Datensicherheit
Aus FI-Wiki
Datensicherheit
Datensicherheit umfasst alle Maßnahmen zum Schutz von Daten vor Verlust, Manipulation und unbefugtem Zugriff.
Schutzziele der Datensicherheit
Die Datensicherheit basiert auf drei zentralen Schutzzielen:
| Schutzziel | Beschreibung |
|---|---|
| Vertraulichkeit | Schutz der Daten vor unbefugtem Zugriff, sodass nur autorisierte Personen Zugang haben |
| Integrität | Sicherstellung, dass Daten vollständig und unverändert bleiben und nicht unberechtigt manipuliert werden |
| Verfügbarkeit | Systeme und Daten müssen bei Bedarf jederzeit verfügbar sein, um Ausfallzeiten zu minimieren |
Technische und organisatorische Maßnahmen (TOMs)
Technische und organisatorische Maßnahmen dienen der praktischen Umsetzung der Schutzziele.
| Maßnahme | Beschreibung |
|---|---|
| Zutrittskontrolle | Schutz von Gebäuden und Räumen (z. B. Schlüsselkarten, Wachpersonal) |
| Zugangskontrolle | Schutz vor unbefugtem Systemzugang (Passwörter, Biometrie, 2FA) |
| Zugriffskontrolle | Regelung, welche Benutzer auf welche Daten zugreifen dürfen |
| Weitergabekontrolle | Schutz bei der Datenübertragung (z. B. Verschlüsselung) |
| Eingabekontrolle | Nachvollziehbarkeit von Änderungen durch Protokollierung |
| Auftragskontrolle | Verarbeitung von Daten nur im Rahmen definierter Aufgaben |
| Verfügbarkeitskontrolle | Sicherstellung der Systemverfügbarkeit (Backups, Redundanz) |
| Trennung von Daten | Logische oder physische Trennung von Daten unterschiedlicher Zwecke |
Bedrohungsszenarien und Gegenmaßnahmen
| Bedrohung | Beschreibung | Gegenmaßnahme |
|---|---|---|
| SQL-Injection | Einschleusen von SQL-Code über Eingabefelder | Prepared Statements, Eingabevalidierung |
| Cross-Site Scripting (XSS) | Einschleusen von Schadcode in Webseiten | Output-Encoding, Filterung |
| Phishing | Täuschung zum Diebstahl von Zugangsdaten | Schulungen, 2FA, Spamfilter |
| Malware | Viren, Trojaner, Ransomware kompromittieren Systeme | Antivirensoftware, Updates |
| Brute-Force | Automatisiertes Erraten von Passwörtern | Starke Passwörter, Rate-Limiting |
| Man-in-the-Middle | Abfangen von Datenübertragungen | HTTPS/TLS-Verschlüsselung |
| Social Engineering | Manipulation von Menschen | Awareness-Training, klare Prozesse |
| Datenverlust | Verlust durch Defekte oder Angriffe | Backups, RAID, Cloud-Sicherungen |
| DDoS | Überlastung durch Massenanfragen | Load-Balancing, DDoS-Schutzdienste |
Authentifizierung und Autorisierung
- Authentifizierung überprüft die Identität eines Benutzers (z. B. Benutzername und Passwort).
- Autorisierung legt fest, welche Rechte ein authentifizierter Benutzer besitzt.
IT-Grundschutz des BSI
Der IT-Grundschutz des BSI bietet eine systematische Methodik zur Informationssicherheit:
- Identifikation und Bewertung von Sicherheitsrisiken
- Umsetzung geeigneter Sicherheitsmaßnahmen
- Regelmäßige Überprüfung und Verbesserung der Sicherheitslage
Zertifizierungen und ISMS
- ISO 27001 – internationaler Standard für Informationssicherheitsmanagementsysteme
- ISMS – systematischer Ansatz zur Planung, Umsetzung und Kontrolle der Informationssicherheit
Härtung eines Betriebssystems
Die Härtung eines Betriebssystems reduziert gezielt die Angriffsfläche eines Systems.
Wichtige Maßnahmen
- Deaktivierung nicht benötigter Dienste
- Regelmäßige Updates und Patch-Management
- Einschränkung von Benutzerrechten (Prinzip der minimalen Rechte)
- Starke Authentifizierung (MFA)
- Firewall-Konfiguration
- Verschlüsselung von Daten
- Deaktivierung unnötiger Schnittstellen
- Protokollierung und Monitoring
- Sicherheitsrichtlinien durchsetzen
Die Härtung ist ein kontinuierlicher Prozess und muss regelmäßig angepasst werden.
Datensicherung
Datensicherung ist das deutsche Wort für Backup und dient dem Schutz vor Datenverlust.
Ziele der Datensicherung
- Schutz der Daten
- Sicherstellung der Verfügbarkeit
Ursachen für Datenverlust
- Technische Defekte (Stromausfall, Hardwarefehler)
- Menschliches Versagen
- Böswillige Angriffe
Anforderungen an Datensicherung
- Geeignete Sicherungsmedien wählen
- Wiederherstellungsszenarien planen
- Sicherungsdauer, Kosten und Datenmenge berücksichtigen
Backup-Medien
Backup-Arten
- Vollsicherung – alle Daten
- Inkrementell – Änderungen seit letztem Backup
- Differentiell – Änderungen seit letztem Vollbackup
Backup-Prinzipien
- Großvater-Vater-Sohn-Prinzip
- 3-2-1-Regel
- Hot Backup / Cold Backup
Identifikation schützenswerter Daten
- Maschinell wiederherstellbar
- Unersetzliche Daten
Gegenmaßnahmen
Kurzmerksatz
Datensicherheit schützt Daten durch technische, organisatorische und personelle Maßnahmen vor Verlust, Manipulation und unbefugtem Zugriff.
