IT-Sicherheit

• Einleitung
• Grundlagen der Informationssicherheit
  • Sachziele
  • Schwachstellen, Bedrohungen, Gegenmaßnahmen
• Tipps zum sicheren Arbeiten
  • Sicherer Umgang mit Passwörtern

Sachziele der Informationssicherheit

Die Informationssicherheit basiert auf den folgenden drei international anerkannten Sachzielen:

• Vertraulichkeit (Confidentiality):
  Der Schutz gegen die unberechtigte Kenntnisnahme von Informationen.
  Dies schließt auch den Schutz von Informationen ein, die für sich "harmlos" erscheinen, aber dazu benutzt werden können, um Zugriff auf vertrauliche Informationen zu erhalten (z. B. Systemkonfigurationsdateien).
• Integrität (Integrity):
  Die Sicherstellung der Korrektheit (Unversehrtheit) von Daten (Datenintegrität) bzw. der korrekten Funktionsweise von Systemen (Systemintegrität).
  Daten dürfen ohne Berechtigung weder modifiziert noch gelöscht werden können. Dies schließt unter anderem auch beispielsweise Dateiattribute, Sicherungskopien (Backups) und Dokumentationen ein. Ein System muss sich zu jedem Zeitpunkt logisch korrekt verhalten. Dies schließt v. a. auch die logische Vollständigkeit jeglicher Teile der Hardware und Software ein, die Sicherheitsfunktionen implementieren.
• Verfügbarkeit (Availability):
  Alle verarbeiteten Daten sowie die zur Verarbeitung notwendigen Systeme und Betriebsmittel müssen jederzeit verfügbar und funktionsbereit sein, wenn ein autorisierter Benutzer darauf zugreifen will. Dies schließt beispielsweise jegliche Hardware, Programme, Funktionen und für Daten auch Archive und Sicherungskopien (Backups) ein.

Weitere (zum Beispiel im Umfeld des elektronischen Geschäftsverkehrs wichtige) Sachziele:

• Authentizität (Authenticity):
  Die Sicherstellung der Echtheit von Informationen bzw. der Identität.
  Es muss sichergestellt sein, dass Informationen tatsächlich aus der angegebenen Quelle stammen bzw. die vorgegebene Identität (z. B. eines Benutzers oder eines an der Kommunikation beteiligten Systems) korrekt ist.
• Nachweisbarkeit (Nichtabstreitbarkeit, Non-Repudiation):
  In der Kommunikationssicherheit ein Sicherheitskonzept, welches einen Beweis für das Versenden und den Empfang von Informationen (Nachrichten) leistet. Es stellt sicher, dass die Teilnahme von Kommunikationspartnern an einem bestimmten Kommunikationsvorgang jederzeit nachweisbar ist und die Kommunikationspartner ihre Rolle in dem Austausch der Informationen nicht abstreiten können:
  • Die Nachweisbarkeit der Identität des Absenders schützt den Empfänger davor, dass der Absender den Versand der Nachricht abstreiten kann.
  • Die Nachweisbarkeit des Versendens schützt den Absender davor, dass der Versand der Nachricht bestritten werden kann.
  • Die Nachweisbarkeit der Zustellung schützt den Absender (oder auch einen an der Kommunikation beteiligten Dienstleister) davor, dass die Zustellung der Nachricht an den korrekten Empfänger bestritten werden kann.
  • Die Nachweisbarkeit des Empfangs schützt den Absender davor, dass der Empfang der Nachricht vom Empfänger bestritten werden kann.
• Verbindlichkeit (Liability):
  Die Authentizität in Verbindung mit der Nachweisbarkeit liefert eine Verbindlichkeit von Informationen. Dies ist beispielsweise bei elektronischen Vertragsabschlüssen wichtig.

Andere ebenfalls häufig genannte Sachziele:

• Verlässlichkeit (Reliability):
  Der Schutz vor beabsichtigten oder unbeabsichtigten Störungen, beispielsweise durch Angriffe oder auch durch höhere Gewalt.
• Nicht-Vermehrbarkeit (Non-Propagation):
  Informationen dürfen von Unberechtigten nicht kopiert werden können.
• Anonymität (Anonymity):
  Der Schutz gegen Identifizierung.
• Pseudonymität (Pseudonymity):
  Der Schutz gegen namentliche Identifizierung.
• Unbeobachtbarkeit (Non-Observability)