Teil-1-F-IT-Sicherheit und Datenschutz, Ergonomie 195-230

Was sollte man beim Verschrotten von Datenträgern unbedingt beachten?

1. Vor Verschrottung Datenträger gründlich löschen (DIN 66399).

2. Datenträger nach dem Löschen von zertifiziertem Unternehmen entsorgen.

Was bedeutet der Begriff MFA (Multi-Factor-Authentication) und wo kommt sie zum Einsatz?

- MFA steht für "Multi-Factor-Authentication" und bedeutet "Mehr-Faktor-Authentifizierung".

- MFA verwendet mehrere unabhängige Merkmale, um Zugang zu gewähren.

- Es erfordert ein starkes Passwort und zusätzlich die Eingabe einer Nummer (SMS oder App) oder einer Zertifikatsdatei.

- Einsatzbereiche sind Online-Banking, Kartenzahlung, Personalausweis-Funktion und Sicherung öffentlich zugänglicher Onlinezugänge.

Beschreibe den Begriff Datensicherheit und nenne deren Schutzziele.

Datensicherheit:

- Definition:

Datensicherheit, auch als Informationssicherheit bekannt, umfasst technische und nicht-technische Maßnahmen zum Schutz von Informationen.

- Schutzziele:

Die drei Hauptziele sind Vertraulichkeit, Verfügbarkeit und Integrität.

Ein weiteres Ziel ist die Authentizität.

- Vertraulichkeit:

Schutz vor unbefugtem Zugriff auf Daten.

- Verfügbarkeit:

Sicherstellung, dass Daten immer verfügbar sind, wenn sie benötigt werden.

- Integrität:

Gewährleistung, dass Daten unverändert und zuverlässig bleiben.

- Authentizität:

Sicherstellung der Echtheit und Vertrauenswürdigkeit von Objekten.

- Unabhängig von Datenart:

Datensicherheit gilt für alle Arten von Daten, nicht nur personenbezogene Daten.

- Zweck:

Schutz vor Gefahren und wirtschaftlichen Schäden sowie Minimierung von Risiken im IT-Bereich.

Worin unterscheiden sich Datensicherheit und Datenschutz?

1. Datensicherheit: 

- Schutzziele: Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität. 
- Unabhängig von der Art der Daten (z.B. personenbezogene Daten) 

2. Datenschutz: 

- Schutz personenbezogener Daten 
- Sicherstellung von Informationspflichten und Betroffenenrechten

Nenne die wesentlichen Vorteile einer ISO/IEC 27001 Zertifizierung für Unternehmen.

Vorteile einer Zertifizierung nach ISO/IEC 27001 für Unternehmen: 
1. Minimierung von IT-Risiken und Schäden. 
2. Etablierung sicherer IT-Verfahren(IT-Prozesse.). 
3. Nachhaltige Optimierung der IT-Systemqualität. 
4. Wettbewerbsvorteil durch internationale Anerkennung. 
5. Steigerung des Vertrauens bei Partnern, Kunden und der Öffentlichkeit. 
6. Gewährleistung(Sicherstellung) der Einhaltung von Compliance-Anforderungen. 
7. Systematische Identifikation von Schwachstellen.

In der Informationssicherheit kommt es neben Sicherheits- und Datenschutzaspekten auch auf die Datenminimierung an.

Welches sind die Ziele bei der Datenminimierung?

1. Datensparsamkeit in der Informationssicherheit: 
- Fokus auf Sicherheit, Datenschutz und Datensparsamkeit. 
- Ziel: Reduzierung der gesammelten personenbezogenen Daten. 

2. Ziele der Datenminimierung: 
- Nur die absolut notwendigen Daten erheben. 
- Grundsatz: "So viele Daten wie nötig, so wenige wie möglich". 

3. Datenschutzregel: 
Datenminimierung und Datensparsamkeit: 
- Schutz vor übermäßiger Speicherung personenbezogener Daten. 
- Wichtiger Grundsatz des Datenschutzes.

Der Datenschutz ist auf europäischer Ebene in Verordnungen in der DSGVO beschrieben. Welche Rechte hat eine Person betreffend ihrer personenbezogenen Daten?

1. Recht auf Information: 
- Personen haben das Recht zu erfahren, welche Daten über sie gesammelt wurden. 
2. Berichtigung und Löschung: 
- Personen haben das Recht, falsche Daten berichtigen oder löschen zu lassen. 
3. Einschränkung der Verarbeitung: 
- Personen können die Verwendung ihrer Daten einschränken lassen. 
4. Datenübertragbarkeit: 
- Personen können ihre Daten von einem Dienst auf einen anderen übertragen lassen. 
5. Widerspruch und automatisierte Entscheidungen: 
- Personen können Widerspruch gegen bestimmte Datenverarbeitungen einlegen, insbesondere gegen automatisierte Entscheidungen. 

Was ist eine PKI (Public Key Infrastructure)?

1. PKI steht für Public Key Infrastructure.

2. Es ist ein kryptologisches System.

3. Es stellt digitale Zertifikate aus, verteilt und prüft sie.

4. Verwendet asymmetrische Verschlüsselung für sicheren Datenverkehr.

5. Bestandteile: Zertifizierungsstellen, digitale Zertifikate, Verzeichnisdienste und mehr.

6. Es gibt einstufige und mehrstufige Modelle. 

Was versteht man unter einem digitalen Zertifikat?

1. Ein digitales Zertifikat überprüft die Authentizität von Webseiten oder Personen mithilfe kryptografischer Schlüssel.

2. Es basiert auf dem X.509 Standard und enthält einen öffentlichen und privaten Schlüssel sowie Identitätsinformationen.

3. Ausgestellt von einer Zertifizierungsstelle, gewährleistet es Datensicherheit und Vertraulichkeit. *

Was ist eine SPI (Stateful Packet Inspection) Firewall?

1. SPI-Firewall: Nutzt zustandsorientierte Paketüberprüfung.

2. Jedes Datenpaket wird einer aktiven Sitzung zugeordnet.

3. Verbindungsstatus wird in dynamischen Zustandstabellen gespeichert.

4. Analyse von SYN-, ACK-, FIN- und RST-Bits bei TCP.

5. Behandelt auch eigentlich zustandslose Datenpakete wie UDP.

Was versteht man unter dem Begriff Endpoint-Security?

- **Endpoint-Security**

bezieht sich auf den Schutz von Endgeräten im Netzwerk.

- Ziel:

Schutz vor schädlichen Angriffen oder unbefugtem Zugriff.

- Maßnahmen:

Anwendungsisolation, Überwachung von externen Datenträgern.

- Whitelist für externe Datenträger zur Kontrolle.

Welche Anwendungen oder Verfahren verwenden kryptografische Hashfunktionen?

- Integritätsprüfungen: 

Überprüfung der Datenintegrität, um sicherzustellen, dass sie nicht manipuliert wurden. 

- Erzeugung von Prüfsummen: 

Erzeugung einer Prüfsumme, um Daten auf Fehler zu überprüfen. 

- Erzeugung von Sitzungsschlüsseln:

Generierung temporärer Schlüssel für sichere Kommunikationssitzungen. 

- Generatoren für Einmal-Passwörter: 

Erzeugung von Einmalpasswörtern für zusätzliche Sicherheit. 

- Verfahren zur Authentifizierung mit digitalen Signaturen: 

Verifizierung der Identität mithilfe digitaler Signaturen. 

- Speichern von Passwörtern: 

Sicherer Speicher von Passwörtern durch Hashing.

Nenne Einsatzbereiche und Verfahren von symmetrischen Schlüsseln.

Einsatzbereiche von symmetrischen Schlüsseln: 

- Verschlüsselung: 

Symmetrische Schlüssel werden verwendet, um Daten in verschlüsselter Form zu sichern. 

- Authentifizierung: 

Sie werden in Authentifizierungsprotokollen eingesetzt, um die Identität von Benutzern oder Systemen zu überprüfen. 

Verfahren von symmetrischen Schlüsseln: 

- Verschlüsselung und Entschlüsselung: 

Derselbe Schlüssel wird sowohl für die Verschlüsselung als auch für die Entschlüsselung von Daten verwendet. 

- Schlüsselaustausch: 

Der sichere Austausch des Schlüssels zwischen den Parteien ist entscheidend, um die Sicherheit zu gewährleisten.

Erläutere den Unterschied zwischen einem differentiellen und inkrementellen Backup.

Die wichtigsten Punkte zu differentiellen und inkrementellen Backups:

Differentielles Backup:

- Kopiert alle seit dem letzten Vollbackup geänderten oder hinzugefügten Dateien.

- Vollständige Wiederherstellung erfordert das letzte Vollbackup und das letzte differentielle Backup.

 

Inkrementelles Backup:

- Kopiert nur die seit der letzten inkrementellen Sicherung geänderten oder hinzugefügten Dateien.

- Vollständige Wiederherstellung erfordert das letzte Vollbackup und alle inkrementellen Backups in der richtigen Reihenfolge.

Wie gestaltet sich ein vollständiger Backup-Plan nach dem Großvater-Vater-Sohn-Prinzip?

Backup-Plan nach dem Großvater-Vater-Sohn-Prinzip:

- Sohn-Medien (Täglich):

Tägliche Datensicherung (inkrementelles Backup) auf 4 Speichermedien.

- Vater-Medien (Wöchentlich):

Wöchentliche Datensicherung (Vollbackup) auf 4 Speichermedien.

- Großvater-Medien (Monatlich):

Monatliche Datensicherung (Vollbackup) auf 12 Speichermedien.

- Insgesamt 20 Speichermedien für einen vollständigen Backup-Rotationsplan in einer 5-Tage-Woche.

Unterscheide die Begriffe Malware, Ransomware und Trojaner.

Malware:

• Malware ist schädliche Software, die verschiedene Formen annehmen kann, wie Adware, Spyware, Viren und mehr.

Ransomware:

• Ransomware ist Erpressersoftware, die Dateien verschlüsselt und Lösegeld für die Entschlüsselung verlangt.

Trojaner:

• Ein Trojaner ist eine getarnte schädliche Software, die heimlich weitere Schadprogramme auf den Computer herunterlädt.

In der datenverarbeitenden Industrie kommt dem Datenschutz große Bedeutung zu.

Welchem Zweck dient das IT-Sicherheitsmanagement?

- Der Datenschutz hat in der Datenverarbeitungsindustrie einen hohen Stellenwert.

- Das IT-Sicherheitsmanagement hat zum Ziel, die IT-Sicherheit und den Datenschutz dauerhaft zu gewährleisten.

- Es soll Gefahren für die Informationssicherheit und den Datenschutz vorbeugen oder abwehren.

Welche Kriterien muss eine sichere Passwortrichtlinie erfüllen?

- Mindestlänge des Passworts:

10-15 Zeichen sind empfohlen.

- Komplexität des Passworts:

Groß- und Kleinbuchstaben, Sonderzeichen und Ziffern müssen enthalten sein.

- Vermeidung von Logindaten:

Keine Logindatenbestandteile als Passwort verwenden.

- Regelmäßige Passwortänderung:

Alle 30-90 Tage das Passwort ändern.

- Einschränkung der Passwortwiederholung:

Wiederholtes Verwenden alter Passwörter begrenzen.

- Begrenzung der Loginversuche:

Maximal 3 Versuche in einer Minute.

- Optionale Mehrfaktorauthentifizierung (MFA):

Zusätzliche Sicherheit durch MFA.

- Kontosperrung bei zu vielen Loginversuchen:

Zugangskonto für 24 Stunden sperren bei Überschreitung der Versuche.

- Verbot von Wörtern aus Wörterbüchern:

Keine Wörter aus dem Duden oder ähnlichen Quellen verwenden.

Erläutere, bezogen auf den Bereich der Entwicklung, den Begriff Security by Design.

Security by Design in der Entwicklung:

• Definition:

Sicherheit von Anfang an in Software- und Hardware-Entwicklung integrieren.

• Ziel:

Verhindern von Sicherheitslücken in späteren Phasen des Produkts.

• Fokus:

Betrachtung der allgemeinen Sicherheitsanforderungen während des Entwicklungsprozesses.

• Vermeidung von Problemen:

Nachträgliche Sicherheitslücken können den Fortschritt beeinträchtigen und zu höheren Kosten führen.

Benenne je 2 Vor- und Nachteile des Sicherheitstyps WPA2-Personal und WPA2-Enterprise.

WPA2-Personal:

Vorteile:

• Einfach einzurichten
• Bietet grundlegenden Sicherheitsschutz

Nachteile:

• Gemeinsames Passwort für alle Nutzer
• Begrenzte Sicherheit bei schwachen Passwörtern

 

WPA2-Enterprise:

Vorteile:

• Individuelle Nutzeridentifikation
• Höheres Sicherheitsniveau durch Verschlüsselung und Authentifizierung

Nachteile:

• Komplexere Einrichtung
• Erfordert einen zentralen Authentifizierungsserver