It Sicherheit Grundlagen

Eingabekriterien & Registrierung

Dieser Baustein gibt einen Einblick in die wichtigsten Themen der IT-Sicherheit. Nach erfolgreicher Absolvierung dieses Moduls können die Studierenden Grundbegriffe und Themen der IT-Sicherheit erläutern. Er versteht kryptografische Verfahren, ihre Implementierungskomplexität und ihre Relevanz für die IT-Sicherheit. Diese sind in der Lage, Authentisierungsmechanismen zu erläutern und zu unterteilen. Du wirst in der Lage sein, die Grundsätze der Kommunikation s-, Netz- und Internet-Sicherheit umzusetzen und kannst dir Modelle der Sicherheit sowie Zugangs- und Informationsflusskontrolle aufzeigen.

Darüber hinaus kennen sie die Gestaltung von IT-Sicherheitsmaßnahmen im Betrieb (z.B. durch Risikoanalysen). Die Studierenden können die Chancen und Einschränkungen von IT-Sicherheitsmaßnahmen beurteilen und grundsätzliche Aspekte der Sicherheit von IT-Systemen auswerten. Der Vortrag umfasst eine Präsentation mit Präsentation mit PowerPoint und Tafel. Bei den Übungsaufgaben werden die Aufgabenstellungen parallel zur Lehrveranstaltung bearbeitet. Zusätzlich werden weitere Praxiskenntnisse in einer Hausarbeit gelehrt und geübt.

Das Modul Prüfung umfasst eine benotete Prüfung in schriftlicher Form. Das Modul Prüfung beinhaltet eine schriftliche Prüfung. Der theoretische Inhalt der Lehrveranstaltung und der Übungen wird getestet. Vor allem sollen die Studenten in der Lage sein, Begriffe, Verfahren und Zusammenhänge der IT-Sicherheit ohne Hilfsmittel zu reproduzieren und zu erörtern. Darüber hinaus sollen sie in der Lage sein, konkrete Applikationsprobleme im IT-Sicherheitsbereich aufzuzeigen und zu erörtern.

Die Studierenden können ihr Verständnis für die in der Praxis gelehrten Lerninhalte in freiwilligen Hausarbeiten erproben. Wichtig: Die Veranstaltung wird durch ein Praxissemester im Rahmen eines SWS erweitert.

IT Sicherheitsaspekte

Durch die Verwendung sicherheitstechnischer Mechanismen kann das nötige Vertrauen in Kommunikations- und Transaktions-Partner sowie Infrastruktur-Betreiber deutlich reduziert werden. Die IT-Sicherheit ist eine unabdingbare Grundvoraussetzung für die operative Anwendung von IT-Systemen und für die informatorische Eigenverantwortung. Oftmals wird die eigentliche Bedeutung der IT-Sicherheit erst an ihrer Abwesenheit ersichtlich. Die IT-Sicherheit ist kein statischer, sondern ein dynamischer Beobachtungsgegenstand, der der technologischen Weiterentwicklung folgend ist.

In einer Zeit, in der nur wenige Mainframes von Fachleuten betrieben wurden, spielten IT-Sicherheit kaum eine Rolle und standen die physische Absicherung des Zugriffs auf das System im Vordergrund. In dem Maße, wie der Anteil der elektronisch dargestellten, vernetzten und kontrollierten realen Prozesse in IT-Systemen zunimmt, dehnt sich der Begriff "IT-Sicherheit" aus und beeinflußt damit auch die geforderten und zur Verfügung stehenden Sicherungsmechanismen.

Die IT-Sicherheit hat verschiedene Aspekte: Konkret ist es wichtig, gezielt zu verdeutlichen, was vor was geschützt werden muss, welche Gefahren existieren und auf Basis welcher Sicherheitslöcher und Verwundbarkeiten Attacken ausgeführt werden können. Im IT-Sicherheitsmanagement geht es um die Definition der Anforderungen an ein IT-System und die Auswahl der Rahmenschutzmechanismen. Um auf die Fragen zu antworten, was geschützt werden muss, werden in der IT-Sicherheit Ziele für den Schutz festgelegt.

Dies sind im Kern die drei Sicherheitsziele "Vertraulichkeit", "Integrität" und "Verfügbarkeit": Die Geheimhaltung zielt darauf ab, Information und Mittel (z.B. Unterlagen, Fertigungsdaten, Kommunikation) vor Unberechtigten zu verstecken. Die Geheimhaltung vertraulicher Daten ist ein wichtiges Thema für Behörden, Firmen und Privatleute. Auf der anderen Seite konzentriert sich der Bereich Integration auf die Vollständigkeit von Daten und Resourcen und zielt darauf ab, diese vor unautorisierten Änderungen zu bewahren.

Die Bereitstellung von Information und Mitteln sollte sichergestellt sein, damit jeder Beteiligte bei Bedarf ein Informationssystem nutzen kann. Gefährdungen sind Sachverhalte oder Vorkommnisse, die grundsätzlich gegen die Sicherheitsziele der IT-Sicherheit verstoßen und zu Schäden anrichten. Als Beispiel für Gefährdungen führt das BSI Force Majeure, menschliches Fehlverhalten, technische Störungen oder vorsätzliches Handeln an[BSI 08].

Schwachpunkte in IT-Systemen sind möglich Ausgangspunkte für Attacken, die dazu beitragen, dass gewünschte Sicherheitsziele nicht erfüllt werden. Fehlprogrammierungen, falsche Systemauslegung, unzureichende Berücksichtigung von Sicherheitsaspekten und vieles mehr können die Ursache für Schwachpunkte sein. Ursache für Schwachpunkte. Die Identifizierung von Schwachpunkten ist daher von großer Wichtigkeit für die IT-Sicherheit.

Die erste Näherung ist, dass der Identifikationsaufwand mit der zu erreichenden Vollzähligkeit der Identifizierung zunimmt. Die lückenlose Identifizierung aller Schwachpunkte eines IT-Systems ist - wenn überhaupt - schwierig. So ist 100%ige Sicherheit in der Regel eine Täuschung und es besteht ein innewohnendes Residualrisiko. Die wichtigsten Beispiele sind Virus, Wurm, Trojaner, Denial-of-Service-Angriffe und Manipulation.

Indem sie Sicherheitslücken ausnutzen, können sie sich von Rechner zu Rechner durchschlagen. Als weitere Varianten gibt es sogenannte trojanische Pferde, die von Nutzern als sinnvolle Hilfsprogramme eingesetzt werden und zudem heimlich bösartige Funktionen auslösen. In der Regel öffnet ein trojanischer Mensch "Backdoors" und ermöglicht so das Laden von zusätzlichem Programm-Code (Universal-Trojaner) oder das Erstellen von weiteren Trojanern (transitive Trojaner).

Derartige Attacken, wie sie vor allem im Online-Banking bekannt geworden sind, werden auch als sogenanntes''Phishing'' bekannt. Um viele bekannte Attacken abzuwehren, existieren Sicherheitsmechanismen, die entweder durch Umwandlung der Daten (Verschlüsselung) Vertrauen und Unversehrtheit erlangen oder unbefugten Zugang zu Daten oder Resourcen verhindern.

Die Basis für die Wahrung der Geheimhaltung, Unversehrtheit, aber auch Verantwortlichkeit von Information ist die Kryptografie und die darauf basierenden Verfahren zur Inhaltsverschlüsselung oder zur Erzeugung und Prüfung von digitalen Unterschriften (weitere einschlägige Fachliteratur ist z.B. [Eckert 07]). Ein zweiter Typ von Schutzmaßnahmen sind Präventivprogramme, wie z.B. Antivirenprogramme (: on access scanner), die bekannt gewordene Computer-Viren, Worms und -Trojaner erkennen und deren Ausführen vereiteln.

Dies ist nicht immer gelungen und hängt von der Aktualisierung und VollstÃ?ndigkeit der zugrundeliegenden Virenlisten ab, so dass als zusÃ?tzlicher Sicherheitsmechanismus sogenannte Malware-Programme (: on demand scanner) zur VerfÃ?gung gestellt werden. Sie scannen zum Beispiel die Festplatte nach Trojanern oder anderer Malware und suchen diese zu löschen. Ungeachtet dieser und anderer Schutzmaßnahmen können nicht alle Attacken komplett abwehren.

Einerseits ist der Schutzaufwand für einzelne Sicherheitsmechanismen in der Regel nie komplett, sondern steigt z.B. durch die Datenverschlüsselung nur um die für einen Angriff notwendigen Zeiten und die damit verbundenen Mehrkosten. Das zugrundeliegende Angriffsmodell ist daher von besonderem Interesse für die Bewertung von Abwehrmechanismen. Wenn Sie davon ausgehen, dass ein allmächtiger oder allmächtiger Täter Zugriff auf alle wichtigen Information hat, wird es Ihnen nicht möglich sein, die Sicherheitsziele zu erfüllen.

Bei anderen Angriffsmodellen (z.B. "Mann in der Mitte") ist eine komplette Sicherheit in der Regel nicht gewährleistet. Andererseits gibt es Attacken, für die es keine technische Absicherung gibt, wie zum Beispiel Phishing-Attacken im E-Banking. Derartige Attacken bedürfen daher auch organisatorischer Massnahmen und des "gesunden Menschenverstandes" der Anwender, um abzuwehren.

Zu beachten ist, dass auch im Hinblick auf die Effektivität der technischen Schutzmaßnahmen ein Residualrisiko besteht. Bei der IT-Sicherheit geht es nicht nur darum, Schwachpunkte aufzudecken und sich im Einzelnen gegen Angriffe zu verteidigen. Die Sicherung von IT-Systemen setzt in der Regel den Erlass verschiedener Massnahmen, den gleichzeitigem Gebrauch mehrerer Sicherungsmechanismen und eine stetige Adaption der Massnahmen an veränderte und gegenwärtige Verhältnisse voraus.

Die IT-Sicherheit ist also kein statisches Gebilde, sondern ein Vorgang. Basis für das IT-Sicherheitsmanagement ist ein strategisches Security-Konzept, das die Schutzziele eines jeden Unternehmen und die entsprechenden Rahmenbedingungen wie z. B. den Auf- und Ausbau einer Sicherheitsinfrastruktur und das Risikomanagement vorgibt. Auf dieser Basis werden im besten Fall unternehmensweite Sicherheitsmassnahmen vorgesehen. Ein Ansatzpunkt dafür sind beispielsweise die IT-Grundschutzkataloge des Bundesamtes für Sicherheit in der Informationstechnik BSI.

Für das IT-Sicherheitsmanagement ist es daher unabdingbar, den angestrebten Beitrag der verfügbaren Sicherheitsmassnahmen auf Basis einer Bedrohungs- und Schwachstellenanalyse zu evaluieren, über deren Implementierung zu entscheiden, deren Implementierung auf operativer Stufe vorzunehmen und deren Wirksamkeit zu kontrollieren. Die ökonomische Beurteilung von Sicherheitsmassnahmen ist eine wesentliche Aufgabe für ein an den unternehmerischen Zielen orientiertes IT-Sicherheitsmanagement.

Der gegenwärtige Aufbau künftiger IT-Systeme, zum Beispiel hin zu serviceorientierten Strukturen, die zunehmende Verknüpfung zu firmenübergreifenden Prozessen oder die dezentrale und virtualisierte IT-Infrastruktur stellt neue Aufgaben an das IT-Sicherheitsmanagement: Einerseits sind neue Schutzkonzepte gefragt, die neben der reinen Zutrittskontrolle auch die Überwachung des Einsatzes von IT-Systemen ermöglichen, um zum Beispiel den steigenden Ansprüchen im Umfeld der "Compliance" zu genügen.

Die IT-Sicherheit ist und wird ein " Schlüsselelement " für die zukünftige Entwicklung der Wissensgesellschaft und sollte weiter an Gewicht zulegen. Bischof, M. A.; Bischof, M.: Einführung in die Computersicherheit, Addison-Wesley Longman, BSI - Bundesministerium für Sicherheit in der Informationstechnik: IT-Grundschutz, https://www.bsi.bund.de/DE/Themen/ITGrundschutz/itgrundschutz_node. html (Zugriff am 08.09.2011).

Eckert, C.: IT-Sicherheit: Begriffe - Vorgehensweisen - Protokolle, Ausgabe fünf, Oldenbourg, Ausgabe zwei, Müller, G.; Rannenberg, K.: Multilateral Security in Communications, Addison-Wesley, Ausgabe fünf, Ausgabe fünf, 1999 Prokein, O.: IT Risk Management: Identification, Quantification and Economic Control, German University Publisher, Ausgabe fünf, Jahrgang zwei. Dr. Stefan Sackmann, Universitätsklinikum Freiburg, Lehrstuhl für Wirtschaftsinformatik und Unternehmensberatung, Friedrichstr. 50, 79098 Freiburg i.Br.