Florian WildeandClaude Opus 5.5
7d171f149d
Vier neue Wochen nach Rahmenplan, im bestehenden Format: - Woche 5 Ausbildung, Betrieb und Zusammenarbeit (C1, C2, C5) - Woche 6 IT-Sicherheit und Datenschutz (A6, LF4) - Woche 7 Skripting mit PowerShell (A10, A4) - Woche 8 Datensicherung und Speicher (A9) 12 Handouts, 38 Merkkarten, 4 Praxisaufgaben, 2 Checklisten, 2 Lernzielkontrollen, 22 Glossareintraege, zwei neue Themenbloecke. Jede Berufsbildposition ist jetzt von mindestens einem Inhalt beruehrt. Die Praxisaufgaben bauen aufeinander auf: Die Abteilungsuebersicht aus 5.1 ist Grundlage der Schutzbedarfsfeststellung in 6.1, und deren Ergebnis ist Massstab fuer die Sicherungspruefung in 8.1. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
61 lines
3.9 KiB
Markdown
61 lines
3.9 KiB
Markdown
---
|
||
id: I1
|
||
titel: Schutzziele und Schutzbedarf – was ist wie viel wert?
|
||
block: sicherheit
|
||
woche: 6
|
||
worum: Nicht alles muss gleich gut geschützt werden. Die Schutzbedarfsfeststellung sagt, wo sich Aufwand lohnt – und begründet ihn.
|
||
rahmenplan: [A6]
|
||
lernfeld: LF4
|
||
merksatz: Erst fragen, was passiert, wenn es schiefgeht. Dann entscheiden, wie viel Schutz es braucht.
|
||
karten:
|
||
- frage: Welche drei Schutzziele kennt die Informationssicherheit, und was bedeuten sie?
|
||
antwort: Vertraulichkeit – nur Befugte sehen die Daten. Integrität – die Daten sind vollständig und unverfälscht. Verfügbarkeit – Daten und Systeme stehen bereit, wenn sie gebraucht werden.
|
||
- frage: Welche drei Schutzbedarfskategorien unterscheidet der IT-Grundschutz des BSI?
|
||
antwort: Normal – die Schadensauswirkungen sind begrenzt und überschaubar. Hoch – sie können beträchtlich sein. Sehr hoch – sie können existenzbedrohend oder katastrophal sein.
|
||
- frage: Was besagt das Maximumprinzip bei der Schutzbedarfsfeststellung?
|
||
antwort: Ein IT-System erbt den höchsten Schutzbedarf aller Anwendungen, die darauf laufen. Läuft eine Anwendung mit hohem Bedarf auf einem Server, hat der Server mindestens hohen Bedarf.
|
||
---
|
||
|
||
## Das Wesentliche
|
||
|
||
- **Drei Schutzziele:** Vertraulichkeit, Integrität, Verfügbarkeit. Jede Sicherheitsmaßnahme
|
||
dient mindestens einem davon. Oft kommt Authentizität hinzu: Man weiß sicher, von wem
|
||
etwas stammt.
|
||
- **Schutzbedarf ergibt sich aus dem möglichen Schaden**, nicht aus der Technik. Die Frage
|
||
lautet: Was passiert, wenn diese Information bekannt wird, verfälscht wird oder ausfällt?
|
||
- **Drei Kategorien:** normal, hoch, sehr hoch. Bewertet wird **je Schutzziel** – die
|
||
Lohnabrechnung hat einen sehr hohen Bedarf an Vertraulichkeit, aber nicht zwingend an
|
||
Verfügbarkeit in der Stunde.
|
||
- **Sechs Schadensszenarien** helfen beim Einordnen: Verstoß gegen Gesetze oder Verträge,
|
||
Verletzung von Persönlichkeitsrechten, Gefahr für Leib und Leben, Beeinträchtigung der
|
||
Aufgabenerfüllung, Ansehensverlust, finanzielle Folgen.
|
||
- **Von oben nach unten:** Erst die Geschäftsprozesse und Informationen bewerten, dann die
|
||
Anwendungen, dann die IT-Systeme, Räume und Verbindungen, auf denen sie liegen.
|
||
- **Vererbung:** Ein System übernimmt den höchsten Bedarf seiner Anwendungen
|
||
(Maximumprinzip). Viele kleine Schäden auf einem System können zusammen einen höheren
|
||
Bedarf ergeben (Kumulationseffekt). Ist eine Anwendung auf mehrere Systeme verteilt,
|
||
kann der Bedarf des einzelnen Systems niedriger liegen (Verteilungseffekt).
|
||
- **Jede Einstufung braucht eine Begründung.** „Hoch, weil wichtig" ist keine.
|
||
|
||
## Übersicht
|
||
|
||
| Kategorie | Bedeutung | Beispiel Verfügbarkeit |
|
||
|---|---|---|
|
||
| normal | begrenzte, überschaubare Auswirkungen | Ausfall des Intranets für einen Tag ist lästig, aber verkraftbar |
|
||
| hoch | beträchtliche Auswirkungen | Ausfall der Warenwirtschaft für einen Tag stoppt Versand und Rechnungen |
|
||
| sehr hoch | existenzbedrohende oder katastrophale Auswirkungen | Ausfall der Produktionssteuerung über Tage mit Vertragsstrafen |
|
||
|
||
## Prüfungsfrage
|
||
|
||
**Frage:** Auf einem Server laufen der Dateidienst der Verwaltung (Schutzbedarf
|
||
Vertraulichkeit: normal) und die Personaldatenbank (Vertraulichkeit: sehr hoch). Welchen
|
||
Schutzbedarf hat der Server hinsichtlich der Vertraulichkeit? Begründen Sie und nennen Sie
|
||
eine Alternative.
|
||
|
||
**Antwort:** Nach dem Maximumprinzip übernimmt der Server den höchsten Schutzbedarf der
|
||
darauf betriebenen Anwendungen, hier also „sehr hoch" für die Vertraulichkeit. Damit
|
||
müssen auch für den Dateidienst die strengeren Maßnahmen gelten – etwa beim Zugriff von
|
||
Administratoren und bei der Sicherung. Alternativ lässt sich die Personaldatenbank auf ein
|
||
eigenes System auslagern; dann kann der Dateiserver mit normalem Schutzbedarf betrieben
|
||
werden, und der hohe Aufwand beschränkt sich auf das System, das ihn wirklich braucht.
|