Implementierungshilfe zu ISO/IEC 27001:

• Gemäß der Norm geordnete Interpretation der Vorgaben und Prozessbeschreibungen, um den Sicherheitsmanagement-Prozess zu etablieren und aufrecht zu erhalten: „welche Überlegungen sind anzustellen, welche Aktivitäten sind zu planen und zu entscheiden, wo ist Kontrolle nötig?“
• einen Katalog von konkreten Sicherheitsmaßnahmen, die ausgewählt, umgesetzt und eingehalten werden sollen: „was gibt es dazu, wie wird es gemacht, worauf ist zu achten?“

Instrument zur Schulung und Weiterbildung:

• Die Wissensbasis stellt insgesamt ein ganzheitliches und dennoch kompaktes Werk zur Informationssicherheit dar,
• hat das Potenzial zielgruppengerecht unterschiedlicher Textierungen,
• eignet sich auch zum Lesen bzw. Durcharbeiten „am Stück“,
• und eignet sich daher sowohl als Basis für Schulungs- und Weiterbildungsmaßnahmen bzw. -medien; sowohl modular als auch im Ganzen.

Hilfsmittel für Self-Checks:

Struktur

• Abschnitt 1 ist eine Einführung sowohl für die Handhabung des Handbuchs als auch in die grundsätzliche Thematik,
• Abschnitte 2 und 3 beschreiben die für Einrichtung, Umsetzung, Durchführung, Überwachung, Überprüfung, Instandhaltung und Verbesserung eines Informationssicherheitsmanagementsystems relevanten Anforderungen gemäß ISO/IEC 27001 4, 5, 6, 7, 8): es handelt sich dabei um den grundlegenden Vorgang, Informationssicherheit in einer Behörde, Organisation bzw. einem Unternehmen zu etablieren und diese Abschnitte bieten konkrete Anleitungen, den umfassenden und kontinuierlichen Sicherheitsprozess zu entwickeln.
• Abschnitte 4 bis 18 beschreiben die konkreten Sicherheitsmaßnahmen inkl. der Aktivitäten zu ihrer Umsetzung und Einhaltung. Sie entsprechen in ihrer Reihenfolge und generellen Thematik den Empfehlungen gemäß ISO/IEC 27002 bzw. dem Anhang zu ISO/IEC 27001 - allerdings gibt es keine 1:1-Entsprechung auf der Ebene der einzelnen Details (Textbausteine). Sie erörtern konkrete und detaillierte Einzelmaßnahmen und Anleitungen zu ihrer korrekten Implementierung während ihres gesamten Lebenszyklus auf organisatorischer, personeller, infrastruktureller und technischer Ebene. Es wird allerdings auch auf spezifisch österreichische Anforderungen, Regelungen und Rahmenbedingungen eingegangen.
• In den einzelnen Themenbausteinen werden - sofern zutreffend - Bezüge zu den jeweils zugehörigen Kapiteln der ISO/IEC-Normen 27001 und 27002 dargestellt.
• In den Anhängen finden sich ausgewählte Szenarien und Technologien losgelöst von zu setzenden Maßnahmen, Muster für Verträge, Anweisungen, Referenzen zu Normen, Gesetzen und verwandter Literatur sowie Quellenhinweise.

Inhalte

• Um alle Themen laut ISO/IEC 27001/27002 abzudecken, gibt es nun neue Kapitel bzw. Themenbausteine etwa zu „Outsourcing“, „Umgang mit Vermögenswerten“, „Interne Audits“, „Verbesserungsprozess“
• Neue und geänderte Themenbausteine zu veränderten Technologien oder Gefährdungen werden nunmehr kontinuierlich eingearbeitet bzw. obsolete eliminiert.

Datenbasis (Online-Version)

• Jeder Textbaustein kann künftig in mehreren unterschiedlichen Ausprägungen (Formulierungen, Vereinfachungen) vorhanden sein und mittels Filteroptionen ausgewählt werden. Damit werden zielgruppenorientierte Darstellungen unterstützt.
• Filteroptionen werden sowohl für Einsatzgebiete (z. B. Government/Wirtschaft) als auch für Rollen Leserkreise (z. B. Management/Wartungspersonal/BenutzerInnen) entwickelt. Die Filterregeln sind nicht a priori festgeschrieben, sondern Gegenstand von Vereinbarungen (in zentralen Autorengruppen oder individuellen Implementierungen) und damit flexibel für Erweiterungen.
• Mit Filteroptionen werden auch unterschiedliche Sprachen ermöglicht.
• Links zu österreichischen Gesetzen führen direkt zum entsprechenden Gesetzestext im Rechtsinformationssystem (RIS).
• Die Datenbasis besteht aus einem Satz von XML-Dateien (extended Markup Language), die mittels geeigneter Transformationen in andere gängige Darstellungs- (HTML - Hypertext Markup Language) oder Textformate (RTF - Rich Text Format, PDF - Portable Document Format) umgewandelt werden können.

Funktionalität (Online-Viewer)

• Blättern (Browse) im Sicherheitshandbuch: Das kann seriell vom Anfang bis zum Ende, aber auch durch gezielten Sprung auf Kapitel oder Textbausteine erfolgen.
• Filteroptionen für Einsatzgebiete, Branchen, Rollen, Leserkreise sowie unterschiedliche Sprachen.
• Zusammenstellung einer Liste, das heißt einer individuellen Auswahl von Themen (ganze Kapitel, Unterkapitel oder Textbausteine). Sie kann lokal abgespeichert und wieder geladen werden.
• Zusammenstellung einer Checkliste, das ist eine individuelle Auswahl mit der Möglichkeit, pro Textbaustein Checkboxen anzukreuzen sowie Kommentare zu verfassen und lokal abzuspeichern. Einsatzgebiete für Auswahl- oder Checklisten sind beispielsweise das Erstellen eigener Policies, Schulungsunterlagen, Statusberichte (Erfüllungsgrad von Maßnahmen), Self-Checks und Querschnittsmaterien.
• Druck von Auswahl- oder Checklisten (Online-Version).
• Transformation von Auswahl- oder Checklisten in PDF-Textdateien.

Update Funktion

• Die lokale Liste enthält mehrere Kapitel oder Bausteine aus der Wissensbasis, die sich inzwischen geändert haben könnten (anhand ihrer jeweiligen Versionsnummer).
• Beim Blättern in der Liste wird ein entsprechender Warnhinweis gegeben.
• Wenn gewünscht, können die neuen Versionen aus der Wissensbasis in die lokale Liste übernommen werden.

Normenfamilie ISO/IEC 27000

Abbildung 1.1: Vereinfachter Überblick über die ISO/IEC 27000 Normenfamilie

• Terminologie und Aufbau über ISO/IEC 27000 („Überblick und Vokabular“)
• Zertifizierbarer ISO/IEC 27001 („Anforderungen“ in Verbindung mit den Anforderungen an Audit und Zertifizierung aus ISO/IEC 27006)
• Standards im Sinne für „Allgemeine Richtlinien“ (ISO/IEC 27002 bis ISO/IEC 27005, ISO/IEC 27007 und ISO/IEC 27008)
• Spezifische Standards für ausgewählte „Branchen“ (ISO/IEC 27011, ISO/IEC 27015, ISO/IEC 27019)
• Subnormen „Supporting Standards“ (z.B. ISO/IEC 27032 für “Cyber Security”, ISO/IEC 27036 für “Outsourcing”)

• Der Standard ISO/IEC 27001 „Information technology - Security techniques - Information security management systems - Requirements“ ist der erste internationale Standard zum Informationssicherheitsmanagement, der auch eine Zertifizierung ermöglicht. ISO/IEC 27001 gibt in 5 konkreten Kapiteln (4, 5, 6, 7, 8) allgemeine Empfehlungen für Managementaktivitäten, um ein ISMS zu planen, etablieren, zu betreiben, zu überwachen und laufend zu verbessern. Ein normativer Anhang verweist auf die Umsetzung gemäß ISO/IEC 27002; ISO/IEC 27001 bietet keine Hilfe für die praktische Umsetzung.
• ISO/IEC 27002 (vormals ISO 17799) „Information technology - Security techniques – Code of practice for information security controls“ befasst sich als Rahmenwerk für das Informationssicherheitsmanagement hauptsächlich mit den erforderlichen Schritten, um ein funktionierendes Informationssicherheitsmanagement aufzubauen und in der Organisation zu verankern. Die erforderlichen Informationssicherheitsmaßnahmen werden eher kurz auf ca. 80 Seiten skizziert angerissen. Die Empfehlungen sind für Managementebenen formuliert und enthalten nur wenige konkrete technische Hinweise. Ihre Umsetzung ist auch nur eine von vielen Möglichkeiten, die Anforderungen des ISO/IEC-Standards 27001 zu erfüllen.
• ISO/IEC 27005 „Information technology - Security techniques - Information security risk management“ enthält Rahmenempfehlungen zum Risikomanagement für Informationssicherheit. Unter anderem unterstützt er bei der Umsetzung der Anforderungen aus ISO/IEC 27001. Es wird allerdings keine spezifische Methode für das Risikomanagement vorgegeben. ISO/IEC 27005 löst den bisherigen Standard ISO 13335-2 ab.
• Weitere Standards der ISO/IEC 27000 Reihe: Langfristig wird die Normenreihe ISO/IEC 27000 voraussichtlich aus den Standards 27000 - 27023 und 27030 - 27044 bestehen. Alle Standards dieser Reihe behandeln verschiedene Aspekte des Sicherheitsmanagements und beziehen sich auf die Anforderungen der ISO/IEC 27001. Die weiteren Standards sollen zum besseren Verständnis und zur praktischen Anwendbarkeit der ISO/IEC 27001 beitragen und beschäftigen sich beispielsweise mit der praktischen Umsetzung der ISO/IEC 27001, also der Messbarkeit von Risiken oder mit Methoden zum Risikomanagement.

BSI Grundschutz Standards und Maßnahmenbausteine

• Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet seit 1994 zunächst mit dem Grundschutzhandbuch, später mit den Grundschutz-Standards und Maßnahmenbausteinen bzw. Grundschutz-Kompendium eine umfassende und äußerst detaillierte Informationsbasis und daraus etablierte Methoden für eine Vorgehensweise zum Aufbau einer Sicherheitsorganisation sowie für die Risikobewertung, die Überprüfung des vorhandenen Sicherheitsniveaus und die Implementierung der angemessenen Informationssicherheit.
• Sie hat sich als ganzheitliches Konzept für Informationssicherheit und als Standard etabliert; und das BSI bietet ISO/IEC 27001 Zertifizierungen nach IT-Grundschutz an. Unterschiedliche Zielgruppen werden durch jeweils separate Entwicklungen unterstützt.

MELANI (Melde- und Analysestelle Informationssicherung)

CASES (Cyberworld Awareness Security Enhancement Structure)

• Integrität: Informationen dürfen nur von den vorgesehenen Personen und Prozessen verändert werden,
• Vertraulichkeit: Informationen dürfen nur für die vorgesehenen Personen und Prozesse offen gelegt werden,
• Verfügbarkeit: Informationen müssen für die vorgesehenen Personen und Prozesse bereitgestellt sein, wenn diese sie benötigen

• So ist Integrität von technischen Fehlern, unbefugten Manipulationsversuchen (auch etwa Viren, Würmer), Fahrlässigkeit etc. bedroht,
• die Vertraulichkeit ist durch Spionageaktivitäten, Datenmissbrauch, aber ebenso von Fehlern und Schlamperei gefährdet,
• die Verfügbarkeit kann von kleineren und größeren Systemausfällen (z. B. durch Brände oder Katastrophen), aber auch bewußten DoS-Attacken (Denial-of-Service) - bis zum Stillstand - reduziert werden.

PDCA-Zyklus

• Planen (Plan): Festlegen des ISMS; also relevante Sicherheitsziele und -strategien ermitteln, eine organisationsspezifische Informationssicherheitspolitik erstellen und spezifisch geeignete Sicherheitsmaßnahmen auswählen. Daraus folgt das Identifizieren, Planen, Spezifizieren und Installieren des Informationssicherheitsmanagementsystems im Rahmen der Unternehmensstrategie, den operationellen Anforderungen (z.B. Betrieb von Computersystemen) und unter Berücksichtigung rechtlicher Rahmenbedingungen. Auch Anforderungen für die Geschäftskontinuität („Business Continuity“) werden hier festgelegt. Ebenfalls erfolgt in dieser Phase die Entwicklung von Sicherheitskonzepten sowie die (z.B. zumeist risikobasierte) Auswahl von organisatorischen oder technischen Schutzfunktionen für die Umsetzung in der Organisation.
• Durchführen (Do): Umsetzen und Betreiben des ISMS, also Sicherheitsmaßnahmen realisieren, für ihre Einhaltung sorgen und Informationssicherheit im laufenden Betrieb inklusive in Notfällen bzw. bei Krisen gewährleisten. In dieser Phase findet die Realisierung der Schutzfunktionen (organisatorisch, technisch) statt. Darüber hinaus wird ein Monitoring anhand von festgelegten Kennzahlen für das betriebene ISMS in diesem Abschnitt etabliert. Auch die Abwicklung von Awareness-Trainings findet in dieser Phase statt. Für einen späteren Vergleich (siehe nächste Phase) werden auch Daten zu (Sicherheits-)Kennzahlen gemessen. Dadurch wird die Grundlage für die spätere kontinuierliche Verbesserung des ISMS gelegt. Für die Vergleiche werden die Zielvorgaben herangezogen.
• Prüfen (Check): Überwachen und Überprüfen des ISMS auf seine Wirksamkeit, also Vorhandensein, Sinnhaftigkeit, Einhaltung der Sicherheitsmaßnahmen überprüfen, aber auch Kenntnis über Vorfälle sowie üblicher Good-Practices erlangen. Das bedeutet sowohl eine Validierung („wird das richtige ISMS entwickelt/betrieben?“) als auch eine Verifikation („wird das ISMS richtig entwickelt/betrieben?“) sind Gegenstand dieser Check-Phase zur Überprüfung des ISMS. Realisierbar ist dies unter Abwicklung von Audits (z.B. intern, extern) oder durch Tests wodurch die Anwesenheit von Fehlern (die anschließend behebbar sind) zeigbar ist. Regelmäßige Übungen oder Tests wie etwa im Bereich der Business Continuity oder im Bereich der Notfallvorsorge sind ebenso Gegenstand dieser Phase wie Security-Assessments die sich sowohl auf die Organisation, auf die Produkte bzw. Dienstleistungen aber auch auf das ISMS beziehen können. Die Beobachtungen bzw. die Messwerte sind ausreichend zu dokumentieren und anhand von Vergleichen mit den Zielwerten ist die nächste Phase zur Verbesserung einzuleiten.
• Handeln (Act): Instandhalten und Verbessern des ISMS, das bedeutet auf erkannte Fehler, Schwachstellen und veränderte Umfeldbedingungen reagieren und die Ursachen für Gefährdungen beseitigen. Dies bedingt erneutes Planen, womit sich ein ständiger Kreislauf schließt. Der Schwerpunkt dieser Phase liegt demzufolge in der laufenden also in der kontinuierlichen Optimierung des ISMS. Vordergründig sich ändernde Rahmenparameter und die in den vorherigen Phasen gemachten Beobachtungen sollten hier berücksichtigt werden. Verändern kann sich etwa auch die Rechtslage durch Aktualisierungen von Rechtsgrundlagen.

Aufbau eines ISMS

Abbildung 1.3: Wesentliche Prozessschritte zur Umsetzung und Verwendung eines ISMS

1. Scope definieren. Für die Umsetzung eines ISMS gem. ISO/IEC 27001 ist eine Einschränkung der anwendbaren Organisationsbestandteile (z.B. Aufbau- und Ablauforganisation, Abteilungen, Referate, Bereiche, Sektionen) möglich. Das bedeutet festzulegen welche Organisationseinheiten vom ISMS unter ISO/IEC 27001 betroffen sind. Dabei kann es sich um verschiedene Abteilungen (organisatorisch) oder unterschiedliche physische Standorte („örtlich“) oder aber etwa auch um ausgewählte technische Systeme für die Erbringung von kritischen Geschäftsprozessen („Technisch“) handeln.
2. Assets & Schutzbedarf. Die Identifizierung der zu schützenden Assets – dabei ist generell eine Unterscheidung zwischen primären Assets (z.B. zu schützende Daten wie Akte, Verträge, Personaldaten, Geschäftsgeheimnisse) und sekundären Assets durchführbar (z.B. kryptografisches Schlüsselmaterial zum Schutz der primären Assets) – bietet die Grundlage für eine Schutzbedarfsanalyse. Bei der Auswahl zu schützender Assets sowie bei der Ableitung des Schutzbedarfs können eine Vielzahl möglicher Aspekte berücksichtigt werden. Darunter sind zusammengefasst etwa relevante Hardware (z.B. Datenbanksysteme, Server, Speicher), erforderliche Software (z.B. Source Code), Applikationen (z.B. Intranet, Webapplikationen, lauffähiger Source Code), essenzielle Daten (z.B. Bestellmengen, Kontaktlisten zur Notfallvorsorge), allgemeine Prozesse bzw. insbesondere Geschäftsprozesse (z.B. kritische Kernprozesse oder relevante Unterstützungsprozesse), die wichtigsten Produkte (z.B. damit verbundene Geschäftsgeheimnisse) oder beispielsweise die rentabelsten Dienstleistungen (z.B. digitale Services).
3. Risiko-Management. In Verbindung mit den zuvor genannten identifizierten Assets wird im Rahmen des Risikomanagements eine Auflistung bzw. eine konsolidierte Sammlung der Assets (auch bezeichnet als: „Asset Inventory“) erstellt. Im Fokus steht die Risiko-Behandlung, um die durch Angreifer vorhandenen Bedrohungen auf Assets und die daraus entstehenden Risiken zu behandeln. Nämlich, um entweder die Eintrittswahrscheinlichkeit eines Risikos zu reduzieren oder die damit verbundenen Auswirkungen, sofern sich das betreffende Risiko materialisiert, abzuschwächen. Auch sind andere Maßnahmen denkbar, wie Vermeidung von Risiken oder die Auslagerung ausgewählter Geschäftsprozesse bzw. technischer Systeme. Demzufolge ist die Betrachtung von Angreifern (z.B. intern oder extern) und die Untersuchung möglicher Angriffsszenarien welche sich auf die identifizierten Assets auswirken. Im Rahmen des Risikomanagements ist auch die Behandlung von Maßnahmen in der Form denkbar, um die Auswirkungen von (zumeist erfolgreichen) Angriffen zu reduzieren. Gemeinsam mit den erkannten Risiken ist zur Erkennung von Lücken bei Sicherheitsmaßnahmen gem. ISO/IEC 27001 ein Gap-Assessment durchführbar, um den aktuellen Status der Umsetzung in der Organisation (z.B. Amt, Behörde, Institution, Unternehmen) zu eruieren. Das Gap-Assessment wird für alle relevanten Referenzmaßnahmenziele abgewickelt (z.B. A.5 bis A.18) Im nächsten Schritt können darauf aufbauend Maßnahmen realisiert werden.
4. Maßnahmen umsetzen. Die getroffenen Maßnahmen können entweder isoliert betrachtet unter Berücksichtigung der ISO/IEC 27001 Annex A sowie in Verbindung mit der ISO/IEC 27002 umgesetzt werden. Die ISO/IEC 27002 trägt durch Umsetzungsrichtlinien zur Orientierung bei der Realisierung der in Annex A beschriebenen Schutzfunktionen im Hinblick auf die Informationssicherheit bei. Auch Erweiterungen der ISO/IEC 27001 sind etwa durch datenschutzrelevante ISO-Standards (z.B. 27701) möglich, um Kriterien im Hinblick auf den Datenschutz im Organisationsumfeld verstärkt zu implementieren. Darüber hinaus kann die ergänzende Berücksichtigung ausgewählter Aspekte aus dem IT-Grundschutz hilfreich sein.
5. Kontinuierliche Verbesserung. Durch den kontinuierlichen Verbesserungsprozess (auch: „KVP-Modell“) ist eine regelmäßige Auseinandersetzung mit dem ISMS gegeben. Das bedeutet, dieses KVP-Modell sorgt bei korrekter Anwendung dafür, dass einerseits das ISMS selbst einer ständigen Evaluation und demzufolge einer regelmäßigen Optimierung unterliegt. Andererseits sorgt dieses KVP-Modell auch dafür, dass die durch das ISMS realisierten Schutzfunktionen (z.B. organisatorisch, technisch) ebenso einer ständigen Prüfung unterliegen und bei Bedarf eine Verbesserung eingeleitet wird. Neben der kontinuierlichen Optimierung bietet sich auch etwa in Anlassfällen eine Einleitung von Verbesserungsmaßnahmen an (sog. „ad-hoc“).

Gap-Assessment

1. Identifizieren des aktuellen Status. Für eine Behörde, Institution oder für ein Unternehmen wird für den Anwendungsbereich der aktuelle Zustand der umgesetzten Schutzfunktionen eruiert. Dabei werden die im Anwendungsbereich festgelegten Abteilungen, Fachbereiche, Standorte oder Prozesse und auch IT-Systeme evaluiert. Berücksichtigt wird der Lebenszyklus sowohl der Daten als auch der verwendeten Systeme. Zu Beginn erfolgt die Identifizierung eines allgemeinen Sicherheitsniveaus im Anwendungsbereich. Das bedeutet, die Aufbau- bzw. die Ablauforganisation wird im Hinblick auf die referenzierten Kriterien (z.B. die Referenzmaßnahmenziele der ISO/IEC 27001 wie etwa A.5 bis A.18). Dieser Schritt umfasst auch die Evaluierung der generellen Ausstattung (z.B. verwendete Büro-Computer). Im nächsten Schritt erfolgt die Evaluierung der Herstellung (z.B. Architektur, Design, Entwicklung) der durch die Organisation, die Institution oder durch das Unternehmen erbrachten Dienstleistungen oder für die hergestellten Produkte. Damit wird das Sicherheitsniveau der Produkterstellung geprüft. Anschließend wird die Herstellung (z.B. in großen Stückzahlen, aber auch etwa bei Los-Größe 1) der zuvor erwähnten Produkte oder der Dienstleistungen auf Lücken untersucht. Nach der Herstellung wird der Schwerpunkt auf Sicherheitstests – auch dies betrifft sowohl Tests für organisatorische Aspekte (z.B. Business Continuity-Tests) als auch im Hinblick auf lauffähige Programme oder etwa bereitgestellte bzw. genützte IT-Systeme. Liefert die Organisation Produkte, Daten oder Informationen an Dritte (z.B. natürliche oder juristische Personen) erfolgt in diesem Bereich der nächste Schritt für das Gap-Assessment.
2. Ableiten des Zielzustands. Für die Organisation und durch die Organisation verwaltete bzw. bereitgestellte Assets wird in diesem Schritt ein Zielzustand abgeleitet. Dabei ist der gesamte Lebenszyklus von Produkten, der Organisation selbst und auch von Daten zu berücksichtigen. Der Zielzustand wird wieder auf die ISMS-Kontrollgruppen (für ISO/IEC 27001 Annex A iVm ISO/IEC 27002 etwa A-15 bis A-18) abgebildet.
3. Durchführen einer Risikoanalyse. Eine vollständige Risikoanalyse stellt die Grundlage für ein Gap-Assessment dar. Dies ist im Rahmen des Risikomanagementprozesses abzuwickeln. Dazu werden vor dem Hintergrund von Angriffsszenarien Risiken identifiziert und ferner ein Risikobehandlungsplan abgeleitet. Auch Aspekte der Geschäftskontinuität („Business Continuity“) etwa zur Adressierung von Notfällen, Krisen oder vergleichbaren Szenarien sollten an dieser Stelle berücksichtigt werden.
4. Schließen der Lücken. In diesem Schritt wird auf der Grundlage dieser Risikoanalyse eine Auswahl der relevanten Risikobehandlungsmaßnahmen durchgeführt. Eine Nachverfolgung der Umsetzung von Sicherheitsmaßnahmen soll gewährleisten, dass die erkannten Lücken geschlossen werden.

• Festlegung der Sicherheitsziele und -strategien der Organisation,
• Ermittlung und Bewertung der Informationssicherheitsrisiken (information security risk assessment),
• Festlegung geeigneter Sicherheitsmaßnahmen,
• Überwachung der Implementierung und des laufenden Betriebes der ausgewählten Maßnahmen,
• Förderung des Sicherheitsbewusstseins innerhalb der Organisation sowie
• Entdeckung von und Reaktion auf sicherheitsrelevante Ereignisse (information security incident handling).

• 1 Einführung. Dieses erste Kapitel des Sicherheitshandbuchs enthält allgemeine Informationen und Einführungen zum Sicherheitshandbuch selbst und gibt einen ersten Überblick über Konzepte und Ziele des Informationssicherheitsmanagements.
• 2 Informationssicherheitsmanagementsystem (ISMS). Dieses Kapitel beschreibt im Detail die Ziele und Konzepte eines Informationssicherheitsmanagementsystems (ISMS).
• 3 Managementverantwortung und Aufgaben beim ISMS. Dieses Kapitel geht im Detail auf die Aufgaben des Managements eines Unternehmens im Rahmen eines ISMS ein.
• 4 Informationssicherheitspolitik. Dieses Kapitel widmet sich der Erstellung und laufenden Wartung einer unternehmensweiten Informationssicherheitspolitik (Security Policy), welche die grundlegenden Ziele und Verhaltensweisen in Bezug auf Informationssicherheit innerhalb eines Unternehmens vorgibt.
• 5 Risikomanagement. Dieses Kapitel beschreibt Ansätze und Methoden der Risikoanalyse und die weitere Behandlung der identifizierten Risiken. Die Durchführung einer Risikoanalyse ist fundamental, um eigene Vermögenswerte (Assets) und deren Bedrohungen zu identifizieren und um basierend darauf geeignete Sicherheitsmaßnahmen treffen zu können.
• 6 Organisation. Dieses Kapitel widmet sich der Frage, über welche organisatorischen Prozesse der effektive Betrieb eines ISMS in einem Unternehmen unterstützt werden kann.
• 7 Personelle Sicherheit. Dieses Kapitel des Sicherheitshandbuchs widmet sich Aspekten der personellen Sicherheit innerhalb eines Unternehmens, wie z.B. der Definition und Umsetzung von Regeln für Mitarbeiterinnen und Mitarbeiter.
• 8 Vermögenswerte und Klassifizierung von Informationen. Dieses Kapitel widmet sich der Identifikation von Vermögenswerten (Assets) und der Bewertung ihrer Kritikalität und ihres Schutzbedarfs. Damit steht dieses Kapitel in engem Zusammenhang mit Kapitel 4 (Risikoanalyse), da die Erfassung von Vermögenswerten eine Grundvoraussetzung für die Durchführung einer Risikoanalyse ist.
• 9 Zugriffskontrolle, Berechtigungssysteme, Schlüssel- und Passwortverwaltung. Dieses Kapitel adressiert die Kontrolle und Beschränkung des Zugriffs auf IT-Systeme. Dabei handelt es sich um eine für die Informationssicherheit zentrale Sicherheitsfunktion, deren diversen Aspekte in diesem Kapitel näher erörtert werden.
• 10 Kryptographie. Dieses Kapitel widmet sich dem Einsatz kryptographischer Methoden und den in diesem Zusammenhang zu beachtenden Aspekten. Es beschreibt einerseits grundlegende kryptographische Methoden und erörtert andererseits wichtige Aspekte bezüglich ihres praktischen Einsatzes.
• 11 Physische und umgebungsbezogene Sicherheit. Dieses Kapitel adressiert Themen der physischen und umgebungsbezogenen Sicherheit. Es geht im Speziellen auf Aspekte der Raum- und Gebäudesicherheit wie bauliche Maßnahmen, Brandschutz, Leitungsführung oder auch Stromversorgung ein.
• 12 Sicherheitsmanagement im Betrieb. Dieses Kapitel des Sicherheitshandbuchs widmet sich speziell den relevanten Aspekten des Betriebs eines Informationssicherheitsmanagementsystems (ISMS). Dazu gehören die Erstellung und Wartung von Dokumentationen, Erstellung von Sicherheits- und Datensicherungskonzepten, oder auch die Durchführung laufender Protokollierungen und Monitorings.
• 13 Sicherheitsmanagement in der Kommunikation. Dieses Kapitel beschreibt einerseits Aspekte der Netzwerksicherheit und andererseits Themen im Zusammenhang mit dem sicheren elektronischen Austausch von Daten.
• 14 Sicherheit in Entwicklung, Betrieb und Wartung eines IT-Systems. Dieses Kapitel des Sicherheitshandbuchs beschreibt relevante Aspekte bezüglich Entwicklung, Betrieb und Wartung von IT-Systemen.
• 15 Lieferantenbeziehungen. Dieses Kapitel widmet sich Sicherheitsaspekten im Zusammenhang mit der Interaktion mit Lieferanten.
• 16 Sicherheitsvorfälle bzw. Informationssicherheitsereignisse (Incident Handling). Dieses Kapitel beschreibt notwendige Prozesse zum geeigneten Umgang mit Informationssicherheitsereignissen.
• 17 Disaster Recovery und Business Continuity. Dieses Kapitel des Sicherheitshandbuchs beschreibt notwendige Prozesse für ein betriebliches Kontinuitätsmanagement inklusive der definierten und zeitnahen Rückkehr in den Normalbetrieb nach unvorhergesehenen Ausfällen.
• 18 Security Compliance. Dieses Kapitel definiert notwendige Überprüfungen der Einhaltung geltender Vorgaben und das laufende Monitoring der Informationssicherheit.

• A.1 Sicherheitsszenarien. Dieser Anhang des Sicherheitshandbuchs widmet sich Themen der industriellen Sicherheit und des E-Governments in Österreich.
• A.2 Sicherheitstechnologien. Dieser Anhang beschreibt ausgewählte Sicherheitstechnologien.
• A.3 Cloud Computing. Dieser Anhang diskutiert sicherheitsrelevante Aspekte aus dem Bereich Cloud Computing.
• A.4 Smartphone Sicherheit. Dieser Anhang des Sicherheitshandbuchs widmet sich dem Thema Smartphone-Sicherheit.
• A.5 Sicherheit in sozialen Netzen. Dieser Anhang des Sicherheitshandbuchs beschreibt sicherheitsrelevante Aspekte, die im Zusammenhang mit der Verwendung sozialer Netze beachtet werden müssen.
• A.6 Sichere Beschaffung. Dieser Anhang geht auf diverse Aspekte der Informationssicherheit im Rahmen von Beschaffungsvorgängen näher ein und definiert hierfür ein relativ formales und prozessgetriebenes Vorgehen.

• B Muster für Verträge, Verpflichtungserklärungen und Dokumentationen. Dieser Anhang enthält Vorlagen für diverse Dokumente aus dem Bereich ISMS und Informationssicherheit.
• C.1 Wichtige Normen. Dieser Anhang enthält eine Liste relevanter Normen und Standards aus dem Bereich ISMS und Informationssicherheit.
• C.2 Referenzdokumente. Dieser Anhang listet Dokumente, auf die im Sicherheitshandbuch direkt Bezug genommen wird.
• D Referenztabellen. Dieser Anhang enthält eine tabellarische Gegenüberstellung der Strukturen der Versionen 3.1.5 und 4 des Sicherheitshandbuchs.
• E Referenzierte IKT-Board-Beschlüsse und Gesetze. Dieser Anhang enthält eine Liste der im Sicherheitshandbuch referenzierten IKT-Board-Beschlüsse und Gesetze.
• F Wichtige Adressen. Dieser Anhang enthält Adressen von Organisationen, die mit dem Sicherheitshandbuch in Zusammenhang stehen.

• Die Aufrechterhaltung des erreichten Sicherheitsniveaus
  Dies umfasst:
  
  • Wartung und administrativen Support von Sicherheitseinrichtungen
  • die Messung der Effektivität der ausgewählten Sicherheitsmaßnahmen anhand definierter Kennzahlen (Information Security Measurement)
  • die Überprüfung von Maßnahmen auf Übereinstimmung mit der Informationssicherheitspolitik (Security Compliance Checking) sowie
  • die fortlaufende Überwachung der IT-Systeme (Monitoring)
• umfassendes Change-Management
• eine angemessene Reaktion auf sicherheitsrelevante Ereignisse (Incident Handling)

• Risiken vermeiden
• Bedrohungen oder Schwachstellen verkleinern
• unerwünschte Ereignisse entdecken
• die Auswirkung eines unerwünschten Ereignisses eingrenzen
• Risiken überwälzen
• es möglich machen, einen früheren Zustand wiederherzustellen

Klassifikation nach Art der Maßnahmen

• (informations-)technische Maßnahmen
• bauliche Maßnahmen
• organisatorische Maßnahmen
• personelle Maßnahmen

Klassifikation nach Anwendungsbereichen

• Maßnahmen, die organisationsweit (oder in Teilen der Organisation) einzusetzen sind. Dazu gehören:
  • Etablierung eines ISMS-Prozesses und Erstellung von Informationssicherheitspolitiken
  • organisatorische Maßnahmen (z. B. Kontrolle von Betriebsmitteln, Dokumentation, Rollentrennung)
  • Überprüfung der IT-Sicherheitsmaßnahmen auf Übereinstimmung mit den Informationssicherheitspolitiken (Security Compliance Checking), Auditing
  • Reaktion auf sicherheitsrelevante Ereignisse (Incident Handling)
  • personelle Maßnahmen (inkl. Schulung und Bildung von Sicherheitsbewusstsein)
  • bauliche Sicherheit und Infrastruktur
  • Notfallvorsorge
• Systemspezifische Maßnahmen. Die Auswahl systemspezifischer Maßnahmen hängt in hohem Maße vom Typ des zu schützenden IT-Systems ab. Man unterscheidet etwa:
  • Nicht-vernetzte Systeme (Stand-Alone-PCs)
  • Workstations in einem Netzwerk
  • Server in einem Netzwerk

Klassifikation nach Gefährdungen und Sicherheitsanforderungen

• Maßnahmen zur Gewährleistung der Vertraulichkeit (confidentiality)
• Maßnahmen zur Gewährleistung der Integrität (integrity)
• Maßnahmen zur Gewährleistung der Verfügbarkeit (availability)
• Maßnahmen zur Gewährleistung der Zurechenbarkeit (accountability)
• Maßnahmen zur Gewährleistung der Authentizität (authenticity)
• Maßnahmen zur Gewährleistung der Zuverlässigkeit (reliability)
• Maßnahmen zur Gewährleistung der Nichtwiderlegbarkeit (non-repudiation)

Liste existierender bzw. geplanter Sicherheitsmaßnahmen:

Ergebnisse der Risikobewertung:

• der Stärke der einzelnen Maßnahmen
• ihrer Benutzerfreundlichkeit und Transparenz für die AnwenderInnen
• der Art der Schutzfunktion (Verringerung von Bedrohungen, Erkennen von Verletzungen, …)

• Vorbeugung (präventive Maßnahmen)
• Aufdeckung (detektive Maßnahmen)
• Abschreckung
• Schadensbegrenzung
• Wiederherstellung eines früheren Zustandes
• Bildung von Sicherheitsbewusstsein
• Risikoüberwälzung

Standardwerke zur Auswahl von Maßnahmen:

• Erfassung aller Bedrohungen, gegen die die ausgewählten Maßnahmen wirken
• Beschreibung der Auswirkung der Einzelmaßnahmen
• Beschreibung des Zusammenwirkens der ausgewählten und der bereits vorhandenen Sicherheitsmaßnahmen
• Überprüfung, ob und inwieweit die Maßnahmen zu Behinderungen beim Betrieb des IT-Systems führen können
• Überprüfung der Vereinbarkeit der Maßnahmen mit geltenden rechtlichen Vorschriften und Richtlinien
• Bewertung, in welchem Ausmaß die Maßnahmen eine Reduktion der Risiken bewirken

• Zeitliche Rahmenbedingungen
  Etwa: Wie schnell ist auf ein erkanntes Risiko zu reagieren? Wann kann/muss eine Maßnahme realisiert sein?
• Finanzielle Rahmenbedingungen
  Im Allgemeinen werden budgetäre Einschränkungen existieren. Die Kosten für Sicherheitsmaßnahmen müssen in einem angemessenen Verhältnis zum Wert der zu schützenden Objekte stehen.
• Umweltbedingungen
  Auch durch das Umfeld vorgegebene Rahmenbedingungen, wie etwa die Lage eines Gebäudes, klimatische Bedingungen und Platzangebot können die Auswahl von Sicherheitsmaßnahmen beeinflussen.
• Technische Rahmenbedingungen
  z. B. Kompatibilität von Hard- und Software

Schritt 1: Quantifizierung des Restrisikos

Schritt 2: Bewertung der Restrisiken

Schritt 3: Entscheidung über nicht akzeptable Restrisiken

Schritt 4: Akzeptanz von außergewöhnlichen Restrisiken

• Definition und Abgrenzung des Systems, Beschreibung der wichtigsten Komponenten
• Definition der wichtigsten Ziele und Funktionalitäten des Systems
• Festlegung der Informationssicherheitsziele des Systems
• Abhängigkeit der Organisation vom betrachteten IT-System;
  dabei ist zu untersuchen, wie weit die Aufgabenerfüllung der Organisation durch eine Verletzung der Vertraulichkeit, Verfügbarkeit oder Integrität des Systems oder darauf verarbeiteter Information gefährdet wird.
• Investitionen in das System
  (Entwicklungs-, Beschaffungs- und Wartungskosten, Kosten für den laufenden Betrieb)
• Risikoanalysestrategie
• Werte, Bedrohungen und Schwachstellen lt. Risikoanalyse
• Sicherheitsrisiken
• Beschreibung der bestehenden und der noch zu realisierenden Sicherheitsmaßnahmen
• Gründe für die Auswahl der Maßnahmen
• Kostenschätzungen für die Realisierung und den laufenden Betrieb (Wartung) der Sicherheitsmaßnahmen
• Verantwortlichkeiten

• eine Liste der vorhandenen sowie eine Liste der noch zu implementierenden Sicherheitsmaßnahmen;
  für jede dieser Maßnahmen sollte eine Aussage über ihre Wirksamkeit sowie möglicherweise notwendige Verbesserungen oder Verstärkungen getroffen werden
• eine Prioritätenreihung für die Implementierung der ausgewählten Sicherheitsmaßnahmen bzw. die Verbesserung bestehender Maßnahmen
• eine Kosten- und Aufwandsschätzung für Implementierung und Wartung der Maßnahmen
• Detailplanung für die Implementierung
  Diese soll folgende Punkte umfassen:
  • Prioritäten
  • Zeitplan, abhängig von Prioritäten und Ressourcen
  • Budget
  • Verantwortlichkeiten
  • Schulungs- und Sensibilisierungsmaßnahmen
  • Test- und Abnahmeverfahren und -termine
  • Nachfolgeaktivitäten
• eine Bewertung des nach der Implementierung aller Maßnahmen zu erwartenden Restrisikos

• Ablauf eines vorgeschriebenen oder vereinbarten Zeitraumes (z. B. jährliches Update)
• Eintritt von Ereignissen, die die Bedrohungslage verändern, wie etwa politische oder gesellschaftliche Entwicklungen oder das Bekanntwerden neuer Attacken
• Eintritt von Ereignissen, die die Werte verändern können, wie etwa die Änderungen von Organisationszielen oder Aufgabenbereichen, Änderungen am Markt oder die Einführung neuer Applikationen
• Ereignisse, die die Eintrittswahrscheinlichkeit von Bedrohungen verändern, wie etwa die Entwicklung neuer Techniken oder veränderte Einsatzbedingungen (Einsatzort, IT-Ausstattung, …)
• neue Möglichkeiten für Sicherheitsmaßnahmen, etwa aufgrund von Preisänderungen oder der Verfügbarkeit neuer Technologien

• die laufende Überprüfung von Akzeptanz und Einhaltung der Sicherheitsmaßnahmen
• die Protokollierung von Schadensereignissen
• die Kontrolle der Wirksamkeit und Angemessenheit der Maßnahmen

Schritt 1: Implementierung der Sicherheitsmaßnahmen

Schritt 2: Testplan und Tests

• die Testmethoden
• die Testumgebung
• die Zeitpläne für die Durchführung der Tests

Schritt 3: Prüfung der Maßnahmen auf Übereinstimmung mit der Informationssicherheitspolitik (Security Compliance Checking)

• die vollständige und korrekte Umsetzung der Sicherheitsmaßnahmen
• der korrekte Einsatz der implementierten Sicherheitsmaßnahmen
• die Einhaltung der organisatorischen Sicherheitsmaßnahmen im täglichen Betrieb

• Aktualität:
  Alle Sicherheitsmaßnahmen sind stets auf dem aktuellen Stand der Realisierung zu beschreiben.
• Vollständigkeit
  
• Hoher Detaillierungsgrad:
  Die Sicherheitsmaßnahmen sind so detailliert zu beschreiben, dass zum einen eventuell bestehende Sicherheitslücken erkannt werden können, zum anderen ausreichend Information für einen korrekten und effizienten Einsatz der Maßnahmen zur Verfügung steht.
• Gewährleistung der Vertraulichkeit:
  Dokumentation über Sicherheitsmaßnahmen kann unter Umständen sehr vertrauliche Information enthalten und ist daher entsprechend zu schützen. So weit wie möglich sollte bei der Klassifizierung und Behandlung solcher Dokumente auf die Vorgaben im Rahmen der Informationssicherheitspolitik der Organisation zurückgegriffen werden (vgl. dazu 8.2 Klassifizierung von Informationen). Es kann im Einzelfall notwendig sein, weitere Verfahrensweisen zur Erstellung, Verteilung, Benutzung, Aufbewahrung und Vernichtung von sicherheitsrelevanter Dokumentation zu entwickeln. Diese Verfahrensweisen sind ebenfalls entsprechend zu dokumentieren.
• Konfigurations- und Integritätskontrolle:
  Es ist sicherzustellen, dass keine unautorisierten Änderungen der Dokumentation erfolgen, die eine - beabsichtigte oder unbeabsichtigte - Beeinträchtigung der implementierten Maßnahmen nach sich ziehen könnten.

• die/der CISO und die Informationssicherheitskoordinatoren im Bereich
• die Mitglieder des Informationssicherheitsmanagement-Teams
• MitarbeiterInnen, die zu als VERTRAULICH, GEHEIM oder STRENG GEHEIM eingestuften Informationen Zugang haben
• MitarbeiterInnen mit spezieller Verantwortung für die Systementwicklung (z. B. ProjektleiterInnen)
• MitarbeiterInnen mit spezieller Verantwortung für den Betrieb eines IT-Systems oder einer wichtigen Applikation (z. B. Applikationsverantwortliche)
• MitarbeiterInnen, die mit Aufgaben der IT-Sicherheitsverwaltung betraut sind (z. B. Vergabe von Zutritts-, Zugangs- und Zugriffsrechten)

• Sicherheitspolitik und -infrastruktur:
  Rollen und Verantwortlichkeiten, Organisation des Informationssicherheitsmanagements, Behandlung von sicherheitsrelevanten Vorfällen, regelmäßige Überprüfung von Sicherheitsmaßnahmen und ähnliches
• Bauliche Sicherheit:
  Schutz von Gebäuden, Serverräumen, Büroräumen und Versorgungseinrichtungen mit besonderer Betonung der Verantwortung der einzelnen MitarbeiterInnen (z. B. Handhabung von Zutrittskontrollmaßnahmen, Brandschutz)
• Personelle Sicherheit
  
• Hardware- und Softwaresicherheit:
  Dazu gehören etwa Identifikation und Authentisierung, Berechtigungssysteme, Protokollierung, Wiederaufbereitung und Virenschutz.
• Netzwerksicherheit:
  Netzwerkinfrastruktur, LANs, Inter-/Intranets, Verschlüsselung, digitale Signaturen u. ä.
• Business Continuity-Planung
  

• in einer definierten Betriebsumgebung
• unter definierten Einsatzbedingungen
• für eine definierte vorgegebene Zeitspanne

• Prüfung der Maßnahmen auf Übereinstimmung mit der Informationssicherheitspolitik (Security Compliance Checking), vgl. auch 2.3.1 Implementierung von Maßnahmen und 2.4.3 Überprüfung von Maßnahmen auf Übereinstimmung mit der Informationssicherheitspolitik (Security Compliance Checking)
• Tests
• Evaluation und Zertifizierung von Systemen

• die erforderlichen finanziellen und personellen Ressourcen zur Wartung von Sicherheitseinrichtungen zur Verfügung stehen
• organisatorische Regelungen existieren, die die Aufrechterhaltung der Informationssicherheitsmaßnahmen im laufenden Betrieb ermöglichen und unterstützen
• die Verantwortungen im laufenden Betrieb klar zugewiesen werden
• die Maßnahmen regelmäßig daraufhin geprüft werden, ob sie wie beabsichtigt funktionieren
• Maßnahmen verstärkt werden, falls sich neue Schwachstellen zeigen

Zielsetzung

• die Sicherheitsmaßnahmen vollständig und korrekt umgesetzt werden
• der korrekte Einsatz der implementierten Sicherheitsmaßnahmen gewährleistet ist (Stichproben!)
• die organisatorischen Sicherheitsvorgaben im täglichen Betrieb eingehalten und akzeptiert werden

Zeitpunkte

• für neue IT-Systeme oder relevante neue Anwendungen:
  nach der Implementierung (vgl. dazu auch 18.1 Security Compliance Checking und Monitoring)
• für bereits in Betrieb befindliche IT-Systeme oder Applikationen:
  nach einer bestimmten, in den Sicherheitsrichtlinien vorzugebenden Zeitspanne (z. B. jährlich) sowie bei signifikanten Änderungen.

• Wert der zu schützenden Objekte:
  Sowohl die Werte von Objekten als auch, daraus resultierend, die Sicherheitsanforderungen an das Gesamtsystem können im Laufe des Lebenszyklus eines IT-Projektes oder -Systems erheblichen Änderungen unterliegen. Mögliche Gründe dafür sind eine Änderung der IT-Sicherheitsziele, neue Applikationen oder die Verarbeitung von Daten einer höheren Sicherheitsklasse auf existierenden Systemen oder Änderungen in der Hardwareausstattung.
• Bedrohungen und Schwachstellen:
  Organisatorisch oder technologisch (hier insbesondere durch neue Technologien in der Außenwelt) bedingt können sowohl die Wahrscheinlichkeit des Eintritts einer Bedrohung als auch die potenzielle Schadenshöhe im Laufe der Zeit starken Änderungen unterliegen und sind daher regelmäßig zu evaluieren. Neue potenzielle Schwachstellen sind so früh wie möglich zu erkennen und abzusichern.
• Sicherheitsmaßnahmen:
  Die Wirksamkeit der implementierten Sicherheitsmaßnahmen ist laufend zu überprüfen. Es ist sicherzustellen, dass sie einen angemessenen und den Vorgaben der Sicherheitsrichtlinien entsprechenden Schutz bieten. Änderungen in den Werten der bedrohten Objekte, den Bedrohungen und den Schwachstellen, aber auch durch den Einsatz neuer Technologien, können die Wirksamkeit der Sicherheitsmaßnahmen nachhaltig beeinflussen.

• Erarbeitung einer Sicherheitspolitik und Übernahme der Gesamtverantwortung für Informationssicherheit durch die Leitung
• Erarbeitung der Sicherheitsziele und Detailaufgaben des ISMS
• Benennung von Rollen und verantwortlichen Personen (auch bei Bestellung externer Personen, wenn die Besetzung mit internem Personal nicht möglich ist)
• Darstellung, Einschätzung, Bewertung der Risiken, Festlegung von Kriterien für akzeptable Restrisiken
• Veranlassen des Aufbaus einer geeigneten Organisationsstruktur für Informationssicherheit
• Schaffung von Awareness (Bewusstsein) für die Bedeutung und den Nutzen eines angemessenen Informationssicherheitsniveaus bzw. des ISMS
• Schaffung von Awareness (Bewusstsein) und Motivation für die Notwendigkeit der Einhaltung der Sicherheitsregeln
• Schaffung von Awareness (Bewusstsein) und Motivation, über Schwachstellen und Sicherheitsvorfälle zu informieren und Verbesserungen vorzuschlagen
• Bereitstellung ausreichender finanzieller und personeller Ressourcen für Einrichtung und dauerhaften Betrieb des ISMS sowie der Sicherheitsmaßnahmen
• Durchführung von Audits und Management-Reviews im Rahmen des ISMS
• Herbeiführung von Entscheidungen über Verbesserungsvorschläge, im positiven Fall jeweils auch Sicherstellung von deren Umsetzung

• Fehlende persönliche Verantwortung im Sicherheitsprozess
• Mangelnde Unterstützung durch die Institutionsleitung
• Unzureichende strategische und konzeptionelle Vorgaben
• Unzureichende oder fehlgeleitete Investitionen
• Unzureichende Durchsetzbarkeit von Sicherheitsmaßnahmen
• Fehlende Aktualisierung im Sicherheitsprozess
• Verstoß gegen gesetzliche Regelungen und vertragliche Vereinbarungen
• Störung der Geschäftsabläufe aufgrund von Sicherheitsvorfällen
• Unwirtschaftlicher Umgang mit Ressourcen durch unzureichendes Sicherheitsmanagement

• Sicherheitsanforderungen, die sich aus gesetzlichen oder vertraglichen Verpflichtungen ableiten
• Aktuelle Sicherheitsrisiken mitsamt ihren möglichen - auch finanziellen - Auswirkungen, sowie ihre voraussichtliche Entwicklung
• Aufgetretene Schwachstellen oder Sicherheitsvorfälle
• Auswirkungen von tatsächlichen oder potenziellen Sicherheitsvorfällen auf kritische Geschäftsprozesse
• Potenzielle Gefährdungen aus veränderten Rahmenbedingungen und zukünftigen Entwicklungen
• Brauchbare Vorgehensweisen zur Informationssicherheit aus allgemeinen oder branchenüblichen Standards, vergleichbaren Organisationen, Arbeitsgruppen

• Es muss klar sein, dass Sicherheitsmaßnahmen - oft erhebliche - Kosten verursachen. Diesen sind jene gegenüberstellen, die als Folge eines schweren Sicherheitsvorfalls anfallen würden.
• Es muss ebenso klar sein, dass es keine absolute Sicherheit geben kann, sondern nur ein akzeptiertes Restrisiko.
• Es können Verkettungen von Vorfällen auftreten, die niemand vorhersagen kann und die ein höheres Schadenspotenzial als das akzeptierte Restrisiko nach sich ziehen.

Aufwand und Nutzen bei der Informationssicherheit

Ressourcen für die Organisation

Ressourcen für die Einrichtung des ISMS: IS-Management-Team

• Informationssicherheit
• Fachabteilungen
• Haustechnik
• Revision
• IT, Datenschutz
• Personal
• Betriebsrat
• Finanz/Controlling
• Rechtsabteilung

Ressourcen für Betrieb und Überprüfung

• ob der Aufwand jeweils noch im Einklang zum Sicherheitsnutzen steht,
• welche Alternativen eingesetzt werden könnten,
• ob die verwendeten Sicherheitsmaßnahmen die zugehörigen Geschäftsprozesse noch unterstützen.

• Überzeugung aller MitarbeiterInnen, dass Informationssicherheit ein Erfolgsfaktor ist
• Überzeugung aller MitarbeiterInnen, dass und warum bestimmte Sicherheitsmaßnahmen notwendig und sinnvoll sind
• Wissen bei den MitarbeiternInnen über Erwartungen hinsichtlich Informationssicherheit und Sensibilisierung für Sicherheitsaspekte
• Wissen bei den MitarbeiternInnen, was sie in kritischen Situationen tun bzw. unterlassen sollen
• Ausreichende Kenntnisse und Fertigkeiten zur Durchführung ihrer Aufgaben
• Kenntnis der betrieblichen Abläufe und damit verbundener Regelungen
• Kenntnis der AnsprechpartnerInnen für Sicherheitsfragen oder -probleme
• Vorbeugung von Sicherheitsvorfällen und sorgsamer Umgang mit Informationen sowie mit der IT

Gefährdungen:

• Vertraulichkeits- oder Integritätsverlust von Daten durch Fehlverhalten (unzureichende Kenntnis der Regelungen, unerlaubte Ausübung von Rechten, Fehlerhafte Nutzung oder Administration von IT-Systemen)
• Nichtbeachtung von Sicherheitsmaßnahmen
• Sorglosigkeit im Umgang mit Informationen
• Mangelhafte Akzeptanz von Informationssicherheit

• Unberechtigte IT-Nutzung
• Missbrauch von Benutzer- oder Administratorrechten
• Manipulation an Informationen oder Software
• Social Engineering
• Ausspähen von Informationen

Schulungs- und Awarenessprogramm:

Planung und Konzeption:

• Lernziele definieren, messen und auswerten: Vor allem Sicherheitsziele der eigenen Organisation müssen vermittelt werden, aber auch Basiswissen zu Informationssicherheit und Fertigkeiten für Verhalten in kritischen Situationen. Diese Lernziele sollten gemessen und ausgewertet werden.
• Erfolgskriterien für das Schulungs- und Awarenessprogramm definieren inkl. deren Messung, soweit möglich.
• Zielgruppen für einzelne Schulungs- und Awarenessmaßnahmen definieren, da diese unterschiedliche Bedürfnisse aber auch Zeitressourcen haben sowie berücksichtigen von vertiefenden Schulungen für besonders exponierte Personen (etwa: Management, AdministratorInnen, Externe).
• Lernbedarf identifizieren: auf Basis bisheriger Kenntnisse, Spezialisierung (etwa: neue MitarbeiterInnen, Basiswissen, Spezialkenntnisse, neue Abläufe/Systeme).
• Lerninhalte festlegen: jedenfalls alle Regelungen und Verfahren für den jeweiligen Arbeitsplatz, inkl. Umfeld und Hintergründen. Hier besteht jedoch die Gefahr einer Überfrachtung, so dass dann aus Zeitmangel die Schulung gar nicht vollständig durchgeführt wird. Im IT-Bereich können Sicherheitsschulungen durchaus in IT-Schulungen integriert werden, sofern die TrainerInnen hinreichend qualifiziert sind und der Sicherheit hinreichend Platz eingeräumt wird.
• Lernmethoden und -medien auswählen: eine wesentliche Entscheidung ist, ob eigene MitarbeiterInnen die Schulungen durchführen oder externe TrainerInnen. Weiters ist zu klären, ob standardisierte Seminare („von der Stange“) ausreichen (dazu sind auch deren Termine zu berücksichtigen), ob und inwieweit individuelle Schulungen notwendig sind oder ob z. B. E-Learning eingesetzt werden kann.

Durchführung und Kontrolle:

• Wurden alle betroffenen MitarbeiterInnen erreicht?
• Wurden die Inhalte verstanden?
• Waren die MitarbeiterInnen mit der Schulungs-/Awarenessmaßnahmen zufrieden?
• Gibt es (sachlich begründeten) Bedarf für weitere Schulungen?
• Hat sich die Einstellung der MitarbeiterInnen gegenüber Sicherheitsmaßnahmen positiv geändert? Dies ist allerdings nicht einfach zu ermitteln, da es zu keinen missbräuchlichen Überwachungsaktionen kommen darf.

• Fragebögen mit Bewertungen der Teilnehmer
• Fragebögen mit Fragen aus dem gelernten Stoff
• Diskussionsmeeting Management/Sicherheitsbeauftragte/MitarbeiterInnen nach der Schulungs-/Awarenessmaßnahme

Dokumentation von Schulungs-/Awarenessmaßnahmen:

Flankierende Schulungs- und Awarenessmaßnahmen:

• Informationsforum zur Informationssicherheit im Intranet
• Anmeldebildschirm mit Sicherheitsinformationen resp. 1-2 Quizfragen
• Rundschreiben, E-Mails, Zeitschriften mit sicherheitsrelevanten Themen
• Mitarbeiterzeitung, Poster und Broschüren
• interne Informationsveranstaltungen
• externe Seminare, Messen und Konferenzen
• E-Learning-Programme
• Planspiele zur Informationssicherheit
• Diskussionsmeetings (Round-Tables, Kaminabende)

Flankierende Schulungs- und Awarenessmaßnahmen:

• Datum
• Zeit
• Thema
• Teilnehmer
• Erledigungsvermerk

Anforderung an AuditorInnen:

• AuditorInnen dürfen nur Bereiche auditieren, in denen sie nicht selbst tätig sind
• bzw. für welche sie nicht verantwortlich sind

• ausreichende Schul- und Berufsausbildung um die Geschäftsprozesse und Sicherheitsmaßnahmen zu verstehen
• Kenntnis der relevanten Gesetze und Normen, inkl. für das Audit relevante Normen (z. B. ISO 19011)
• Kenntnis der Unternehmens- und Sicherheitsziele sowie der wesentlichen Abläufe und Prozesse
• Kenntnisse der wesentlichen Themen der Informationssicherheit
• Schulung um Audits durchführen zu können (Methodik, Fragetechnik, Analyse, Bewertung, Berichtswesen)

• Klare und verständliche mündliche und schriftliche Ausdrucksweise
• Aktives Zuhören
• Ausdauer, Belastbarkeit, Festigkeit auch in Stresssituationen
• Einfühlungsvermögen zugleich mit Beharrlichkeit
• Erkennen von größeren Zusammenhängen und Konsequenzen aus Einzelinformationen

• Sind die Vorgaben geeignet, die relevanten Gesetze einzuhalten und Normen zu erfüllen?
• Welche Vorgaben sind vorhanden? Sind sie den befassten Personen bekannt und werden sie verstanden?
• Sind die Vorgaben vollständig und klar formuliert?
• Gehen aus den Vorgaben die Verantwortlichkeiten und Zuständigkeiten hervor?
• Beschreiben die Vorgaben jeweils geschlossene Workflows (Eingabe/Verarbeitung/Ausgabe-Ergebnis)?
• Gibt es Vorgaben zur Protokollierung von Abweichungen/Vorfällen?
• Wurden allfällige Verbesserungsmaßnahmen aus dem letzten Audit umgesetzt und wie?

• Welche Nachweise sind vorgesehen, um die Einhaltung kontrollieren und überprüfen zu können?
• Gibt es Vorgaben, die nicht angewendet werden?
• Gibt es umgekehrt durchgeführte Tätigkeiten, für die keine Vorgaben existieren?
• Wie exakt werden die Vorgaben bei der praktischen Tätigkeit eingehalten?
• Gab es Sicherheitsvorfälle, konnten solche anhand der Vorgaben behoben werden/musste improvisiert werden?
• Gab es Änderungen bei den Vorgaben aufgrund von Sicherheitsvorfällen?
• Werden die jeweiligen Tätigkeiten in der Praxis dokumentiert und wie (Arbeitsaufzeichnungen, Tagesprotokolle, …)?
• Welche dokumentierten Hinweise über die Wirksamkeit der Vorgaben / Maßnahmen gibt es (verhinderte Eindringversuche, erfolgte Behebung von Störungen, …)?
• Welche persönliche Meinung haben die befassten MitarbeiterInnen von den Vorgaben? Halten sie die Vorgaben für sinnvoll?
• Welche Verbesserungsmaßnahmen schlagen die MitarbeiterInnen vor?

• Vorläufige Erkenntnisse aus der Befragung und den Unterlagen
• Zeitpunkt und Art der Berichtslegung (Erkenntnisse, Empfehlungen)
• Allfällige Möglichkeiten zur Stellungnahme
• Termin für Schlussdokument und Schlusspräsentation

• Wesentliche Vorgaben für Arbeitsabläufe fehlen, sind falsch oder mangelhaft.
• Verantwortlichkeiten oder Zuständigkeiten für Prozesse fehlen oder sind falsch.
• Vorgaben werden regelmäßig oder gar nicht eingehalten.
• Bei Sicherheitsvorfällen musste improvisiert werden und die Vorgaben wurden nicht entsprechend modifiziert.
• Wesentliche vorgegebene Dokumentationen oder Protokolle werden nicht verfasst/geführt.
• Protokolle werden nicht ausgewertet.

• Die Vorgaben sind zu wenig bekannt.
• Nicht benötigte Vorgaben.
• Ungünstig formulierte Vorgaben mit hohem Schulungsaufwand.
• Bedarf für Schulung und Awareness.
• Prozesse und Abläufe, die vereinfacht oder gar eingespart werden könnten.
• Bereitstellung besserer Arbeitsmittel.

• Gemeinsamkeiten bei mangelhaften Vorgaben (z. B. unverständliche Formulierung, komplizierte Beschaffung),
• Systematische Nichteinhaltungen,
• Single Points of Failure: Konzentration von Zuständigkeiten, aber auch Abweichungen an bestimmten Stellen in der Organisation,
• Schwachstellen bzw. Lücken im System.

• Vorhandensein und Qualität der Vorgaben,
• Grad ihrer Einhaltung,
• Wirkungsgrad der Maßnahmen,
• Tatsächliche (historische) oder künftige (potenzielle) Auswirkungen auf das Erreichen der Sicherheitsziele resp. Ziele der Organisation.

• Empfehlungen zur Verbesserung der Vorgaben und ihrer Einhaltung,
• Empfehlungen zur Verbesserung von Prozessen und Maßnahmen.

Interner Audit Bericht

• Formalia (Anlass, auditierte Organisationseinheit(en), AuditorIn, Berichtsdatum, Auditzeitraum, verwendete Unterlagen, allfällige Bereiche die nicht geprüft wurden
• Management Summary der wesentlichsten Erkenntnisse aus Gesamtsicht

• Bezeichnung, Inhalt
• Feststellungen (etwa: erfüllt/teilweise erfüllt/nicht erfüllt/nicht anwendbar im Einzelfall)
• Begründungen, Aussagen über die Wirksamkeit von Maßnahmen (wenn möglich)
• Empfehlungen für Maßnahmen (bei mangelhafter Erfüllung) mit Terminhorizonten bzw. allgemeine Verbesserungsvorschläge (wie Schulungsbedarf)
• Identifizierte Zuständigkeiten für die Umsetzung

• Eindruck der AuditorInnen über den Ablauf des Audits
• Zusammenfassung der wesentlichsten Erkenntnisse über alle Bereiche
• Schlussfolgerungen für das Sicherheitsniveau bzw. die Ziele der Organisation
• Zusammenfassung und Priorisierung der wichtigsten Verbesserungsvorschläge (betreffend Vorgaben wie Umsetzungen und Einhaltung)
• Zeithorizont für das nächste Audit (ggf. außerplanmäßiges Nach-Audit bei schwerwiegenden Abweichungen)

Stellungnahmen, Schlussbesprechung

• Berichte von internen oder externen Audits (resp. vergleichbaren Erhebungen betreffend Vorgaben und deren Erfüllung, bspw. Datenschutzkontrollen)
• Erkennen, Dokumentation, Auswertung von Sicherheitsvorfällen
• Allfällige Übungen und Tests zur Simulation von Sicherheitsvorfällen und deren Ergebnisse
• Ereignisse, Trends, Entwicklungen im Umfeld der eigenen Organisation (Gesetze, Technologien, Angriffe)
• Definition, Dokumentation und Auswertung von Kennzahlen (z.B. Aktualität des Virenschutzes und Anzahl detektierter Schadsoftware usw.)
• Zertifizierung nach festgelegten Sicherheitskriterien (z. B. ISO/IEC 27001)

• Gerade der IT-Bereich erweist sich als ausgesprochen schnelllebig. Konzepte, Maßnahmen oder Technologien, die noch vor einigen Jahren als sicher galten, können zum heutigen Zeitpunkt sicherheitstechnisch völlig überholt sein und damit gefährliche Schwachstellen darstellen, wenn man sich in trügerischer Weise darauf verlässt.
• Änderungen von relevanten Gesetzen, Vorschriften oder Normen können erheblichen Einfluss auf die Geschäftsprozesse und damit auf das Sicherheitskonzept haben.
• Änderungen innerhalb der eigenen Organisation (neue IT-Systeme, Umzug, neue Organisationsstruktur, Outsourcing) müssen schon in der Planungsphase in das Sicherheitskonzept eingearbeitet werden.
• Die Wirtschaftlichkeit der Sicherheitsstrategie und spezifischer Sicherheitsmaßnahmen - wenn auch Kosten für die Informationssicherheit schwer zu ermitteln sind - sollte regelmäßig untersucht werden: ob die tatsächlich angefallenen Kosten den ursprünglich geplanten Kosten entsprechen oder ob inzwischen ressourcenschonendere Sicherheitsmaßnahmen verfügbar sind und sinnvoll eingesetzt werden können.
• Rückmeldungen über Fehler und Schwachstellen in den Prozessen (aus Audits, aber auch Feedbacks von MitarbeiterInnen, GeschäftspartnerInnen oder KundInnen. Beschwerden von KundInnen oder MitarbeiterInnen können ein Indikator für Unzufriedenheit sein, die in der Folge eine Gefahr von fahrlässigen oder vorsätzlichen störenden Handlungen heraufbeschwören und jedenfalls die Effizienz mindern.

• Die Sinnhaftigkeit von Maßnahmen (Beitrag zum Erreichen von Sicherheitszielen) fällt in das Review der Sicherheitsstrategie
• Für ihre Umsetzung und Einhaltung ist entscheidend, ob ausreichend personelle, zeitliche und finanzielle Ressourcen zur Verfügung gestellt wurden. Der Grund für mangelhaft umgesetzte bzw. nicht eingehaltene Sicherheitsmaßnahmen können Planungsfehler oder gar unrealistische Annahmen oder Elemente der Sicherheitsstrategie bzw. des Sicherheitskonzepts sein.
• Ein weiterer Hauptgrund für nicht umgesetzte resp. nicht eingehaltene Sicherheitsmaßnahmen liegt in fehlender Akzeptanz seitens der MitarbeiterInnen. Sie kann nicht erzwungen werden, basiert aber oft im Mangel an Information, Schulung bzw. Bewusstseinsbildung.
• Wurden Vorgaben nicht eingehalten, so ist zu klären ob es an den Vorgaben (fehlend, nicht bekannt, unverständlich, unklar) oder im Bereich der für die Einhaltung Verantwortlichen liegt (Überlastung, mangelnde Motivation, Klima des Improvisierens).

• Aktualität der erkannten resp. akzeptierten Risiken
• Wirksamkeit der erkannten resp. akzeptierten Risiken
• Änderungen von Prozessen, Abläufen aufgrund des Reviews
• Verfügbarkeit von Ressourcen
• Schulungs- und Awarenessmaßnahmen, Motivationsförderung
• Aktualisierung von Dokumentationen
• Verbesserung der Methoden zur Messung der Wirksamkeit von Maßnahmen

• Ergebnisse (Berichte, Protokolle) interner und externer Audits
• Ergebnisse (Berichte, Protokolle) des Management-Reviews
• Dokumentierte Abwicklungen von Reklamationen bzw. Beschwerden
• Vorschläge von Sicherheitsbeauftragten
• Vorschläge von MitarbeiterInnen
• Erfahrungen anderer vergleichbarer Organisationen
• Publizierte oder informelle Sicherheitswarnungen
• Informationen aus Fachpublikationen, Fachtagungen, Mitwirkung in Gremien

• Sicherheitspolitik, Sicherheitskonzept: Aktualisierung, Verbesserung, Anpassung an neue Rahmenbedingungen
• Sicherheitsmaßnahmen: Eliminieren erkannter Schwachstellen, Umstellung auf alternative Maßnahmen die effizienter sind, in der Praxis besser greifen oder weniger Ressourcen benötigen
• Implementierung: Verbesserung hinsichtlich korrekter Implementierung und Konfiguration
• Einhaltung: Organisatorische Maßnahmen, Verbesserung bei Anforderungen, Schulungen, Awareness
• Auswertung: Verbesserungen bei Protokollierung und Protokollauswertung
• Mess- und Prüfkriterien: Optimierung der Prozesse, um die Wirksamkeit und Einhaltung von Sicherheitsmaßnahmen feststellen zu können

Korrekturmaßnahmen:

• Anpassung organisatorischer Maßnahmen und Abläufe.
• Setzen von personellen Maßnahmen, über Schulungs- bzw. Awarenessprogramme bis hin zu disziplinären Maßnahmen oder Auswechseln von leitenden Personen.
• Planung von baulichen oder infrastrukturellen Veränderungen.
• Vornahme von technischen Veränderungen (etwa an Hard- oder Software bzw. Kommunikationseinrichtungen oder Netzwerken).

Umsetzung der Korrekturmaßnahmen:

• Alle erforderlichen Korrekturmaßnahmen in einem Umsetzungsplan inkl. Terminen festhalten.
• Im Umsetzungsplan sollen Prioritäten abhängig vom jeweiligen Risiko gesetzt werden.
• Es müssen jeweils Entscheidungen der Managementebene erfolgen und dokumentiert werden - auch für den Fall, dass eine Korrekturmaßnahme verworfen wird.
• In der Folge sind jeweils die Verantwortlichen für die Umsetzung zu benennen und mit den notwendigen Ressourcen auszustatten.
• Kommunikation der umzusetzenden Maßnahmen und Verbesserungen und Abstimmung mit allen Betroffenen.
• Begleitende Kontrolle, Dokumentation und Information des Managements über Fortschritt, Fertigstellung, allfällige Abänderungen.
• Möglichst frühzeitige Prüfung der Wirksamkeit.

Vorbeugende Verbesserungsmaßnahmen:

• Geänderter Gefährdungs- oder Risikolage (aufgrund neuer Risikoanalysen, Sicherheitswarnungen, …)
• Ergebnisse von Tests
• Durchführung von Disaster Recovery-Übungen
• Übungen zur Datenrekonstruktion

• Die zu setzenden Maßnahmen müssen in Relation zu den möglichen Auswirkungen des erkannten Problempotenzials stehen, sonst werden sie unwirtschaftlich.
• Anforderungen an Vorbeugungsmaßnahmen müssen festgelegt werden.
• Die Art der Maßnahmen entspricht weitgehend dem unter 3.5.2 Entscheidungs- und Handlungsbedarf dargestellten Entscheidungs- und Handlungsbedarf.
• Ihre Umsetzung entspricht sinngemäß der für Korrekturmaßnahmen.
• D.h. es sind Umsetzungsplan, Managemententscheidungen, benannte Verantwortliche, bereitzustellende Ressourcen sowie begleitende Kontrolle und Dokumentation notwendig.

Schritt 1: Festlegung der wesentlichen Informationssicherheitsziele

• Gewährleistung der Erfüllung von aus gesetzlichen Vorgaben resultierenden Anforderungen
• Gewährleistung des Vertrauens der Öffentlichkeit in die betroffene Organisation bzw. die öffentliche Verwaltung i. Allg.
• Hohe Verlässlichkeit des Handelns, insbesondere in Bezug auf Vertraulichkeit, Richtigkeit und Rechtzeitigkeit.

• Vertraulichkeit der verarbeiteten Informationen
• Einhaltung aller Gesetze, Verträge und Regelungen (etwa des Datenschutzgesetzes, des Informationssicherheitsgesetzes, von SLAs - Service Level Agreements - und Normen)
• Korrektheit, Vollständigkeit und Authentizität der Informationen (Integrität der IT)
• Rechtzeitigkeit (Verfügbarkeit der Daten und Services)
• Sicherung der investierten Werte
• Sicherstellung der Kontinuität der Arbeitsabläufe
• Reduzierung der im Schadensfall entstehenden Kosten (Schadensvermeidung und Schadensbegrenzung)
• Gewährleistung des besonderen Prestiges

• Welche Informationen sind besonders schützenswert?
• Welche Auswirkungen hätte eine gravierende Verletzung der Sicherheit dieser Informationen (Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit)?
• Welche wesentlichen Entscheidungen hängen von der Genauigkeit, Integrität oder Verfügbarkeit dieser Informationen ab?
• Welche essenziellen Aufgaben der betreffenden Organisation können bei Kompromittierung dieser Informationen nicht mehr durchgeführt werden?
• Welche essenziellen Aufgaben der betreffenden Organisation können ohne IT-Unterstützung nicht mehr durchgeführt werden?

Schritt 2: Festlegung des angestrebten Sicherheitsniveaus

• Vertraulichkeit
• Integrität und
• Verfügbarkeit

Schritt 3: Ausarbeitung von Strategien für das Informationssicherheitsmanagement

• eine klare Zuordnung aller Verantwortlichkeiten im Informationssicherheitsprozess
• die Einführung eines QM-Systems
• die Entwicklung von Sicherheitsrichtlinien für die wichtigsten Systeme, Services und Anwendungen
• die Etablierung eines organisationsweiten Incident Handling-Plans
• Orientierung an internationalen Richtlinien und Standards
• Informationssicherheit als integraler Bestandteil des gesamten Lebenszyklus eines IT-Systems
• die Förderung des Sicherheitsbewusstseins aller MitarbeiterInnen.

Schritt 1: Festlegung der anzuwendenden Risikoanalysestrategie

• Grundschutzansatz:
  Unabhängig von den tatsächlichen Sicherheitsanforderungen werden für alle IT-Systeme Standardsicherheitsmaßnahmen („Grundschutzmaßnahmen“) eingesetzt. Diese Vorgehensweise spart Ressourcen und führt schnell zu einem relativ hohen Niveau an Sicherheit. Der Nachteil liegt darin, dass der Grundschutzlevel für die vorhandenen Geschäftsprozesse und IT-Systeme möglicherweise nicht angemessen sein könnte.

• Detaillierte Risikoanalyse:
  Für alle Geschäftsprozesse und die sie unterstützenden IT-Systeme wird eine detaillierte Risikoanalyse durchgeführt. Diese Methode gewährleistet die Auswahl von effektiven und angemessenen Sicherheitsmaßnahmen, benötigt jedoch viel Zeit und Aufwand.

• Kombinierter Ansatz:
  In einem ersten Schritt wird in einer Schutzbedarfsfeststellung (High Level Risk Analysis), ausgehend von den Geschäftsprozessen, der Schutzbedarf für die einzelnen Prozesse, die sie unterstützenden Systeme und die verarbeiteten Informationen ermittelt. Bei normalem Schutzbedarf wird von einer pauschalisierten Gefährdungslage ausgegangen, so dass auf eine detaillierte Risikoanalyse verzichtet und eine Grundschutzanalyse (s. o.) durchgeführt werden kann. Dies erlaubt eine schnelle und effektive Auswahl von grundlegenden Sicherheitsmaßnahmen bei gleichzeitiger Gewährleistung eines angemessenen Schutzniveaus. Bei hohem Schutzbedarf können wahlweise Grundschutzmaßnahmen eingesetzt oder eine detaillierte Risikoanalyse durchgeführt werden. Besteht sehr hoher Schutzbedarf, so sind die betroffenen Geschäftsprozesse und IT-Systeme einer detaillierten Risikoanalyse zu unterziehen, auf deren Basis individuelle Sicherheitsmaßnahmen ausgewählt werden.

Schritt 2: Festlegung des akzeptablen Restrisikos

• generelle Richtlinien für den Prozess zur Quantifizierung und Akzeptanz von Restrisiken definiert werden, sowie
• die Risiken, die die Organisation generell bereit ist zu akzeptieren.

Schritt 3: Festlegung der Vorgehensweise zur Akzeptanz von außergewöhnlichen Restrisiken

• das Vorgehen bei Risiken, die in Abweichung von der generellen Sicherheitspolitik in Kauf genommen werden sollen, sowie
• die Verantwortlichkeiten dafür

• Grundschutzansatz: Unabhängig vom tatsächlichen Schutzbedarf wird für alle relevanten IT-Systeme von einer pauschalisierten Gefährdungslage ausgegangen. Als Sicherheitsmaßnahmen kommen dann in weiterer Folge sog. Grundschutzmaßnahmen zum Einsatz. Durch den Verzicht auf eine detaillierte Risikoanalyse spart diese Vorgehensweise Ressourcen und führt schnell zu einem relativ hohen Niveau an Sicherheit. Der Nachteil liegt darin, dass der Grundschutzlevel für das betrachtete IT-System möglicherweise nicht angemessen sein könnte.
• Detaillierte Risikoanalyse: Für die Organisation und alle ihrer relevanten IT-Systeme wird eine detaillierte Risikoanalyse durchgeführt. Diese Methode führt zu effektiven und angemessenen Sicherheitsmaßnahmen, benötigt jedoch viel Zeit und Aufwand, sodass neben hohen Kosten auch die Gefahr besteht, dass für kritische Systeme nicht schnell genug Schutzmaßnahmen ergriffen werden können.
• Kombinierter Ansatz: In einem ersten Schritt wird in einer Schutzbedarfsfeststellung (High Level Risk Analysis) der Schutzbedarf für die relevanten IT-Systeme der Organisation ermittelt. Für IT-Systeme der Schutzbedarfskategorie „niedrig bis mittel“ wird auf eine detaillierte Risikoanalyse verzichtet und stattdessen ein Grundschutzansatz verfolgt. Dies erlaubt eine schnelle und effektive Auswahl von grundlegenden Sicherheitsmaßnahmen bei gleichzeitiger Gewährleistung eines angemessenen Schutzniveaus. IT-Systeme der Schutzbedarfskategorie „hoch bis sehr hoch“ sind einer detaillierten Risikoanalyse zu unterziehen, auf deren Basis individuelle Sicherheitsmaßnahmen ausgewählt werden. Der kombinierte Ansatz vereint die Vorteile des Grundschutz- und des Risikoanalyseansatzes, da alle relevanten IT-Systeme mit hohem Schutzbedarf wirksam und angemessen geschützt werden, und Maßnahmen für die anderen Systeme mit Hilfe des Grundschutzes schnell und effektiv identifiziert werden können. Der kombinierte Ansatz wird in den meisten Einsatzumgebungen die empfehlenswerte Strategie zur Risikoanalyse darstellen.

• Geringerer Aufwand: Der Aufwand für die Risikoanalyse wird stark reduziert.
• Schnelle Ergebnisse: Der Einsatz von Grundschutzmaßnahmen führt schnell zu einem hohen Niveau an Sicherheit gegen die häufigsten Bedrohungen.

• Potenziell geringe Treffsicherheit: Der Grundschutzlevel kann für das betrachtete System zu hoch oder zu niedrig sein. Ist er zu hoch, werden unnötige finanzielle und personelle Ressourcen verbraucht, ist er zu niedrig, bleiben unter Umständen untragbare Risiken bestehen.
• Geringere Flexibilität: Aufgrund der fehlenden detaillierten Risikoanalyse kann unter Umständen eine angemessene Reaktion auf sicherheitsrelevante Hard- oder Softwareänderungen schwierig sein.

• Wenn feststeht, dass im betrachteten Bereich nur IT-Systeme mit niedrigem oder mittlerem („normalem“) Schutzbedarf zum Einsatz kommen.
• Falls in einem Bereich (IT-System, Abteilung, …) noch keine oder offensichtlich zu schwache Sicherheitsmaßnahmen vorhanden sind, kann die Realisierung von Grundschutzmaßnahmen dazu beitragen, rasch ein relativ gutes Niveau an IT-Sicherheit zu erreichen. In diesem Fall sollte aber in einem nachfolgenden Schritt geprüft werden, ob das erreichte Niveau bereits ausreichend ist oder weitere Analysen und Maßnahmen erforderlich sind.
• Als Teil eines umfassenden Risikoanalysekonzeptes („kombinierter Ansatz“):
  Wird zunächst in einem ersten Schritt festgestellt, welche IT-Systeme besonders schutzbedürftig sind („Schutzbedarfsfeststellung“), so besteht die Möglichkeit, den Arbeitsaufwand für die Risikoanalyse und die Auswahl spezifischer Sicherheitsmaßnahmen auf diese hochschutzbedürftigen Systeme zu konzentrieren. Für alle anderen Systeme können Grundschutzmaßnahmen eingesetzt werden, ohne damit unangemessene Sicherheitsrisiken einzugehen. Details dazu siehe 5.1.4 Kombinierter Ansatz.

• Basis-Absicherung zum zügigen Erreichen eines grundsätzlichen Sicherheitsniveaus.
• Kern-Absicherung, um bei eventuell schon implementierten Maßnahmen und hoher Relevanz der Kern-Assets für die Geschäftsprozesse diese ausreichend zu schützen.
• Basis-Absicherung mit anschließender Kern-Absicherung, um bei hoher Relevanz der Kern-Assets für die Geschäftsprozesse eine schnelle Umsetzung einer Basissicherheit und einen ausreichenden Schutz der kritischen Kern-Assets zu erreichen.
• Direkte Durchführung der Standard-Absicherung ohne vorhergehender Basis- oder Kern-Absicherung.

Basis-Absicherung

• Festlegung des Geltungsbereichs: Dabei wird zunächst der Anwendungsbereich (Scope) für die geplante Basis-Absicherung definiert.
• Auswahl und Priorisierung: Unter Verwendung vorhandener Bausteine aus dem IT-Grundschutz-Kompendium werden IT-Systeme innerhalb des definierten Anwendungsbereichs nachgebildet.
• IT-Grundschutz-Check: Es wird geprüft, ob Basis-Anforderungen nach dem IT-Grundschutz für die IT-Systeme im Anwendungsbereich bereits erfüllt werden oder ob sich diesbezüglich noch Lücken (Gaps) ergeben.
• Realisierung: Für identifizierte Gaps müssen weitere Sicherheitsmaßnahmen festgelegt und umgesetzt werden.
• Auswahl der folgenden Vorgehensweisen: Da die Vorgehensweise der Basis-Absicherung nur als Einstiegsvorgehensweise konzipiert ist, ist die Auswahl einer weiteren Vorgehensweise nach BSI-Standard 200-2 (Kern-Absicherung oder Standard-Absicherung) vorzunehmen und deren Umsetzung zu planen.

Kern-Absicherung

Standard-Absicherung

• Festlegung des Geltungsbereichs: Dabei wird zunächst der Anwendungsbereich (Scope) für die geplante Sicherheitskonzeption definiert.
• Strukturanalyse: Die Strukturanalyse hat zum Ziel, das Zusammenspiel von Geschäftsprozessen, Anwendungen und der zum Einsatz kommenden Informationstechnik zu analysieren und zu dokumentieren. Auf diese Weise wird über die Strukturanalyse ein Modell des relevanten Anwendungsbereichs der Organisation und ihrer IT-Systeme erstellt.
• Schutzbedarfsfeststellung: Über die Schutzbedarfsfeststellung wird das notwendige Schutzniveau für alle in der Strukturanalyse identifizierten und modellierten Objekte determiniert.
• Auswahl von Anforderungen und Anpassung von Maßnahmen (Modellierung): In diesem Schritt werden die in der Strukturanalyse identifizierten Objekte auf Bausteine des IT-Grundschutz-Kompendiums abgebildet. Auf diese Weise können allen Objekten relevante Sicherheitsanforderungen zugewiesen werden.
• IT-Grundschutz-Check: Es wird geprüft, ob relevante Sicherheitsanforderungen nach dem IT-Grundschutz für die IT-Systeme im Anwendungsbereich bereits erfüllt werden oder ob sich diesbezüglich noch Lücken (Gaps) ergeben.
• Risikoanalyse: Die Vorgehensweise der Standard-Absicherung sieht auch die Prüfung der Notwendigkeit einer zusätzlichen Risikoanalyse bei hohen oder sehr hohen Schutzbedarfen vor. Wird eine derartige Notwendigkeit erkannt, muss eine Risikoanalyse z. B. gemäß BSI-Standard 200-3 in regelmäßigen Abständen durchgeführt werden.

• der Umsetzungsgrad (ja/teilweise/nein/entbehrlich)

• die Verantwortlichkeiten für die Umsetzung
• der Zeitpunkt für die Umsetzung und
• eine Kostenschätzung

Vergleich zu anderen Risikoanalysestrategien

• Das gesamte Verfahren muss transparent gemacht werden.
• Es dürfen keine versteckten Annahmen gemacht werden, die z. B. dazu führen, dass Bedrohungen nicht betrachtet werden.
• Alle Bewertungen müssen begründet werden, um subjektive Einflüsse zu erkennen und so weit wie möglich zu vermeiden.
• Alle Schritte müssen so dokumentiert werden, dass sie später auch für andere nachvollziehbar sind. Ein derartiges Vorgehen erleichtert auch eine spätere Überarbeitung des Informationssicherheitskonzeptes.
• Der Aufwand für die Durchführung des Verfahrens sollte dem Wert der IT-Anwendungen und den Werten der Organisation i. Allg. angemessen sein.

Schritt 1: Abgrenzung des Analysebereiches (Scope)

Schritt 2: Identifikation der bedrohten Objekte (Werte, Assets)

Schritt 3: Wertanalyse (Impact Analyse)

• die Festlegung der Bewertungsbasis für Sachwerte
• die Festlegung der Bewertungsbasis für immaterielle Werte
• die Ermittlung der Abhängigkeiten zwischen den Objekten
• die Bewertung der bedrohten Objekte und der möglichen Schäden (Impact Analyse)

Schritt 4: Bedrohungsanalyse

• die Identifikation möglicher Bedrohungen (Katastrophen, Fehlbedienung, bewusste Angriffe, etc.) und möglicher AngreiferInnen (MitarbeiterInnen, Leasingpersonal, Außenstehende, etc.)
• die Ermittlung der Eintrittswahrscheinlichkeiten

Schritt 5: Schwachstellenanalyse

Schritt 6: Identifikation bestehender Sicherheitsmaßnahmen

Schritt 7: Risikobewertung

Schritt 8: Auswertung und Aufbereitung der Ergebnisse

Ergebnis der Abgrenzung des Analysebereichs (Scope):

• Physische Objekte: Beispielsweise Gebäude, Infrastruktur, Hardware, Datenträger, Dokumente.
• Logische Objekte: Beispielsweise Software, Daten, Information.
• Personen: MitarbeiterInnen, etc.
• Fähigkeiten: Etwa Herstellen eines Produktes oder Erbringen einer Dienstleistung.
• Immaterielle Güter: Beispielsweise Image, Vertrauen in die Organisation oder gute Beziehungen zu anderen Organisationen und Institutionen.

Ergebnis der Identifikation der bedrohten Objekte (Werte, Assets):

• Festlegung der Bewertungsbasis für Sachwerte
• Festlegung der Bewertungsbasis für immaterielle Werte
• Ermittlung der Abhängigkeiten zwischen den Objekten
• Bewertung der bedrohten Objekte und der möglichen Schäden

Ergebnis der Wertanalyse:

Schritt 1: Festlegung der Bewertungsbasis für Sachwerte

• dem Zeitwert eines Objektes,
• dem Wiederbeschaffungswert eines Objektes,
• dem Wert, den das Objekt für potenzielle AngreiferInnen hätte, oder
• dem Schaden, der sich aus dem Verlust oder der Modifikation eines zu schützenden Objektes für die betroffene Organisation ergibt.

• 3-stufige Bewertung: gering - mittel - hoch
• 5-stufige Bewertung: unbedeutend - gering - mittel - hoch - sehr hoch

Schritt 2: Festlegung der Bewertungsbasis für immaterielle Werte

• dem Wert, den das Objekt für einen potenziellen Angreifer hätte (z. B. vertrauliche Information), oder
• dem Schaden, der sich aus einem Angriff auf das zu schützende Objekt für die betroffene Organisation ergibt.

Schritt 3: Ermittlung der Abhängigkeiten zwischen den Objekten

Schritt 4: Bewertung der bedrohten Objekte und der möglichen Schäden

• Die Person, die die Risikoanalyse durchführt, erstellt eine Liste der zu bewertenden Objekte und gibt die Bewertungsbasen vor.
• Die Bewertung sollte durch die Applikations-/Projektverantwortlichen sowie die betroffenen BenutzerInnen vorgenommen werden.
• Unterstützung in der Bewertung kann von verschiedenen Abteilungen, etwa Finanzen, Einkauf, IT, etc. kommen.
• Es ist Aufgabe derjenigen Person, die die Risikoanalyse durchführt, die einzelnen Bewertungen auf Plausibilität und Konsistenz zu prüfen und ein konsolidiertes Ergebnis zu erarbeiten.

• ihren Ursprung:
  Bedrohungen durch die Umwelt oder durch den Menschen, wobei letztere wieder in absichtliche oder zufällige Bedrohungen zu unterteilen sind. Im Falle absichtlicher Bedrohungen ist zwischen Innen- und Außentäter zu unterscheiden.
• die Motivation:
  Motivation für (absichtliche) Bedrohungen können etwa finanzielle Gründe, Wettbewerbsvorteile, Rache, aber auch Geltungssucht oder erhoffte Publicity sein.
• die Häufigkeit des Auftretens,
• die Größe des Schadens, der durch diese Bedrohung verursacht werden kann.

• Identifikation möglicher Bedrohungen
• Ermittlung der Eintrittswahrscheinlichkeiten

Ergebnis der Bedrohungsanalyse:

Schritt 1: Identifikation möglicher Bedrohungen

• Höhere Gewalt
  (etwa Blitzschlag, Feuer, Hochwasser, Erdbeben, Personalausfall)
• Organisatorische Mängel
  (etwa fehlende oder unzureichende Regelungen für Wartung, Dokumentation, Test und Freigabe, fehlende Auswertung von Protokolldaten, mangelhafte Kennzeichnung von Datenträgern)
• Menschliche Fehlhandlungen
  (etwa fehlerhafte Systemnutzung oder -administration, fahrlässige Zerstörung von Geräten oder Daten, Nichtbeachtung von Sicherheitsmaßnahmen)
• Technisches Versagen
  (etwa Ausfall von Versorgungs- und Sicherheitseinrichtungen, Softwarefehler, defekte Datenträger)
• Vorsätzliche Handlungen
  (etwa Manipulation/Zerstörung von Geräten, Manipulation an Daten oder Software, Viren, trojanische Pferde, Abhören, Wiedereinspielen von Nachrichten, Nichtanerkennen einer Nachricht, Maskerade)

Schritt 2: Bewertung möglicher Bedrohungen

• der Häufigkeit der Bedrohung (Wahrscheinlichkeit des Auftretens anhand von Erfahrungen, Statistiken, …),
• der Motivation und den vorausgesetzten Fähigkeiten und Ressourcen potenzieller AngreiferInnen,
• Einschätzung der Attraktivität und Verwundbarkeit des IT-Systems bzw. seiner Komponenten,
• Umweltfaktoren und organisationsspezifischen Einflüssen.

• 4: sehr häufig
• 3: häufig
• 2: mittel
• 1: selten
• 0: sehr selten

• 4: einmal pro Minute
• 3: einmal pro Stunde
• 2: einmal pro Tag
• 1: einmal pro Monat
• 0: einmal im Jahr

• Mangelnder baulicher Schutz von Räumen mit IT-Einrichtungen
• Nachlässige Handhabung von Zutrittskontrollen
• Spannungs- oder Temperaturschwankungen bei Hardwarekomponenten
• kompromittierende Abstrahlung
• Spezifikations- und Implementierungsfehler
• schwache Passwortmechanismen
• unzureichende Ausbildung, mangelndes Sicherheitsbewusstsein

Ergebnis der Schwachstellenanalyse:

• Vermeidung von Risiken,
• Verkleinerung von Bedrohungen oder Schwachstellen,
• Entdeckung unerwünschter Ereignisse,
• Eingrenzung der Auswirkungen eines unerwünschten Ereignisses,
• Überwälzung von Risiken oder
• Wiederherstellung eines früheren Zustandes.

Ergebnis der Ist-Stand-Erhebung:

• Wert der bedrohten Objekte (Schadensausmaß),
• Möglichkeit, eine Schwachstelle durch eine Bedrohung auszunutzen,
• Eintrittswahrscheinlichkeit einer Bedrohung,
• bereits existierende oder geplante Sicherheitsmaßnahmen, die dieses Risiko reduzieren könnten.

Ergebnis der Risikobewertung:

• Die Vorgehensweise des kombinierten Ansatzes ermöglicht es, rasch einen relativ guten Sicherheitslevel für alle IT-Systeme zu realisieren.
• Die in der Schutzbedarfsfeststellung erarbeiteten Erkenntnisse können die Grundlage für eine Prioritätenreihung für die nachfolgenden Aktivitäten bilden.
• Der Aufwand kann auf hochsicherheitsbedürftige Systeme konzentriert werden.
• Das Verfahren findet i. Allg. hohe Akzeptanz, da es mit verhältnismäßig geringem Initialaufwand rasch sichtbare Erfolge bringt.

Tabelle 5.1: Beispiel für die Festlegung der Schutzbedarfskategorien

• Schutzbedarfskategorie „normal“:
  Die Schadensauswirkungen sind begrenzt und überschaubar. Maßnahmen des IT-Grundschutzes reichen i. Allg. aus. Diese Kategorie entspricht der obigen Kategorie „niedrig bis mittel“.
• Schutzbedarfskategorie „hoch“:
  Die Schadensauswirkungen können beträchtlich sein. Wahlweise können weiter (verstärkte) Grundschutzmaßnahmen eingesetzt oder eine detaillierte Risikoanalyse durchgeführt werden.
• Schutzbedarfskategorie „sehr hoch“:
  Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen. IT-Grundschutzmaßnahmen alleine reichen nicht aus, die erforderlichen Sicherheitsmaßnahmen sollten individuell auf Basis einer Risikoanalyse ermittelt werden.

Tabelle 5.2: Beispiel für die alternative Festlegung der Schutzbedarfskategorien

• Schritt 1: Erfassung aller vorhandenen oder geplanten IT-Systeme
• Schritt 2: Erfassung der IT-Anwendungen und Zuordnung zu den einzelnen IT-Systemen
• Schritt 3: Schutzbedarfsfeststellung für jedes IT-System

• deren Daten/Informationen und Programme den höchsten Bedarf an Vertraulichkeit haben,
• deren Daten/Informationen und Programme den höchsten Bedarf an Integrität aufweisen,
• die die kürzeste tolerierbare Ausfallszeit haben.

• Präventive Maßnahmen: Diese Maßnahmen reduzieren die Wahrscheinlichkeit, dass sich ein Risiko materialisiert.
• Detektierende Maßnahmen: Diese Maßnahmen erkennen die Materialisierung eines Risikos (z.B. Sicherheitsvorfall).
• Korrigierende Maßnahmen: Diese Maßnahmen limitieren die negativen Konsequenzen eines bereits materialisierten Risikos.

• Prioritäten: Priorisierung der Maßnahmenumsetzung unter Berücksichtigung der Höhe der Risiken, die über die jeweiligen Maßnahmen adressiert werden
• Abhängigkeiten: Identifizierung von Abhängigkeiten zwischen verschiedenen Maßnahmen, die deren Umsetzung beeinflussen können
• Aktionspunkte: Spezifikation der konkreten Aktionspunkte zur Umsetzung der geplanten Maßnahmen
• Durchlaufzeiten: Abschätzung von Durchlaufzeiten bis zur effektiven Einsatzbereitschaft der umgesetzten Maßnahmen
• Ressourcen: Abschätzung notwendiger personeller und finanzieller Ressourcen zur Umsetzung geplanter Maßnahmen
• Verantwortlichkeiten: Definition der für die Umsetzung und Freigabe der notwendigen Maßnahmen verantwortlichen Personen oder Rollen

1. Erfüllen der Anforderungen „data protection by design“ und „data protection by default“
2. Risikobasiertes ableiten von organisatorischen bzw. technischen Schutzfunktionen
3. Schaffen von Transparenz der jeweiligen Verarbeitungsvorgänge und der damit verbundenen Risiken

• zwingend eine DSFA durchzuführen ist (sog. „black-list“): Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist (DSFA-V)
• oder keine DSFA durchgeführt werden muss (sog. „white-list): Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV)

• systematische und umfassende Bewertung persönlicher Aspekte, die insbesondere die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interesse, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel natürlicher Personen betreffen, auf Basis automatisierter Verarbeitung: Hiermit sind vor allem Profiling-Maßnahmen angesprochen, die als Grundlage für Entscheidungen dienen, die Rechtswirkungen gegenüber natürlichen Personen entfalten oder diese in erheblicher Weise beeinträchtigen können, z.B. bei der Frage, ob einer natürlicher Person ein Kredit gewährt wird oder nicht,
• bei einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten,
• systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche: z.B. mittels Videoüberwachung.

• eine Verarbeitung findet im Rahmen eines Systems statt
• die Verarbeitung erfolgt organisiert und methodisch und ist vorab festgelegt.

• die Zahl der Betroffenen (entweder als konkrete Anzahl oder als Anteil der entsprechenden Bevölkerungsgruppe)
• die verarbeitete Datenmenge bzw. Bandbreite der unterschiedlichen verarbeiteten Datenelemente
• die Dauer oder Dauerhaftigkeit der Datenverarbeitung
• das geografische Ausmaß der Datenverarbeitung

• eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von der/dem Verantwortlichen verfolgten berechtigten Interessen;
• eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;
• eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen;
• die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die Bestimmungen der DSGVO eingehalten werden.

• eine systematische Beschreibung der Verarbeitungsvorgänge ist enthalten (vgl. DSGVO Artikel 35 Absatz 7 Buchstabe a):
  • die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sind berücksichtigt (vgl. DSGVO Erwägungsgrund 90);
  • die personenbezogenen Daten, die Empfänger und die Speicherfrist für die personenbezogenen Daten sind festgehalten;
  • eine funktionale Beschreibung der Verarbeitungsvorgänge ist enthalten;
  • die Wirtschaftsgüter, auf die sich die personenbezogenen Daten stützen (Hardware, Software, Netzwerke, Personen, Papiere oder Übertragungsmedien für Papiere), wurden ermittelt;
  • die Einhaltung genehmigter Verhaltensregeln ist berücksichtigt (vgl. DSGVO Artikel 35 Absatz 8);
• die Notwendigkeit und Verhältnismäßigkeit wurden bewertet (vgl. DSGVO Artikel 35 Absatz 7 Buchstabe b):
  • Maßnahmen zur Einhaltung der Verordnung wurden bestimmt (vgl. DSGVO Artikel 35 Absatz 7 Buchstabe d und Erwägungsgrund 90), wobei Folgendes berücksichtigt wurde:
    • Maßnahmen im Sinne der Verhältnismäßigkeit und Notwendigkeit der Verarbeitung, und zwar auf folgender Grundlage:
      • festgelegte, eindeutige und legitime Zwecke (vgl. DSGVO Artikel 5 Absatz 1 Buchstabe b);
      • Rechtmäßigkeit der Verarbeitung (vgl. DSGVO Artikel 6);
      • Daten, die dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind (vgl. DSGVO Artikel 5 Absatz 1 Buchstabe c);
      • begrenzte Speicherfrist (vgl. DSGVO Artikel 5 Absatz 1 Buchstabe e);
    • Maßnahmen im Sinne der Rechte der Betroffenen:
      • Informationspflicht gegenüber den Betroffenen (vgl. DSGVO Artikel 12, 13 und 14);
      • Auskunftsrecht und Recht auf Datenübertragbarkeit (vgl. DSGVO Artikel 15 und 20);
      • Recht auf Berichtigung und Löschung (vgl. DSGVO Artikel 16, 17 und 19);
      • Widerspruchsrecht und Recht auf Einschränkung der Verarbeitung (vgl. DSGVO Artikel 18, 19 und 21);
      • Verhältnis zu Auftragsverarbeitern (vgl. DSGVO Artikel 28);
      • Garantien in Bezug auf die internationale Übermittlung von Daten (vgl. DSGVO Kapitel V);
      • vorherige Konsultation (vgl. DSGVO Artikel 36).
• die Risiken für die Rechte und Freiheiten der betroffenen Personen werden kontrolliert (vgl. DSGVO Artikel 35 Absatz 7 Buchstabe c):
  • Ursache, Art, Besonderheit und Schwere der Risiken (vgl. DSGVO Erwägungsgrund 84) wurden aus Sicht der Betroffenen bewertet, und zwar genau genommen für jedes einzelne Risiko (unrechtmäßiger Datenzugriff, unerwünschte Änderung und Verschwinden von Daten):
    • Risikoquellen wurden berücksichtigt (vgl. DSGVO Erwägungsgrund 90);
    • potenzielle Auswirkungen auf die Rechte und Freiheiten von Betroffenen wurden ermittelt, die bei Ereignissen wie z. B. einem unrechtmäßigen Datenzugriff, einer unerwünschten Änderung und dem Verschwinden von Daten bestehen könnten;
    • Bedrohungen wurden ermittelt, die einen unrechtmäßigen Datenzugriff, eine unerwünschte Änderung und das Verschwinden von Daten nach sich ziehen könnten;
    • Eintrittswahrscheinlichkeit und Schwere wurden bewertet (vgl. DSGVO Erwägungsgrund 90);
  • Maßnahmen zur Bewältigung dieser Risiken wurden ermittelt (vgl. DSGVO Artikel 35 Absatz 7 Buchstabe d und Erwägungsgrund 90);
• betroffene Parteien wurden einbezogen:
  • der Rat des Datenschutzbeauftragten wurde eingeholt (vgl. DSGVO Artikel 35 Absatz 2);
  • gegebenenfalls wurde der Standpunkt der betroffenen Personen oder ihrer Vertreter eingeholt (vgl. DSGVO Artikel 35 Absatz 9).

Wesentliche Einrichtungen für besonders kritische Sektoren

• Energie (Elektrizität/Strom, Fernwärme, -kälte, Gas, Öl, Wasserstoff)
• Verkehr (Luft, Schiene, Straße, Wasser)
• Bankwesen (z.B. Hausbanken, Kreditinstitute)
• Finanzmarktinfrastrukturen (Central Clearing Counterparties - CCPs, Central Security Depositories – CDSs sog. „Zentralverwahrer“)
• Gesundheitswesen (inkl. Herstellung von Impfstoffen bzw. pharmazeutischen Produkten)
• Trinkwasser
• Abwasser
• Digitale Infrastrukturen (z.B. Internet-Exchange-Ports, DNS, Cloud-Computing-Dienste, Rechenzentrumsdienste, Netzwerke, Vertrauensdiensteanbieter, öffentlich zugängliche Kommunikationsnetze bzw. -dienste)
• IKT-Dienstleistungsmanagement (z.B. Business-to-Business – B2B)
• Öffentliche Verwaltung
• Weltraum

Wichtige Einrichtungen für weitere kritische Sektoren

• Post- und Kurierdienste bzw. Lieferdienste
• Abfallwirtschaft
• Chemikalien (Herstellung, Produktion und Vertrieb)
• Lebensmittel (Produktion, Verarbeitung, Vertrieb)
• Fertigung (z.B. medizinische Geräte, Elektrogeräte, Computer etc.)
• Digitale Dienste (z.B. Online-Marktplätze, Online-Suchmaschinen)

Schulungen

1. Risikomanagement
2. Cybersicherheit
3. IT-Sicherheit
4. Informationssicherheit
5. Netzwerksicherheit
6. Security Awareness
7. Managementpraktiken in den zuvor genannten Themenfeldern

Umsetzungsverantwortung der Leitung

• Stand der Technik
• Unter Berücksichtigung einschlägiger europäischer und internationalen Normen
• Kosten für die Umsetzung
• Erreichen eines Sicherheitsniveaus, das dem vorhandenen Risiko (z.B. Risikoprofil) angemessen ist

• Konzept zur Risikoanalyse für die risikobasierte Sicherheit von Informationssystemen
• Verfahren und Abläufe für die Bewältigung von Sicherheitsvorfällen („Incidents“)
• Business Continuity Management, Notfallmanagement sowie Krisenmanagement und Wiederanlaufpläne
• Lieferkettensicherheit („Supply Chain Security“) zum Management von Beziehungen zwischen Einrichtungen und etwa deren Zulieferbetrieben bzw. Kundinnen/Kunden
• Sicherheit im Lebenszyklus von IKT-Systemen (z.B. Erwerb, Entwicklung, Betrieb bzw. Wartung)
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• Verfahren zur Cyberhygiene und für Schulungen zur Cybersicherheit („Awareness“)
• Konzepte und Verfahren für die Verwendung kryptografischer Verfahren und insbesondere ggfs. Nutzung von Verschlüsselung
• Maßnahmen zur Personalsicherheit und Konzepte bzw. Verfahren für die Zugriffskontrolle (z.B. auf Daten, Räumlichkeiten, Speichermedien)
• Absicherung mittels Multifaktorauthentifizierung oder kontinuierlicher Authentifizierung und ergänzend abgesicherte Kommunikationsverbindungen (z.B. Video, Sprache, Textnachrichten) und geschützte Notfallkommunikationssysteme

Phase 1: Strategische Planung des Outsourcing-Vorhabens

• Unternehmensstrategie
• Machbarkeitsstudie mit den Rahmenbedingungen
• Kosten-Nutzen-Schätzung
• Welche Geschäftsprozesse oder Anwendungen sollen ausgelagert werden (Kerngeschäft, Routineabläufe)?
• Wie können weiters Anforderungen an die IT gestellt werden?
• Was geschieht mit bisher selbst entwickelten IT-Anwendungen?

• Outsourcing kann in der Regel nicht einfach rückgängig gemacht werden, es entsteht eine langfristige Bindung an den Dienstleister (sog. „Vendor Lock-In“).
• Der Dienstleister hat Zugriff auf Informationen bzw. auf Daten und IT-Ressourcen der eigenen Organisation. Sie verliert die alleinige und vollständige Kontrolle darüber und muss die Zugangsberechtigungen für den Dienstleister der zu Ihren Systemen Zugang hat verwalten.
• Datenübertragung vom und zum Dienstleister erzeugt neue Gefährdungen und erfordert die Klärung welche Daten zum Dienstleister übertragen werden dürfen und welche nicht, sowie deren Klassifizierung.
• Meist ist es notwendig, dass MitarbeiterInnen des Dienstleisters oder von Subunternehmen zumindest zeitweise in den Räumlichkeiten der eigenen Organisation arbeiten müssen.
• Im Rahmen des Outsourcing werden neue Prozesse und Arbeitsabläufe entworfen, eingeführt und durchgeführt und bewirken Änderungen des Sicherheitskonzepts und der Implementierungen.
• Ein häufiger Grund, IT-Dienstleistungen auszulagern, ist einerseits die Spezialisierung der Dienstleister und andererseits die Erwartung von Kostensenkungen - bei gleicher oder gar besserer Qualität. Es muss vorab abgeschätzt werden, wieso das dem Dienstleister gelingen wird, wenn er dabei auch noch einen Gewinn lukriert. Selbstverständlich gibt es viele Fälle, wo dies tatsächlich möglich ist, etwa durch gute Auslastung großer Installationen.
• Ein gewisser Know-how Transfer zum Dienstleister lässt sich (auch mit „wasserdichten“ Vertraulichkeitsvereinbarungen) nicht verhindern, da bei dessen MitarbeiterInnen entsprechendes Wissen aufgebaut wird.

• IT-Strukturanalyse
• Schutzbedarfsfeststellung
• Feststellung des Handlungsbedarfs sowie der erwarteten Kosten für umzusetzende Maßnahmen

Phase 2: Definition der wesentlichen Sicherheitsanforderungen

• Welches Mindestniveau (IT-Grundschutz oder ISO/IEC 27001) ist von beiden Parteien zu erfüllen?
• Sowohl Dienstleister wie eigene Organisation müssen über ein Sicherheitskonzept verfügen und dieses umgesetzt haben.
• Es entstehen Schnittstellen zwischen den nun im Verbund wirkenden Aufgaben, Geschäftsprozessen, Anwendungen und Systemen. Diese müssen identifiziert und beschrieben werden.
• An diese Schnittstellen müssen technische und organisatorische Sicherheitsanforderungen gestellt werden.
• Strukturanalyse und Schutzbedarfsfeststellung (IT-Systeme, Anwendungen, Kommunikationsverbindungen, Räume) hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit müssen erfolgen.
• Notwendige Einräumung von Zutritts- und Zugriffsrechten (z.B. zu Büroräumen, Rechenzentrum) für den Dienstleister je nach Bedarf und regelmäßige Auditierung dieser Berechtigungen.
• Aufzeigen der Auswirkungen relevanter Gesetze und Vorschriften. Dies kann erheblichen Aufwand verursachen, etwa bei länderübergreifendem Outsourcing oder wenn einer oder beide Partner weltweit tätig sind sowie wenn die Infrastruktur des Partners auf geographisch weit voneinander entfernte Standorte verteilt ist.
• Beschreibung der Anforderungen an Infrastruktur, Organisation, Personal und Technik durch das zu erreichende Sicherheitsniveau (etwa auch Alarmierungen, Benennung von Sicherheitsbeauftragten beim Dienstleister).
• Spezielle Anforderungen an Hard-/Software (etwa zertifizierte Produkte beim Dienstleister).
• Anforderungen an die Verfügbarkeit von Diensten und IT-Systemen (Service Levels, Lastverteilung etwa bei Web-Servern).
• Vorgaben an die Mandantenfähigkeit und ggf. Trennung von Hard- und Software (etwa keine Systeme anderer Mandanten im gleichen Raum des Dienstleisters, exklusiv genutzte Hardware in Käfigen).
• Vorgaben zur Absicherung der Kommunikation zwischen Dienstleister und eigener Organisation (Verschlüsselungs- und Signaturverfahren).
• Anforderungen zur Qualitätssicherung (etwa Messungen von Reaktionszeiten, Verfügbarkeit).
• Spezifizieren von gewünschten Verfahren für die Kontrolle und Überwachung (etwa unangekündigte Kontrollen vor Ort, Audits - ggf. durch unabhängige Dritte).
• Anforderungen an die Protokollierung und Auswertung von Protokolldateien.

Phase 3: Auswahl des Outsourcing-Dienstleisters

• möglichst detailliertes Anforderungsprofil
• darauf basierendes Pflichtenheft

• Beschreibung des Outsourcing-Vorhabens (Aufgabenbeschreibung und Aufgabenteilung)
• Beschreibung des geforderten Qualitätsniveaus (dieses kann ggf. anders sein als das der eigenen Organisation)
• Anforderungen an die Informationssicherheit
• Kriterien zur Messung von Servicequalität und Sicherheit
• Anforderungen an die Qualifikation der MitarbeiterInnen. Sicherstellung, dass diese dann tatsächlich tätig sind und dass es geeignete VertreterInnen gibt
• Bei ausländischen Dienstleistern: Festlegung der Sprache für die gemeinsame Kommunikation und Sicherstellung, dass diese von allen befassten MitarbeiterInnen (auch den eigenen) auch in Detailaspekten beherrscht wird
• Notwendigkeit bzw. Vorliegen von Sicherheitsüberprüfungen der MitarbeiterInnen des Dienstleisters

Phase 4: Vertragsgestaltung

Phase 5: Erstellung eines IT-Sicherheitskonzepts für den ausgelagerten IT-Verbund

• 1. Outsourcing-Auftraggeber
• 2. Outsourcing-Dienstleister
• 3. Netzprovider (Anbindung zwischen den Outsourcing-Parteien - zuständig für die Netzanbindung ist in der Regel der Outsourcing-Dienstleister).

• Umgang mit Daten und schützenswerten Betriebsmitteln wie Druckerpapier und Speichermedien, insbesondere Regelungen zum Anfertigen von Kopien und Löschen/Vernichten
• Festlegung von Aktionen, für die das „Vier-Augen-Prinzip“ anzuwenden ist

• Einsatz gehärteter Betriebssysteme, um Angriffe möglichst zu erschweren
• Einsatz von Intrusion-Detection-Systemen (IDS), um Angriffe frühzeitig zu erkennen
• Einsatz von Datei-Integrität-Prüfungssystemen, um Veränderungen z. B. nach erfolgreichen Angriffen, zu erkennen
• Einsatz von Syslog- und Timeservern, um eine möglichst umfassende Protokollierung zu ermöglichen
• Einsatz kaskadierter Firewallsysteme zur Erhöhung des Perimeterschutzes auf Seiten des Dienstleisters
• Sorgfältige Vergabe von Benutzerkennungen, Verbot von Gruppen-IDs für Personal des Dienstleisters

• Absicherung der Kommunikation (z. B. durch Verschlüsselung, elektronische Signatur) zwischen Dienstleister und Auftraggeber, um sensitive Daten zu schützen
• Authentisierungsmechanismen
• Detailregelungen für weitere Netzanbindungen
• Detailregelungen für den Datenaustausch

• Detailregelungen (z. B. unangekündigte Kontrollen vor Ort, Zeitintervalle, Zuständigkeiten, Detailgrad) für Kontrollen und Messung von Sicherheit, Dienstqualität, Abläufen und organisatorische Regelungen

Notfallvorsorge

• Regelung und Dokumentation von Zuständigkeiten, Ansprechpartnern und Abläufen
• Erstellen von Detailregelungen für die Datensicherung (z. B. getrennte Backup-Medien für jeden Klienten, Verfügbarkeit, Vertretungsregelungen, Eskalationsstrategien, Virenschutz)
• Erstellen von Arbeitsanweisungen mit konkreten Anordnungen für bestimmte Fehlersituationen
• Konzeption von regelmäßig durchzuführenden Notfallübungen

• wie bei Fehlern vorzugehen ist
• welche Aktionen erlaubt resp. verboten sind
• auf welche anwendungsspezifischen Informationen zurückgegriffen werden kann
• ob und welche Schutzmaßnahmen für solche Informationen einzuhalten sind
• welche Anprechpartner beim Auftraggeber für anwendungsspezifische Probleme zur Verfügung stehen

Phase 6: Migration - Übergang der Anwendungen und Systeme zum Dienstleister

• in dieser Phase sind zahlreiche Betriebsfremde involviert,
• es müssen Abläufe etabliert, Aufgaben übertragen und
• Systeme neu eingerichtet bzw. angepasst werden

• Zusammenstellung eines gemischten Teams aus MitarbeiterInnen des Auftraggebers und des Outsourcing-Dienstleisters, ggf. zusätzlich mit externen ExpertInnen.
• Erarbeiten eines Sicherheitskonzeptes für die Umstellungsphase.
• Festlegen der Verantwortlichkeiten für die Umstellungsphase - mit klaren Führungsstrukturen und eindeutigen AnsprechpartnerInnen auf beiden Seiten - auch auf oberer Managementebene.
• Planung und Durchführung der erforderlichen Tests und Abnahmeprozeduren.
• Planung der Produktionsumstellung.
• Auswahl geeigneter interner MitarbeiterInnen für die Test-, die Einführungsphase und den späteren Betrieb (ggf. vertragliches Mitspracherecht des Auftraggebers).
• Schulung der MitarbeiterInnen des Auftraggebers über Abläufe und Verhalten während und nach der Umstellung. Da sie dabei mit neuen und unbekannten AnsprechpartnerInnen konfrontiert sind, entsteht eine Gefahr des „Social Engineerings“ (z. B. Anruf von vermeintlichen MitarbeiterInnen des Sicherheitsteams des Dienstleisters).
• Einweisung des Dienstleisters auf die relevanten Abläufe, Applikationen und IT-Systeme des Auftraggebers.
• Ressourcenplanung und Tests, ohne die laufenden Systeme zu vernachlässigen. Sicherstellung, dass die vorgesehenen MitarbeiterInnen zur Verfügung stehen (ggf. Urlaubssperren). Störungen durch Tests und dabei auftretende Fehler müssen einkalkuliert werden.
• Prüfung der Dokumentation, die der Dienstleister übernehmen soll, auf Vollständigkeit und Aktualität; ggf. Anpassung auf neue Gegebenheiten durch das Outsourcing.
• Laufende Überprüfung, ob durch Erkenntnisse aus der Umstellung Verträge (Service Level Agreements) oder vorgesehene Sicherheitsmaßnahmen angepasst werden müssen.

• Konkrete Darstellung aller Sicherheitsmaßnahmen
• Ansprechpartner und Zuständigkeiten mit Namen und notwendigen Kontaktdaten, Erreichbarkeitszeiten
• Dokumentation der Systemkonfigurationen inkl. Einstellungen sicherheitsrelevanter Parameter
• Schulungen für das Personal auf den Regelbetrieb

Phase 7: Planung und Sicherstellen des laufenden Betriebs

• Regelmäßige Aktualisierungen von Richtlinien und Dokumentationen
• Regelmäßige Überprüfungen der Sicherheitskonzepte aller Beteiligten, ob sie noch aufeinander abgestimmt sind und das gewünschte Sicherheitsniveau gewährleisten
• Auswirkungen von Änderungen im Einflussbereich des Dienstleisters und Information darüber an den Auftraggeber

• Durchführung der vereinbarten Audits
• Umsetzungsstand der vereinbarten Sicherheitsmaßnahmen
• Wartungszustand von Systemen und Anwendungen
• Rechtezuweisung durch den Dienstleister
• Einsatz von MitarbeiterInnen, die dem Auftraggeber nicht gemeldet wurden, z. B. Vertretungen
• Performance, Verfügbarkeit, Qualitätsniveau
• Datensicherung

• Informationsaustausch zwischen den Partnern über mögliche Auswirkungen auf die Dienstleistung bzw. Sicherheit (z. B. personelle/organisatorische Änderungen, Gesetzesänderungen, geplante Projekte, vorgesehene Tests und Systemänderungen)
• Information über aufgetretene Probleme
• wechselseitiges Feedback und Aufzeigen von Verbesserungspotenzialen
• Motivation der MitarbeiterInnen (etwa positive Beispiele einer gelungenen Kooperation)
• Änderungswünsche (Hardware, Software, Ausweitung des Dienstleistungsportfolios, gestiegener Ressourcenbedarf)

• Reaktion auf Systemausfälle (Teil- oder Totalausfälle)
• Wiederanlauf, Wiedereinspielen von Datensicherungen
• Beherrschung von Sicherheitsvorfällen

• Die BenutzerInnen müssen darüber informiert sein, welche Informationen mit mobilen IT-Systemen unterwegs verarbeitet werden dürfen. Die Daten sollten dementsprechend klassifiziert sein, um Einschränkungen den BenuzerInnen transparent zu machen. Dienstgeheimnisse dürfen nur dann auf mobilen IT-Systemen verarbeitet werden, wenn hierfür geeignete und freigegebene Sicherheitsmechanismen eingesetzt werden.
• Für Daten, die ein hohes Maß an Sicherheit verlangen (z. B. Angebote, Konstruktionsdaten, Wirtschaftsdaten des Unternehmens, personenbezogene oder sensible Daten) ist die Installation eines Zugriffsschutzes (über Passwort oder Chipkarte) unabdingbar sowie einer Festplatten-, Container- oder Dateiverschlüsselung dringend zu empfehlen. Hierfür gibt es eine Reihe von brauchbaren Produkten zur transparenten Laufwerks- oder Containerverschlüsselung.
• Dabei ist zu beachten, dass die Zulässigkeit von Verschlüsselungstechnologien in den einzelnen Staaten unterschiedlich geregelt ist. Besondere Gegebenheiten können sich in verschiedenen Zielgebieten und in speziellen Situationen (etwa bei einer besonders eingehenden Zollkontrolle) ergeben, etwa dass bestimmte Verschlüsselungsprodukte nicht (auch nicht in installierter Form) importiert werden dürfen oder die verschlüsselten Daten den Zollbeamten offengelegt werden müssen. Bei Mitnahme mobiler IT Geräte auf Auslandsreisen ist dies bereits im Vorfeld zu klären. Eine mögliche Alternative zu mitgenommenen Daten wären etwa zugriffsgeschützte Online-Festplatten (Cloud-Speicher) am Server der eigenen Organisation.
• Beim Einsatz mobiler IT-Systeme ist zu klären, ob mobile MitarbeiterInnen von unterwegs Zugriff auf interne Daten ihrer Institution erhalten sollen. Falls dies vorgesehen ist, muss dieser Zugriff angemessen geschützt werden
• Es muss geklärt werden, ob diese auch für private Zwecke benutzt werden dürfen, beispielsweise für private Schreiben oder gar Spiele nach Feierabend. Insbesondere muss damit gerechnet werden, dass bei privater Nutzung eines Internetzugangs weniger sichere Seiten aufgerufen werden als für dienstliche Zwecke.
• Die BenutzerInnen sollten darauf hingewiesen werden, wie sie sorgfältig mit den mobilen IT-Systemen umgehen sollten, um einem Verlust oder Diebstahl vorzubeugen bzw. um eine lange Lebensdauer zu gewährleisten (z. B. Akkupflege, Aufbewahrung außerhalb von Büro- oder Wohnräumen, Empfindlichkeit gegenüber zu hohen oder zu niedrigen Temperaturen).
• Die Verwaltung, Wartung und Weitergabe von mobilen IT-Systemen sollte klar geregelt werden. Keinesfalls dürfen solche Geräte ohne ausdrückliche Zustimmung der Organisation Dritten zur Reparatur oder Softwarewartung übergeben werden oder unautorisiert darauf irgendwelche Software installiert werden.
• Bei jedem Wechsel der BesitzerInnen müssen alle benötigten Zugangsmechanismen (z. B. Passwörter) gesichert weitergegeben werden.

Typische Gefährdungen für Notebooks

• Beeinträchtigungen durch wechselnde Einsatzumgebungen,
• Umwelteinflüsse (Nässe, Kälte, Hitze, Vibrationen),
• Verlust, Diebstahl,
• Fahrlässige Zerstörung von Gerät oder Daten,
• Manipulation oder Zerstörung von Geräten oder Zubehör,
• Gefährdung durch Reinigungs- oder Fremdpersonal,
• Unerlaubte Ausübung von Rechten,
• Unkontrollierter Einsatz von Datenträgern,
• Unerlaubte Installation von Software,
• Ungeordneter oder unerlaubter Benutzerwechsel,
• Ausfall der internen Stromversorgung,
• Verlust gespeicherter Daten,
• Informationsverlust bei erschöpftem Speichermedium,
• Softwareschwachstellen oder -fehler,
• Nichtbeachtung von Sicherheitsmaßnahmen,
• Unzureichender Umgang mit Passwörtern oder anderen Authentifizierungskomponenten,
• Fehlerhafte Nutzung, Konfigurations- und Bedienungsfehler, Fehler bei der Synchronisation,
• Sorglosigkeit im Umgang mit Informationen,
• Manipulation an Informationen oder Software,
• Schadprogramme, Trojanische Pferde, Viren,
• Vertraulichkeitsverlust schützenswerter Informationen,
• Unberechtigte Privatnutzung,
• Unberechtigte Datenweitergabe,
• Unberechtigte Foto- und Filmaufnahmen mit mobilen Endgeräten

Maßnahmenempfehlungen für Notebooks

1. Richtlinien für die Nutzung von Notebooks:
   Um Notebooks sicher und effektiv in Behörden oder Unternehmen einsetzen zu können, sollte ein Konzept erstellt werden, das auf den Sicherheitsanforderungen für die bereits vorhandenen IT-Systeme sowie den Anforderungen aus den geplanten Einsatzszenarien beruht. Darauf aufbauend ist die Notebook-Nutzung zu regeln und Sicherheitsrichtlinien dafür zu erarbeiten. Dies umfasst beispielsweise, wer das System wann und wofür nutzen darf und ob und in welcher Weise ein Anschluss an das Unternehmens- bzw. Behördennetz gestattet wird. Ebenso ist zu regeln, ob und in welcher Form bei mobiler Nutzung eine direkte Verbindung des Notebooks mit dem Internet zulässig ist.
2. Beschaffung von Notebooks:
   Für die sichere Beschaffung von Notebooks müssen die aus dem Konzept resultierenden Anforderungen an die jeweiligen Produkte formuliert und basierend darauf die Auswahl der geeigneten Produkte getroffen werden
3. Sichere Installation von Notebooks:
   Eine sorgfältige Auswahl der Betriebssystem- und Softwarekomponenten sowie deren sichere Installation ist notwendig, um Risiken durch Fehlbedienung oder absichtlichen Missbrauch der Notebooks auszuschließen. Die hier zu treffenden Maßnahmen sind in hohem Grade abhängig von dem eingesetzten Betriebssystem zu realisieren. Dabei ist der Einsatz von Verschlüsselungsprodukten für tragbare IT-Systeme von besonderer Bedeutung, da bei Notebooks ein relativ hohes Diebstahlsrisiko besteht und die normalen Funktionen der Zugangs- und Zugriffskontrolle ihre Wirksamkeit verlieren, wenn das Notebook unter der Kontrolle des Diebes steht. Zugleich sind allfällige Einfuhrbeschränkungen für Verschlüsselungsprodukte oder verschlüsselte Daten bei Auslandsreisen zu beachten.
4. Sichere Konfiguration der installierten Komponenten:
   Je nach Sicherheitsanforderungen müssen die beteiligten Softwarekomponenten unterschiedlich konfiguriert werden. Die hier zu treffenden Maßnahmen sind ebenfalls abhängig vom eingesetzten Betriebssystem und sind daher im Rahmen der Umsetzung der entsprechenden Bausteine zu realisieren. Auch hier sind zusätzliche Maßnahmen erforderlich, wenn eine Trennung der Rechte mehrerer BenutzerInnen erforderlich ist. Notwendig ist auch die Änderung voreingestellter Passwörter, weil nur zu häufig jede Zugangskontrolle dadurch illusorisch ist, dass die verwendeten Passwörter allgemein bekannt sind.
5. Sicherer Betrieb von Notebooks:
   Eine der wichtigsten IT-Sicherheitsmaßnahmen beim Betrieb heutiger Notebooks ist die Installation und permanente Aktualisierung eines Virenschutzprogramms. Notebooks werden häufig über längere Zeit losgelöst vom Firmen- oder Behördennetz oder auch mit temporären Verbindungen zum Internet betrieben. Somit sind unter Umständen einerseits ihre Virendefinitionsdateien veraltet und sie sind andererseits einem hohen Infektionsrisiko ausgesetzt. Schutz vor Schadprogrammen und Aktualisierung der eingesetzten Virenschutzprogramme und Signaturen sind daher für Notebooks ganz besonders wichtig. Diese Geräte können sonst bei Anschluss an ein Firmen- oder Behördennetz Infektionsquellen ersten Grades darstellen.
   Sofern Notebooks bei mobiler Nutzung direkt an das Internet angeschlossen werden, ist es unabdingbar, sie durch eine restriktiv konfigurierte Personal Firewall gegen Angriffe aus dem Netz zu schützen. Der Virenschutz reicht allein nicht aus, um alle zu erwartenden Angriffe abzuwehren. Ebenso ist es unbedingt erforderlich, die Software des Notebooks auf aktuellem Stand zu halten und notwendige Sicherheitspatches zeitnah einzuspielen. Soll ein Notebook, das mit direktem Internetzugang betrieben wurde, wieder an das Unternehmens- bzw. Behördennetz angeschlossen werden, so ist zunächst durch eine gründliche Überprüfung mit aktuellen Virensignaturen sicherzustellen, dass dieses Notebook nicht mit Schadsoftware infiziert ist. Erst wenn dies sichergestellt ist, darf der Anschluss an das lokale Netz erfolgen. Dies gilt auch für den Fall, dass der Anschluss an das Unternehmens- bzw. Behördennetz über ein Virtual Private Network (VPN) erfolgt, da Viren auch über verschlüsselte Kommunikationsverbindungen weiterverbreitet werden können.
   Bei einem Wechsel zwischen netzgebundenem und mobilem Betrieb müssen die Datenbestände zwischen dem Server und dem Notebook synchronisiert werden. Es muss dabei gewährleistet werden, dass jederzeit erkennbar ist, ob sich die aktuellste Version der bearbeiteten Daten auf dem Notebook oder im Netz befindet.
   Um Angriffsversuche und missbräuchliche Nutzung erkennen zu können, sind bei Notebooks vor allem organisatorische Maßnahmen (Hard- und Softwaremanagement) notwendig. Um einen Überblick über die aktuell in das lokale Netz eingebundenen Notebooks zu behalten und die Konfiguration aller Notebooks jederzeit nachvollziehen zu können, ist eine zentrale Verwaltung dieser Geräte wichtig. Weitere spezifische Maßnahmen für Einzelsysteme betreffen vor allem den Umgang mit Laufwerken für Wechselmedien und externen Datenspeichern sowie die Verwendung von Sicherheitsfunktionen (vgl. 9.6.3 Nutzung der in Anwendungsprogrammen angebotenen Sicherheitsfunktionen). Je nach der in einem Gebäude oder Büroraum gegebenen physischen Sicherheit kann es auch sinnvoll oder sogar notwendig sein, Diebstahlsicherungen vorzusehen. Bei mobiler Nutzung ist in jedem Fall für geeignete Aufbewahrung tragbarer IT-Systeme bei mobilem Einsatz zu sorgen, um das Notebook vor Diebstahl zu schützen.
6. Aussonderung:
   Bei Übergabe von Notebooks an andere BenutzerInnen, sei es im Rahmen des normalen Betriebs oder auch bei ihrer Aussonderung, ist darauf zu achten, dass keine schützenswerten Informationen mehr auf der Festplatte vorhanden sind. Gegebenenfalls ist dazu auch eine Neuinstallation der Software durchzuführen.
7. Datensicherung von Notebooks:
   Die Vorgehensweise und der erforderliche Umfang der Datensicherung richten sich nach dem Einsatzszenario des Notebooks.

• wo sich der Teilnehmer befindet und ob er sein Mobiltelefon eingeschaltet hat,
• ob der Teilnehmer überhaupt berechtigt ist, das Mobilfunknetz zu nutzen (Identifikationsregister),
• ob das verwendete Gerät im Netz zugelassen ist,
• welche Geräte als defekt oder als gestohlen gemeldet sind (graue bzw. schwarze Listen),
• Verbindungsdaten für die Abrechnung der Dienste, aber auch auf Grund einer Anforderung der Strafverfolgung und Terrorismusbekämpfung. Sie enthalten Angaben über Kommunikationspartner (z. B. Rufnummern der Angerufenen), Zeitpunkt und Dauer der Verbindungen und die Standorte. Mobiltelefone können also durchaus sensitiv sein.

Typische Gefährdungen für Mobiltelefone

• Unzureichende Planung bei der sicheren Anschaffung von Mobiltelefonen
• Umwelteinflüsse (Nässe, Kälte, Hitze)
• Verlust, Diebstahl
• Fehlerhafte Bedienung und Verwendung
• Fahrlässige Zerstörung von Gerät oder Daten
• Manipulation oder Zerstörung von Geräten oder Zubehör
• Unerlaubte Ausübung von Rechten
• Unkontrollierter Einsatz von Datenträgern (z. B. Speicherkarten)
• Unerlaubte Installation von Software (z. B. Apps)
• Ungeordneter oder unerlaubter Benutzerwechsel
• Ausfall des Geräts, der Stromversorgung oder der Internetverbindung
• Nichtverfügbarkeit des Mobilfunknetzes
• Verlust gespeicherter Daten bzw. des Mobiltelefons
• Informationsverlust bei erschöpftem Speichermedium
• Softwareschwachstellen oder -fehler
• Nichtbeachtung von Sicherheitsmaßnahmen
• Unzureichender Umgang mit Passwörtern
• Fehlerhafte Nutzung, Konfigurations- und Bedienungsfehler, Fehler bei der Synchronisation
• Manipulation an Informationen oder Software (z. B. unerlaubtes Akzeptieren fremder SIM-Karten)
• Sorglosigkeit im Umgang mit Informationen
• Phishing Attacken auf Passwörter oder PINs via SMS
• Schadprogramme, Trojanische Pferde, Viren
• Vertraulichkeitsverlust schützenswerter Informationen
• Unzureichende Identifikationsprüfung von Kommunikationspartnern
• Unberechtigte Privatnutzung
• Unberechtigte Datenweitergabe
• Unberechtigte Foto- und Filmaufnahmen mit mobilen Endgeräten
• Abhören von Raumgesprächen bzw. Videokonferenzen mit Mobiltelefonen
• Auswertung von Verbindungsdaten bei der Nutzung von Mobiltelefonen
• Einsatz veralteter Mobiltelefone (z.B. Hardware, Software)
• Versehentliche Preisgabe von Informationen
• Übergreifende Wirkung bei Sicherheitsvorfällen (z.B. Aushebeln von Mehrfaktorauthentifizierung via kompromittiertem Smartphone)

• Sicherheitsrichtlinien und Regelungen für die Mobiltelefon-Nutzung
• Sperrmaßnahmen bei Verlust eines Mobiltelefons
• Sensibilisierung und Schulung der Mitarbeiter im Umgang mit Mobiltelefonen
• Aussonderung und ordnungsgemäße Entsorgung von Mobiltelefonen und darin verwendeter Speicherkarten

Maßnahmenempfehlungen für Mobiltelefone

1. Planung und Konzeption:
   Damit die Möglichkeiten, Mobiltelefone sicher einzusetzen, in der Praxis auch tatsächlich genutzt werden, sollte eine Sicherheitsrichtlinie erstellt werden, die die umzusetzenden Maßnahmen beschreibt.
2. Beschaffung:
   Bei häufiger und wechselnder dienstlicher Nutzung von Mobiltelefonen, die vom Unternehmen oder der Behörde zur Verfügung gestellt werden, kann es sinnvoll sein, diese Telefone in einer Sammelaufbewahrung zu halten.
3. Betrieb:
   Zum sicheren Betrieb von Mobiltelefonen gehören unter anderem die Sicherstellung der Energieversorgung und bei Bedarf auch der Schutz vor Rufnummernermittlung. Falls das Gerät zur Datenübertragung eingesetzt wird, sind zur zuverlässigen Funktionsweise und zum Schutz gegen Missbrauch zu beachten:
   
   • Kurzmitteilungen (SMS): Damit lassen sich Texte mit maximal 160 Zeichen von einem Mobiltelefon zum anderen oder auch an E-Mail-Adressen senden. Am Mobiltelefon selbst können auch längere Texte eingegeben werden, diese werden aber automatisch in mehrere SMS mit jeweils 160 Zeichen aufgeteilt. Die Übertragung von Kurzmitteilungen erfolgt immer über die Kurzmitteilungszentrale, welche die Nachrichten an den jeweiligen Empfänger weiterleitet. Im Internet gibt es diverse Angebote, über die mit minimalen Kosten Kurzmitteilungen webbasiert versandt werden können. Es ist ohne großen Aufwand möglich, auf diese Weise eine große Anzahl von SMS-Nachrichten an ein Mobiltelefon zu senden. Die Auswirkungen von SMS-Spam sind wie bei E-Mail: Die E-Mail-Box bzw. der Speicherplatz reicht nicht aus und ernsthafte Anfragen kommen nicht durch. Darüber hinaus entstehen den BenutzerInnen (evtl. hohe) Kosten (Mehrwert-SMS!). Hiergegen hilft nur, im Vorfeld die eigene Rufnummer nicht zu breit zu streuen, also z. B. auf den Eintrag in Telefonbücher zu verzichten, bzw. im Schadensfall eine Zeit lang auf SMS zu verzichten.
     Eine Identifikation des Absenders ist bei SMS nicht zuverlässig möglich, da sie nur über die Rufnummer des Absenders erfolgt. Beim Versand von Kurzmitteilungen über das Internet erfolgt i. Allg. überhaupt keine eindeutige Identifizierung. Das wird für Phishing-SMS ausgenützt. Je nach Inhalt einer empfangenen Kurzmitteilung ist es sinnvoll nachzufragen, ob diese wirklich vom angegebenen Absender stammt.
     Es passiert immer wieder, dass SMS-Nachrichten beim falschen Empfänger landen, weil eine falsche Rufnummer angegeben oder ein falscher Eintrag aus dem Telefonbuch als Empfänger ausgewählt wurde. Auch wenn die Displays der Mobiltelefone klein sind, sollten die Empfängerangaben vor dem Absenden überprüft werden.
   • E-Mail: können über Mobiltelefone empfangen und verschickt werden. Die potenziellen Sicherheitsprobleme und Maßnahmen sind die gleichen wie bei auf PC üblicher Nutzung von E-Mail. Zusätzlich treten durch die geringere Displaygröße und die Art der Bedienung der Geräte weitere Probleme auf. So sind zum Beispiel das Ziel von in E-Mails enthaltenen Links sowie Domains von aufgerufenen Webseiten schwieriger zu erkennen. Sicherheitsmaßnahmen wie Verschlüsselung oder Signatur sind hierbei möglich, jedoch standardmäßig nicht aktiv oder nur durch zusätzliche Apps möglich.
   • Kommunikation: Telefongespräche aber auch andere Übertragungskanäle (E-Mail, Messenger-Applikationen, plattformübergreifende Dateiaustauschprogramme, …) sind anfällig für Betrugsformen wie zum Beispiel falsche Support-Angebote, Phishing oder auch CEO-Fraud, bei dem sich jemand als Vorgesetzter oder sonstige Autoritätsperson ausgibt und Forderungen stellt, meist unter Vorwand einer zeitlichen Dringlichkeit oder Vertraulichkeit. Direkte Rückfragen sind bei Telearbeit in so einem Fall schwieriger bzw. seltener. Daher ist es wichtig Mitarbeiterinnen und Mitarbeiter entsprechend zu schulen und Vorgehensweisen für solche Fälle zu definieren (z.B. Rückfrage über anderen Kanal, etwa per direkter Telefonnummer falls Forderung per E-Mail eingelangt ist).
   • Kopplung zu anderen IT-Systemen: Diese kann über NFC, USB, WLAN, Infrarot (IrDA - Infrared Data Association) oder Bluetooth erfolgen. Es ist zu beachten, dass bei Funkschnittstellen ein Abhörrisiko besteht, und sich mobile Geräte oft automatisch untereinander verbinden, ohne dass dies besonders auffällt (bei Windows-PCs wird meist ein kleines Icon in der Task-Leiste angezeigt).
   • Herunterladen von Software oder Daten aus dem Internet (Apps, Klingeltöne, Themes oder Ähnliches) sollte bei dienstlich genutzten Mobiltelefonen unterbunden oder verboten werden. Eine Auswahl erlaubter Apps kann vordefiniert werden. Von Apps gehen diverse Gefahren aus, die je nach Berechtigungen variieren, wobei vor allem Überwachung oder Diebstahl sensibler Daten zu beachten sind.
   • Mobiltelefone sind in der Regel mit dem Internet verbunden. Erfolgt diese Internetverbindung gleichzeitig mit einer Kopplung an eine IT-Komponente der Organisation im Netzwerk, dann entsteht eine unkontrollierbare Verbindung vom Netzwerk in die Außenwelt unter Umgehung des Firewall-Schutzes! Dafür ist entsprechende Sensibilisierung zu schaffen. Alle Datenübertragungseinrichtungen sollten genehmigt sein und deren Nutzung klaren Regelungen unterliegen.
   • Deaktivieren nicht erforderlicher Drahtlosverbindungen: Jede drahtlose Schnittstelle (z.B. IrDA, Bluetooth, WLAN) sollte nur dann aktiviert werden, wenn die Verwendung notwendig ist. Ist die Verwendung nicht mehr erforderlich, sollten diese Schnittstellen umgehend deaktiviert werden.
   • Aktivieren von Sicherheitsprogrammen.
4. Notfallvorsorge: Ein Mobiltelefon kann aus verschiedenen Gründen ausfallen oder in seiner Funktionsfähigkeit gestört sein. Dies ist natürlich besonders ärgerlich, wenn es dringend benötigt wird oder dadurch wichtige Daten verloren gehen.
   • Die wichtigsten Einstellungen wie PINs und die Konfiguration von Sicherheitsmechanismen sollten schriftlich dokumentiert und entsprechend ihres Schutzbedarfs sicher aufbewahrt werden.
   • Alle auf der SIM-Karte oder im Telefon gespeicherten Daten sollten über SIM-Kartenleser bzw. entsprechende (Backup-)Software - unter Wahrung der Regelungen für die Datenübertragung - in einen PC eingelesen und dort verwaltet werden. Damit kann Datensicherung sowie Synchronisation (ggf. auch mehrerer Mobiltelefone) durchgeführt werden. Die IMEI/MEID-Nummer sollte für den Fall des Verlusts oder Diebstahls notiert bzw. gespeichert werden. Die Nummer kann im Eingabefeld für Telefonanrufe durch wählen von *#06# abgefragt werden. Dual-SIM-Handys besitzen zwei IMEI-Nummern.
   • Der Ladezustand und die Funktionsfähigkeit des Mobiltelefon-Akkus sollten regelmäßig überprüft werden.
   • Wenn ein Mobiltelefon kontinuierlich verfügbar sein soll, sollte ein Ersatz-Mobiltelefon, mindestens aber ein Ersatz-Akku (sofern der Akku einfach austauschbar ist) bzw. eine Powerbank mitgeführt werden. Das ist etwa dann unabdingbar, wenn Mobiltelefone im Rahmen von Alarmierungen eingesetzt werden (z. B. die Einbruchmeldeanlage setzt Alarmmeldungen über Mobilfunk ab oder Notfallpersonal wird über Mobiltelefone benachrichtigt).
5. Reparatur: sollte nur von vertrauenswürdigen Fachbetrieben durchgeführt werden. Daher sollte eine Übersicht über entsprechende Fachbetriebe vorhanden sein.
   • Viele Händler bieten auch für die Dauer der Reparatur Ersatzgeräte an. Bei der Auswahl des Mobiltelefons bzw. des Händlers darauf zu achten, dass solche Dienstleistungen angeboten werden.
   • Bevor das Mobiltelefon zur Reparatur gegeben wird, sollten alle personenbezogenen Daten, also z. B. der Anrufspeicher, gespeicherte E-Mails und das Telefonbuch im Gerät gelöscht werden, soweit das noch möglich ist. Vorher sollten sie selbstverständlich gesichert werden. Außerdem sollte die SIM-Karte entfernt werden. Bei unverschlüsselten Geräten reicht das einfache Löschen von Dateien nicht aus, hierbei muss der Speicherplatz nach dem Löschen noch überschrieben werden, beispielsweise durch Aufnahme eines Videos bis der gesamte Speicherplatz voll ist. Alternativ kann eine sichere Löschung auch durch entsprechende Software durchgeführt werden. Bei verschlüsselten Geräten reicht eine Rücksetzung auf den Werkszustand, wodurch auch ein neuer Schlüssel für die Speicherverschlüsselung generiert und der alte Schlüssel gelöscht wird.
6. Verlust, Diebstahl: die SIM-Karte dieses Telefons sollte unverzüglich gesperrt werden, um Missbrauch und unnötige Kosten zu verhindern. Bei eSIM ist neben einer Sperre bei manchen Anbietern auch ein Austausch des eSIM-Profils möglich. Der Verlust oder Diebstahl sollte bei der Polizei angezeigt werden und dabei auch die IMEI-Nummer angegeben werden. Mit dieser ist unter Umständen ein Auffinden des Gerätes möglich. Smartphones bieten weitere Möglichkeiten zur Ortung und Wiedererlangung aber auch zur Sperrung oder Fernlöschung des Geräts über betriebssystemeigene oder zusätzliche Apps. Dabei müssen jedoch Datenschutzaspekte abgewogen werden.
7. Aussonderung und Entsorgung: Mobiltelefone sollten jedenfalls ordnungsgemäß ausgesondert bzw. entsorgt werden. Das bedeutet, eine Wiederherstellung auf den Werkszustand ist notwendig und demzufolge eine Entfernung aller Daten. Das gilt insbesondere für die Entfernung sensibler Daten. Eventuell enthaltene entnehmbare Speicherkarten (z.B. SD-Karten) sollten ebenfalls in gesicherter Form ausgesondert bzw. entsorgt werden.
8. Awareness: Eine Sensibilisierung der Mitarbeiterinnen bzw. Mitarbeiter über die Bedrohungen in Verbindung im allgemeinen Umgang und mit der Nutzung von Mobiltelefonen sollte forciert werden. Dies fordert einerseits Sensibilisierung über die Verwendung der integrierten Sicherheitsfunktionen (z.B. Sperrcode, PIN für SIM-Karte, Verschlüsselung, VPN) aber auch andererseits eine Sensibilisierung welche Prozesse im Verlustfall oder bei Diebstahl einzuhalten sind.

• Der PC könnte von solchen Laufwerken unkontrolliert gebootet werden.
• Es könnte unkontrolliert Software (auch Schadsoftware, Viren, Trojanische Pferde) von solchen Laufwerken eingespielt werden.
• Dienstliche Daten könnten unberechtigt auf Wechselmedien kopiert werden.
• Verlust oder Diebstahl der Wechselmedien führt zur Kompromittierung der darauf gespeicherten (z.B. schützenswerten) Daten.
• Defekte Schnittstellen bzw. Wechselmedien führen zu Datenverlust.

• Sensibilisierung zum sicheren Umgang mit Wechselmedien und zu Verlust- sowie Manipulationsmeldungen:
  Aufbau des Bewusstseins über den erlaubten sicheren Umgang mit Wechselmedien sowie in diesem Zusammenhang notwendiger Einschränkungen. Bei zumindest dem Verdacht auf eine Manipulation bzw. dem Verlust eines Wechselmediums ist eine geeignete Meldung durchzuführen. Diese Meldung sollte Angaben zu den darauf gespeicherten Daten enthalten und den dafür vorgesehenen Meldeweg einhalten.
• Ausbau von Laufwerken:
  Der Ausbau der Laufwerke für Wechselmedien (bzw. der Verzicht bei der Beschaffung) bietet zwar den best-möglichen Schutz vor den oben genannten Gefährdungen, ist aber meist mit erheblichem Aufwand verbunden. Weiters ist zu berücksichtigen, dass der Ausbau unter Umständen die Administration und Wartung des IT-Systems behindert. Diese Lösung sollte in Betracht gezogen werden, wenn ein höherer Schutzbedarf bzw. besondere Sicherheitsanforderungen bestehen.
• Physischer Verschluss bzw. Versperren von Laufwerken:
  Für einige Laufwerksarten gibt es abschließbare Einschubvorrichtungen, mit denen die unkontrollierte Nutzung verhindert werden kann (z.B. für USB). Bei der Beschaffung sollte sichergestellt werden, dass die Laufwerksschlösser für die vorhandenen Laufwerke geeignet sind und diese nicht beschädigen können. Außerdem sollte darauf geachtet werden, dass die Schlösser herstellerseitig mit hinreichend vielen unterschiedlichen Schlüsseln angeboten werden. Nachteilig sind die Beschaffungskosten für die Laufwerksschlösser und der Aufwand für die erforderliche Schlüsselverwaltung. Daher ist diese Lösung nur bei höherem Schutzbedarf oder besonderen Sicherheitsanforderungen sinnvoll.
• Deaktivierung im BIOS/UEFI bzw. Betriebssystem:
  Im BIOS bzw. UEFI bieten die meisten PCs Einstellmöglichkeiten dafür, von welchen Laufwerken gebootet werden kann. In Verbindung mit einem Passwortschutz der BIOS-Einstellungen kann dadurch das unkontrollierte Booten von Wechselmedien und mobilen Datenträgern unterbunden werden. Weiters können die vorhandenen Laufwerke und Schnittstellen bei modernen Betriebssystemen einzeln deaktiviert werden. Dies erschwert die unberechtigte Nutzung, z. B. die Installation von Fremdsoftware oder das Kopieren auf Wechselmedien. Die Deaktivierung der Laufwerke im BIOS bzw. Betriebssystem hat den Vorteil, dass keine Hardwareänderungen erforderlich sind. Die entsprechenden Einstellungen im Betriebssystem können gegebenenfalls sogar zentral vorgenommen werden. Damit diese Vorgehensweise wirksam ist, muss sichergestellt sein, dass die BenutzerInnen nicht über die Berechtigungen im Betriebssystem verfügen, um die Deaktivierung der Laufwerke rückgängig zu machen.
• Kontrolle der Schnittstellennutzung:
  Der Betrieb von externen Speichermedien wie USB-Memory-Sticks lässt sich nur sehr schwer verhindern, wenn die verwendete Schnittstelle auch für andere (erlaubte) Zusatzgeräte genutzt wird. So werden beispielsweise Notebooks ausgeliefert, die zum Anschluss einer Maus nur die USB-Schnittstelle zur Verfügung stellen. Dadurch ist es in der Regel nicht sinnvoll, ein „USB-Schloss“ zu verwenden oder die Schnittstelle durch andere mechanische Maßnahmen zu deaktivieren. Die Nutzung von Schnittstellen sollte daher durch entsprechende Rechtevergabe auf Ebene des Betriebssystems oder mit Hilfe von Zusatzprogrammen geregelt werden. Bei einigen Zusatzprogrammen zur Absicherung der USB-Schnittstellen kann zusätzlich festgelegt werden, ob von externen Datenträgern nur gelesen werden kann. Alternativ kann das Hinzufügen von Geräten überwacht werden. Beim Anschluss von Datenträgern an externen Schnittstellen werden oft vom Betriebssystem Treiber bzw. Kernelmodule geladen oder Einträge in Konfigurationsdateien (wie der Windows-Registry) erzeugt, die detektiert werden können. Einzelheiten sind produkt- und betriebssystemspezifisch.
• Verschlüsselung und Integritätsschutz:
  Es gibt Produkte, die dafür sorgen, dass ausschließlich Zugriffe auf dafür zugelassene mobile Datenträger möglich sind. Eine Lösung ist beispielsweise, dass nur noch mobile Datenträger gelesen und beschrieben werden können, die mit bestimmten kryptographischen Verfahren bzw. Schlüsseln verschlüsselt worden sind. Dies schützt nicht nur vor unbefugtem Zugriff über manipulierte mobile Datenträger, sondern schützt auch die Daten auf den mobilen Datenträgern bei Verlust oder Diebstahl. Neben der Verschlüsselung sollten Verfahren zum Schutz gegen vorsätzliche bzw. unabsichtliche Veränderungen der gespeicherten Daten angewendet werden (z.B. Checksummen, digitale Signaturen, Hashwerte).
• Richtlinien für die Nutzung:
  In vielen Fällen dürfen die BenutzerInnen die eingebauten Laufwerke für Wechselmedien oder Speichermedien an externen Schnittstellen durchaus verwenden, die Nutzung ist jedoch durch entsprechende Richtlinien reglementiert. Auf technischer Ebene sollte dann lediglich das Booten von Wechselmedien im BIOS bzw. UEFI deaktiviert werden. Ausbau, Verschluss oder Deaktivierung der Laufwerke im Betriebssystem kommen nicht in Frage. In diesem Fall sollten die Richtlinien für die Nutzung der Laufwerke und Speichermedien so explizit wie möglich definiert werden. Beispielsweise kann ein generelles Verbot ausgesprochen werden, nur das Kopieren öffentlicher Text-Dokumente wird erlaubt. Die Richtlinien müssen allen BenutzerInnen bekannt gemacht und die Einhaltung kontrolliert werden. Die Installation und das Starten von Programmen, die von Wechselmedien eingespielt wurden, sollte untersagt und so weit wie möglich auch technisch unterbunden werden (siehe auch 14.3.1 Nutzungsverbot nicht freigegebener Software). Darüber hinaus sollte die Mitnahme von Wechselmedien bzw. Speichermedien von einer solchen Richtlinie abgedeckt sein. Diese rein organisatorische Lösung sollte nur dann gewählt werden, wenn die BenutzerInnen hin und wieder oder regelmäßig auf die Laufwerke zugreifen müssen. Anderenfalls sollte der Zugriff - wie oben beschrieben - durch technische Maßnahmen unterbunden werden.

• Geeignete Auswahl und Nutzung eines mobilen Arbeitsplatzes
• Regelungen für mobile Arbeitsplätze
• Zutritts- und Zugriffsschutz
• Arbeiten mit fremden IT-Systemen

• Zeitnahe Verlustmeldung
• Entsorgung von vertraulichen Informationen
• Rechtliche Rahmenbedingungen für das mobile Arbeiten
• Sicherheitsrichtlinie für mobile Arbeitsplätze
• Verschlüsselung tragbarer IT-Systeme und Datenträger
• Nutzung eines Bildschirmschutzes

• Einsatz von Diebstahlsicherungen
• Verbot der Nutzung unsicherer Umgebungen

• Fehlende oder unzureichende Regelungen für den häuslichen Arbeitsplatz
• Unbefugter Zutritt zu schutzbedürftigen Räumen des häuslichen Arbeitsplatzes
• Beeinträchtigung der IT-Nutzung durch ungünstige Arbeitsbedingungen am häuslichen Arbeitsplatz
• Ungesicherter Akten- und Datenträgertransport
• Ungeeignete Entsorgung der Datenträger und Dokumente
• Manipulation oder Zerstörung von IT, Zubehör, Informationen und Software am häuslichen Arbeitsplatz
• Erhöhte Diebstahlgefahr am häuslichen Arbeitsplatz

• Regeln der Rahmenbedingungen zur Verwendung der IT, der Verarbeitung bzw. Speicherung von Daten sowie für die Nutzung von Arbeitsmitteln und zur Entsorgung vertraulicher Informationen am häuslichen Arbeitsplatz
• Sichern dienstlicher Unterlagen
• Transport von Arbeitsmaterial, Datenträgern und Unterlagen
• Schutz vor unbefugtem Zutritt am häuslichen Arbeitsplatz sowie Einbruchsschutz der an einen angemessenen Schutzbedarf für die örtlichen Gegebenheiten angepasst ist
• Trennung des häuslichen Arbeitsplatzes von privaten Bereichen
• Sichtschutz des Monitors, besonders dann, wenn er durch ein Fenster beobachtet werden könnte
• Überspannungsschutz
• Bereitstellung versperrbarer Behältnisse zur Aufbewahrung von Datenträgern (z.B. für Backups) und Dokumenten sowie bei Bedarf zu deren Vernichtung (z.B. Aktenvernichter)
• Technische Absicherung sowie Einspielen regelmäßiger Software-Aktualisierungen (z.B. Sicherheitspatches) der verwendeten Infrastruktur (z.B. WLAN schützen, Router bzw. Repeater für Meshnetzwerk oder mobile Hotspot via Smartphone sicher einstellen)
• Infrastruktur bei Bedarf redundant aufsetzen sowie verwenden redundant aufgebauter Internetzugänge (z.B. kombinieren von DSL bzw. Kabel in Verbindung mit 4G/5G als Backup)

• Freiwilligkeit der Teilnahme an der Telearbeit,
• Umfang der Arbeitszeit und Erreichbarkeit sowie Aufteilung der Arbeitszeit zwischen ständiger Betriebsstätte und dem Ort bzw. den Orten der Telearbeit,
• Mehrarbeit und Zuschläge,
• Aufwendungen für Fahrten zwischen Betrieb und häuslicher Wohnung,
• Aufwendungen z. B. für Strom und Heizung,
• Haftung (bei Diebstahl oder Beschädigung der IT, aber auch bei Arbeitsunfall oder Berufskrankheit),
• Beendigung der Telearbeit.

• Arbeitszeitregelung:
  Die Verteilung der Arbeitszeiten auf Tätigkeiten in der Institution und am häuslichen Arbeitsplatz muss geregelt sein und feste Zeiten über die Erreichbarkeit am häuslichen Arbeitsplatz müssen festgelegt werden.
• Reaktionszeiten:
  Es sollte geregelt werden, in welchen Abständen aktuelle Informationen eingeholt werden (z. B. wie häufig E-Mails gelesen werden) und wie schnell darauf reagiert werden sollte.
• Arbeitsmittel:
  Es kann festgeschrieben werden, welche Arbeitsmittel TelearbeiterInnen einsetzen können und welche nicht genutzt werden dürfen (z. B. nicht freigegebene Software). So kann ein E-Mail-Anschluss zur Verfügung gestellt werden, aber die Nutzung von anderen Internetdiensten wird untersagt. Weiters kann die Benutzung von Wechseldatenträgern (Gefahr von Viren) untersagt werden, wenn der Telearbeitsrechner dies nicht erfordert.
• Verwendung digitaler Kollaborationswerkzeuge:
  Die Festlegung zu nutzender digitaler Werkzeuge für die teambasierte Zusammenarbeit (sog. Collaboration Tools) zumeist über große Distanzen sollte vor dem Hintergrund der IT-Sicherheit geregelt werden. Dies umfasst Werkzeuge die dafür geeignet sind, etwa die Bearbeitung von Programmcode, Texten, Tabellen sowie Präsentationen für mehrere Beteiligte zu ermöglichen. Auch decken solche Kollaborationswerkzeuge Programme für die Durchführung von Videokonferenzen (etwa als Alternative zu konventionellen Besprechungen) ab.
• Datensicherung:
  Die TelearbeiterInnen sind zu verpflichten, regelmäßig eine geschützte Datensicherung durchzuführen. Darüber hinaus sollte vereinbart werden, dass jeweils eine Generation der Datensicherung bei der Institution zur Unterstützung der Verfügbarkeit sowie zur Vorbeugung vor Datenverlust hinterlegt wird.
• IT-Sicherheitsmaßnahmen:
  Die TelearbeiterInnen sind zu verpflichten, die für die Telearbeit notwendigen IT-Sicherheitsmaßnahmen zu beachten und zu realisieren. Die umzusetzenden IT-Sicherheitsmaßnahmen sind den TelearbeiterInnen in schriftlicher Form zu übergeben.
• Datenschutz:
  Die TelearbeiterInnen sind auf die Einhaltung einschlägiger Datenschutzvorschriften zu verpflichten sowie auf die notwendigen Maßnahmen bei der Bearbeitung von personenbezogenen Daten am häuslichen Arbeitsplatz hinzuweisen.
• Datenkommunikation:
  Es muss festgelegt werden, welche Daten auf welchem Weg übertragen bzw. welche Daten nicht oder nur verschlüsselt elektronisch übermittelt werden dürfen.
• Transport von Dokumenten und Datenträgern:
  Die Art und Absicherung des Transports zwischen häuslichem Arbeitsplatz und Institution ist zu regeln.
• Meldewege:
  Die TelearbeiterInnen sind zu verpflichten, IT-sicherheitsrelevante Vorkommnisse unverzüglich an eine zu bestimmende Stelle in der Institution zu melden.
• Zutrittsrecht zum häuslichen Arbeitsplatz:
  Für die Durchführung von Kontrollen und für die Verfügbarkeit von Dokumenten und Daten im Vertretungsfall kann ein Zutrittsrecht zum häuslichen Arbeitsplatz (ggf. mit vorheriger Anmeldung) vereinbart werden.

• Abhören von Videokonferenzen, Chats oder Telefonaten
• Manipulation der Funktionalität des Systems
• Ungeschützte oder unkontrollierte Kommunikationsendpunkte
• Unzureichend abgesicherte Cloud-Dienste
• Qualitätseinbußen durch unzureichende Dimensionierung
• Fehlerhafte Bedienung bzw. Nutzung
• Automatische bzw. unabsichtliche Annahme von eingehenden Verbindungsanfragen
• Gezieltes Ausspähen von Räumen
• Verlust der Vertraulichkeit durch Kompromittierung von Video-Endpunkten
• Leistungsüberwachung und Profiling
• Kein ordnungsgemäßer Benutzerwechsel bei Video-Endpunkten
• Versehentliche bzw. unabsichtliche Preisgabe von Informationen
• Unzureichende Prüfung der Identität von Kommunikationspartnern
• Fehlverhalten und Missbrauch von Sprachsteuerung und KI-Funktionen
• Übergreifende Wirkung eines Sicherheitsvorfalls
• Konfigurationsfehler bei Videokonferenzlösungen
• Missbrauch von Administrations- und Wartungszugängen
• Unzureichende Organisation des Betriebs eines Videokonferenzsystems
• Unzureichendes Identitäts- und Berechtigungskonzept
• Unzureichend abgesicherte Aufzeichnung, Protokollierung und Dateiablage
• Unzureichende Kenntnis von Technik und Regelungen

• Absicherung der zugrundeliegenden Technik und der Arbeitsumgebung (z.B. keine sensiblen Informationen im Blickfeld der Kamera, Ausblenden des Hintergrunds, keine Videokonferenzen in Großraumbüros)
• Sicherer Umgang mit Daten der Beitragenden (z.B. Teilnehmer von Videokonferenzen)
• Aufsetzen einer sicheren Benutzerverwaltung und Erstellen unterschiedlicher Nutzungsprofile
• Verschlüsseltes Speichern der Metadaten
• Absicherung von Dateiablagen und frei zugänglichen Endpunkten
• Gesichertes Aufbauen sowie Beenden von Sitzungen (sog. Sessions)
• Verwenden einer gesicherten Netzwerkverbindung
• Sicheres Beschaffen der Kollaborationswerkzeuge
• Erstellen und Bereitstellen von Informationen zur sicheren Verwendung von Kollaborationswerkzeugen
• Integrieren in bestehendes Update- bzw. Patchmanagement sowie Backup-Verfahren
• Deaktivieren nicht notwendiger Dienste bzw. Services (z.B. Sprachsteuerung, lokaler Zugriff auf Daten, automatische Rufannahme, Kamera-Zugriff) oder geeignetes Absichern
• Sicherstellen der Verfügbarkeit der Lösung (z.B. im eigenen Rechenzentrum, in einer Cloud)
• Aufsetzen eines Sicherheits- und Betriebskonzepts für Kollaborationswerkzeuge
• Vermeiden von Aufzeichnungen und Deaktivieren der Sprachsteuerung
• Darauf achten, dass etwaige aufgezeichnete bzw. protokollierte Daten, wo notwendig, in der EU gespeichert und abgelegt werden

• welche Dokumente bzw. Datenträger über welchen Transportweg (Postweg, Kurier, Paketdienst, …) ausgetauscht werden dürfen,
• welche Schutzmaßnahmen beim Transport zu beachten sind (beispielsweise Transport in geschlossenem Behälter, in Versandtasche, per Einschreiben, mit Begleitschreiben oder mit Versiegelung) und
• welche Dokumente bzw. Datenträger nur persönlich transportiert werden dürfen.

• Benennen von problembezogenen AnsprechpartnerInnen für den Benutzerservice:
  An diese Stelle wenden sich TelearbeiterInnen bei Software- und Hardwareproblemen. Der Benutzerservice versucht (auch telefonisch) kurzfristig Hilfestellung zu leisten bzw. leitet Wartungs- und Reparaturarbeiten ein.
• Wartungstermine:
  Die Termine für vor Ort durchzuführende Wartungsarbeiten sollten frühzeitig bekannt gegeben werden, damit die TelearbeiterInnen zu diesen Zeiten den Zutritt zum häuslichen Arbeitsplatz gewährleisten können.
• Einführung von Standardtelearbeitsrechnern:
  Wenn möglich sollten alle TelearbeiterInnen einer Institution einen definierten Standardtelearbeitsrechner haben. Dies verringert den konzeptionellen und administrativen Aufwand für den Aufbau eines sicheren Telearbeitsrechners und erleichtert Problemlösungen für den Benutzerservice.
• Fernwartung:
  Falls der Telearbeitsrechner über Fernwartung administriert und gewartet werden kann (z.B. Einspielen von Sicherheitsaktualisierungen, Installation bzw. Entfernung notwendiger Programme), sind die notwendigen Sicherheitsmaßnahmen sowie die erforderlichen Online-Zeiten zu vereinbaren. Insbesondere ist ein Sicherungsverfahren festzulegen, um den Missbrauch eines Fernwartungszugangs zu verhindern (vgl. 14.6.3 Fernwartung).
• Transport der IT:
  Es sollte aus Gründen der Haftung festgelegt werden, wer autorisiert ist, IT-Komponenten zwischen Institution und häuslichen Arbeitsplätzen der TelearbeiterInnen zu transportieren.

• Datenflusskontrolle
  • Welche Dienste dürfen zur Datenübertragung genutzt werden?
  • Welche Dienste dürfen zu Kollaborationszwecken (z.B. Videokonferenzen, Bearbeitung von Daten für mehrere Beteiligte) verwendet werden?
  • Welche Dienste dürfen explizit nicht genutzt werden?
  • Welche Informationen dürfen an wen versendet werden?
  • Welcher Schriftverkehr darf über E-Mail, Messenger-Apps oder Cloud-Dienste abgewickelt werden?
  • Falls am Telearbeitsplatz ein Faxgerät vorhanden ist, so ist zu klären, welche Informationen per Fax an wen übermittelt werden dürfen.
  • Der elektronische Versand welcher Informationen bedarf der vorherigen Zustimmung der Institution?
• Informationsgewinnung
  • Welche elektronischen Dienstleistungen (Datenbankabfragen, elektronische Recherchen) dürfen vom Telearbeitsrechner aus in Anspruch genommen werden? Beispielsweise können aus der Art der Abfragen u.U. Rückschlüsse auf Unternehmensstrategien gezogen werden.
• IT-Sicherheitsmaßnahmen
  • Für welche Daten sollen welche Verschlüsselungsverfahren eingesetzt werden?
  • Für welche Daten ist eine Löschung nach erfolgreicher Übertragung notwendig? Dies kann beispielsweise für personenbezogene Daten gelten.
  • Von welchen Daten soll trotz der erfolgreichen Übertragung eine Kopie der Daten auf dem Telearbeitsrechner verbleiben?
  • Wird vor Versand oder nach Erhalt von Daten ein Viren-Check der Daten durchgeführt?
  • Für welche Datenübertragung soll eine Protokollierung erfolgen? Falls eine automatische Protokollierung nicht möglich sein sollte, ist festzulegen, ob und in welchem Umfang eine handschriftliche Protokollierung vorzusehen ist.
• Internetnutzung
  • Wird die Nutzung von Internetdiensten generell verboten?
  • Welche Art von Daten darf aus dem Internet geladen werden? Werden Daten von fremden Servern geladen, so besteht die Gefahr, dass Viren importiert werden.
  • Welche Optionen dürfen im Internet-Browser aktiviert werden?
  • Welche Rahmenbedingungen und technischen Sicherheitsmaßnahmen müssen bei der Internetnutzung beachtet werden? Welche Sicherungsverfahren sollen im Internet-Browser aktiviert werden?
  • Ist die Zustimmung der Institution erforderlich, wenn die TelearbeiterInnen sich am Informationsaustausch mittels Sozialen Medien oder Foren beteiligen wollen? Ggf. ist eine anonyme Nutzung erforderlich.
• Unterschriftenregelung
  • Ist eine Unterschriftenregelung für die Kommunikation vorgesehen?
  • Werden gesetzeskonforme elektronische Signaturen eingesetzt?
  • Werden andere Authentisierungsverfahren für den Schriftverkehr genutzt?

• Sicherstellung der Vertraulichkeit der übertragenen Daten:
  Es muss durch eine ausreichend sichere Verschlüsselung erreicht werden, dass auch durch Abhören der Kommunikation zwischen Telearbeitsrechner und Kommunikationsrechner der Institution kein Rückschluss auf den Inhalt der Daten möglich ist. Dazu gehört neben einem geeigneten Verschlüsselungsverfahren auch ein angepasstes Schlüsselmanagement mit periodischem Schlüsselwechsel.
• Sicherstellung der Integrität der übertragenen Daten:
  Die eingesetzten Übertragungsprotokolle müssen eine zufällige Veränderung übertragener Daten erkennen und beheben. Bei Bedarf kann auch ein zusätzlicher Fehlererkennungsmechanismus benutzt werden, um absichtliche Manipulationen während der Datenübertragung erkennen zu können (vgl. dazu § 126a Datenbeschädigung (StGB)).
• Sicherstellung der Verfügbarkeit der Datenübertragung:
  Falls zeitliche Verzögerungen bei der Telearbeit nur schwer zu tolerieren sind, sollte ein redundant ausgelegtes öffentliches Kommunikationsnetz als Übertragungsweg ausgewählt werden, in dem der Ausfall einzelner Verbindungsstrecken nicht den Totalausfall der Kommunikationsmöglichkeiten bedeutet. Auf eine redundante Einführung der Netzanbindung an den Telearbeitsrechner und die Schnittstelle der Institution kann ggf. verzichtet werden.
• Sicherstellung der Authentizität der Daten:
  Bei der Übertragung der Daten zwischen Telearbeitsrechner und Institution muss vertrauenswürdig feststellbar sein, ob die Kommunikation zwischen den richtigen TeilnehmerInnen stattfindet, so dass eine Maskerade ausgeschlossen werden kann. Dies bedeutet, dass Daten mit Absender „Telearbeitsrechner“ auch tatsächlich von dort stammen. Ebenso muss der Ursprung von Institutionsdaten zweifelsfrei auf die Institution zurückgeführt werden können.
• Sicherstellung der Nachvollziehbarkeit der Datenübertragung:
  Um eine Kommunikation nachvollziehbar zu machen, können Protokollierungsfunktionen eingesetzt werden, die nachträglich feststellen lassen, welche Daten wann an wen übertragen wurden.
• Sicherstellung des Datenempfangs:
  Ist es für die Telearbeit von Bedeutung, ob Daten korrekt empfangen wurden, so können Quittungsmechanismen eingesetzt werden, aus denen hervorgeht, ob die EmpfängerInnen die Daten korrekt empfangen haben.

• Identifikation und Authentisierung:
  Sämtliche BenutzerInnen des Kommunikationsrechners, also AdministratorInnen, MitarbeiterInnen in der Institution und TelearbeiterInnen, müssen sich vor einem Zugriff auf den Rechner identifizieren und authentisieren. Nach mehrfachen Fehlversuchen ist der Zugang zu sperren. Voreingestellte Passwörter sind zu ändern. Ggf. muss es für den Kommunikationsrechner auch möglich sein, während der Datenübertragung eine erneute Authentisierung der TelearbeiterInnen oder der Telearbeitsrechner anzustoßen, um aufgeschaltete AngreiferInnen abzuwehren. Im Rahmen der Identifikation und Authentisierung der BenutzerInnen sollte auch zusätzlich eine Identifizierung der Telearbeitsrechner stattfinden.
• Rollentrennung:
  Die Rollen der AdministratorInnen und der BenutzerInnen des Kommunikationsrechners sind zu trennen. Eine Rechtevergabe darf ausschließlich AdministratorInnen möglich sein.
• Rechteverwaltung und -kontrolle:
  Der Zugriff auf Dateien des Kommunikationsrechners darf nur im Rahmen der gebilligten Rechte erfolgen können. Der Zugriff auf angeschlossene Rechner in der Institution und darauf gespeicherte Dateien ist zu reglementieren. Dabei ist darauf zu achten, dass die Zugriffsmöglichkeiten auf das notwendige Mindestmaß beschränkt werden. Bei Systemabsturz oder bei Unregelmäßigkeiten muss der Kommunikationsrechner in einen sicheren Zustand übergehen, in dem ggf. kein Zugriff mehr möglich ist.
• Minimalität der Dienste:
  Dienste, die durch den Kommunikationsrechner zur Verfügung gestellt werden, müssen dem Minimalitätsprinzip unterliegen: alles ist verboten, was nicht ausdrücklich erlaubt wird. Die Dienste selbst sind auf den Umfang zu beschränken, der für die Aufgaben der TelearbeiterInnen notwendig ist.
• Protokollierung:
  Datenübertragungen vom, zum und über den Kommunikationsrechner sind mit Uhrzeit, BenutzerIn, Adresse und Dienst zu protokollieren. Den AdministratorInnen bzw. der Revision sollten Werkzeuge zur Verfügung stehen, um die Protokolldaten auszuwerten. Dabei sollten Auffälligkeiten automatisch gemeldet werden.
• Automatische Virenprüfung:
  Übertragene Daten sind einer automatischen Prüfung auf Viren zu unterziehen.
• Verschlüsselung:
  Daten, die auf dem Kommunikationsrechner für die TelearbeiterInnen vorgehalten werden, sind bei entsprechender Vertraulichkeit - in Abstimmung mit der organisationsweiten IT-Sicherheitspolitik - zu verschlüsseln.
• Vermeidung oder geeignete Absicherung von Fernadministration:
  Benötigt der Kommunikationsrechner keine Fernadministration, so sind sämtliche Funktionalitäten zur Fernadministration zu sperren. Ist eine Fernadministration unvermeidbar (z.B. für die Einspielung von Sicherheitsaktualisierungen oder zur Installation bzw. Entfernung notwendiger Programme), so muss sie ausreichend abgesichert werden. Jegliche Fernadministration darf nur nach vorhergehender erfolgreicher Identifikation und Authentisierung stattfinden. Administrationstätigkeiten sind zu protokollieren. Administrationsdaten sollten verschlüsselt übertragen werden. Voreingestellte Passwörter und kryptographische Schlüssel sind zu ändern.

• Wer ist Ansprechperson bei technischen oder organisatorischen Problemen in der Telearbeit?
• Wem müssen Sicherheitsvorkommnisse mitgeteilt werden?
• Wie erfolgt die Aufgabenzuteilung?
• Wie erfolgt die Übergabe der Arbeitsergebnisse?

• Fehlende oder unzureichend dokumentierte Regelungen beim Löschen und Vernichten
• Vertraulichkeitsverlust durch Restinformationen auf Datenträgern
• Ungeeignete Einbindung externer Dienstleister in das Löschen und Vernichten

• Ordnungsgemäßes Löschen und Vernichten von schützenswerten Betriebsmitteln und Informationen
• Löschung und Vernichtung von Datenträgern durch externe Dienstleister
• Mindestanforderungen an Verfahren zur Löschung und Vernichtung
• Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Datenträgern
• Erstellung einer Richtlinie für die Löschung und Vernichtung von Informationen
• Vernichtung defekter digitaler Datenträger
• Vernichten von Datenträgern auf erhöhter Sicherheitsstufe

Kommunikationsmedien

• Festlegung von Richtlinien für die Verwendung von Kommunikationsmedien (Wer darf welche Medien verwenden? Welche Art von Informationen dürfen wie versendet werden?),
• Verbot des Versendens von vertraulichen Informationen über bestimmte Kommunikationskanäle oder technische und organisatorische Vorkehrungen für das Versenden, je nach Vertraulichkeitsgrad (z.B. telefonische Vorankündigung, Verschlüsselung),
• ggf. Kontrolle der Einhaltung von Richtlinien.

Kommunikationsgeräte

• Information über mögliche Gefährdungen, einzuhaltende Sicherheitsmaßnahmen und Regelungen beim Betrieb der jeweiligen Geräte,
• Auswirkungen verschiedener Konfigurationen auf die Betriebssicherheit des Gerätes,
• Regelung über den Einsatz von Authentifizierungscodes zur Absicherung der Geräte oder der Kommunikation,
• Vermeidung schutzbedürftiger Informationen,
• Regelmäßige Säuberung aufgezeichneter oder gespeicherter Daten,
• Abschalten nicht benötigter Dienste und Komponenten.