begrenzt auf das, was der Verdacht trägt — keine Komplett-Historie »wenn wir schon mal dabei sind«. Viertens das Ergebnis dokumentieren — auch ein entlastendes; danach greifen die normalen Fristen wieder, vorfallsbezogene Sicherungen laufen bis zum Abschluss. Fünftens bei arbeitsrechtlichen Konsequenzen früh den Fachanwalt einbinden — formell sauber erhobene Erkenntnisse sind vor Gericht ungleich mehr wert als die schnelle heimliche Auswertung mit Verwertungsproblem. Merksatz: Der geordnete Weg ist nicht der langsame — er ist der einzige, der ankommt.

Fazit: Rechtsfrieden ist eine Konfigurationsoption

Das vermeintliche Konfliktthema entpuppt sich bei richtiger Reihenfolge als lösbare Gestaltungsaufgabe: Die Mitbestimmung ist keine Hürde vor der Sicherheit, sondern der Rahmen, in dem ihre Ausgestaltung verbindlich wird. Die Zutaten sind benannt — die ehrliche Drei-Ebenen-Darstellung dessen, was die Technik kann, prüft und aufschreibt; die datensparsame Vorzugsvariante mit Kategorien statt URLs, aggregierten Berichten und geschützten sensiblen Lebensbereichen; die bewusst gestellte Privatnutzungs-Weiche mit dem Gastnetz als Ventil; die Betriebsvereinbarung aus zehn konkreten Bausteinen; und das Stufenmodell, das anlasslose Neugier ausschließt und den anlassbezogenen Weg gerichtsfest offenhält. Wer so vorgeht, bekommt beides: eine Inspection, die Schadcode aus verschlüsselten Verbindungen fischt — und eine Belegschaft samt Betriebsrat, die weiß, dass dabei niemand mitliest. Sicherheit und Rechtsfrieden sind keine Gegensätze. Sie sind dieselbe saubere Konfiguration, einmal technisch und einmal sozial betrachtet.

Von hier aus weiter im Cluster: Das Gesamtbild der XGS in Microsoft-Umgebungen zeichnet der Pillar-Artikel [LINK: Pillar]. Personenbezug, Fristen und Löschkonzept der Protokollierung vertieft [LINK: C2] — die datenschutzrechtliche Grundlage dieser Vereinbarung. Die Betriebsmodi des Web-Filters samt ihrer Authentifizierungs- und Zertifikatsfragen erklärt [LINK: A6]. Und das Ausnahmen-Handwerk der TLS-Inspection — von M365 bis zu den sensiblen Kategorien — liefert [LINK: A7].