Datenträgerarchiv: Welche Sicherheitsmaßnahme ist für ein Datenträgerarchiv NICHT sinnvoll?
IDS - Ein Intrusion Detection System ist für ein Datenträgerarchiv nicht sinnvoll, da es sich um physische Datenträger handelt, nicht um ein aktives Netzwerk. Oder umkopieren???
DoS-Angriff: Was braucht ein Angreifer?
Ports des Opfers - Für DoS-Angriffe müssen Angreifer die Ports des Zielsystems kennen, um diese mit Anfragen zu überlasten.
DDoS-Attacken: Frage zu DDoS-Attacken
DDoS (Distributed Denial of Service) sind Angriffe von mehreren Teilnehmern gleichzeitig, oft über Bot-Netze, um Dienste lahmzulegen.
IPS-Heuristik: Was bedeutet heuristisch, wie das heuristische Verfahren, das bei IPS eingesetzt wird?
Heuristisch bedeutet, dass das IPS anhand von Mustern und Verhaltensanalysen Angriffe erkennt, auch wenn diese noch nicht in der Signaturdatenbank bekannt sind.
TCP/UDP-Protokolle: Zwei Fragen zu den Protokollen (TCP, UDP usw.) - zum Ankreuzen und einfach gehalten
TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und schneller. TCP wird für Datenübertragung verwendet, UDP für Echtzeitanwendungen wie VoIP.
TCP/IP-Modell: Zuordnung im TCP/IP-Modell
Von unten nach oben: Netzzugangsschicht, Internetschicht (IP), Transportschicht (TCP/UDP), Anwendungsschicht (HTTP, FTP, SMTP).
WLAN-Standard: Welcher WLAN-Standard? (802.3 oder 802.11?)
IEEE 802.11 - Dies ist der WLAN-Standard. IEEE 802.3 ist der Ethernet-Standard für kabelgebundene Netze.
Firewall-Integrität: Welche Maßnahmen helfen NICHT bei dem Erhalt der Integrität von durchgeleiteten Daten einer Firewall
Redundantes Netzteil
Externe Firewall: Was ist NICHT notwendig?
Typischerweise sind interne Benutzerauthentifizierung oder lokale Datenspeicherung nicht notwendig für externe Firewalls. Zugriffsregelung, Virenscanner
Schadsoftware E-Mail: Was kann sich nicht alleine per E-Mail verbreiten?
Virus - Viren benötigen einen Wirt (ausführbare Datei) und können sich nicht alleine per E-Mail verbreiten, sondern nur als Anhang.
Backup-Schutz: Welche Angriffe kann man durch Backups verhindern?
Keinem
DoS-Schutz: Wie kann man einen DoS-Angriff verhindern?
Ports abschalten - Unnötige Dienste und Ports sollten deaktiviert werden. Weitere Maßnahmen: Firewalls, Lastverteilung, IPS.
Wasserrohrbruch Serverraum: Risiko bei Wasserrohrbruch bei einem Serverraum. Schutzmaßnahmen betreffen...?
Safety - Wasserrohrbruch ist ein Safety-Risiko (Sicherheit der Auswirkungen), nicht Security (Sicherheit gegen Einwirkungen).
Schutzbedarf-Messung: Woran wird der Schutzbedarf einer Anwendung gemessen?
Schadenshöhe - Der Schutzbedarf wird allein an der möglichen Schadenshöhe gemessen, nicht an der Eintrittswahrscheinlichkeit.
Maximumprinzip: Welche Schutzbedarfe von Anwendungen sind bzgl. der Schutzziele der IT-Sicherheit durch das Maximumprinzip von Anwendungen auf IT-Systeme übertragbar?
Alle drei Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit) - Das Maximumprinzip gilt für alle drei Grundwerte der IT-Sicherheit.
IT-GS-Check: Wann im Ablauf wird der IT-GS-Check durchgeführt?
Nach Auswahl der Maßnahmen - Der IT-Grundschutz-Check erfolgt nach der Modellierung zur Überprüfung bereits realisierter Maßnahmen.
IT-GS Bausteine: Was liefert die Informationen, um die Bausteine des IT-GS auswählen zu können?
Strukturanalyse - Die Strukturanalyse erfasst die Bestandteile des IT-Verbundes und bildet die Basis für die Baustein-Auswahl.
BIA-Ergebnis: Was ist NICHT Ergebnis einer BIA?
Serverraum ist nicht abschließbar - Dies ist ein strukturelles Problem, kein Ergebnis einer Business Impact Analysis, die sich auf Ausfallzeiten und -auswirkungen konzentriert.
IT-Sicherheitsgesetz: Fragen zum IT-Sicherheitsgesetz
Das IT-Sicherheitsgesetz verpflichtet Betreiber kritischer Infrastrukturen zu Mindeststandards und Meldepflichten bei IT-Sicherheitsvorfällen.
GoBD: Mehrere MC-Fragen zu GoBD
GoBD regeln die ordnungsmäßige Führung digitaler Unterlagen und verlangen Verfügbarkeit und Integrität von digitalen Dokumenten.
COBIT: Mehrere MC-Fragen zu COBIT
COBIT ist ein Governance-Framework für IT mit fünf Domänen (EDM, APO, BAI, DSS, MEA). Was ist zu tun nicht wie
Verteilungseffekt: Frage zum Verteilungseffekt
Der Verteilungseffekt kann den Schutzbedarf eines IT-Systems niedriger machen als den der zugeordneten Anwendungen, wenn die Anwendung auf mehrere Systeme verteilt ist.
Ransomware: Was ist ein Ransomwareangriff?
Verschlüsselung von Daten oft mit Lösegeldforderung - Ransomware verschlüsselt Daten und fordert Lösegeld für die Entschlüsselung.
Hackertools: Jemand kauft Hard- und Software um damit Daten abzufangen. Zu welchem Paragrafen gehört die Straftat / oder nicht strafbar?
§ 202c StGB - Vorbereiten des Ausspähens und Abfangens von Daten.
Bell-LaPadula: Dokument mit höchster Stufe. Wer darf es lesen und/oder schreiben?
Nur Personen mit höchster oder entsprechender Sicherheitsstufe dürfen es lesen (no read up). Schreiben ist nach no write down nur auf gleicher oder niedrigerer Stufe erlaubt.
Bell-LaPadula-Modell: Schutzziel beim Bell-LaPadula-Modell
Vertraulichkeit - Das Bell-LaPadula-Modell schützt primär die Vertraulichkeit durch no read up und no write down Regeln.
Bell-LaPadula: 2 Fragen zu Bell-LaPadula. Mitarbeiter und Datei sind nach Sicherheitsstufe eingeordnet. Wer darf mit der Datei was machen?
Mitarbeiter dürfen nur Dateien ihrer Stufe oder niedriger lesen (no read up) und nur auf ihrer Stufe oder höher schreiben (no write down).
StGB-Zuordnung: Zuordnung von Straftaten zu den Auszügen aus dem StGB
§ 202a (Ausspähen von Daten), § 303a (Datenveränderung), § 303b (Computersabotage), § 263a (Computerbetrug).
Onlinehändler Datenklau: Onlinehändler wurden Kundendaten gestohlen. Hat er sich strafbar gemacht?
Nein, wenn Sicherheitsmaßnahmen angemessen waren - Bei angemessenen Schutzmaßnahmen liegt keine Strafbarkeit vor.
Onlineshop Datenklau Haftung: Onlineshop werden Daten geklaut, ist er haftbar?
Ggf. wenn nicht genügend Schutz vorhanden - Haftung besteht bei unzureichenden technischen und organisatorischen Maßnahmen.
Verarbeitung Daten Ausland: Verarbeitung von Daten im Ausland
Nur mit Angemessenheitsbeschluss der EU-Kommission oder geeigneten Garantien wie Standarddatenschutzklauseln zulässig.
Videoüberwachung Supermarkt: Ist die Videoüberwachung im Supermarkt erlaubt und wie?
Ja, in öffentlich zugänglichen Bereichen nach § 4 BDSG mit Hinweisschildern und unter Beachtung des Datenschutzes.
Adressdaten-Änderung: Was eine Änderung von Adressdaten NICHT ist (Verarbeitung, Verwendung, etc.)
Eine Adressdaten-Änderung ist eine Form der Verarbeitung nach DSGVO Art. 4 Abs. 2.
Datengeheimnis: Was ist das Datengeheimnis?
Verpflichtung für Mitarbeiter, personenbezogene Daten nicht unbefugt zu erheben oder zu verwenden, gilt auch nach Ende der Tätigkeit.
Mindestalter Einwilligung: Mindestalter Einwilligung zur Fotoveröffentlichung
16 Jahre - Nach DSGVO ist das Mindestalter für wirksame Einwilligung 16 Jahre.
Bäcker PLZ-Frage: Der Bäcker verkauft Brötchen und fragt nach der PLZ um es irgendwie statistisch auszuwerten
Nein darf er nicht, da es nicht zweckmäßig ist - Die PLZ-Erhebung ist für den Brötchenverkauf nicht erforderlich und verstößt gegen das Erforderlichkeitsprinzip.
Modellbahn Club: Modellbahn Club gibt Daten an Händler weiter, erlaubt ja/nein?
Nein - Ohne Rechtsgrundlage (z.B. Einwilligung) oder berechtigtes Interesse ist die Weitergabe nicht erlaubt.
BSI Passwort-Empfehlung: Was ist die aktuelle Empfehlung des BSI zum Wechseln von Passwörtern?
Nicht regelmäßig wechseln weil es zu schwachen Passwörtern führt - BSI empfiehlt nur noch bei bekannten Datenlecks zu wechseln.
Nicht-Abstreitbarkeit: Was ist die Nicht-Abstreitbarkeit von Daten?
Integrität - Non-Repudiation gehört zu den erweiterten Schutzzielen und ist eng mit Authentizität und Integrität verwandt.
Versicherung Zuordnung: Zu was gehört eine Versicherung?
Reaktion - Versicherungen sind Reaktionsmaßnahmen (Risikotransfer) und greifen nach eingetretenem Schaden.
Schutzbedarf Raum: Wovon hängt der Schutzbedarf eines Raumes ab?
IT-Systeme und Netzwerk - Der Schutzbedarf eines Raumes ergibt sich aus dem höchsten Schutzbedarf der darin befindlichen IT-Systeme und Netzwerkkomponenten (Maximumprinzip).
Energieversorgungsunternehmen Hackerangriff: Ein großes Energieversorgungsunternehmen bemerkt, dass Hacker in die IT-Infrastruktur eingedrungen sind. Was muss das Unternehmen tun und in welchem Gesetz findet sich die Grundlage dazu?
Das Unternehmen muss den Vorfall unverzüglich an das BSI melden (IT-Sicherheitsgesetz). Zusätzlich bei personenbezogenen Daten DSGVO Art. 33/34.
Firewall nicht vertrauenswürdiger Lieferant: Welche Risiken entstehen für ein Unternehmen, wenn eine Firewall von einem nicht vertrauenswürdigen Lieferanten bezogen wird?
Backdoors oder Schwachstellen, verzögerte Updates, Spionage oder Sabotage, fehlende Vertrauenskette, mögliche Kompromittierung.
IT-Sicherheit bei höherer Gewalt: IT-Sicherheit bei höherer Gewalt
Notfallpläne, redundante Systeme, geografisch getrennte Backups, Business Continuity Management, Versicherungsschutz.
Onlinehändler Kundeninfizierung: Liegt ein Gesetzesverstoß vor, wenn ein Onlinehändler seinen IT-Verbund nicht ausreichend abgesichert hat und infolgedessen die Clients seiner Kunden infiziert wurden?
Ja, möglicher Verstoß gegen § 19 TTDSG und DSGVO.
Website-Angriff: Online Website schützt sich nicht vor Angriffen und betreibt Kundendaten, liegt ein Verstoß vor?
Ja, Verstoß gegen Art. 32 DSGVO und § 19 TTDSG.
Ransomware-Schutz: Unternehmen will sich gegen Ransomware-Angriffe schützen, nenne Maßnahmen (10 Punkte)
Regelmäßige Backups, Updates, Mitarbeiterschulungen, E-Mail-Sicherheit, Netzwerksegmentierung, Zugriffsbeschränkungen, Monitoring, Incident Response Plan.
Brute Force-Schutz: Was hilft gegen Brute Force-Attacken?
Starke Passwörter, Kontosperrung, Zeitverzögerung, 2-Faktor-Authentisierung, IP-Blocking, CAPTCHA.
Laptop-Sicherung: Wie muss ein Laptop gesichert werden wenn man den Raum kurz verlässt?
Bildschirmsperre aktivieren, ggf. herunterfahren oder sperren, physisch sichern.
Zugriffsrechte reduzieren: Warum macht es Sinn mit reduzierten Rechten zu arbeiten und bei Bedarf mit Admin-Rechten zu arbeiten?
Principle of Least Privilege - geringere Angriffsfläche und Schadensbegrenzung.
Zugriffsrechte einschränken: Was für Vorteile hat es, einen Benutzer die Zugriffsrechte einzuschränken?
Schutz vor Malware, Reduzierung von Fehlbedienung, bessere Kontrolle.
Zugangsdaten IT-Mitarbeiter: Ein neuer Mitarbeiter aus der IT möchte Ihre Zugangsdaten haben. Wie verhalten Sie sich?
Niemals Zugangsdaten weitergeben, Vorgesetzten informieren.
Mitarbeiter-Protokollierung: Welche rechtliche Schwierigkeit ergibt sich hier?
Datenschutzrechtliche Probleme, Mitbestimmung, Verhältnismäßigkeit.
IT-Geräteverlust: Worin besteht der größte Schaden und wie kann man entgegenwirken?
Verlust vertraulicher Daten; Schutz durch Verschlüsselung, Backups, Remote Wipe.
Schreibrechte ohne Leserechte: Beispiel und Sicherheitsmodell
Log-Dateien schreiben; ACL (Access Control List).
Ransomware-Schutz Unternehmen: wichtigste Maßnahmen
Backups, Updates, Schulungen, Zugriffskontrolle.
Mitarbeiter verlässt Unternehmen: Wie mit den Daten umgehen?
Löschung außer bei gesetzlichen Aufbewahrungspflichten.
Bewerbungsverfahren: Umgang mit abgelehnten Bewerbern
Löschung nach ca. 6 Monaten.
Bewerberdaten Datenschutz: Was beachten?
Informationspflichten, Zweckbindung, Sicherheit.
Bewerberdaten außerhalb Stelle
Nur mit Einwilligung oder berechtigtem Interesse.
Gehaltsberechnung auslagern
Auftragsverarbeitung nach Art. 28 DSGVO.
Privater Webseitenbetreiber mit Werbung
Datenschutzerklärung, Impressum, Cookie-Consent.
Schulungs-PCs Datenschutzverstoß
Ja, Datenschutzverstoß.
Big Data nachträglich
Problematisch wegen Zweckbindung; Einwilligung oder Anonymisierung.
Big Data Einwilligung Probleme
Zweckbindung, Profiling, Transparenzprobleme.
Recht auf Auskunft
Art. 15 DSGVO.
Drei Schutzziele Datenschutz mit Beispiel
Vertraulichkeit, Integrität, Verfügbarkeit.
Supermarkt Einwilligung Girocard
Nein, Einwilligung nicht rechtens.
Elektronische Einwilligung Opt-In
Aktive Zustimmung, freiwillig, informiert, widerrufbar.
Cloud Speicherung Autohändler
Auftragsverarbeitung Art. 28 DSGVO, Informationspflicht.
Steuerberater Nachfolge
Datenübertragung/Praxisübergabe, Mandanten informieren.
Praxis Datenübergabe
Wie Steuerberater-Nachfolge, zusätzlich Schweigepflicht.
Fitness-Armbänder Datenschutz
Privacy by Design, Transparenz, Datenminimierung.
IT-GS zusätzliche Maßnahmen
Bewerten, dokumentieren, ggf. beibehalten.
Schadensszenarien Aufgabenerfüllung
Serverausfall → Verfügbarkeit; falsche Daten → Integrität.
Hoher Schutzbedarf Verfügbarkeit Beispiel
Notfallsystem im Krankenhaus.
Hohe Vertraulichkeit IT-GS Maßnahmen
Verschlüsselung, Authentifizierung, Zugriffskontrollen.
Serverraum Gefährdungen
Feuer, Wassereinbruch, unbefugter Zutritt.
Serverraum Vertraulichkeit Risiken
Unbefugter Zutritt, Abhören, Diebstahl.
Infrastruktur: Was zählt laut Grundschutz zur Infrastruktur?
Gebäude, Räume, Verkabelung, Stromversorgung, Klimatechnik, Brandschutz, Zutrittskontrolle.
PDR Beispiele
Prävention Firewall, Detektion IDS, Reaktion Incident Response Team.
IT-GS Schutzbedarf nicht vereinheitlicht
Unterschiedliche Geschäftsprozesse und Risiken.
IT-GS zweiter Check
Nach Umsetzung, bei Änderungen, regelmäßig.
IDS Erklärung
Intrusion Detection System erkennt Angriffe über Signaturen und Anomalien.
Blacklisting Firewall
Alles erlaubt außer explizit Verbotenem.
Authentifizierung Methoden
Wissen, Besitz, Eigenschaft; Bankautomat: Karte + PIN.
Ransomware Cloud Backups
Verschlüsselung, Offline-Kopien, Restore-Tests.
Passwort-Sicherheit Verbesserungen
Länge, Komplexität, Passwortmanager.
Serverraum Drucker
Erhöht Risiko; Ausnahme bei Sicherheitsdruckern.
Auto-Software Sicherheit
Safety, Security, Privacy.
RAID
Redundant Array of Independent Disks.
Datensicherung zusätzliche Maßnahmen
Restore-Tests, geografische Trennung.
Notfallplanung Netzwerk
Redundante Anbindungen, Failover.
Bell-LaPadula + Biba Kombination
Stark eingeschränkter Informationsfluss.
Bell-LaPadula Informationsfluss GF
Keine Kommunikation nach unten (no write down).
RBAC Rollenwechsel
Nur eine Rolle aktiv, Rollenwechsel notwendig.
Biba-Modell
Schützt Integrität; Kommunikationsprobleme.
Biba no write up
Kein Schreiben auf höhere Integritätsstufe.
Vertraulichkeit Beispiel
Patientendaten durch Verschlüsselung und Zugriffskontrolle schützen.
PDCA-Kreis
Plan, Do, Check, Act.
NTFS vs GoBD
Keine revisionssichere Archivierung.
GoBD Herausgeber Ziel
Bundesfinanzministerium; ordnungsgemäße Buchführung.
Verfügbarkeitsmessung Bewertung
Sinnvoll technisch, berücksichtigt aber keine Kritikalität.
Integritätsmessung Bewertung
Qualitativ, schwer messbar.
IT-Sicherheit nicht Datenschutz
Systemkonfigurationsdaten, technische Logs.
Opt-In Verfahren
Aktive Einwilligung.
Schutzbedarf sehr hoch Beispiel
Patientendaten in Arztpraxis.
Netzplan Schutzmaßnahmen
Firewalls, VPN, Netzwerksegmentierung.
Keylogger Authentisierung
Tastatureingaben auslesen; Schutz durch 2FA.
Produktivdaten Softwaretest
Nicht erlaubt wegen Datenschutz und Integrität.
Gewerkschaft Mitgliederverwaltung
Vertraulichkeit sehr hoch, Integrität hoch.
Auftragsverarbeitung Beispiel
Autohändler + Cloud-Anbieter nach Art. 28 DSGVO.
Zuletzt geändertvor einem Monat