Verbesserung von Datensicherheit und Datenschutz im Unternehmen - Desaster-Toleranz

Verbesserung von Datensicherheit und Datenschutz im Unternehmen - Desaster-Toleranz Prof. Dr. Thomas Horn IBH Prof. Dr. Horn GmbH Gostritzer Str. 61-63 01217 Dresden http://www.ibh.de info@ibh.de

Einleitung Begriffsbestimmung Privacy Safety Security Schutz der Privatsphäre --> Datenschutz (jur.) technische Datensicherheit (Schutz vor technischen Defekten, physikalischen Einflüssen und Ausfällen) --> Erhöhung der Verfügbarkeit --> Desaster-Toleranz Schutz gegen unbefugte Benutzung (read, write, modify) --> Datenschutz (techn.) 2

Inhaltsverzeichnis 1. Problemanalyse 2. Schutz der Privatsphäre Bundesdatenschutzgesetz (BDSG) Telekommunikationsgesetz (TKG) 3. Technische Datensicherheit 4. Organisator. Maßnahmen des Datenschutzes Organisatorische Maßnahmen gemäß BDSG Schutz des Netzwerkes Internet-Sicherheit 5. IT-Grundschutz gemäß BSI IT-Grundschutz Privacy Safety Security Problembewußtsein 3

Problemanalyse 1 Warum Datensicherheit/Datenschutz? Unsere Zeit ist durch die breiteste Einführung der elektronischen Verarbeitung und Speicherung von Daten gekennzeichnet! über lange Sicht können keine zwei Ablagen geführt werden (Papierablage + elektronische Ablage) --> Es treten zwangsläufig Inkonsistenzen auf Kostenzwang führt zur Arbeitsplatzeinsparung Unternehmen verlernen, die Prozesse manuell zu verarbeiten Unternehmen begeben sich in Abhängigkeit vom Computersystem Ein Ausfall des Computersystems bzw.. ein Verlust der Daten führen (zwangsläufig) zum Ruin des Unternehmens 4

Problemanalyse 2 Ausfall des Netzwerkes bzw. Verlust der Daten führen zum Ruin des Unternehmens Nur t ist unterschiedlich: 2-4h bei Banken 2d bei Versicherungen 1-2w bei Fertigungsbetrieben 2-6w bei Baubetrieben Folge: Unternehmen müssen sich gegen Diebstahl, Verlust, Verfälschung und Ausfall der Daten/Computersysteme schützen. Besondere Brisanz: Wir haben es heute mit komplizierten Lieferanten-Kunden-Beziehungen zu tun --> Kunden wollen wissen, wie zuverlässig ist mein Lieferant --> einzelne Industriezweige machen schon heute ein Audit ihrer Lieferanten 5

Problemanalyse 3 Beispiel 1: Diebstahl bei herkömmlicher Papierablage 1 Blatt A4 = 5 g 1 Ordner 8 cm = 500 Blatt = 2,5 kg 1 Regal 80 cm = 10 Ordner --> 5 OH = 50 Ordner = 125 kg 1 Büro = 3 Regale = 375 kg 1 Firma = 20 Büros = 7,5 t 1 Umzugskarton ca. 25 kg --> 300 Umzugskartons --> 2-3 LKW Für 8 Mann 8h harte Arbeit Zeit bis zur Entdeckung: wenige Stunden Es gibt Mitwisser 6

Problemanalyse 4 Beispiel 2: Diebstahl bei Elektronischer Ablage 1 Seite A4 = 2000 Schriftzeichen 1 Schriftzeichen = 8 bit = 1 Byte 1 Seite = 2 kbyte 1 Ordner = 1 MByte (=1 Diskette) 1 Regal = 50 MByte 1 Firma = 3 GByte 2,4 cm 18 GB 10,2 cm Kopieren der Firmendaten dauert ca. 30 min 14,6 cm Nur 1 Beteiligter Diebstahl hinterläßt keine Spuren bleibt in der Regel auf lange Zeit unerkannt 7

Problemanalyse 5 Diebstahl der Papierablage Dokumente in Papier sind über das gesamte Verwaltungsgebäude verstreut Papier ist schwer und unübersichtlich Daten müssen erst sortiert werden (Einarbeitung!) Diebstahl der Elektronischen Ablage einfache, unkomplizierte Möglichkeit des Diebstahls von Daten Daten liegen zentral im Computersystem vor Daten liegen in maschinenlesbarer Form vor Daten sind übersichtlich strukturiert und daher gut weiter verwendbar Daten haben eine sofortige und effektiv schädigende Wirkung 8

Problemanalyse 6 Sicherheit Zentrales RZ vs. firmenweites Netzwerk früher: heute: RZ zentrales Rechenzentrum = zentrale Datenverarbeitung gut geschützt 20-40 Mitarbeiter PC PC IS Server 200-1000 Mitarbeiter 2 Mbit/s Abt. DV 2-4 Mitarbeiter Internet ISDN 64 kbit/s (ADSL 2 Mbit/s) PC einfacher Zugang zu den Daten über das Internet - ohne Spuren/Fingerabdrücke, von jedem Punkt der Erde! 9

Problemanalyse 7 Beispiel 3: Elektronische Ablage/Internet-Zugang Datenmenge: 3 GByte a) ISDN-Zugang (64 Kbit/s) effektiv max. 6 KByte/s Transferzeit: 500.000s = 8.333min = 139h = 5,8 d b) SFV-Zugang (2 Mbit/s) effektiv max. 200 KByte/s Transferzeit: 15.000s = 250min = 4,2 h Folge: Firewall zum Schutz des Firmennetzwerkes ist zwingend erforderlich! 10

Problemanalyse 8 Minderung der operationellen Risiken durch Schutz vor menschliches Versagen kriminelle Handlungen (gekündigte Mitarbeiter, bewußte Schädigung durch Konkurrenz, Hacker) Katastrophen (Feuer, Wasser, Erdbeben etc.) Softwarefehler Oberste Ziele Erhöhung der Verfügbarkeit - Unternehmen muß arbeitsfähig bleiben keinen Mißbrauch der Daten zulassen Schutz der Daten gegen Verlust und Verfälschung 11

Risikomanagement 1 Änderungen der gesetzlichen Rahmenbedingungen Sicherung der europäischen Kreditinstitute durch die Baseler Beschlüsse (Stufe Basel II) 1988: Basel I 2006: Basel II Änderung des 147 AO vom 27.10.2000 Haftung von Vorstand und Geschäftsleitung bei mangelnder Vorsorge bzw. Frühwarnung im Rahmen des betrieblichen Risikomanagements KonTraG vom 27.4.1998 12

Risikomanagement 2 Verschärfung der Kreditvergaberichtlinien (Basel II) Die Ratingquote entscheidet über die Höhe der Zinsen sowie die Höhe des Kreditrahmens Die Ratinggruppe sowie die Gewichtung ergeben sich aus der Risikoeinschätzung! " # $ $ $! $ $ % $! $ # 13

Risikomanagement 3 Kriterien zur Ermittlung der Risikoeinschätzung Tätigkeitsgebiet/Branchen-Einschätzung Marktbedingungen/Wettbewerbsposition Management-Einschätzung Ertragslage, Finanzen Vorwegangaben/Prognosen Kontoführung Kundenverbindung/Dauer der Kundenbeziehung Rechtsform Minderung der operationellen Risiken: Hardware, Software, Firewall, Virenschutz, Sicherheits-Standards, Verschlüsselung der Daten, etc. 14

Risikomanagement 4 147 AO vom 27.10.2000 (1) Die folgenden Unterlagen sind geordnet aufzubewahren: 1. Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, die Eröffnungsbilanz sowie die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und sonstigen Organisationsunterlagen, 2. die empfangenen Handels- oder Geschäftsbriefe, 3. Wiedergaben der abgesandten Handels- oder Geschäftsbriefe, 4. Buchungsbelege, & ' ' 5. sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind. & ' ' 15

Risikomanagement 5 147 AO vom 27.10.2000 (6) Sind die Unterlagen nach Absatz 1 mit Hilfe eines Datenverarbeitungssystems erstellt worden, hat die Finanzbehörde im Rahmen einer Außenprüfung das Recht, Einsicht in die gespeicherten Daten zu nehmen und das Datenverarbeitungssystem zur Prüfung dieser Unterlagen zu nutzen. Sie kann im Rahmen einer Außenprüfung auch verlangen, dass die Daten nach ihren Vorgaben maschinell ausgewertet oder ihr die gespeicherten Unterlagen und Aufzeichnungen auf einem maschinell verwertbaren Datenträger zur Verfügung gestellt werden. Die Kosten trägt der Steuerpflichtige. 16

Risikomanagement 6 KonTraG vom 27.4.1998 Gesetz zur Kontrolle und Transparenz im Unternehmensbereich basierend auf 91 Abs. 2. AktG: Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Haftbarkeit des Vorstandes im Bereich der IT: Datensicherheit/Datenschutz ist Vorstandsthema Datensicherheit/Datenschutz ist NICHT Sache der Administratoren, sondern des Vorstandes Für die GmbH gelten diese Bestimmungen zwar nicht. Sie sind jedoch bereits in der gesetzlichen Vorbereitung. 17

Rechtliche Aspekte des Datenschutzes 1 Gesetzliche Grundlagen des Datenschutzes: Bundesdatenschutzgesetz (BDSG) vom 20.12.1990 (BGBl. I, S.2954) - Neufassung vom 14.1.2003 1 Zweck und Anwendungsbereich des Gesetzes (1) Zweck dieses Gesetzes ist es, den einzelnen davor zu schützen, daß er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. (2) Dieses Gesetz gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch - öffentliche Stellen..., - nicht-öffentliche Stellen, soweit sie die Daten... verarbeiten oder nutzen, es sei denn, die Erhebung... erfolgt ausschließlich für persönliche oder familäre Tätigkeiten. 18

Rechtliche Aspekte des Datenschutzes 2 3 Weitere Begriffsbestimmungen (1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). (2) Automatisierte Verarbeitung ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. (3) Erheben ist das Beschaffen von Daten über den Betroffenen. (4) Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten.... (5) Nutzen ist jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt. 19

Rechtliche Aspekte des Datenschutzes 3 4d Meldepflicht (1) Verfahren automatisierter Verarbeitungen sind vor ihrer Inbetriebnahme von nicht-öffentlichen verantwortlichen Stellen der zuständigen Aufsichtsbehörde und von öffentlichen verantwortlichen Stellen des Bundes sowie von den Post- und Telekommunikationsunternehmen dem Bundesbeauftragten für den Datenschutz nach Maßgabe von 4e zu melden. (2) Die Meldepflicht entfällt, wenn die verantwortliche Stelle einen Beauftragten für den Datenschutz bestellt hat. (3)... 20

Rechtliche Aspekte des Datenschutzes 4 4d Meldepflicht (1)... (2)... (3) Die Meldepflicht entfällt ferner, wenn die verantwortliche Stelle personenbezogene Daten für eigene Zwecke erhebt, verarbeitet oder nutzt, hierbei höchstens vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt und entweder eine Einwilligung der Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit den Betroffenen dient. 21

Rechtliche Aspekte des Datenschutzes 5 5 Datengeheimnis Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort. 22

Rechtliche Aspekte des Datenschutzes 6 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen (1) Personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen und die von der zur Verschwiegenheit verpflichteten Stelle in Ausübung ihrer Berufs- oder Amtspflicht zur Verfügung gestellt worden sind, dürfen von der verantwortlichen Stelle nur für den Zweck verarbeitet oder genutzt werden, für den sie sie erhalten hat. In die Übermittlung an eine nicht-öffentliche Stelle muss die zur Verschwiegenheit verpflichtete Stelle einwilligen. (2) Für einen anderen Zweck dürfen die Daten nur verarbeitet oder genutzt werden, wenn die Änderung des Zwecks durch besonderes Gesetz zugelassen ist. 23

Rechtliche Aspekte des Datenschutzes 7 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen (1) Für Zwecke der wissenschaftlichen Forschung erhobene oder gespeicherte personenbezogene Daten dürfen nur für Zwecke der wissenschaftlichen Forschung verarbeitet oder genutzt werden. (2) Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist.... (3) Die wissenschaftliche Forschung betreibenden Stellen dürfen personenbezogene Daten nur veröffentlichen, wenn - der Betroffene eingewilligt hat oder - dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerläßlich ist. 24

Rechtliche Aspekte des Datenschutzes 8 43 Bußgeldvorschriften (1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1.... eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht, 2.... einen Beauftragten für den Datenschutz nicht, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig bestellt,... (2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet, 2. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, zum Abruf mittels automatisierten Verfahrens bereithält,... (3) Die Ordnungswidrigkeit kann im Fall des Abs. 1 mit einer Geldbuße bis zu 25.000 Euro, in den Fällen des Abs. 2 mit einer Geldbuße bis zu 250.000 Euro geahndet werden. 25

Rechtliche Aspekte des Datenschutzes 9 44 Strafvorschriften (1) Wer eine in 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. (2) Die Tat wird nur auf Antrag verfolgt, Antragsberechtigt sind der Betroffene, die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz und die Aufsichtsbehörde. 26

Rechtliche Aspekte des Datenschutzes 10 Anlage (zu 9 Satz 1)- Teil 1 Werden personenbezogene Daten... verarbeitet oder genutzt,... sind Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), 2. zu verhindern, dass DV-Systeme von Unbefugten genutzt werden können (Zugangskontrolle), 3. zu gewährleisten, dass die zur Benutzung eines DV- Systems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), 27

Rechtliche Aspekte des Datenschutzes 11 Anlage (zu 9 Satz 1)- Teil 2 4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtung zur Datenübertragung vorgesehen ist (Weitergabekontrolle), 5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle), 28

Rechtliche Aspekte des Datenschutzes 12 Anlage (zu 9 Satz 1)- Teil 3 6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle), 7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle), 8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. 29

Rechtliche Aspekte des Datenschutzes 13 Telekommunikationsgesetz (TKG) vom 25.07.1996 (BGBl. I, S. 1120) Erster Teil: Allgemeine Vorschriften 1 Zweck des Gesetzes Zweck dieses Gesetzes ist es, durch Regulierung im Bereich der Telekommunikation den Wettbewerb zu fördern und flächendeckend angemessene und ausreichende Dienstleistungen zu gewährleisten sowie eine Frequenzordnung festzulegen. 2 Regulierung (1) Die Regulierung der Telekommunikation und der Frequenzordnung ist eine hoheitliche Aufgabe des Bundes. 30

Rechtliche Aspekte des Datenschutzes 14 2 Regulierung (2) Ziele der Regulierung sind: die Wahrung der Interessen der Nutzer auf dem Gebiet der Telekommunikation... sowie die Wahrung des Fernmeldegeheimnisses, die Sicherstellung eines... Wettbewerbs,... die Sicherstellung einer flächendeckenden Grundversorgung mit (Universaldienstleistungen) zu erschwinglichen Preisen, die Sicherstellung einer... störungsfreien Nutzung von Frequenzen... die Wahrung der Interessen der öffentlichen Sicherheit. 31

Rechtliche Aspekte des Datenschutzes 15 3 Begriffsbestimmungen Im Sinne dieses Gesetzes ist "Betreiben von Übertragungswegen" Ausüben der rechtlichen und tatsächlichen Kontrolle (Funktionsherrschaft), ist "Betreiben von Telekommunikationsnetzen" Ausüben der rechtlichen und tatsächlichen Kontrolle (Funktionsherrschaft) über die Gesamtheit der Funktionen, die zur Erbringung von Telekommunikationsdienstleistungen... unabdingbar zur Verfügung gestellt werden müssen; dies gilt auch wenn... Übertragungswege... im Eigentum Dritter stehen, ist "Telekommunikation" der technische Vorgang des Aussendens, Übermittelns und Empfangens von Nachrichten jeglicher Art in der Form von Zeichen, Sprache, Bildern oder Tönen mittels Telekommunikationsanlagen 32

Rechtliche Aspekte des Datenschutzes 16 Elfter Teil: Fernmeldegeheimnis, Datenschutz, Sicherung 85 Fernmeldegeheimnis (2) Zur Wahrung des Fernmeldegeheimnisses ist verpflichtet, wer geschäftsmäßig TK-Dienste erbringt oder daran mitwirkt. (3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder anderen über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. 33

Rechtliche Aspekte des Datenschutzes 17 86 Abhörverbot, Geheimhaltungspflicht Mit einer Funkanlage dürfen Nachrichten, die für die Funkanlage nicht bestimmt sind, nicht abgehört werden. 87 Technische Schutzmaßnahmen (1) Wer Telekommunikationsanlagen betreibt, hat bei den... betriebenen Telekommunikations- und DV-Systemen angemessene technische Vorkehrungen oder sonstige Maßnahmen zum Schutze des Fernmeldegeheimnisses und personenbezogener Daten, der programmgesteuerten Telekommunikations- und Datenverarbeitungssysteme gegen unerlaubte Zugriffe, gegen Störungen und gegen äußere Angriffe und Einwirkungen von Katastrophen zu treffen. 34

89 Datenschutz Rechtliche Aspekte des Datenschutzes 18 (1) Die Bundesregierung erläßt... Vorschriften zum Schutze personenbezogener Daten der an der Telekommunikation Beteiligten... Die Vorschriften haben dem Grundsatz der Verhältnismäßigkeit, insbesondere der Beschränkung der Erhebung, Verarbeitung und Nutzung auf das Erforderliche, sowie dem Grundsatz der Zweckbindung Rechnung zu tragen. Dabei sind Höchstfristen für die Speicherung festzulegen... (2) Nach Maßgabe der Rechtsverordnung dürfen Unternehmen, die geschäftsmäßig Telekommunikationsdienste erbringen, die Daten natürlicher und juristischer Personen erheben, verarbeiten und nutzen, soweit dies erforderlich ist... 35

Rechtliche Aspekte des Datenschutzes 19 90 Auskunftsersuchen der Sicherheitsbehörden (1) Wer geschäftsmäßig Telekommunikationsdienste anbietet, ist verpflichtet, Kundendateien zu führen,... (2) Die aktuellen Kundendateien sind... verfügbar zu halten, so daß die Regulierungsbehörde einzelne Daten in einem... automatisierten Verfahren abrufen kann. Der Verpflichtete hat durch technische und organisatorische Maßnahmen sicherzustellen, daß ihm Abrufe nicht zur Kenntnis gelangen können. (6) Der Verpflichtete hat alle Vorkehrungen in seinem Verantwortungsbereich auf seine Kosten zu treffen, die für den automatisierten Abruf erforderlich sind. 36

Technische und Organisatorische Mittel der Datensicherheit 1 Technische Mittel der Datensicherheit Einsatz von technischen Mitteln zur Erhöhung des Datenschutzes, wie z. B.: Einsatz von Klimatechnik und Notstromversorgungen Verfahren zur Kontrolle der Richtigkeit übertragener und gespeicherter Informationen Clustersysteme, RAID-Systeme, Backup-Systeme,... Organisatorische Mittel der Datensicherheit Einsatz von organisatorischen Mitteln zur Erhöhung des Datenschutzes, wie z. B.: Festlegung der Aufgaben und betrauten Personen Zutritts- und Zugriffskontrolle (Loggen aller Transaktionen) Schutz über Kennwörter und Zertifikate 37

Technische und Organisatorische Mittel der Datensicherheit 2 Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik (BSIG) vom 17.12.1990 (BGBl. I 1990, S. 2834) 1 Bundesamt für Sicherheit in der Informationstechnik Der Bund errichtet das Bundesamt für Sicherheit in der Informationstechnik als Bundesoberbehörde. Es untersteht dem Bundesministerium des Innern. 38

Technische und Organisatorische Mittel der Datensicherheit 3 2 Begriffsbestimmungen (1) Die Informationstechnik (IT) im Sinne dieses Gesetzes umfaßt alle technischen Mittel zur Verarbeitung oder Übertragung von Informationen. (2) Sicherheit in der IT im Sinne dieses Gesetzes bedeutet die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Unversehrtheit oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen 1. in informationstechnischen Systemen oder Komponenten oder (Safety) 2. bei der Anwendung von informationstechnischen Systemen oder Komponenten (Security) 39

Technische und Organisatorische Mittel der Datensicherheit 4 3 Aufgaben des Bundesamtes (1) Das Bundesamt hat zur Förderung der Sicherheit in der IT folgende Aufgaben: 1. Untersuchung von Sicherheitsrisiken bei Anwendung der IT sowie Entwicklung von Sicherheitsvorkehrungen, insbesondere von informationstechnischen Verfahren und Geräten für die Sicherheit in der IT, soweit dies zur Erfüllung von Aufgaben des Bundes erforderlich ist, 2. Entwicklung von Kriterien, Verfahren und Werkzeugen für die Prüfung und Bewertung der Sicherheit von informationstechnischen Systemen oder Komponenten, 3. Prüfung und Bewertung der Sicherheit von informationstechnischen Systemen oder Komponenten und Erteilung von Sicherheitszertifikaten, 40

Technische und Organisatorische Mittel der Datensicherheit 5 3 Aufgaben des Bundesamtes (Forts.) 4. Zulassung von informationstechnischen Systemen oder Komponenten, die für die Verarbeitung oder Übertragung amtlich geheimgehaltener Informationen (Verschlußsachen) im Bereich des Bundes... 5. Unterstützung der für Sicherheit in der Informationstechnik zuständigen Stellen des Bundes, insbesondere soweit sie Beratungs- oder Kontrollaufgaben wahrnehmen... 6. Unterstützung a) der Polizeien und Strafverfolgungsbehörden bei der Wahrnehmung ihrer gesetzlichen Aufgaben, b) der Verfassungsschutzbehörden bei der Auswertung... von Informationen, die bei der Beobachtung terroristischer Bestrebungen oder nachrichtendienstlicher Tätigkeiten... anfallen. 41

Technische und Organisatorische Mittel der Datensicherheit 6 3 Aufgaben des Bundesamtes (Forts.) 7. Beratung der Hersteller, Vertreiber und Anwender in Fragen der Sicherheit in der Informationstechnik unter Berücksichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvorkehrungen. (2) Im Falle des Absatzes 1 Nr. 2 werden Entscheidungen über Kriterien und Verfahren, die als Grundlage für die Erteilung von Sicherheitszertifikaten nach 4 dienen, im Einvernehmen mit dem Bundesministerium für Wirtschaft und Technologie getroffen. 42

Ziele des Einsatzes von Mitteln der technischen Datensicherheit 1 Wovor wollen wir uns mit technischen Mitteln schützen? Hardwareausfälle (Bauelemente, Plattencrash etc.) Ausfall der Stromversorgung technisch-physikal. Einflüssen (Magnetfelder, elektro-magn. Feldern, Temperatur,...) menschliches Versagen Vandalismus Naturkatastrophen (Hochwasser, Erdbeben,...) (bedingt: Diebstahl) 43

Ziele des Einsatzes von Mitteln der technischen Datensicherheit 2 Zuverlässigkeit und Verfügbarkeit wird normalerweise in % bezogen auf ein Jahr angegeben was bedeutet eine solche Angabe in der Praxis? Zuverlässigkeit Ausfallzeit pro Jahr Tage Stunden Minuten 95% 18,25 438,00 26280 98% 7,30 175,20 10512 99% 3,65 87,60 5256 99,5% 1,83 43,80 2628 99,9% 0,37 8,76 526 99,99% 0,04 0,88 53 99,999% 0,00 0,09 5 44

Klimatechnik Technische Datensicherheit 1 Für die Zuverlässigkeit der Computertechnik sollten strengste klimatische Kriterien eingehalten werden: Temperatur 20-30 C (optimal 25 C) Oberhalb 30 C nimmt die Zuverlässigkeit schnell ab! rel. Luftfeuchtigkeit 50-75% Zu niedrige Luftfeuchte führt zum Austrocknen der Bauelemente! Oberhalb 90% ist mit Kondenswassserbildung zu rechnen! Geräte im Winter erst 1-2h akklimatisieren lassen! Nie kalt einschalten! Möglichst keine häufigeren, größeren Temperaturzyklen!!! 45

Technische Datensicherheit 2 Klimatechnik und MTBF MTBF in h 300.000 250.000 Am Beispiel von 2 Netzwerkkomponenten unterschiedlicher Komplexität 200.000 150.000 DECserver 716 DECserver 732 100.000 50.000 0 25 C 40 C 50 C 46

Technische Datensicherheit 3 Verfügbarkeit der Stromversorgung mindestens 2 getrennte Unterverteilung in sehr kritischen Fällen 2 unterschiedliche Einspeisungen Schutz gegen Störungen aus dem Elt-Netz Unterbrechungsfreie Stromversorgungen (USV) Redundante unterbrechungsfreie Stromversorgungen Dieselaggregate Redundante Netzteile 47

Technische Datensicherheit 4 Schutz vor Datenverlusten/-verfälschungen Hardwareausfälle (>450.000h MTBF für Platten) t Fn =t F /n ---> Plattenspiegelung, RAID techn.-physikal. Einflüsse reduzieren die MTBF (---> separater, gut temperierter Raum) max. 25m (FWD-SCSI) Zutrittskontrolle S menschliches Versagen --> Backup Diebstahl, Vandalismus und Naturkatastrophen --> Schutzräume, entferntes RZ/verteiltes RZ --> Backup (Sicherung auf einem transportablen Medium) 48

Technische Datensicherheit 5 Plattennutzungsformen Disk-Striping (RAID 0) 1 2 3 4 5 6 Stripe-Set 2-n Platten - gleichmäßige Auslastung - kürzere Zugriffszeiten MTBF Set = MTBF/3 Disk-Mirroring/Shadowing (RAID 1) S M S Mirror-Set 2 x 36,4 GB Information wird auf 2 Platten geschrieben---> beide Platten sind 100% identisch 49

Technische Datensicherheit 6 Disk-Striping+Mirroring (RAID 0+1) S Master Slave 3x36 GB 3x36 GB Stripe-Set Stripe-Set Mirror-Set - bevorzugter Einsatz in DB-Systemen - Leseoperationen: 1200-1500 IO/s RAID mit verteilter Parität (RAID 5) 1 4 7 2 5 P 3 P 8 RAID-Set P 6 9 - preiswert - hohe Sicherheit - gleichmäßige Auslastung der Spindeln - 1 Platte Redundanz 50

Technische Datensicherheit 7 Backup-Technologie = Datenkopie auf einen Hintergrundspeicher, wie Magnetband- oder optische Speicher volles Backup (Abziehen der vollständigen Platten) Inkremental Backup (neue+geänderte Files) Differential Backup Großvater-Vater-Sohn-Prinzip 11.7. 12.7. 13.7. 14.7. 15.7. Großvater Vater Sohn Großvater Vater Sohn Großvater Vater Sohn jeden Freitag: Freitagsband ---> Tresor 51

Cluster-Systeme Technische Datensicherheit 8 Produktionsnetzwerk C C C S Clusterkommunikation A S A sieht aus, wie ein großer Server RAID RAID RAID-Set Cluster-System besteht aus mind. 2 Computern. Vorteile: - gemeinsames Filesystem - gemeinsames Schutz- und Sicherheitsdomäne - gemeinsame Verwaltungsdomäne bekannte Cluster: - OpenVMS (max. 32 Knoten (Rechner+RAID)) - UNIX (LINUX) (max. 8 Rechner) - W2000 (2 Rechner, kein gem. Filesystem) 1982 1992 1997 52

Technische Datensicherheit 9 Technische Netzwerksicherheit Einsatz von FDDI Redundanz durch Doppelring Einsatz von ATM Redundanz durch vermaschtes Netz Einsatz von Ethernet Redundanz durch Ringstrukturen oder vermaschtes Netz Da Ethernet dafür nicht ausgelegt ist, in Verbindung mit: Spanning Tree Protocol (IEEE-Standard) Rapid Reconfiguration Protocol (IEEE-Standard) 53

Technische Datensicherheit 10 Ausfallsredundantes Netzwerk RAID S S Switch Root-Bridge geschlossene Ringe sind unzulässig Switch Switch Switch Switch PC... PC PC... PC PC... PC PC... PC Problem: Spanning Tree hat bei größeren Systemen sehr große Reorganisationszeiten, neu IEEE 802.1w (rapid reconf.) 54

Desaster-Tolerance Technische Datensicherheit 11 ist die Realisierung der Datenverarbeitung (oder von Teilfunktionen) an geografisch unterschiedlichen Orten. ---> Entfernte Datensicherung s RZ ---> Entfernte Datenspiegelung s RAID Daten LWL-Anbindung (l<5km /70km) LWL-Anbindung Datensicherung RAID-System RAID Ausfall 2d Datenverluste für max. 1d Ausfall 1d absolut keine Datenverluste 55

Technische Datensicherheit 12 ---> entfernter Server (cold stand-by) s RAID LWL-Anbindung ---> verteiltes Cluster Produktionsnetzwerk s RAID Ausfall 1-2h kalte Reserve + entfernte Datenspiegelung S RAID Clusterkommunikation Fibre Channel S RAID Ausfall 1-5min heiße Reserve bzw. verteiltes Cluster 56

Organisatorische Maßnahmen 1 Organisatorische Maßnahmen gemäß BDSG Zugangskontrolle (unbefugter Zugang zur DVA) Verhinderung des physikalischen Zugriffs zum Datenverarbeitungssystem (Serverräume, Netzwerkräume, Archiv etc.) Schutz der Mitarbeiterräume der Abt. O/D Registrierung des Betretens und Verlassens der sensiblen Räume Chip-Karten Transponder-Systeme Fingerabdrücke 57

Organisatorische Maßnahmen 2 Organisatorische Maßnahmen gemäß BDSG Datenträgerkontrolle (unbef. Benutzen von DT) Schutz von Plattenspeichern, Optischen Datenträgern und Magnetbändern vor unbefugter Benutzung Verschließen der Plattenspeicher-Schränke Schutz der Archiv-Räume Zerstörung von ausgedienten Medien Vorsicht bei der Weitergabe von Geräten zur Reparatur 58

Organisatorische Maßnahmen 3 Organisatorische Maßnahmen gemäß BDSG Speicherkontrolle (unbefugte Benutzung der Daten) Schutz der Speichermedien gegen eine unbefugte Benutzung, wie Zugriff auf Magnetbandgeräte und Archiv-Systeme Schutz gegen das Mounten von Filesystemen, Einsatz von Access Control Lists (ACL), Registrierung des Mountens von Filesystemen Dokumentation der Zugriffsrechte zu den Speichersystemen Verschlüsselung der Datenbanken etc. 59

Organisatorische Maßnahmen 4 Organisatorische Maßnahmen gemäß BDSG Benutzerkontrolle (unbefugte Benutzung des BS) Schutz der Computersysteme und des Netzwerkes gegen eine unbefugte Benutzung über Passwörter Identifikationskarten (Secure Card) Fingerabdrücke mehrstufige Schutzmechanismen Registrierung des An- und Abmeldens der Benutzer Verhinderung des Umgehens der Schutzmechanismen 60

Organisatorische Maßnahmen 5 Organisatorische Maßnahmen gemäß BDSG Zugriffskontrolle (Zugriff nur zu zugriffsberechtigten Daten) In Abhängigkeit von den Benutzerrechten wird der Zugriff zu den Datenfeldern erlaubt Implementierung in der Applikationssoftware und in den Datenbanken Benutzerprofile bestimmt, ob der Benutzer z.b. Preise ändern, Preise ansehen oder nicht ansehen darf etc. 61

Organisatorische Maßnahmen 6 Organisatorische Maßnahmen gemäß BDSG Übermittlungskontrolle (wann an wen übergeben) Registrierung wann und an wen welche Daten übergeben werden Identifizierung der Person, an die die Daten übergeben werden Authentifizierung der Computer, zwischen denen die Daten übertragen werden, bei netzwerkgestützter Übermittlung der Daten 62

Organisatorische Maßnahmen 7 Organisatorische Maßnahmen gemäß BDSG Eingabekontrolle (wann von wem eingeben) Identifikation der Benutzer die Daten eingeben, ändern oder löschen Protokollieren der ausgeführten Transaktionen (Schreiben von Logfiles) Schutz der Logfiles (ev. Verschlüsselung) muß in den Applikationsprogrammsystemen implementiert werden 63

Organisatorische Maßnahmen 8 Organisatorische Maßnahmen gemäß BDSG Auftragskontrolle (nur dem Auftrag entsprechend) Kontrolle der Mitarbeiter, daß die Daten nur entsprechend dem Auftrag verarbeitet werden (insbesondere wenn die Daten im Auftrage dritter verarbeitet werden) im Normalfall ergibt sich die Auftragskontrolle durch das Benutzer-Profile Belehrung der Mitarbeiter, daß die Daten nur für die Zwecke gemäß Auftrag benutzt und verarbeitet werden dürfen 64

Organisatorische Maßnahmen 9 Organisatorische Maßnahmen gemäß BDSG Transportkontrolle (sicherer Transport der Daten) Überwachung des Transports der Daten zum Backupoder Archiv-Standort etc. Stillschweigen über die Details eines Transports Versiegelte/verplombte Transportbehälter Beim Transport von Daten über das Internet Anwendung der Authentifizierung der Netzwerkknoten und Verschlüsselung der Daten 65

Organisatorische Maßnahmen 10 Organisatorische Maßnahmen gemäß BDSG Organisationskontrolle (Gestaltung der Organisation) Nachweisbare Festlegung aller Details der Durchführung der Datenverarbeitung: Wer ist zu welchen Arbeiten berechtigt Wer darf welche Passwörter wissen Wer darf Benutzer einrichten/ändern Wer darf das Backup anfertigen und die Bänder wechseln Wo und wie werden die Daten gelagert/archiviert... Nachweisbare Belehrung der Mitarbeiter über ihre Aufgaben und Pflichten 66

IP-Sicherheit 1 Firmeninterne LANs Seit langem verbreitet, insbesondere basierend NetBIOS und Novell Firmennetze werden heute größer und erhalten Internetcharakter, da alte Protokolle unzureichend IP hat sich in den letzten Jahren durchgesetzt NetBIOS über TCP (NBT) statt NetBEUI Novell schwenkt vollständig zu IP Boom der WWW-Technik, langjährig bewährte Systeme für E-Mail und Diskussionsgruppen ==> warum nicht wiederverwenden? 67

IP-Sicherheit 2 Firmeninterne weltweite Netze Aufbau eines firmeninternen LAN-Verbundes Benutzung der Internet-Technologie TCP/IP Routing LAN-Kopplung analog dem Internetzugang Mitarbeitereinwahl analog dem privaten Internetzugang bei ISPs Benutzung von Internet Informationssystemen: WWW, USENET News, EMail, FTP u.a.m. 68

IP-Sicherheit 3 Arten von Angriffen Viren Programme, die sich über ein Wirts-Programm ausbreiten (ausführbare Programme oder Scripte) Würmer Programme, die sich selbsttätig über das Netzwerk von Computer zu Computer ausbreiten Trojaner heimlich ausgetauschtes Programm zum Ausführen oder Verschleiern von Angriffen Backdoors Programme, die in infizierte Rechner eingebaut werden, um jederzeit die Kontrolle über sie zu erlangen 69

Firewalls IP-Sicherheit 4 IP-Sicherheit wird grundsätzlich über Firewalls realisiert Internet L3-Netz! Firewall eingehend ausgehend Ein Firewall läßt im Grundzustand nichts durch, kann aber kontrolliert geöffnet werden. Warum Kontrolle des eingehenden Verkehrs? Erkennen + Unterbinden von Hackerangriffen Schutz vor dem Einschleusen von Viren 70

IP-Sicherheit 5 Warum Kontrolle des ausgehenden Verkehrs? Schutz der firmeninternen Daten gegen nicht berechtigtes Versenden (auch Trojanische Pferde) Schutz der Arbeitszeit der Mitarbeiter gegen mißbräuchliche Verschwendung Schutz gegen unkontrollierten E-Mail-Verkehr (Unterschriftsordnung) Schutz gegen Mißbrauch des Internetzugang für Hackerangriffe aus der Firma Schutz gegen Mißbrauch des Internet für Gesetzesverletzungen (Kinderpornographie, rechtsradikale Organisationen,...) Kostenreduzierung 71

IP-Sicherheit 6 Sicherheit vs. Freiheit der Internet-Nutzung Totale Verbindung Keine Verbindung Keine Sicherheit Router mit Filtern (L3-Filter) Circuit Level Firewall (L3/L4- Filter) Proxy Firewall Email oder proprietäre Dienste Totale Sicherheit 72

IT-Grundschutz 1 Grundlagen für die IT-Grundschutzzertifizierung IT-Grundschutzhandbuch 2002 (55 Bausteine, 600 Maßnahmen, 2194 Seiten) einfache, strukturierte Vorgehensweise Umsetzung kann hohen Aufwand nach sich ziehen Referenz für Aufsichtsbehörden in Deutschland kostenlos erhältlich (www.bsi.bund.de) ISO 17799 International bekannt uns akzeptiert große Freiheit bei der Umsetzung das erreichte Sicherheitsniveau ist für Außenstehende nicht transparent 73

IT-Grundschutz 2 Für wen erforderlich? Unternehmen und Behörden, die mit anderen kooperieren Behörden mit E-Government E-Commerce-Anbieter Unternehmen, die wegen gesetzlicher oder anderer Vorschriften ihre IT-Sicherheit dokumentieren müssen Was kann zertifiziert werden? ein oder mehrere Geschäftsprozesse eine oder mehrere Fachaufgaben eine oder mehrere Organisationseinheiten - nicht unbedingt das gesamte Unternehmen! 74

IT-Grundschutz 3 Arten der Zertifizierung Vertrauenswürdigkeit IT-Grundschutz-Zertifikat Selbsterklärung Aufbaustufe mit Testat mit Testat Selbsterklärung Einstiegsstufe Sicherheit Pauschalgebühr für die Zertifizierung: Pauschalgebühr für die Selbsterklärung: 2.500 EUR 20 EUR 75

IT-Grundschutz 4 Arten der Zertifizierung Selbsterklärung ist auf 2 Jahre beschränkt Eine Verlängerung ist nicht möglich, aber es kann eine Selbsterklärung für eine höhere Sicherheitsstufe gestellt werden. Die Gültigkeit des IT-Grundschutz-Zertifikats ist auf zwei Jahre beschränkt. Nach Ablauf der Gültigkeit muß ein Antrag auf Re- Zertifizierung gestellt werden Die Testate müssen durch von BSI-lizenzierte IT- Grundschutz-Auditoren erstellt werden (z.z. ca. 80 lizenzierte Auditoren) 76

Methodik IT-Grundschutz 5 IT-Strukturanalyse Analyse des Ist-Zustandes (Systeme und Anwendungen) Feststellung des Schutzbedarfes IT-Grundschutzanalyse Basis-Sicherheitschecks (Soll-Ist-Vergleich) ergänzende Sicherheitsanalyse Konsolidierung der Maßnahmen Realisierung der Maßnahmen 77

IT-Grundschutz 6 Aufwand und Kosten Sichtung der bestehenden Unterlagen und Plausibilitätsprüfung Verifikation der Umsetzung (10 Bausteine) Abschlußbericht für das BSI Gesamtaufwand abhängig von Größe und Komplexität der IT- Infrastruktur 2-3 d 12-20 d 1-2 d 15-25 d Voraussetzung: Die IT-Abteilung hat ihre Hausaufgaben gemäß der diskutierten Methodik gründlich gemacht 78

Was ist zu bewerten? IT-Grundschutz 7 Übergeordnete Komponenten IT-Sicherheitsmanagement, Organisation, Notfallkonzept,... Infrastruktur Gebäude, Verkabelung, Serverraum, Datenträgerarchiv,... Clients Vernetzte Systeme Server-Systeme (nachfolgend: Beispiel Modul Windows-2000), Netzwerk, Netz- und Systemmanagement,... Datenübertragungseinrichtungen Firewall, E-Mail-Server, WWW-Server, Remote Access,... Telekommunikation TK-Anlage, Fax-Server, LAN-Anbindungen,... Sonstige IT-Komponenten Standardsoftware, Datenbanken, Telearbeit,... In der Summe: 55 Module 79

IT-Grundschutz 8 Gefährdungskataloge enthalten die ausführlichen Beschreibungen der Gefährdungen, die in den einzelnen Bausteinen als Gefährdungslage genannt wurden. Die Gefährdungen sind in fünf Kataloge gruppiert: G1: Höhere Gewalt G2: Organisatorische Mängel G3: Menschliche Fehlhandlungen G4: Technisches Versagen G5: Vorsätzliche Handlungen 80

IT-Grundschutz 9 Maßnahmenkataloge beschreiben die in den Bausteinen des Handbuchs zitierten IT- Sicherheitsmaßnahmen ausführlich. Die Maßnahmen sind in sechs Kataloge gruppiert: M 1: Infrastrukturelle Maßnahmen M 2: Organisatorische Maßnahmen M 3: Personelle Maßnahmen M 4: Maßnahmen im Bereich Hard- und Software M 5: Maßnahmen im Kommunikationsbereich M 6: Notfallvorsorge-Maßnahmen 81

IT-Grundschutz 10 Prioritäten der Maßnahmen Mit einer Zahl in Klammern wird jeder Maßnahme eine Priorität zugewiesen. Diese ist für ein zu erstellenden Realisierungsplan von großer Bedeutung. In der Praxis treten gerade in dieser Phase häufig finanzielle, zeitliche oder auch personelle Engpässe auf. Folgende Prioritätsstufen wurden vergeben: (1) Maßnahme ist Grundlage für die Sicherheit innerhalb des betrachteten Bausteins. Sie ist vorrangig umzusetzen. (2) Maßnahme ist wichtig. Eine zügige Realisierung ist anzustreben. (3) Maßnahme ist wichtig für die Abrundung der IT- Sicherheit. Bei Engpässen kann sie zeitlich nachrangig umgesetzt werden (oft auch als optional gekennzeichnet). 82

IT-Grundschutz - Baustein W2000 Beispiel: Windows 2000 - das am häufigsten eingesetzte Betriebssystem Wie jedes IT-System ist auch ein Netz mit Microsoft Windows 2000 Servern vielfältigen Gefahren ausgesetzt (Angriffen von außen und von innen). Bei Angriffen werden Fehlkonfigurationen von Systemkomponenten ausgenutzt. Hauptunterschiede zu Windows NT Windows 2000 bietet neue Sicherheitsmechanismen (Kerberos-Protokoll als Basis für Domänen-übergreifende Authentisierungen) Eine der wichtigsten neuen Komponenten ist das Active Directory (verteilte Datenbank, die die Benutzer- und Konfigurationsdaten einer Domäne auf mehrere Domänen- Controller verteilt). 83

IT-Grundschutz - Baustein W2000 Unter Sicherheitsaspekten spielt das Active Directory eine wichtige Rolle, da es viele sicherheitsrelevante Daten enthält, über eigene, dem Dateisystem sehr ähnliche Zugriffskontrollmechanismen verfügt, sowie die Basis für Gruppenrichtlinien zur Erteilung für Zugriffsrechte und Privilegien in Windows 2000 bildet. Weitere sicherheitsspezifische Neuerungen von Windows 2000 sind: die Dateiverschlüsselung durch EFS (Encrypting File System), die Unterstützung von Chipkarten zur Anmeldung an Windows 2000 Benutzerkonten, die in Windows 2000 integrierte PKI-Funktionalität, sowie die Unterstützung von IPSec zur Netzverschlüsselung. 84

IT-Grundschutz - Baustein W2000 Gefährdungslage für Baustein "Windows 2000 Katalog zeigt 21 Gefährdungen auf: G 1.1 Personalausfall G 1.2 Ausfall des IT-Systems G 2.1 Fehlende oder unzureichende Regelungen G 2.2 Unzureichende Kenntnis über Regelungen G 2.4 Unzureichende Kontrolle der IT-Sicherheitsmaßnahmen G 4.23 Automatische CD-ROM-Erkennung... G 5.52 Missbrauch von Administratorrechten im Windows NT/2000 Systemen G 5.71 Vertraulichkeitsverlust schützenswerter Informationen G 5.83 Kompromittierung kryptographischer Schlüssel G 5.84 Gefälschte Zertifikate G 5.85 Integritätsverlust schützenswerter Informationen 85

IT-Grundschutz - Baustein W2000 Gefährdung G 1.1 - Personalausfall Durch Krankheit, Unfall, Tod oder Streik kann ein nicht vorhersehbarer Personalausfall entstehen. Auch ein Personalausfall bei einer regulären Beendigung des Arbeitsverhältnisses ist zu berücksichtigen (Resturlaubsanspruch!). Die Konsequenz kann sein, dass entscheidende Aufgaben im IT- Einsatz nicht mehr wahrgenommen werden. Dies ist besonders kritisch, wenn die betroffene Person eine Schlüsselstellung im IT- Bereich einnimmt und aufgrund fehlenden Fachwissens anderer nicht ersetzt werden kann. Störungen des IT-Betriebs können die Folge sein. Personalausfall kann zusätzlich einen empfindlichen Verlust von Wissen und Geheimnissen nach sich ziehen, der die nachträgliche Übertragung der Tätigkeiten auf andere Personen unmöglich macht. 86

IT-Grundschutz - Baustein W2000 Gefährdung G 1.1 - Personalausfall Beispiele: Aufgrund längerer Krankheit blieb der Netzadministrator vom Dienst fern. In der betroffenen Firma lief das Netz zunächst fehlerfrei weiter. Nach zwei Wochen jedoch war nach einem Systemabsturz niemand in der Lage, den Fehler zu beheben. Dies führte zu einem Ausfall des Netzes über mehrere Tage. Während des Urlaubs des Administrators muss auf die Backupbänder im Datensicherungstresor zurückgegriffen werden. Der Zugangscode zum Tresor wurde erst kürzlich geändert und ist nur dem Administrator bekannt. Erst nach mehreren Tagen konnte die Datenrestaurierung durchgeführt werden, da der Aufenthaltsort des Administrators zuerst ermittelt werden musste. 87

IT-Grundschutz - Baustein W2000 Maßnahmenbündel für Baustein "Windows 2000 ingesamt 32 Maßnahmen: M 2.25 (1) Dokumentation der Systemkonfiguration M 2.40 (2) Rechtzeitige Beteiligung des Personal-/Betriebsrates M 2.227 (1) Planung des Windows 2000 Einsatzes M 2.228 (1) Festlegen einer Windows 2000 Sicherheitsrichtlinie M 2.229 (1) Planung des Active Directory M 2.230 (1) Planung der Active Directory-Administration M 2.231 (1) Planung der Gruppenrichtlinien unter Windows 2000... M 6.32 (1) Regelmäßige Datensicherung M 6.43 (1) Einsatz redundanter Windows NT/2000 Server M 6.76 (1) Erstellen eines Notfallplans für den Ausfall des Servers M 6.77 (2) Erstellung von Rettungsdisketten für Windows 2000 M 6.78 (1) Datensicherung unter Windows 2000 88

IT-Grundschutz - Baustein W2000 Maßnahme M6.32 Regelmäßige Datensicherung Verantwortlich für Initiierung: IT-Sicherheitsmanagement, Leiter IT Verantwortlich für Umsetzung: Administrator, IT-Benutzer für Mitwirkung Ziel: Vermeidung von Datenverlusten Weitgehende automatisierte regelmäßige Datensicherung auf Basis eines Datensicherungskonzepts Vertrauliche Daten sollten vor der Sicherung möglichst verschlüsselt werden, wobei darauf zu achten ist, dass eine Entschlüsselung auch nach einem längeren Zeitraum möglich sein sollte (siehe M 6.56 Datensicherung bei Einsatz kryptographischer Verfahren). 89

IT-Grundschutz - Baustein W2000 Maßnahme M6.32 Regelmäßige Datensicherung Abhängig von der Menge und Wichtigkeit der Daten und eines möglichen Schaden bei Verlust ist festzulegen: Zeitintervall Beispiele: täglich, wöchentlich, monatlich, Zeitpunkt Beispiele: nachts, freitags abends, Anzahl der aufzubewahrenden Generationen, Beispiel: Bei täglicher Komplettsicherung - die letzten sieben Sicherungen, sowie die Freitag-Sicherung der letzten zwei Monate. Umfang der zu sichernden Daten Speichermedien (abhängig von der Datenmenge) Vorherige Löschung der Datenträger vor Wiederverwendung Zuständigkeit für die Durchführung (Administrator, Benutzer) Zuständigkeit für die Überwachung der Sicherung Dokumentation der erstellten Sicherungen 90

IT-Grundschutz - Baustein W2000 Maßnahme M6.32 Regelmäßige Datensicherung Alle Benutzer sollten über die Regelungen zur Datensicherung informiert sein, um ggf. auf Unzulänglichkeiten hinweisen oder individuelle Ergänzungen vornehmen zu können (zum Beispiel zwischenzeitliche Spiegelung wichtiger Daten auf der eigenen Platte). Auch die Information der Benutzer darüber, wie lange die Daten wiedereinspielbar sind, ist wichtig. Werden bei vernetzten Rechnern nur die Server-Platten gesichert werden, müssen indiviuelle Benutzerdaten dorthin überspielt werden. Ergänzende Kontrollfragen: Sind alle Daten eines Rechners gesichert? Wird der Datensicherungsvorgang dokumentiert? 91

Zusammenfassung IT-Grundschutz Der absolute Schutz ist nicht möglich, weil die Materie viel zu komplex ist Wichtig ist das Entwickeln eines Sicherheitsbewußtseins und die schrittweise Implementierung eines gewissen Grundschutzes Das Herstellen eines Grundschutzes in der Einstiegsstufe gemäß BSI erfordert eine ein- bis zweijährige Arbeit In zwei bis drei Jahren könnte ein BSI-Grundschutzzertifikat einen Wettbewerbsvorteil darstellen Man spricht in Fachkreisen davon, daß in 6-7 Jahren das BSI-Grundschutzzertifikat bei der Auftragsvergabe ein entscheidendes Kriterium sein wird. 92

Vielen Dank! Fragen Sie! Wir antworten.