Kitabı oxu: «IT- und Datenschutz-Compliance für Unternehmen»
IT- und Datenschutz-Compliance für Unternehmen
Leitlinien und Anwendungsfälle
Cloud, Social Media, Scrum, IoT, KI, Mobilitätsdaten
Herausgeber
Dr. Thomas A. Degen und Prof. Dr. Jochen Deister
Bearbeiter
Dr. Thomas A. Degen
Prof. Dr. Jochen Deister
Ulrich Emmert
Mathias Lang, LL.M.
Dr. Thomas Lapp
mit einem Geleitwort von Arne Schönbohm, Präsident des Bundesamtes für Sicherheit in der Informationstechnik, Bonn
und einem Grußwort von Harald Klingelhöller, Vorstandsvorsitzender des Verbandes für Organisations- und Informationssysteme, Bonn
2. Auflage, 2022
Unter www.boorberg-plus.de/alias/IT-undDatenschutz-Compliance wird das vorliegende Handbuch aktuell gehalten. Hier finden sich insbesondere alle einschlägigen europäischen und deutschen Rechtsvorschriften.
Bibliografische Information der Deutschen Nationalbibliothek | Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über www.dnb.de abrufbar.
2. Auflage, 2022
Print-ISBN 978-3-415-05184-3
E-ISBN 978-3-415-07122-3
© 2009 Richard Boorberg Verlag
E-Book-Umsetzung: abavo GmbH, Buchloe
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die nicht ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlages. Dies gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Titelfoto: © ryhzi – stock.adobe.com
Richard Boorberg Verlag GmbH & Co KG | Scharrstraße 2 | 70563 Stuttgart
Stuttgart | München | Hannover | Berlin | Weimar | Dresden
www.boorberg.de
Inhalt
1 Cover
2 Titel
3 Impressum
4 Inhaltsverzeichnis
5 Vorwort der Herausgeber
6 Vorwort zur 1. Auflage
7 Geleitwort
8 Grußwort
9 Autorenverzeichnis
10 Abkürzungsverzeichnis
11 Literaturverzeichnis
12 1. Einführung in den gesamtgesellschaftlichen und regulatorischen Rahmen mit IT-Sicherheits- und Datenschutz-Management-Glossar 1.1 Ausgangs-/Praxisfall 1.2 Risikomatrix 1.3 Cyberkriminalität und Verhaltensbotschaften für die Praxis 1.4 Informatik-/IT-Security-Fachbegriffe und Marketing-Buzzwords 1.5 Kurzübersicht der Rechtsquellen und der regulatorischen Anforderungen 1.5.1 Datenschutzregulierung 1.5.2 Beweisrecht und elektronische Signaturen 1.5.3 Zahlungsverkehr 1.5.4 Digitalisierung, Aufbewahrung und Beweisrecht 1.6 Verantwortung der Geschäftsleitung 1.7 Verantwortung der IT-Leitung und IT-Sicherheitsabteilung 1.8 Verantwortung des Datenschutzbeauftragten 1.9 Verantwortung der Personalabteilungsleitung 1.10 Verantwortung der Finanz-/Buchhaltungsabteilungsleitung 1.11 Verantwortung der Revisionsabteilungsleitung 1.12 Verantwortung der Vertriebsabteilungsleitung 1.13 Verantwortung der Marketingabteilungsleitung 1.14 Verantwortung des Betriebsrats 1.15 IT-Sicherheits- und Datenschutz-Management-Glossar 1.16 Zum Ausgangs-/Praxisfall
13 2. IT-Sicherheit und Datenschutz 2.1 Ausgangs-/Praxisfall 2.2 Rechtsrahmen und Zuständigkeiten 2.2.1 Begriff der IT-Sicherheit 2.2.2 IT-Sicherheitsgesetz(e) und Gesetz zur Umsetzung der NIS-Richtlinie (EU) 2016/1148 2.2.3 DSGVO 2.2.4 Stand der Technik 2.2.5 Haftung und Sanktionen 2.2.6 Verantwortung 2.3 Praxishinweise 2.3.1 IT-Sicherheitsbeauftragter 2.3.2 Website – Sicherheitsüberprüfung 2.3.3 Datenverschlüsselung, Anonymisierung und Pseudonymisierung 2.3.4 Data protection by design und Data protection by default 2.3.5 DSFA 2.4 Gestalterische Empfehlungen und Compliance 2.4.1 Umsetzung – Stand der Technik 2.4.2 Zertifizierung? 2.4.3 Überwachung, Fehlerbeseitigung und Verbesserung 2.5 Zum Ausgangs-/Praxisfall
14 3. Cross-border Datentransfer 3.1 Ausgangs-/Praxisfall 3.2 Rechtsrahmen und Zuständigkeiten 3.3 Zulässigkeit der Verarbeitung im Ausland 3.4 Verarbeitung von Beschäftigtendaten in der DSGVO 3.5 Das Bundesdatenschutzgesetz 3.5.1 Weite Definition der Beschäftigten 3.5.2 Rechtfertigung der Verarbeitung 3.5.3 Anstellungsvertrag und Kollektivvereinbarung 3.5.4 Einwilligung 3.5.5 Besondere Kategorien von Daten 3.6 Weitere Regelungen 3.7 Zusammenfassung 3.8 Angemessenes Schutzniveau 3.8.1 Angemessenheitsbeschluss 3.8.2 Sicheres Drittland 3.8.3 Privacy Shield (bis 2020) 3.8.4 Datenübermittlung vorbehaltlich geeigneter Garantien 3.8.5 Verbindliche interne Datenschutzvorschriften 3.8.6 Standardvertrags- bzw. Datenschutzklauseln 3.8.7 Verantwortlicher an Verantwortlichen (C2C) 3.8.8 EUMC C2C 2001 3.8.9 EUMC C2C 2004 3.8.10 Verantwortlicher an Verarbeiter (C2P) 3.8.11 Verarbeiter an Verarbeiter (P2P) 3.8.12 Änderungen durch die DSGVO 3.8.13 Standarddatenschutzklauseln 3.8.14 (Neue) Anwendungsfälle 3.8.15 Aufbau / Modularität 3.8.16 Inhaltliche Änderungen 3.8.17 Umsetzungszeitraum 3.9 Sonderfall Brexit 3.10 Zusammenfassung 3.11 Änderung nach Redaktionsschluss
15 4. Digitalisierungsprojekte: Digitale Umstrukturierung im Unternehmen 4.1 Ausgangs-/Praxisfall 4.2 Rechtsrahmen und Zuständigkeiten 4.2.1 Einführung 4.2.2 Digitales Dokumenten-Management 4.2.3 Digitale Rechnungstellung und Buchhaltung 4.2.4 Outsourcing und Digitalisierung der Arbeitsplätze 4.2.5 Collaboration-Tools 4.2.6 Cloud Computing und Cloud-Server 4.2.7 Videokonferenzen 4.2.8. Zuständigkeiten 4.3 Praxishinweise 4.3.1 Richtlinien 4.3.2 BYOD oder firmeneigene Lösungen 4.3.3 Mobile Endgeräte 4.3.4 Collaboration-Tools 4.3.5 Videokonferenzen 4.3.6 Komplett-Lösungen 4.3.7 Datenschutz und Digitalisierung in der Pandemie 4.3.8 Lockerung von Rechtsvorschriften hinsichtlich der Pandemie 4.4. Gestalterische Empfehlungen und Compliance 4.4.1 Richtlinien zu Homeoffice 4.4.2 Betriebsvereinbarung 4.4.3 Arbeitsvertraglicher Zusatz Homeoffice 4.4.4 Kombilösung für Arbeitsvertrag und Betriebsvereinbarung 4.4.5 Richtlinie für Mobile Geräte 4.5 Zum Ausgangs-/Praxisfall
16 5. Digitalisierung, digitaler Vertrieb und E-Commerce-Projekte 5.1 Ausgangs-/Praxisfall 5.2 Rechtsrahmen und Zuständigkeiten 5.2.1 Formvorschriften/Schriftform 5.2.2 Sichere Kommunikation 5.2.3 Funktionen der Unterschrift 5.2.4 Gesetzliche Formvorschriften 5.2.5 Vertragliche Formvorschriften 5.2.6 Dokumentationspflichten 5.2.7 Hinderungsgründe gegen die Nutzung elektronischer Signaturen 5.3 Vertrauensdienste für elektronische Transaktion 5.3.1 Elektronische Signaturen 5.3.2 Fortgeschrittene elektronische Signaturen 5.3.3 Qualifizierte elektronische Signatur 5.3.4 Äquivalent zur eigenhändigen Unterschrift 5.3.5 Beweiswert qualifizierter elektronische Signaturen 5.3.6 Rechtswirkung und Beweiswert anderer elektronischer Signaturen 5.3.7 Fernsignaturen 5.3.8 Elektronisches Siegel 5.4 Praxishinweise 5.4.1 Digitalisierung bei formbedürftigen Rechtsgeschäften 5.4.2 Keine Weitergabe von PIN 5.4.3 Validierung 5.4.4 Archivierung 5.5 Gestalterische Empfehlungen und Compliance 5.5.1 Digitaler Workflow 5.5.2 Signatur ist keine Unterschrift 5.5.3 Akzeptanz
17 6. Web-Projekte: Website-Erstellung und Relaunch 6.1 Ausgangs-/Praxisfall 6.2 Rechtsrahmen und Zuständigkeiten 6.2.1 Einführung 6.2.2 Domainrecht 6.2.3 Designrecht 6.2.4 Impressumspflicht 6.2.5 Datenschutz 6.2.6 Urheberrecht (Texte, Bilder, Videos) 6.2.7 KUG-Recht am eigenen Bild, Verhältnis zum Datenschutz 6.2.8 E-Commerce 6.2.9 Wettbewerbsrecht 6.2.10 IT-SiG bzw. TTDSG 6.2.11 Verantwortlichkeit 6.3 Praxishinweise 6.3.1 Domainauswahl- und Registrierung 6.3.2 Designauswahl 6.3.3 Impressumsgestaltung 6.3.4 Datenschutzausgestaltung 6.3.5 Urheberrecht 6.3.6 Mitarbeiterbilder 6.3.7 E-Commerce 6.4 Gestalterische Empfehlungen und Compliance 6.4.1 Hinweispflichten zur Alternativen Streitbeilegung 6.4.2 Newsletter 6.4.3 Cookie-Banner oder Consent-Tool? 6.4.4 IT-SiG 6.4.5 Verantwortlichkeit 6.5 Zum Ausgangs-/Praxisfall
18 7. Social Media-Projekte: Arbeit und Social Media 7.1 Ausgangs-/Praxisfall 7.2 Rechtsrahmen und Zuständigkeiten 7.3 Praxishinweise 7.4 Gestalterische Empfehlungen und Compliance 7.4.1 Arbeitsvertrag (Zusatz) 7.4.2 Betriebsvereinbarung 7.4.3 Einwilligungserklärung 7.4.4 Social-Media-Manager Vertrag 7.4.5 Social-Media-Guidelines 7.5. Zum Ausgangs-/Praxisfall
19 8. Digitaler Vertrieb, Nachverfolgung, Services über IoT, Mobilität 8.1 Ausgangs-/Praxisfall 8.2 Rechtsrahmen und Zuständigkeiten 8.2.1 Einführung 8.2.2 Die Behandlung innovativer Technologien in der DSGVO 8.3 Praxishinweise 8.4 Gestalterische Empfehlungen und Compliance
20 9. Agile Projekte, Scrum, F&E & Datenschutz 9.1 Ausgangs-/Praxisfall 9.2 Rechtsrahmen und Zuständigkeiten 9.2.1 Grundsätzliche Hinweise zur Projektumsetzungen und Vertragsgestaltungen im IT-Business 9.2.2 Gestaltungsformen bei der Softwareüberlassung auf Dauer 9.2.3 Softwareüberlassung und Open Source-Produkte 9.2.4 Leistungsbeschreibung Teil 1 – „Was kann das Programm?“ 9.2.5 ASP und „Web Service“ 9.2.6 Vom Wasserfallmodell zu agilen Verfahrensmodellen wie KANBAN, Scrum, XP, Spiralmodell, MDA, RUP & Co. 9.2.7 Rechtsrahmen bei agiler Softwareentwicklung nach Scrum 9.2.8 Vertragsrechtliche Leistung (Teil 2) und Qualifizierung von agilen Projekten nach Scrum 9.3 IT- und Datenschutz-Compliance- und Gestaltungshinweise wegen erhöhter Projektrisiken bei agilen Methoden wie Scrum 9.4 Datenschutzrechtliche Besonderheiten bei Scrum 9.5 Zum Ausgangs-/Praxisfall 9.6 Annex: Agile Fehlervermeidung bei F&E- und Scrum-Projekten – Perspektivwechsel zu IT-Sachverständigen und Richtern
21 10. Cloud- und SaaS-Verträge 10.1 Ausgangs-/Praxisfall 10.2 Vorteile und Aufbau einer Cloud-Infrastruktur 10.3 Vertragliche Situation bei Cloudverträgen 10.3.1 Einflussmöglichkeiten der Vertragsgestaltung 10.3.2 Vertragstypen des Bürgerlichen Gesetzbuches 10.4 Gesetzliche Gewährleistung bei Cloud-Verträgen 10.5 Übersicht über die verschiedenen Gewährleistungsrechte 10.6 Vertragliche Regelungsbereiche 10.6.1 Wie viele Vertragsparteien gibt es und welche Leistungen übernehmen sie? 10.6.2 Welches nationale Recht gilt für welche Rechte und Pflichten? 10.6.3 Wer hat Zugriff auf welche Leistungen und welche Daten? 10.6.4 In welchem Land werden Leistungen erbracht und die Daten gespeichert? 10.6.5 Wie werden Änderungen im Bedarf umgesetzt und was geschieht bei Abweichungen in der Vertragserfüllung? 10.6.6 Wie wird die Vergütung für welche Leistungen berechnet? 10.6.7 Wie werden spezifische rechtliche Anforderungen und interne Vorgaben des Kunden umgesetzt? 10.6.8 Wie werden Störungen der Leistung rechtlich bewertet? 10.7 Regelungen in zugehörigen Service Level Agreements 10.7.1 Verfügbarkeit des Systems oder Dienstes in einem bestimmten Messzeitraum 10.7.2 Wartungszeiträume 10.7.3 Reaktionszeiten auf Mängelmitteilung 10.7.4 Umgehungs- oder Beseitigungszeiten bei Mängeln 10.7.5 Mindestleistungsdaten 10.7.6 Change Management und Bearbeitungszeiten 10.7.7 Datensicherheit 10.7.8 Migrationsleistungen bei Wechsel des Providers 10.7.9 Kündigungsfristen 10.7.10 Leistungen am Vertragsende 10.7.11 Konfliktregelungen 10.8 Internationaler Datenschutz bei Cloudsystemen 10.9 Empfehlungen zur Auswahl von Cloudsystemen Zum Ausgangs-/Praxisfall
22 11. Aspekte des Urheberrechts bei Medien-Projektumsetzungen mit fremden Texten, Bilder, Vorlagen, Kartenmaterial 11.1 Ausgangs-/Praxisfall 11.2 Hinweise zum Urheberrecht bei Nutzung von Vorlagen, Medien und Kartenmaterial 11.3 Nutzung und Verwertung fremder Vorlagen und Leistungen 11.4 Nutzung von Bildern 11.5 Kartenmaterial a. Openstreetmap b. Google Maps c. Geodatenviewer BW 11.6 Abbildungen von Personen 11.7 Nutzung von audiovisuellen Medien 11.8 Nutzung von Social Media 11.9 Verletzung fremder Markenrechte 11.10 Verletzung des Wettbewerbsrechts 11.11 Zum Ausgangs-/Praxisfall
23 12. IT-Beschaffung, Hardware- und Software-Einkauf 12.1 Ausgangs-/Praxisfall 12.2 Rechtsrahmen und Zuständigkeiten 12.3 Praxishinweise, technische, organisatorische Maßnahmen 12.4 Gestalterische Empfehlungen und Compliance 12.5 Lizenzrechtliche Besonderheiten bei der IT-Beschaffung 12.5.1 ERP-Software nebst Web- und Mobile App-Schnittstelle 12.5.2 Lizenzrecht in der Praxis: MS, SAP, Oracle 12.5.3 Indirekte Nutzung 12.5.4 Netweaver 12.5.5 Gestalterische Empfehlungen und Compliance 12.6 Besonderheiten im IT-Einkauf im Bauwesen mit Digitalisierung von Geschäftsprozessen und Dokumenten 12.6.1 Building Information Modeling 12.6.2 Rechtsrahmen und Zuständigkeiten 12.6.3 Archivierungspflichten und Praxishinweise, technische, organisatorische Maßnahmen
24 13 IT-Konfliktmanagement 13.1 Ausgangs-/Praxisfall 13.2 Rechtsrahmen und Zuständigkeiten 13.2.1 Rechtsrahmen: Kaufvertrag oder Werkvertrag 13.2.2 Change Request 13.2.3 Exit 13.2.4 Eskalation 13.3 Praxishinweise 13.3.1 Change Request (CR) 13.3.2 Exit 13.3.3 Eskalation 13.4 Gestalterische Empfehlungen und Compliance 13.4.1 Change Request 13.4.2 Exit 13.4.3 Eskalationsklauseln 13.5 Zum Ausgangs-/Praxisfall
25 14 IT-Sicherheitsaspekte bei der elektronischen Kommunikation, Authentizität, Identität und Beweiswerterhaltung mit kryptographischen Verfahren 14.1 Ausgangs-/Praxisfall 14.2 Verschlüsselung und digitale Signaturen 14.3 Funktionsweise von 2-Schlüsselverfahren 14.4 Anwendung von Verschlüsselung im deutschen Rechtsverkehr 14.5 Beweiswerterhaltung mit Verkettung von Hashwerten und digitalen Signaturen 14.6 Beweiswerterhaltung bei ersetzendem Scannen 14.7 Zum Ausgangs-/Praxisfall
26 Abbildungsverzeichnis
27 Stichwortverzeichnis
Vorwort der Herausgeber
Seit Erscheinen der 1. Auflage im Jahr 2008 haben sich weitreichende Veränderungen in Wirtschaft und Gesellschaft ergeben. Von der weiter steigenden Weltbevölkerung von gegenwärtig 7,8 Milliarden Menschen ist deutlich über die Hälfte online; nach Schätzungen der World Wide Web Foundation sollen 2020 ca. 54 % der Weltbevölkerung Zugang zum Internet haben. Gegenüber der 2008 angenommenen Schätzung der European Information Technology Observatory von 1,23 Milliarden Internetnutzern zeigt dies, dass nicht nur in den Industrienationen immer mehr ältere Menschen über 70 einerseits und Jugendliche und Kinder andererseits auf das Internet zugreifen, und zusammenfassend, dass der Siegeszug des Internets weitergeht.
Wer es sich 2008 leisten konnte, im gewerblichen Bereich als Händler, Hersteller oder Dienstleister ohne Internet und ohne Computer auszukommen, war schon damals eine Ausnahmeerscheinung. Heute ist operativer Vertrieb ohne Onlinemedien kaum mehr vorstellbar. Der stationäre Handel ist mit klassischen Filialgeschäften, soweit diese nicht zumindest einen Website- und Webshop-Anker als veritables Sicherheitskonzept haben, „weggespült“ und fast gänzlich aus den Großstädten verschwunden. Megaumsätze werden nur noch mit durchdachten Online-Vertriebssystemen und Handelsplattformen wie Amazon oder Alibaba gemacht.
Wir sind überzeugt, dass der sinnvolle Einsatz digitaler Vertriebssysteme und die digitale Transformation in Produkt- und Dienstleistungsbereichen Unternehmen zukunftssicher machen, sofern der Fokus gleichzeitig auf die zukunftssicheren Absatzbringer gerichtet bleibt. Feststellbar erscheint auch, dass nicht nur das Informations- und Kaufverhalten von Kunden, sondern auch globale Umwelt-/Klima- sowie Gesundheitsschutzumbrüche (wie z. B. die Coronapandemie) Unternehmen ohne „digitale Agenda“ ins Hintertreffen geraten lassen.
Die gesellschaftlichen und weltwirtschaftlichen Veränderungen führen dazu, dass alle operativ tätigen Unternehmen bei der nachhaltigen Planung von Online-Strategien hinreichenden personellen, sachlichen und finanziellen Background sicherstellen sollten. Denn nicht nur die Anbindung von Warenwirtschaftssystemen und ERP-Schnittstellen und Webdesign-Innovationen kostet Aufwand, sondern auch die Prüfung, welches Rechteregime einschlägig ist und wie die zu dokumentierende Regeltreue im Unternehmen gewährleistet wird. So gut wie alle Unternehmen sind den Regelungen des Datenschutzes unterworfen, die dem Schutz der informationellen Selbstbestimmung der Kunden und potentiellen Geschäftspartner und Mitarbeiter zu dienen bestimmt sind und bei Rechtsverletzungen kartellartige Sanktionen nachsichziehen können von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Mio. EUR. Hinzu kommen Anforderungen aus der Informationstechnologie und IT-Security, d. h. spezifische Compliance-Herausforderungen, die vor die Klammer einer IT-Projektrealisierung zu ziehen sind. Informationssicherheitsmanagementsysteme, Datenschutzfolgeabschätzungen und Privacy by design und Privacy by default sollten insofern zum geschäftlichen Rüstzeug gehören.
Man muss sich immer wieder verdeutlichen, dass die zentralen Gegenstände, die mittels Internet weltüberspannend hin und her transferiert werden, Daten sind. Es handelt sich nicht nur um „durchlaufende Nullen und Einsen“ oder um bloße Sachdaten, sondern um personenbezogene Daten, weil diese überwiegend, Rückschlüsse auf eine identifizierbare Person erlauben. Deswegen sind Forderungen nach Online-Durchsuchungen, Vorratsdatenspeicherung, Geheimdienst-, Industriespionage- und Cybercrime-Aktivitäten ebenso „en vogue“ wie erklärlich und gefährlich. Die Forschungstrends mit KI, Robotern und Vernetzung von Mensch und Maschine stehen nicht mehr nur in den Sternen. Der Tech-Visionär Elon Musk entwickelt die Implementierung von Chips in das Gehirn für Menschen mit Rückenmarkverletzungen, damit diese wieder laufen können. Viele Projekte, die sich nach Captain Future-Szenarien anhören mögen und ggf. ethisch und rechtlich noch ungeklärt sind, stehen als Alphaversionen in den Startlöchern.
Bei jedem Technologieprojekt wird die Frage aufgeworfen, welche Schutzbereiche tangiert sind und wem die Daten gehören.
Europaweit ist meist der Anwendungsbereich – wegen des Marktortprinzips auch supranational – der Datenschutzgrundverordnung eröffnet. Im digitalen Koordinatensystem kommen weitere Gesetze und Compliance-Anforderungen hinzu.
Mit dem vorliegenden Handbuch zur IT- und Datenschutz-Compliance für Unternehmen wollen wir IT-Projekte und Leitlinien nach DSGVO an Hand von praxisrelevanten Use Cases vorstellen, wie etwa zu Digitalisierung, Cloud, Social Media, agiler Softwareentwicklung, Open Source, Mobilitätsdaten, KI.
Wir nehmen bewusst in Kauf, dass man von der 1. Auflage kaum noch etwas wiedererkennt. Es geht uns dabei nicht um das Überbordwerfen rechtsdogmatischer Erkenntnisse, sondern um die Anerkennung der immensen Dynamik und die Auseinandersetzung mit heute regelungsbedürftigen IT-Projektgegenständen wie Cloud, Srum, KI, IoT, neuronale Netze, Mobilitätsdaten u. v. m.
Unser Autorenteam setzt sich aus erfahrenen Praktikern aus der IT- und Datenschutzberatung zusammen.
Wir wenden uns an Entscheider in der Wirtschaft, vom Start-up und KMU bis zum Industrieunternehmen und Technologieführer. Wir plädieren für einen offenen und sachorientierten Umgang mit IT-Projekten, da diese wegen ihrer rechtstechnischen Komplexität stets in einer Risikomatrix zu sehen sein sollten. Dazu gehört ein vitaler Dialog des Managements mit den Fachabteilungen wie IT, IT-Security, Datenschutz, Produktion, F&E, HR, Finanzwesen, Revision, Vertrieb, Marketing, Mitarbeitervertretung/Betriebsrat und externen Beratern. Denn Dialogbereitschaft fördert Innovationskraft. Das ist bei dem branchentypischen PDCA-Zyklus im Datenschutzmanagement essentiell, aber in der Praxis alles andere als selbstverständlich.
Wie bei jedem Buch über komplexe Materien können auch hier nur exemplarische Teilbereiche angesprochen und abgebildet werden. Aufgrund der Schnittstellen zwischen Recht, Technologie und Management favorisieren wir in Abgrenzung zu traditionellen Rechtshandbüchern einen weniger juristischen Aufbau und Sprachstil als vielmehr die Perspektive der operativen Gestalter. Daher sind wir auch für jedwede Rückmeldung, Kritik und Anregung dankbar und bieten eine Dialogplattform an unter www.edv-navigator.de.
Unser Dank gilt insbesondere Rechtsanwältin Stefanie Assmann vom Richard Boorberg Verlag für Ihre Geduld und Ihre Unterstützung sowie unseren Ehefrauen Ortrud Deister und Daniela Degen-Rosenberg und unseren Kindern, die uns bei Trends und Apps schon längst voraus sind.
| Stuttgart, im September 2021 | Thomas A. Degen |
| Jochen Deister |
Vorwort zur 1. Auflage
Unternehmen und Verbraucher dringen bei der Nutzung von Computer und Internet täglich in ein »digitales Netzwerk« ein. Das globale Internet ist für viele Menschen mittlerweile sogar zu dem zentralen Netzwerk geworden, weil es wesentliche Abläufe des Geschäfts- wie des Privatlebens bestimmt. Nach Angaben der Bitkom nutzen 2008 bereits über 1,23 Milliarden Menschen das Internet. Das Internet hat in den vergangenen Jahren nicht nur tausende neue Arbeitsplätze geschaffen, wie der weltweite elektronische Handel im »neuen Markt« (E-Commerce) zeigt. Die virtuelle Einkaufsmöglichkeit mittels Datenfernübertragung innerhalb der Distributionspolitik des Online-Marketings ist für die meisten Unternehmen zum wichtigsten Absatzmarkt und für die Verbraucher zur bequemen, schnellen und leicht zugänglichen Quelle beliebiger Wünsche geworden.
Wenn der Kauf von Hardware und Software vollzogen und der PC mitsamt Internetzugang erfolgreich konfiguriert und installiert wurde, beginnt für viele Unternehmen und Verbraucher ein Abenteuer, von dem viele nicht zu träumen gewagt haben, das aber für andere auch schnell zum Albtraum ausarten kann. Dabei sind nicht nur die inzwischen immer mannigfaltigeren Anwendungsmöglichkeiten des Multimedia-Laptops gemeint, die vom einfachen Textverarbeitungssystem mit Drucker über das private Fotostudio, den TV-Empfang, die Telefonie, das Infotainmentsystem bis hin zur Security- und Kraftwerksteuerungseinheit reichen, sondern die globalen Netzwerke aus verbundenen Rechnern, Servern, Backbones und Datenströmen, die das Internet immer mehr zum digitalen Superhighway ausgestalten.
Der anhaltende Erfolg des E-Commerce gründet sich gerade aus der Faszination der Digitalisierung und der Nutzbarmachung und Vernetzung von privaten und geschäftlichen Lebens- und Arbeitsbereichen. So ist es für Schulkinder heute selbstverständlich, zu »chatten«, zu »googeln« und ihre Spiele und Freundschaften in Onlineportalen auszuleben. Wenn ein Unternehmen nicht im Netz über eine Suchmaschine gefunden wird, existiert es für diese jungen Nutzer häufig ebenso wenig wie ein Schulkamerad, der keine E-Mail-Adresse oder Mobilfunknummer hat. Abgesehen von der jungen »Generation Internet« sind auch immer mehr Menschen über 60 online und daher auch als Zielgruppe der (Dienstleistungs-)Unternehmen auszumachen.
Der gewaltige Erfolg des Internets hat auch eine »Verrechtlichung« der Computer- und Internetwelt nach sich gezogen. Diese sieht man z. B. bei jedem Online-Bestellvorgang mit der Einbeziehung von AGB und bei Abmahnungen im Zusammenhang mit der Internetnutzung. Dabei zielt das globale Internet darauf, mithilfe elektronischer Datenverarbeitung privates und geschäftliches Leben zu vereinfachen. Zur Gewährleistung einer funktionierenden und rechtssicheren Computer- und Internetnutzung sind indessen – neben der freiwilligen Selbstkontrolle der Internet-Institutionen – rechtliche Rahmenbedingungen notwendig. Diese werden als »Information and Communication Technology Law« (ICT Law) bezeichnet.
Mit dem vorliegenden Band soll dem Leser ein Überblick über die wesentlichen Rahmenbedingungen des ICT Law, technische Herausforderungen und »gesetzliche Baustellen« in der Computer- und Internetwelt vermittelt werden. Im Hinblick auf die Schnittstellen des ICT Law werden insbesondere für den anwaltlichen Praktiker und für den juristisch und technisch Interessierten Aspekte des Vertragsrechts der Informationstechnologien behandelt einschließlich der Gestaltung individueller Verträge und AGB, das Recht des E-Commerce einschließlich der Gestaltung von Provider-Verträgen des Online-/Mobile-Business, des Urheberrechts, des Marken-, Domain- und Wettbewerbsrechts, des Datenschutzes und der IT-Sicherheitsfragen, des Rechts der Kommunikationsnetze und -dienste, internationaler Rechtsbezüge sowie des IT-Strafrechts.
| Stuttgart, im November 2008 | Thomas A. Degen |
| Jochen Deister |
Geleitwort
Ohne Cyber-Sicherheit keine erfolgreiche Digitalisierung
Es ist mir eine besondere Freude, der in wesentlich überarbeiteter 2. Auflage vorliegenden Publikation „IT- und Datenschutz-Compliance für Unternehmen“ einige einführende Worte mit auf den Weg zu geben. Und da sich das Buch mit seinen zahlreichen Anwendungsbeispielen zur Digitalisierung und damit folgerichtig auch zur Cyber-Sicherheit durch hohe Praxisrelevanz auszeichnet, will auch ich in diesen einführenden Zeilen nicht zu theoretisch werden.
Cyber-Sicherheit ist für staatliche Institutionen, für Unternehmen jeder Größenordnung und für jeden Einzelnen ein entscheidender Baustein der Digitalisierung. Sie schafft Vertrauen, erhöht die Akzeptanz von Digitalisierungsprojekten wir damit zur Grundvoraussetzung unseres digitalen Alltags. Ohne Cyber-Sicherheit wird es keine erfolgreiche Digitalisierung geben!
Gleichzeitig hat aber die Corona-Pandemie noch einmal verdeutlicht, dass es keine Alternative zur Digitalisierung gibt – im Gegenteil. Und dass wir mit fortschreitender Digitalisierung und weiteren digitalisierten Lebensbereichen wie zum Beispiel dem Gesundheitswesen auch mit neuen und professionelleren Angriffsformen rechnen müssen. Cyber-Sicherheit wird also immer wichtiger. Im BSI sind Digitalisierung und Informationssicherheit vereint.
Vielfältige Aufgaben des BSI
Das BSI ist die Cyber-Sicherheitsbehörde des Bundes. Es ist für den Schutz der Regierungsnetze verantwortlich. Als Regierungsnetze werden dabei die Netze des Bundes (NdB) und das gemeinsame Bund-Länder-Netz bezeichnet. Hierbei geht es um die Abwehr von Cyber-Angriffen und anderen technischen Bedrohungen gegen diese IT-Systeme und Netze. Das BSI entwickelt daher mit all seiner Expertise und in enger Abstimmung mit der Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben (BDBOS) das IT-Sicherheitskonzept der Regierungsnetze.
Aber das BSI ist auch das zentrale Kompetenzzentrum der Informationssicherheit für viele weitere Akteure in Deutschland. Als solches gestaltet es Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion nicht nur für den Staat, sondern auch für Wirtschaft und Gesellschaft, um den sicheren Einsatz von Informations- und Kommunikationstechnik zu ermöglichen und voranzutreiben.
Dieser umfassende Ansatz, den das BSI seit Jahrzehnten – es feiert im Jahr 2021 sein 30-jähriges Bestehen – mit vielen Akteuren gerade auch in der Wirtschaft umsetzt, hat zu zahlreichen praxisorientierten Mindeststandards und zielgruppengerechten Handlungsempfehlungen zur IT- und Internet-Sicherheit geführt. Sie unterstützen Anwender dabei, Risiken zu vermeiden. Sowohl Standards als auch Empfehlungen sind so strukturiert, dass sie möglichst viele, also auch kleine und mittlere Unternehmen adaptieren und umsetzen können – im eigenen Interesse und im Sinne des Gemeinwohls.
Die Informationstechnologie ist in Zeiten der Digitalisierung zum unverzichtbaren Werkzeug für viele geschäftsrelevante Prozesse geworden: Das Internet ist für die Kommunikation mit Kunden und Lieferanten, aber auch zur Datenübermittlung von entscheidender Bedeutung. Produktionsanlagen werden von Computern gesteuert, Hersteller und Wartungsfirmen haben weitreichenden Zugriff auf die interne IT-Infrastruktur. Doch mit der immer stärkeren Vernetzung von Kommunikationssystemen entstehen auch immer auch neue Abhängigkeiten. Gerade die rasanten Entwicklungen beim Internet der Dinge, aber auch die Vernetzung von Systemen und Prozessen in der industriellen Produktion, machen ein störungsfreies Funktionieren dieser Systeme unabdingbar.
Kritische Gefährdungslage
Denn jedes Mehr an Digitalisierung ist auch ein Mehr an Verletzbarkeit. Die IT-Sicherheitslage in Deutschland ist weiterhin auf hohem Niveau angespannt. Anlass zur Sorge gibt dabei nicht nur die Anzahl von Sicherheitsvorfällen, sondern auch die Vielzahl schwerwiegender Schwachstellen in Software- und Hardware-Produkten. Sie machen viele erfolgreiche Cyber-Angriffe erst möglich.
Die Gefährdungslage wird allerdings nicht nur durch nachlässige IT-Sicherheitsmaßnahmen bestimmt. So konnte das BSI beobachten, dass nicht nur die Anzahl der Schadprogramm-Varianten zeitweise rasant anstieg, auch die Qualität der Angriffe nahm weiterhin beträchtlich zu. Cyber-Kriminelle nutzen moderne Methoden und Technologien für ihre Attacken und entwickeln diese regelmäßig weiter.
Ein Beispiel dafür ist die Ausweitung von Lösegelderpressungen bei Ransomware-Vorfällen hin zu ergänzenden Schweigegelderpressungen (sogenannte Double Extortion) und Schutzgelderpressungen. Immer häufiger werden dabei Daten von Unternehmen und Institutionen in ausgefeilten mehrstufigen Angriffen zunächst ausgeleitet und erst dann im Unternehmensnetz verschlüsselt. Die Folgen sind oftmals fatal und können tage- oder wochenlange Netzwerkausfälle bedeuten, in denen Produktion oder Dienstleistungsangebote nur eingeschränkt oder gar nicht mehr zur Verfügung stehen.
Schwachstellen bei Microsoft Exchange
Wie unmittelbar diese Gefährdung ist, macht ein aktueller Vorfall besonders deutlich. Im März 2021 wurden aufgrund einer Sicherheitslücke zehntausende Microsoft-Exchange-Server in Deutschland über das Internet angreifbar. In Teilen waren sie sogar bereits mit hoher Wahrscheinlichkeit mit Schadsoftware infiziert.
Exchange wird von vielen Unternehmen, Behörden und Institutionen als E-Mail- und Kollaborationsplattform genutzt. Bei einer erfolgreichen Attacke über die Schwachstellen ist es möglich, Daten aus dem E-Mail-System abzugreifen. Der Angriff erfolgte in der Regel automatisiert. Die Angreifer konnten auf den Servern eine eigene Kontrollsoftware installieren und sich weiter durch die kompromittierten Netzwerke arbeiten, da Exchange-Server standardmäßig in vielen Infrastrukturen hohe Rechte im Active Directory besitzen. So können weitergehende Angriffe mit den Rechten eines übernommenen Exchange-Servers potenziell mit geringem Aufwand auch die gesamte Domäne kompromittieren.
Erst zum dritten Mal in seiner Geschichte hat das BSI eine Sicherheitswarnung der Stufe Rot ausgesprochen, um auf die besondere Bedrohungslage hinzuweisen. Potentiell Betroffene wurden öffentlich und sofern möglich, auch direkt informiert. Als die Sicherheitslücke bekannt wurde, waren nach Schätzung des BSI bis zu 60.000 Systeme in Deutschland betroffen. Bei rund 9.000 Unternehmen und anderen Institutionen, deren Exchange-Server nach Kenntnis des BSI betroffen waren, schätzte das BSI die Bedrohung durch die Cyber-Angreifer so hoch ein, dass die Information mit Empfehlungen für Gegenmaßnahmen per Brief an die jeweilige Geschäftsführung erfolgte.
Das BSI empfahl allen Betreibern von betroffenen Exchange-Servern, sofort die im März kurzfristig von Microsoft bereitgestellten Patches einzuspielen. Anfällige Exchange-Systeme sollten aufgrund des sehr hohen Angriffsrisikos dringend auf entsprechende Auffälligkeiten geprüft werden. Erschwerend kam nämlich hinzu, dass tausende Systeme noch Schwachstellen aufwiesen, die seit über einem Jahr bekannt sind und noch nicht gepatched wurden. Die Exchange-Server-Versionen 2013, 2016 und 2019 waren alle von der Sicherheitslücke betroffen - und wurden nun erst mit Verzögerung durch das Update gesichert. Insbesondere kleine und mittelständische Unternehmen (KMU) waren wahrscheinlich davon betroffen. Bei Systemen, die nicht auf dem aktuellsten Stand gepatched waren, musste daher in jedem Fall von einer Kompromittierung ausgegangen werden. In Cloud-Versionen von Microsofts E-Mail-Dienst gab es die Schwachstellen nicht.
Viele Unternehmen haben auf die Warnungen des BSI reagiert, aber nicht alle gleich schnell. Und trotz des hohen Sicherheitsrisikos erfolgte die Absicherung der anfälligen Exchange-Server in Deutschland bei einigen Unternehmen gar nicht. Nach Kenntnis des BSI waren auch Wochen nach der Sicherheitswarnung noch immer einige Tausend verwundbare Systeme über das Internet erreichbar.
Hilfen des BSI und Aufgaben der Unternehmen
Hier muss daher weiter intensiv an der Sensibilisierung der Unternehmen gearbeitet werden, die Bedrohungen ernst zu nehmen und mehr für Cyber-Sicherheit zu tun. Sie ist Chefsache und sollte eine zentrale Rolle in der Risikoabschätzung auch jedes mittelständischen Unternehmens spielen. Das BSI trägt mit seinen Produkten und Informationen unterstützend dazu bei. Ich nenne hier nur neben dem weiter unten ausführlich vorgestellten IT-Grundschutz einmal den Warn- und Informationsdienst (WID) von CERT-Bund, über den Informationen zu neuen Schwachstellen und Sicherheitslücken sowie aktuellen Bedrohungen für IT-Systeme publiziert werden. Und ich nenne zum anderen das für den deutschen Markt überarbeitete Handbuch „Management von Cyber-Risiken“ der US-amerikanischen Internet Security Alliance. Darin werden fünf grundlegende Prinzipien formuliert, die Vorstände und Aufsichtsräte bei der Betrachtung von Cyber-Risiken unterstützen, ergänzt durch mehrere Anhänge unter anderem mit Unterstützungsangeboten des BSI für die Wirtschaft. Die Inhalte sind dabei nicht allein für börsennotierte Unternehmen relevant. Auch mittelständische Unternehmen können die dargestellten Grundprinzipien als Leitfaden für die Bewertung von Cyber-Risiken und den verantwortlichen Umgang mit diesen nutzen.
Die Unternehmen können so ihre Aufgaben, nämlich die Mitarbeiter-Sensibilisierung, die Implementierung einer IT-Strategie und einen umsetzbaren Maßnahmenplan, gezielt und systematisch angehen. Dies sind zentrale Bausteine und Erfolgsfaktoren einer zukunftsstabilen IT-Sicherheit.
Um diese Aufgaben praktisch umzusetzen, gibt es unterschiedliche, auch kombinierbare Möglichkeiten. Die Unternehmen können
•Compliance-Pflichten definieren und in die unternehmenseigene Compliance-Organisation delegieren,•eine IT-Sicherheitsrichtlinie mit Vorgaben für die Verschlüsselung von Informationsflüssen gemäß IT-Grundschutz des BSI implementieren,•einen IT-Sicherheitsbeauftragten bestellen,•gängige Frameworks (NIST-Rahmenwerk, ISO 27001/27002, COBIT etc.) anwenden,•einen externen Datenschutzbeauftragten beauftragen, um die datenschutzspezifischen Vorschriften zu überwachen und•ein Informationssicherheits-Managementsystem (ISMS) einführen.
Der IT-Grundschutz
Ein etabliertes und anerkanntes ISMS ist der vom BSI entwickelte IT-Grundschutz. Er enthält eine Schritt-für-Schritt-Anleitung, um ein Informationssicherheitsmanagement in der Praxis zu entwickeln und nennt sehr konkrete Maßnahmen für alle Aspekte der Informationssicherheit. Der IT-Grundschutz wurde in den letzten Jahren grundlegend modernisiert. Er ermöglicht durch seinen modularen Aufbau einen Einstieg für alle, die erstmalig ein ISMS in einer Institution aufsetzen möchten. Die BSI-Standards liefern hierzu drei bewährte Vorgehensweisen, das IT-Grundschutz-Kompendium benennt konkrete Anforderungen und die IT-Grundschutz-Profile bieten wichtige Angebote für spezifische Anwendergruppen.
•Die BSI-Standards 200-1 bis 200-4 sind die Grundpfeiler des IT-Grundschutz. Der BSI-Standard 200-1 definiert die allgemeinen Anforderungen, die ein ISMS erfüllen sollte. Der BSI-Standard 200-2 erläutert, wie ein ISMS solide aufgebaut werden kann. Je nach Sicherheitsanforderungen kann mit einer der drei dort beschriebenen unterschiedlichen Vorgehensweisen (Basis-, Standard-Absicherung und Kern-Absicherung) begonnen werden. Der BSI-Standard 200-3 beinhaltet alle risikobezogenen Arbeitsschritte. Er bietet sich an, wenn Unternehmen bereits erfolgreich mit der IT-Grundschutz-Methodik arbeiten und eine Risikoanalyse durchführen möchten. Der BSI-Standard 200-4 zeigt abschließend einen systematischen Weg auf, ein Notfallmanagement in einem Unternehmen aufzubauen, um die Kontinuität des Geschäftsbetriebs sicherzustellen.•Im IT-Grundschutz-Kompendium können Interessierte in den IT-Grundschutz-Bausteinen Sicherheitsempfehlungen zu den unterschiedlichsten Themen nachlesen und erfahren, mit welchen Stellschrauben sie das Sicherheitsniveau gezielt anheben können. Detaillierte Hinweise und Maßnahmen in den Umsetzungshinweisen zu den IT-Grundschutz-Bausteinen erleichtern Informationssicherheitsbeauftragten im Arbeitsalltag, Informationssicherheit in der Praxis anzuwenden.•IT-Grundschutz-Profile können von einzelnen Branchen-Vertretern auf Wunsch mit Unterstützung durch das BSI zu einem bestimmten Thema erstellt und im Nachgang veröffentlicht werden. Interessierte Personen, die sich mit einem IT-Grundschutz-Profil auseinandersetzen wollen, können so auf das bereits Veröffentlichte aufsetzen und sparen Zeit und Ressourcen. Der Austausch innerhalb der Branchen fördert zudem den Austausch von Know-how und das Networking.
Wie ein geeignetes Managementsystem für Informationssicherheit aussieht, hängt natürlich von der Größe des Unternehmens ab. Auch welche Maßnahmen konkret zu ergreifen sind, hängt von der individuellen Situation und Gefährdungslage des Unternehmens ab. So kann in einem Fall wichtig sein, das betriebliche Know-how vor Entwendung durch Mitarbeiter oder Dritte zu schützen. In einem anderen Fall wird im Vordergrund stehen, die Produktionsanlagen und/oder IT-Systeme jederzeit verfügbar zu halten. In einem dritten kann es darum gehen, die personenbezogenen Daten den Anforderungen des Bundesdatenschutzgesetzes gemäß zu verwahren und zu sichern.
Um die erfolgreiche Umsetzung des IT-Grundschutzes nach außen transparent zu machen, können sich Unternehmen nach ISO 27001 auf der Basis des IT-Grundschutzes zertifizieren lassen. Mit diesem Zertifikat wird bestätigt, dass das IT-Sicherheitskonzept die Anforderungen nach ISO 27001 erfüllt. Das BSI hat hierzu ein Zertifizierungsschema für Informationssicherheit entwickelt, das die Anforderungen an ein Informationssicherheit-Managementsystem (ISMS) aus ISO/IEC 27001 berücksichtigt und als Prüfkataloge das IT-Grundschutz-Kompendium sowie die BSI-Standards 200-1 bis 200-4 zugrunde legt. Dies wird deshalb als ISO 27001-Zertifizierung auf Basis IT-Grundschutz bezeichnet.
Eine solche Zertifizierung ist nur für die IT-Grundschutz-Vorgehensweisen Standard- und Kern-Absicherung durchführbar. Bei der Basis-Absicherung reichen die umgesetzten Sicherheitsmaßnahmen nicht für eine Zertifizierung aus, können aber als Einstieg für eine der anderen beiden Vorgehensweisen dienen. Für den Nachweis einer erfolgreichen Umsetzung der Basis-Absicherung bietet das BSI ein Testat an.
Grundlage für die Vergabe eines ISO 27001-Zertifikats auf der Basis von IT-Grundschutz ist die Durchführung eines Audits durch einen externen, beim BSI zertifizierten Auditor. Das Ergebnis des Audits ist ein Auditbericht, welcher der Zertifizierungsstelle vorgelegt wird. Diese entscheidet über die Vergabe des ISO 27001-Zertifikats auf der Basis von IT-Grundschutz. Das ISO 27001-Zertifikat auf der Basis von IT-Grundschutz bietet Unternehmen und Behörden somit die Möglichkeit, ihr Engagement zur Informationssicherheit transparent zu machen. Das Zertifikat dient damit sowohl gegenüber Kunden als auch Geschäftspartnern als Qualitätsmerkmal und Wettbewerbsvorteil.
Das BSI kann aber nicht nur IT-Sicherheitssysteme, sondern auch informationstechnische Produkte oder Komponenten zertifizieren. Dafür betreibt es Zertifizierungsprogramme, in denen jeweils die Regeln (Geltungsbereiche, bedarfsgerechte Prüfkriterien, Anforderungen und Nachweise), das Verfahren sowie das Management zur Durchführung der Zertifizierung festgelegt und beschrieben sind. Die Zertifizierung eines Produktes wird auf Antrag durchgeführt. Die Produktzertifizierung bestätigt im Rahmen einer Typprüfung, dass eine Produktversion bestimmte funktionale und Sicherheitseigenschaften erfüllt, die in Schutzprofilen, Sicherheitsvorgaben oder Technischen Richtlinien spezifiziert sind.
Transparenz und Mitarbeit der Unternehmen
Auf diese Weise kann jedes Unternehmen seinen individuellen Beitrag dazu leisten, die IT-Sicherheit insgesamt zu erhöhen und zu dokumentieren, welche Bedeutung es der Cyber-Sicherheit beimisst. Denn das ist für mich der entscheidende Punkt: Staat, Wirtschaft und Gesellschaft müssen gemeinsam an einem hohen Sensibilisierungsniveau arbeiten, um Cyber-Sicherheit nicht zu einem Appendix, sondern zur einer Voraussetzung jeglicher Entwicklung in der Digitalisierung zu machen. Dazu muss Cyber-Sicherheit öffentlicher, sichtbarer und selbstverständlicher werden – als Kriterium für Qualität wie beispielsweise Nachhaltigkeit oder Umweltverträglichkeit.
Das IT-Sicherheitsgesetz schreibt Betreibern Kritischer Infrastrukturen vor, erhebliche IT-Sicherheitsvorfälle an das BSI zu melden. Mit der Umsetzung der Richtlinie zur Netz- und Informationssicherheit (NIS) unterliegen auch Anbieter von digitalen Diensten wie Online-Marktplätze, Suchmaschinen und Anbieter von Cloud-Computing-Diensten diesen Meldepflichten. Daneben aber muss die freiwillige Meldung von entdeckten Schwachstellen in Produkten, von erfolgreichen oder abgewehrten Angriffen auf die IT-Sicherheit ebenso wie die umgehende Schließung von Sicherheitslücken zur Selbstverständlichkeit werden.
Dabei wird deutlich: Die Bereitschaft zur Freiwilligkeit wächst nur über Vertrauen. Und Vertrauen entsteht durch den Austausch von Know-how und Networking in Kreisen von Gleichgesinnten und Gleichbetroffenen. Darum werbe ich, wo immer ich kann, für die Mitwirkung in der Allianz für Cyber-Sicherheit, der mittlerweile größten europäischen Cyber-Sicherheitsinitiative. Kleine und mittlere Unternehmen können sich dort in Erfahrungskreisen (ERFA-Kreise) zwanglos und vertrauensvoll fachlich austauschen, offen diskutieren und vom Erfahrungsschatz der anderen Teilnehmer profitieren. Über die Mitgliedschaft in der Allianz können die Unternehmen auch auf den vom BSI und dem ISACA Germany Chapter e.V. gemeinsam entwickelten Leitfaden Cyber-Sicherheits-Check zugreifen, um damit den Status der Cyber-Sicherheit auf Basis der Cyber-Sicherheits-Exposition zu bestimmen und aktuellen Bedrohungen aus dem Cyber-Raum wirksam zu begegnen. Darüber hinaus erhalten sie Zugriff auf die Cyber-Sicherheits-Warnungen des BSI.
Information, Kooperation und vorausschauendes Handeln – alles drei zahlt auf mehr IT-Sicherheit ein. Eine Sicherheit, von der jedes einzelne Unternehmen, aber auch wir alle profitieren. Mein Fazit – wie auch das Fazit aller Autoren in diesem lesenswerten Buch – ist daher: Kein Industrieunternehmen, kein Handwerksbetrieb, kein Dienstleister, kein Logistiker, keine Arztpraxis und kein Selbständiger kommt heute in einem digitalisierten Umfeld ohne Informationssicherheit aus. Sie ist die Voraussetzung für eine erfolgreiche Digitalisierung. Diese Erkenntnis setzt sich immer mehr durch. Sie impliziert, dass es kein Produkt, keine Software, keine IT-Anwendung mehr geben sollte, in der nicht IT-Sicherheit von Anfang an mitgedacht und mitberücksichtigt wird.
Das BSI stellt für beides die notwendigen Hilfsmittel und Prozesse bereit. Auf diese vielfältige Weise gestaltet es als zentrales Kompetenzzentrum der Informationssicherheit die sichere Digitalisierung in Deutschland.
Arne Schönbohm
Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Bonn
Grußwort
Dieses Vorwort entsteht während der zweiten Welle einer Pandemie, die eine digitale Evolution hervorgebracht hat. Die biologische Evolution vollzog sich allmählich und in kleinen Schritten über einen langen Zeitraum. Für die digitale Evolution hatten wir aber nur wenige Monate Zeit. Kanzleien und Unternehmen, die das operative Geschäft bereits auf Basis digitaler Prozesse abwickelten, hatten keinen großen Anpassungsbedarf, die anderen schon. Selten trennt sich derart augenfällig die Spreu vom Weizen. Häufig mangelt es hier bereits bei der Infrastruktur. Dies betrifft nicht nur die Hardware oder die Bandbreite der verfügbaren Netze, sondern vor allem vorausschauende Konzepte, die häufig nicht vorhanden sind. Wie kann es sein, dass der Betreiber eines großen deutschen Flughafens sieben Monate benötigt, um eine interne Kommunikationsplattform für seine Mitarbeiter bereitzustellen? Dies ist der Offenbarungseid einer fehlenden Digitalisierungsstrategie.
Digitalisierungsstrategie? Sehr häufig wurde mir in den letzten Monaten die Frage gestellt: „Was muss ich tun?“ Die Antwort lautete: „Wo stehen Sie denn aktuell mit Ihrem Digitalisierungsprojekt?“ Hier hilft ein Digitalisierungs-Check. Zu finden beispielsweise unter: https://www.voi.de/digitalisierungs-check. Und sehr schnell wird klar, dass grundlegende Voraussetzungen erst mal vorhanden sein müssen. Liegen Ihre Daten und Dokumente in digitaler Form vor? Sind diese Informationen für jeden Mitarbeiter, zu jeder Zeit von überall zugreifbar? In kürzester Zeit wird klar, hier bedarf es eines ganzheitlichen Digitalisierungsprojektes. Initiiert als Top-down Vorgehensweise. Unter Einbindung aller im Unternehmen verfügbaren Informationscluster. Unabhängig von Bereichen, unabhängig von den vielen kleinen „Königreichen“ im Unternehmen.
Wissen Sie denn, wo sich Ihre geschäftsrelevanten Informationen befinden? Und schon stecken Sie mitten in der nächsten Aufgabe, Informationen abfragbar zur Verfügung zu stellen. Abfragbar? Daten und Dokumente strukturiert oder mithilfe semantischer Unterstützung abzufragen ist zu wenig. Für wiederkehrende Anfragen ist eine lernfähige Suchfunktion unter Verwendung von Künstlicher Intelligenz hilfreich, und somit kümmern wir uns jetzt um Suchen, welche in der Lage sind, quellenübergreifend Informationen zusammenzusammeln. Erst wenn die über den elektronischen Rechtsverkehr versendeten und empfangenen Informationen vollständig und korrekt zugeordnet ihren Weg in die elektronische Akte gefunden haben, ist das Ziel der Digitalisierung erreicht. Arbeitsabläufe sollten dabei nicht der analogen Welt nachempfunden werden, sondern unter Verwendung aller neuen Kommunikationsmittel wie beA, DE-Mail oder elektronisch abgehaltenen Gesellschafterversammlungen oder Gerichtsverhandlungen nach § 128 ZPO neu gestaltet werden.
Wenn die zur Verfügungstellung der digitalen Daten und Dokumente gelungen ist, haben Sie bereits einen respektablen Weg hin zur Digitalisierung zurückgelegt. Aber schon kommen die nächsten Herausforderungen um die Ecke: Medienbrüche. Sie verhindern die Durchgängigkeit digitaler Prozesse. Informationen gar nicht erst in analoger Form entstehen lassen – heißt jetzt die Devise.
Digitale Vorlagen mit Content aus digitalen Quellen anreichern und anschließend in elektronische Prozesse übergeben. Idealerweise in einem einheitlichen (international als ISO 19005 standardisierten) PDF/A-Format und selbstverständlich im nächsten Schritt das Ganze unveränderbar in Stein meißeln. Heute benutzt man dazu die qualifizierte elektronische Signatur, in gesetzlichen Ausnahmefällen wie dem beA die schwächer gesicherte fortgeschrittene elektronische Signatur. Hierfür braucht es vor allem eines: Vertrauen. Dieses Vertrauen wird immer noch am besten mit einer neutralen Zertifizierungsstelle erzeugt. Old School, höre ich die Kritiker skandieren. Nein, der neutrale, digitale Dritte ist Garant für eine rechtsverbindliche Übermittlung, die sowohl für den Absender wie auch für den Empfänger, Integrität, Authentizität und Vertrauenswürdigkeit garantiert. Zur Revisionssicherheit hat der Verband VOI bereits vor 20 Jahren Merksätze entwickelt, die heute noch bei Verwaltung und Finanzverwaltung zur Beurteilung von Revisionssicherheit herangezogen werden.
Ob Otto Normalbürger dann zum Versand sich der DE-Mail bedient oder die Rechtsanwälte Uli und Thomas die Dokumente in ihren beA Postfächern hin und her schieben, ist letztendlich alles: elektronischer Rechtsverkehr.
Harald Klingelhöller
Vorstandsvorsitzender des VOI e. V., Bonn
Geschäftsführender Gesellschafter der DM Dokumentenmanagement GmbH, Puchheim
Autorenverzeichnis
 | Dr. Thomas A. Degen Rechtsanwalt Fachanwalt für Informationstechnologierecht (IT-Recht) Zertifizierter Datenschutzbeauftragter TÜV Süd (DSB-TÜV) Co-Founder ValueAbler GmbH, Stuttgart Partner der Jordan & Wagner Rechtsanwaltsgesellschaft mbH, Stuttgart Lehrbeauftragter an der Dualen Hochschule Baden-Württemberg Stuttgart (DHBW) |
 | Prof. Dr. Jochen Deister Rechtsanwalt Partner bei DMZ Legal Deister Meyer-Spasche ZimmermannPartmbB, Frankfurt a.M. Geschäftsführer der Privacy Solutions GmbH, Hannover |
 | Ulrich Emmert Rechtsanwalt Senior Partner der esb Rechtsanwälte Emmert Bücking Speichert Matuszak-Lesny PartmbB, Stuttgart Lehrbeauftragter an der Hochschule für Wirtschaft und Umwelt, Nürtingen Vorstand der Reviscan AG, Stuttgart Stv. Vorstandsvorsitzender des VOI e. V., Bonn Mitglied des Zertifizierungsausschusses und Auditor für TR-Resiscan bei der VOI Service GmbH, Bonn |
 | Mathias Lang, LL.M. Rechtsanwalt Fachanwalt für Informationstechnologierecht (IT-Recht) Master of Laws (Informationsrecht) Partner der Jordan & Wagner Rechtsanwaltsgesellschaft mbH, Stuttgart Inhaber der Kanzlei Lang, Mannheim |
 | Dr. Thomas Lapp Rechtsanwalt zertifizierter Mediator Fachanwalt für Informationstechnologierecht (IT-Recht) Partner der IT-Kanzlei dr-lapp.de GbR, Frankfurt a.M. Lehrbeauftragter Joh.-Gutenberg-Universität Mainz, Goethe-Universität Frankfurt a. M., FOM Hochschule, Deutsche AnwaltAkademie, Deutsches Anwaltinstitut Präsident Deutsches Forum für Mediation Vorsitzender AG Mediation im DAV, Vorstandsmitglied EDV-Gerichtstag, Mitgl. im geschäftsführenden Ausschuss davit. |
Abkürzungsverzeichnis
| A2A | Administration-To-Administration |
| A2B | Administration-To-Business |
| A2C | Administration-To-Consumer |
| ABGB | Allgemeines Bürgerliches Gesetzbuch |
| ABl. | Amtsblatt |
| AEMR | Allgemeine Erklärung der Menschenrechte |
| AFA | Association des fournisseurs d‘access |
| AfP | Archiv für Presserecht |
| AG | Aktiengesellschaft, Amtsgericht |
| AGB | Allgemeine Geschäftsbedingungen |
| ALM | Arbeitsgemeinschaften der Landesmedienanstalten |
| AöR | Archiv des öffentlichen Rechts |
| apf | Ausbildung Prüfung Fortbildung |
| ARP | Address Resolution Protocol |
| ASN.1 | Abstract Syntax Notation One |
| ASP | Application Service Provider / Providing |
| AT&T | American Telephone & Telegraph Company |
| AVS | Altersverifikationssystem |
| BB | Der Betriebs-Berater |
| BDSG | Bundesdatenschutzgesetz |
| BDZV | Bundesverband Deutscher Zeitungsverleger e. V. |
| BfV | Bundesamt für Verfassungsschutz |
| BGB | Bürgerliches Gesetzbuch |
| BGBl. | Bundesgesetzblatt |
| BGH | Bundesgerichtshof |
| BGHZ | Bundesgerichtshof Entscheidungen in Zivilsachen |
| BGP | Border Gateway Protocol |
| BImSchG | Bundes-Immissionsschutzgesetz |
| BKA | Bundeskriminalamt |
| BMI | Bundesministerium des Innern |
| BMJ | Bundesministerium der Justiz |
| BMW | Bayerische Motorenwerke |
| BMWi | Bundesministerium für Wirtschaft und Technologie |
| BSG | BTX – Selbstkontrollgremium |
| BSI | Bundesamt für Sicherheit in der Informationstechnik |
| BT-Drs. | Bundestags-Drucksache |
| BtMG | Betäubungsmittelgesetz |
| Btx | Bildschirmtext |
| Bull. crim. | Bulletin des arrets de la Cour des cassation (Chambre criminelle) |
| BVerfG | Bundesverfassungsgericht |
| BVerfGE | Amtliche Sammlung der Entscheidungen des Bundesverfassungsgerichts |
| BVerfGG | Bundesverfassungsgerichtsgesetz |
| C2A | Consumer-To-Administration |
| C2B | Consumer-To-Business |
| C2C | Consumer-to-Consumer |
| Cass. Crim. | Cour de cassation (Chambre criminelle) |
| CD-ROM | Compact Disc Read only memory |
| CDT | Center for Democracy and Technology |
| CERN | Conseil Européen pour la Recherche Nucléaire |
| CR | Computer und Recht |
| CRi | Computer und Recht International |
| DARPA | Defence Advanced Research Projects Agency |
| D.C. Cir. | District Court Decisions / Circuit Court |
| DENIC | Deutsches Network Informations Center |
| DFN | Deutsches Forschungsnetzwerk |
| DFÜ | Daten-Fern-Übertragung |
| DGB | Deutscher Gewerkschaftsbund |
| DIGI | Deutsche Interessengemeinschaft Internet |
| DIN | Deutsche Industrie Norm |
| DJV | Deutscher Journalistenverband e. V. |
| DLM | Direktorenkonferenz der Landesmedienanstalten |
| DMMV | Deutscher Multimedia Verband |
| DMS | Dokumenten-Management-System(e) |
| DNS | Domain Name System / Domain-Name-Server |
| DÖV | Die Öffentliche Verwaltung |
| DRPR | Deutscher Rat für Public Relations |
| DSL | Digital Subscriber Line |
| DuD | Datenschutz und Datensicherung |
| DVBl | Deutsche Verwaltungsblätter |
| DVD | Digital Versatile Disc |
| EA | Einheitlicher Ansprechpartner |
| E-Commerce | electronic commerce (Elektronischer Handel) |
| E-Government | Regieren und Verwalten mit Unterstützung von Informations- und Kommunikationstechniken |
| E-Justice | Elektronischer Rechtsverkehr |
| ECG | E-Commerce-Gesetz |
| ECRL | E-Commerce-Richtlinie |
| eco | Electronic Commerce Forum e. V. |
| EDV | Elektronische Datenverarbeitung |
| EG | Europäische Gemeinschaft |
| EGBGB | Einführungsgesetz zum Bürgerlichen Gesetzbuch |
| EGG | Elektronischer Geschäftsverkehr-Gesetz |
| EGMR | Europäischer Gerichtshof für Menschenrechte |
| EGV | Vertrag zur Gründung der Europäischen Gemeinschaft |
| EGVG | Einführungsgesetz zu den Verwaltungsverfahrensgesetzen |
| EHUG | Elektronische Handels- und Genossenschaftsregister |
| ELSTER | Elektronische Steuererklärung |
| ERMK | Europäische Menschenrechtskonvention |
| ERV | Elektronischer Rechtsverkehr |
| EU | Europäische Union |
| EuGH | Gerichtshof der Europäische Gemeinschaften |
| EUV | Vertrag über die Europäische Union |
| e. V. | eingetragener Verein |
| EVÜ | Übereinkommen von Rom über das auf vertragliche Schuldverhältnisse anzuwendende Recht vom 19. Juni 1980, Europäisches Schuldvertragsübereinkommen |
| FAZ | Frankfurter Allgemeine Zeitung |
| FBI | Federal Bureau of Investigation |
| FernAbsG | Fernabsatzgesetz |
| FSF | Freiwillige Selbstkontrolle Fernsehen e. V. |
| FSK | Freiwillige Selbstkontrolle der Filmwirtschaft |
| FSKnet | Freiwillige Selbstkontrolle Werbetreibender im Internet |
| FSM | Freiwillige Selbstkontrolle Multimedia-Diensteanbieter e. V. |
| FTAM | File Transfer Access and Management Protocol |
| FTP | File Transfer Protocol |
| G8 | Gruppe der Acht |
| GG | Grundgesetz |
| GIF | Graphics Interchange Format |
| GjS | Gesetz über die Verbreitung jugendgefährdender Schriften und Medieninhalte |
| GMK | Gesellschaft für Medienpädagogik und Kommunikationskultur in der Bundesrepublik Deutschland e. V. |
| GPRA | Gesellschaft Public Relations Agenturen e. V. |
| GWB | Gesetz gegen Wettbewerbsbeschränkungen |
| HGB | Handelsgesetzbuch |
| h.M. | herrschende Meinung |
| HRLJ | Human Rights Law Journal |
| Hrsg. | Herausgeber |
| HS | Halbsatz |
| html | Hypertext Mark-up Language |
| http | Hypertext Transport Protocol |
| IAB | Internet Architecture Board |
| IANA | Internet Assigned Numbers Authority |
| ICANN | Internet Corporation for Assigned Numbers and Names |
| ICCP | Committee on Information, Computer and Communications Convention Policy |
| ICMP | Internet Control Message Protocol |
| ICT | information and communications technology |
| ID | Identification |
| IESG | Internet Engineering Steering Group |
| IETF | Internet Engineering Task Force |
| IFPI | International Federation of the Phonographic Industry |
| IMAP | Internet Message Access Protocol |
| INACH | International Network Against Cyber Hate |
| INHOPE | International Association of Internet Hotlines |
| INCB | Internationaler Suchtstoffkontrollrat |
| INCORE | Internet Content Rating for Europe |
| INRIA | Institut National de Recherche en Informatique et Automatique |
| InterNIC | Internet (International) Network Information Center |
| IP | Internet Protocol |
| IPbpR | Internationaler Pakt über bürgerliche und politische Rechte |
| IPv4 | Internet Protocol Version 4 |
| IPv6 | Internet Protocol Version 6 |
| IR | Internet Registry |
| IRC | Internet Relay Chat |
| IRSG | Internet Research Steering Group |
| IRTF | Internet Research Task Force |
| ISDN | Integrated Services Digital Network |
| ISO/OSI | Open Systems Interconnection Reference Model |
| ISO | International Standardisation Organisation |
| ISOC | Internet Society |
| ISP | Internet-Service-Provider |
| ISPA | Internet Service Providers Austria |
| IT | Information Technology |
| ITU | International Telecommunications Union |
| IWF | Internationaler Währungsfonds |
| JCP | Juris-Classeur Périodique |
| JMStV | Jugendmedienschutz-Staatsvertrag |
| JPEG | Joint Photographic Experts Group |
| JurPC | Internet-Zeitschrift für Rechtsinformatik |
| JZ | Juristenzeitung |
| Kap. | Kapitel |
| KonTrag | Gesetz zur Kontrolle und Transparenz im Unternehmensbereich |
| K&R | Kommunikation und Recht |
| KUG | Kunsturhebergesetz |
| LAN | Local Area Network |
| LG | Landgericht |
| LINX | London Internet Exchange |
| LIR | Local Internet Registry |
| LJA WL | Landesjugendamt / Landesverband Westfalen-Lippe |
| LPresseG | Landespressegesetz |
| MAN | Metropolitan Area Network |
| MIME | Multipurpose Internet Mail Extensions |
| MIT | Massachusetts Institut of Technology |
| Mio. | Millionen |
| MDStV | Mediendienste-Staatsvertrag |
| MMR | Multimedia und Recht |
| Modem | Modulator – Demodulator |
| MPEG | Motion Picture Experts Group |
| MTU | Maximum Transmission Unit |
| MTV | Music Televison |
| NATO | North Atlantic Treaty Organisation |
| NCIS | Police National Criminal Intelligence Service |
| Netiquette | Network Etiquette |
| NFS | Network File System |
| NGO | non-governmental organisation |
| NIC | Network Information Center |
| NJW | Neue Juristische Wochenschrift |
| NJW-CoR | Neue Juristische Wochenschrift Computerreport |
| NJW-RR | Neue Juristische Wochenschrift Rechtsprechungs-Report |
| NNTP | Network News Transfer Protocol |
| NRW | Nordrhein-Westfalen |
| NSDAP | Nationalsozialistische Deutsche Arbeiterpartei |
| NSI | Network Solutions Inc. |
| NStZ | Neue Zeitschrift für Strafrecht |
| NVwZ | Neue Zeitschrift für Verwaltungsrecht |
| NVwZ-RR | Neue Zeitschrift für Verwaltungsrecht Rechtsprechungs-Report |
| NWG | Network working Group |
| NZV | Netzzugangsverordnung |
| NZZ | Neue Zürcher Zeitung |
| OECD | Organisation for Economic Cooperation and Development |
| ÖJZ | Österreichische Juristenzeitung |
| OLG | Oberlandesgericht |
| OPA | Obscene Publications Act |
| OSS | Open-Source Software |
| OSZE | Organisation für Sicherheit und Zusammenarbeit in Europa |
| OVG | Oberverwaltungsgericht |
| OWiG | Gesetz über Ordnungswidrigkeiten (Ordnungswidrigkeitengesetz) |
| PC | Personal Computer |
| PCA | Protection of Children Act |
| PGP | Pretty Good Privacy |
| PICS | Platform for Internet Contenet Selection |
| PKI | Public-Key-Infrastruktur |
| POP | Post Office Protocol |
| RDF | Resource Description Framework |
| Rec. | Recueil |
| Rev. Sc. Crim. | Revue de science criminelle et de droit pénal comparé |
| RIPE NCC | Network Coordination Centre des Réseaux IP Européens |
| RFC | Request for Comment |
| RoHS | Restriction of the use of certain Hazardous Substances |
| RSACi | Recreational Software Advisory Counsel |
| S/MIME | Secure / Multipurpose Internet Mail Extensions |
| SAP | Systeme, Anwendungen, Programme in der Datenverarbeitung |
| SGB | Sozialgesetzbuch |
| SID | Safer Internet Day |
| SigG | Signaturgesetz |
| SLD | Second Level Domain |
| Slg. | Sammlung der Rechtsprechung des Gerichtshofes der EU |
| SLIP | Serial Line Interface Protocol |
| SMTP | Simple Mail Transfer Protocol |
| SOX | Sarbanes-Oxley Act of 2002 |
| SPIO | Spitzenorganisation der Filmwirtschaft |
| SSL | Secure Socket Layer |
| StGB | Strafgesetzbuch |
| StPO | Strafprozessordnung |
| TCP | Transmission Control Protocol |
| TDDSG | Teledienstedatenschutzgesetz |
| TDG | Gesetz über die Nutzung von Telediensten (Teledienstegesetz) |
| Telnet | Terminal Emulation Protocol in TCP/IP-Networks |
| TK | Telekommunikation |
| TKG | Telekommunikationsgesetz |
| TKMR | Telekommunikation Medien Report |
| TLD | Top Level Domain |
| TMG | Telemediengesetz |
| UDRP | Uniform Domain Name Dispute Resolution Policy |
| ULR | Unabhängige Landesanstalt für Rundfunk und neue Medien |
| UNCITRAL | United Nations Commission on International Trade Law |
| UNCTAD | United Nations Conference on Trade and Development |
| UNO | United Nations |
| UrhG | Urheberrechtsgesetz |
| URL | Universal Resource Locator |
| Urt. | Urteil |
| US/U.S./USA | United States/Unites States of America |
| U.S.C. | United States Code Annotated |
| USK | Unterhaltungssoftware Selbstkontrolle |
| VBlBW | Verwaltungsblätter für Baden-Württemberg |
| VC | Virtual Circuit |
| VfSlg. | Erkenntnisse und Beschlüsse des Verfassungsgerichtshofs |
| VG | Verwaltungsgericht |
| VGH | Verwaltungsgerichtshof |
| VOF | Verdingungsordnung für freiberufliche Leistungen |
| VOL/A | Verdingungsordnung für Leistungen / Allgemeine Bestimmungen für die Vergabe von Leistungen |
| VwVfG | Verwaltungsverfahrensgesetz |
| VwGO | Verwaltungsgerichtsordnung |
| W3C | World Wide Web Consortium |
| W3O | World Wide Web Organisation |
| WAIS | Wide Area Information System |
| WAN | Wide Area Network |
| WEEE | Waste Electrical and Electronic Equipmen |
| WIPO | World Intellectual Property Organisation |
| WTO | World Trade Organisation |
| WWW | World Wide Web |
| XML | eXtensible Markup Language |
| XSS | Cross-Site Scripting |
| ZAW | Zentralverband der deutschen Werbewirtschaft |
| ZPO | Zivilprozessordnung |
| ZRP | Zeitschrift für Rechtspolitik |
| ZSR | Zentrales Schutzschriftenregister |
| ZUM | Zeitschrift für Urheber- und Medienrecht |
Literaturverzeichnis
Auer-Reinsdorff, Astrid/Conrad, Isabell: Handbuch IT – und Datenschutzrecht, 2016
Balzert, Helmut: Lehrbuch der Softwaretechnik. Softwaremanagement, 2. Aufl. 2008
Beck´sches Rechtsanwaltshandbuch, 11. Aufl., 2016
Bensinger, Viola/Kozok, Volker: Kampf gegen Cyber Crime und Hacker-Angriffe, CB 2015, S. 376 ff.
Bergmann, Lutz/Möhrle, Roland/Herb, Armin: Kommentar zum Datenschutzrecht – Europäische Datenschutz-Grundverordnung (DSGVO), Bundesdatenschutzgesetz (BDSG), Datenschutzgesetze der Länder, Bereichsspezifischer Datenschutz, Loseblattwerk, Nachlieferung 2021
Bleek, Wolf-Gideon/Wolf, Henning: Agile Softwareentwicklung, 2008
Borges, Georg/Meents, Geert: Cloud Computing, 2016
Degen, Thomas A.: Freiwillige Selbstkontrolle der Access-Provider
Degen, Thomas A./Emmert, Ulrich: Elektronischer Rechtsverkehr, 2. Aufl., 2021
Degen, Thomas A./Ledig, Isabel: PIA „Innovation à la française“: Vorstellung einer Open Source-Software für Datenschutz-Folgenabschätzungen der französischen Aufsichtsbehörde CNIL, apf 2021, S. 156 ff.
Deister, Jochen/Meyer-Spasche, Georg: Anwaltsstrategien im Software-Recht, 2010
Forgó, Nicolaus/Helfrich, Marcus/Schneider, Jochen: Betrieblicher Datenschutz, 2. Aufl., 2017
Fuchs, Anke/Meierhöfer, Christine/Morsbach, Jochen/Pahlow, Louis: Agile Programmierung - Neue Herausforderungen für das Softwarevertragsrecht?, MMR 2012, S. 427 ff.
Grzesiek, Mathias, Abwehrschirm gegen digitale Einbrüche, NJW-aktuell 2020, S. 19 ff.
Härting, Niko: Datenschutz-Grundverordnung, 2016
Herberger, Maximilian/Martinek, Michael/Rüßmann, Helmut u.a.: jurisPK-BGB, 8. Aufl. 2017
Hoeren, Thomas/Sieber, Ulrich/Holznagel, Bernd: Handbuch Multimedia-Recht, 45. Aufl., 2017
Hruschka, Peter/Rupp, Chris/Starke, Gernot: Agility kompakt, 2. Aufl. 2009
Kilian, Wolfgang/Heussen, Benno: Computerrechts-Handbuch, 33. EL Februar 2017
Korch, Stefan: Schadensersatz für Datenschutzverstöße, NJW 2021, S. 978 ff.
Kranig, Thomas/Sachs, Andreas/Gierschmann, Markus: Datenschutz-Compliance nach der DS-GVO, 2017
Kühn, Philipp M./Weaver, Neil C.: DSGVO vs. AGILE? – Prozess- und Produktgestaltung in agilen Projekten unter datenschutzrechtlichen Aspekten, 2019
Marly, Jochen: Praxishandbuch Softwarerecht, 7. Aufl. 2018
Mehrbrey, Kim Lars/Schreibauer, Marcus: Haftungsverhältnisse bei Cyber-Angriffen – Ansprüche und Haftungsrisiken von Unternehmen und Organen, MMR 2016, S. 75 ff.
Müller-Hengstenberg, Claus D./Kirn, Stefan: Öffentliches Vergaberecht und moderne IT-Softwareentwicklung – Anwendung öffentlicher Vergabearten auf Softwareentwicklungsprozesse, MMR 2012, S. 3 ff.
Redeker, Helmut: IT-Recht, 7. Aufl., 2020
Roos, Philipp: Das IT-Sicherheitsgesetz – Wegbereiter oder Tropfen auf den heißen Stein?, MMR 2015, S. 636 ff.
Schläger, Uwe/Thode, Jan-Christoph: Handbuch Datenschutz und IT-Sicherheit, 2018
Schneider, Jochen: Handbuch EDV-Recht, 5. Aufl., 2017
Sorge, Christoph: E-Mail-Server unter Beschuss, NJW 2021, S. 19 ff.
Stahlknecht, Peter/Hasenkamp, Ulrich: Einführung in die Wirtschaftsinformatik, 11. Aufl. 2004
Wybitul, Tim: EU-Datenschutz-Grundverordnung im Unternehmen, 2016
1.Einführung in den gesamtgesellschaftlichen und regulatorischen Rahmen mit IT-Sicherheits- und Datenschutz-Management-Glossar
Thomas A. Degen
Key-Words: Risikomatrix, Cyberkriminalität, Marketing-Buzzwords, Datenschutzregulierung, Beweisrecht, elektronische Signaturen, Zahlungsverkehr, Aufbewahrung, Beweisrecht, Verantwortung der Geschäftsleitung, Verantwortung der IT-Leitung, Verantwortung des Datenschutzbeauftragten, Verantwortung der Personalabteilung, Verantwortung der Vertriebsleitung, Verantwortung der Marketingabteilung, Verantwortung des Betriebsrats
1.1Ausgangs-/Praxisfall
Ein mittelständisches Handelsunternehmen, das Design- und Einrichtungsgegenstände sowie Accessoires, bislang ausschließlich über den stationären Handel und ein Filialnetz in Deutschland und Österreich, vertreibt, entschließt sich zur „Digitaloffensive“. Die Divise lautet, neben dem Einzelhandel den Vertrieb für den Fernabsatz zu öffnen und eine „digitale Transformation“ im Rahmen des Möglichen umzusetzen, insbesondere in Zeiten einer weltweiten Corona-Pandemie.
Die Geschäftsführung des Familienunternehmens überlegt, mit internen Mitteln, aber auch unter Einbeziehung der Fachabteilungen und externer Berater, einen möglichst kreativen, agilen und rechtssicheren Businessplan zu entwickeln.
Der Seniorchefin des Unternehmens sind grundlegende Gesetzesregelungen und Parameter der DSGVO u. a. geläufig. Sie fragt danach, wie sie ihr über Jahre gelebtes „analoges betriebswirtschaftliches Koordinatensystem“ mit aktuellen IT- und datenschutzrechtlichen Aspekten anreichern kann, ohne es zu überfrachten und sich in Details zu verlieren. Sie stellt fest, dass die von ihr recherchierten und ihr vorgelegten Veröffentlichungen voller Technikbegriffe sind und „Buzzwords“ beinhalten, die ihr eher suspekt sind.
Nachdem der Leiter ihrer IT-Abteilung ihr vorschlägt, die komplette IT durch neue Anschaffungen, v. a. in Software-, SaaS- und Cloud-basierte Anwendungen aufzurüsten, weil heutzutage Cyberangriffe auch gegen den Mittelstand an der Tagesordnung seien, möchte sie mehr wissen. Dies erst recht, nachdem sie mit der Rückfrage konfrontiert wird, welches Budget die Firma in die eigene digitale vertriebliche Zukunftsstrategie investieren möchte. Es sei aus Sicht der IT selbstverständlich, dass ein neues ERP mit Schnittstelle zu der Warenwirtschaft zu einem neu zu etablierenden Online-Shop realisiert wird, außerdem müsse man endlich bei den sozialen Medien aktiv werden, weil das Fernbleiben nicht mehr sozialadäquat und der Tod eines Unternehmens im heutigen Informationszeitalter sei.
Nachdem ihr Hausanwalt für Arbeitsrecht und ihre Versicherung ihr auch noch umfängliche Aktualisierungen ihrer Datenschutzerklärung, ihrer AGB und den Abschluss neuer Betriebshaftpflicht- und Cyberschutzversicherungen nahelegen, möchte sie erfahren, ob das alles wirklich sinnvoll ist, zumal sie sich bislang auch ein „IT- und Datenschutzkonzept“ und einen Datenschutzbeauftragten eingespart hat.
Die Annäherung an technische Themen der IT, IT-Sicherheit und des Datenschutzes kann für sehr viele Unternehmer, Selbständige, Behördenvertreter, Politiker, aber auch Verbraucher verhältnismäßig schnell und mit überschaubarem Aufwand erfolgen. Denn in aller Regel bestehen technische, betriebswirtschaftliche und rechtliche Grundkenntnisse und Erfahrungswerte, auf welchen regelmäßig auch gut aufgebaut werden kann.
Für die Führungsebenen, für Entscheidungsträger in Wirtschaft und Behördenlandschaft besteht jedoch die Herausforderung, einen angemessenen Zeit-, Material- und Kosteneinsatz abzuwägen.
Im Ausgangs- und Praxisfall kommt die Seniorchefin sehr schnell zu dem Schluss, auch abgesichert durch Rückmeldungen ihrer Berater, dass es unerlässlich sein wird, sinnvoll, d. h. nachhaltig zu planen und zu investieren.
Ihr kommt das Gleichnis der klugen und der dummen Baumeister in den Sinn: Baue ich auf Stein (sehr viel anstrengender) oder auf Sand (sehr viel einfacher)?
Die Seniorchefin erklärt ihrem Stab: „Wer sagt denn, dass wir uns – bei aller Ernsthaftigkeit – der Thematik IT- und Datenschutz-Compliance nicht auch spielerisch nähern können?“
Es ist Fakt, dass Cyberangriffe stetig zunehmen und eine echte Gefahr darstellen. Für die Unternehmensentscheidung, auf Nachhaltigkeit und Technik- und Rechtskonformität zu setzen und auf Stein zu bauen, braucht es diese Erkenntnis nicht. Denn es ist gesetzliche Verpflichtung, einen angemessenen Schutz der personenbezogenen Daten, vor allem von Kindern und Gesundheitsdaten, sicherzustellen. Die Erkenntnis ist aber im Rahmen einer Risikomatrix zu berücksichtigen.
1.2Risikomatrix
Es empfiehlt sich, bei digitalen Strategien, Vertriebsumsetzungen und Transformationen die personellen und pekuniären Ressourcen in Energie, Kreativität, Konzentration und betriebswirtschaftliche und vertriebstechnische Erfolgstauglichkeit zu setzen, dabei aber auch die Wahrscheinlichkeit des Auftretens eines unerwünschten Ereignisses (Risiko) gegenüber dessen Auswirkung intellektuell bzw. tabellarisch ins Verhältnis zu setzen.
Im Folgenden stellen die Autoren daher bewusst in Abgrenzung zu typischer juristischer Literatur die Praxisbezogenheit und den Korridor für pragmatische Umsetzungen an Hand von Fallgestaltungen in den Vordergrund. Ganz ohne Artikel und Paragraphen kommen wir dabei nicht aus. Das schadet aber auch nicht. Zunächst seien einige kurze Hinweis zur Cyberkriminalität gegeben.
1.3Cyberkriminalität und Verhaltensbotschaften für die Praxis
Insofern ist zu empfehlen, die gesamtgesellschaftlichen Realitäten und Zusammenhänge kritisch zu verfolgen und z. B. bei unabhängigen fach- und sachkundigen Institutionen, wie insbesondere dem BSI, Branchenverbänden und spezialisierten Beratungsgesellschaften, regelmäßig Informationen zur Kenntnis zu nehmen. Instruktiv hat z. B. auch das Bundeskriminalamt die Bedrohungslage durch Cyberkriminalität zusammengefasst:
„Ob Fitnesstracker, smartes Auto oder vollautomatisierte Produktion: Die Digitalisierung schreitet mit großer Dynamik voran und erfasst alle Lebens- und Arbeitsbereiche. Doch der Fortschritt hat auch Schattenseiten: Die steigende Anzahl digitaler Geräte bietet Cyberkriminellen immer neue potenzielle Ziele. Dementsprechend stieg die Anzahl der Cyberangriffe in Deutschland auch im Jahr 2018 weiter an. Rund 87.000 Fälle von Cybercrime wurden von der Polizei erfasst, ein Prozent mehr als im Jahr zuvor. Ein Anstieg von rund fünf Prozent (271.864 Fälle) war auch bei der Zahl der Straftaten zu verzeichnen, bei denen 2018 das Internet als Tatmittel genutzt wurde. Das geht aus dem heute veröffentlichten Lagebild „Cybercrime“ des Bundeskriminalamts (BKA) hervor. Die Vielfalt der digitalen Angriffsziele sorgt dafür, dass auch das Gesamtaufkommen der festgestellten Schadsoftware immer weiter steigt. Cyberkriminelle müssen diese Schadsoftware nicht zwangsläufig selbst erstellen. Auf Marktplätzen im Clearnet, Deepweb und im Darknet werden gegen Bezahlung eine Vielzahl illegaler Angebote gemacht, um beispielsweise Angriffe auf Firmennetzwerke und Webseiten durchzuführen oder Viren programmieren zu lassen. „Crime-as-a-Service“ nennt sich dieses Geschäftsmodell, bei dem neben Schadsoftware auch gestohlene Daten oder Anonymisierungsdienste verkauft werden. Einer dieser Marktplätze war „Webstresser“, eine Plattform, die sich darauf spezialisiert hatte, im Auftrag ihrer Kunden so genannte DDoS-Attacken (Distributed Denial of Service) auf Webseiten durchzuführen. DDoS-Attacken zielen darauf ab, Webpräsenzen, Server und Netzwerke so zu überlasten, das sie nicht mehr erreichbar sind. Mithilfe von „Webstresser“ konnten auch Laien diese Angriffe ausführen. Im April 2018 wurde die Seite, die unter anderem in Frankfurt am Main gehostet worden war, im Rahmen einer international koordinierten Maßnahme mehrerer Strafverfolgungsbehörden, an der auch das BKA beteiligt war, vom Netz genommen. Bis zu diesem Zeitpunkt war „Webstresser“ für über vier Millionen DDoS-Attacken weltweit eingesetzt worden. Der Administrator der Seite wurde festgenommen und Ermittlungen gegen 250 Nutzer der Plattform aufgenommen. Cybercrime verursachte 2018 einen Schaden in Höhe von über 60 Millionen Euro, ein Rückgang um rund 18 Prozent im Vergleich zum Vorjahr (2017: 71,4 Millionen Euro). Die Zahl bildet jedoch nur ab, was der Polizei bekannt geworden ist. Tatsächlich dürfte sich der Schaden für Unternehmen auf über 100 Milliarden Euro belaufen, wie Schätzungen aus der Wirtschaft im Betrachtungszeitraum 2018/2019 zeigen. Die enorme Differenz erklärt sich auch durch das hohe Dunkelfeld in diesem Phänomenbereich. Insbesondere Unternehmen[1] zeigen Fälle von Cybercrime und damit verbundene materielle Schäden nach wie vor vergleichsweise selten an. Die Furcht vor einem Vertrauensverlust bei Partnern und Kunden steht dabei dem Interesse, die Tat strafrechtlich verfolgen zu lassen, entgegen. Dabei sind Firmen ein bevorzugtes Angriffsziel für Hacker, wobei Kriminelle nicht nur daran interessiert sind, an das Geld der Unternehmen zu gelangen. Auch das Ausspähen technologischen Wissens ist für sie von Bedeutung. Das BKA rät sowohl Firmen als auch Privatpersonen, jeden Fall von Cybercrime zur Anzeige zu bringen. Zudem sollten präventive Sicherheitsmaßnahmen für Geräte und Prozesse ergriffen werden. Dass dies einen positiven Effekt hat, zeigt sich am Beispiel des Phishings im Online-Banking: 2018 wurden 723 Fälle zum Phänomen Phishing gemeldet, was einem Rückgang von nahezu 50 Prozent gegenüber dem Vorjahr entspricht. Die rückläufigen Zahlen sind darauf zurückzuführen, dass die Banken ihre TAN-Verfahren weiterentwickelt und Sicherheitslücken geschlossen haben. Insgesamt geht das BKA jedoch auch für die kommenden Jahre von weiter steigenden Fallzahlen im Bereich Cybercrime aus. Um dieser Herausforderung adäquat zu begegnen, arbeitet das BKA derzeit am Aufbau einer Abteilung „Cybercrime“. Damit sollen komplexe Ermittlungen und die Bearbeitung herausragender Cybervorfälle gestärkt werden.“
Wie wichtig eine sorgfältige Planung und Absicherung der Schnittstelle von Recht, Technik und Management ist, zeigt sich, wenn man an die tägliche elektronische Kommunikation über E-Mails in der Unternehmens- und Behördenwelt denkt. Letztlich kann konstatiert werden, dass der Schutzbedarf permanent kontrolliert werden muss. Im März 2021 hat z. B. das BSI über kritische Schwachstellen von Exchange-Servern berichtet und dringend entsprechende Sicherheitsprüfungen und Updates empfohlen.[2]
Die Seniorchefin erklärt, sie möchte mit ihren Businessplänen auch in Zukunft erfolgreich sein, einen „Abwehrschirm gegen digitale Einbrüche“[3] haben und immer gut durch den „TÜV“ kommen.
Im Beispielsfall der Exchange-Schwachstellen hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) folgende – richtige und zu beachtende – IT-Sicherheits- und Umsetzungsdevise ausgegeben: „Patchen – Prüfen – Melden“:[4]
1)Es sind unverzüglich die vom Hersteller bereitgestellten Sicherheitsupdates einzuspielen.2)Sodann sind unmittelbar die eigenen Systeme auf Spuren eines Cyberangriffs zu überprüfen (der Hersteller stellt hierfür in der Regel Tools bereit).3)Sollte ein Sicherheitsupdate nicht umgehend erfolgt sein, muss unter Beachtung der 72-Stunden-Frist (nach Kenntnis) eine Meldung bei der Datenschutzaufsichtsbehörde vorgenommen werden.4)Ist nicht nur das Sicherheitsupdate zu spät aufgespielt worden, sondern treten auch Spuren eines Cyberangriffs auf, muss unter Umständen auch eine Meldung an die Betroffenen (Mandanten/Kunden/Geschäftspartner) gemäß Art. 34 DSGVO erfolgen.
Derartige Exempel zeigen plakativ, dass es in der Praxis mit einer guten Planung allein nicht getan ist. Es bedarf der laufenden Kontrolle.
Bei der Auswahl und Implementierung neuer IT-Systeme, wie einem ERP und z. B. SaaS- und Cloud-Systemen in dem Ausgangs-/Praxisfall, stellt sich zudem die Frage, ob Spezialsoftware sicherer ist als der Standard. Man könnte hier getreu einer nahe liegenden Vertrauenslogik annehmen, dass dem so ist. So finden sich auch immer Softwarehersteller und Institutionen, wie z. B. die Bundesrechtsanwaltskammer, die für sich in Anspruch nehmen, nach dem Stand der Technik die beste respektive sichere Software einzusetzen.[5] Es wäre jedoch ein Trugschluss anzunehmen, dass diese gegen Sicherheitslücken gefeit wäre, wie man im Falle der „E-Justiz-Anwendung“ namens „beA“ erst recht nach den desaströsen Feststellungen von IT-Sachverständigen und Penetrationstests erfahren musste. Die Sicherheit von Spezialsoftware wie z. B. beA und EGVP kann ebenso kritisch zu sehen sein wie die des Exchange Servers.[6] Denn Hacker richten ihr Augenmerk nicht selten und zufällig auf institutionelle Einrichtungen. Der Behörden-, Staats- und Gerichtsapparat dürfte vor Angriffen nicht sicherer sein als die Industrie und der Mittelstand.
Die IT-Sicherheit gewinnt demzufolge in der Unternehmens- und Behördenpraxis immer größere Bedeutung. Cyberattacken nehmen zu.
Abbildung 1
Es gibt zahlreiche weitere Praxisbeispiele, deren Besprechung hier den Rahmen sprengen würde. Einige Fälle sind aber in der Öffentlichkeit besonders kontrovers diskutiert worden.
Zu erinnern wäre beispielsweise an einen Cyberangriff im April 2011, bei dem das Sony Playstation Network und Playstation-Besitzer betroffen waren. Diese konnten ihre Playstation knapp vier Wochen nicht nutzen. Daten (Kreditkarteninformationen und persönliche Daten) von rund 77 Mio. PSN-Abonnenten wurden gestohlen.
In einem anderen Fall ging es um einen Hackerangriff auf Telekom-Router. Ein 29-jähriger Brite hatte im November 2016 bei 1,25 Millionen Telekom-Kunden einen Netzausfall verursacht. Er wurde von den Strafverfolgungsbehörden ermittelt. Ihm wurde der Prozess gemacht. Während des Gerichtsverfahrens hatte er ein umfassendes Geständnis abgelegt. Auf freien Fuß kommt der Hacker ab nicht: Großbritannien hat bereits seine Auslieferung beantragt. In seinem Heimatland wird wegen weiterer Hacker-Angriffe und Banken-Erpressung gegen ihn ermittelt.[7]
Bei einem anderen spektakulären Hackerfall war u. a. der Provider Yahoo betroffen. Auch wenn ansonsten die Dunkelziffer extrem hoch und die Täter viel zu selten dingfest gemacht werden können, wurde in diesem Fall auch ein Täter gestellt. Ein junger Kanadier muss für fünf Jahre ins Gefängnis, weil er nach einem groß angelegten Hackerangriff auf Yahoo im Jahr 2014 russischen Geheimagenten illegal Zugang zu mindestens 80 Webmail-Konten verschafft haben soll.[8] Ein US-Bezirksrichter in San Francisco verurteilte ihn zudem zu einer Geldstrafe von 250.000 US-Dollar (rund 216.000 Euro), wie das Justizministerium am 29.05.2018 mitteilte. Laut US-Ermittlern gelang es russischen Hackern 2014, in die Systeme des Internetkonzerns Yahoo einzudringen und Informationen zu mindestens 500 Millionen Yahoo-Konten zu stehlen. Daraufhin sollen russische Geheimagenten den nun verurteilten Kanadier dafür angeheuert haben, ihnen mittels der erbeuteten Yahoo-Daten gezielt Zugang zu mindestens 80 Webmail-Konten unter anderem von Journalisten und Regierungsbeamten zu verschaffen. Der 23-Jährige wurde im März 2017 in Kanada festgenommen und später in die USA ausgeliefert. Im November bekannte sich der Mann schuldig. Er gab zudem zu, von 2010 bis 2017 in mehr als 11.000 Webmail-Konten eingedrungen zu sein. Er ist bislang der einzige Hacker, der sich im Zusammenhang mit dem Cyberangriff auf Yahoo vor Gericht verantworten musste. Drei weitere Angeklagte mit russischer Staatsangehörigkeit sind den US-Behörden zufolge bislang nicht gefasst worden.
Vielfach geht es Kriminellen darum, Server zu hacken und Schadsoftware einzuschleusen bzw. Kommunikation mitzulesen und Daten abzuziehen. Sofern ein Computersystem, erst recht einer Kanzlei, eines Notariats oder eines sonstigen Berufsgeheimnisträgers, durch Hacker kompromittiert wurde, muss eine Meldung gemacht werden bei der Aufsichtsbehörde i. S. d. Art. 33 DSGVO. Diese Meldung muss unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme eingehen.
Ferner ist zu empfehlen, Strafanzeige zu stellen, auch wenn dies gegen unbekannt wäre. Gleichfalls muss geprüft werden, ob eine weitergehende Informationspflicht besteht (Data Breach) hinsichtlich betroffener Kunden, Geschäftspartner oder Mitarbeiter. Das wäre nach Artikel 34 DSGVO anzunehmen, sofern durch die Datenschutzverletzung ein hohes Risiko für die betroffenen Personen bestünde. Hier wären ggf. Geschäftspartner und Beschäftigte wegen einer etwaigen Duldung der Medien-/E-Mail-Nutzung zu berücksichtigen.
Es ist demzufolge zu begrüßen, dass Deutschland mit seinem föderalen System der Bundes- und Länderzuständigkeiten (wie Bundeskriminalamt, Landeskriminalamt etc.) die übergeordneten Vorhaben der EU zur Cybersicherheit unterstützt. Bereits im November 2017 hat sich der Bundesrat mit EU-Plänen zur Cybersicherheit und zum Schutz vor Hacker-Angriffen auseinandergesetzt.[9] Der Bundesrat wünscht eine stärkere Sensibilisierung der Nutzer und eine Regelung der Gewährleistungsrechte bei Sicherheitslücken von IT-Produkten. Die EU-Kommission hat Anliegen geäußert, Bürger besser vor Cyberattacken zu schützen, denn die Anzahl ist rasant gestiegen; wirtschaftliche Schäden durch Cyberkriminalität haben sich in letzten fünf Jahren verfünffacht. Zur Verbesserung der Cyberabwehrfähigkeit hat die Kommission die EU-Agentur für Netz- und Informationssicherheit (ENISA)[10] gestärkt und zur EU-Agentur für Cybersicherheit ausgebaut. Zu den Projekten gehören Rahmen für Cyber-Sicherheitszertifizierung, der Aufbau eines Notfallmanagements und die Errichtung eines Europäischen Forschungs- und Kompetenzzentrums für Cybersicherheit.[11] In ihrer Stellungnahme bezeichnen die Länder die Sicherheit informationstechnischer Systeme als eine der aktuellen Herausforderungen. Dem ist – neben dem Gesundheits- und Umweltschutz – zuzustimmen.
Der weltweit steigende Ressourcenbedarf an IT hat die Schattenseiten des zunehmenden Energiebedarfs und der ansteigenden Cyberkriminalität. Daher sind Initiativen zum nachhaltigen, umweltfreundlichen Umgang mit IT (Green ICT) ebenso zu begrüßen wie der sachdienliche Kampf gegen Cyberkriminalität.
1.4Informatik-/IT-Security-Fachbegriffe und Marketing-Buzzwords
In der IT- und Datenschutzmanagement-Praxis gibt es ein Sammelsurium aus Fachbegriffen und Abkürzungen. Einige sind beinahe selbsterklärend, andere reine Kunstworte. Zu den nicht überraschenden Anglizismen kommen immer mehr Buzzwords aus dem IT-Security- und Marketing-Slang.
Praktiker schlagen mit diesen und anderen Begriffen vielfach um sich. Wir halten es für hilfreich, einige dieser etablierten Begriffe hier vor die Klammer zu ziehen, um nicht in jedem Inhaltskapitel etwaige Fußnoten oder vorsorgliche Neudefinitionen vornehmen zu müssen. Daher fassen wir nachfolgend (S. 53) einige der Fachbegriffe in tabellarischer Darstellung von A bis Z zusammen. Wie man im Weiteren beim Durchblättern auch sehen wird, halten wir uns als IT- und Datenschutz-Praktiker mit Technik- und Ingenieur-Orientierung an das Credo der Grafik-Designer „Bild schlägt Text“.
Abbildung 2
1.5Kurzübersicht der Rechtsquellen und der regulatorischen Anforderungen
Gleichwohl muss auch an die echten Techniker und die reinen Naturwissenschaftler mit Goethe gesagt werden: „Ein Blick ins Gesetz erleichtert die Rechtsfindung.“ Es darf nur nicht der Nachsatz wie bei den langen Liebesgedichten kommen: „Ich hatte keine Zeit, mich kurz zu fassen, daher sind die rechtlichen Ausführungen so lang wie die AGB von Oracle.“
Für erfolgreiche rechtstechnische Projektumsetzungen in der Unternehmenspraxis ist es demzufolge hilfreich, wenn im Beraterteam zumindest ein Überblickswissen vorhanden ist, auch über rechtsgeschichtliche Entwicklungen und rechtsdogmatische Grundprinzipien (wie z. B. bezüglich der „Grundsätze für die Verarbeitung personenbezogener Daten“ gemäß Art. 5 Abs. 1 DSGVO), zumal allein die DSGVO 99 Artikel und 173 Erwägungsgründe aufweist.
An dieser Stelle sollen nur einführende Ausführungen erfolgen. Eine systematische Darstellung der IT-sicherheitsrechtlichen Rechtsquellen folgt gesondert im folgenden Kapitel 2.
Noch vor Geltung der DSGVO am 25.05.2018 traten zahlreiche umfassende Gesetzesänderungen in Kraft, die eine umfassende Vorbereitung der Unternehmen bedingen und neue Möglichkeiten für Unternehmen wie z. B. durch die eIDAS-Verordnung im Bereich der Digitalisierung oder der PSD2-Richtlinie der EU im Bereich des Zahlungsverkehrs bieten. Unternehmen sollten sich daher mit der umfassenden Neuregelung im Bereich des Datenschutzes und der IT-Compliance für ihr Unternehmen vertraut machen, Haftungsrisiken vermeiden und das eigene Unternehmen für neue elektronische Geschäftsprozesse, vor allem im Rahmen der Digitalisierung, fit machen.
Abbildung 3
Die Regulierung von IT- und Datenschutz-Compliance ist auf zahlreiche Gesetze verteilt, u. a. DSGVO und neues BDSG, neue Datenschutzgesetze der Länder und öffentlich-rechtlichen Religionsgemeinschaften, TKG, TMG, Medienstaatsvertrag der Länder, BSI-Gesetz, eIDAS-Verordnung und Vertrauensdienstegesetz, über 1.000 Gesetze mit Regeln zu Aufbewahrungsfristen von Dokumenten (v. a. HGB und Abgabenordnung). Weiter fällt darunter der ganze Bereich des gewerblichen Rechtsschutzes und des Urheberrechts sowie Rechtsfragen zur Lizenzierung solcher Rechte. Dazu kommen noch zahlreiche Regelungen durch Rechtsverordnung oder Verwaltungsvorschriften, so z. B. die Grundsätze zur ordnungsgemäßen Buchführung und zum Datenzugriff (GoBD).
Beispiele für eine umfassende Neugestaltung der gesetzlichen Anforderungen in jüngster Zeit sind insbesondere:
1.5.1Datenschutzregulierung
Ziel der DSGVO war es, ein harmonisiertes, einheitliches Datenschutzrecht in Europa zu schaffen. Bei über 4.000 Änderungsanträgen hat man in der Verordnung jedoch zahlreiche Möglichkeiten für nationale Ausnahmeregelungen für Mitgliedstaaten vorgesehen. Lediglich Deutschland und Österreich haben bisher nationale Regelungen eingeführt, in den anderen Mitgliedsstaaten verbleibt es bei den Regelungen der Verordnung. Das deutsche Recht bringt zwar einige Vereinfachungen für Unternehmen und die Beibehaltung des betrieblichen Datenschutzbeauftragten ab 20 mit personenbezogenen Daten befassten Mitarbeitern mit sich, erschwert aber die Einhaltung der Regeln für in mehreren Mitgliedsstaaten tätigen Unternehmen.
Die Sanktionen bei Datenschutzverstößen werden durch die DSGVO um mindestens Faktor 70 nach oben gesetzt, von 50.000,00 € für formelle Verstöße auf 10 Mio. € bzw. 2 % des weltweiten Jahresumsatzes (höherer Betrag), für materielle Datenschutzverletzungen von bisher 300.000,00 € auf 20 Mio. € bzw. 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Es mangelt in der EU noch an einem einheitlichen, fairen, transparenten und angemessenen Bußgeldrahmenkatalog, so dass es nicht verwundert, wenn in einem Land für einen Datenschutzverstoß eine letzte belehrende Warnung, in einem anderen eine saftige Geldbuße fällig wird. Besonders heftig fallen Sanktionen freilich aus, wenn die Aufsichtsbehörde grob pflichtwidriges, mutwilliges und absichtliches Falschverhalten aufarbeiten muss. So hat im Fall der Überwachung von mehreren hundert Mitarbeiterinnen und Mitarbeitern des H&M Servicecenters in Nürnberg durch die Center-Leitung der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) einen Bußgeldbescheid in Höhe von 35.258.707,95 Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG erlassen. In der Presseerklärung hierzu heißt es u. a.:
„Die Gesellschaft mit Sitz in Hamburg betreibt ein Servicecenter in Nürnberg. Mindestens seit dem Jahr 2014 kam es bei einem Teil der Beschäftigten zu umfangreichen Erfassungen privater Lebensumstände. Entsprechende Notizen wurden auf einem Netzlaufwerk dauerhaft gespeichert. Nach Urlaubs- und Krankheitsabwesenheiten – auch kurzer Art – führten die vorgesetzten Teamleader einen sogenannten Welcome Back Talk durch. Nach diesen Gesprächen wurden in etlichen Fällen nicht nur konkrete Urlaubserlebnisse der Beschäftigten festgehalten, sondern auch Krankheitssymptome und Diagnosen. Zusätzlich eigneten sich einige Vorgesetzte über Einzel- und Flurgespräche ein breites Wissen über das Privatleben ihrer Mitarbeitenden an, das von eher harmlosen Details bis zu familiären Problemen sowie religiösen Bekenntnissen reichte. Die Erkenntnisse wurden teilweise aufgezeichnet, digital gespeichert und waren mitunter für bis zu 50 weitere Führungskräfte im ganzen Haus lesbar. Die Aufzeichnungen wurden bisweilen mit einem hohen Detailgrad vorgenommen und im zeitlichen Verlauf fortgeschrieben. Die so erhobenen Daten wurden neben einer akribischen Auswertung der individuellen Arbeitsleistung u. a. genutzt, um ein Profil der Beschäftigten für Maßnahmen und Entscheidungen im Arbeitsverhältnis zu erhalten. Die Kombination aus der Ausforschung des Privatlebens und der laufenden Erfassung, welcher Tätigkeit sie jeweils nachgingen, führte zu einem besonders intensiven Eingriff in die Rechte der Betroffenen. Bekannt wurde die Datenerhebung dadurch, dass die Notizen infolge eines Konfigurationsfehlers im Oktober 2019 für einige Stunden unternehmensweit zugreifbar waren. Nachdem der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit über die Datensammlung durch Presseberichte informiert wurde, ordnete er zunächst an, den Inhalt des Netzlaufwerks vollständig „einzufrieren“ und verlangte dann die Herausgabe. Das Unternehmen kam dem nach und legte einen Datensatz von rund 60 Gigabyte zur Auswertung vor. Vernehmungen zahlreicher Zeuginnen und Zeugen bestätigten nach Analyse der Daten die dokumentierten Praktiken. Die Aufdeckung der erheblichen Verstöße hat die Verantwortlichen zur Ergreifung verschiedener Abhilfemaßnahmen veranlasst.“[12]
Aus dem Nachbarland Frankreich macht auch die französische Aufsichtsbehörde CNIL vielfach auf sich aufmerksam, nicht nur mit einer Unterstützung der Normadressaten und Bereitstellung einer Software-Innovation zur Datenschutzfolgeabschätzung,[13] sondern durch extrem hohe Bußgeldfestsetzungen. Die Aufsichtsbehörde hat z. B. gegenüber Amazon ein Bußgeld verhängt von 35 Mio. Euro[14] und über 100 Mio. Euro gegen Google.[15] In der Datenschutzpraxis kommt den Aufsichtsbehörden europaweit nicht nur das Aufsichts- und Sanktionswesen zu, sondern auch eine Informationsfunktion gegenüber Bürgern und Unterstützungsfunktion gegenüber Datenschutzanwendern. Aufsichtsbehörden tragen zum Dialog und zur besseren Informiertheit bei.
Abgesehen von Bußgeldern ist auch an Schadensersatzverpflichtungen zu denken bei Datenschutzverstößen: Denn Betroffene können gemäß Art. 82 DSGVO Schadensersatz verlangen, wenn sich der Verarbeiter nicht entschuldigen („exkulpieren“) kann und ein adäquat-kausaler und zurechenbarer Schaden entstanden ist. Ersatzfähig sind insofern nicht nur materielle, sondern auch immaterielle Schäden. Aus dem Erwägungsgrund 146 S. 3 der DSGVO ergibt sich, dass der Begriff des Schadens weit zu verstehen ist. Ferner findet sich dort ein Verweis auf die Rechtsprechung des EuGH und die Ziele der DSGVO. Dies wird so verstanden, dass der Schadensersatzanspruch nicht ausschließlich der Kompensation, sondern gerade auch der Prävention dienen soll. Das bedeutet, dass dem Schadensersatzanspruch eine „abschreckende Wirkung“ zukommt.[16]
In unserem Ausgangs-/Praxisfall hat die Seniorchefin des Handelsunternehmens „grünes Licht“ gegeben und eine Datenschutzrichtlinie für das Unternehmen erstellen lassen sowie klargestellt, dass alle erforderlichen technischen und organisatorischen Maßnahmen (gemeinhin abgekürzt mit TOMs) ergriffen werden, um eine Datenschutzkonformität herzustellen.
Die Anforderungen ergeben sich insbesondere aus Art. 5 Abs. 1, Abs. 2 sowie Art. 6, 12 ff., 25, 28, 30 ff. DSGVO mit den Umsetzungspflichten und Dokumentations- und Rechenschaftspflichten. Zu den technischen und organisatorischen Maßnahmen gehört, insbesondere Verfahrensverzeichnisse und Vereinbarungen über Auftragsdatenverarbeitung vorzuhalten und Auskunftsverpflichtungen sowie Lösch- und Sperrpflichten sehr ernst zu nehmen und so schnell wie möglich im Rahmen eines eigenen Projektes zur DSGVO zu etablieren. Zudem müssen völlig neue Anforderungen wie z. B. das Recht zur Datenübertragung in die Prozesse des Unternehmens integriert werden.
1.5.2Beweisrecht und elektronische Signaturen
Die Regeln zu elektronischen Signaturen werden durch die eIDAS-Verordnung erheblich vereinfacht und bieten die Möglichkeit, sichere Signaturen für Kunden in Rechenzentren zu erzeugen, ohne dass der Kunde des Rechenzentrums selbst sich um Kartenleser und Zertifikate kümmern muss. Damit wird es auch für Unternehmen praktikabel und bezahlbar, beweissichere elektronische Signaturen flächendeckend einzusetzen. Die gegenseitige Anerkennung der elektronischen ID-Verfahren der Mitgliedsstaaten der EU ist am 18.o9.2018 in Kraft getreten, die neuen Rechtsregeln für Vertrauensdienste (u. a. elektronische Signaturen) gelten seit 01.07.2016.
1.5.3Zahlungsverkehr
Durch die 2. Zahlungsdiensterichtlinie (nach der englischen Bezeichnung Payment Services Directive 2 in der Praxis üblicherweise PSD2 genannt) und das zur Umsetzung in Deutschland erlassene „Gesetz über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union“ werden neue Möglichkeiten für Zahlungsdiensteanbieter geschaffen und die Sicherheit für Internetzahlungen erheblich verbessert.
1.5.4Digitalisierung, Aufbewahrung und Beweisrecht
Durch die eIDAS-Verordung werden neben der einfacheren Erfüllung der gesetzlichen Schriftform auch neue Dienste wie z. B. elektronische Siegeldienste für elektronische Unterschriften eines Unternehmens und Bewahrungsdienste zur Langzeitarchivierung aufbewahrungspflichtiger Dokumente etabliert.
Gegenüber dem Finanzamt müssen Unternehmen wegen der am 01.01.2015 in Kraft getretenen „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD)“ nach Ablauf der Übergangsfrist seit 2017 durch Verfahrensdokumentationen sicherstellen, dass Datenverarbeitung zu Buchhaltung und steuerrelevanten Dokumenten korrekt arbeitet.
In unserem Ausgangs-/Praxisfall fragt die Seniorchefin, welche Haftungsszenarien der regulatorische Rahmen mit sich bringt, und ob man in unternehmerisch-organisatorischer und funktionell-personeller Hinsicht differenzieren kann?
Welche Verantwortungsebenen und Rechtsfolgen für die typischen Organe und Funktionsträger in Unternehmen sind zu beachten?
Kann man als Vorstand, Geschäftsführung und Leitungsebene die Haftung auf die Mitarbeiter und Erfüllungsgehilfen delegieren und abwälzen?
1.6Verantwortung der Geschäftsleitung
In Deutschland ist im Vergleich zu anderen Ländern, wie z. B. der Schweiz, Verantwortung im Bereich Datenschutz- und IT-Compliance nicht delegierbar. Das bedeutet, dass lediglich die zugehörigen Aufgaben hier weitergegeben werden können. Die Geschäftsleitung einer GmbH ist nach § 43 Abs. 2 GmbHG ebenso wie der Vorstand einer AG nach § 91 AktG zu einem aktiven Risikomanagement verpflichtet.
Bei einer Verletzung der Pflicht zum Risikomanagement kann nach § 43 Abs. 2 GmbHG oder § 93 AktG sogar eine Haftung der Geschäftsleitung mit dem Privatvermögen entstehen. Zum Risikomanagement gehört natürlich auch die rechtzeitige und umfassende Vorbereitung des Unternehmens auf die DSGVO wegen der exorbitant gestiegenen Bußgeldbeträge.[17]
Die Geschäftsleitung sollte dafür sorgen, dass die Pflicht zur regelmäßigen Prüfung uns Evaluierung der Sicherheitsmaßnahmen nach Art. 32 DSGVO organisatorisch umgesetzt wird, was nur durch den Aufbau und die Pflege eines unternehmensweiten IT- und Datenschutz- und Datensicherheitskonzeptes gelingen kann.
In einzelnen Branchen gibt es zusätzliche Verpflichtungen, wie z. B. das Kreditwesengesetz und die darauf basierenden MaRisk, die besonderen Anforderungen für Telekommunikationsanbieter in § 109 und § 109a TKG, Anforderungen im Wertpapierhandelsgesetz, z. B. zur IT-Sicherheit und zur Vermeidung von Insiderhandel u. v. m.
1.7Verantwortung der IT-Leitung und IT-Sicherheitsabteilung
Die IT-Leitung steht gegenüber dem Unternehmen in der Pflicht, die notwendigen Maßnahmen im Bereich der IT zur Umsetzung der gesetzlichen Vorschriften zu treffen. Soweit es sich nicht um vorsätzliches oder grob fahrlässiges Fehlverhalten handelt, ist die IT-Leitung dem Unternehmen nicht zum Schadensersatz verpflichtet.
Dabei ist jedoch zu beachten, dass auch ein Unterlassen von offensichtlich gesetzlich notwendigen IT-Sicherheits- und Datenschutzmaßnahmen zu einer Haftung wegen grober Fahrlässigkeit führen kann.
1.8Verantwortung des Datenschutzbeauftragten
Ab 20 Mitarbeitern, die mit personenbezogenen Daten arbeiten, braucht ein Unternehmen einen betrieblichen Datenschutzbeauftragten (DSB), außer es sind Besonderheiten zu beachten. So ist unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen ein DSB zu benennen, wenn der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vornimmt, die einer Datenschutzfolgenabschätzung (DSFA) gem. Art. 35 DSGVO unterliegen, oder wenn personenbezogene Daten geschäftsmäßig verarbeitet werden.
Es besteht unabhängig von dieser Kopfzahl eine Verpflichtung und Notwendigkeit, etwa wegen besonderer Schutzgüter. Ein Datenschutzbeauftragter ist zwingend zu benennen, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Art. 37 Abs. 1 DSGVO regelt die Bestellung eines DSB. Für diesen tritt neben der Unterrichtungs- und Beratungsverantwortlichkeit eine Überwachungszuständigkeit.
Losgelöst von der gesetzlichen Pflicht, ist die Bestellung eines DSB aber auch aus Gründen der Haftungsvermeidung im Innenverhältnis interessant.
Da bereits E-Mail- und IP-Adressen als personenbezogene Daten gelten, wird hier fast ausnahmslos jeder Mitarbeiter gezählt. Als Datenschutzbeauftragter kann ein eigener Mitarbeiter oder ein externer Datenschutzbeauftragter eingesetzt werden. Letzteres wird in vielen Fällen zu empfehlen sein, weil es auch um Neutralität, Unabhängigkeit, Fachkompetenz und die Vermeidung von innerbetrieblichen Interessenkollisionen geht, und der DSB autoritär genug sein sollte, seine fachkundige Meinung auch einer anspruchsvollen Geschäftsleitung offen und ehrlich sagen zu können. Das hört sich selbstverständlicher an als es bei objektiver Betrachtung und bei kritischer Audit-Würdigung in vielen Organisationseinheiten tatsächlich der Fall ist.
Denn es menschelt natürlich überall – beim Startup genauso wie bei Traditions-, Großindustrie- und Hightech-Unternehmen. Wenn man einen internen DSB etabliert, muss man sich im Klaren sein, dass dieser eine Art Sonderstellung einnehmen kann, ein Hybrid zwischen „fünftes Rad am Wagen bis zum weiteren Betriebsrat im Cockpit“. Denn der Datenschutzbeauftragte hat auf die Einhaltung der gesetzlichen Vorschriften hinzuwirken und der Geschäftsleitung direkt zu berichten. Er ist in seiner Tätigkeit weisungsfrei und kann auch ohne Rücksprache mit der Geschäftsleitung die Aufsichtsbehörde konsultieren. Die Haftung eines externen Datenschutzbeauftragten richtet sich dabei nach den mit diesen getroffenen Vereinbarungen.
1.9Verantwortung der Personalabteilungsleitung
Die Personalabteilungsleitung (HR) ist für die Einhaltung des Beschäftigungsdatenschutzes, insbesondere des Bewerbermanagements mit kurzen Löschungsfristen von Daten, innerhalb des Unternehmens verantwortlich. Beschäftigtendaten dürfen nur im Rahmen von Art. 88 DSGVO und dem neuen § 26 BDSG verarbeitet werden, Ermittlungen gegen Arbeitnehmer dürfen nur bei einem Verdacht auf Straftaten darüber hinaus geführt werden.
1.10Verantwortung der Finanz-/Buchhaltungsabteilungsleitung
Die Finanz- und Buchhaltungsleitung ist für die richtige und zeitnahe Erfassung und Auswertung von Buchungsvorgängen und deren revisionssichere Speicherung verantwortlich. Dabei muss bei elektronischer Ablage eine spätere Änderung durch Abgleich von Belegen, Vorlage von Verfahrensdokumentationen und nach Möglichkeit auch unveränderbarer und indizierter Speicherung verhindert werden.
1.11Verantwortung der Revisionsabteilungsleitung
Die Revisionsabteilung ist dafür verantwortlich, die Geschäftsleitung auf Risiken des Unternehmens hinzuweisen, insbesondere durch Prüfung von Buchhaltungsunterlagen oder Prüfung der korrekten Nutzung von gewerblichen Schutzrechten und urhebergeschützten Werken. Dazu ist ein ordentliches Risiko- und Lizenzmanagement im Unternehmen erforderlich.
1.12Verantwortung der Vertriebsabteilungsleitung
Die Vertriebsleitung ist unter anderem für die Einhaltung von Impressumspflichten sowie Gesetzeskonformität von Allgemeinen Geschäftsbedingungen (AGB) oder Widerrufsbelehrungen im Fernabsatz verantwortlich, ebenso wie für die Einhaltung wettbewerbsrechtlicher Vorschriften gegen unlautere Werbemaßnahmen wie z. B. Mondpreise, Diskriminierung oder Irreführung von Kunden.
1.13Verantwortung der Marketingabteilungsleitung
Die Marketingabteilung sollte die Vorschriften zur Datennutzung für Werbemaßnahmen nach dem Datenschutz- und Wettbewerbsrecht einhalten, die ab Mai 2018 durch die DSGVO und in naher Zukunft durch die neue E-Privacy-Verordnung der EU geändert werden. Ebenso wie die Vertriebsabteilung muss das ganze Wettbewerbsrecht beachtet werden.
1.14Verantwortung des Betriebsrats
Der Betriebsrat hat die Rechte der Mitarbeiter und seine Beteiligungsrechte an Personal-, Organisations- und Kontrollmaßnahmen zu wahren. Dazu gehört auch die Mitwirkung am Einsatz neuer Geschäftsprozesse sowie Hard- und Softwarebeschaffung und die Wahrung des Datenschutzes.
Der Betriebsrat hat sich fortzubilden, um anhand der zahlreichen neuen Regelungen die Rechte der Mitarbeiter wahrnehmen zu können.
Dem Betriebsrat obliegt es nicht, so tief in der Materie IT beheimatet zu sein wie die Fachkollegen der IT-Abteilung. Es schadet aber nicht, zumindest den ein oder anderen der gängigen IT- und Datenschutz-Fachbegriffe zu kennen, um auf Augenhöhe mitdiskutieren zu können.
1.15IT-Sicherheits- und Datenschutz-Management-Glossar
Die nachfolgende Tabelle kann nur einen Ausschnitt abbilden und schon gar keinen Anspruch auf Vollständigkeit begründen in einem dynamischen rechtstechnischen Informatik-Kontext.[18]
| IT-Begriff | Bedeutung |
| Adware | Einerseits handelt es sich um Software, die sich durch Werbung finanziert. Andererseits werden darunter auch Schadprogramme verstanden, die Werbung für den Autor des Schadprogramms erzeugen. |
| Algorithmus | Bestimmte Handlungsvorschrift zur Lösung eines Problems; in der Informatik handelt es sich um eine Verarbeitungsvorschrift, die so konkret formuliert ist, dass sie mittels eines maschinell ausführbaren Programms wiedergegeben werden kann. |
| Angemessenheit | Von einer Angemessenheit wird in der IT gesprochen bei organisatorischen und technischen Vorkehrungen, soweit der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht (gemäß § 8a Abs. 1 BSIG). |
| Anonymisierung | Das Verändern personenbezogener Daten dergestalt, dass diese Daten nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können; praktisch ist eine vollständige Anonymisierung äußerst schwer zu erlangen. |
| APP | Anwendungen |
| ASP | Abkürzung für Application Service Providing. Damit stellt ein Softwareanbieter sein Programm, etwa ein ERP-System, zur Nutzung über das Internet oder ein privates Datennetz bereit. |
| Asset | Aktiva, Werte, Objekte, Ressourcen, Fähigkeit eines Unternehmens, Geschäftsprozesse, Wissen, Informationen, Anwendungen, Infrastruktur, Management, finanzielles Kapital, verarbeitete Datenarten, IT-Anwendungen, IT-Systeme, um den Schutzbedarf im Rahmen des ISMS zu bestimmen[19] |
| Asymmetrische Verschlüsselung | Gleichbedeutend mit Public-Key-Verschlüsselung: Verschlüsselung, bei der Informationen mit dem öffentlichen Schlüssel in ein nicht lesbares Chiffrat überführt werden und nur mit dem geheimen (privaten) Schlüssel wieder in ihre ursprüngliche Form zurückgeführt werden können. |
| Audit | Untersuchungsverfahren, mit dem geprüft wird, ob Prozesse, Anforderungen und Richtlinien die geforderten Standards erfüllen; erfolgt im Rahmen eines Qualitäts- und Datenschutzmanagements. Grundlegende Aussagen macht DIN EN ISO 19011 „Leitfaden zur Auditierung von Managementsystemen“. |
| Auftragsverarbeiter | Dies ist nach Art. 4 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. |
| Authentifikation | Eigenschaften der Echtheit, Überprüfbarkeit, Vertrauenswürdigkeit; welche als IT-Sicherheitsvorgang nachzuweisen sind, dass die Daten eines Datenursprungs einem angegebenen Sender zugewiesen werden können, was durch digitale Signaturen ermöglicht werden kann. |
| Avatar | Virtueller Stellvertreter, i. d. R. Animation oder Grafik; wird im Internet, bei Games oder in Chatrooms zur Darstellung einer Person verwendet. |
| Awareness | Mentales Konstrukt: Aktuelles, situationsbezogenes Bewusstsein, „Gewahrsein“ einer Person über ihre Umgebung und die sich daraus ergebenden Handlungsimplikationen; durch Handlungsimplikationen berührt das Konstrukt nicht nur wahrnehmungspsychologische Phänomene (Aufmerksamkeit), sondern auch sozialpsychologische Prozesse (Entscheidungsverhalten von Individuen). Beispiele: Herstellung notwendig im Zuge komplexer Einführungen wie des ERV oder der DSGVO. |
| Backbone | Hauptstrang eines Netzwerks; zentrale wichtigste Verbindungen der Internet-Provider. |
| Backdoor | Programm, das Dritten einen unbefugten Zugang durch Viren, Würmer oder Trojanische Pferde zum Computer ermöglicht, versteckt, unter Umgehung der Sicherheitseinrichtungen; wird für Denial-of-Service-Angriffe verwendet. |
| Backup | Sicherung der Daten zum Schutz vor Datenverlust durch Erstellung von Kopien von bestehenden Datenbeständen. |
| Basis-Sicherheitscheck im IT-Grundschutz | Überprüfung, ob die gemäß IT-Grundschutz empfohlenen Maßnahmen in einer Organisation bereits umgesetzt sind und welche elementaren Sicherheitsmaßnahmen noch offen sind. |
| BCM | Verfahrensbegriff für Business Continuity Management, mit dem alle organisatorischen, technischen und personellen Maßnahmen gemeint sind, die zur Fortführung des Kerngeschäfts eines Unternehmens oder einer Behörde nach Eintritt eines Sicherheitsvorfalls oder Notfalls dienlich sind. Mittels BCM wird die sukzessive Fortführung der Geschäftsprozesse bei länger anhaltenden Ausfällen sichergestellt. |
| beA | besonderes elektronisches Anwaltspostfach; ein elektronisches Postfach für Rechtsanwälte, basierend auf der EGVP-Infrastruktur; letztere steht für Elektronisches Gerichts- und Verwaltungspostfach, unter der eine Kommunikationsinfrastruktur verstanden wird, mit der seit 2004 von authentifizierten Teilnehmern an die teilnehmenden Gerichte und Behörden elektronische Dokumente und Akten übermittelt werden können. |
| Beauftragter für IT-Sicherheit | Person, die in größeren Organisationseinheiten das Informationssicherheitsmanagement und Sicherheitsziele betreut im Hinblick auf die technische Umsetzung; i. d. R. erfolgt eine Zusammenarbeit mit dem ISB, welcher auf Leitungsebene tätig ist. |
| Bedrohung | Ereignis, durch welches ein Schaden eintreten kann (eng. „threat“), hinsichtlich der Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen. |
| Betreiber Kritischer Infrastrukturen | Gemäß Rechtsverordnung nach § 10 Abs. 1 BSIG (BSI-KritisV) „eine natürliche oder juristische Person, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf die Beschaffenheit und den Betrieb einer Anlage oder Teile davon ausübt.“ |
| Blue Team | Darunter wird die interne IT-Sicherheit eines Unternehmens verstanden. Das Sicherheitsteam verteidigt das Unternehmen gegen Angreifer bzw. sog. Red Teams. |
| Bot | Abgeleiteter Begriff von „robot“; bezeichnet Programme, die nach Aktivierung ohne menschliche Mitwirkung automatisiert im Internet agieren. Unter Botnetz wird ein Zusammenschluss von Bots zu einem Kommunikationsverbund verstanden. |
| BSI | Bundesamt für Sicherheit in der Informationstechnik; dieses hat die Aufgabe, den Schutz und die Sicherheit der IT-Infrastruktur im Gemeinwohlinteresse zu gewährleisten. |
| Browser | Software zur Darstellung von Websites im WWW (World Wide Web) oder von Daten und Dokumenten; Beispiele: Firefox; Google Chrome; Microsoft Edge; Apple Safari; Brave; Opera. |
| Bruteforce Attack | Cyberangriff, mit dem bezweckt wird, Zugang zu einem durch Passwörter geschützten Bereich zu erlangen. Sofern die Zugangscodes nicht auf anderem Weg, wie durch Social Engineering, erlangt werden, werden diese mittels „Bruteforce Attack“ erraten; entweder manuell oder durch spezielle Tools, mit denen auch längere Passwörter geknackt werden können. |
| Buffer-Overflow | Cyberangriff, bei dem Schwachstellen in der Implementierung einer Software ausgenutzt werden. Soweit in der Software nicht verifiziert wird, ob die übergebenen Daten in den vorgesehenen Bereich („Buffer“) passen, erfolgt bei zu großen Datenmengen ein Überlauf („Overflow“). Infolgedessen können Speicherbereiche überschrieben werden, die der Ausführungslogik der Software dienen, wodurch der Angreifer in die Lage versetzt werden kann, einen von ihm eingeschleusten Code auszuführen und sich Zugang auf das System zu verschaffen. |
| BVT | best available techniques (beste verfügbare Technik), siehe Stand der Technik |
| BYOD | Kurzform für Bring your own divice, eine Strategie von Organisationseinheiten, Mitarbeiter zur dienstlichen Nutzung ihrer privaten Geräte zu ermutigen oder ggf. finanzielle Anreize hierfür zu schaffen. |
| Byte | Informationseinheit bestehend aus 8 Bit. Ein Byte speichert einen Buchstaben (26 kleine, große; Umlaute, 10 Ziffern, Sonderzeichen usw.). Ein Computerwort umfasst je nach Maschine 8, 16, 32 oder 64 Bit. Die Größe einer Datei oder eines Programms wird angegeben mit Kilobyte (1024 Bytes), Megabyte (1024 Kilobytes), Gigabyte (1024 Megabytes). Bytes werden mit einem großen „B“; Bits mit einem kleinen „b“ abgekürzt. |
| © | Der Copyrightvermerk „©“ in Bildschirmmaske oder Dokumentation/Handbuch führt gemäß § 10 UrhG zu einer Urheberrechtsvermutung. |
| Cache | Pufferspeicher, welcher Daten schneller zur Bearbeitung bereitstellt, wie typischerweise ein lokales Verzeichnis hinsichtlich beim Surfen besuchter Webseiten, die so nicht erneut geladen werden müssen. |
| Cache Poisoning | Einschleusen von manipulierten Daten in einen Zwischenspeicher, welcher von anderen Anwendungen genutzt wird. Der Angreifer intendiert damit, die Routen von Datenpaketen zu ändern oder Anfragen für Webseiten eines Kreditinstituts auf eine gefälschte Webseite umzuleiten. |
| CERT | Computer-Notfallteam („Computer Emergency Response Team“), bestehend aus IT-Experten, die sich mit der Abwehr von Cyber-Angriffen, der Reaktion auf IT-Sicherheitsvorfälle und der Umsetzung präventiver Maßnahmen befassen. |
| Chat Bots | Bezeichnung für Mini-Roboter, die in Chatsystemen eingesetzt werden, um nach der Kontaktaufnahme, vergleichbar einem menschlichen Chat, über unterschiedliche Themen, z. B. aktuelle News, zu kommunizieren. |
| Chipkarte | Karte, die i. d. R. aus Kunststoff besteht und ein oder mehrere Halbleiterchips enthält. Es gibt Speicherkarten, auf denen nur Daten abgelegt werden können, und Mikroprozessorkarten („Smart Card“), in welche ein Prozessor integriert ist, der zusätzlich Daten verarbeiten kann. |
| Chosen-Ciphertext-Attacke | Kryptographischer Angriff, bei dem der Angreifer Zugriff auf Klartexte zu von ihm gewählten Chiffraten erhalten kann. Der Angreifer bezweckt, ein Chiffrat zu dechiffrieren, das zu keinem dieser Klar-Geheim-Kompromisse gehört. |
| Chosen-Plaintext-Attacke | Kryptographischer Angriff, bei dem der Angreifer Zugriff auf Chiffrate zu von ihm ausgesuchten Klartexten erhalten kann. |
| Clickjacking | Ein vordergründig harmloser Link oder Werbebanner leitet zu einer Webseite, welche Schadprogramme oder weiterführende Links zu nicht gesuchten Inhalten enthalten kann. |
| Client | Software-Anwendung, die im Gegensatz zu einer serverbasierten Anwendung nicht auf einem Server, sondern auf einem (Arbeitsplatz-)PC des Users abläuft; ein Client kann auch ein Arbeitsplatz-PC sein, welcher mit einem Netzwerk verbunden ist. |
| Cloud | Cloud Computing: IT-Infrastruktur, die über das Internet verfügbar gemacht wird; enthält i. d. R. Speicherplatz, Rechenleistung oder Anwendungssoftware. |
| C&C Server | Bezeichnung für Command & Control Server (auch C2 Server, Kontrollserver): Viele Schadprogramme nehmen nach der Infektion eines Systems Kontakt zu einem C&C Server der Angreifer im Internet auf, um von dort Instruktionen und weiteren Schadcode nachzuladen sowie auf dem infizierten System ausgespähte Informationen an diesen Server zu übermitteln. C&C Server verteilen bei Botnetzen die Kommandos an die einzelnen Bots, außer die Kommandos werden über Peer-to-Peer-Kommunikation weitergegeben, so dass auf einen zentralen Server verzichtet werden kann. |
| Compliance | Gesamtheit an rechtlichen, regulatorischen, organisatorischen Maßnahmen zur Erreichung eines ordnungsgemäßen Geschäftsbetriebes |
| CON | Konzepte und Vorgehensweisen |
| Cookies | Alphanumerische Identifizierungszeichen, die bei Aufruf einer Webseite auf die Festplatte des Endgeräts des Webseiten-Besuchers übermittelt und bei einer neuerlichen Anfrage an den Server mitgesendet werden und bezwecken, Besucher wiederzuerkennen, so dass es nicht notwendig ist, Nutzerdaten neu einzugeben. Der Besuch einer Webseite soll angenehmer und individueller zu gestalten sein, z. B. durch Erkennung der verwendeten Sprache und um die Webseite vor Hackerangriffen zu schützen, wie es vielfach bei Cookie-Bannern und Datenschutzerklärungen heißt. Es werden im Wesentlichen technisch erforderliche Cookies für den funktionierenden Webseiten-Betrieb und Cookies zu Statistik- und Analyse-Zwecken sowie für Marketingzwecke unterschieden. |
| CP | Abkürzung für Certificate Policy, ein Bündel aus Regeln, welche bei der Ausstellung des Zertifikates berücksichtigt wurden. Damit kann geprüft werden, ob ein Zertifikat für einen spezifischen Einsatzzweck ausreichende Sicherheit gewährleistet. |
| CRM | Abkürzung für Customer-Relationship-Management, (Kundenbeziehungsmanagement). Unter CRM-System wird die branchenbezogene komplexe Komponenten-Software verstanden, die die entsprechenden Bausteine für die bedarfsgerechte Kundenpflege einschließlich Dokumentation abbildet (z. B. analytisch, operativ, kommunikativ, kollaborativ). |
| Cross-Site Scripting (XSS) | Eine solche Attacke zielt auf die Ausnutzung von Sicherheitslücken in Internet-Anwendung, um an Daten eines Benutzers zu kommen. Angreifer fokussieren sich dafür z. B. auf Session-Cookies, die zur Identifizierung einzelner Nutzersitzungen im Browser angelegt werden. Der Begriff ist dem Cross-Site entlehnt, der Kommunikation zwischen einzelnen Stellen einer Webseite, und dem Scripting, da die meisten Angriffe durch Scripting Sprachen, wie Javascript, ausgeführt werden. |
| Cybermobbing | Oberbegriff für verschiedene Formen der Belästigung, Diffamierung und Nötigung anderer Menschen oder Unternehmen über das Internet. Typischerweise wird das Opfer mittels beleidigender, ehrverletzender, aggressiver Texte, kompromittierender Fotos oder Videos attackiert. |
| Cybersquatting | Registrieren von Domainnamen bekannter Kennzeichen/Marken, um diese gegen die Rechteinhaber zu verwenden oder mit Gewinn an diese weiterzuverkaufen. |
| Cyber-Security | Kunstwort aus „Cyberspace“ (virtueller Raum, Synonym für Internet) und „Security“ (Sicherheit); meint die Absicherung gegen Gefahren aus dem Internet. |
| Cyber-Stalking | Nachstellen, Verfolgen und Überwachen einer Person mittels digitaler Medien und Mitteln. |
| Data Leakage Prevention | Um den Abfluss vertraulicher Informationen besser steuern zu können, werden softwarebasierte Werkzeuge (Tools) eingesetzt, die den Datenfluss im Internet oder auf Endgeräten kontrollieren. Diese sollen alarmieren, sobald vertrauliche Informationen über unsichere Wege übertragen werden. |
| Data Miner | Software zum Sammeln, Ausfiltern, Übermitteln von Daten aus internen Datenbanken und externen Informationsquellen. Aus der gewonnenen Datensammlung können wichtige Informationen, Analyseaussagen und Zusammenhänge extrahiert werden. |
| Datenschutz | Schutz personenbezogener Daten natürlicher Personen vor Verletzung der Persönlichkeitsrechte; insbesondere in der DSGVO und dem BDSG geregelt. |
| Datenschutz-Management | Darunter werden diejenigen Prozesse zusammengefasst, welche erforderlich sind, um die Umsetzung der gesetzlichen Anforderungen des Datenschutzes bei der Planung, Einrichtung, dem Betrieb und nach Außerbetriebnahme von Verfahren zur Informationsverarbeitung zu gewährleisten. |
| data protection by design | Datenschutz durch Technik; Beispiele: Nutzung der Pseudonymisierung (Ersatz personenbezogener Informationen durch künstliche Kennungen) und Verschlüsselung (Kodierung von Nachrichten, damit nur Befugte sie lesen können). |
| data protection by default | Datenschutzfreundliche Voreinstellungen; Beispiele: Soziale Medien-Plattformen sollten ermutigt werden, die Voreinstellung der Nutzerprofile auf bestmögliche datenschutzfreundliche Weise vorzunehmen, indem von Beginn an die Zugänglichkeit zum Nutzerprofil eingeschränkt wird, sodass es nicht durch Voreinstellung einer unbestimmten Zahl von Personen zugänglich ist.[20] |
| Datensicherung | Schutz von Daten, Hard-, Software , und Organisation vor Verlust, Zerstörung, Missbrauch durch Unbefugte; gleichbedeutend mit Datensicherheit. |
| DER | Detektion & Reaktion[21] |
| DevOps | IT-Kunstbegriff aus Development (Entwicklung) und Operations (IT-Betrieb), der eine Methodik beschreibt, wie die Zusammenarbeit zwischen Softwareentwicklung und IT-Betrieb optimiert werden kann. DevOps beschreibt einen Ansatz, wie die Zusammenarbeit zwischen Softwareentwicklung und IT-Betrieb verbessert werden kann. DevOps ist ein Kofferwort aus den Begriffen Development (englisch für Entwicklung) und IT Operations (englisch für IT-Betrieb). |
| DKE | Deutsche Kommission Elektrotechnik Elektronik Informationstechnik in DIN und VDE; in Deutschland zuständige Organisation für die Erarbeitung von Standards, Normen und Sicherheitsbestimmungen für Elektrotechnik, Elektronik, Informationstechnik. |
| DNS | Domain Name System |
| DNS-Hijacking | Angriffsmethode, die eingesetzt wird, um die Kommunikation zwischen Advertising DNS-Servern und Resolvern über das System eines Angreifers zu leiten. Die Kommunikation wird nicht direkt zwischen den beiden Kommunikationspartnern geführt, sondern über einen Dritten, was bedeutet, dass es sich um eine Man-in-the-Middle-Attacke handelt. |
| DNS-Spoofing | Angriff, bei dem der Angreifer die Zuordnung zwischen einem Rechnernamen und der zugehörigen IP-Adresse fälscht, indem ein Name in eine falsche IP-Adresse oder die IP-Adresse in einen falschen Namen umgewandelt wird. Nicht der Client-PC wird durch Schadsoftware manipuliert, vielmehr werden Schwachstellen in der DNS-Kommunikation ausgenutzt. |
| Domain | Zusammenhängender Teilbereich des DNS; eindeutiger Name für einen logisch abgegrenzten Teilbereich des Internets , z. B. eine Website wie www.edv-navigator.de; dabei ist edv-navigator die Second-Level-Domain (SLD) und „de“ die Top-Level-Domain (TLD). |
| Doxing | Bezeichnung, wenn Täter personenbezogene Daten sammeln, welche sie bündeln und öffentlich verfügbar machen. |
| Dropzones | Speicher im Internet, an die von Schadprogrammen aufgezeichnete Daten automatisch übermittelt werden. Von dort werden die Daten von dem Angreifer entnommen, ohne dass ein unmittelbarer Zugriff des Angreifers auf das System des Opfers erforderlich wird. |
| DSB | Abkürzung für Datenschutzbeauftragter. |
| DSFA | Abkürzung für Datenschutzfolgenabschätzung. |
| E-Procurement | Elektronische Beschaffung: Beschaffung von Waren und Dienstleistungen unter Nutzung des Internets und anderer Informations- und Kommunikationssysteme (wie EDI- und/oder ERP-Systeme). |
| EDSA | Europäischer Datenschutzausschuss; eine unabhängige europäische Einrichtung, die zur einheitlichen Anwendung der Datenschutzvorschriften in der EU beiträgt und die Zusammenarbeit zwischen den EU-Datenschutzbehörden fördert; besteht aus Vertretern der nationalen Datenschutzbehörden und dem Europäischen Datenschutzbeauftragten (EDSB). Die Aufsichtsbehörden der EWR-/EFTA-Staaten sind im Hinblick auf Angelegenheiten in Verbindung mit der DSGVO ebenfalls Mitglied, allerdings ohne Stimmrecht und ohne das Recht, zum Vorsitzenden oder zu stellvertretenden Vorsitzenden gewählt zu werden.[22] Nachfolgegremium der Artikel-29-Datenschutzgruppe. |
| EITO | European Information Technology Observatory, eine Europäische Initiative, die seit 1993 Marktdaten zur Informations- und Kommunikationstechnologie und Unterhaltungselektronik in Europa veröffentlicht. |
| ELSTER | Elektronische Steuererklärung; der für die Kommunikation mit den Finanzbehörden (und diesen untereinander) definierte Standard. |
| Ende-zu-Ende-Verschlüsselung | Durchgängige Verschlüsselung zwischen Absender und Empfänger, v. a. bei der E-Mail-Kommunikation. Voraussetzung dieses Verfahrens ist, dass Absender und Empfänger entsprechende Verschlüsselungssoftware einsetzen und den jeweils öffentlichen Schlüssel des Kommunikationspartners besitzen. Gängige Verfahren sind PGP und S/MIME. |
| ERP | Abkürzung für Enterprise-Resource-Planning: Unter ERP-System wird eine komplexe Anwendung verstanden bzw. ein Softwaresystem, das der Unterstützung der Ressourcenplanung des gesamten Unternehmens im Sinne effizienter betrieblicher Wertschöpfungsprozesse und optimierter Steuerung dient (etwa Kapital, Personal, Betriebsmittel, Material, Informations- und Kommunikationstechnik). |
| ERV | Abkürzung für Elektronischer Rechtsverkehr. |
| EULA | Abkürzung für Endbenutzer-Lizenzvertrag/Endbenutzer-Lizenzvereinbarung (End User License Agreement), eine besondere Lizenzvereinbarung zur Regelung der Benutzung von Software, meist zu Beginn der Installation der Software angezeigt. |
| Exploit | Zur Ausnutzung einer entdeckten Sicherheitslücke wird ein spezielles Programm entwickelt („Exploit“). Damit wird dem Angreifer Zugang zum Computersystem des Programms oder Zugriff auf Dateien gegeben, für die er sonst keine Berechtigungen hätte. |
| Fail-Over | Als „Übernahme im Fehlerfall“ bezeichnete Betriebsart in fehlertoleranten Systemen, bei welchem die Funktion einer Komponente bei einem Fehler von einer redundanten Komponente übernommen wird. |
| Fake News | Falschmeldungen, i. d. R. objektiv falsche Tatsachenbehauptungen, die irrtümlich oder bewusst im Internet verbreitet werden, v. a. in den sozialen Medien. |
| Fault-Attacke | Angriff auf ein kryptographisches System, in welchem der Angreifer eine fehlerhafte Ausführung einer kryptographischen Operation ausnutzt oder aktiv „zündet“. |
| Firewall | Einerseits wird darunter ein System, auch „Sicherheitsgateway“ genannt, verstanden, aus software- und hardwaretechnischen Komponenten, um IP-Netze sicher zu koppeln. Andererseits handelt es sich um eine IT-Konfiguration aus Hardware und Software, welche den Datenfluss zwischen dem internen Netzwerk und dem externen Netzwerk kontrolliert. Daten, die das Netz verlassen, können überprüft werden, wie auch solche, die hinein wollen. |
| Framing | Framing / Embedding, abgeleitet als Prozess einer Einbettung von Ereignissen und Themen in Deutungsraster. Nach dem BGH (Urteil v. 09.07.2015 – I ZR 46/12 – Die Realität II) stellt die Verknüpfung eines auf einer fremden Internetseite bereitgehaltenen Werkes mit der eigenen Internetseite im Wege des „Framing“ kein öffentliches Zugänglichmachen dar i. S. d. § 19a UrhG. |
| Freeware | Freie Software, die ohne Lizenzgebühren bzw. Nutzungsentgelt verwendet werden darf; i. d. R. auch beliebig teil- und kopierbar. |
| FTP | Abkürzung für File Transfer Protocol, ein Protokoll zur Dateiübertragung von und zu entfernten Rechnern. |
| Fuzzing | Automatisierte Testmethode für Software, bei der ein Programm eine Fülle automatisch generierter Eingabedaten verarbeiten muss, ohne eine Fehlfunktion zu zeigen. Sofern ein Hacker mittels Fuzzing ein Eingabemuster erkennt, das eine Fehlfunktion erzeugt, muss geprüft werden, ob der gefundene Fehler als Sicherheitslücke ausgenutzt werden kann.[23] |
| Green ICT | Oberbegriff (auch Green IT genannt) für Strategien, die Nutzung von Informations- und Kommunikationstechnik über deren gesamten Lebenszyklus umwelt- und ressourcenschonend zu gestalten. |
| Hashfunktion | Ein kryptographischer Algorithmus, bei dem Nachrichten beliebiger Länge auf einen Hashwert fester Länge abgebildet werden. |
| Hashwert | Mathematische Prüfsumme, die mittels Anwendung einer Hashfunktion aus einer elektronischen Nachricht gebildet wird. Der Hashwert hat praktisch die Bedeutung eines digitalen Fingerabdrucks, weil es bei einer kryptographisch geeigneten Hashfunktion nahezu unmöglich ist, zwei Nachrichten zu finden, deren Hashwert identisch ist. |
| Hats | Von der Redensart „den Hut aufhaben“. Es gibt drei Kategorien: White Hats setzen ihr Wissen und ihre Fähigkeiten nach den gesetzlichen Vorgaben ein. Als Praxisbeispiele seien Sicherheitsforscher und Penetration Tester genannt. Black Hats sind i. d. R. „Hacker“, die kriminelle Handlungen begehen, die IT-Infrastruktur beschädigen und personenbezogenen Daten stehlen. Grey Hats verwenden ihre Fähigkeiten nicht unmittelbar zur mutwilligen Zerstörung, sie agieren jedoch auch nicht gesetzeskonform, indem sie z. B. Gesetze missachten, um Missstände aufzudecken. |
| Header | Abgeleitet von „Kopf“ (wie Kopfzeilen einer E-Mail), am Anfang einer Dateneinheit stehend und aus Metadaten bestehend, d. h. aus Daten, die Informationen über andere Daten beinhalten (über Absender, Empfänger, Betreff, Datum, Verbreitungsweg der Nachrichten). |
| Hoax | Falschmeldung, welche über E-Mail, Messenger-Dienste, SMS/MMS verbreitet wird. |
| Homepage | Begriff für die Startseite einer Internetpräsenz, nicht für alle Webseiten einer solchen und nicht für ein ganzes Internetportal. Alternative Bezeichnung für Server. |
| Host | Synonym für Server. |
| Hotzone | Access-/Zugangsmöglichkeit zu Funknetzwerken (WLAN), welche über eine weitere Reichweite als Hotspots (Access-Points) verfügt und unter Umständen ganze Ortschaften umfassen kann. |
| HSM | Abkürzung für Hardware Security Module, eine spezialisierte Hardware, welche kryptographische Schlüssel in besonders sicherer Form aufbewahren und performant anwenden kann. |
| HTML | Abkürzung für Hyper Text Markup Language, d. h. für eine Beschreibungssprache für WWW-Seiten, welche mittels eines Browsers dargestellt werden können. |
| HTTPS | Abkürzung für Hypertext Transfer Protocol over SSL, d. h. für ein Protokoll zur verschlüsselten Übertragung von Webseiten. |
| Hub | Netzkoppelelement, das an verschiedene Netzkabel angeschlossen ist; hat die Funktion, alle Signale, die von einem dieser Kabel empfangen werden, wieder auszusenden. |
| Hyperlink | Auf Basis der Computersprache HTML (Hypertext Markup Language) wird im WWW eine Verbindung einzelner Webseiten mit anderen im Internet verfügbaren Dokumenten hergestellt, indem ein Textelement oder eine Grafik angeklickt wird und somit eine Weiterleitung auf eine andere Webseite, ein Dokument oder eine Datei erfolgt. |
| IaaS | Infrastructure as a Service bezeichnet ein Cloud-Computing-Angebot, bei dem ein Provider den Nutzern Zugang zu IT-Ressourcen wie Servern, Speicher und Netzwerkkomponenten offeriert; Unternehmen können ihre eigenen Anwendungen in der Infrastruktur des Providers verwenden. |
| ICANN | Internet Corporation for Assigned Names and Numbers, 1998 gegründete Organisation in Kalifornien untersteht der Kontrolle des US-Handelsministeriums; führt die globale Koordination aller eindeutigen Namen im Internet durch, wozu die Top-Level-Domainnamen wie .de oder .com. gehören. |
| Icon | Bezeichnung für ein kleines Bildelement, das bei graphischer Benutzeroberfläche verwendet wird und mit dem durch Anklicken z. B. Programme gestartet werden können. |
| ICS | Abkürzung für Industrial Control System, ein „geflügeltes Wort“ für Automatisierungslösungen zur Steuerung technischer Prozesse. |
| IDS / IPS | Abkürzungen für Intrusion Detection (IDS) und Intrusion Prevention Systeme. Damit können Angriffsversuche in einer frühen Phase erfasst werden und der Administrator rechtzeitig alarmiert (IDS) bzw. eine automatisierte Reaktion auf den Angriff ausgelöst werden (IPS). |
| IETF | Abkürzung für Internet Engineering Task Force, eine internationale Gemeinschaft, die Standards und Empfehlungen (Request for Comments, kurz: RFC) entwickelt im Sinne einer fortlaufenden Optimierung der Internet-Architektur. |
| IKT | Abkürzung für Informations- und Kommunikationstechnik. |
| IND | Abkürzung für Industrielle IT. |
| Identitätsdiebstahl | Ein solcher wird angenommen, wenn ein unberechtigter Dritter Zugang zu Identifikations- und Authentisierungsdaten eines Benutzers erlangt, wie z. B. Benutzername, Passwort, Bank-/Kreditkarteninformationen. |
| Implementierung | Integration spezifischer Algorithmen oder Funktionalitäten in ein Produkt. |
| Importieren | Laden von Daten in eine Datei. |
| INF | Abkürzung für Infrastruktur. |
| Information Leakage Prevention | Bezeichnung für eine (softwarebasierte) Lösung, um den Abfluss vertraulicher Informationen besser steuern zu können, indem der Datenfluss im Netz und/oder auf Endgeräten mittels Tools kontrolliert wird. Geläufig sind Tool-Bezeichnungen wie „Data Loss Prevention“ (DLP), „Extrusion Prevention“, „Information Leakage Prevention“ (ILP). |
| Informationsschutz | Schutz der IT-Systeme und der dort gespeicherten Daten, Informationen. |
| Informationssicherheit | Sicherheit und Schutz wirtschaftlich sensibler sowie vorteilhafter Daten und Informationen (Asset, Informationswert); hierzu gehören der Teilbereich IT-Sicherheit; der Begriff der Informationssicherheit wird vielfach irrtümlich auch als Datensicherheit und Informationsschutz deklariert. |
| Informationswerte | Gemäß ISO 27000-Normenfamilie ist der Informationswert weitergehender als lediglich eine Festlegung in Wort, Schrift und Bild, weil „immaterielle Informationsformen“ (Wissen, Ideen, Marken) in Verbindung mit Geschäftsprozessen, Systemen, Personal in einer digital vernetzten Welt organisationseigene Werte darstellen, welche zu schützen sind. |
| Infrastruktur-Sicherheit | Hierzu gehören technische Schutzaspekte für die Verfügbarkeit der IT wie bezüglich der Energieversorgung, Kühlung, Brandvermeidung, Zugangsbeschränkung, mithin technisch-organisatorische Maßnahmen neben der typischen IT-Sicherheit, wie der Datensicherung, Verschlüsselung, Zugriffsregelungen. |
| Injection-Angriffe | Oberbegriff für Angriffe, die z. B. via SQL-Injection-Schwachstelle Datenbankabfragen über eine Applikation manipulieren, indem etwa Änderungen an Datenbank-Inhalten ermöglicht oder ggf. Programmcode ausgeführt werden kann. |
| Inkrementell | Bezeichnung für eine bestimmte Art der Datensicherung, indem lediglich die Daten gesichert werden, die sich nach der letzten Sicherung geändert haben. |
| Instant-Messaging | Service für Online Chats mit „sofortiger Nachrichtenübermittlung“; bekannte Messenger sind z. B. WhatsApp, Telegram, Threema. |
| Integrität | Bezweckt, dass Daten, Informationen nicht unautorisiert modifiziert werden, dass Daten und Systeme unversehrt bleiben; neben Verfügbarkeit und Vertraulichkeit eines der drei Ziele der Informationssicherheit. |
| Interface | Bindeglied zwischen zwei verschiedenen Ebenen, wie etwa der Anschluss zwischen Computer und Drucker oder die grafische Benutzeroberfläche eines Computers als Schnittstelle zwischen der Software und dem Menschen.[24] |
| Internet | Abkürzung für „Interconnected Network“, worunter das globale Datennetz verstanden wird, das sich aus vielen kleineren lokalen Netzen zusammensetzt und verschiedene Dienste beinhaltet. Als Metapher für das Internet ist „Information Superhighway“ geläufig. |
| Internet-System-Vertrag | Internet-System-Verträge sind i. d. R. vertragstypologisch als Werkverträge zu qualifizieren, wie der Bundesgerichtshof in einer elementar wichtigen Grundlagenentscheidung festgestellt hat (BGH, Urteil vom 04.03.2010 – III ZR 79/09). |
| Internetprotokollfamilie | Eine Familie von rund 500 Netzwerkprotokollen, welche die Basis für die Netzkommunikation im Internet bilden; vielfach wird auch die Bezeichnung TCP/IP-Protokollfamilie verwendet. Letzte Bezeichnung steht für Transmission Control Protocol/Internet Protocol, mithin eine Gruppe von Netzwerkprotokollen, wobei es sich im Kern um das Internet Protocol (IP), das Transmission Control Protocol (TCP), das User Datagram Protocol (UDP) und das Internet Control Message Protocol (ICMP) handelt. |
| IoT | Internet of Things: Sammelbegriff für Technologien einer globalen Infrastruktur der Informationsgesellschaften, die sicherstellt, physische und virtuelle Gegenstände miteinander zu vernetzen und sie durch Informations- und Kommunikationstechniken zusammenarbeiten zu lassen |
| IP-Adresse | Die Adresse, unter der ein Rechner innerhalb eines Netzwerks nach dem Internetprotokoll erreichbar ist. Diese besteht aus vier Byte, die durch Punkte getrennt sind. Nach IPv4 gibt es das neue Internetprotokoll IPv6 mit mehr Adressen zugunsten des wachsenden Internets. |
| IP-Spoofing | Täuschung des Internetnutzers mittels Einfügens einer falschen IP-Absenderadresse, so dass dieser glaubt, auf einer anderen Webseite zu sein als dies den Tatsachen entspricht. |
| IS-Management | Abkürzung für Informationssicherheitsmanagement, womit die Planungs-, Lenkungs- und Kontrollaufgaben gemeint sind, welche geboten sind, um einen sachgerechten und funktionierenden Prozess zur Herstellung von Informationssicherheit auf- und kontinuierlich umzusetzen. |
| ISB | Abkürzung für Informationssicherheitsbeauftragter. Dieser ist für die operative Erfüllung der Informationssicherheit zuständig; eine hinreichende Fachkompetenz in diesem Segment wird vorausgesetzt. Synonym wird dieser Informationssicherheitsmanager (ISM) oder Chief Information Security Officer (CISO) genannt. |
| ISMS | Implementierte Anforderungen; Informationssicherheits-Managementsystem, welches ein prozessorientiertes Konzept verfolgt als Basis für die Ausrichtung zur Informationssicherheit im Unternehmen; ein ISMS kann nach ISO/IEC 27001 zertifiziert werden.[25] |
| ISO | Die internationale Vereinigung der Standardisierungsgremien von 151 Ländern (International Organization for Standardization, www.iso.org), welche internationale Standards in allen technischen Bereichen verabschiedet. Die Vertretung Deutschlands bei der ISO erfolgt durch das Deutsche Institut für Normung (DIN). |
| ISO/IEC 27001 | Internationale Norm (Information technology – Security techniques – Information security management systems – Requirements), spezifiziert die Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten ISMS unter Berücksichtigung des Kontexts einer Organisation; ferner beinhaltet die Norm Anforderungen für die Beurteilung und Behandlung von Informationssicherheitsrisiken entsprechend den individuellen Bedürfnissen der Organisation. |
| ISO 27701 | Security techniques – Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management – Requirements and guidelines; Erweiterung der ISO 27001 und 27002 um Datenschutzaspekte auf Basis des ISMS. |
| ISO/OSI-Schichtenmodell | Das ISO (International Standard Organization)/OSI (Open System Interconnection)-Schichtenmodell ist ein Referenzmodell für Kommunikationsprotokolle und Rechnernetze als Schichtenarchitektur: Die Kommunikation zwischen zwei Systemen ist in verschiedene Schichten unterteilt, mit dem Zweck, die Kommunikation über unterschiedlichste technische Systeme sicherzustellen. Jede Schicht hat eine bestimmte Aufgabe und ist abgeschottet. Es bestehen lediglich Schnittstellen zu den benachbarten Schichten, um Daten zu übertragen. |
| IT-Grundschutz | Der vom BSI entwickelte IT-Grundschutz bezweckt, mittels systematischer Vorgehensweise notwendige Sicherheitsmaßnahmen zu identifizieren und umzusetzen. Die BSI-Standards liefern bewährte Vorgehensweisen, das IT-Grundschutz-Kompendium konkrete Anforderungen.[26] |
| IT-Sicherheit | Technische Sicherheit von IT-Infrastruktur und -Systemen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit und Integrität; Bereiche der IT-Sicherheit sind z. B. eine Firewall oder ein Schadsoftwareschutz (vielfach als „Virenschutz“ bezeichnet). |
| IT-System | Abkürzung für Informationstechnisches System. Darunter wird eine technische Anlage, die eine abgeschlossene Funktionseinheit bildet, verstanden zum Zwecke der Informationsverarbeitung, wie z. B. Computer, Clients, Mobiltelefone, Router, Server, Sicherheitsgateway, Switches. |
| ITU | Abkürzung für International Telecommunication Union, eine globale Organisation, die technische Normen der Telekommunikation entwickelt. |
| Jailbreak | Vorgang („Gefängnisausbruch“), bei dem durch Spezialprogramme Schwachstellen ausgenutzt und Sicherheitsmechanismen des mobilen Betriebssystems iOS von Apple außer Kraft gesetzt werden, so dass Nutzer und Apps vollen Zugriff auf das Betriebssystem erhalten. |
| Java | Programmiersprache, von dem US-Unternehmen Sun entwickelt, mit der über einen Browsers kleine („vorkompilierte“) Programme geladen und ausgeführt werden können. |
| KANBAN | Eine japanische Vorgehensmethode („Karte“) der Produktionsprozesssteuerung, die nur am tatsächlichen Verbrauch von Materialien am Bereitstell- und Verbrauchsort ausrichtet und eine Reduktion der lokalen Bestände von Vorprodukten in und nahe der Produktion ermöglicht, die in Produkten der nächsten Integrationsstufe verbaut werden, um die Wertschöpfungskette auf jeder Fertigungs-/Produktionsstufe einer mehrstufigen Integrationskette kostenoptimal zu lenken. Die Entnahmen erfolgen aus den jeweiligen Pufferlagern und das Nachliefern in dieselben Pufferlager asynchron. Durch das Verteilen der Pufferlager in der Produktion entlang der Integrationskette wird mit einfachen Mitteln der Information und mit kurzen Wegen des Transports eine einfache Lösung erreicht. Bei der Softwareentwicklung wird mittels Kanban die Anzahl paralleler Arbeiten, der Work in Progress, begrenzt und kürzere Durchlaufzeiten erreicht und Engpässe schnell sichtbar gemacht.[27] |
| Keylogger | Illegale Hardware oder Software zum Aufzeichnen und Mitschneiden von Tastatureingaben. |
| Keyword Spamming | Vielfaches Verstecken von Keywords auf Webseiten mit dem Ziel, in Suchmaschinen-Rankings vordere Positionen zu erreichen und sich unlautere Wettbewerbsvorteile zu verschaffen. |
| Kollaboration | Kooperative Zusammenarbeit von Projektgruppen, Unternehmen, Geschäftspartnern zur Optimierung der Wertschöpfungskette; Beispiel: Verteilung von Informationen und gemeinsame Nutzung von Ressourcen, (administrative, entwicklungstechnische, prozessbasierte, produktions-, serviceorientierte, informationstechnische). |
| Krisenmanagement | Systematischer Umgang mit Krisensituationen durch Etablierung planerischer, organisatorischen, prozessmäßiger Vorkehrungen, um eine schnellstmögliche Zurückführung der eingetretenen außergewöhnlichen Lage in den Normalzustand zu erreichen. |
| KRITIS | Abkürzung für Kritische Infrastrukturen. Zu diesen zählen Organisationen und Einrichtungen mit grundlegender Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen einträten, wie die Sektoren und Branchen Transport und Verkehr, Energie, Informationstechnik und Telekommunikation, Finanz- und Versicherungswesen, Staat und Verwaltung, Ernährung, Wasser, Gesundheit, Medien und Kultur, Presse. |
| Kryptographie | Wissenschaft der Verschlüsselung von Informationen. |
| LAN | Local Area Network. Bezeichnung für das hausinterne Netz einer Organisationseinheit. |
| Legal Tech | Legal Technology: IT-gestützte Technik (wie insbesondere Online-Dienste, Software, IT-gestützte Dienstleistungen), die rechtstechnische Arbeitsprozesse unterstützt oder automatisiert zur Effizienzsteigerung. |
| Login | Vorgang, sich in einem Computersystem anzumelden (einzuloggen); dient dazu, dem System mitzuteilen, dass eine Sitzung beginnt und dass der User mit einem Benutzerkonto, das ihm bestimmte Zugriffsrechte ermöglicht, verknüpft werden möchte; stellt sicher, den User zu identifizieren und zu authentifizieren. |
| M-Commerce | Oberbegriff für Einkaufen via Handy/Smartphone; abgeleitet von E-Commerce (Einkaufen via Internet). |
| MAC-Adresse | Abkürzung für eine physikalische Adresse (Media Access Control), eine vom Hersteller erteilte, grundsätzlich unveränderbare Identifizierungsnummer einer Netzwerkkarte. |
| Makro-Virus | Bezeichnung für einen Computervirus, der in Dateien enthalten ist, welche nicht die Anwendungsprogramme infizieren, sondern die damit hergestellten Dateien. Besonders bei Anwendungsprogrammen, bei denen Programme (Makros) und andere Objekte eingebettet werden können, wie bei Office-Produkten, sind Makro-Viren verbreitet. |
| Malware | Bezeichnung für Schadsoftware („Malicious software“), d. h. für Computer-Viren, Würmer, Trojanische Pferde. |
| Mandantenfähigkeit | Bezeichnung für IT-Systeme und Software, welche die Daten und Prozesse eines Mandanten sauber von denen anderer Kunden separieren, d. h. Zugriffe oder Beeinträchtigungen von dem einen in den anderen Bereich unterbinden, so dass die Vertraulichkeit, Integrität und Verfügbarkeit nicht missachtet wird. |
| Maximum-Prinzip im IT-Grundschutz | Danach definiert der Schaden oder die Summe der Schäden mit den gravierendsten Auswirkungen den Schutzbedarf eines Geschäftsprozesses oder eines IT-Systems. |
| MDM | Abkürzung für Mobile-Device-Management. Dieses bezeichnet ein System zur zentralisierten Verwaltung von mobilen Endgeräten einer Organisation einschließlich Rollout, Systemmanagement, Endgeräteüberwachung, (Fern-)Konfiguration, Inventarisierung, Support. |
| Meta-Tag | Im Kopf von Webseiten hinterlegte zusätzliche Daten, wie z. B. Keywords, um eine schnellere und leichtere Auffindbarkeit über Suchmaschinen zu erreichen. |
| MITM-Angriff | Man-in-the-Middle-Angriff, Angriffsform, die in Rechnernetzen vorkommt, indem der Angreifer dabei entweder physisch bzw. logisch zwischen den beiden Kommunikationspartnern steht und mit seinem System die Kontrolle über den Datenverkehr zwischen zwei oder mehreren Netzwerkteilnehmern erlangt; die „Janusköpfigkeit des Angreifers besteht darin, dass er den Kommunikationspartnern vortäuscht, das jeweilige Gegenüber zu sein.“[28] |
| MMS | Abkürzung für Multimedia Messaging Service, eine Übertragungstechnik für Multimedia-Daten zwischen Handys (Smartphones) und anderen elektronischen Geräten. |
| Modellierung | Darunter wird nach der Methodik gemäß IT-Grundschutz der erfasste Informationsverbund einer Organisationseinheit (Unternehmen, Behörde) mittels der Bausteine der IT-Grundschutz-Kataloge nachgebildet. So verweist Kapitel 2.2 der IT-Grundschutz-Kataloge für jeden Baustein darauf, welche Zielobjekte anzuwenden und Vorgaben zu berücksichtigen sind. |
| Modem | IT-Begriff (Modulator/Demodulator), mit dem ein Gerät zur Datenfernübertragung (DFÜ) bezeichnet wird, etwa ein solches, das einen Rechner über analoge Telefonleitungen mit einem Provider verbindet, welcher den Internetanschluss offeriert. Die digitalen Signale werden insofern in diverse hohe Pfeiftöne umgewandelt (moduliert) und umgekehrt (demoduliert). Es gibt auch DSL- und Kabel-Modems. |
| Motherboard | IT-Begriff, mit dem die „Hauptplatine eines Computers“ gemeint ist. Auf diesem „Brett“ liegen der Hauptprozessor (CPU), der Hauptspeicher (RAM), Speicherbausteine, Steckplätze für den Prozessor und Erweiterungskarten (Netzwerk-, Grafik-, Soundkarten). |
| MTA MTP | Abkürzung für „Maximal tolerierbare Ausfallzeit“ („Maximum Tolerable Period of Disruption“), d. h. maximal tolerierbare Ausfallzeit, bei deren Überschreitung die Lebensfähigkeit des Prozesses oder der Organisationseinheit ernsthaft gefährdet ist. |
| Multimedia | Begriffsbezeichnung für Inhalte und Werke, welche aus mehreren, i. d. R. digitalen Medien bestehen können, wie Text, Grafik, Fotografie, Animation, Audio, Video, so dass verschiedene Sinne gleichzeitig angesprochen werden. |
| Navigation | Steuerung zu und durch IT-/Web-Anwendungen. |
| NET | Abkürzung für Netze und Kommunikation. |
| Nettiquette | Kunstbegriff, abgeleitet aus Netz („net“) und Etikette/Höflichkeit („etiquette“). Der Bedeutungsgehalt steht für die unverbindlichen Regeln, welche die Nutzung des Internets für alle Menschen angenehm machen sollen, wie gute Umgangsformen, freie Zugänglichmachung von Inhalten, Respektierung des Persönlichkeits- und Urheberrechts, Einhaltung von Sicherheitsstandards bei der Übertragung vertraulicher Daten etc. |
| Netzwerk | Bezeichnung für einen Rechner-Verbund, bei dem die Netzwerk-Rechner untereinander Daten austauschen. Diese können als Host oder Server Daten bereitstellen oder als Client auf diese zugreifen oder u. U. beides gleichzeitig erledigen. |
| Netzwerkknoten | Punkte, an denen verschiedene Netze oder Teile eines Netzes verknüpft sind, mit der Funktion des Kommunikationsablaufs zwischen den angeschlossenen Teilen. |
| NFC | Abkürzung für Near Field Communication. NFC hat als Funktionsbedeutung das kontaktlose Zahlen, indem auf sehr kurze Distanz kleine Datenmengen übertragen werden können. |
| Nicknapping | Cyber-Attacke, die dadurch gekennzeichnet ist, dass der Angreifer unter einem bekannten Namen oder Pseudonym in Erscheinung tritt. |
| non repudiation | Bezeichnung für „Nichtabstreitbarkeit“, worunter im Wesentlichen die Nachweisbarkeit gegenüber Dritten verstanden wird, um sicherzustellen, dass der Versand und Empfang von Daten nicht negiert werden kann. Bei der „Nichtabstreitbarkeit der Herkunft“ geht es darum, dass es einem Absender einer Nachricht unmöglich sein soll, das Absenden einer konkreten Nachricht nachträglich zu bestreiten; bei der „Nichtabstreitbarkeit des Erhalts“ soll es dem Empfänger einer Nachricht unmöglich sein, den Erhalt einer gesendeten Nachricht nachträglich zu bestreiten.[29] |
| Nonce | IT-Begriff „number used only once“, der in der Kryptografie für eine Einmalzahl steht, welche in einem Kontext nur einmal verwendet wird. |
| Notfallkonzept | Dieses beinhaltet das Notfallvorsorgekonzept sowie das Notfallhandbuch. |
| OCR | Optical character recognition: Automatisierte Texterkennung oder optische Zeichenerkennung innerhalb von Bildern. |
| ö.b.u.v. | Abkürzung für öffentlich bestellt und vereidigt. Relevant z. B. bei (außer-)gerichtlichen IT-Sachverständigen-Bestellungen und beweisrechtlichen Klärungen. |
| Öffentlicher Schlüssel | Der Teil eines kryptographischen Schlüsselpaares, der frei zugänglich und öffentlich bekannt ist. |
| Operationelle Risiken | Grundlegende Gefahren, die aus dem Prozessablauf erwachsen wie fehlerhaftes Verhalten, Betrug, Unkenntnis, IT-Risiken, Naturkatastrophen. |
| OSS, Open Source (Software) | Quelloffene Software, deren Quelltext öffentlich und von Dritten eingesehen, geändert und genutzt werden kann; i. d. R. kostenlos nutzbar. Nach der Open Source Initiative (OSI) geht es um Software, deren Lizenzverträge drei charakteristischen Merkmalen entsprechen und die zehn Punkte der Open Source Definition erfüllen: (1) Der Quelltext liegt in einer lesbaren und verständlichen Form vor: Vor dem Programmablauf wird der Text durch einen Compiler in eine binäre Form transformiert, damit das Computerprogramm vom Rechner ausgeführt werden kann. Binärprogramme sind für den Menschen im semantischen Sinne nicht lesbar. (2) Die Software darf beliebig kopiert, verbreitet, genutzt werden (keine Nutzungsbeschränkungen, keine Zahlungsverpflichtungen gegen einen Lizenzgeber). Es wird typischerweise nur die Weitergabe des Quelltextes verlangt. (3) Die Software darf verändert und in der veränderten Form weitergegeben werden: Durch den offengelegten Quelltext ist Verändern ohne Aufwand für jeden möglich. Die Weitergabe soll ohne Lizenzgebühren möglich sein. OSS ist auf die aktive Beteiligung der Anwender an der Entwicklung angewiesen. OSS ist prädestiniert zum Lernen, Mitmachen, Optimieren. |
| OWASP | Kurzform für Open Web Application Security Project; eine globale Non-Profit-Organisation zur Verbesserung der Sicherheit von Software (vgl. https://www.owasp.org mit Wiki zur Softwaresicherheit). |
| PaaS | Platform as a Service, bezeichnet eine Cloudumgebung, die eine Plattform für die Entwicklung von Anwendungen im Internet zur Verfügung stellt; eng mit anderen Services, wie SaaS oder IaaS verwandt. |
| Pairing | IT-Bezeichnung für die spezielle „Vertrauensbeziehung“ zwischen zwei, z. B. Bluetooth-fähigen, Geräten, die einen gemeinsamen Verbindungsschlüssel einsetzen, um miteinander kommunizieren zu können. |
| Paketfilter | IT-Systeme mit spezifischer Software, die den ein- und ausgehenden Datenverkehr in einem Netz anhand besonderer Regeln filtern. |
| Partition | Teil einer Festplatte, welche in verschiedene Partitionen aufgeteilt sein kann, die jeweils ein eigenes Dateisystem beinhalten. |
| Passwort | Nachweis der Zugangsberechtigung des Benutzers zu einem geschlossenen System. |
| Patch | Kleines Programm zur Fehlerbehebung („Flicken“) in Anwendungsprogrammen oder Betriebssystemen. |
| PDCA-Zyklus | Kleines Programm, das Fehler in Anwendungsprogrammen oder Betriebssystemen behebt. Bezeichnet einen iterativen vierphasigen Prozess für Lernen und Verbesserung des Physikers Walter Andrew Shewhart, wobei PDCA für Plan – Do – Check – Act steht. Die Hintergründe des Prozesses liegen in der Qualitätssicherung. |
| Universelles, plattformunabhängiges Dateiformat („Portable Document Format“) | |
| P2P-Netzwerk | Abkürzung für Peer-to-Peer-Netzwerk: Dort können die Nutzer beliebige Dateien auf Ihrem Rechner für andere freigeben. |
| Penetration Testing | Hierbei wird das Angriffsverhalten auf eine IT-Infrastruktur simuliert, um Schwachstellen aufzudecken und etwaige Schäden abschätzen zu können. Es gibt zwei Verfahren. Mittels Black Box Penetration Test wird das Angriffsverhalten eines externen Angreifers simuliert, der kaum oder keine Kenntnis über die Infrastruktur hat und sein Wissens überwiegend aus öffentlich zugänglichen Daten hat. In Abgrenzung zur Black Box wird bei der White Box das Angriffsverhalten eines internen Angreifers simuliert, welcher detaillierte Informationen über Ziel, Infrastruktur und interne Parameter hat. |
| PGP | Pretty Good Privacy: Von Phil Zimmermann entwickeltes Programm zur Verschlüsselung und zum Unterschreiben von Daten. |
| Pharming | Cyberangriff, bei dem i. d. R. Zugangsdaten geklaut werden. In Abgrenzung zum Phishing wird beim Pharming die Infrastruktur dergestalt verfälscht, dass das Opfer selbst dann auf einer gefälschten Webseite landet, wenn er die richtige Adresse des Dienstes eingeben hat, was durch Manipulation der DNS-Einträge in der lokalen Hosts-Datei, an einem Zwischenspeicher oder der zentralen DNS-Infrastruktur erfolgt. |
| Phishing | Kunstbegriff aus „Password“ und „Fishing“, der einen Cyberangriff beschreibt, bei dem typischerweise mit gefälschten E-Mails oder Webseiten Zugangsdaten für einen Dienst erlagt werden. Es gibt Unterkategorien wie Smishing (SMS-Phishing) und Vishing (VoIP-Fishing). |
| Phone Board | Technisches Gerät, mit dem eine Verbindung zwischen Telefonen und Computern aufgebaut werden kann. |
| PHP | Eine serverseitig interpretierte Skript-/Programmiersprache zum Erzeugen dynamischer Webseiten, mit einer an C und Perl angelehnten Syntax. Die Abkürzung ist ein rekursives Akronym und Backronym: „Hypertext Preprocessor“, ursprünglich „Personal Home Page Tools“. |
| PIN | Abkürzung für Personal Identification Number: Üblicherweise eine vier- bis achtstellige persönliche Geheimzahl, mit der eine Signaturerstellungseinheit vor unberechtigtem Zugriff geschützt werden kann. |
| Ping | Software (Diagnose-Werkzeug) zur Überprüfung, ob ein bestimmter Host in einem IP-Netzwerk ansprechbar ist, d. h. ob ein bestimmter Rechner im Netzwerk erreichbar ist. |
| Pivoting | Darunter wird bei Penetration Testing ein Verfahren verstanden, bei dem eine bereits kompromittierte Maschine verwendet wird, tiefer in das Netzwerk vorzudringen; i. d. R., um Firewall-Einstellungen zu umgehen oder Netzwerke oder Maschinen zu erreichen, welche von außen nicht zugänglich sind. |
| PlugIn | Softwaremodul, das in ein Computerprogramm implementiert werden kann, um dessen Funktionalität zu erweitern. |
| Poisoning | Bezeichnung für das Einschleusen von manipulierten Daten in einen Zwischenspeicher (Cache), welcher von anderen Anwendungen oder Diensten verwendet wird. |
| Pop-up-Fenster | Ein automatisch öffnendes Fenster bei einer graphischen Benutzeroberfläche, z. B. eine Werbung bei einer Webseite. |
| Port-Scan | Vorbereitende Cyberattacke, bei der ein Angreifer klärt, welche Dienste ein Rechner nach außen anbietet, in dem er sämtliche Dienste nacheinander anspricht. |
| Privacy by design | Datenschutz durch Technik. Gehört zu den intensiv diskutierten Datenschutzthemen; wurde auch in der Datenschutzrichtlinie RL 95/46/EG erwähnt. Laut Erwägungsgrund 46 dieser Richtlinie müssen bereits zum Zeitpunkt der Planung eines Verarbeitungssystems technische und organisatorische Maßnahmen (TOMs) getroffen werden, um insbesondere die Sicherheit der Daten zu gewährleisten. In Art. 25 DSGVO und Erwägungsgrund 78 der DSGVO verankert. |
| Privacy by default | Datenschutzfreundliche Voreinstellungen der Werkeinstellungen |
| Privacy Shield | Informelle Datenschutzrechtsabsprache, die von 2015 bis 2016 zwischen der EU und den USA ausgehandelt wurde; 2020 für nichtig erklärt von EuGH, siehe Safe Harbor. |
| Privater Schlüssel | Dieser ist der Teil eines kryptographischen Schlüsselpaares, auf welchen lediglich der Inhaber des Schlüsselpaares Zugriff hat. |
| Privilege Escalation | Kunstwort aus Benutzerrechte („Privilege“) und Steigerung („Escalation“). Soweit ein Angreifer mittels Exploit Zugang zu einem IT-System erhält, erfolgt dies i. d. R. nicht durch Administrationsberechtigungen, weil Software vielfach mit eingeschränkten Nutzerrechten gestartet wird. Um gleichwohl Zugriff auf das komplette System zu erhalten, wird nach Schwachstellen gesucht, mit denen die Berechtigungen verändert werden können. |
| Profiling | Nach der DSGVO „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten.“ |
| Proprietäre Software | Bezeichnung für Software, die nur in abgegrenzter Umgebung lauffähig ist und damit das Recht und die Möglichkeiten der Wieder- und Weiterverwendung und Anpassung durch Nutzer und Dritte einschränkt und „proprietär“ hält, wie etwa durch das Urheberrecht, Lizenzvereinbarungen (EULA), Softwarepatente, die Implementierung der Software auf herstellerspezifischen, nicht veröffentlichten Standards sowie die Behandlung des Quelltextes als Betriebsgeheimnis (closed source).[30] |
| Protokoll | Oberbegriff für die Spezifikation des Datenformats zur Kommunikation zwischen elektronischen Geräten. |
| Provider | Oberbegriff für alle Dienste vermittelnden Akteure im Internet.[31] Es gibt Net(work)-Provider, Access-Provider, Host-Serviceprovider, Internet-Service-Provider. Content-Provider. |
| Proxy | IT-Begriff für „Stellvertreter“ (lateinisch „proximus“, „der Nächste“, englisch „proxy representative“) in Form eines physischen Computers mit der Bedeutung einer Kommunikationsschnittstelle in einem Netzwerk zur Vermittlung, zur Weiterleitung, zum Filtern von Daten. |
| Prüfplan | Dokument, in dem vor Prüfungsbeginn die Rahmenbedingungen für die Prüfung vom Prüfer zusammengefasst werden, insbesondere das Prüfverfahren, die Prüfmethoden und die festgelegte Stichprobe. |
| PSE | Abkürzung für Personal Security Environment, ein Aufbewahrungsmedium für private Schlüssel und vertrauenswürdige Zertifikate. |
| Pseudonymisierung | Gemäß Art. 4 DSGVO bedeutet dies, dass die Verarbeitung von personenbezogenen Daten so gestaltet wird, dass ein Bezug zu einer natürlichen Person nur unter Zuhilfenahme zusätzlicher Informationen möglich ist, welche gesondert aufbewahrt werden und durch technische und organisatorische Maßnahmen (TOMs) vor dem Zugriff Unbefugter zu schützen sind. |
| QES | Qualifizierte elektronische Signatur; gem. des früheren SigG und gem. des Vertrauensdienstegesetztes (VDG) auf Basis der eIDAS-VO eine fortgeschrittene elektronische Signatur, die von einer qualifizierten elektronischen sicheren Signaturerstellungseinheit (SSEE) erstellt wurde und auf einem (zum Zeitpunkt ihrer Erzeugung gültigen) qualifizierten Zertifikat für elektronischen Signaturen beruht.[32] |
| Quellcode | In der Informatik der für Menschen lesbare, in einer Programmiersprache geschriebene Text eines Computerprogrammes, mitunter auch Programmcode genannt. |
| RAM | Random Access Memory: Arbeitsspeicher eines Computers, in dem alle Daten, die für bestimmte Arbeitsvorgänge verwendet werden, temporär gespeichert werden und von wo sie unverändert wieder aufgerufen und verändert werden. |
| Ransomware | Oberbegriff für Schadprogramme, mit denen Cyberkriminelle „digitale Erpressungen“ vornehmen, indem sie mittels dieser illegalen Software die Verfügbarkeit und den Zugriff auf Daten und IT-Systeme einschränken oder verhindern und die Systeme nur gegen Zahlung eines Lösegeldes („ransom“) wieder freigeben. |
| Red Teams | Bezeichnung für externe Sicherheitsexperten. Diese werden engagiert, um die Sicherheit und die Effektivität der Sicherheitsmaßnahmen eines Unternehmens zu testen, indem ein möglichst realer Angriff auf die IT-Infrastruktur simuliert wird. Im Idealfall arbeitet ein Red Team stets gut abgestimmt mit dem Blue Team des Unternehmens, um Schwachstellen im System aufzudecken. |
| Related-Key-Attacke | Bezeichnung für einen speziellen Cyberangriff auf ein kryptographisches Verfahren. |
| Replay-Angriffe | Cyberangriffe, bei denen ein Daten-/Informationsaustausch erst aufgezeichnet wird und die erlangten Daten sodann missbräuchlich wiederverwendet werden. |
| Resilienz | Bezeichnung für Widerstandsfähigkeit gegen Störungen und für die Fähigkeit eines Systems, mit Veränderungen umgehen zu können. |
| Restrisiko | Risiko, das verbleibt, selbst wenn Schutzmaßnahmen im Rahmen der IT umgesetzt worden sind. |
| Reverse Engineering (RE) | IT-Begriff für den Vorgang der Nachkonstruktion, um die Funktionsweise einer kompilierten Software zu analysieren, ohne die Spezifikation der Software oder den Quelltext zu verwenden. |
| Revision | Bezeichnung für die systematische und neutrale Kontrolle der Eignung und Einhaltung vorgegebener (Sicherheits-)Richtlinien. |
| Risiko | Dieses bezeichnet die Kombination aus der Häufigkeit, mit der ein Schaden auftritt und dem Ausmaß dieses Schadens. Im Gegensatz zu der „Gefährdung“ schließt das „Risiko“ die Bewertung, ob ein konkretes Schadensszenario fallspezifisch relevant ist, ein. |
| Risikoanalyse | Beschreibung des Prozesses zur Beurteilung und Behandlung von Risiken. Die Risikoanalyse ist gemäß ISO 31000 und ISO 27005 lediglich ein Vorgang bei der Risikobeurteilung. Letztere beinhaltet die Identifikation von Risiken (Risk Identification), die Analyse von Risiken (Risk Analysis) und die Evaluation oder Bewertung von Risiken (Risk Evaluation). |
| Risikomanagement | Dieses umfasst die Risikoidentifikation, Risikoanalyse, Risikoquantifizierung, Risikoaggregation, Risikobeurteilung, Risikobewertung, Risikokommunikation sowie die abschließende Risikobewältigung. |
| Risikomatrix | Damit wird die Wahrscheinlichkeit des Auftretens eines unerwünschten Ereignisses (Risiko) gegenüber dessen Auswirkung tabellarisch ins Verhältnis gesetzt. |
| Robot | Suchprogramm, welches das Internet für Suchmaschinen durchsucht und die aufgefundenen Inhalte dem Suchmaschinen-Index angibt. |
| Rootkit | Schadsoftware, die manipulierte Versionen von Systemprogrammen enthält. |
| Router | Gerät zur Verbindung des Heimnetzwerks mit dem Internet. |
| (Physische) RZ-Sicherheit | Nach DIN EN 50600 „Informationstechnik – Einrichtungen und Infrastrukturen von Rechenzentren“ erhalten Betreiber von Rechenzentren Vorgaben und Kunden garantierte Standards. |
| S/MIME | Abkürzung für Secure Multipurpose Internet Mail Extensions, eines Protokolls für die E-Mail-Kommunikation, mit dem Nachrichten verschlüsselt und signiert werden können. |
| SaaS | Software as a Service: Teilbereich des Cloud Computing; fußt als Businessmodell auf der Annahme, dass die Software und die IT-Infrastruktur bei einem externen Dienstleister betrieben und vom Kunden genutzt werden. |
| Safe Harbor | Ein Datenschutz-Beschluss der Europäischen Kommission aus dem Jahr 2000, durch den es Unternehmen ermöglicht werden sollte, personenbezogene Daten in Übereinstimmung mit der europäischen Datenschutzrichtlinie aus einem Land der EU in die USA zu übermitteln. Als „Abkommen“ war dieses Vorgehen mit den USA abgesprochen worden. Die Safe-Harbor-Entscheidung ist vom Europäischen Gerichtshof (EuGH) durch das Schrems I-Urteil am 06.10.2015 für ungültig erklärt worden. Ab dem 01.08.2016 konnte eine Nachfolgeregelung „EU-US Privacy Shield“ angewendet werden, die am 16.07.2020 gleichfalls für nichtig erklärt wurde.[33] |
| Sandbox | Bezeichnung für einen isolierten, geschützten, Bereich in einem Betriebssystem oder einer Anwendung. |
| Scanner | Bei der IT-Sicherheit ist ein Scanner ein Teil der Antiviren-Software. |
| Scareware | Bezeichnung für Schadprogramme, welche der Nutzer selbst auf seinem System installiert, nachdem er typischerweise darüber getäuscht wurde, dass er ein Computerproblem habe. |
| Schaden | Von einem solchen ist i. d. R. auszugehen bei einer Abweichung von einem erwarteten Ergebnis, das zu einer Konsequenz führt. |
| Schadfunktion | Darunter wird eine vom Anwender nicht gewünschte Funktion verstanden. Durch diese kann die Informationssicherheit bewusst gesteuert oder unbeabsichtigt gefährdet werden. |
| Schutzbedarf | Oberbegriff für die Umfangsbewertung der Business-Prozesse, die verarbeiteten Daten und die Informationstechnik hinsichtlich Erforderlichkeit und Angemessenheit. |
| Schwachstelle | Bezeichnet einen sicherheitsrelevanten Fehler eines IT-Systems oder einer Institution („vulnerability“). |
| Scrum | Wird mit „Gedränge“ übersetzt und ist ein Vorgehensmodell des Projekt- und Produktmanagements zur agilen Softwareentwicklung. Als Mitbegründer gilt Jeff Sutherland, einer von 17 Unterzeichnern des Agile Manifesto (2001). Sutherland, gründete 2006 die Scrum Inc., die seit 2019 auch Scrum-Zertifizierungen anbietet (Licensed Scrum Program); seit 2009 gibt er mit Ken Schwaber den Scrum Guide heraus.[34] |
| Seitenkanal-Angriff | Cyberangriff auf ein kryptographisches System, welcher die Ergebnisse von physikalischen Messungen am System ausnutzt, um Einblick in sensible Daten zu gewinnen. |
| Server | Oberbegriff für Software oder Hardware, welche spezifische Dienste anderen (Clients) anbietet, wie Applikations-, Daten-, E-Mail-Server. |
| Session-Hijacking/-Fixation | Cyberangriff auf eine verbindungsbehaftete Datenkommunikation zwischen zwei Computern („Festlegung einer Kommunikationssitzung“) |
| Shareware | Software, welche aus Vermarktungsgründen vor dem Kauf von Nutzern kostengünstig getestet werden darf und erst nach Eignungsnachweis bezahlt werden muss. |
| Sicherheitsanforderung | Bedarfsbeschreibung für den organisatorischen, personellen, infrastrukturellen, technischen Bereich zur Erfüllung zur Erhöhung der Informationssicherheit. |
| Sicherheitsgateway | Synonym für Firewall: Ein System aus software- und hardware-technischen Komponenten zur Kontrolle von Datenströmen und Netzkopplung. |
| Sicherheitslücke | Programmierfehler, der zu ausnutzbarem Fehlverhalten der Software führt. |
| Sinkhole | PC-System, auf welches Anfragen von botnetzinfizierten Systemen umgeleitet werden. |
| Skimming | Cyberangriff durch unbemerkte Auslesen von Zahlungskarten (Bank-, Kreditkarten) mittels physikalischer Manipulation von Zahlungsterminals. |
| Skript-Kiddies | Bezeichnung einer Gruppe, die Cyberangriffe aus Jux, Neugierde und zum Testen der eigenen Fähigkeiten ausführt. |
| Snuff-Videos | Videosequenzen, in denen die echte Ermordung eines Menschen aufgenommen oder nachgestellt wird. |
| Social Bot | Miniroboter, die in Sozialen Medien ein echtes menschliches Profil vorgaukeln. |
| Social Engineering | Da bei der IT-Sicherheit der Mensch als die größte Schwachstelle gilt, wird dieser als Angriffsziel im Social Engineering ausgemacht. Die Zielerreichung der Informationserlangung wird mittels Täuschung und Manipulation angepeilt. Typischerweise erhält das Opfer eine vermeintliche E-Mail des Angreifers, die aussieht, als stamme sie von dem Vorgesetzten oder einer sonstigen Autorität und auf eine gefälschte Webseite weiterleitet, um Zugangs- oder Bankdaten abzufangen. |
| Spam | Unerwünschte Nachrichten, die massenhaft über E-Mail oder über andere Kommunikationsdienste versendet werden. |
| SQL | Abkürzung für Structured Query Language: Datenbanksprache zur Definition von Datenstrukturen in relationalen Datenbanken und Bearbeiten (Einfügen, Verändern, Löschen) und Abfragen von darauf basierenden Datenbeständen; basiert auf der relationalen Algebra mit einfachem Syntax-Aufbau; wird verwendet, um die Unabhängigkeit der Anwendungen vom eingesetzten Datenbankmanagementsystem anzustreben. |
| SQL Injection | Es handelt sich um eine weit verbreitete Schwachstelle in Internet-Anwendungen. Sofern Benutzereingaben vor der Weiterleitung an die Datenbank nicht korrekt geprüft werden, ist es möglich aus der ursprünglichen Abfrage auszubrechen, um weitere Aktionen auszuführen. Zugriffe auf andere Datenbankinformationen, wie Zugangsdaten, Kreditkartendaten u. a., oder zu einem Computersystem sind denkbar. |
| SSH | Secure Shell: kryptographisches Netzwerkprotokoll für den sicheren Betrieb von Netzwerkdiensten über ungesicherte Netzwerke; Beispiele: remote Kommandozeile, ferngesteuerte Programmausführung; bietet sicheren Kanal über ein ungesichertes Netzwerk unter Verwendung der Client-Server-Architektur. |
| SSO | Single Sign-on („Einmalanmeldung“): hiernach kann ein User nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Rechner und Dienste, für die er lokal autorisiert ist, vom selben Arbeitsplatz aus zugreifen, ohne sich an den einzelnen Diensten jedes Mal zusätzlich anmelden zu müssen. |
| Stand der Technik | Unbestimmter Rechtsbegriff; der in diversen Rechtsgebieten verwendet wird und auf die Entwicklung von Wissenschaft und Technik Bezug nimmt und begrifflich nach der vom BVerfG entwickelten Drei-Stufen-Theorie zwischen den bewährten anerkannten Regeln der Technik und dem weiter fortgeschrittenen Stand der Wissenschaft steht[35]; nach dem BSI ein gängiger Begriff, wobei die technische Entwicklung schneller ist als die Gesetzgebung. Was zu einem bestimmten Zeitpunkt „Stand der Technik“ ist, lässt sich etwa anhand existierender nationaler oder internationaler Standards und Normen von beispielsweise DIN, ISO, DKE oder ISO/IEC oder anhand erfolgreich in der Praxis erprobter Vorbilder für den jeweiligen Bereich ermitteln. [36] |
| SYS | IT-Systeme |
| TAN | TransAktionsNummer; wird beim Abwickeln von Online-Bankgeschäften verwendet. |
| TLS | Abkürzung für Transport Layer Security (Transportschichtsicherheit): hybrides Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet; aktuelle Version: TSL 1.3; die Vorgängerbezeichnung SSL (Secure Sockets Layer), ist immer noch bekannter. |
| TOMs | Technische und organisatorische Maßnahmen zur Datensicherheit. |
| Tool | Kleines Dienstprogramm, das eine Aufgabe oder begrenzte Aufgaben löst.. |
| Top-Level-Domain | Oberstruktur für Domains, bestehend aus dem Punkt und den letzten Buchstaben eines Domainnamens wie „.de“, „.com“ oder „.net“. |
| Trojanisches Pferd | Programm mit einer verdeckten, nicht dokumentierten Funktion oder Wirkung, welches sich nicht eigenständig verbreitet, vielmehr mit der Nützlichkeit des Wirtsprogrammes für seine Installation durch den Benutzer wirbt. |
| Update | Neue Version oder Ergänzung einer Software, welche Programmmängel behebt. |
| Upgrade | Grundlegende Software-Änderungen, vielfach durch Aktualisierungspakete und neue Versionsbezeichnung. |
| Urheberrecht von Computerprogrammen | Computerprogramme genießen nach § 69a Abs. 3 S. 1 UrhG nur Urheberrechtsschutz, wenn sie individuelle Werke dergestalt darstellen, dass sie das Ergebnis der eigenen geistigen Schöpfung ihres Urhebers sind. Geschützt sein können damit z. B. Maschinen-, Objekt- und Quellcode inklusive Entwurfsmaterial wie Ablaufpläne oder Struktogramme. Nicht geschützt sind nur grafische Benutzeroberflächen eines Computerprogramms (EuGH, Urteil v. 22.12.2010 – C 393/09) und die dem Programm zugrunde liegende Ideen. In der Praxis besteht aber insbesondere am Ideenschutz ein erhebliches (Schutz-)Interesse. Dem kann etwa mit Geheimhaltungsvereinbarungen („Non-Disclosure-Agreement“ = „NDA“) gegenüber Kunden gestalterisch begegnet werden. |
| VAS | Value-added Service: Spezielle TK-Dienstleistung, die über die Bereitstellung der Kommunikationsverbindung hinausgeht. Beispiel: Telefondienst stellt nur eine Verbindung zwischen zwei Kommunikationspartnern zur Verfügung, er ist der Basisdienst. Sobald die übertragenen Daten gespeichert oder weiterverarbeitet werden, wird ein Mehrwertdienst beschrieben. |
| Verschlüsselung | Chiffrierung oder Kryptierung: die von einem Schlüssel abhängige Umwandlung von als „Klartext“ bezeichneten Daten in einen „Geheimtext“ („Chiffrat“, „Schlüsseltext“), damit der Klartext aus dem Geheimtext nur unter Verwendung eines geheimen Schlüssels wiedergewonnen werden kann; bezweckt die Geheimhaltung von Nachrichten, etwa um Daten gegenüber unbefugtem Zugriff zu schützen oder vertraulich zu übermitteln |
| VoIP | Voice over IP; IP-Telefonie; gängige Sprachkommunikation via Internet-Protokoll. |
| VPN | Virtual Private Network, Verfahren zur Verschlüsselung der Datenkommunikation zwischen zwei Endpunkten. |
| VAS | Virtuell Attribute-Service |
| WiP | Abkürzung für Work in Progress. |
| W3C (World Wide Web Consortium) | Interessenvertretung zur Förderung von Standards in WWW-Produkten. |
| World Wide Web Foundation | Eine internationale Non-Profit-Organisation mit Sitz in den USA, die sich für ein freies und offenes Internet für alle einsetzt und von Tim Berners-Lee, dem Erfinder des World Wide Web, und Rosemary Leith mitgegründet wurde. |
| Wurm | Schadprogramm, das sich selbst reproduziert und sich durch Ausnutzung der Kommunikationsschnittstellen eigenständig verbreitet wie ein Virus. |
| XML | Extensible Markup Language: Erweiterbare Auszeichnungssprache (Metasprache) zur Darstellung hierarchisch strukturierter Daten im Format einer Textdatei, die sowohl von Menschen als auch von Maschinen lesbar ist; auch für den plattform- und implementationsunabhängigen Austausch von Daten zwischen Systemen, insbesondere über das Internet, vom World Wide Web Consortium (W3C) 1998 veröffentlicht; Einschränkungen anwendungsspezifischer Sprachen werden entweder durch eine Document Type Description (DTD) oder ein XML Schema ausgedrückt. Beispiele für XML-Sprachen: RSS, MathML, GraphML, XHTML, XAML, Scalable Vector Graphics (SVG), GPX; die Standardzeichenkodierung eines XML-Dokumentes ist UTF-8.[37] |
| XP | Abkürzung für eXtreme Programming (nicht mit dem alten Betriebssystem von Microsoft zu verwechseln), eine agile Methode, die das Lösen einer Programmieraufgabe in den Vordergrund der Softwareentwicklung stellt und einem formalisierten Vorgehen geringere Bedeutung beimisst. |
| XSS | Siehe Cross-Site Scripting. |
| Zeitstempel | Elektronische Bescheinigung einer vertrauenswürdigen Stelle, dass dieser konkrete elektronische Daten zu einem konkreten Zeitpunkt vorgelegen haben. |
| Zertifikat, digitales | Digitaler Datensatz, i. d. R. nach Standards der ITU-T oder der IETF, der Eigenschaften von Personen oder Objekten bestätigt und dessen Authentizität und Integrität durch kryptografische Verfahren geprüft werden kann; Zertifikat-Ausstellung erfolgt durch eine offizielle Zertifizierungsstelle (Certification Authority, CA). Beispiel: Public-Key-Zertifikate nach Standard X.509, welche die Identität des Inhabers und weitere Eigenschaften eines öffentlichen kryptographischen Schlüssels bestätigen. Attributzertifikate enthalten demgegenüber keinen öffentlichen Schlüssel, sondern verweisen auf ein Public-Key-Zertifikat und legen dessen Geltungsbereich fest. Ein weiteres Beispiel sind kryptographische Prüfsummen auf Online-Tickets.[38] |
| Zero Day Exploit | Exploit für eine noch nicht öffentlich gemachte Sicherheitslücke; in Abgrenzung zu Root-Exploit, welcher dem Angreifer Administrationsrechte verschafft. |
| Zugriff | Nutzung von Daten. |
| Zugriffszeit | Diese vergeht von der Anfrage bis zum Ergebnis. |
1.16Zum Ausgangs-/Praxisfall
Es ist zu konstatieren, dass jedes Unternehmen und jede Behörde, aber auch jeder Verbraucher,[39] im vitalen Eigeninteresse und im Gemeinwohlinteresse auf seine und die personenbezogenen Daten Dritter achten muss. Im geschäftlichen und behördlichen Kontext bestehen Verpflichtungen zur Gewährleistung technischer und organisatorischer Maßnahmen und von IT- und Datenschutz-Compliance.
In der Praxis, bei Unternehmen und Behörden aller Großer und Couleur, kann man für die Bereiche IT-Sicherheit und Datenschutz sagen, dass diese Bereiche gleichzusetzen sind mit „Dauerbeschäftigung“. Eine vernünftige, nachhaltige Planung und Durchführung der gesetzlichen und technisch-organisatorisch gebotenen Aufgaben wie nach dem PDCA-Zyklus – führt zu Nachhaltigkeit und Sicherheit.
Im Ausgangs-/Praxisfall gibt die Seniorchefin das Startsignal für die Umsetzung der „digitalen Transformation“ des traditionellen Vertriebsmodells. Der Grundsatzentschluss, in den E-Commerce einzusteigen, steht, ebenso die Bereitschaft, dafür ein angemessenes Budget freizugeben und ein nachhaltiges IT- und Datenschutz-Compliance-Konzept zu implementieren.
Die finale Gesamtbudgethöhe möchte sie festlegen, nachdem sie mehrere Angebote zur Realisierung des Businessplans hinsichtlich der Software- und Hardware-Neuanschaffungen und laufenden Kosten verglichen hat. Dabei möchte sie auch IT- und datenschutzrechtliche sowie medien-, wettbewerbs- und urheberrechtliche Aspekte berücksichtigen.
Denn sie hat schon gehört, dass es nicht immer so klar ist, wem die Software und wem die Daten eigentlich gehören.
[1]BKA, Cybercrime – Bundeslagebild 2018, 11. 11. 2019, Cybercrime in Zahlen 2018, https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2019/Presse2019/191111_PMBLBCybercrime.html.[2]BSI, https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Server/Microsoft-Exchange_Schwachstelle/schwachstelle_exchange_server.html.[3]Vgl. Grzesiek, Abwehrschirm gegen digitale Einbrüche, NJW-aktuell 2020, 19.[4]BayLDA, https://www.lda.bayern.de/media/pm/pm2021_01.pdf.[5]Hierzu ausführlich Degen/Emmert, Elektronischer Rechtsverkehr, 2. Aufl. 2021, § 1 Rn. 15 ff.[6]So auch Sorge, E-Mail-Server unter Beschuss, NJW 2021, 19.[7]Redaktion beck-aktuell, Verlag C.H. BECK, 28.07.2017.[8]www.spiegel.de/netzwelt/web/yahoo-hack-kanadier-zu-fuenf-jahren-gefaengnis-verurteilt-a-1210244.html.[9]Zum Schrifttum und Rechtsprechung sei exemplarisch verwiesen auf EuGH, (Zweite Kammer), Berichtigungsbeschluss vom 06.12.2016 – C-582/14 Urteilsberichtigung im Schutz über Cyberattacke, BeckRS 2016, 82984; Mehrbrey/Schreibauer, Haftungsverhältnisse bei Cyber-Angriffen – Ansprüche und Haftungsrisiken von Unternehmen und Organen, MMR 2016, 75; EZB, Meldestelle für Cyber-Angriffe auf Banken, Meldung der Redaktion MMR-Aktuell vom 30.05.2016, MMR-Aktuell 2016, 378239; Roos, Das IT-Sicherheitsgesetz – Wegbereiter oder Tropfen auf den heißen Stein?, MMR 2015, 636; Bensinger/Kozok, Kampf gegen Cyber Crime und Hacker-Angriffe, CB 2015, 376; Neues Gesetz gegen Cyberangriffe, Meldung der beck-aktuell-Redaktion vom 28.04.2017, becklink 2006499; EuGH: Speicherung dynamischer IP-Adressen durch Website-Betreiber kann zur Abwehr von Cyberattacken zulässig sein, Meldung der beck-aktuell-Redaktion vom 19.10.2016, becklink 2004687.[10]Siehe https://europa.eu/european-union/about-eu/agencies/enisa_de.[11]https://rsw.beck.de/aktuell/daily/meldung/detail/bundesrat-unterstuetzt-europaeische-vorhaben-zur-cybersicherheit.[12]https://datenschutz-hamburg.de/pressemitteilungen/2020/10/2020-10-01-h-m-verfahren.[13]Hierzu Degen/Ledig, PIA „Innovation à la française“: Vorstellung einer Open Source-Software für Datenschutz-Folgenabschätzungen der französischen Aufsichtsbehörde CNIL, apf 2021, 156.[14]Vgl. https://www.cnil.fr/en/cookies-financial-penalty-35-million-euros-imposed-company-amazon-europe-core.[15]Vgl. https://www.cnil.fr/en/cookies-financial-penalties-60-million-euros-against-company-google-llc-and-40-million-euros-google-ireland.[16]Vgl. auch Korch, Schadensersatz für Datenschutzverstöße, NJW 2021, 978.[17]Degen, EU-Datenschutz-Grundverordnung (DSGVO) bringt kartellrechtsartige Verschärfungen (Teil 1), apf 6/2018, 186 ff.[18]Ein hervorragendes deutschsprachiges Glossar – an dem wir uns orientiert haben – wird vom BSI bereitgestellt unter https://www.bsi.bund.de/DE/Service-Navi/Cyber-Glossar/Functions/glossar.html?nn=520190&cms_lv2=132780.[19]Vgl. Maseberg in Schläger/Thode, Handbuch Datenschutz und IT-Sicherheit, Teil H, 1, Rn. 4.https://de.wikipedia.org/wiki/Man-in-the-Middle-Angriff.[20]Vgl. Europäische Kommission, Was bedeutet „Datenschutz durch Technikgestaltung“ und „durch datenschutzfreundliche Voreinstellungen“?, https://ec.europa.eu/info/law/law-topic/data-protection/reform/rules-business-and-organisations/obligations/what-does-data-protection-design-and-default-mean_de.[21]Vgl. https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/DER/DER_Uebersicht_node.html.[22]https://edpb.europa.eu/about-edpb/about-edpb_de#:~:text=Der%20Europ%C3 %A4ische%20Datenschutzausschuss%20 %28EDSA%29 %20ist%20eine%20unabh%C3 %A4ngige%20europ%C3 %A4ische,beitr%C3 %A4gt%20und%20die%20Zusammenarbeit%20zwischen%20den%20EU-Datenschutzbeh%C3 %B6rden%20f%C3 %B6rdert.[23]https://www.bsi.bund.de/DE/Service-Navi/Cyber-Glossar/Functions/glossar.html?nn=520190&cms_lv2=132802.[24]https://www.bsi.bund.de/DE/Service-Navi/Cyber-Glossar/Functions/glossar.html?nn=520190&cms_lv2=132764.[25]Vgl. Maseberg in Schläger/Thode, Handbuch Datenschutz und IT-Sicherheit, Teil H, 2 Rn. 12 ff.[26]https://www.bsi.bund.de/DE/Themen/ITGrundschutz/itgrundschutz_node.html.[27]Vgl. https://de.wikipedia.org/wiki/Kanban_%28Softwareentwicklung%29.[28]https://de.wikipedia.org/wiki/Man-in-the-Middle-Angriff.[29]https://www.bsi.bund.de/DE/Service-Navi/Cyber-Glossar/Functions/glossar.html?nn=520190&cms_lv2=132806.[30]https://de.wikipedia.org/wiki/Proprietäre_Software.[31]Ausführlich Degen, Freiwillige Selbstkontrolle der Access-Provider, Kap. 2.3.2., S. 62 ff.[32]Art. 3 Nr. 12, Art. 28 f. eIDAS-VO i. V. m. Anh. I und II eIDAS-VO.[33]EuGH, Urteil vom 06.10.2015 – C-362/14 – Maximilian Schrems/Data Protection Commissioner sowie EuGH, Urteil 16.07.2020 – C-311/18 – Data Protection Commissioner/Facebook Ireland Ltd, Maximilian Schrems.[34]https://de.wikipedia.org/wiki/Jeff_Sutherland.[35]Vgl. BVerfG, Beschluss v. 8.8.1978–2 BvL 8/77.[36]Vgl. BSI, Fragen und Antworten zum Inkrafttreten des IT-Sicherheitsgesetzes; Was bedeutet „Stand der Technik“?, https://www.bsi.bund.de/DE/Service/FAQ/IT-Sicherheitsgesetz/faq_node.html.[37]W3C, Extensible Markup Language (XML), https://www.w3.org/XML/.[38]Wikipedia, Digitales Zertifikat, https://de.wikipedia.org/wiki/Digitales_Zertifikat.[39]Dass Verbraucher wie Unternehmen von Cyberangriffen betroffen sein können, bedarf sicher keiner großen Erklärung. Im April 2021 ist ein erneuter Datenklau bei Facebook bekannt geworden. Die Telefonnummern, Adresse und Namen von über 500 Millionen Nutzern wurden veröffentlicht. Ob Ihre Mailadressen betroffen sind, lässt sich dank eines kostenlosen Dienstes überprüfen: „Have I Been Pwned“ (HIBP) durchsucht eine gigantische Datenbank mit geklauten Kontodaten. Tauchen Ihre Passwörter oder Mail-Adressen in dieser Liste auf, weist Sie die Web-App darauf hin, die Daten schnell zu ändern (https://www.chip.de/news/Facebook-Datenklau-500-Millionen-Datensaetze-Have-I-Been-Pwned_120125147.html). Jörg Schieb schreibt am 06.04.2021: „533 Mio. Datensätze geklaut: Wie wär’s mit einer Entschädigung, Facebook?“ (https://blog.wdr.de/digitalistan/533-mio-datensaetze-geklaut-wie-waers-mit-einer-entschaedigung-facebook/).
2.IT-Sicherheit und Datenschutz
Mathias Lang
Key-Words: Cyberattacke, Datenverlust, IT-Sicherheit, Informationssicherheit, Datensicherheit, Vertraulichkeit, Integrität, Verfügbarkeit, Transparenz, Intervenierbarkeit, Nicht-Verkettbarkeit, Datenschutz durch Technikgestaltung (data protection by design), datenschutzfreundliche Voreinstellungen (data protection by default), Stand der Technik, Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz, ISO/IEC 27001, ISO/IEC 27701, Data protection, Reputationsschutz, IT-SiG, Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG), DSGVO, Datenschutz-Folgeabschätzung, Meldepflichten, Betreiber Kritischer Infrastrukturen, Informationssicherheitsmanagementsystem, Standarddatenschutzmodell
2.1Ausgangs-/Praxisfall
Einem Zeitarbeitsunternehmen werden über eine Hackerattacke Kunden- und Lieferantenlisten sowie Abmahnungen und Kündigungen entwendet.
Welche Maßnahmen müssen, insbesondere datenschutzrechtlich, ergriffen werden, und wie kann das Unternehmen in einem solchen Fall die Meldepflicht und Veröffentlichung nach der DSGVO evtl. von vorneherein verhindern?
Würden sich Besonderheiten ergeben, wenn ein „Betreiber Kritischer Infrastrukturen“, wie etwa ein Energieversorgungsunternehmen einem Hackerangriff ausgesetzt worden wäre?
Abbilung 4
2.2Rechtsrahmen und Zuständigkeiten
2.2.1Begriff der IT-Sicherheit
IT-Sicherheit bezeichnet einen Zustand, in dem die Risiken, die beim Einsatz von Informationstechnik aufgrund von Bedrohungen und Schwachstellen vorhanden sind, durch angemessene Maßnahmen auf ein tragbares Maß reduziert sind. IT-Sicherheit ist also der Zustand, in dem Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Informationstechnik durch angemessene Maßnahmen geschützt sind.[40]
Nach dieser Definition wird bereits deutlich, dass es 100%-ige IT-Sicherheit nicht geben kann.
Es geht bei diesem Bereich also um Risikominimierung.
Allerdings ist IT-Sicherheit nicht nur aufgrund regulatorischer Anforderungen für Unternehmen wichtig, die Medien berichten ständig von Sicherheitspannen im IT-Sektor, wie beispielsweise Datenverluste durch Hackerattacken, die für die betroffenen Unternehmen mit hohen Reputationsschäden verbunden sind und die sich entsprechend wirtschaftlich auswirken.
IT-Sicherheit ist damit gleichermaßen auch Reputationsschutz und eine Investition zur Abwehr von unkalkulierbaren Folgeschäden.
Die Begriffe IT-Sicherheit, Informationssicherheit und Datensicherheit werden oft synonym benutzt, was jedoch nicht korrekt ist.
Während Datensicherheit den Bereich der personenbezogenen Daten i. S. der Datenschutzgesetze wie DSGVO und BDSG betrifft, geht Informationssicherheit begrifflich weiter und deckt darüber hinaus alle Informationen ab. IT-Sicherheit umfasst neben den gespeicherten Informationen auch die Informationstechnik, also die Systeme, Komponenten und Prozesse zum Verarbeiten der Informationen.
Gleichwohl haben die Begriffe eine gemeinsame Schnittmenge und sind zumindest teilweise deckungsgleich. Wie bereits aus der eingangs zitierten Definition hervorgeht, bestehen folgende Funktionsziele:
Vertraulichkeit, Integrität und Verfügbarkeit.
•Vertraulichkeit ist der Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein.[41]•Integrität bezeichnet die Sicherstellung der Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen.[42]•Die Verfügbarkeit von Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzen oder auch von Informationen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.[43]
Zu beachten ist an dieser Stelle, dass der Datenschutz darüber hinaus weitere Schutzziele definiert, wie Transparenz, Intervenierbarkeit, Nicht-Verkettbarkeit. Hierzu im Weiteren mehr.
Die gesetzlichen und regulatorischen Parameter der IT-Sicherheit werden im Nachfolgenden dargestellt.
2.2.2IT-Sicherheitsgesetz(e) und Gesetz zur Umsetzung der NIS-Richtlinie (EU) 2016/1148
2.2.2.1IT-Sicherheitsgesetz[44]
Die Bezeichnung des Gesetzes ist leicht irreführend. Es regelt nämlich nicht allgemeinverbindlich die IT-Sicherheit.
Das IT-Sicherheitsgesetz ist ein Artikelgesetz. Neben dem BSI-Gesetz werden auch das Energiewirtschaftsgesetz, das Telemediengesetz, das Telekommunikationsgesetz und weitere Gesetze geändert und ergänzt.
Hauptsächlich betroffen sind sog. „Betreiber Kritischer Infrastrukturen“, deren Ausfall oder Beeinträchtigung ernsthafte Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere schwerwiegende Folgen für das Allgemeinwohl haben würden.
Dies sind insbesondere die Bereiche
•Energie,•Informationstechnik und Telekommunikation,•Transport und Verkehr,•Gesundheit,•Wasser,•Ernährung,•Finanz- und Versicherungswesen.
Welche Unternehmen letztendlich dazu zählen, wird durch Rechtsverordnung bestimmt.[45]
Ausgenommen sind lediglich Kleinunternehmen.
Die „Betreiber Kritischer Infrastrukturen“ treffen zahlreiche Sicherungspflichten. Bei Sicherheitsverstößen bestehen auch gesonderte Meldepflichten an die Aufsichtsbehörden.
Allerdings sind auch Telekommunikationsunternehmen und Webseitenbetreibe unmittelbar betroffen.
Webseitenbetreiber – also Anbieter geschäftsmäßig erbrachter Telemediendienste – müssen seit Inkrafttreten des Gesetzes technische und organisatorische Maßnahmen nach dem Stand der Technik ergreifen, um sowohl unerlaubte Zugriffe auf ihre technischen Einrichtungen und Daten als auch Störungen zu verhindern.
Die entsprechenden Regelungen, die in § 13 (7) TMG ihre konkrete Ausprägung haben, sind ab 01.12.2021 in § 19 (1) u. (4) TTDSG[46] zu finden.
2.2.2.2Gesetz zur Umsetzung der NIS-Richtlinie (EU) 2016/1148
Das Gesetz zur Umsetzung der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union[47] wurde am 29.06.2017 verkündet und setzte die vorgenannte Richtlinie (NIS-Richtlinie) in nationales Recht um.
Zwar handelt es sich im Verhältnis zum IT-Sicherheitsgesetz um ein eigenständiges Gesetz, gleichwohl ist es ebenfalls ein Artikelgesetz und ergänzt sowie erweitert zumindest teilweise das IT-Sicherheitsgesetz, insbesondere im BSI-Gesetz.
In diesem Gesetz werden die Meldepflichtpflichten auf Digitale Dienste wie Online-Marktplätze, Suchmaschinen und Cloud-Computing-Dienste erweitert und die Mindestanforderungen für deren IT-Sicherheit definiert.
Hinsichtlich der Digitalen Dienste sind die Vorschriften seit dem 10. Mai 2018 anwendbar. Allerdings ist mit einer Novellierung des Gesetzes zu rechnen, da die NIS-Richtlinie auf Europaebene überarbeitet wird.
2.2.2.3IT-Sicherheitsgesetz 2.0[48]
Am 28.05.2021 ist das sog. IT-Sicherheitsgesetz 2.0 weitgehend in Kraft getreten. Teile davon treten zum 01.12.2021 in Kraft.[49] Es löst das IT-Sicherheitsgesetz[50] nicht vollständig ab, sondern beinhaltet – wiederum als Artikelgesetz – Erweiterungen und Modifikationen in mehreren Gesetzen, insbesondere dem BSI-Gesetz. Allerdings soll nun erstmals ein ganzheitlicher Ansatz der IT-Sicherheit erfolgen, was sich insbesondere an der ausführlicheren Begriffsbestimmung der Sicherheit in der Informationstechnik im BSI-Gesetz und einer Befugnis des BSI Anordnungen gegen Anbieter von Telemediendiensten zu treffen, zeigt.
Neben einer Ausweitung der Befugnisse und der Zuständigkeit des BSI wird der Bußgeldrahmen drastisch erhöht, die Pflichten für Betreiber kritischer Infrastrukturen erweitert und der Katalog der Betreiber kritischer Infrastrukturen um den Sektor der „Siedlungsabfallentsorgung“ ergänzt.
Außer den Betreibern Kritischer Infrastrukturen werden nun Unternehmen im besonderen öffentlichen Interesse in den Anwendungsbereich samt Meldepflichten und Mindestanforderungen einbezogen.
Unternehmen im besonderen öffentlichen Interesse sind solche, die – ohne Betreiber Kritischer Infrastrukturen zu sein – große Bedeutung in Bezug auf die IT-Sicherheit in Deutschland haben und folgenden Gruppen zuzuordnen sind:
1.) Rüstung und IT-Produkte für staatliche Verschlusssachen
Herstellung von Rüstungsgütern (Waffen, Munition, Rüstungsmaterial und Wehrtechnik), sowie IT-Produkte für staatliche Verschlusssachen.
2.) Erhebliche volkswirtschaftliche Bedeutung
Unternehmen, die aufgrund ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland zählen und deshalb von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind, sowie deren Zulieferer, wenn sie aufgrund ihrer Alleinstellungsmerkmale von wesentlicher Bedeutung sind.
3.) Gefahrstoffe der oberen Klasse
Betreiber von Betriebsbereichen der oberen Klasse mit gefährlichen Stoffen im Sinne der Störfall-Verordnung oder diesen gleichgestellten Betreibern.
Eine Konkretisierung der Unternehmen soll durch Verordnung bestimmt werden.
2.2.3DSGVO
Weitaus allgemeinverbindlicher rückt im Bereich der Datensicherheit der technische und organisatorische Datenschutz in der DSGVO stärker als bisher in den Vordergrund.
Art. 25 DSGVO gibt den Datenschutz durch Technikgestaltung (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) vor. Maßstab ist hier u. a. der Stand der Technik.
Art. 32 DSGVO verlangt hinsichtlich der Sicherheit der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten und bezieht sich wiederum u. a. auf den Stand der Technik.
Schließlich verlangt Art. 35 DSGVO unter bestimmten Bedingungen eine Datenschutz-Folgenabschätzung (DSFA).
Eine DSFA ist eine spezielle Vorgehensweise zur Beschreibung, Bewertung und Eindämmung von Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die DSFA ist durchzuführen, wenn die Form der Verarbeitung, insbesondere bei der Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat. Sie befasst sich insbesondere mit Abhilfemaßnahmen, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Verordnung nachgewiesen werden kann.[51]
Sie beginnt mit einer Evaluierung des Risikos. Führt diese zum Ergebnis, dass ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten gegeben ist, muss die DSFA durchgeführt werden. Dies wird unterstellt, soweit umfangreich besondere Kategorien personenbezogener Daten verarbeitet werden, Profiling- und Scoring-Verfahren zum Einsatz kommen oder eine systematische und umfassende Überwachung öffentlich zugänglicher Bereiche erfolgt.
Die DSFA muss enthalten:
1)Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, ggf. einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen;2)Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;3)Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen und4)die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird.
Werden keine Maßnahmen zur Eindämmung des Risikos ergriffen, ist die Aufsichtsbehörde zu konsultieren, bevor die Daten verarbeitet werden.
Bei jeder Verletzung des Schutzes personenbezogener Daten ergibt sich aus Art. 33 DSGVO eine Meldepflicht binnen 72 Stunden an die Aufsichtsbehörde, bei Fristüberschreitungen ist der Meldung eine Begründung beizufügen.
Die Meldung muss enthalten:
1)Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;2)den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;3)eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;4)eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und ggf. Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Diese Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Dies wird nur dann der Fall sein, wenn zuvor eine DSFA vorgenommen wurde und entsprechende Maßnahmen nachweisbar ergriffen wurden, um das Risiko auszuschließen. Zu denken ist hier etwa an geeignete Verschlüsselungs-, sowie Anonymisierungs-, Pseudonymisierungsverfahren.
Es sind weiter unverzüglich Abhilfemaßnahmen zu ergreifen.
Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so ist/sind die betroffene(n) Person(en) in klarer und einfacher Sprache unverzüglich über die Art der Verletzung, ihrer wahrscheinlichen Folgen, der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und ggf. Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen zu benachrichtigen. Außerdem sind der Name und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen anzugeben.
Die Benachrichtigung ist bei Vorliegen einer der folgenden Voraussetzungen entbehrlich:
•Der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese Vorkehrungen wurden auf die von der Verletzung betroffenen personenbezogenen Daten angewandt, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung.•Der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen aller Wahrscheinlichkeit nach nicht mehr besteht.•Wenn die Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden wäre. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
2.2.4Stand der Technik
Der Stand der Technik wird in der DSGVO als auch im IT-SiG im Rahmen der Anforderung zur IT-Sicherheit als Maßstab genannt. Was dieser letztendlich beinhaltet, ist jedoch nicht verbindlich vorgegeben. Es handelt sich somit um einen unbestimmten Rechtsbegriff, der folglich durch die zuständigen Behörden und Gerichte auszulegen sein wird.
Dabei kann auf Normen und Methoden aus dem relevanten Bereich zurückgegriffen werden.
Das BSI führt hierzu aus:
„Stand der Technik“ ist ein gängiger juristischer Begriff, der nicht allgemeingültig und abschließend definiert ist. Da die technische Entwicklung schneller ist als die Gesetzgebung, hat es sich bewährt, in Gesetzen den Begriff „Stand der Technik“ zu verwenden, statt zu versuchen, konkrete technische Anforderungen festzulegen. Was zu einem bestimmten Zeitpunkt „Stand der Technik“ ist, lässt sich z. B. anhand existierender nationaler oder internationaler Standards oder anhand erfolgreich in der Praxis erprobter Vorbilder für den jeweiligen Bereich ermitteln.[52]
2.2.4.1ISO/IEC 27001
Die Internationale Organisation für Standardisierung (ISO) ist die internationale Vereinigung von Normungsorganisationen und erarbeitet internationale Normen in allen Bereichen.
Die International Electrotechnical Commission (IEC), zu Deutsch: Internationale Elektrotechnische Kommission ist eine internationale Normungsorganisation für Normen im Bereich der Elektrotechnik und Elektronik. Einige Normen werden gemeinsam mit der ISO entwickelt.
So wurde im Bereich der Informations- und IT-Sicherheit von beiden Organisationen gemeinsam die 27000-Reihe entwickelt.
Die ISO/IEC 27001 gilt dabei als international anerkannter Standard.
ISO/IEC 27001 ist auch als DIN-Norm umgesetzt (DIN EN ISO/IEC 27001:2017-06).
Hauptgegenstand der Norm ist die Einführung und ständige Überwachung eines Informationssicherheit-Managementsystems (ISMS), welches dem Zweck dient, die Informationssicherheit/IT-Sicherheit und deren Funktionsziele in einem Unternehmen zu gewährleisten.
Dabei ist die ISO/IEC 27001 bewusst sehr allgemein gehalten, um den individuellen Anforderungen eines Unternehmens Raum zu lassen. Die Norm soll grundsätzlich auf alle Unternehmen in jeder Organisationsform anwendbar sein.
Eine Zertifizierung ist möglich und allgemein anerkannt.
Das über 30-seitige Hauptdokument ist unterteilt in 10 Abschnitte oder Kapitel und zwei Anhänge mit jeweils normativen und informativen Inhalten.
Abbildung 5
2.2.4.2ISO/IEC 27701
Die ISO/ IEC 27701 ist eine Erweiterung der ISO 27001 um datenschutzrechtliche Aspekte des Managementsystem.
Ein isolierte Zertifizierung ist nicht möglich, nur im Zusammenhang mit ISO/ IEC 27701.
Zu beachten ist, dass es sich nicht um eine inhaltliche Zertifizierung gemäß Art. 42 DSGVO handelt, sondern lediglich das Datenschutz-Managementsystem zertifiziert wird.
2.2.4.3IT-Grundschutz nach BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Bundesoberbehörde ist nach § 1 S. 2 BSI-Gesetz zentrale Stelle für die Informationssicherheit auf nationaler Ebene.
Der vom BSI entwickelte IT-Grundschutz ermöglicht es, durch ein systematisches Vorgehen notwendige Sicherheitsmaßnahmen zu erkennen und umzusetzen. Die BSI-Standards liefern hierzu bewährte Vorgehensweisen, das IT-Grundschutz-Kompendium konkrete Anforderungen.[53]
Im Gegensatz zu ISO/IEC 27001 ist der IT-Grundschutz sehr konkret und ggf. ohne zusätzliche Beratungen umzusetzen, gleichwohl nach ISO/IEC 27001 ausgerichtet und kompatibel.
Der überarbeitete IT-Grundschutz gliedert sich in ein IT-Grundschutz-Kompendium, das die früheren (sehr umfangreichen) IT-Grundschutzkataloge ersetzt, die neuen BSI-Standards 200–1, 200–2 und 200–3 sowie einen „Leitfaden zur Basisabsicherung“ und den auch bisherig verwendeten BSI-Standard 100–4.
Darüber hinaus wird es im überarbeiteten IT-Grundschutz noch IT-Grundschutz-Profile geben, die eine individuelle Anpassung an die konkreten Sicherheitsbedürfnisse eines Unternehmens ermöglichen sollen.
Schließlich ist eine Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz möglich.
IT-Grundschutz basiert auf den BSI-Standards 200–1, 200–2, 200–3 und 100–4 mit Vorgehensweisen, Maßnahmen und Empfehlungen zu Methoden, Prozessen und Verfahren zu unterschiedlichen Aspekten der IT-Sicherheit.
Der BSI-Standard 200–1 (Managementsysteme für Informationssicherheit) (ISMS) beschreibt allgemeine Anforderungen an ein Managementsystem für Informationssicherheit (ISMS).
BSI-Standard 200–2 (IT-Grundschutz-Methodik) befasst sich mit dem Aufbau eines Informationssicherheitsmanagements (ISMS).
Risikomanagement ist Gegenstand des BSI-Standard 200–3 (Risikoanalyse auf der Basis von IT-Grundschutz) und ermöglicht eine Anpassung an ein individuelles Schutzniveau, da der IT-Grundschutz grundsätzlich von einem normalen Schutzniveau ausgeht.
Schließlich skizziert der BSI-Standard 100–4 (Notfallmanagement) den Aufbau eines Notfallmanagements, um den Geschäftsbetrieb im Notfall aufrechtzuerhalten.
Das 716 Seiten umfassende IT-Grundschutz-Kompendium Edition 2020 ist neben den BSI-Standards der grundlegende Bestandteil des IT-Grundschutzes.
Nach dem Eigenverständnis des BSI dient es sowohl als Arbeitsinstrument als auch als Nachschlagewerk zur IT-Sicherheit. In der Ausgabe 2018 enthält es die ersten 80 IT-Grundschutz-Bausteine, die durch das BSI in Folgeausgaben aktualisiert und erweitert werden.
Die Bausteine sind in zehn Schichten aufgeteilt und thematisieren unterschiedlichste Themen der IT-Sicherheit:
•Prozess-Bausteine–ISMS (implementierte Anforderungen)–ORP (Organisation und Personal)–CON (Konzepte und Vorgehensweisen)–OPS (Betrieb)–DER (Detektion & Reaktion)•System-Bausteine–APP (Anwendungen)–SYS (IT-Systeme)–IND (Industrielle IT)–NET (Netze und Kommunikation)–INF (Infrastruktur)
Bei der Erstellung der Bausteine wurde bereits eine Risikobewertung für Bereiche mit normalem Schutzbedarf durchgeführt.
Die Anforderungen in den Bausteinen bilden, laut BSI, den aktuellen Stand der Technik ab.[54]
Zum Einstieg für kleine und mittelständische Unternehmen gibt es noch den „Leitfaden zur Basis-Absicherung nach IT-Grundschutz: In 3 Schritten zur Informationssicherheit“. Dieser liefert einen kompakten und übersichtlichen Einstieg zum Aufbau eines Informationssicherheitsmanagementsystems (ISMS).
Abbildung 6
2.2.4.4Standard-Datenschutzmodell (SDM) der DSK
Die Konferenz der unabhängigen Datenschutzbeauftragten des Bundes und der Länder (DSK) besteht aus dem Bundesdatenschutzbeauftragten und den Landesdatenschutzbeauftragten der 16 Bundesländer, sowie dem Präsidenten des Bayerischen Landesamtes für Datenschutzaufsicht, mithin aus allen Datenschutzaufsichtsbehörden, bzw. deren Leitern.
Als „Standard-Datenschutzmodell“ (SDM) bezeichnet die DSK eine Methode, mit der die Übereinstimmung von gesetzlichen Anforderungen und deren Beachtung bzw. Umsetzung in personenbezogenen Verfahren herstellbar wird.[55]
Version 2.0b wurde von der 99. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder am 17. April 2020 beschlossen.
Entwickelt wurde es durch den Arbeitskreis Technik der DSBK unter Vorsitz des Unabhängigen Landeszentrums für Datenschutz – Schleswig-Holstein. Veröffentlicht wurde es als 72-seitiges Handbuch durch die DSK.[56]
Die Schutzziele des Datenschutzes wurden darin um ein weiteres Ziel erweitert und als Gewährleistungsziele (in Abgrenzung zum gesetzlichen Begriff der Schutzziele) bezeichnet.
Es handelt sich dabei um folgende Ziele:
1)Verfügbarkeit2)Integrität3)Vertraulichkeit4)Transparenz,5)Intervenierbarkeit6)Nicht-Verkettung7)Datenminimierung
Das Gewährleistungsziel Nichtverkettung bezeichnet die Anforderung, dass Daten nur für den Zweck verarbeitet und ausgewertet werden können, für den sie erhoben werden.[57]
Das Gewährleistungsziel Transparenz bezeichnet die Anforderung, dass in einem unterschiedlichen Maße sowohl Betroffene als auch die Betreiber von Systemen sowie zuständige Kontrollinstanzen erkennen können, welche Daten für welchen Zweck in einem Verfahren erhoben und verarbeitet werden, welche Systeme und Prozesse dafür genutzt werden, wohin die Daten zu welchem Zweck fließen und wer die rechtliche Verantwortung für die Daten und Systeme in den verschiedenen Phasen einer Datenverarbeitung besitzt.[58]
Das Gewährleistungsziel Intervenierbarkeit bezeichnet die Anforderung, dass den Betroffenen die ihnen zustehenden Rechte auf Benachrichtigung, Auskunft, Berichtigung, Sperrung und Löschung jederzeit wirksam gewährt und die verarbeitende Stelle verpflichtet ist, die entsprechenden Maßnahmen umzusetzen.[59]
Das grundlegende Gewährleistungsziel Datenminimierung bedeutet, nicht mehr personenbezogene Daten zu erheben, zu verarbeiten und zu nutzen, als für das Erreichen des Verarbeitungszwecks erforderlich ist.[60]
Die Gewährleistungsziele werden sodann um eine Schutzbedarfsfeststellung und eine Datenschutzrisikoanalyse ergänzt.
Bei Kollisionen der Schutzbedarfsfeststellungen aus der IT-Sicherheit und der Datensicherheit hat der Datenschutz Priorität.
Ergibt die Risikoanalyse einen hohen Schutzbedarf, sind geeignete Maßnahmen zu treffen, die sich aus einem Maßnahmenkatalog ergeben, der künftig Bestandteil des SDM sein wird und der ständig aktualisiert werden wird.
Hintergrund des SDM ist unter anderem, dass Datenschutz eine andere Schutzrichtung aufweist als die der IT-Sicherheit. Während es bei IT-/Informationssicherheit um den Schutz der Institutionen geht, schützt das (europäische und deutsche) Datenschutzrecht in erster Linie die Betroffenen.
In der Vergangenheit wurde diese Diskrepanz bei der Umsetzung eines ISMS von Datenschützern kritisiert. Frühere Bemühungen, beide Schutzrichtungen zu verbinden (BKDS und BSI beim IT-Grundschutzkatalog), waren nur auf die nationale Rechtslage ausgelegt.
Über dessen Baustein CON.2 Datenschutz ist das SDM in das IT-Grundschutz Kompendium nunmehr eingebunden. Das SDM ist nach der DSGVO und somit europarechtlich ausgerichtet.
Abbildung 7
2.2.4.5IT-Sicherheitskatalog nach § 11 Absatz 1a EnWG
Betreiber eines Energieversorgungsnetzes in den Bereichen Strom und Gas haben gemäß § 11 Absatz 1a EnWG den von der Bundesnetzagentur im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik herausgegebenen IT-Sicherheitskatalog zu beachten. Danach haben diese eine eigene Zertifizierung ihres zwingend vorgeschriebenen ISMS auf der Basis DIN ISO/IEC 27001 i. V. m. dem IT-Sicherheitskatalog durchzuführen.
2.2.4.6Branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a (2) BSIG
„Betreiber Kritischer Infrastrukturen“ (KRITIS) i. S. d. IT-Sicherheitsgesetzes und der BSI-Kritisverordnung müssen ihre kritischen IT-Systeme, -Komponenten und -Prozesse durch angemessene Vorkehrungen nach dem Stand der Technik gegen Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit absichern. Mit „kritisch“ sind dabei die informationstechnischen Systeme, Komponenten oder Prozesse gemeint, die für die Funktionsfähigkeit der betriebenen Kritischen Infrastrukturen maßgeblich sind.
Um dieser Anforderung zu genügen, können KRITIS-Betreiber und ihre Verbände „Branchenspezifische Sicherheitsstandards“ (B3S) erarbeiten. Das BSI prüft diese auf Antrag und erkennt sie bei Eignung im Benehmen mit dem BBK und im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde an.[61]
Hierzu wird eine Orientierungshilfe zu Inhalten und Anforderungen angeboten.
Ist der BS3 genehmigt, erlangt das Unternehmen Rechtssicherheit, den Anforderungen zu genügen.
2.2.5Haftung und Sanktionen
2.2.5.1KonTraG
Im Bereich der IT-Sicherheit haftet die Unternehmensführung dem Unternehmen persönlich für Verletzungen.
Die Haftung der Unternehmensführung ist dabei selbstverständlich auf eine gesetzliche Grundlage gestützt.
Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) ist ein umfangreiches Artikelgesetz, das am 5. März 1998 vom Deutschen Bundestag beschlossen wurde. Es trat am 1. Mai 1998 in Kraft, wenn auch einige Vorschriften erst später zur Anwendung kamen.
Von zentraler Bedeutung sind die §§ 91, 93 AktG. Danach hat der Vorstand geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Die Vorstandsmitglieder haften persönlich für Pflichtverletzungen. Auch für andere Unternehmensformen gelten diese Haftungsobligationen der Geschäftsleitung (vgl. bspw. § 43 GmbHG; § 347 HGB).
Daraus folgt, dass nicht nur regulatorische Anforderungen durch die Unternehmensführung zu beachten, sondern auch geeignete Maßnahme zu ergreifen sind, um Gefährdungspotentiale zu minimieren oder soweit wie möglich auszuschließen.
Der Bereich des IT-Sicherheitsmanagements ist innerhalb der Unternehmensführung auf speziell berufene IT-Manager übertragbar mit der Folge, dass die übrigen Mitglieder der Geschäftsführung nur noch Kontrollpflichten treffen. Eine vollständige Haftungsübertragung ist indes nicht möglich. Des Weiteren ist anerkannt, einem IT-Sicherheitsbeauftragten unterhalb der Geschäftsleitungsebene den entsprechenden Verantwortungsbereich zu delegieren. Allerdings kann auch dadurch ein vollständiger Haftungsausschluss der Geschäftsleitung nicht bewirkt werden.
2.2.5.2DSGVO
2.5.2.1Schadensersatz
Nach Art. 82 DSGVO wird ein Schadensersatzanspruch eines Verletzten für materielle und immaterielle Schäden eingeführt und zwar gegen jeden der bei der Verarbeitung beteiligten Verantwortlichen.
2.5.2.2Bußgeld
Es kann ein Bußgeld bis zu 20 Millionen € oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert der höhere ist, verhängt werden.
Daneben gibt es noch einen Bußgeldrahmen bis zu 10 Millionen EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr; je nachdem, welcher Wert der höhere ist.
2.2.5.3BDSG
Nach dem ebenfalls ab 25.05.2018 geltenden BDSG existieren noch Strafvorschriften für vorsätzlich begangene Taten mit einer Strafandrohung bis zu 3 Jahren oder Geldstrafe sowie weitere Bußgeldvorschriften mit einem Rahmen bis 50.000 EUR.
2.2.5.4IT-SiG 2.0
Der Rahmen für Bußgelder ist mit jeweiligen Höchstbeträgen (je nach Tatbestand) von 100.000 € bis 2 Millionen € festgelegt, wobei unter Umständen eine Verzehnfachung des Maximalbetrages bis somit 20 Millionen € in Betracht kommen kann.
2.2.6Verantwortung
Aus Gründen der Haftung ist IT-Sicherheit zunächst immer Chefsache. Die Geschäftsleitung ist somit zuvorderst verantwortlich und sollte in die strategische Planung nicht nur eingebunden sein, sondern auch die grundlegenden Entscheidungen treffen.
Unabdingbar ist die Mitwirkung der IT-Leitung, da hier die Umsetzung der zu ergreifenden Maßnahmen angesiedelt ist.
Aufgrund der Vernetzung und Verzahnung mit dem Bereich des Datenschutzes folgt sodann der Datenschutzbeauftragte.
Am wichtigsten ist hier die IT-Sicherheitsabteilung, bzw. der IT-Sicherheitsbeauftragte.
Somit bestehen folgende Verantwortungsbereiche:
•Geschäftsleitung•IT-Leitung•IT-Sicherheitsabteilung oder IT-Sicherheitsbeauftragte/r (Informationssicherheitsbeauftrage/r)•Datenschutzbeauftragte/r
2.3Praxishinweise
2.3.1IT-Sicherheitsbeauftragter
Auch wenn die Bestellung eines IT-Sicherheitsbeauftragten nicht generell für Unternehmen gesetzlich verpflichtend ist, sollte die Position im Unternehmen geschaffen werden.[62]
In Anlehnung an den Datenschutzbeauftragten sollte der IT-Sicherheitsbeauftragte der Geschäftsleitung direkt in beratender Funktion unterstellt werden.
Der IT-Sicherheitsbeauftragte muss selbstverständlich über entsprechende Sachkunde verfügen.
Eine Interessenkollision soll dabei aber vermieden werden, demzufolge kann der Leiter der IT nicht gleichzeitig IT-Sicherheitsbeauftragter sein. In Analogie zum Datenschutzbeauftragten sollte der IT-Sicherheitsbeauftragte vielmehr unabhängig sein. Eine gleichzeitige Ausübung als Datenschutzbeauftragter ist denkbar.
2.3.2Website – Sicherheitsüberprüfung
Hinsichtlich der Sicherheit der Unternehmenswebsite sollte umgehend überprüft werden, ob Mindeststandards eingehalten werden, zumal wenn die Site extern gehostet wird. Gerade in diesen Fällen wird die Website oft als Sicherheitsrisiko übersehen. Dies gilt im besonderen Maße, falls eine Zugangsmöglichkeit zum Intranet des Unternehmens besteht.
2.3.3Datenverschlüsselung, Anonymisierung und Pseudonymisierung
Sensible Daten sollten nur noch verschlüsselt und am besten anonymisiert und pseudonymisiert gespeichert werden.
2.3.4Data protection by design und Data protection by default
Bei der Einführung neuer Systeme und Verfahren sollten gleich zu Beginn die Grundsätze data protection by design (Datenschutz durch Technikgestaltung) und data protection by default (datenschutzfreundliche Voreinstellungen) berücksichtigt werden, um die Datensicherheit von Anfang an quasi einzubauen.
2.3.5DSFA
Die Datenschutz-Folgenabschätzung (DSFA) sollte verstärkt in den Focus rücken, zumal wenn zur Umsetzung der DSGVO noch nicht viel unternommen wurde.
Auch wenn keine rechtliche Verpflichtung besteht, kann gleichwohl eine Datenschutz-Folgenabschätzung erfolgen.
2.4Gestalterische Empfehlungen und Compliance
2.4.1Umsetzung – Stand der Technik
Die zentrale Frage beim Thema IT-Sicherheit ist zweifellos die der Umsetzbarkeit, insbesondere hinsichtlich des Begriffs „Stand der Technik“.
Ein Konzept zur IT-Sicherheit muss nach Auffassung des Verfassers alle Bereiche berücksichtigen und kann nicht in einzelne Aufgabengebiete wie Datenschutz und Sicherheitsaspekte der Systeme sowie sonstige Komponenten getrennt und gesondert gelöst werden.
Dies würde nicht nur einen erheblichen Mehraufwand an Ressourcen erfordern, sondern auch ineffektiv sein und im schlimmsten Falle sogar zu widersprüchlichen Lösungen führen.
Der Ansatzpunkt kann also nur einem in sich geschlossenen System bestehen, in dem sowohl die datenschutzrechtlichen, als auch die sicherheitstechnischen und sonstigen Anforderungen integriert sind.
Zwar ist dies im Rahmen einer Zertifizierung nach ISO 27001 möglich, allerdings ohne externe Berater und einen nicht unerheblichen finanziellen Aufwand nicht zu leisten.
Es bestehen jedoch leicht verständliche und effektiv umsetzbare Vorgaben der zuständigen Behörden, die zudem kostenfrei sind.
Zu berücksichtigen ist ferner, dass die Ausrichtung nach den Vorgaben der Behörden, die letztendlich zuständig sind, eine nicht unerhebliche Rechtssicherheit bietet.
Entgegen der berechtigten Kritik früherer Jahre stehen sich der IT-Grundschutz und die Datensicherheitsanforderungen in ihrer Schutzrichtung nicht mehr inkompatibel gegenüber. Der Bereich des Datenschutzes ist im SDM nach der DSGVO europarechtskonform ausgerichtet. Das SDM ist in den IT-Grundschutz eingebunden.
Auch ist der IT-Grundschutz nach der Novellierung nunmehr weder komplex noch aufwendig, sondern modular, leicht verständlich und so aufgebaut, dass er mit minimalem Aufwand sehr rasch und effektiv umgesetzt werden kann. Zudem steht dieser völlig kostenfrei zur Verfügung.
Sofern keine Betreiber Kritischer Infrastrukturen betroffen sind, die entweder zwingend oder aus Gründen der weitergehenden Rechtssicherheit eine Zertifizierung nach ISO 27001 i. V. m. IT-Sicherheitskatalog oder auf der Grundlage genehmigter branchenspezifischer Sicherheitsstandards vornehmen müssen bzw. sollten, lautet die Empfehlung des Verfassers in puncto IT-Sicherheit daher
IT- Grundschutz des BSI mit integriertem Standard-Datenschutzmodell der DSBK, ggf. im Rahmen einer Zertifizierung nach ISO 27001.
Pulsuz fraqment bitdi.
