Recht der IT-Sicherheit

Transkript

1 Recht der IT-Sicherheit von Prof. Dr. Bernd Holznagel, Lars Dietze, Stephanie Kussel, Matthias Sonntag 1. Auflage Recht der IT-Sicherheit Holznagel / Dietze / Kussel / et al. schnell und portofrei erhältlich bei beck-shop.de DIE FACHBUCHHANDLUNG Thematische Gliederung: Informationsrecht, Neue Medien Verlag C.H. Beck München 2003 Verlag C.H. Beck im Internet: ISBN

2 InhaltsÏbersicht Vorwort... V... IX Abbildungsverzeichnis... XIX AbkÏrzungsverzeichnis... XXI ErsterTeil. Grundlagen EinfÏhrung WasistIT-Sicherheit? BedrohungenderIT-Sicherheit InstrumentezurVerbesserungderIT-Sicherheit ZweiterTeil. Bausteine derit-sicherungsinfrastruktur ElektronischeSignaturen VerschlÏsselungzumSchutzderVertraulichkeit DritterTeil. Sanktionierung von Angriffen auf die IT-Infrastruktur Strafrechtlicher Schutz der IT-Sicherheit VierterTeil. Fernmeldegeheimnis und Datenschutz Fernmeldegeheimnis und Ûberwachung dertelekommunikation Datenschutz im Bereich der Informationstechnologien FÏnfterTeil. AusgewÌhlte Anwendungsbereiche E-Democracy Anika HanÞmann) E-Government ChristophWerthmann) Sachverzeichnis

3

4 Vorwort... V InhaltsÏbersicht... VII... IX Abbildungsverzeichnis... XIX AbkÏrzungsverzeichnis... XXI ErsterTeil. Grundlagen EinfÏhrung... 1 I.ChancenundRisikenderIT... 1 II.EntwicklungenderInformations-undRechnertechnik Rechnertechnik Telekommunikationstechnik Internet... 6 III.NutzungsmÎglichkeiten... 7 IV.SicherheitsvorfÌlle... 8 V.GangderDarstellung WasistIT-Sicherheit? I.Begriffsbestimmungen RechtlicheDefinition TechnischeDefinitionen II.Schutzziele Einleitung Schutz der VerfÏgbarkeit Schutz der IntegritÌt Schutz der Vertraulichkeit Schutz der AuthentizitÌt QualitÌtsprÏfungund-bestÌtigung Schutz des informationellen Selbstbestimmungsrechts InterdependenzenderIT-Sicherheitsziele BedrohungenderIT-Sicherheit I.AufbauvonIT-Systemen Betriebssystem Rechnernetze II.RisikenfÏrdieIT-Sicherheit UnbeabsichtigteStÎrungen BeabsichtigteAngriffe a)aktiveangriffe aa)trojanischepferde bb)viren... 22

5 X cc) WÏ rmer dd)maskerade ee)denialofservice-attacken ff)buffer-overrun b)passiveangriffe c) Zusammenfassende Ûbersicht Ïber die Gefahrenquellen 25 d)externeundinternetìter InstrumentezurVerbesserungderIT-Sicherheit I.TechnischeLÎsungsansÌtze Einleitung MaÞnahmenzurRechnersicherheit VerschlÏsselung ElektronischeSignaturen Anonymisierung Firewalls IntrusionDetectionSysteme AntiViren-Programme Chipkarten Biometrie Sonstige SchutzmaÞnahmen Zusammenfassung II.RechtlicheLÎsungsansÌtze HoheitlicheMaÞnahmen a)zielvorgabenundsicherheitsstandards b)ordnungsrechtlichekontrollinstrumente c) OrdnungsrechtlicheVerhaltenspflichten d) Sanktionen bei mangelnder Normbefolgung aa)strafrecht bb)ordnungswidrigkeitenrecht cc)haftungsrecht MaÞnahmenderindirektenVerhaltenssteuerung III.TechnischeRegelwerke FunktiontechnischerRegelsetzung IT-Sicherheitskriterien a)zielsetzung b) Bedeutsame Kriterienkataloge aa)nationaleit-sicherheitskriterien bb)europìischeit-sicherheitskriterien cc)internationaleit-sicherheitskriterien )ISO )CommonCriteria IT-Sicherheitsevaluierung und -zertifizierung in der Praxis RechtlicheWirkungtechnischerRegelwerke IV.FÏrdieIT-SicherheitzustÌndigeBehÎrden... 43

6 1. BundesamtfÏrSicherheitinderInformationstechnik a)entstehungsgeschichte b)zielsetzungundhandlungsauftrag AufsichtsbehÎrden fïr den Datenschutz RegulierungsbehÎrde fïrtelekommunikation und Post a) ZustÌndigkeiten im Bereich der elektronischen Signatur. 45 b) ZustÌndigkeiten im Bereich des Datenschutzes c) ZustÌndigkeiten im Bereich dertelekommunikationsinfrastruktur aa)genehmigungsvorbehalt bb)erstellungeinessicherheitskatalogs cc)it-spezifischekontrollbefugnisse ZweiterTeil. Bausteine derit-sicherungsinfrastruktur ElektronischeSignaturen I.Einleitung II.TechnischeGrundlagen III. Rechtliche Rahmenbedingungen fïr elektronische Signaturen IV. Rechtsrahmen fïr den Einsatz elektronischer Signaturen SigG/SigV) HierarchieebenenfÏrelektronischeSignaturen a)einfachesignaturen b)fortgeschrittenesignaturen c)qualifiziertesignaturen d) Qualifizierte Signaturen mit Anbieter-Akkreditierung Organisationsstruktur fïr Zertifizierungsdiensteanbieter.. 59 a)begriffdeszertifizierungsdiensteanbieters b) Einrichtung und Betrieb eines Zertifizierungsdienstes.. 60 aa)einrichtung )PersonelleVoraussetzungen )SachlicheVoraussetzungen bb) Zertifikatsmanagement ) Ausstellung von Zertifikaten a)antrag b)identifizierung c)schlïsselerzeugung d)personalisierung e)zertifizierung f)unterrichtungdeszertifikatsinhabers g) NachprÏfbarhaltung im Zertifikatsverzeichnis 64 2) Verwaltung der Zertifikate a) Dokumentation der Zertifikatsausstellung XI

7 XII b) Pflege des Zertifikatsverzeichnisses ) ZertifikatsÏbergabe bei Betriebseinstellung cc) Freiwillige Akkreditierung des Zertifizierungsdiensteanbieters )ErwerbderAkkreditierung )AufhebungderAkkreditierung AufsichtÏberdieZertifizierungsdiensteanbieter a) Verwaltungsrechtliches Instrumentarium b)sanktionsmîglichkeiten HaftungdesZertifizierungsdiensteanbieters a) Haftung gegenïber dem Zertifikatsinhaber b)haftunggegenïberdritten c)deckungsvorsorgefïrdenhaftungsfall SicheretechnischeProdukte a)sicheresignaturerstellungseinheiten b)sicheresignaturanwendungskomponenten AkzeptanzauslÌndischerelektronischerSignaturen V.RechtswirkungenelektronischerSignaturen GleichstellungmitdereigenhÌndigenUnterschrift a)formanpassungimprivatrecht b)formanpassungimúffentlichenrecht aa) Schriftformerfordernisse im Îffentlichen Bereich bb)ønderungdesvwvfg ) Generalklausel des 3a ) Anforderungen an elektronischeverwaltungsakte 80 2.QualifiziertsignierteDokumentealsBeweismittel a) BeweismittelqualitÌt qualifiziert signierter Dokumente. 81 b)beweiswertqualifiziertsignierterdokumente VI.Ausblick VerschlÏsselungzumSchutzderVertraulichkeit I.Einleitung II.TechnischeGrundlagen FunktionsweisevonVerschlÏsselungsverfahren SymmetrischeVerschlÏsselung AsymmetrischeVerschlÏsselung Praktische Umsetzung III. Krypto-Debatte Regulierungsoptionen a) Verbot der Nutzung vonverschlïsselungstechniken fïr Private b)keyrecovery c)keyescrow d)verzichtaufjeglichegesetzlichebeschrìnkung AktuelleRegulierungsansÌtze... 94

8 a) Eckwertepapier zur deutschen Krypto-Politik b)strafrechtlichesanktionierungderverschlïsselung c) EntschlÏsselungspflichten d) EU Krypto-Politik e) Internationale Krypto-Politik IV.Import-/Exportkontrollen WassenaarArrangement EUDualUse-Verordnung a) Genehmigungspflicht einer Ausfuhr b)zweistufigeprïfung c)genehmigungsverfahren DritterTeil. Sanktionierung von Angriffen auf die IT-Infrastruktur Strafrechtlicher Schutz der IT-Sicherheit I.Einleitung II. Delikte zum Schutz destatobjekts,,daten`` AusspÌhenvonDaten a) Tatobjekt: Daten b)besonderedateneigenschaften c)taterfolg:sichodereinemanderenverschaffen d)sonderproblem:hacking DatenverÌnderung a) Tatobjekt: Daten b)tathandlungen Computersabotage a) Tatobjekt: Datenverarbeitung b)besonderesmerkmal:vonwesentlicherbedeutung c)verursachungeinerstîrung FÌlschungbeweiserheblicherDaten a) Tatobjekt: Daten b)besonderesmerkmal:beweiserheblichkeit c)tathandlungen d)tìuschungsabsicht UnterdrÏckenbeweiserheblicherDaten a)besonderesmerkmal:beweisfïhrungsbefugnis b)nachteilszufïgungsabsicht III. Delikte zum Schutz destatobjekts,,technische Aufzeichnung`` FÌlschungtechnischerAufzeichnungen a) Tatobjekt: Technische Aufzeichnung b)besonderesmerkmal:unecht c)tathandlungen d)tìuschungsabsicht UnterdrÏckentechnischerAufzeichnungen XIII

9 XIV a) Tatobjekt: DemTÌter nicht gehîrende technische Aufzeichnung b)tathandlung c)nachteilszufïgungsabsicht IV. Fernmeldegeheimnis und Datenschutzstrafrecht VerletzungdesFernmeldegeheimnisses a)tathandlung:mitteilungïbertatsachen b)fernmeldegeheimnis c)unbefugt d)rechtswidrigkeit e)unterdrïckendersendung Datenschutzstrafrecht V. Sonstige SchutzgÏter Computerbetrug a)tathandlungen b)taterfolg c) SubjektiverTatbestand StÎrungvonTelekommunikationsanlagen a)telekommunikationsanlagen b)taterfolg c) SubjektiverTatbestand VI.Cybercrime-Convention RechtswidrigerZugriff RechtswidrigesAbfangen EingriffeinDaten EingriffeindasSystem MissbrauchvonVorrichtungen ComputerurkundenfÌlschung Computerbetrug VierterTeil. Fernmeldegeheimnis und Datenschutz Fernmeldegeheimnis und Ûberwachung dertelekommunikation 135 I.VerfassungsrechtlicheGrundlagen Schutzbereich SchrankendesFernmeldegeheimnisses II. Ûberwachung durch StrafverfolgungsbehÎrden ÛberwachungderInhalts-undVerbindungsdaten a)zuïberwachenderpersonenkreis b)straftatenkatalog c)anordnungsbefugnis d)verpflichtetenkreis e)verwertungvonzufallsfunden f)eingeschrìnkterechtsschutzmîglichkeit

10 g) Erweiterung auf Verbindungsdaten aktiv geschalteter Handys ÛberwachungderVerbindungsdaten a)verbindungsdaten b)bedeutungderverbindungsdaten c)zielwahlsuche d)funkzellenabfrage Ûberwachung des Standorts, Ermittlung der GerÌte- und Kartennummer a)rechtlichevoraussetzungen b) IMSI-Catcher III.FernmeldeÏberwachungdurchGeheimdienste ÛberwachungderInhaltsdateninEinzelfÌllen a)anordnungsbefugnis b)eingeschrìnkterechtsschutzmîglichkeiten ÛberwachungderVerbindungsdaten StrategischeBeschrÌnkungen ÛberwachungderBewegungsdaten IV.ÛberwachungdurchZollkriminalÌmter V.AbfragederBestandsdaten AuskunftsersuchenimEinzelfall AutomatisierteAuskunftserteilung VI.MitwirkungpflichtenderTK-Anbieter Anforderungen des 88TKG AusgestaltungdurchdieTKÛV a) Pflichtenkatalog b)beschrìnkungdespflichtenkatalogs c) Befreiung vom Pflichtenkatalog VII.InternationaleÛberwachungsvorschriften Cybercrime-Convention EuropÌischesRechtshilfeabkommen VIII.Zusammenfassung Datenschutz im Bereich der Informationstechnologien I.Einleitung II. EinfÏhrung in das Datenschutzrecht DasRechtaufinformationelleSelbstbestimmung a) Schutzbereich b)eingriffundrechtfertigung c)mittelbaredrittwirkung Der deutsche Rechtsrahmen fïr den Datenschutz a) Die Regelungsstruktur des Datenschutzrechts b)diegrundstrukturdesbdsg aa)anwendungsbereich )PersonenbezogeneDaten XV

11 XVI 2) ErfassteVerarbeitungsphasen )Adressatenkreis a)úffentlichestellen b)nicht-îffentlichestellen bb)grundregelderdatenverarbeitung )GesetzlicheErlaubnisnormen )Einwilligung cc) Datenschutzrechte des Betroffenen )Kontrollrechte )Schadensersatz dd) Sicherung des Datenschutzes )AufsichtundSanktionen )MaÞnahmenderDatensicherung II. Datenschutz im Bereich der Informations- und Kommunikationsmedien AnwendbaresRecht a)abgrenzungderdatenebenen b) Abgrenzung der Dienstekategorien ZulÌssigkeitderDatenverarbeitungbeiTelediensten a)bestandsdaten aa)begriff bb) ZulÌssiges MaÞ der Datenerhebung, -verarbeitung und -nutzung b)nutzungsdaten aa)begriff bb) ZulÌssigkeit der Datenerhebung, -verarbeitung und -nutzung cc) Sonderproblem: Erstellung von PersÎnlichkeitsprofilen c)inhaltsdaten d)zusammenfassung Datenschutzpflichten der Diensteanbieter a) Organisatorische und technische SchutzmaÞnahmen aa)jederzeitigerverbindungsabbruch bb) Schutz gegen Kenntnisnahme Dritter cc)getrenntedatenverarbeitung dd)anzeigederweitervermittlung ee) Anonyme oder pseudonyme Dienstenutzung und -bezahlung b)informationspflichten aa) Datenschutzhinweis )GegenstandderUnterrichtung )ZeitpunktderUnterrichtung )PflichtjederzeitigerAbrufbarkeit

12 XVII bb) Auskunftspflichten )GegenstandderAuskunftserteilung )VerfahrenderAuskunftserteilung c)zusammenfassung Die Sicherung des Datenschutzes a)aufsichtundsanktionen b) Datenschutzaudit IV.Ausblick FÏnfterTeil. AusgewÌhlte Anwendungsbereiche E-Democracy I.Einleitung II.BundestagswahlenperInternet DerzeitigeRechtslage a)stimmabgabemittelswahlgerìt b)briefwahl VerfassungsrechtlicheAnforderungen a)allgemeinheitderwahl b)wahlfreiheitundwahlgeheimnis aa)einsatzasymmetrischerkryptographie bb)zusìtzlichereinsatzelektronischersignaturen )Funktionsweise )RechtlicheVoraussetzungen cc) MIX-Modell dd)einsatzblindersignaturen ee)zusammenfassung c)gleichheitderwahl d)unmittelbarkeitderwahl PlÌdoyerfÏreinErprobungsgesetz a)verfassungspolitischeabwìgung b)sicherheitstechnischeabwìgung c)zusammenfassung III.WeitereEinsatzmÎglichkeitenvonInternet-Wahlen IV. Online-BÏrgerbeteiligung bei staatlichen Entscheidungsprozessen BÏrgerbeteiligunginPlanungsprozessen Gesetzgebungsverfahren V.Zusammenfassung E-Government I.Einleitung II.Online-TransaktionsdiensteinderPraxis GeeigneteVerwaltungsvorgÌnge MehrwertfÏrdenBÏrger

13 XVIII 3. HÏrden Pilotprojekte III.RechtlicheMÎglichkeitenundGrenzen Verwaltungsverfahren ohne besondere Formerfordernisse Schriftformerfordernis a)bïrger b) Verwaltung aa) Voraussetzungen fïr das Ersetzen des Schriftformerfordernisses )SicherstellungderIdentitÌt )SicherstellungderUnversehrtheit )SicherstellungdesBeweiswertes )Warn-,AufklÌrungs-undSchutzfunktion bb)zusammenfassung ErfordernisderpersÎnlichenAnwesenheit BekanntgabevonVerwaltungsakten NichtÎffentlichkeit des Verwaltungsverfahrens AktenfÏhrungundArchivierung IV.ElektronischeVergabeÎffentlicherAuftrÌge V.Zusammenfassung Sachverzeichnis