Pinterest soll zwei Ingenieure entlassen haben, nachdem diese Skripte geschrieben hatten, um herauszufinden, welche Mitarbeiter im Zuge einer Entlassungswelle von internen Tools entfernt wurden – und diese Liste anschließend weiterverbreitet hatten. Oberflächlich betrachtet ist dies eine typische Geschichte über einen Skandal am Arbeitsplatz. Doch im Kern ist es eine ungewöhnlich aufschlussreiche Fallstudie darüber, wie moderne Unternehmen tatsächlich funktionieren: Identitätssysteme gelten als unumstößliche Wahrheit, Chat-Plattformen fungieren als faktische Organigramme und „interne Daten“ sind technisch zugänglich, lange bevor dies gesellschaftlich akzeptiert ist.
Der Vorfall ist nicht nur für Pinterest von Bedeutung, sondern betrifft auch andere Bereiche, da ähnliche Systeme in nahezu jedem Technologieunternehmen vorhanden sind: zentralisierte Identitätsverwaltung, Slack oder Teams, HR-Systeme und eine Vielzahl interner Dashboards und APIs. In ruhigen Zeiten macht sich kaum jemand Gedanken über die Grenze zwischen Beobachtbarkeit und Überwachung. Doch wenn es zu Entlassungen kommt, tritt diese Grenze deutlich zutage.
In dieser Erklärung werden wir uns ansehen, was wahrscheinlich passiert ist, warum es verlockend ist, diese Art von Tracking durchzuführen, wo es ethische und politische Grenzen überschreitet und was Organisationen tun können, um sowohl den Schaden für die Privatsphäre als auch den Drang zur Schatteninformationsbeschaffung zu reduzieren.
Was geschah (und was „ein Drehbuch“ hier wahrscheinlich bedeutet)
Laut BBC erklärte Pinterest, dass zwei Ingenieure eigens entwickelte Skripte unrechtmäßig auf vertrauliche Unternehmensinformationen zugegriffen hätten, um die Standorte und Namen aller entlassenen Mitarbeiter zu ermitteln und diese anschließend weiterzugeben. Dies stelle einen Verstoß gegen die Unternehmensrichtlinien und ein Datenschutzproblem für die betroffenen Mitarbeiter dar. Der Bericht beschreibt den Mechanismus außerdem als Überwachung von Mitarbeiternamen, die in einem internen Kommunikationstool wie Slack entfernt oder deaktiviert wurden.
In vielen Unternehmen ist Slack (oder ein ähnlicher Dienst) direkt mit dem Identitätsanbieter (Okta, Azure AD, Google Workspace usw.) verknüpft. Wird ein Konto deaktiviert, hat dies weitreichende Folgen: Zugriffstoken laufen ab, Gruppen ändern sich, und der Benutzer wird in bestimmten Verzeichnissuchen, Kanälen und Integrationen nicht mehr angezeigt. Mit API-Zugriff (auch nur lesend) lässt sich oft allein durch die Erkennung von Statusänderungen feststellen, wer gesperrt wurde.
- Ein Benutzer verschwindet aus der Liste der „aktiven Benutzer“.
- Das Profil eines Benutzers wird deaktiviert.
- Ein Bot kann ihnen keine Direktnachrichten mehr senden.
- Ihre Mitgliedschaft ändert sich je nach Kanal oder Benutzergruppe.
Ein „Skript“ muss in diesem Kontext nicht komplex sein. Es kann aus wenigen Dutzend Codezeilen bestehen, die eine API abfragen, die Benutzerliste von gestern mit der von heute vergleichen und eine Warnung ausgeben. Rein technisch gesehen entspricht es dem Vorgehen, das Entwickler für legitime operative Aufgaben verwenden: den Vergleich zweier Momentaufnahmen, um Änderungen zu erkennen.
Der Unterschied liegt darin, was erfasst wird (Personen), warum es erfasst wird (Entlassungen) und wohin die Ergebnisse fließen (breite Verbreitung).
Warum Mitarbeiter dies bei Entlassungen tun
Es gibt eine unangenehme Wahrheit über Entlassungen: Meist erfahren die Betroffenen die Details erst über inoffizielle Kanäle, bevor die Führungsebene etwas klarstellt. Manchmal liegt das daran, dass die Führungsebene noch keine Einzelheiten preisgeben kann. Manchmal ist „Wir arbeiten noch an den Details“ aber auch nur eine Umschreibung für „Wir wollen dazu nichts sagen“.
Deshalb greifen die Mitarbeiter nach jedem noch so vorhandenen Signal:
- Die Freunde verstummen plötzlich.
- Kalendereinladungen verschwinden.
- Der Zugriff auf die Repositories wurde widerrufen.
- Der Slack-Status ändert sich oder die Person verschwindet aus dem Verzeichnis.
Das Verfolgen dieser Signale kann sich wie Selbstverteidigung anfühlen. Die Menschen wollen wissen:
- Ist mein Team betroffen?
- Wurde mein Manager entlassen?
- Sind meine engsten Mitarbeiter noch hier?
- Ist das Unternehmen in Ordnung oder handelt es sich um eine größere Umstrukturierung?
Diese Motivation ist menschlich und vorhersehbar. Doch auch vorhersehbares Verhalten kann schädlich sein.
Das Datenschutzproblem: Der Kündigungsstatus ist eine sensible Information.
Eine Kündigung ist nicht einfach nur eine „Arbeitsnotiz“. Es handelt sich um sensible persönliche Informationen über den Beschäftigungsstatus einer Person, die oft mit Sozialleistungen, Einwanderung, Krankenversicherung und zukünftigen Berufsaussichten verbunden sind.
Selbst wenn ein Unternehmen eine Personalreduzierung öffentlich ankündigt, werden die Identität der betroffenen Personen und ihre Standorte in der Regel nur dann offengelegt, wenn dies unbedingt erforderlich ist:
- Die Personalabteilung und die Gehaltsabrechnung benötigen Details.
- Die IT-Abteilung muss den Offboarding-Prozess durchführen.
- Rechtliche Erfordernisse zur Sicherstellung der Einhaltung der Vorschriften.
- Führungskräfte müssen direkt mit ihren Teams kommunizieren.
Die breite interne Weitergabe einer Liste ausgeschiedener Mitarbeiter ist etwas anderes. Sie kann:
- Der Betroffene erhält nicht die Möglichkeit, die Erzählung zu kontrollieren.
- Den Aufenthaltsort oder die Teamzugehörigkeit einer Person preisgeben.
- Fördern Sie Gerüchte und Spekulationen („War es eine Performance?“ „War es politisch motiviert?“).
- Das Risiko gezielter Belästigung oder Doxxing außerhalb des Unternehmens wird erhöht.
Die Darstellung von Pinterest – dass das Unternehmen die Privatsphäre ehemaliger Kollegen verletzt habe – ist nicht nur PR. Es handelt sich um einen realen Schaden.
Das Sicherheitsproblem: Zugriffskontrolle ist nicht dasselbe wie Autorisierung.
Viele interne Systeme arbeiten mit groben Berechtigungen: Als Entwickler können Sie beispielsweise ein Verzeichnis abfragen oder eine interne API nutzen. Das bedeutet aber nicht, dass Sie berechtigt sind, diese für jeden Zweck zu verwenden.
Hier haben viele Organisationen Schwierigkeiten. Sie entwickeln interne Tools, die Folgendes leisten:
- Einfach zu bedienen,
- Kraftvoll,
- Schlecht regiert.
Und dann verlassen sie sich primär auf Richtlinien („Tu das nicht“) als Schutzmechanismus. Wenn der Druck hoch ist, versagen reine Richtlinien als Schutzmechanismen.
NIST SP 800-53 ist einer der Standardkataloge, die Unternehmen zur Definition von Kontrollfamilien wie Zugriffskontrolle und Auditierung nutzen. Auch ohne sich in den Details der Kontroll-IDs zu verlieren, lässt sich die Grundidee klar anwenden: Der Datenzugriff sollte eingeschränkt, überwacht und legitimen Geschäftszwecken zugeordnet werden – insbesondere bei sensiblen Datenkategorien.
Anders ausgedrückt: „Sie können das technisch gesehen lesen“ sollte niemals als „Es ist in Ordnung, wenn Sie das lesen“ verstanden werden.
Das kulturelle Problem: Slack ist zum Organigramm geworden.
Die meisten Unternehmen leben heute in zwei parallelen Realitäten:
- Die formale Realität: Personalmanagementsysteme, Berichtswege, offizielle Bekanntmachungen.
- Die gelebte Realität: Slack-Kanäle, Gruppen-Direktnachrichten, GitHub-Erwähnungen, Bereitschaftsdienste im Wechsel.
Wenn sich im formalen System etwas ändert (wie beispielsweise bei der Einstellung von Mitarbeitern), entstehen dadurch sofort sichtbare Auswirkungen im gelebten System. Mitarbeiter interpretieren diese Auswirkungen als Wahrheit – manchmal sogar stärker als die Kommunikation der Führungsebene.
Diese Diskrepanz schafft einen perversen Anreiz:
- Wenn die Führungsebene Ihnen nicht sagt, was vor sich geht,
- Sie werden es aus den etwaigen Telemetrielecks rekonstruieren.
Dieser Vorfall erinnert uns daran, dass „interne Transparenz“ nicht nur eine Kommunikationsstrategie, sondern auch eine Strategie der Informationssicherheit ist. Wenn Menschen das Gefühl haben, die Realität aus durchgesickerten Informationen selbst rekonstruieren zu müssen, werden sie es tun.
Wo die Ingenieure die Grenze überschritten haben
Selbst wenn man nachvollziehen kann, warum jemand ein solches Drehbuch schreiben könnte, gibt es mindestens drei klare Grenzen, die überschritten werden:
1) Zweckbindung
Wenn es sich bei der Datenquelle um „vertrauliche Unternehmensinformationen“ handelt, wird erwartet, dass sie für einen legitimen Geschäftszweck verwendet werden und nicht zur Aufklärung von Entlassungen.
Der Datenschutzrahmen des NIST betont die Bedeutung des Managements von Datenschutzrisiken und der Anwendung von Praktiken zum Schutz von Einzelpersonen. Praktisch bedeutet dies: „Daten sollten nur für spezifische, legitime Zwecke erhoben und verwendet werden; Sekundärnutzungen, die neue Schäden verursachen, sind zu vermeiden.“
Ein Skript zur Identifizierung ausgeschiedener Kollegen ist per Definition ein sekundärer Zweck: Die Offboarding-Signale dienen dem Schutz von Systemen und der Durchführung von HR-Prozessen, nicht der Erstellung einer internen Entlassungsliste.
2) Verstärkung
Verschwinden in Slack wird von den Nutzern ganz von selbst bemerkt – das ist ein subtiler Informationsverlust.
Ein Skript wandelt unbewusste Informationen in einen strukturierten Datensatz um (Namen, Orte, wahrscheinliche Teams, Zeitpunkt der Beendigung). Das ist eine Verstärkung: Das Schadenspotenzial steigt sprunghaft an, wenn aus vagen Signalen eine eindeutige Liste wird.
3) Umverteilung
Die „breitere“ Weitergabe der Ergebnisse macht es schwierig, sie als bloße Neugier zu rechtfertigen. Sie schafft einen neuen Verbreitungskanal für sensible Informationen und macht die Autoren für späteren Missbrauch verantwortlich.
Was Unternehmen tun können: Leckagen reduzieren, Vertrauen stärken und Kontrollen verschärfen.
Es herrscht der Irrglaube, die Lösung sei, „alles abzuriegeln“. In der Praxis braucht es drei sich ergänzende Maßnahmen: Governance, technische Kontrollen und Kommunikation.
1) Behandeln Sie Offboarding-Prozesse als sensibel und achten Sie auf Datenschutz.
Der Austritt aus dem Unternehmen verändert zwangsläufig Systeme, aber man kann den Informationsfluss reduzieren:
- Änderungen im öffentlich zugänglichen Verzeichnis sollten bis zum Zeitpunkt der Kommunikation minimiert werden.
- Vermeiden Sie Massenlöschungen von Benutzern, die leicht zu erkennen sind.
- Erwägen Sie, bestimmte nicht sicherheitskritische Updates um Stunden zu verzögern, damit sie nicht als Echtzeit-Lawdown-Feed fungieren.
Das Ziel ist nicht, die Realität für immer zu verdrängen. Es geht darum, zu vermeiden, ein schmerzhaftes Ereignis in eine Schnitzeljagd zu verwandeln.
2) Fügen Sie zweckbezogene Zugriffskontrollen und Protokollierung hinzu.
Wenn interne APIs Statusänderungen von Mitarbeitern in großem Umfang aufdecken können, dann:
- Der Zugriff sollte auf die Rollen beschränkt werden, die ihn benötigen.
- Massenexporte sollten einer Begründung bedürfen.
- Anfragen sollten mit Angabe der Identität und der Absicht protokolliert werden.
- Automatisierte Umfragen sollten besonders hervorgehoben werden.
Hier kommt die Denkweise der „Überprüfung und Verantwortlichkeit“ ins Spiel: Wenn ein Skript Benutzer auflistet und Warnmeldungen ausgibt, sollte dies eine Erkennung auslösen.
3) Einen humanen Kommunikationsplan für Entlassungen erstellen.
Der größte Faktor für die Schattenverfolgung ist die Unsicherheit.
Unternehmen können den Impuls, interne Tools zu kopieren, verringern, indem sie explizit vorgehen:
- Wann werden die betroffenen Mitarbeiter informiert?
- Wann werden die Teams informiert?
- Was kann geteilt werden und wann?
- Wo können sich die Leute verifizierte Informationen beschaffen?
Wenn die Führungsebene zeitnah konkrete Informationen bereitstellt, sinkt der „Bedarf“ an selbst erstellten Listen.
4) Geben Sie den Mitarbeitern eine offizielle Möglichkeit, die Zusammenarbeit mit anderen Mitarbeitern zu überprüfen.
Das ist subtil, aber wichtig. Die Menschen sind nicht nur neugierig – sie versuchen auch, ihre Arbeit zu koordinieren und sich nach dem Befinden ihrer Freunde zu erkundigen.
Eine einfache, genehmigte Verzeichnisstatusmeldung („Dieses Konto ist nicht mehr aktiv“) ohne Zeitstempel, Ortsangabe oder Listen könnte die grundlegenden Bedürfnisse befriedigen, ohne eine Massenrekonstruktion zu ermöglichen.
Ein allgemeinerer Trend: Entlassungen als Stresstest für die Informationssicherheit
Entlassungen decken Schwächen in der Regierungsführung auf, weil sie Folgendes schaffen:
- eine Häufung heikler Ereignisse
- eine hohe emotionale Temperatur
- und eine hohe Fluktuation beim Zugriff.
Genau dann sieht man Grenzfälle: Mitarbeiter, die Systeme auslesen, Manager, die improvisieren, und Werkzeuge, die auf eine Weise eingesetzt werden, für die niemand sie vorgesehen hat.
Websites wie Layoffs.fyi existieren, weil die Menschen unabhängige Informationen über das Ausmaß der Stellenstreichungen in der Branche benötigen. Innerhalb eines Unternehmens besteht dasselbe Bedürfnis – nur sind die Signale direkter und die Auswirkungen sind persönlicher Natur.
Fazit
Die Entlassung von Ingenieuren durch Pinterest wegen der Skripterstellung zur Nachverfolgung von Entlassungen ist nicht einfach nur ein „Sei nicht neugierig“. Es ist eine Warnung, dass interne Beobachtbarkeit in interne Überwachung umschlagen kann, sobald das Vertrauen in die Organisation schwindet.
Wenn Ihre Tools es leicht machen, aus Kündigungen eine Liste ausgeschiedener Kollegen zu erstellen, werden das Nutzer tun – insbesondere bei Entlassungen. Die Lösung besteht nicht nur darin, die Verantwortlichen zu bestrafen, sondern auch darin, Systeme und Kommunikationsprozesse zu entwickeln, die verhindern, dass der Austrittsprozess zu einem Datenleck wird und den Beschäftigungsstatus als die sensible Information behandeln, die er ist.
Deutsch
English
العربية
Čeština
Dansk
Nederlands
Eesti
Suomi
Français
Ελληνικά
Magyar
Italiano
日本語
한국어
Latviešu valoda
Lietuvių kalba
Norsk bokmål
Polski
Português
Română
Русский
Slovenčina
Slovenščina
Español
Svenska
Türkçe