Recht der IT-Sicherheit von Prof. Dr. Bernd Holznagel, Lars Dietze, Stephanie Kussel, Matthias Sonntag 1. Auflage Recht der IT-Sicherheit Holznagel / Dietze / Kussel / et al. schnell und portofrei erhältlich bei beck-shop.de DIE FACHBUCHHANDLUNG Thematische Gliederung: Informationsrecht, Neue Medien Verlag C.H. Beck München 2003 Verlag C.H. Beck im Internet: www.beck.de ISBN 978 3 406 49545 8
InhaltsÏbersicht Vorwort... V... IX Abbildungsverzeichnis... XIX AbkÏrzungsverzeichnis... XXI ErsterTeil. Grundlagen... 1 1. EinfÏhrung... 1 2. WasistIT-Sicherheit?... 11 3. BedrohungenderIT-Sicherheit... 16 4. InstrumentezurVerbesserungderIT-Sicherheit... 28 ZweiterTeil. Bausteine derit-sicherungsinfrastruktur... 49 5. ElektronischeSignaturen... 49 6. VerschlÏsselungzumSchutzderVertraulichkeit... 87 DritterTeil. Sanktionierung von Angriffen auf die IT-Infrastruktur 103 7. Strafrechtlicher Schutz der IT-Sicherheit... 103 VierterTeil. Fernmeldegeheimnis und Datenschutz... 135 8. Fernmeldegeheimnis und Ûberwachung dertelekommunikation. 135 9. Datenschutz im Bereich der Informationstechnologien... 166 FÏnfterTeil. AusgewÌhlte Anwendungsbereiche... 199 10. E-Democracy Anika HanÞmann)... 199 11. E-Government ChristophWerthmann)... 216 Sachverzeichnis... 231
Vorwort... V InhaltsÏbersicht... VII... IX Abbildungsverzeichnis... XIX AbkÏrzungsverzeichnis... XXI ErsterTeil. Grundlagen... 1 1. EinfÏhrung... 1 I.ChancenundRisikenderIT... 1 II.EntwicklungenderInformations-undRechnertechnik... 4 1.Rechnertechnik... 4 2.Telekommunikationstechnik... 5 3.Internet... 6 III.NutzungsmÎglichkeiten... 7 IV.SicherheitsvorfÌlle... 8 V.GangderDarstellung... 9 2. WasistIT-Sicherheit?... 11 I.Begriffsbestimmungen... 11 1.RechtlicheDefinition... 11 2.TechnischeDefinitionen... 11 II.Schutzziele... 12 1.Einleitung... 12 2. Schutz der VerfÏgbarkeit... 13 3. Schutz der IntegritÌt... 13 4. Schutz der Vertraulichkeit... 13 5. Schutz der AuthentizitÌt... 14 6.QualitÌtsprÏfungund-bestÌtigung... 14 7. Schutz des informationellen Selbstbestimmungsrechts... 14 8.InterdependenzenderIT-Sicherheitsziele... 15 3. BedrohungenderIT-Sicherheit... 16 I.AufbauvonIT-Systemen... 16 1.Betriebssystem... 16 2.Rechnernetze... 17 II.RisikenfÏrdieIT-Sicherheit... 19 1.UnbeabsichtigteStÎrungen... 19 2.BeabsichtigteAngriffe... 20 a)aktiveangriffe... 21 aa)trojanischepferde... 21 bb)viren... 22
X cc) WÏ rmer... 23 dd)maskerade... 23 ee)denialofservice-attacken... 24 ff)buffer-overrun... 24 b)passiveangriffe... 25 c) Zusammenfassende Ûbersicht Ïber die Gefahrenquellen 25 d)externeundinternetìter... 26 4. InstrumentezurVerbesserungderIT-Sicherheit... 28 I.TechnischeLÎsungsansÌtze... 29 1.Einleitung... 29 2.MaÞnahmenzurRechnersicherheit... 29 3.VerschlÏsselung... 30 4.ElektronischeSignaturen... 30 5.Anonymisierung... 31 6.Firewalls... 32 7.IntrusionDetectionSysteme... 32 8.AntiViren-Programme... 33 9.Chipkarten... 33 10.Biometrie... 34 11. Sonstige SchutzmaÞnahmen... 34 12.Zusammenfassung... 34 II.RechtlicheLÎsungsansÌtze... 35 1.HoheitlicheMaÞnahmen... 35 a)zielvorgabenundsicherheitsstandards... 35 b)ordnungsrechtlichekontrollinstrumente... 36 c) OrdnungsrechtlicheVerhaltenspflichten... 36 d) Sanktionen bei mangelnder Normbefolgung... 36 aa)strafrecht... 36 bb)ordnungswidrigkeitenrecht... 37 cc)haftungsrecht... 37 2.MaÞnahmenderindirektenVerhaltenssteuerung... 37 III.TechnischeRegelwerke... 38 1.FunktiontechnischerRegelsetzung... 38 2.IT-Sicherheitskriterien... 39 a)zielsetzung... 39 b) Bedeutsame Kriterienkataloge... 39 aa)nationaleit-sicherheitskriterien... 39 bb)europìischeit-sicherheitskriterien... 39 cc)internationaleit-sicherheitskriterien... 40 1)ISO15408... 40 2)CommonCriteria... 40 3. IT-Sicherheitsevaluierung und -zertifizierung in der Praxis. 40 4.RechtlicheWirkungtechnischerRegelwerke... 42 IV.FÏrdieIT-SicherheitzustÌndigeBehÎrden... 43
1. BundesamtfÏrSicherheitinderInformationstechnik... 43 a)entstehungsgeschichte... 43 b)zielsetzungundhandlungsauftrag... 44 2. AufsichtsbehÎrden fïr den Datenschutz... 44 3. RegulierungsbehÎrde fïrtelekommunikation und Post... 45 a) ZustÌndigkeiten im Bereich der elektronischen Signatur. 45 b) ZustÌndigkeiten im Bereich des Datenschutzes... 46 c) ZustÌndigkeiten im Bereich dertelekommunikationsinfrastruktur... 46 aa)genehmigungsvorbehalt... 46 bb)erstellungeinessicherheitskatalogs... 46 cc)it-spezifischekontrollbefugnisse... 47 ZweiterTeil. Bausteine derit-sicherungsinfrastruktur... 49 5. ElektronischeSignaturen... 49 I.Einleitung... 49 II.TechnischeGrundlagen... 50 III. Rechtliche Rahmenbedingungen fïr elektronische Signaturen... 52 IV. Rechtsrahmen fïr den Einsatz elektronischer Signaturen SigG/SigV)... 54 1.HierarchieebenenfÏrelektronischeSignaturen... 55 a)einfachesignaturen... 56 b)fortgeschrittenesignaturen... 56 c)qualifiziertesignaturen... 57 d) Qualifizierte Signaturen mit Anbieter-Akkreditierung.. 58 2. Organisationsstruktur fïr Zertifizierungsdiensteanbieter.. 59 a)begriffdeszertifizierungsdiensteanbieters... 59 b) Einrichtung und Betrieb eines Zertifizierungsdienstes.. 60 aa)einrichtung... 60 1)PersonelleVoraussetzungen... 60 2)SachlicheVoraussetzungen... 60 bb) Zertifikatsmanagement... 61 1) Ausstellung von Zertifikaten... 61 a)antrag... 61 b)identifizierung... 62 c)schlïsselerzeugung... 62 d)personalisierung... 62 e)zertifizierung... 62 f)unterrichtungdeszertifikatsinhabers... 63 g) NachprÏfbarhaltung im Zertifikatsverzeichnis 64 2) Verwaltung der Zertifikate... 64 a) Dokumentation der Zertifikatsausstellung... 65 XI
XII b) Pflege des Zertifikatsverzeichnisses... 65 3) ZertifikatsÏbergabe bei Betriebseinstellung... 66 cc) Freiwillige Akkreditierung des Zertifizierungsdiensteanbieters... 67 1)ErwerbderAkkreditierung... 67 2)AufhebungderAkkreditierung... 68 3.AufsichtÏberdieZertifizierungsdiensteanbieter... 69 a) Verwaltungsrechtliches Instrumentarium... 69 b)sanktionsmîglichkeiten... 69 4.HaftungdesZertifizierungsdiensteanbieters... 70 a) Haftung gegenïber dem Zertifikatsinhaber... 71 b)haftunggegenïberdritten... 71 c)deckungsvorsorgefïrdenhaftungsfall... 72 5.SicheretechnischeProdukte... 72 a)sicheresignaturerstellungseinheiten... 73 b)sicheresignaturanwendungskomponenten... 75 6.AkzeptanzauslÌndischerelektronischerSignaturen... 75 V.RechtswirkungenelektronischerSignaturen... 78 1.GleichstellungmitdereigenhÌndigenUnterschrift... 78 a)formanpassungimprivatrecht... 78 b)formanpassungimúffentlichenrecht... 79 aa) Schriftformerfordernisse im Îffentlichen Bereich... 79 bb)ønderungdesvwvfg... 80 1) Generalklausel des 3a... 80 2) Anforderungen an elektronischeverwaltungsakte 80 2.QualifiziertsignierteDokumentealsBeweismittel... 81 a) BeweismittelqualitÌt qualifiziert signierter Dokumente. 81 b)beweiswertqualifiziertsignierterdokumente... 82 VI.Ausblick... 83 6. VerschlÏsselungzumSchutzderVertraulichkeit... 87 I.Einleitung... 87 II.TechnischeGrundlagen... 88 1.FunktionsweisevonVerschlÏsselungsverfahren... 88 2.SymmetrischeVerschlÏsselung... 90 3.AsymmetrischeVerschlÏsselung... 90 4. Praktische Umsetzung... 91 III. Krypto-Debatte... 92 1.Regulierungsoptionen... 92 a) Verbot der Nutzung vonverschlïsselungstechniken fïr Private... 92 b)keyrecovery... 93 c)keyescrow... 94 d)verzichtaufjeglichegesetzlichebeschrìnkung... 94 2.AktuelleRegulierungsansÌtze... 94
a) Eckwertepapier zur deutschen Krypto-Politik... 94 b)strafrechtlichesanktionierungderverschlïsselung... 95 c) EntschlÏsselungspflichten... 96 d) EU Krypto-Politik... 96 e) Internationale Krypto-Politik... 97 IV.Import-/Exportkontrollen... 98 1.WassenaarArrangement... 98 2.EUDualUse-Verordnung... 99 a) Genehmigungspflicht einer Ausfuhr... 99 b)zweistufigeprïfung... 100 c)genehmigungsverfahren... 101 DritterTeil. Sanktionierung von Angriffen auf die IT-Infrastruktur 103 7. Strafrechtlicher Schutz der IT-Sicherheit... 103 I.Einleitung... 103 II. Delikte zum Schutz destatobjekts,,daten``... 106 1.AusspÌhenvonDaten... 106 a) Tatobjekt: Daten... 107 b)besonderedateneigenschaften... 107 c)taterfolg:sichodereinemanderenverschaffen... 108 d)sonderproblem:hacking... 108 2.DatenverÌnderung... 109 a) Tatobjekt: Daten... 109 b)tathandlungen... 110 3.Computersabotage... 111 a) Tatobjekt: Datenverarbeitung... 111 b)besonderesmerkmal:vonwesentlicherbedeutung... 111 c)verursachungeinerstîrung... 111 4.FÌlschungbeweiserheblicherDaten... 112 a) Tatobjekt: Daten... 113 b)besonderesmerkmal:beweiserheblichkeit... 114 c)tathandlungen... 114 d)tìuschungsabsicht... 114 5.UnterdrÏckenbeweiserheblicherDaten... 115 a)besonderesmerkmal:beweisfïhrungsbefugnis... 115 b)nachteilszufïgungsabsicht... 116 III. Delikte zum Schutz destatobjekts,,technische Aufzeichnung`` 116 1.FÌlschungtechnischerAufzeichnungen... 116 a) Tatobjekt: Technische Aufzeichnung... 117 b)besonderesmerkmal:unecht... 117 c)tathandlungen... 118 d)tìuschungsabsicht... 118 2.UnterdrÏckentechnischerAufzeichnungen... 119 XIII
XIV a) Tatobjekt: DemTÌter nicht gehîrende technische Aufzeichnung... 119 b)tathandlung... 119 c)nachteilszufïgungsabsicht... 120 IV. Fernmeldegeheimnis und Datenschutzstrafrecht... 120 1.VerletzungdesFernmeldegeheimnisses... 120 a)tathandlung:mitteilungïbertatsachen... 121 b)fernmeldegeheimnis... 121 c)unbefugt... 122 d)rechtswidrigkeit... 122 e)unterdrïckendersendung... 123 2. Datenschutzstrafrecht... 123 V. Sonstige SchutzgÏter... 125 1.Computerbetrug... 125 a)tathandlungen... 126 b)taterfolg... 126 c) SubjektiverTatbestand... 127 2.StÎrungvonTelekommunikationsanlagen... 127 a)telekommunikationsanlagen... 127 b)taterfolg... 128 c) SubjektiverTatbestand... 128 VI.Cybercrime-Convention... 128 1.RechtswidrigerZugriff... 129 2.RechtswidrigesAbfangen... 129 3.EingriffeinDaten... 130 4.EingriffeindasSystem... 130 5.MissbrauchvonVorrichtungen... 130 6.ComputerurkundenfÌlschung... 131 7.Computerbetrug... 132 VierterTeil. Fernmeldegeheimnis und Datenschutz... 135 8. Fernmeldegeheimnis und Ûberwachung dertelekommunikation 135 I.VerfassungsrechtlicheGrundlagen... 136 1. Schutzbereich... 136 2.SchrankendesFernmeldegeheimnisses... 137 II. Ûberwachung durch StrafverfolgungsbehÎrden... 137 1.ÛberwachungderInhalts-undVerbindungsdaten... 137 a)zuïberwachenderpersonenkreis... 138 b)straftatenkatalog... 138 c)anordnungsbefugnis... 140 d)verpflichtetenkreis... 141 e)verwertungvonzufallsfunden... 141 f)eingeschrìnkterechtsschutzmîglichkeit... 141
g) Erweiterung auf Verbindungsdaten aktiv geschalteter Handys... 142 2.ÛberwachungderVerbindungsdaten... 142 a)verbindungsdaten... 142 b)bedeutungderverbindungsdaten... 143 c)zielwahlsuche... 144 d)funkzellenabfrage... 144 3. Ûberwachung des Standorts, Ermittlung der GerÌte- und Kartennummer... 145 a)rechtlichevoraussetzungen... 145 b) IMSI-Catcher... 145 III.FernmeldeÏberwachungdurchGeheimdienste... 147 1.ÛberwachungderInhaltsdateninEinzelfÌllen... 147 a)anordnungsbefugnis... 148 b)eingeschrìnkterechtsschutzmîglichkeiten... 148 2.ÛberwachungderVerbindungsdaten... 149 3.StrategischeBeschrÌnkungen... 150 4.ÛberwachungderBewegungsdaten... 150 IV.ÛberwachungdurchZollkriminalÌmter... 150 V.AbfragederBestandsdaten... 152 1.AuskunftsersuchenimEinzelfall... 152 2.AutomatisierteAuskunftserteilung... 154 VI.MitwirkungpflichtenderTK-Anbieter... 155 1. Anforderungen des 88TKG... 155 2.AusgestaltungdurchdieTKÛV... 157 a) Pflichtenkatalog... 157 b)beschrìnkungdespflichtenkatalogs... 158 c) Befreiung vom Pflichtenkatalog... 159 VII.InternationaleÛberwachungsvorschriften... 160 1.Cybercrime-Convention... 160 2.EuropÌischesRechtshilfeabkommen... 162 VIII.Zusammenfassung... 163 9. Datenschutz im Bereich der Informationstechnologien... 166 I.Einleitung... 166 II. EinfÏhrung in das Datenschutzrecht... 167 1.DasRechtaufinformationelleSelbstbestimmung... 167 a) Schutzbereich... 167 b)eingriffundrechtfertigung... 168 c)mittelbaredrittwirkung... 168 2. Der deutsche Rechtsrahmen fïr den Datenschutz... 169 a) Die Regelungsstruktur des Datenschutzrechts... 169 b)diegrundstrukturdesbdsg... 170 aa)anwendungsbereich... 170 1)PersonenbezogeneDaten... 170 XV
XVI 2) ErfassteVerarbeitungsphasen... 172 3)Adressatenkreis... 172 a)úffentlichestellen... 172 b)nicht-îffentlichestellen... 173 bb)grundregelderdatenverarbeitung... 173 1)GesetzlicheErlaubnisnormen... 174 2)Einwilligung... 175 cc) Datenschutzrechte des Betroffenen... 175 1)Kontrollrechte... 175 2)Schadensersatz... 176 dd) Sicherung des Datenschutzes... 177 1)AufsichtundSanktionen... 177 2)MaÞnahmenderDatensicherung... 178 II. Datenschutz im Bereich der Informations- und Kommunikationsmedien... 180 1.AnwendbaresRecht... 180 a)abgrenzungderdatenebenen... 181 b) Abgrenzung der Dienstekategorien... 182 2.ZulÌssigkeitderDatenverarbeitungbeiTelediensten... 184 a)bestandsdaten... 184 aa)begriff... 184 bb) ZulÌssiges MaÞ der Datenerhebung, -verarbeitung und -nutzung... 184 b)nutzungsdaten... 185 aa)begriff... 185 bb) ZulÌssigkeit der Datenerhebung, -verarbeitung und -nutzung... 185 cc) Sonderproblem: Erstellung von PersÎnlichkeitsprofilen... 186 c)inhaltsdaten... 186 d)zusammenfassung... 186 3. Datenschutzpflichten der Diensteanbieter... 188 a) Organisatorische und technische SchutzmaÞnahmen.. 188 aa)jederzeitigerverbindungsabbruch... 188 bb) Schutz gegen Kenntnisnahme Dritter... 188 cc)getrenntedatenverarbeitung... 189 dd)anzeigederweitervermittlung... 189 ee) Anonyme oder pseudonyme Dienstenutzung und -bezahlung... 190 b)informationspflichten... 191 aa) Datenschutzhinweis... 191 1)GegenstandderUnterrichtung... 191 2)ZeitpunktderUnterrichtung... 191 3)PflichtjederzeitigerAbrufbarkeit... 192
XVII bb) Auskunftspflichten... 192 1)GegenstandderAuskunftserteilung... 193 2)VerfahrenderAuskunftserteilung... 193 c)zusammenfassung... 193 4. Die Sicherung des Datenschutzes... 195 a)aufsichtundsanktionen... 195 b) Datenschutzaudit... 195 IV.Ausblick... 196 FÏnfterTeil. AusgewÌhlte Anwendungsbereiche... 199 10.E-Democracy... 199 I.Einleitung... 199 II.BundestagswahlenperInternet... 200 1.DerzeitigeRechtslage... 200 a)stimmabgabemittelswahlgerìt... 200 b)briefwahl... 201 2.VerfassungsrechtlicheAnforderungen... 201 a)allgemeinheitderwahl... 201 b)wahlfreiheitundwahlgeheimnis... 202 aa)einsatzasymmetrischerkryptographie... 202 bb)zusìtzlichereinsatzelektronischersignaturen... 203 1)Funktionsweise... 203 2)RechtlicheVoraussetzungen... 203 cc) MIX-Modell... 204 dd)einsatzblindersignaturen... 206 ee)zusammenfassung... 207 c)gleichheitderwahl... 209 d)unmittelbarkeitderwahl... 209 3.PlÌdoyerfÏreinErprobungsgesetz... 210 a)verfassungspolitischeabwìgung... 210 b)sicherheitstechnischeabwìgung... 210 c)zusammenfassung... 210 III.WeitereEinsatzmÎglichkeitenvonInternet-Wahlen... 211 IV. Online-BÏrgerbeteiligung bei staatlichen Entscheidungsprozessen... 212 1.BÏrgerbeteiligunginPlanungsprozessen... 212 2.Gesetzgebungsverfahren... 213 V.Zusammenfassung... 214 11.E-Government... 216 I.Einleitung... 216 II.Online-TransaktionsdiensteinderPraxis... 219 1. GeeigneteVerwaltungsvorgÌnge... 219 2.MehrwertfÏrdenBÏrger... 220
XVIII 3. HÏrden... 220 4. Pilotprojekte... 221 III.RechtlicheMÎglichkeitenundGrenzen... 221 1. Verwaltungsverfahren ohne besondere Formerfordernisse. 221 2.Schriftformerfordernis... 222 a)bïrger... 222 b) Verwaltung... 222 aa) Voraussetzungen fïr das Ersetzen des Schriftformerfordernisses... 223 1)SicherstellungderIdentitÌt... 223 2)SicherstellungderUnversehrtheit... 223 3)SicherstellungdesBeweiswertes... 223 4)Warn-,AufklÌrungs-undSchutzfunktion... 224 bb)zusammenfassung... 224 3.ErfordernisderpersÎnlichenAnwesenheit... 225 4.BekanntgabevonVerwaltungsakten... 225 5. NichtÎffentlichkeit des Verwaltungsverfahrens... 226 6.AktenfÏhrungundArchivierung... 227 IV.ElektronischeVergabeÎffentlicherAuftrÌge... 228 V.Zusammenfassung... 229 Sachverzeichnis... 231