Warum ist IT-Sicherheit ein zentrales Thema für Unternehmen, laut aktuellen Studien?
IT-Sicherheit gehört laut einer PwC-Studie von 2021 zu den drei größten Sorgen deutscher CEOs. 83 % befürchten Cyberbedrohungen. Angesichts zunehmender Angriffe planen 80 % Investitionen in die Cybersicherheit innerhalb von drei Jahren.
Welche Cyberangriffsarten wurden in der Bitkom-Studie 2021 identifiziert?
Laut der Bitkom-Studie sind die häufigsten Angriffsarten:
- Schadsoftware (31%)
- Denial of Service (27%)
- Spoofing (20%)
- Phishing (18%)
- Passwortangriffe (18%)
- Ransomware (18%)
- SQL-Injection (17%)
- Cross-Site-Scripting (9%)
- Man-in-the-middle (5%)
Welche drei Sichtweisen auf IT-Sicherheit werden unterschieden?
1. Abwesenheit von Gefahren, Schwachstellen und Risiken
2. Existenz von Sicherungsmaßnahmen
3. Individuell und situationsspezifisch definierbarer Zustand (nach Heinrich & Stelzer)
Wie unterscheidet sich die IT-Sicherheitssichtweise von Heinrich & Stelzer von den anderen?
Sie betonen, dass Sicherheit nicht nur durch Maßnahmen oder Risikoausschluss erreicht wird, sondern abhängig ist von Anforderungen, Risikobereitschaft und Kontext. Sie sehen Sicherheit als dynamisches, nicht vollständig erreichbares Ziel
Was bedeutet der Vergleich zwischen IT-Sicherheit und Gesundheit (WHO)?
IT-Sicherheit wird analog zur WHO-Definition von Gesundheit als ein Zustand vollständigen Wohlbefindens verstanden – also nicht nur als Abwesenheit von Schwachstellen, sondern als Erfüllung vielschichtiger Anforderungen (z.B. organisatorisch, wirtschaftlich, sozial).
Was ist IT-Sicherheitsmanagement und was sind seine Aufgaben?
IT-Sicherheitsmanagement ist die Gesamtheit aller Führungsaufgaben, Techniken, Mittel und Organisationen zur Sicherstellung der IT-Sicherheit. Es plant, steuert und kontrolliert den Sicherheitsprozess kontinuierlich – nicht als einmaliges Projekt, sondern als dauerhaften Prozess.
Was sind die drei Grundziele der IT-Sicherheit
1. Vertraulichkeit – nur befugte Personen dürfen auf Informationen zugreifen.
2. Integrität – Informationen und Systeme müssen unverfälscht und vollständig sein.
3. Verfügbarkeit – Informationen und Systeme müssen nutzbar und funktionstüchtig sein, wenn sie gebraucht werden.
Welche weiteren Sicherheitsziele neben CIA gibt
- Authentizität: Echtheit von Kommunikationspartnern oder Daten
- Nichtabstreitbarkeit: Handlungen können nicht abgestritten werden
- Verbindlichkeit: Rechtssicherheit im IT-Kontext
- Anonymität: Schutz der Identität von Akteuren, z.B. bei Online-Wahlen
Wie unterscheiden sich Bedrohung, Gefährdung, Schwachstelle und Angriff?
- Schwachstelle: Eine technische oder organisatorische Schwäche
- Bedrohung: Potenzielles Ereignis, das Schaden verursachen kann
- Gefährdung: Kombination aus Schwachstelle und Bedrohung
- Angriff: Vorsätzliche Handlung, die eine Schwachstelle ausnutzt
Was versteht man unter Sicherungsmaßnahmen und wie werden sie klassifiziert?
Sicherungsmaßnahmen sind organisatorische oder technische Maßnahmen zum Schutz der IT. Sie werden unterteilt in:
- Präventiv (vermeiden),
- Überwachend (erkennen),
- Reaktiv (Folgen begrenzen).
Ein Mitarbeiter späht E-Mails zwischen dem Vorstand und einem anderen Unternehmen aus – welche Sicherheitsziele sind betroffen?
Vertraulichkeit wird verletzt, da unbefugter Zugriff auf sensible Daten erfolgt.
Ein Rechenzentrum wird durch Hochwasser zerstört – welche Sicherheitsziele sind betroffen?
Verfügbarkeit ist primär betroffen, möglicherweise auch Integrität und Vertraulichkeit, je nach Schaden.
Ein Hacker platziert ein Schadprogramm in der Firewall – welche Sicherheitsziele sind betroffen?
Vertraulichkeit (Abfluss von Informationen), Integrität (Manipulation) und evtl. Verfügbarkeit.
Kreditkartendaten gelangen durch einen Fehler an Kriminelle – was wird verletzt?
Vertraulichkeit durch unbefugten Zugriff und evtl. Integrität durch falsche Datenverarbeitung.
Ein Entwickler programmiert ein Spiel in eine Buchhaltungssoftware – welche Ziele werden betroffen?
Integrität des Programms und evtl. Verfügbarkeit, wenn das Spiel Ressourcen blockiert.
Sind Computerviren eine Bedrohung oder eine Gefährdung?
Viren selbst sind Bedrohungen – sie können Schaden verursachen. Wenn sie auf eine vorhandene Schwachstelle treffen und ausgenutzt werden, entsteht eine Gefährdung.
Was ist das Ziel des Ebenenmodells der IT-Sicherheit nach Stelzer?
Das Ebenenmodell nach Stelzer dient dazu, sicherheitsrelevante Elemente, Gefährdungen und Sicherungsmaßnahmen systematisch zu strukturieren. Es erleichtert die Entwicklung von Sicherheitskonzepten, z. B. nach dem Grundschutzkonzept des BSI.
Welche vier Ebenen unterscheidet Stelzers Ebenenmodell?
Nenne je ein Beispiel für ein sicherheitsrelevantes Element, eine Gefährdung und eine Maßnahme der physischen Ebene.
- Element: Serverraum
- Gefährdung: Feuer
- Maßnahme: Feuerschutztüren, Brandschutzsysteme, USV-Anlagen
Welche Gefahren gehören zur logischen Ebene und welche Maßnahmen können dort ergriffen werden?
Gefahren: Computerviren, unautorisierte Datenzugriffe
Maßnahmen: Virenscanner, Firewalls, Zugriffssteuerungssysteme
Wie gliedert das BSI das Ebenenmodell für den IT-Grundschutz?
Das Modell unterscheidet Prozess- und System-Bausteine. Prozess-Bausteine umfassen Schichten wie ISMS, ORP, CON, OPS und DER. System-Bausteine sind APP, SYS, IND, NET und INF
Was versteht man unter der ISMS-Schicht im BSI-Modell?
Die ISMS-Schicht ist das Fundament des Sicherheitsprozesses. Sie enthält das Sicherheitsmanagement und legt die strategischen Grundlagen für alle weiteren Sicherheitsmaßnahmen.
Nennen Sie für jede der vier Ebenen im Stelzer-Modell je ein Element, eine Gefährdung und eine Maßnahme.
**Physisch**: Serverraum – Feuer – Feuerschutztür
**Logisch**: Kundendaten – Virus – Virenscanner
**Organisatorisch**: IT-Mitarbeiter – Regelverstoß – Vier-Augen-Prinzip
**Rechtlich/ökonomisch**: Vertragsrecht – Gesetzesänderung – Versicherungspolice
Wozu dient das Kausalmodell der IT-Sicherheit nach Stelzer?
Es beschreibt Ursache-Wirkung-Beziehungen sicherheitsgefährdender Ereignisse – von der Gefahrenquelle über die Gefahr zum Ereignis und den unmittelbaren sowie mittelbaren Konsequenzen.
Was ist eine Gefahrenquelle laut
Eine Gefahrenquelle ist ein Ursprung einer Bedrohung. Beispiele: Menschliches Fehlverhalten, technische Defekte, Naturgewalten.
Was sind primäre und sekundäre Konsequenzen eines sicherheitsgefährdenden Ereignisses?
**Primär**: Direkte Folgen wie Zerstörung, Veränderung, Ausfall, unbefugte Nutzung oder Kenntnisnahme.
**Sekundär**: Indirekte Folgen wie Betriebsunterbrechung, Umsatzverluste oder Reputationsschäden.
Was ist der Unterschied zwischen einem Ebenenmodell und einem Kausalmodell in der IT-Sicherheit?
Ein Ebenenmodell strukturiert sicherheitsrelevante Elemente nach Kategorien (physisch, logisch etc.), während ein Kausalmodell die Ursache-Wirkung-Kette eines Vorfalls beschreibt – von der Gefahrenquelle bis zum Schaden.
Wie könnte man ein real existierendes Informationssystem mithilfe des Stelzer-Modells analysieren?
Man könnte ein Buchungssystem untersuchen, indem man z. B. die Serverräume (physisch), die Buchungssoftware (logisch), die Mitarbeiterrollen (organisatorisch) und gesetzliche Vorgaben (rechtlich) betrachtet und jeweils potenzielle Gefahren sowie passende Maßnahmen zuordnet.
Beschreiben Sie ein Beispiel für ein sicherheitsgefährdendes Ereignis und seine Konsequenzen.
Ein Mitarbeiter löscht versehentlich eine Datenbank (Gefährdung durch Fehlbedienung). Primäre Konsequenz: Datenverlust. Sekundäre Konsequenz: Stillstand im Kundenservice, Umsatzverlust, Image-Schaden.
Was ist das Ziel eines Managementsystems für IT-Sicherheit?
Ein angemessenes IT-Sicherheitsniveau systematisch zu erreichen, zu erhalten und weiterzuentwickeln. Es umfasst Planung, Umsetzung, Kontrolle und kontinuierliche Verbesserung aller sicherheitsrelevanten Maßnahmen.
Welche zentralen Elemente gehören laut BSI zu einem Managementsystem für IT-Sicherheit?
IT-Sicherheitsstrategie
- IT-Sicherheitsleitlinie
- IT-Sicherheitskonzept
- IT-Sicherheitsorganisation
- Managementprinzipien
- IT-Sicherheitsprozess
- Bereitstellung von Ressourcen
- Sensibilisierung und
Was beschreibt eine IT-Sicherheitsstrategie?
Grundlegende Festlegungen des Managements zur Bedeutung der IT-Sicherheit, z. B. welche Sicherheitsziele verfolgt werden sollen und wie IT-Sicherheit in die Gesamtstrategie eingebettet wird.
Warum muss eine IT-Sicherheitsstrategie mit der Unternehmensstrategie abgestimmt sein?
IT-Sicherheit beeinflusst Geschäftsprozesse und Ressourcenverteilung. Eine Entkopplung kann zu Widersprüchen zwischen operativen Zielen und Sicherheitsanforderungen führen.
Welche Arten von IT-Zertifizierungen unterscheidet man?
- Zertifizierung von IT-Produkten
- Zertifizierung von IT-Sicherheitsdienstleistern und Prüfstellen
- Personenzertifizierungen
- Zertifizierung von IT-Sicherheitsmanagementsystemen
Was ist ein IT-Sicherheitskonzept?
Ein Plan zur Erreichung und Erhaltung eines gewünschten Sicherheitsniveaus. Es basiert auf Risikoanalysen oder dem Grundschutzmodell.
Was sind die Common Criteria?
Ein internationaler Standard zur Evaluierung der Sicherheit von IT-Produkten (ISO/IEC 15408). Sie bieten ein gemeinsames Rahmenwerk für Prüf- und Zertifizierungsverfahren.
Welche Rollen sind bei einer Produktzertifizierung beteiligt?
Antragsteller (Hersteller/Vertreiber)
- Prüfstelle (technische Evaluierung)
- Zertifizierungsstelle (BSI, Prüfung & Ausstellung)
Welche Vorteile bietet eine Produktzertifizierung für Hersteller?
- Höhere Marktchancen
- Nachweis der Qualität
- Erleichterung internationaler Marktzugänge
- Innovationsförderung
Was enthält ein Zertifizierungsreport?
Das Sicherheitszertifikat, eine sicherheitstechnische Produktbeschreibung, Bewertungsergebnisse und Anwendungshinweise. Die Gültigkeit ist abhängig von Algorithmen und Anwendungsbereich.
Wozu dienen Technische Richtlinien (TR) des BSI?
Sie konkretisieren Sicherheits- und Funktionsanforderungen an bestimmte Systeme und dienen als Prüfgrundlage für Zertifizierungen, z. B. für De-Mail oder ePass-Systeme.
Welche Anforderungen gelten für Prüfstelle-Zertifizierungen durch das BSI?
Zuletzt geändertvor einem Monat
