IT-Sicherheit für Dummies

Prof. Dr. Rainer W. Gerling war Datenschutz- und IT-Sicherheitsbeauftragter der Max-Planck-Gesellschaft. Dr.-Ing. Sebastian R. Gerling ist Chief Digital Officer der Universität Hamburg und Berater für IT-Sicherheit. Beide schreiben und veröffentlichen zum Thema »Datenschutz und IT-Sicherheit«.

• Über die Autoren 7Einleitung 19Über dieses Buch 19Törichte Annahmen über den Leser 19Was Sie nicht lesen müssen 20Wie dieses Buch aufgebaut ist 20Teil I: Informationssicherheit, IT-Sicherheit und Datenschutz 20Teil II: Rechtliche Anforderungen 21Teil III: Organisation der Informationssicherheit 21Teil IV: Bausteine der technischen IT-Sicherheit 22Teil V: Lösungen und Umsetzungen 22Teil VI: Der Top-Ten-Teil 22Symbole, die in diesem Buch verwendet werden 23Konventionen in diesem Buch 23Wie es weitergeht 24Teil I: Informationssicherheit, IT-Sicherheit und Datenschutz 25Kapitel 1: Irrtümer und häufige Fehler 27Internet-Sicherheit 27Mobile und Cloud-Sicherheit 29Endgerätesicherheit 31E-Mail-Sicherheit 32Kapitel 2: Grundlagen der Informationssicherheit 35Was ist Informationssicherheit? 35Was ist IT-Sicherheit? 35Was ist Cybersicherheit? 38Klassische Schutzziele der Informationssicherheit 39Verfügbarkeit 39Integrität 41Vertraulichkeit 42Authentizität 42Verantwortlichkeit 42Benutzbarkeit 43Weitere Schutzziele 44Kapitel 3: Bausteine der Informationssicherheit 47Risikomanagement 48Meldepflichten bei Vorfällen 51Einhaltung von Sicherheitsstandards 54Nachweis der Einhaltung durch Audits 55Kapitel 4: Datenschutz und technisch-organisatorische Maßnahmen 59Teil II: Rechtliche Anforderungen 63Kapitel 5: Die DS-GVO und das BDSG 65Die acht Gebote des Datenschutzes (BDSG a F.) 65Stand der Technik 67Implementierungskosten 70Gewährleistungsziele des Datenschutzes 73Kapitel 6: Gesetze zur IT-Sicherheit 75NIS-Richtlinie (EU) 75Rechtsakt zur Cybersicherheit (EU) 77eIDAS-Verordnung (EU) 79Single-Digital-Gateway-(SDG-)Verordnung (EU) 81BSI-Gesetz (D) 81BSI-Kritisverordnung (D) 85Geschäftsgeheimnisgesetz (D) 86Onlinezugangsgesetz (D) 87Sozialgesetzbuch V (D) 88TKG, TMG und TTDSG (D) 92Kapitel 7: ISO-Normen 95ISO/IEC 270xx Informationssicherheit 96Anforderungsnormen 98Leitfäden 100ISO/IEC 27701 Datenschutz 102Kapitel 8: BSI und Grundschutz 105IT-Grundschutz 105BSI-Standards 106IT-Grundschutz-Kompendium 108Standard-Datenschutzmodell und IT-Grundschutz 113Technische Richtlinien des BSI 115Kapitel 9: Weitere Standards 119Prozessorientierte Standards 119VdS 10000: ISMS für KMU 120ISIS12 wird CISIS12 122TISAX 122Finanzstandards 123Vorgaben für die öffentliche Verwaltung 124Technikorientierte Standards 125Common Criteria 125PCI-DSS 127FIPS 129ITIL 130Kapitel 10: Technisch-organisatorische Maßnahmen (TOM) 131Vertraulichkeit 131Zutrittskontrolle, physische und umgebungsbezogene Sicherheit 132Zugangskontrolle, Zugangssteuerung 133Zugriffskontrolle 134[Trennungskontrolle], Nichtverkettbarkeit 135Pseudonymisierung 137Verschlüsselung, Kryptografie 139Integrität 141Eingabekontrolle 141Digitale Signatur, Hashfunktionen 142Weitergabekontrolle, Kommunikationssicherheit 143Löschkontrolle (»Recht auf Vergessen werden«) 144Verfügbarkeit und Belastbarkeit 145Verfügbarkeitskontrolle und Informationssicherheitsaspektebeim Business Continuity Management 146Auftragskontrolle, Lieferantenbeziehungen 147Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM 149Teil III: Organisation der Informationssicherheit 153Kapitel 11: Organisation im Unternehmen 155Verantwortung für die Informationssicherheit 155Organisatorische Strukturen 155Geschäftsleitung 156Chief Information Officer/Chief Digital Officer 156Informationssicherheitsbeauftragter 156IT-Leitung 157Computer Emergency Response Team (CERT) 158Informationssicherheitsausschuss 159Richtlinien und Regeln 159Kapitel 12: Der Deming-Kreis (PDCA) und die ständige Verbesserung 163Kapitel 13: Risikoanalyse und Kronjuwelen 165Klassifizierung der Daten 165Klassifizierung der Systeme 166Bedrohungsanalyse 168Metriken und Bewertung 169Kapitel 14: Grundlegende Dokumentation 171Asset- und Konfigurationsmanagement 174Nutzermanagement und Zugriffskontrolle 180Kapitel 15: Meldepflichten und Vorfallsmanagement 185Datenschutzvorfälle 185IT-Sicherheitsvorfälle 187Angriffserkennung 189Security Information and Event Management (SIEM) 190Dokumentation von Vorfällen und Forensik 191Sharing von Threat-Informationen 192Kapitel 16: Awareness und Beschäftigte 197Teil IV: Bausteine der technischen IT-Sicherheit 201Kapitel 17: Grundlagen der Verschlüsselung 203Symmetrische Verschlüsselung 208Betriebsarten der Blockverschlüsselung 210Asymmetrische Verschlüsselung 214Diffie-Hellman-Merkle-Schlüsselaustausch 214Das RSA-Verfahren 215Hybride Verschlüsselung 220Hashfunktionen 221Digitale und elektronische Signaturen 225Elliptische-Kurven-Kryptografie 227DLIES und ECIES 229Vertrauensmodelle 229Persönlicher Kontakt 232Zertifizierungsstellen 233Web of Trust 235Trust on First Use 237Kryptograpische Forschung 237Homomorphe Verschlüsselung 238Post-Quantenkryptografie 240Kapitel 18: Biometrie 243Hautleisten 246Venenmuster 247Iris-Scan 247Gesichtserkennung 247Kapitel 19: Chipkarten und Secure Hardware Token 249Einmalpasswort-Token 252Teil V: Lösungen und Umsetzungen 255Kapitel 20: Backup & Co 257Datensicherung 258Kontrollfragen 261Aufbewahrungspflichten 262Archivierung 263Redundanz 264Kapitel 21: Netzwerksicherheit 267Grundlagen 269Sicherheitserweiterungen von Netzwerkprotokollen 270DNS, Anwendungsschicht 270HTTPS, SMTPS, Anwendungsschicht 272TCP und UDP, Transportschicht 272IP und IPsec, Netzwerkschicht 276ARP und 802.1X, Verbindungsschicht 277Netzwerkzugang 278Netzwerksegmentierung 280Denial-of-Service-Angriffe 281Anonymisierung in Netzwerken 283Funknetze 284WLAN 284Bluetooth 286NFC, RFID 288Das sichere Internet der Zukunft 290Kapitel 22: Firewalls 291Grundlagen von Firewalls 291Packet Filter 294Stateful Inspection Firewall 294Network Address Translation (NAT) 295Proxy-Server und Application Layer Firewall 296NG Firewall und Deep Packet Inspection 297Firewall in der Cloud 298Kapitel 23: Verschlüsselung im Einsatz 301Daten in Ruhe 301Datenträgerverschlüsselung 304Partitionsverschlüsselung 307Containerverschlüsselung 307Dateiverschlüsselung 308Daten in Bewegung 309Transportverschlüsselung 309E-Mail-Verschlüsselung 311Virtuelle private Netzwerke (VPN) 311Kapitel 24: Monitoring 319Metriken der IT-Sicherheit 319Angriffserkennungssysteme 322Angriffserkennungssysteme (netzwerkbasiert) 323Angriffserkennungssysteme (hostbasiert) 324Managed Security 325Schadsoftware 326Abwehrstrategien 327Analyse von Schadsoftware 328Kapitel 25: Patch Management 331Kapitel 26: Zugangssicherung und Authentisierung 335Passwörter im Unternehmen 335Zwei-Faktor-Authentisierung 338Biometrie 339Single Sign-on 340Kapitel 27: Anwendungssicherheit 343Chat 343E-Mail 344Verschlüsselung 345Allgemeine Sicherheit 346Videokonferenzen 347Multipoint Control Unit 347Selective Forwarding Unit 348Peer to Peer 348Webanwendungen 349Datenbanken 351Cloud 352Speichern in der Cloud 353Verarbeiten in der Cloud 353Blockchain 354Künstliche Intelligenz 356Teil VI: Der Top-Ten-Teil 359Kapitel 28: Zehn Maßnahmen für den technischen Basisschutz 361Backup 361Schutz vor Schadsoftware 361Netzwerkschutz 361Firewall 362Patch-Management 362Verschlüsselt speichern 362Verschlüsselt kommunizieren 362Passwort-Management 362Biometrie und Zwei-Faktor-Authentifikation 362Spam-Abwehr 363Kapitel 29: Zehn Maßnahmen für den organisatorischen Überbau 365Übernahme der Verantwortung 365Leitlinie zur Informationssicherheit 365Richtlinien zur Informationssicherheit 365Definition und Besetzung der Rollen 366Definition der fundamentalen Prozesse 366Risikobetrachtung 366Klassifizierung der Daten und Systeme 366Awareness 366Krisenmanagement 366Regelmäßige Überprüfung 367Literaturverzeichnis 369Abbildungsverzeichnis 373Stichwortverzeichnis 379