Aus unserem Fragenpool von 150 IHK-Prüfungsfragen nach offiziellem ZPA/AkA-Wortlaut. Bearbeiten Sie die Aufgaben und vergleichen Sie Ihre Antwort mit dem Erwartungshorizont:
CIA-Triade Grundwerte der Informationssicherheit
9 Punkte
Ein IT-Sicherheitskonzept nach BSI IT-Grundschutz basiert auf den drei klassischen Sicherheitszielen.
Definieren Sie die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit und nennen Sie zu jedem Ziel eine konkrete technische oder organisatorische Maßnahme.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. Vertraulichkeit (Confidentiality): Informationen sind nur autorisierten Personen zugänglich und vor unbefugtem Zugriff geschützt. Maßnahme: Festplattenverschlüsselung (BitLocker), TLS-Transportverschlüsselung, Rollen- und Rechtekonzept. (3 Pkt.)
2. Integrität (Integrity): Daten sind vor unbefugter oder unbeabsichtigter Veränderung/Manipulation geschützt und korrekt. Maßnahme: Kryptografische Hashwerte (SHA-256), digitale Signaturen, Schreibschutz. (3 Pkt.)
3. Verfügbarkeit (Availability): Autorisierte Benutzer können jederzeit im vereinbarten Zeitrahmen auf Systeme und Daten zugreifen. Maßnahme: Redundante Netzteile, USV, RAID-Systeme, Backup-Konzepte. (3 Pkt.)
Backup-Methoden Vergleich
8 Punkte
In einem Unternehmen fallen täglich 60 GB veränderte Daten an. Für das Backup-Konzept werden die Verfahren Vollsicherung, differenzielle und inkrementelle Sicherung abgewogen.
Vergleichen Sie differenzielle und inkrementelle Backups hinsichtlich Speichervolumen und Aufwand/Schritte bei einer vollständigen Systemwiederherstellung.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Differenzielle Sicherung: Sichert alle Daten, die sich seit der LETZTEN VOLLSICHERUNG geändert haben. Speicherbedarf wächst täglich bis zur nächsten Vollsicherung. Wiederherstellung: Sehr schnell, es werden nur 2 Sicherungssätze benötigt (letzte Vollsicherung + gewünschter differenzieller Stand). (4 Pkt.)
Inkrementelle Sicherung: Sichert nur die Daten, die sich seit der UNMITTELBAR VORANGEGANGENEN (Voll- oder Inkrementellen) Sicherung geändert haben. Geringster Speicherbedarf. Wiederherstellung: Aufwändig und zeitintensiv, da die Vollsicherung sowie ausnahmslos ALLE darauffolgenden inkrementellen Stände lückenlos in Reihe eingespielt werden müssen. (4 Pkt.)
3-2-1-Backup-Regel und Air-Gap
8 Punkte
Die Geschäftsleitung fordert die konsequente Umsetzung der 3-2-1-Backup-Strategie zum Schutz vor Ransomware-Angriffen.
Erläutern Sie die drei Vorgaben der 3-2-1-Regel und beschreiben Sie das Konzept eines Air-Gaps.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
3: Es müssen mindestens 3 Datenkopien existieren (1 Produktivdaten + 2 Backups). (2 Pkt.)
2: Die Sicherungen müssen auf mindestens 2 unterschiedlichen Medientechnologien gespeichert werden (z. B. lokales Festplatten-NAS und LTO-Magnetband). (2 Pkt.)
1: Mindestens 1 Sicherungskopie muss an einem separaten, externen Standort (Offsite / Cloud / Brandschutzabschnitt) aufbewahrt werden. (2 Pkt.)
Air-Gap: Eine physische oder logische vollständige Trennung des Backup-Mediums vom Produktivnetzwerk (z. B. entnommene LTO-Tape-Kassetten oder Offline-Storage), sodass Schadsoftware über das Netzwerk keinen Schreib- oder Löschzugriff auf das Backup erlangen kann. (2 Pkt.)
SLA-Kennzahlen RTO und RPO
6 Punkte
Im Katastrophenfall-Plan (Disaster Recovery Plan) einer Bank sind vereinbart: RTO = 2 Stunden und RPO = 15 Minuten.
Definieren Sie RTO (Recovery Time Objective) und RPO (Recovery Point Objective) und interpretieren Sie die beiden Kennzahlen anhand des Szenarios.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
RTO (Recovery Time Objective): Die maximal tolerierbare Zeitdauer vom Auftreten des Ausfalls bis zur vollständigen Wiederherstellung der Betriebsbereitschaft. Im Szenario: Nach spätestens 2 Stunden muss das System wieder produktiv laufen. (3 Pkt.)
RPO (Recovery Point Objective): Der maximal tolerierbare Zeitraum, für den Daten im Katastrophenfall verloren gehen dürfen (gemessen zurück vom Ausfallzeitpunkt). Im Szenario: Es dürfen maximal Transaktionsdaten der letzten 15 Minuten verloren gehen (erfordert z. B. synchrone Replikation). (3 Pkt.)
DSGVO Art. 32 Technisch-organisatorische Maßnahmen (TOMs)
6 Punkte
Ein Rechenzentrum verarbeitet personenbezogene Kundendaten und muss nach Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen nachweisen.
Nennen Sie sechs der acht klassischen Kontrollbereiche (TOMs) und geben Sie jeweils ein konkretes Praxisbeispiel an.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. Zutrittskontrolle: Schutz vor unbefugtem räumlichen Betreten (z. B. Chipkarten-Leser, Biometrie, Alarmanlage). (1 Pkt.)
2. Zugangskontrolle: Schutz vor unbefugter Systemnutzung (z. B. sichere Passwörter, 2FA, Kontosperrung). (1 Pkt.)
3. Zugriffskontrolle: Schutz vor unbefugtem Lesen/Ändern von Daten (z. B. Rollen- und Rechtekonzept nach Least Privilege). (1 Pkt.)
4. Weitergabekontrolle: Schutz bei Übertragung und Transport (z. B. VPN, TLS-Verschlüsselung, Transportprotokolle). (1 Pkt.)
5. Eingabekontrolle: Nachvollziehbarkeit, wer wann welche Daten geändert hat (z. B. manipulationssicheres Logging/Audit-Trail). (1 Pkt.)
6. Verfügbarkeitskontrolle: Schutz vor Zerstörung und Verlust (z. B. USV, RAID, Brandschutz, tägliches Backup). (1 Pkt.)
DSGVO Betroffenenrechte
6 Punkte
Ein ehemaliger Kunde verlangt die vollständige Löschung seiner gespeicherten Daten.
Nennen Sie den maßgeblichen Artikel der DSGVO (Recht auf Löschen / Recht auf Vergessenwerden) und beschreiben Sie zwei gesetzliche Gründe, die einer sofortigen Löschung entgegenstehen.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Recht auf Löschung: Art. 17 DSGVO. (2 Pkt.)
Ausnahmen/Aufbewahrungspflichten:
1. Handels- und steuerrechtliche Aufbewahrungsfristen nach § 257 HGB und § 147 AO (Rechnungen und Buchungsbelege müssen 10 Jahre archiviert werden). (2 Pkt.)
2. Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Rahmen gesetzlicher Verjährungsfristen (z. B. § 195 BGB). (2 Pkt.)
BSI IT-Grundschutz Vorgehensweise
8 Punkte
Ein IT-Sicherheitsbeauftragter erstellt ein Sicherheitskonzept nach BSI-Standard 200-2.
Bringen Sie die folgenden Schritte in die korrekte chronologische Reihenfolge und erläutern Sie die Schutzbedarfsfeststellung: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Reihenfolge:
1. Strukturanalyse (Erfassung aller IT-Systeme, Netze, Räume, Anwendungen und Daten). (1 Pkt.)
2. Schutzbedarfsfeststellung. (1 Pkt.)
3. Modellierung (Zuordnung der Bausteine des IT-Grundschutz-Kompendiums). (1 Pkt.)
4. IT-Grundschutz-Check (Soll-Ist-Vergleich der Basisanforderungen). (1 Pkt.)
5. Risikoanalyse (für Bereiche mit hohem Schutzbedarf oder nicht abgedeckten Gefährdungen). (1 Pkt.)
Schutzbedarfsfeststellung: Ermittelt für jede Anwendung und jedes System die Schadensauswirkungen bei Verlust von Vertraulichkeit, Integrität und Verfügbarkeit in den Kategorien "Normal", "Hoch" oder "Sehr hoch" unter Anwendung des Maximumprinzips. (3 Pkt.)
Zwei-Faktor-Authentifizierung (2FA / MFA)
8 Punkte
Zur Absicherung von VPN-Zugängen wird eine Zwei-Faktor-Authentifizierung (2FA) vorgeschrieben.
Nennen Sie die drei klassischen Authentifizierungsfaktoren mit jeweils einem Beispiel und erläutern Sie das Funktionsprinzip von TOTP (Time-based One-Time Password).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Drei Faktoren:
1. Wissen (etwas, das man weiß): z. B. Passwort, PIN. (2 Pkt.)
2. Besitz (etwas, das man hat): z. B. Smartphone, Hardware-Token (YubiKey), Smartcard. (2 Pkt.)
3. Inhärenz / Sein (etwas, das man ist): z. B. Fingerabdruck, Gesichtsscan, Iris. (2 Pkt.)
TOTP-Prinzip: Server und Client-App teilen ein geheimes Shared Secret. Aus diesem Secret und dem aktuellen Unix-Zeitstempel (in 30-Sekunden-Schritten) berechnet ein kryptografischer HMAC-Algorithmus (HMAC-SHA1) einen 6-stelligen Code, der nur für dieses 30s-Zeitfenster gültig ist. (2 Pkt.)
Ransomware Incident Response Maßnahmen
8 Punkte
Ein Mitarbeiter bemerkt am Montagmorgen, dass auf seinem PC Dateien die Endung ".locked" erhalten haben und eine Textdatei mit einer Lösegeldforderung auf dem Desktop liegt.
Nennen Sie vier Sofortmaßnahmen, die der IT-Support unverzüglich ergreifen muss, und begründen Sie, warum der Rechner nicht einfach ausgeschaltet werden darf.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Vier Sofortmaßnahmen:
1. Netzwerkverbindung sofort physisch trennen (LAN-Kabel ziehen, WLAN deaktivieren), um Lateral Movement im Firmennetz zu stoppen. (2 Pkt.)
2. Incident-Response-Team und IT-Sicherheitsbeauftragten alarmieren. (1 Pkt.)
3. Firewall-Logs und Netflow-Daten auf externe C2-Server-Kommunikation prüfen und betroffene Segmente isolieren. (1 Pkt.)
4. Meldepflichten nach Art. 33 DSGVO (72h-Meldung an die Datenschutzaufsichtsbehörde) prüfen. (1 Pkt.)
Warum nicht hart ausschalten: Durch hartes Ausschalten (Stecker ziehen) gehen flüchtige Speicherinhalte im RAM verloren (z. B. unverschlüsselte Keys, C2-Verbindungen, Injektionspfade), die für die digitale Forensik und Speicheranalyse essenziell sind (Einfrieren/Ruhezustand bevorzugen). (3 Pkt.)
Phishing & Social Engineering Abwehrmaßnahmen
6 Punkte
Ein Mitarbeiter erhält eine scheinbar von der Geschäftsleitung stammende E-Mail mit der dringenden Aufforderung, eine Überweisung über 45.000 EUR auf ein ausländisches Konto freizugeben (CEO-Fraud).
Definieren Sie Social Engineering und nennen Sie drei organisatorische Maßnahmen, um Angriffe dieser Art wirksam zu verhindern.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Definition: Zwischenmenschliche Beeinflussung und Manipulation von Mitarbeitern unter Ausnutzung von Hilfsbereitschaft, Respekt vor Autorität oder Zeitdruck, um vertrauliche Informationen zu erlangen oder Handlungen auszulösen. (3 Pkt.)
Maßnahmen:
1. Vier-Augen-Prinzip bei Zahlungsfreigaben ab bestimmten Betragsgrenzen. (1 Pkt.)
2. Regelmäßige Security-Awareness-Schulungen und simulierte Phishing-Kampagnen. (1 Pkt.)
3. Verpflichtender Callback-Kanal (Rückversicherung über ein separates Kommunikationsmedium, z. B. Telefonat mit bekannter Festnetznummer). (1 Pkt.)
Passwortrichtlinien nach BSI
6 Punkte
Die bestehende Passwortrichtlinie verlangt ein monatliches Ändern von 8-stelligen Passwörtern.
Erläutern Sie, warum moderne BSI-Empfehlungen das erzwungene regelmäßige Wechseln ablehnen und welche zwei Kriterien stattdessen für ein sicheres Passwort ausschlaggebend sind.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Kritik am Wechselzwang: Erzwungene periodische Wechsel führen nachweislich dazu, dass Benutzer vorhersehbare Muster wählen (z. B. Sommer2024! -> Herbst2024!) oder Passwörter auf Post-its notieren, anstatt echte Entropie zu nutzen. (2 Pkt.)
Moderne Kriterien:
1. Passwortlänge: Mindestens 10 bis 12 Zeichen bei komplexen Passwörtern, bzw. Passphrasen mit 20+ Zeichen aus mehreren Wörtern. (2 Pkt.)
2. Keine Nutzung bekannter Wörterbuchwörter oder persönlicher Daten; Passwort nur wechseln, wenn ein konkreter Verdacht auf Kompromittierung besteht. (2 Pkt.)
Symmetrische vs Asymmetrische Verschlüsselung
8 Punkte
Zur Absicherung vertraulicher Datenübertragungen werden kryptografische Algorithmen eingesetzt.
Vergleichen Sie symmetrische und asymmetrische Verschlüsselungsverfahren hinsichtlich Schlüsselverwaltung, Rechenaufwand und typischer Einsatzszenarien und nennen Sie jeweils ein bekanntes Algorithmenbeispiel.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Symmetrische Verschlüsselung: Verwendet denselben gemeinsamen geheimen Schlüssel (Shared Secret) zum Ver- und Entschlüsseln. Sehr schnell und recheneffizient. Problem: Sicherer Schlüsselaustausch. Beispiel: AES (Advanced Encryption Standard). (4 Pkt.)
Asymmetrische Verschlüsselung: Verwendet ein mathematisches Schlüsselpaar aus öffentlichem Schlüssel (Public Key) und privatem Schlüssel (Private Key). Rechenintensiv und langsamer. Ideal für Schlüsselaustausch und Signaturen. Beispiel: RSA, ECC (Elliptic Curve Cryptography). (4 Pkt.)
Hybride Verschlüsselung TLS
6 Punkte
Der Zugriff auf die Intranet-Webseite des Unternehmens wird per HTTPS (TLS 1.3) abgesichert.
Erläutern Sie das Verfahren der hybriden Verschlüsselung und begründen Sie, warum weder rein symmetrische noch rein asymmetrische Verschlüsselung allein verwendet wird.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Verfahren: Der Verbindungsaufbau (Handshake) erfolgt asymmetrisch (z. B. via Diffie-Hellman-Schlüsselaustausch / ECDHE und RSA/ECC-Zertifikat), um die Identität des Servers zu prüfen und einen temporären symmetrischen Sitzungsschlüssel (Session Key) auszuhandeln. Die eigentlichen Nutzdaten werden anschließend hochperformant symmetrisch (z. B. AES-256-GCM) verschlüsselt. (4 Pkt.)
Begründung: Kombiniert die Sicherheit des asymmetrischen Schlüsselaustauschs ohne vorheriges Geheimnis mit der enormen Rechengeschwindigkeit symmetrischer Chiffren für Massendaten. (2 Pkt.)
Digitale Signatur und Hashfunktionen
8 Punkte
Ein Softwareentwickler signiert ein Update-Paket digital, bevor es an Kunden ausgeliefert wird.
Beschreiben Sie Schritt für Schritt, wie die digitale Signatur beim Ersteller erzeugt und beim Kunden auf Echtheit und Unverfälschtheit geprüft wird.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Erzeugung beim Ersteller:
1. Über die Update-Datei wird ein kryptografischer Hashwert (z. B. SHA-256) gebildet. (2 Pkt.)
2. Dieser Hashwert wird mit dem privaten Schlüssel (Private Key) des Erstellers asymmetrisch verschlüsselt -> Das Ergebnis ist die digitale Signatur. (2 Pkt.)
Prüfung beim Kunden:
3. Der Kunde entschlüsselt die Signatur mit dem öffentlichen Schlüssel (Public Key) des Erstellers und erhält den Original-Hash. (2 Pkt.)
4. Der Kunde berechnet unabhängig den Hashwert über die heruntergeladene Datei. Stimmen beide Hashwerte exakt überein, ist die Software integer (unverändert) und authentisch (vom echten Ersteller). (2 Pkt.)
DSGVO Art. 9 Besondere Kategorien von Daten
8 Punkte
Ein Softwarehaus entwickelt eine Mitarbeiter-App, in der auch Arbeitsunfähigkeitsbescheinigungen (Krankmeldungen) und Religionszugehörigkeiten (für Kirchensteuer) gespeichert werden.
Definieren Sie "besondere Kategorien personenbezogener Daten" nach Art. 9 DSGVO und nennen Sie drei erhöhte Schutzanforderungen, die bei deren Verarbeitung zu beachten sind.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Definition (Art. 9 Abs. 1 DSGVO): Hochsensible Daten, aus denen rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur Identifizierung oder Gesundheitsdaten und Daten zum Sexualleben hervorgehen. Verarbeitung ist grundsätzlich untersagt, außer es greift ein Ausnahmetatbestand (z. B. Art. 9 Abs. 2 b für Arbeitsrecht). (4 Pkt.)
Drei Schutzanforderungen:
1. Zwingende Durchführung einer Datenschutz-Folgenabschätzung (DSFA nach Art. 35 DSGVO). (1,5 Pkt.)
2. Strikte Verschlüsselung at-rest (Datenbank) und in-transit (TLS 1.3). (1,5 Pkt.)
3. Extrem restriktives Berechtigungs- und Rollenkonzept mit detaillierter Protokollierung aller Lese- und Schreibzugriffe. (1 Pkt.)
Firewall DMZ-Konzepte
8 Punkte
Ein Webshop und ein Mailserver sollen so betrieben werden, dass Kunden aus dem Internet Zugriff haben, ohne dass das interne Firmennetzwerk gefährdet wird.
Beschreiben Sie das Konzept einer Demilitarisierten Zone (DMZ) und vergleichen Sie eine Single-Firewall-DMZ mit einer mehrstufigen Dual-Firewall-DMZ (Screened Subnet).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
DMZ-Konzept: Ein separates, isoliertes Netzwerksegment zwischen dem unsicheren Internet und dem schützenswerten internen LAN. Öffentliche Server (Web, Mail, Proxy) stehen in der DMZ. Einbruch in die DMZ gewährt keinen direkten Zugriff auf das LAN. (4 Pkt.)
Single-Firewall (Three-Homed): Eine Firewall mit 3 Interfaces (Internet, DMZ, LAN). Kostengünstig, aber Single Point of Failure (Wird die Firewall kompromittiert, ist das gesamte LAN offen). (2 Pkt.)
Dual-Firewall (Screened Subnet): Eine äußere und eine innere Firewall unterschiedlicher Hersteller (Heterogenität). Selbst bei Ausnutzung einer Zero-Day-Lücke in der äußeren Firewall blockiert die innere Firewall den Zugriff ins LAN. (2 Pkt.)
Zero-Trust-Sicherheitsarchitektur
6 Punkte
Ein Unternehmen ersetzt sein traditionelles Perimeter-Sicherheitsmodell ("Burg-und-Graben") durch eine Zero-Trust-Architektur (NIST SP 800-207).
Erläutern Sie den Leitsatz "Never trust, always verify" und nennen Sie drei zentrale Säulen von Zero Trust.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Leitsatz: Es gibt kein inhärent sicheres Netzwerk mehr; weder externe Zugriffe noch interne Netzwerkpakete aus dem LAN dürfen a priori als vertrauenswürdig eingestuft werden. Jede einzelne Anfrage muss authentifiziert, autorisiert und verschlüsselt werden. (3 Pkt.)
Drei Säulen: 1. Identitätsbasierte Zugriffskontrolle (starke MFA, Kontextprüfung wie Standort/Gerätestatus); 2. Mikrosegmentierung (Netze in kleinste Einheiten zerlegen); 3. Prinzip der minimalen Rechtevergabe (Least Privilege & Just-in-Time Access). (3 Pkt.)