BSI-Standards 200-x, Schutzbedarfsfeststellung (normal, hoch, sehr hoch) für die Schutzziele, Vorgehensweise nach IT-Grundschutz und TOMs nach Art. 32 DSGVO.
📖 Fachtheorie & KMK-Prüfungswissen
1. BSI-Standards 200-x & IT-Grundschutz-Kompendium
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt mit dem IT-Grundschutz eine praxiserprobte Methodik zur Etablierung eines ISMS (Information Security Management System) nach ISO/IEC 27001 bereit:
- BSI-Standard 200-1: Allgemeine Anforderungen an ein ISMS.
- BSI-Standard 200-2: IT-Grundschutz-Vorgehensweise (Basis-, Kern- oder Standard-Absicherung).
- BSI-Standard 200-3: Risikoanalyse auf Basis von Gefährdungskatalogen.
2. Schutzbedarfsfeststellung nach BSI
Für jede Anwendung, jedes IT-System und jeden Raum wird der Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit in drei Stufen ermittelt:
| Schutzbedarfskategorie | Definition der Schadensauswirkungen |
|---|
| Normal | Die Schadensauswirkungen sind begrenzt und überschaubar. |
| Hoch | Die Schadensauswirkungen können beträchtlich sein (z. B. erhebliche finanzielle Verluste, Verstoß gegen Gesetze/Verträge, Gefährdung der Aufgabenerfüllung). |
| Sehr hoch | Die Schadensauswirkungen können ein existenzbedrohendes, katastrophales Ausmaß annehmen (z. B. Ruin des Unternehmens, Gefahr für Leib und Leben). |
Maximumprinzip & Vererbung: Ein Server erbt für jedes Schutzziel den höchsten Schutzbedarf der darauf betriebenen Anwendungen!
3. Technische und organisatorische Maßnahmen (TOMs - Art. 32 DSGVO)
- Zutrittskontrolle: Verhindert, dass Unbefugte physischen Zutritt zu IT-Räumen erhalten (z. B. Chipkartenleser, Sicherheitstüren, Alarmanlage, Besucherdokumentation).
- Zugangskontrolle: Verhindert, dass Unbefugte IT-Systeme nutzen können (z. B. Benutzername/Passwort, 2FA/MFA, automatische Bildschirmsperre nach 5 Min.).
- Zugriffskontrolle: Gewährleistet, dass Berechtigte nur auf die für ihre Aufgabe freigegebenen Daten zugreifen können (z. B. Berechtigungskonzept, Need-to-know-Prinzip, Rollen/Gruppen im Active Directory).
- Weitergabekontrolle: Schutz bei Datentransport und Übertragung (z. B. VPN, SFTP, BitLocker für USB-Sticks).
- Verfügbarkeitskontrolle: Schutz gegen zufällige Zerstörung/Ausfall (z. B. USV, Brandschutz, tägliches Backup, redundante Leitungen).
✍️ Authentische IHK-Prüfungsaufgaben mit Erwartungshorizont
Schutzbedarfsfeststellung für Webshop-Infrastruktur
8 Punkte
Auf einem Webserver läuft der zentrale Online-Shop (Umsatz 80.000 €/Tag) sowie ein internes Test-Wiki für Praktikanten. Der Schutzbedarf des Test-Wikis ist in allen Kategorien 'normal'. Beim Shop führt ein Ausfall von > 2 Stunden zu extremen Umsatzeinbußen (Verfügbarkeit: sehr hoch), Kundendaten enthalten Kreditkarten (Vertraulichkeit: hoch), Bestellungen dürfen nicht manipuliert werden (Integrität: hoch).
1. Ermitteln Sie nach dem Maximumprinzip den resultierenden Schutzbedarf des Webservers für alle drei Schutzziele.
2. Ordnen Sie folgende drei Maßnahmen jeweils einer konkreten TOM-Kategorie zu:
a) Installation eines biometrischen Handvenenscanners an der Rechenzentrumstür
b) Einführung einer rollenbasierten Zugriffsberechtigung auf Bestelldaten nach dem Least-Privilege-Prinzip
c) Einrichtung eines täglichen Offsite-Backups mit wöchentlichem Restore-Test
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Resultierender Schutzbedarf des Servers (Maximumprinzip):
- Vertraulichkeit: HOCH (durch Kundendaten/Kreditkarten des Webshops)
- Integrität: HOCH (durch Unverfälschbarkeit der Bestellungen)
- Verfügbarkeit: SEHR HOCH (durch existenzbedrohende Umsatzeinbußen bei Ausfall). (3 Pkt.)
2. Zuordnung der TOMs:
- a) Zutrittskontrolle (physischer Schutz des Rechenzentrums). (1,5 Pkt.)
- b) Zugriffskontrolle (logische Beschränkung auf Datenebene nach Least-Privilege). (1,5 Pkt.)
- c) Verfügbarkeitskontrolle (Sicherstellung der Wiederherstellbarkeit im Katastrophenfall). (2 Pkt.)