Schutzziele der IT-Sicherheit

Ziel:

• keine unerlaubte Informationsgewinnung

Gesetzliche Regelungen

• Brief-, Post-, und Fernmeldegeheimnis

• DSGVO

Maßnahmen

• Zugriffsschutz

• Verschlüsselung

Grundlagen:

• Kontrollen und Berechtigungen

• zulässige und unzulässige Informationsflüsse

Ziel:

• Schutz vor namentlicher Identifizierung

• Bezug nicht ganz aufgehoben!

Gesetzliche Regelung:

• DSGVO

• Daten unterliegen dem Datenschutz!

Umsezung:

• Zuordnungstabellen

Ziel:

• Schutz vor Identifizierung

  (Folge der Unverkettbarkeit)

• Zuordnung garnicht oder nur mit unverhältnismäßgig großen Aufwand

  (Kosten und Zeit)

Umsetzung:

• Kappung der Zuordnung von Daten zu bestimmten Personen

• Identifizierung erheblich erschweren oder gänzlich unmöglich machen

• Verschlüsselung

Ziel:

• nicht erkennbar, wer Daten sendet bzw. empfängt

• Niemand außer Kommunikationspartnern weiß, dass Kommunikation stattfindet

Maßnahmen:

• Schutz von Kommunikationssystemen (auch Räumlichkeiten)

  • optischer, akustischer, elektromagnertischer usw.

• “Mix”-Server (TOR)

• Steganographie

• Hidden Volumes

Ziel:

• Klarheit, Erkennbarkeit und Nachvollziehbarkeit

Umsetzung:

• Dokumentation der Verarbeitungstätigkeiten (Schutzziel)

• Auskunftrechte der betroffenen Person (Gewährleistungsziel)

Gesetzliche Regelungen:

• Grundsätze für die Verarbeitung personenbezogener Daten

• Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten

• Datenverarbeitung im Beschäftigungskontext

Ziel:

• Die Wahrscheinlichkeit einer Relation zwischen Elementen bleibt durch Beobachtung unverändert!

• Unverkettbarkeit:

  • mehrere kommunikative Ereignisse sollen icht miteinander in Verbindung gebracht werden

• Nicht-Verfolgbarkeit:

  • Informationsinhalte werden keiner eindeutigen Person zugewiesen

    → erweitert die Unverkettbarkeit

Gesetzliche Regelungen:

• DSGVO (Zweckbindung, Pflicht zur Dokumentation)

Maßnahmen:

• verschiedene Pseudonyme bei verschiedenen Diensten

• “Mix”-Server

  
  

Ziel:

• nachweisbare Echtheit und Glaubwürdigkeit

• Garantie der Integrität und Herkunft

Maßnahmen:

• Charakteristika

  • Something you know (Passwort)

  • Something you have (Token)

  • Something you are (biometrisches Merkmal)

  • Authentifizierung mit Nutzername und Passwort vs.

    privacy-freundliche Authentifizerung

• Authentifzierung

  • individuelle Benutzerpasswörter

  • biometrische Merkmale

  • 2 - Faktor-Authentifizierung

  • Digitale Signaturen

Ziel:

• keine unautorisierte und unbemerkte Manipulation an Datenobjekten möglich

• Korrektheit der Daten (garantiert im Originalzustand)

• Systemintegrität (adäquate Funktionsweise)

Gesetzliche Regelungen:

• DSGVO

Umsetzung:

• Hash-Funktionen (“elektronischer Fingerabdruck”)

• Message Authentication Code (MAC)

• Digitale Signaturen

Grundlagen:

• Festlegung von Rechten zur Nutzung von Daten

• Verfahren und Techniken zur Manipulationserkennung

• Verlässlichkeit:

  • stabiles System

  • welches keine unzulässigen oder undefinierten Zustände annimmt

  • Gewährleistung zuverlässiger Funktionen

• Beherrschbarkeit:

  • Sicherheit des Betroffenen

  • Einzelne sowie die Gesellschaft wird von unerwünschten Auswirkungen durch die Systemnutzung verschont

• Nicht-Vermehrbarkeit:

  • Informationen dürfen von Unberechtigten nicht kopiert oder in anderer Form vermehrt werden

Ziel:

• Feststellung, dass “etwas anders sein könnte, als es scheint”

• Interventionsmöglichkeiten beim Einsatz technischer Mittel

Umsetzung:

• bewusster Verzicht technischer Integrität- und Sicherheitsmaßnahmen

• Steganographie

• VeraCrypt

Nicht-Abstreitbarkeit:

• weder Absender noch Empfänger können das Versenden/ den Empfang einer Meldung abstreiten

Verbindlichkeit:

• nicht möglich zu einem späteren Zeitpunkt abstreiten zu können

→ bilden die Grundlage für rechtsverbindliche Transaktionen!

Umsetzung:

• Kombinierte Verfahren

  (auf Basis von Authentifikation, Integrität und Bestätigung)

• i.d.R. durch elektronische Signaturen

• Herausforderungen: Anonyme Transaktionen, die rechtsverbindlich ablaufen

  (analog zur Bezahlung einer Ware durch Bargeld)

Need-to-Know:

• Jeder Anwender

• nur so viele Berechtigungen

• wie unbedingt notwendig

Separation-of-Duties:

• Jeder Geschäftsprozess

• von mehr als einem Anwender bearbeitet werden

• so dass Manipulation bermerkt werden

Rotation-of-Duties:

• Aufgabenbereiche zwischen den Anwendern regelmäßig tauschen

• so dass ein ausgefallener Anwender durch Kollegen vertreten werden kann

• → Bermerkung vo Manipulation

Ziel:

• Gewährleistung, dass Dienste den berechtigten Benutzern stets zur Verfügung stehen

Attacken:

• Denial-of-Service

  (Server wird mit “sinnlosen” Anfragen überflutet, sodass er seine ursprüngliche Aufgabe nicht nachkommen kann

• Ransomware/ Verschlüsselungstrojaner

Maßnahmen:

• Erkennen von atypischen Nutzungmustern

• Beschränkung der Ressourcenzuweisung an einzelne Benutzer

• Backup