Untersuchung einzelner Gefährdungen - Versionsgeschichte

Thomas.will: /* Quelle */

2021-06-15T17:14:13Z

Quelle

Thomas.will: /* G 0.45 Datenverlust */

2021-06-15T17:08:54Z

G 0.45 Datenverlust

Thomas.will: /* G 0.45 Datenverlust */

2021-06-15T17:07:36Z

G 0.45 Datenverlust

Thomas.will: /* G 0.23 Unbefugtes Eindringen in IT-Systeme */

2021-06-15T17:06:31Z

G 0.23 Unbefugtes Eindringen in IT-Systeme

Thomas.will: /* G 0.22 Manipulation von Informationen */

2021-06-15T17:05:37Z

G 0.22 Manipulation von Informationen

Thomas.will: /* G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle */

2021-06-15T17:04:40Z

G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle

Thomas.will: /* G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle */

2021-06-15T17:04:29Z

G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle

Thomas.will: /* G 0.18 Fehlplanung oder fehlende Anpassung */

2021-06-15T17:01:41Z

G 0.18 Fehlplanung oder fehlende Anpassung

Thomas.will: /* G 0.17 Verlust von Geräten, Datenträgern oder Dokumenten */

2021-06-15T16:59:47Z

G 0.17 Verlust von Geräten, Datenträgern oder Dokumenten

Thomas.will: /* G 0.17 Verlust von Geräten, Datenträgern oder Dokumenten */

2021-06-15T16:58:03Z

G 0.17 Verlust von Geräten, Datenträgern oder Dokumenten

← Nächstältere Version		Version vom 15. Juni 2021, 17:14 Uhr
Zeile 153:		Zeile 153:
	=Quelle=		=Quelle=
	*https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/Elementare_Gefaehrdungen.pdf		*https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/Elementare_Gefaehrdungen.pdf
		+	*https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf

← Nächstältere Version		Version vom 15. Juni 2021, 17:08 Uhr
Zeile 150:		Zeile 150:

	*Festplatten und andere Massenspeichermedien haben nur eine begrenzte Lebensdauer. Wenn keine geeigneten Redundanzmaßnahmen getroffen sind, kann es durch technische Defekte zu Datenverlusten kommen.		*Festplatten und andere Massenspeichermedien haben nur eine begrenzte Lebensdauer. Wenn keine geeigneten Redundanzmaßnahmen getroffen sind, kann es durch technische Defekte zu Datenverlusten kommen.
		+
		+	=Quelle=
		+	*https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/Elementare_Gefaehrdungen.pdf

@@ Zeile 132: / Zeile 132: @@
 unbeabsichtigt oder unerlaubt gelöscht werden, zum Beispiel durch Fehlbedienung, Fehlfunktionen,
 Stromausfälle, Verschmutzung oder Schadsoftware.
 Ein Datenverlust kann jedoch auch durch Beschädigung, Verlust oder Diebstahl von Geräten oder
 Datenträgern entstehen. Dieses Risiko ist bei mobilen Endgeräten und mobilen Datenträgern häufig
 besonders hoch.
 Weiterhin ist zu beachten, dass viele mobile IT-Systeme nicht immer online sind. Die auf diesen Systemen
 gespeicherten Daten befinden sich daher nicht immer auf dem aktuellsten Stand. Wenn Datenbestände
 zwischen mobilen IT-Systemen und stationären IT-Systemen synchronisiert werden, kann es durch
 Unachtsamkeit oder Fehlfunktion zu Datenverlusten kommen.
-Beispiele:
+;Beispiele:
-• Der PDA fällt aus der Hemdtasche und zerschellt auf den Fliesen, ein Mobiltelefon wird statt der Zeitung
-vom Hund apportiert, leider mit Folgen. Solche und ähnliche Ereignisse sind die Ursachen von vielen
+*Der PDA fällt aus der Hemdtasche und zerschellt auf den Fliesen, ein Mobiltelefon wird statt der Zeitung vom Hund apportiert, leider mit Folgen. Solche und ähnliche Ereignisse sind die Ursachen von vielen Totalverlusten der Daten mobiler Endgeräte.
 Totalverlusten der Daten mobiler Endgeräte.
-• Es gibt Schadprogramme, die gezielt Daten auf infizierten IT-Systemen löschen. Bei einigen Schädlingen
+*Es gibt Schadprogramme, die gezielt Daten auf infizierten IT-Systemen löschen. Bei einigen Schädlingen wird die Löschfunktion nicht sofort bei der Infektion ausgeführt, sondern erst, wenn ein definiertes Ereignis eintritt, zum Beispiel wenn die Systemuhr ein bestimmtes Datum erreicht.
 wird die Löschfunktion nicht sofort bei der Infektion ausgeführt, sondern erst, wenn ein definiertes
-Ereignis eintritt, zum Beispiel wenn die Systemuhr ein bestimmtes Datum erreicht.
+*Viele Internet-Dienste können genutzt werden, um online Informationen zu speichern. Wenn das Passwort vergessen wird und nicht hinterlegt ist, kann es passieren, dass auf die gespeicherten Informationen nicht mehr zugegriffen werden kann, sofern der Dienstleister kein geeignetes Verfahren zum Zurücksetzen des Passwortes anbietet.
-• Viele Internet-Dienste können genutzt werden, um online Informationen zu speichern. Wenn das
-Passwort vergessen wird und nicht hinterlegt ist, kann es passieren, dass auf die gespeicherten
+*Festplatten und andere Massenspeichermedien haben nur eine begrenzte Lebensdauer. Wenn keine geeigneten Redundanzmaßnahmen getroffen sind, kann es durch technische Defekte zu Datenverlusten kommen.

@@ Zeile 97: / Zeile 97: @@
 bestimmte Dienste des IT-Systems berechtigt zu nutzen, sondern auch das Risiko, dass darüber unbefugt auf
 das IT-System zugegriffen wird.
 Beispiele:
-• Wenn eine Benutzerkennung und das zugehörige Passwort ausgespäht werden, ist eine unberechtigte
+;Beispiele:
 Nutzung der damit geschützten Anwendungen oder IT-Systeme denkbar.
-• Über unzureichend gesicherte Fernwartungszugänge könnten Hacker unerlaubt auf IT-Systeme
+*Wenn eine Benutzerkennung und das zugehörige Passwort ausgespäht werden, ist eine unberechtigte Nutzung der damit geschützten Anwendungen oder IT-Systeme denkbar.
-zugreifen.
+*Über unzureichend gesicherte Fernwartungszugänge könnten Hacker unerlaubt auf IT-Systeme zugreifen.
-• Bei unzureichend gesicherten Schnittstellen von aktiven Netzkomponenten ist es denkbar, dass
+*Bei unzureichend gesicherten Schnittstellen von aktiven Netzkomponenten ist es denkbar, dass Angreifer einen unberechtigten Zugang zur Netzkomponente erlangen. Wenn es ihnen außerdem gelingt, die lokalen Sicherheitsmechanismen zu überwinden, also z.B. an administrative Berechtigungen gelangt sind, könnten sie alle Administrationstätigkeiten ausüben.
-Angreifer einen unberechtigten Zugang zur Netzkomponente erlangen. Wenn es ihnen außerdem
+*Viele IT-Systeme haben Schnittstellen für den Einsatz austauschbarer Datenspeicher, wie z. B. Zusatzspeicherkarten oder USB-Speichermedien. Bei einem unbeaufsichtigten IT-System mit der entsprechenden Hard- und Software besteht die Gefahr, dass hierüber große Datenmengen unbefugt ausgelesen oder Schadprogramme eingeschleust werden können
 =G 0.44 Unbefugtes Eindringen in Räumlichkeiten=

@@ Zeile 87: / Zeile 87: @@
 Papierform.
-Ein Täter kann allerdings nur die Informationen manipulieren, auf die er Zugriff hat. Je mehr
+Ein Täter kann allerdings nur die Informationen manipulieren, auf die er Zugriff hat. Je mehr Zugriffsrechte eine Person auf Dateien und Verzeichnisse von IT-Systemen besitzt bzw. je mehr Zugriffsmöglichkeiten auf Informationen sie hat, desto schwerwiegendere Manipulationen kann sie vornehmen. Falls die Manipulationen nicht frühzeitig erkannt werden, kann der reibungslose Ablauf von Geschäftsprozessen und Fachaufgaben dadurch empfindlich gestört werden.
-Archivierte Dokumente stellen meist schützenswerte Informationen dar. Die Manipulation solcher
+Archivierte Dokumente stellen meist schützenswerte Informationen dar. Die Manipulation solcher Dokumente ist besonders schwerwiegend, da sie unter Umständen erst nach Jahren bemerkt wird und eine Überprüfung dann oft nicht mehr möglich ist.
 ;Beispiel:
 *Eine Mitarbeiterin hat sich über die Beförderung ihrer Zimmergenossin in der Buchhaltung dermaßen geärgert, dass sie sich während einer kurzen Abwesenheit der Kollegin unerlaubt Zugang zu deren Rechner verschafft hat. Hier hat sie durch einige Zahlenänderungen in der Monatsbilanz enormen negativen Einfluss auf das veröffentlichte Jahresergebnis des Unternehmens genommen.

@@ Zeile 77: / Zeile 77: @@
 werden.
 ;Beispiele:
-*Ein Empfänger kann durch E-Mails, deren Herkunft er nicht geprüft hat, dazu verleitet werden, bestimmte Aktionen durchzuführen, die sich für ihn oder andere nachteilig auswirken. Beispielsweise kann die E-Mail interessante Anhänge oder Links enthalten, die beim Anklicken dazu führen, dass
+*Ein Empfänger kann durch E-Mails, deren Herkunft er nicht geprüft hat, dazu verleitet werden, bestimmte Aktionen durchzuführen, die sich für ihn oder andere nachteilig auswirken. Beispielsweise kann die E-Mail interessante Anhänge oder Links enthalten, die beim Anklicken dazu führen, dass Schadsoftware beim Empfänger installiert wird. Der Absender der E-Mail kann dabei gefälscht oder dem
 eines bekannten Kommunikationspartners nachgeahmt sein.
 *Die Annahme, dass eine Angabe wahr ist, weil es "in der Zeitung steht" oder "im TV ausgestrahlt wurde", ist nicht immer gerechtfertigt. Dadurch können falsche Aussagen in geschäftskritische Berichte eingearbeitet werden.
 *Die Zuverlässigkeit von Informationen, die über das Internet verbreitet werden, ist sehr unterschiedlich. Wenn Ausführungen ohne weitere Quellenprüfungen aus dem Internet übernommen werden, können daraus Fehlentscheidungen resultieren.
 *Wenn Updates oder Patches aus nicht vertrauenswürdigen Quellen eingespielt werden, kann dies zu unerwünschten Nebenwirkungen führen. Wenn die Herkunft von Software nicht überprüft wird, besteht ein erhöhtes Risiko, dass IT-Systeme mit schädlichem Code infiziert werden.
 =G 0.22 Manipulation von Informationen=

@@ Zeile 46: / Zeile 46: @@
 sachgerecht gestaltet sind, kann dies zu Sicherheitsproblemen führen. Obwohl jeder einzelne Prozessschritt
 korrekt durchgeführt wird, kommt es oft zu Schäden, weil Prozesse insgesamt fehlerhaft definiert sind.
 Eine weitere mögliche Ursache für Sicherheitsprobleme sind Abhängigkeiten mit anderen Prozessen, die
 selbst keinen offensichtlichen Bezug zur Informationsverarbeitung haben. Solche Abhängigkeiten können
 bei der Planung leicht übersehen werden und dadurch Beeinträchtigungen während des Betriebes auslösen.
 Sicherheitsprobleme können außerdem dadurch entstehen, dass Aufgaben, Rollen oder Verantwortung nicht
 eindeutig zugewiesen sind. Unter anderem kann es dadurch passieren, dass Abläufe verzögert,
 Sicherheitsmaßnahmen vernachlässigt oder Regelungen missachtet werden.
 Gefahr besteht auch, wenn Geräte, Produkte, Verfahren oder andere Mittel zur Realisierung der
 Informationsverarbeitung nicht sachgerecht eingesetzt werden. Die Auswahl eines ungeeigneten Produktes
@@ Zeile 57: / Zeile 60: @@
 Sicherheitsproblemen führen.
 Beispiele:
-• Wenn Wartungs- oder Reparaturprozesse nicht auf die fachlichen Anforderungen abgestimmt sind, kann
+*Wenn Wartungs- oder Reparaturprozesse nicht auf die fachlichen Anforderungen abgestimmt sind, kann es dadurch zu inakzeptablen Ausfallzeiten kommen.
-es dadurch zu inakzeptablen Ausfallzeiten kommen.
+*Es kann ein erhöhtes Risiko durch Angriffe auf die eigenen IT-Systeme entstehen, wenn sicherheitstechnische Anforderungen bei der Beschaffung von Informationstechnik nicht berücksichtigt werden.
-• Es kann ein erhöhtes Risiko durch Angriffe auf die eigenen IT-Systeme entstehen, wenn
+*Wenn benötigtes Verbrauchsmaterial nicht zeitgerecht zur Verfügung gestellt wird, können die davon abhängigen IT-Verfahren ins Stocken geraten.
-sicherheitstechnische Anforderungen bei der Beschaffung von Informationstechnik nicht berücksichtigt
+* Es können Schwachstellen entstehen, wenn bei der Planung eines IT-Verfahrens ungeeignete Übertragungsprotokolle ausgewählt werden.
 =G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle=

@@ Zeile 42: / Zeile 42: @@
 *E-Mails können während ihres gesamten Weges durch das Netz gelesen werden, wenn sie nicht verschlüsselt sind. Unverschlüsselte E-Mails sollten daher nicht mit klassischen Briefen, sondern mit Postkarten verglichen werden.
 G 0.22 Manipulation von Informationen
 Informationen können auf vielfältige Weise manipuliert werden, z. B. durch fehlerhaftes oder vorsätzlich
@@ Zeile 61: / Zeile 121: @@
 Elementare Gefährdungen
 zuletzt geändert am 07.12.2020 / Seite 26 von 50
 =G 0.23 Unbefugtes Eindringen in IT-Systeme=
 Grundsätzlich beinhaltet jede Schnittstelle an einem IT-System nicht nur die Möglichkeit, darüber