/

Wer oder was ist Informationssicherheit?

Informationssicherheit steht im Fokus des BSI IT-Grundschutzes. Dieser Begriff wird oft unterschiedlich interpretiert.

Laut Definition hat Informationssicherheit das Ziel, Informationen jeglicher Art und Herkunft zu schützen. Dabei können Informationen auf Papier, in IT-Systemen oder auch in den Köpfen der Benutzer gespeichert sein. IT-Sicherheit als Teilmenge der Informationssicherheit konzentriert sich auf den Schutz elektronisch gespeicherter Informationen und deren Verarbeitung.

Anhang
12.1 Erläuterungen zu den Schadensszenarien
Im Folgenden sind für die in Kapitel 8.2.1 definierten Schadensszenarien beispielhafte Fragestellun­
gen aufgeführt. Diese Fragen sollen als Hilfsmittel für die Schutzbedarfsfeststellung dienen, vor allem
im Bereich der Anwendungen. Anhand der individuellen Anforderungen sollten die Fragen angepasst
und ergänzt werden.
Schadensszenario „Verstoß gegen Gesetze/Vorschriften/Verträge“
Beispiele für relevante Gesetze sind (in Deutschland):
Grundgesetz, Bürgerliches Gesetzbuch, Strafgesetzbuch, Bundesdatenschutzgesetz und Daten­
schutzgesetze der Länder, EU-Datenschutz-Grundverordnung (DSGVO [DSGVO]), Sozialgesetzbuch,
Handelsgesetzbuch, Personalvertretungsgesetz, Betriebsverfassungsgesetz, Urheberrechtsgesetz,
Patentgesetz, Informations- und Kommunikationsdienstegesetz (IuKDG), Gesetz zur Kontrolle und
Transparenz im Unternehmen (KonTraG).
Beispiele für relevante Vorschriften sind:
Verwaltungsvorschriften, Verordnungen und Dienstvorschriften.
Beispiele für Verträge:
Dienstleistungsverträge im Bereich Datenverarbeitung, Verträge zur Wahrung von Betriebsgeheim­
nissen.
Fragen:
Verlust der Vertraulichkeit
• Erfordern gesetzliche Auflagen die Vertraulichkeit der Informationen?
• Ist im Falle einer Veröffentlichung von Informationen mit Strafverfolgung oder Regressforderungen
zu rechnen?
• Sind Verträge einzuhalten, die die Wahrung der Vertraulichkeit bestimmter Informationen beinhal­
ten?
Verlust der Integrität
• Erfordern gesetzliche Auflagen die Integrität der Informationen?
• In welchem Maße wird durch einen Verlust der Integrität gegen Gesetze bzw. Vorschriften versto­
ßen?
Verlust der Verffgbarkeit
• Sind bei Ausfall der Anwendung Verstöße gegen Vorschriften oder sogar Gesetze die Folge?
• Schreiben Gesetze die dauernde Verfügbarkeit bestimmter Informationen vor?
• Gibt es Termine, die bei Einsatz der Anwendung zwingend einzuhalten sind?
• Gibt es vertragliche Bindungen für bestimmte einzuhaltende Termine?
173
Sowohl aus dem Verlust der Vertraulichkeit als auch der Integrität und ebenso der Verfügbarkeit kön­
nen derlei Verstöße resultieren. Die Schwere des Schadens ist dabei oftmals abhängig davon, welche
rechtlichen Konsequenzen daraus für die Institution entstehen können.12.1 Erläuterungen zu den Schadensszenarien
Schadensszenario „Beeinträchtigung des informationellen Selbstbestimmungsrechts“
Bei der Implementation und dem Betrieb von IT-Systemen und Anwendungen besteht die Gefahr
einer Verletzung des informationellen Selbstbestimmungsrechts bis hin zu einem Missbrauch perso­
nenbezogener Daten.
Beispiele für die Beeinträchtigung des informationellen Selbstbestimmungsrechts sind:
• Unzulässige Erhebung personenbezogener Daten ohne Rechtsgrundlage oder Einwilligung,
• unbefugte Kenntnisnahme bei der Datenverarbeitung bzw. der Übermittlung von personenbezo­
genen Daten,
• unbefugte Weitergabe personenbezogener Daten,
• Nutzung von personenbezogenen Daten zu einem anderen als dem bei der Erhebung zulässigen
Zweck und
• Verfälschung von personenbezogenen Daten in IT-Systemen oder bei der Übertragung.
Die folgenden Fragen können zur Abschätzung möglicher Folgen und Schäden herangezogen wer­
den:
Fragen:
Verlust der Vertraulichkeit
• Welche Schäden können für den Betroffenen entstehen, wenn seine personenbezogenen Daten
nicht vertraulich behandelt werden?
• Werden personenbezogene Daten für unzulässige Zwecke verarbeitet?
• Ist es im Zuge einer zulässigen Verarbeitung personenbezogener Daten möglich, aus diesen Daten
z. B. auf den Gesundheitszustand oder die wirtschaftliche Situation einer Person zu schließen?
• Welche Schäden können durch den Missbrauch der gespeicherten personenbezogenen Daten
entstehen?
Verlust der Integrität
• Welche Schäden entstünden für den Betroffenen, wenn seine personenbezogenen Daten unab­
sichtlich verfälscht oder absichtlich manipuliert würden?
• Wann würde der Verlust der Integrität personenbezogener Daten frühestens auffallen?
Verlust der Verffgbarkeit
• Können bei einem Ausfall der Anwendung oder bei einer Störung der Datenübertragung perso­
nenbezogene Daten verloren gehen oder verfälscht werden, sodass der Betroffene in seiner gesell­
schaftlichen Stellung beeinträchtigt wird oder gar persönliche oder wirtschaftliche Nachteile zu
befürchten hat?
Schadensszenario „Beeinträchtigung der persönlichen Unversehrtheit“
Die Fehlfunktion von IT-Systemen oder Anwendungen kann unmittelbar die Verletzung, die Invalidität
oder den Tod von Personen nach sich ziehen. Die Höhe des Schadens ist am direkten persönlichen
Schaden zu messen.
Beispiele für solche Anwendungen und IT-Systeme sind:
• medizinische Überwachungsrechner,
17412 Anhang
• medizinische Diagnosesysteme,
• Flugkontrollrechner und
• Verkehrsleitsysteme.
Fragen:
Verlust der Vertraulichkeit
• Kann durch das Bekanntwerden von Informationen eine Person physisch oder psychisch geschä­
digt werden?
Verlust der Integrität
Verlust der Verffgbarkeit
• Bedroht der Ausfall der Anwendung oder des IT-Systems unmittelbar die persönliche Unversehrt­
heit von Personen?
Schadensszenario „Beeinträchtigung der Aufgabenerfüllung“
Gerade der Verlust der Verfügbarkeit einer Anwendung oder der Integrität von Informationen oder
Daten kann die Aufgabenerfüllung in einer Institution erheblich beeinträchtigen. Die Schwere des
Schadens richtet sich hierbei nach der zeitlichen Dauer der Beeinträchtigung und nach dem Umfang
der Einschränkungen der angebotenen Dienstleistungen.
Beispiele hierfür sind:
• Fristversäumnisse durch verzögerte Bearbeitung von Verwaltungsvorgängen,
• verspätete Lieferung aufgrund verzögerter Bearbeitung von Bestellungen,
• fehlerhafte Produktion aufgrund falscher Steuerungsdaten und
• unzureichende Qualitätssicherung durch Ausfall eines Testsystems.
Fragen:
Verlust der Vertraulichkeit
• Gibt es Informationen, deren Vertraulichkeit die Grundlage für die Aufgabenerfüllung ist (z. B.
Strafverfolgungsinformationen, Ermittlungsergebnisse)?
Verlust der Integrität
• Können Veränderungen an Informationen die Aufgabenerfüllung in der Art einschränken, dass die
Institution handlungsunfähig wird?
• Entstehen erhebliche Schäden, wenn die Aufgaben trotz verfälschter Informationen wahrgenom­
men werden? Wann werden unerlaubte Datenveränderungen frühestens erkannt?
• Können verfälschte Informationen in der betrachteten Anwendung zu Fehlern in anderen Anwen­
dungen führen?
• Welche Folgen entstehen, wenn Daten fälschlicherweise einer Person zugeordnet werden, die
diese Daten in Wirklichkeit gar nicht erzeugt hat?
175
• Können Menschen durch manipulierte Programmabläufe oder Daten gesundheitlich gefährdet
werden?12.1 Erläuterungen zu den Schadensszenarien
Verlust der Verffgbarkeit
• Gibt es Informationen, bei denen eine Einschränkung der Verfügbarkeit schwerwiegende Auswir­
kungen auf die Institution oder deren Geschäftsprozesse hätte?
• Kann durch den Ausfall von Anwendungen die Aufgabenerfüllung der Institution so stark beein­
trächtigt werden, dass die Wartezeiten für die Betroffenen nicht mehr tolerabel sind?
• Sind von dem Ausfall dieser Anwendung andere Anwendungen betroffen?
• Ist es für die Institution bedeutsam, dass der Zugriff auf Anwendungen nebst Programmen und
Daten ständig gewährleistet ist?
Schadensszenario „Negative Innen- oder Außenwirkung“
Durch den Verlust einer der Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit in einer Anwen­
dung können verschiedenartige negative Innen- oder Außenwirkungen entstehen, zum Beispiel:
• Ansehensverlust einer Institution,
• Vertrauensverlust gegenüber einer Institution,
• Demoralisierung der Mitarbeiter,
• Beeinträchtigung der wirtschaftlichen Beziehungen zusammenarbeitender Institutionen,
• verlorenes Vertrauen in die Arbeitsqualität einer Institution und
• Einbüßen der Konkurrenzfähigkeit.
Die Höhe des Schadens orientiert sich an der Schwere des Vertrauensverlustes oder des Verbreitungs­
grades der Innen- oder Außenwirkung.
Die Ursachen für solche Schäden können vielfältiger Natur sein:
• Handlungsunfähigkeit einer Institution durch IT-Ausfall,
• fehlerhafte Veröffentlichungen durch manipulierte Daten,
• Fehlbestellungen durch mangelhafte Lagerhaltungsprogramme,
• Nichteinhaltung von Verschwiegenheitserklärungen,
• Schuldzuweisungen an die falschen Personen,
• Verhinderung der Aufgabenerfüllung einer Abteilung durch Fehler in anderen Bereichen,
• Weitergabe von Fahndungsdaten an interessierte Dritte und
• Zuspielen vertraulicher Informationen an die Presse.
Fragen:
Verlust der Vertraulichkeit
• Welche Konsequenzen ergeben sich für die Institution durch die unerlaubte Veröffentlichung von
schutzbedürftigen Informationen?
• Kann der Vertraulichkeitsverlust von Informationen zu einer Schwächung der Wettbewerbspositi­
on führen?
• Entstehen bei der Veröffentlichung von vertraulichen Informationen Zweifel an der Vertrauenswür­
digkeit der Institution?
17612 Anhang
• Können Veröffentlichungen von Informationen zur politischen oder gesellschaftlichen Verunsiche­
rung führen?
• Können Mitarbeiter durch die unzulässige Veröffentlichung von Informationen das Vertrauen in
ihre Institution verlieren?
Verlust der Integrität
• Welche Schäden können sich durch die Verarbeitung, Verbreitung oder Übermittlung falscher oder
unvollständiger Informationen ergeben?
• Wird die Verfälschung von Informationen öffentlich bekannt?
• Entstehen bei einer Veröffentlichung von verfälschten Informationen Ansehensverluste?
• Können verfälschte Informationen zu einer verminderten Produktqualität und damit zu einem An­
sehensverlust führen?
Verlust der Verffgbarkeit
• Schränkt der Ausfall von Anwendungen die Informationsdienstleistungen für Externe ein?
• Verhindert die Nichtverfügbarkeit von Informationen oder der Ausfall von Geschäftsprozessen die
Erreichung von Geschäftszielen?
• Ab wann wird die Nichtverfügbarkeit von Informationen oder der Ausfall von Anwendungen oder
Geschäftsprozessen extern bemerkt?
Schadensszenario „Finanzielle Auswirkungen“
Unmittelbare oder mittelbare finanzielle Schäden können durch den Verlust der Vertraulichkeit
schutzbedürftiger Informationen, die Veränderung von Informationen oder den Ausfall von Anwen­
dungen entstehen. Beispiele dafür sind:
• unerlaubte Weitergabe von Forschungs- und Entwicklungsergebnissen,
• Manipulation von finanzwirksamen Daten in einem Abrechnungssystem,
• Ausfall eines IT-gesteuerten Produktionssystems und dadurch bedingte Umsatzverluste,
• unerlaubte Einsichtnahme in Marketingstrategiepapiere oder Umsatzzahlen,
• Ausfall eines Buchungssystems einer Reisegesellschaft,
• Ausfall eines E-Commerce-Servers,
• Zusammenbruch des Zahlungsverkehrs einer Bank,
• Diebstahl oder Zerstörung von Hardware.
Die Höhe des Gesamtschadens setzt sich zusammen aus den direkt und indirekt entstehenden Kosten,
etwa durch Sachschäden, Schadenersatzleistungen und Kosten für zusätzlichen Aufwand (z. B. Wie­
derherstellung).
Fragen:
Verlust der Vertraulichkeit
• Kann die Veröffentlichung vertraulicher Informationen Regressforderungen nach sich ziehen?
177
• Können Veröffentlichungen von verfälschten Informationen zur politischen oder gesellschaftlichen
Verunsicherung führen?12.2 Literaturverzeichnis
• Gibt es innerhalb von Geschäftsprozessen oder Anwendungen Informationen, aus deren Kenntnis
ein Dritter (z. B. Konkurrenzunternehmen) finanzielle Vorteile ziehen kann?
• Werden mit Anwendungen Forschungsdaten gespeichert, die einen erheblichen Wert darstellen?
Was passiert, wenn sie unerlaubt kopiert und weitergegeben werden?
• Können durch vorzeitige Veröffentlichung von schutzbedürftigen Informationen finanzielle Schä­
den entstehen?
Verlust der Integrität
• Können durch Datenmanipulationen finanzwirksame Daten so verändert werden, dass finanzielle
Schäden entstehen?
• Kann die Veröffentlichung falscher Informationen Regressforderungen nach sich ziehen?
• Können durch verfälschte Bestelldaten finanzielle Schäden entstehen (z. B. bei Just-in-Time-Pro­
duktion)?
• Können verfälschte Informationen zu falschen Geschäftsentscheidungen führen?
Verlust der Verffgbarkeit
• Wird durch den Ausfall von Anwendungen oder Geschäftsprozessen die Produktion, die Lagerhal­
tung oder der Vertrieb beeinträchtigt?
• Ergeben sich durch den Ausfall von Anwendungen oder Geschäftsprozessen finanzielle Verluste
aufgrund von verzögerten Zahlungen bzw. Zinsverlusten?
• Wie hoch sind die Reparatur- oder Wiederherstellungskosten bei Ausfall, Defekt, Zerstörung oder
Diebstahl von IT-Systemen?
• Kann es durch den Ausfall von Anwendungen oder Geschäftsprozessen zu mangelnder Zahlungs­
fähigkeit oder zu Konventionalstrafen kommen?
• Wie viele wichtige Kunden wären von einem Ausfall der Anwendungen oder der Geschäftsprozes­
se betroffen?
12.2 Literaturverzeichnis
[27000] ISO/IEC 27000:2016, International Organization for Standardization (Hrsg.), Information
technology – Security techniques – Information Security management systems – Overview
and vocabulary, ISO/IEC JTC 1/SC 27, 2016
[27001] ISO/IEC 27001:2013, International Organization for Standardization (Hrsg.), Information
technology – Security techniques – Information security management systems – Require­
ments, ISO/IEC JTC 1/SC 27, 2013
[27002] ISO/IEC 27002:2013, International Organization for Standardization (Hrsg.), Information
technology – Security techniques – Code of practice for information security controls,
ISO/IEC JTC 1/SC 27, 2013
[27004] ISO/IEC 27004:2016, International Organization for Standardization (Hrsg.), Information
technology – Security techniques – Information security management – Monitoring, me­
asurement, analysis and evaluation, ISO/IEC JTC 1/SC 27, 2016
[27005] ISO/IEC 27005:2011, International Organization for Standardization (Hrsg.), Information
technology – Security techniques – Information security risk management, ISO/IEC JTC
1/SC 27, 2011
17812 Anhang
[820-2] DIN 820-2:2012, Anhang H, Gestaltung von Dokumenten – Verbformen zur Formulie­
rung von Festlegungen, NA 173-00-02 AA, 2012
[BSI1] Managementsysteme für Informationssicherheit (ISMS), BSI-Standard 200-1, Version 1.0,
Oktober 2017, https://www.bsi.bund.de/grundschutz
[BSI3] Risikoanalyse auf der Basis von IT-Grundschutz, BSI-Standard 200-3, Version 1.0, Oktober
2017, https://www.bsi.bund.de/grundschutz
[BSIR] Informationssicherheitsrevision – Ein Leitfaden für die IS-Revision auf Basis von IT-Grund­
schutz, BSI, Version 2.0, März 2010, https://www.bsi.bund.de/is-revision
[CSC] Leitfaden Cyber-Sicherheits-Check,
anz-fuer-cybersicherheit.de
[DSGVO] Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung perso­
nenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie
95/46/EG (Datenschutz-Grundverordnung), Europäisches Parlament und der Rat der Eu­
ropäischen Union, 27. April 2016
[GSK] IT-Grundschutz-Kompendium, BSI, jährlich neu,
https://www.bsi.bund.de/grundschutz
[ISF] The Standard of Good Practice 2016, ISF – Information Security Forum, 2016,
https://www.securityforum.org/tool/the-isf-standardrmation-security
[NIST53] NIST Special Publication 800-53 Revision 4, Security and Privacy Controls for Federal In­
formation Systems and Organizations, NIST, 2015, http://csrc.nist.gov/publications/Pub­
sSPs.html
ISACA,
07. 03. 2014,
https://www.alli­
[RFC2119] RFC 2119 (Key words for use in RFCs to Indicate Requirement Levels), Network Working
Group, Stand 1997, https://www.ietf.org/rfc/rfc2119.txt
[SDM] Standard-Datenschutzmodell (SDM), SDM-Methodik-Handbuch, Konferenz der Daten­
schutzbeauftragten des Bundes und der Länder, V1.0, kann von allen Webservern der
deutschen
Datenschutz-Aufsichtsbehörden
heruntergeladen
werden,
z. B.
https://www.datenschutz-mv.de/datenschutz/sdm/sdm.html
[ZERT] Informationen zur Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz, BSI,
https://www.bsi.bund.de/iso27001-zertifikate