Das Bundeslagebild zur Cyberkriminalität 2022 wurde im Rahmen einer Pressekonferenz Mitte August 2023 durch das Bundeskriminalamt (BKA) und den Digitalwirtschaftsverbands Bitkom (Bitkom) vorgestellt. Trotz eines Rückgangs um 6,5 Prozent gegenüber dem Jahr 2021, wurden im Berichtszeitraum 136.865 Fälle von Cyberkriminalität beim BKA registriert. Damit bleibt die Anzahl von Cyberangriffen weiterhin auf einem sehr hohen Niveau. Das BKA betont ausdrücklich, dass leider kein Zeichen für eine Trendwende zu erkennen ist. Angriffszahlen von über 130.000 Fällen wurden erstmals im Jahr 2020 im Kontext der Corona-Pandemie erreicht.
Hervorgehoben wird im Lagebericht des BKA, dass die Zahlen aus der inländischen Kriminalstatistik nur die Spitze des Eisbergs darstellen. Das begründet sich auf der Einschätzung des BKA’s, dass von zehn tatsächlichen Angriffen nur einer davon zur Anzeige gebracht wird. Und das bedeutet eine Dunkelziffer von bis zu 90 Prozent. Außerdem werden durch die Statistik keine Angriffe erfasst, die von Tätern im Ausland unternommen wurden. Hier gehen Experten von einer starken Zunahme pro-russischer Akteure von Drittstaaten aus.
Laut BKA gibt es leider keine Entwarnung der angespannten Situation. Das sagen auch die Zahlen einer Studie der Bitkom aus, die im Rahmen der Pressekonferenz vorgestellt wurden. Demnach sind der deutschen Wirtschaft durch Cyberkriminalität Schäden in Höhe von 203 Milliarden Euro entstanden, rund doppelt so viel wie im Jahr 2019. Häufig sind die Auswirkungen existenzbedrohend, da elementare Unternehmensprozesse über einen zu langen Zeitraum stillstehen bzw. essentielle Notfallinformationen in der Krisensituation nicht vorliegen. Das könnten z.B. Passwörter für die Freischaltung (Entschlüsselung) von Datensicherungen sein, die nur digital auf dem nicht verfügbaren Netzwerk abgelegt wurden.
Das Haupteinfallstor für Cyberangriffe ist laut BKA das Phishing. Über E-Mails mit schadhaften Anhängen oder Links werden Netzwerke kompromittiert. Anschließend erfolgt ein Datendiebstahl oder eine Ransomware-Attacke mit nachfolgender Erpressung. Das BKA verwies in diesem Zusammenhang auf eine globale Studie des Cybersecurity-Unternehmens Coveware, wonach 41 Prozent der betroffenen Unternehmen das Lösegeld gezahlt hätten. Bitkom meldete, dass die angebotenen Schlüssel der Erpresser häufig nicht funktionieren.
Unternehmen müssen sich dem hohen Risiko von Cyberangriffen unbedingt bewusst sein und die Schadensauswirkungen gegen die im Unternehmen vorhandenen Sicherheitsmaßnahmen abwägen. In der Regel ist die Investition in mehr IT-Security immer unerheblich im Verhältnis zu einem tatsächlichen Angriff.
Kommen Sie jederzeit gerne auf uns zu und lassen Sie sich in einem unverbindlichen Expertengespräch aufzeigen, wie die IT-Sicherheit auch in Ihrem Unternehmen verbessert werden kann. Außerdem laden wir Sie ein, an unserem anstehenden Webinar “Schutz vor Cyberangriffen & IT Recht” am 21. September 2023/ 13:30 Uhr teilzunehmen.
Am 10. Juli 2023 hat die Europäische Kommission einen Angemessenheitsbeschluss für den Transatlantischen Datenschutzrahmen (Trans-Atlantic Data Privacy Framework TADPF oder nur DPF) angenommen. Damit ist das DPF der zweite Nachfolger des durch das Schrems-I Urteil ausgesetzte Safe Harbor Abkommen 2015 und dessen Nachfolger Privacy Shield, dass mit dem Schrems-II Urteil 2020 für ungültig erklärt wurde.
Seit der EuGH im Juli 2020 das Privacy Shield kippte, da das Datenschutzniveau in den USA seiner Einschätzung nach nicht den EU-Standards entsprach, trat eine große Rechtsunsicherheit bei europäischen Unternehmen auf. Um die fehlende Rechtsgrundlage für die Übermittlung wiederherzustellen, wurden neue Standardvertragsklauseln (Standard Contractual Clauses – SCC) verabschiedet, die ab 27.09.2021 den Datenschutz bei transatlantischen Verarbeitungen regelten.
Die SCCs verpflichteten verantwortliche Stellen in Klausel 14 zu einer Daten Transfer Folgenabschätzung (Transfer Impact Assessment – TIA). Damit sollte sichergestellt werden, dass der Datenimporteur sich an die neuen Standardvertragsklauseln halten kann, ohne dass gesetzliche Zugriffsrechte im Drittland ihn daran hindern, wie beispielsweise der US Cloudact. Was sich als TIA lapidar anhört, beinhaltete einen umfangreichen Prüfkatalog mit entsprechender Dokumentation:
…und jetzt wird von der EU ein Angemessenheitsbeschluss bescheinigt und Datenübermittlungen in die USA sind datenschutzkonform und rechtssicher? Fast.
US—Unternehmen müssen sich zertifizieren, um sich auf das DPF berufen zu können. Wurde diese Zertifizierung durchgeführt, erfolgt ein Eintrag auf der Data Privacy Framework Webseite. Als EU-Unternehmen müssen Sie also prüfen, ob der gewünschte US-Dienstleister gelistet ist.
Viele gehen davon aus, dass der aktuelle Angemessenheitsbeschluss durch ein Schrems-III Urteil vor dem EuGH wieder für ungültig erklärt wird. Es macht auf jeden Fall Sinn, bei der Auswahl von Dienstleistern europäische Anbieter in die engere Auswahl mit einzubeziehen. Fällt die Entscheidung auf einen US-Anbieter, sollten technische und organisatorische Maßnahmen bestehen, die einer TIA standhalten.
Dieses Damoklesschwert einer erneuten Anfechtung wird auch der Grund dafür sein, dass der Angemessenheitsbeschluss nicht in der Sichtbarkeit durch die Medien ging, wie das für ein Abkommen dieser Tragweite erwartet worden wäre.
Die Bedrohungslage verschärft sich kontinuierlich, während zeitgleich der Fachkräftemangel Organisationen zu schaffen macht. Managed Detection and Response (MDR) setzt genau an dieser Herausforderung an. Bei MDR Services werden Aufgaben einer IT (Security) Abteilung an externe Experten ausgelagert. Weshalb immer mehr Organisationen MDR in Anspruch nehmen und wie es Ihnen hilft sich besser vor Cyberangriffen zu schützen, haben wir für Sie zusammengefasst.
MDR-Lösungen umfassen zahlreiche Maßnahmen, um Bedrohungen zu erkennen, darauf zu reagieren und die IT-Infrastruktur kontinuierlichen zu monitoren. Interne IT Abteilungen werden dabei unterstützt, die zahlreichen Warnmeldungen zu analysieren, um tatsächliche Gefahren herauszufiltern. Mittels Threat Hunting können Bedrohungen erkannt werden, die durch die automatische Bedrohungsabwehr nicht identifiziert wurden. Die Bereitstellung zusätzlicher Informationen zu Warnmeldungen hilft Unternehmen, ein besseres Verständnis für Bedrohungen zu erlangen und besser darauf reagieren zu können. Das Anleiten von Mitarbeitern ermöglicht es diesen, nach dem Auftreten eines Sicherheitsvorfall die richtigen Schritte zu unternehmen. Falls dies nicht durch die eigenen Mitarbeiter erledigt werden kann, übernimmt der Dienstleister selbst die Wiederherstellung des ursprünglichen Systemzustands. Einer Umfrage von Forrester zu Folge schätzen Unternehmen außerdem die Zeitersparnis bei der Aufdeckung potenziell gefährlicher Aktivitäten und der Analyse der zugrundeliegenden Ursache eines Problems am höchsten ein.
Organisationen haben häufig nicht genügend qualifizierte IT-Fachkräfte, die richtigen Tools und Prozesse um sich 24/7 um Ihre IT-Sicherheit zu kümmern, sich vor Bedrohungen zu schützen oder auf bestehende Angriffe zu reagieren. Bei MDR-Lösungen werden IT-Sicherheitsaufgaben in einem Unternehmen durch externes qualifiziertes Personal durchgeführt. Anbieter von MDR-Lösungen greifen dabei auf Extended Detection and Response (EDR) Lösungen zurück. Warum Organisationen auf eine Endpointsecurity mit EDR zurückgreifen sollten, haben wir für Sie bereits hier zusammengefasst. Bei einer Umfrage unter 2.300 IT-Experten gaben mehr als die Hälfte (54%) der Befragten an, dass sie ihre EDR-Lösung nicht optimal nutzen konnten, da es ihnen an den nötigen Fachkräften fehle. Genau an diesem Problem setzt MDR an, indem ein Expertenteam rund um die Uhr verfügbar ist, um auch zu reagieren.
Auch wenn nicht ausreichend Ressourcen vorhanden sind, hilft internen Teams die Unterstützung und ein neutraler Blickwinkel von außen, um Ihre IT-Sicherheit zu verbessern. Außerdem sind firmeninterne IT-Abteilungen vorwiegend zu normalen Geschäftszeiten im Einsatz. Da Cyberangriffe häufig an Feiertagen oder Wochenende geschehen, ist die 24/7 Überwachung ein wesentlicher Vorteil der MDR-Lösung. Wir setzen beim Einsatz von MDR-Lösungen auf einen Hybrid-Ansatz. Das heißt, bei einem Angriff, werden wir zuerst kontaktiert. Falls bei uns nicht jemand sofort erreichbar ist, greift Sophos als MDR-Anbieter ein und wehrt den Angriff ab.
Laut Gartner werden bis 2025 50 % der Unternehmen die Dienste eines MDR-Anbieters in Anspruch nehmen. Dass für MDR-Services eine hohe Nachfrage besteht, zeigt sich auch daran, dass im letzten Jahr ein Dutzend neue MDR Services auf den Markt gekommen sind. Die externe Expertise bei MDR hilft Organisationen, den Schaden beim Auftreten eines Sicherheitsvorfalls zu verringern und erspart den Unternehmen Zeit, um sich um ihr Kerngeschäft zu kümmern.
Am 1. Dezember hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) per Pressemitteilung die Prüfung nicht öffentlicher Stellen wie Unternehmen, Verbände und Vereine angekündigt.
Auf der Website des BayLDA finden sich unter “Datenschutzprüfungen” die Detailinformationen zum Kontrollprojekt im Zeitfenster 01.12.21 – 21.12.2021. Organisationen, die einen Brief des Landesamtes erhalten, müssen innerhalb der Frist einen Prüfbogen mit 5 Basisfragen beantworten. Diese 5 Fragen beziehen sich auf die Schwerpunkte:
und müssen mit „Ja habe ich umgesetzt” oder „Nein habe ich nicht umgesetzt und ich begründe dies mit …“ beantwortet werden.
Im Brief befindet sich zusätzlich eine Handreichung zum Prüfbogen, der die Anforderungen an den jeweiligen Punkt im Detail beschreibt. Hier kann nachvollzogen werden, was das BayLDA als geeignete Maßnahmen für die 5 Sicherheitskategorien vorsieht.
Man kann es sich einfach machen…oder?
5 Kreuze bei „Ja habe ich umgesetzt“ sieht auf den ersten Blick einfach aus. Das BayLDA behält sich aber vor, im Einzelfall vor Ort Kontrollen nachzuschieben oder Nachweise zur Umsetzung einzufordern wie z.B. die Netzwerkdokumentation. Eine Antwort sollte also wohlüberlegt sein, da der Prüfbogen per Unterschrift bestätigt werden muss und Nachforderungen von Nachweisen üblich sind.
Das Besondere liegt aber an anderer Stelle.
Die Tatsache, dass das Landesamt diese Prüfaktion durchführt, zeigt, in welcher aktuellen Gefahrenlage wir uns befinden. Das Landesamt schreibt in der Pressemitteilung von mehreren hundert gemeldeten Ransomware Angriffen im zurückliegenden Jahr. Damit ergeben die 5 Fragen auf dem Prüfbogen absolut Sinn und konzentrieren sich auf die am meisten angesetzten Angriffsvarianten. Organisationen sollten die Kampagne zum Anlass nehmen, auch ohne direkte Anfrage die Prüfpunkte der eigenen Infrastruktur gegenüberzustellen.
Liegt Ihnen eine aktuelle Dokumentation vor? Um im Schadensfall ein System wieder herzustellen, ist das Wissen um die Infrastruktur essentiell. Besonders wichtig ist dies, wenn Ihr Netzwerk von einer Einzelperson betreut wird.
Stellen Sie sicher, dass die Aktualität der Systeme gewährleistet ist – nicht nur für Kernprodukte von Microsoft, sondern für alle eingesetzten Softwareprodukte (Third Party Management). Veraltete Programme beinhalten bekannte Schwachstellen, sind damit Einfallstore von extern und Schleusen bei der internen Weiterverbreitung.
Das Backup Konzept bezeichnen wir als Lebensversicherung, um Daten nach einem Verschlüsselungsangriff aus der Sicherung wiederherstellen zu können. Backup Konzepte erweisen sich im Notfall nicht immer als durchgängig, z.B.
Ursprüngliche Ransomware Angriffe beschränkten sich auf das „Versperren“ von Daten. Im Rückschluss verbesserten immer mehr Organisationen die Backup Strategie. Damit schienen diese Art von Ransomware Angriffen beherrschbar.
Folglich änderte sich die Strategie der Angreifer. Vor der Verschlüsselung wurden sensible Daten auf externe Server ausgelagert. Damit ergab sich neben einer Einschränkung der Verfügbarkeit auch eine Einschränkung der Vertraulichkeit. Der Erpressungsdruck wurde höher und richtet sich nicht nur an das betroffene Unternehmen selbst, sondern auch gegenüber Kunden des betroffenen Unternehmens, wenn deren Daten ebenfalls ausgeleitet wurden. Keiner möchte seine sensiblen Daten im Internet oder Darknet wissen.
Weiter bedeutet ein Angriff eine Meldung gegenüber dem BayLDA innerhalb von 72 Stunden. Die Aussage, Daten wurden nicht ausgeleitet, würde der Aufsichtsbehörde nicht reichen. Dazu müsste diese Aussage mit dokumentierten Nachweisen aus Logdaten gegenüber der Behörde nachgewiesen werden.
Nur informierte Beschäftigte können sich richtig verhalten. Idealerweise werden bestimmte Handlungen, wie das Öffnen einer schadhaften E-Mail, gar nicht erst ausgeführt. Mindestens müssen Beschäftigte wissen, wie und an wen ein ungewöhnliches Systemverhalten gemeldet werden kann.
Schließlich sorgt ein durchdachtes Berechtigungskonzept dafür, dass Beschäftigte nur auf die Daten zugreifen können, die für die jeweilige Aufgabenbewältigung unbedingt notwendig ist. Weiter bedeutet dies, dass Schadsoftware ebenfalls auf diesen Zugriffsbereich eingegrenzt ist und damit weniger Angriffsfläche vorliegt.
Sollten Sie einen Brief der Aufsichtsbehörde erhalten haben, unterstützen wir Sie gerne bei der Beantwortung. Auch ohne Brief sollten Sie sich dem Thema annehmen. Kommen Sie auf uns für ein kostenloses Erstgespräch zu. Gemeinsam können wir das für Ihre Organisation passende Sicherheitskonzept erarbeiten.
Mit dem in Kraft treten des TTDSG und HinSchG können sich für Organisationen Maßnahmen ergeben. Nachfolgend haben wir für Sie die wichtigsten Inhalte zusammengefasst.
Zum 01.12.2021 tritt das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) in Kraft. Es beinhaltet Neuerungen und Klarstellungen für Unternehmen, Webseitenbetreiber und Agenturen.
Hintergrund
Bisher gibt es eine Rechtsunsicherheit durch das Nebeneinander von Telemediengesetz (TMG), dem Telekommunikationsgesetz (TKG) und der Datenschutzgrundverordnung (DSGVO). Wann welches dieser Gesetze gilt, ist alleine schon eine Herausforderung. Hinzukommt, dass die ePrivacy-Verordnung, die beispielsweise den Umgang mit Cookies regeln sollte, bis heute nicht erlassen wurde. Deshalb hat der Gesetzgeber die Datenschutzbestimmungen aus dem TMG und dem TKG herausgelöst, an die DSGVO und die ePrivacy-Richtlinie angepasst und im TTDSG zusammengefasst.
Was sind die wichtigsten Inhalte des Gesetzes?
§4 TTDSG enthält eine neue Regelung für Erben. Diese stellt klar, dass das Fernmeldegeheimnis nicht entgegensteht, wenn Erben eines Endnutzers Rechte gegenüber einem Anbieter von TK-Diensten geltend machen.
§25 TTDSG schreibt eine echte und ausdrückliche Einwilligung vor, wenn Informationen auf Endeinrichtungen von Nutzern gespeichert oder ausgelesen werden.
Was bedeutet dies in der Praxis?
Die Regelungen des TTDSG beziehen sich auf die Endeinrichtungen von Nutzern. Damit sind letztlich alle mit dem Internet verbundenen Geräte umfasst, z.B. Laptops, Smartphones, Smarthome Anwendungen wie Küchengeräte oder Alarmsysteme.
Weiter bezieht sich das TTDSG auf alle Informationen die von Nutzern ausgelesen bzw. auf Endeinrichtungen von Nutzern gespeichert werden. Das TTDSG bleibt hier technikneutral, also nicht mehr nur Cookies sind betroffen, sondern auch alle weiteren Techniken wie z.B. das Browser Fingerprinting.
Was sollten Sie als Webseitenbetreiber tun?
Sie sollten sich im Klaren darüber sein, welche Cookies und Dienste auf Ihrem Webauftritt zum Einsatz kommen und welche davon einwilligungspflichtig sind. Für diese Technologien muss auf Grundlage einer umfassenden Information eine Einwilligung eingeholt werden. In der Regel wird dies über ein Cookie-Consent-Tool abgebildet. Dabei muss sichergestellt sein:
Weitere Empfehlungen für Webseitenbetreiber haben wir in unserem Artikel: Anforderungen aus dem Datenschutz und der IT-Sicherheit für Websites zusammengefasst.
Gemäß der EU-Richtlinie 2019/1937 (Whistleblower-Richtlinie) müssen die europäischen Mitgliedsstaaten bis zum 17. Dezember 2021 ein Gesetz zum Schutz von Hinweisgebern in nationales Recht umsetzen.
Hintergrund
Das HinschG ist die deutsche Umsetzung der EU-Whistleblowing Richtlinie. Ziel ist es einen EU-weiten standardisierten Ablauf und damit einhergehend, einen Schutz für Hinweisgeber zu schaffen. Das Hinweisgeberschutzgesetz verbietet jegliche Repressalien, Vergeltungsmaßnahmen oder Diskriminierung gegenüber Hinweisgebern (Whistleblower).
Ziel
Personen (Hinweisgeber oder Whistleblower), die mit einer Meldung illegale Missstände aufdecken und damit die Gesellschaft unterstützen, vor Repressalien durch ein Gesetz zu schützen.
Durch den professionellen Einsatz von Hinweisgebersystemen in Unternehmen und im öffentlichen Sektor Verbrechen und Skandale zu verhindern oder aufzuklären.
Anforderungen
Unternehmen zwischen 50 und 249 Mitarbeitende trifft die Pflicht zur Umsetzung ab Dezember 2023.
Meldekanäle
Gegenüber früheren Festlegungen, hat die interne Meldung keinen Vorrang mehr gegenüber externen Meldewegen.
Organisationen sollten transparente und professionelle interne Prozesse schaffen, um externe Meldungen möglichst zu vermeiden. Nur wenn Hinweisgeber darauf vertrauen können, dass die Hinweise ernst genommen, sorgfältig bearbeitet, mögliche Straftaten aufgeklärt und angemessen sanktioniert werden, bedienen sie sich den eingerichteten internen Meldestrukturen.
Mit Veröffentlichung der Corona-Maßnahmen durch die Regierungen von Bund und Ländern vom 19.11.2021 ergeben sich neue Anforderungen. Nachfolgende Ausführungen sollen Sie bei der Umsetzung der Anforderungen unterstützen. Sie wurden nach bestem Wissen und Gewissen erstellt, bedeuten aber keine Rechtssicherheit. Ziehen Sie im Zweifel Ihren Rechtsbeistand hinzu.
Ab 25.11.2021 gelten nach §28b Infektionsschutzgesetz (IfSG) neue Regelungen. Die bayerischen Regelungen aus der 15. Bayerischen Infektionsschutzmaßnahmenverordnung (15. IfSMV) werden damit nicht außer Kraft gesetzt, aber durch die Bundesregelung verdrängt, wenn diese inhaltlich Regelungen trifft. Für diese Neuregelungen wurde durch das Bundesministerium für Arbeit und Soziales (BMAS) eine FAQ-Sammlung veröffentlicht.
Datenschutzrechtlich relevant sind insbesondere die Datenverarbeitungen im Rahmen der 3G-Regelung, sowie die Homeoffice-Pflicht.
Arbeitgeber und Beschäftigte dürfen die Arbeitsstätte nur betreten, wenn sie geimpft, genesen oder getestet sind. Der Arbeitgeber ist zur Kontrolle verpflichtet und muss diese Kontrollen dokumentieren.
Dies gilt für alle Arbeitsstätten, in denen Kontakte von Arbeitgebern oder Beschäftigten untereinander oder zu Dritten nicht ausgeschlossen werden können. Entgegen der bayerischen Regelung gilt dies nun auf dem kompletten Betriebsgelände, auch außerhalb geschlossener Räume und schließt externe Baustellen und den arbeitsbedingten Personentransport mit ein.
Die Anwendungsschwelle von mehr als 10 Beschäftigten wurde verdrängt. Die 3G Regelungen gelten ab dem ersten Mitarbeiter und sind unabhängig von jeglichen Kennzahlen (Infektionszahlen, Krankenhausbelegung o.ä.) bis 19. März 2022 bindend.
Entgegen der bisherigen bayerischen Regelung von zwei Kontrollen pro Woche, muss der Status täglich abgefragt werden. In Bezug auf ungeimpfte Beschäftigte bedeutet dies, einen täglichen Nachweis über die negative Testung erbringen zu müssen.
Der Nachweis muss einmal im Gültigkeitszeitraum geprüft werden. Der Genesenenstatus ist aktuell auf 6 Monate beschränkt.
Über die Bundesregelung ergibt sich nun auch die Ermächtigung des Arbeitgebers, diese Daten für den Kontrollprozess zu dokumentieren.
Nach der Schutzmaßnahmen Ausnahmeverordnung §2 Abs.1 Nr.3 ist ein geeigneter Nachweis:
Grundsätzlich hat die Kontrolle vor Betreten des Betriebsgeländes zu erfolgen. Um an einer betrieblichen Testung teilzunehmen, dürfen Beschäftigte für diesen Zweck das Betriebsgelände auch ohne negativen Testnachweis betreten.
Im Rahmen dieser Nachweispflicht haben sich Prozesse etabliert, die beispielsweise die Zustellung von Testnachweisen per Messenger an die Vorgesetzten beinhalten. Hier ist daran zu denken, dass die personenbezogenen Informationen im Rahmen der Covid-Pandemie als Gesundheitsdaten gelten und besonders schutzbedürftig sind. Eine Verarbeitung sollte ausschließlich über gesicherte Verbindungen und auf Arbeitsgeräten erfolgen. Zugestellte Nachweise der Beschäftigten müssen nach dem Übertrag in die Dokumentation gelöscht werden.
Der Arbeitgeber ist verpflichtet, die Erfüllung der 3G-Pflicht zu dokumentieren. Dies kann ohne Erfassung des konkreten G-Status erfolgen. Durch die Bundesregelung ist der Arbeitgeber aber auch berechtigt, den konkreten Status zu Kontrollzwecken zu dokumentieren. Damit erleichtert sich der Nachweis für geimpfte und genesene Beschäftigte, da von einer täglichen Prüfung abgesehen werden kann.
Es ist ausdrücklich auch die digitale Form der Dokumentation zugelassen.
Aus Datenschutzsicht sollte die Dokumentation in einer zugriffsgeschützten Datei, z.B. einer Exceltabelle erfolgen, auf das unbedingt notwendige Maß beschränkt und auf den unbedingt notwendigen Personenkreis begrenzt sein. Die Liste kann um die Information zum Ablaufdatum ergänzt werden, um die Notwendigkeit eines Folgenachweises ableiten zu können.
Die Dokumentation ist außerhalb der Personalakte zu führen. Diese Vorgehensweise ist auch zu empfehlen, da die zeitlich begrenzten Aufzeichnungen eine klare Trennung zu fortlaufenden Dokumentationen ermöglichen und die Einhaltung von Aufbewahrungsfristen erleichtern.
Unter Dokumentationspflichten wird auch die Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten verstanden. Hier sind die Prozesse des Kontroll- und Dokumentationsvorgangs zu ergänzen.
Auf Grundlage des Transparenzanspruches gegenüber den Beschäftigten und um der Informationspflicht nachzukommen, sind die Datenverarbeitungen über Datenschutzhinweise zu veröffentlichen.
Die Daten der Dokumentation sind hinsichtlich der Vorhaltepflicht für behördliche Kontrollen spätestens sechs Monate nach Erhebung zu löschen.
Alle Verarbeitungen im Rahmen der Covid-Prozesse beinhalten in der Regel besonders sensible Informationen. Der begrenzte Mitarbeiterkreis mit Zugriffsrechten muss sich darüber bewusst sein, dass diese Informationen nur mit berechtigten Personen ausgetauscht werden dürfen. Besonders gilt dies im Rahmen von Kontrollen und der Dokumentation von 3G-Nachweisen. Es wird empfohlen, Mitarbeiter mit erweiterten Zugriffsrechten zur Vertraulichkeit in Bezug auf die Covid-Informationen zu verpflichten.
Im Rahmen der Ermöglichung von Homeoffice sollten sich Unternehmen bewusst sein, dass sich dadurch Risiken in Bezug auf den Datenschutz und die Informationssicherheit ergeben. Es wird empfohlen eine Homeoffice-Richtlinie zu veröffentlichen, die Arbeitnehmer an definierte Regeln zur Einhaltung des Datenschutzes und der Informationssicherheit bindet.
Technische Zugriffsmöglichkeiten sollten so gestaltet werden, dass sich damit keine neuen Schwachstellen in der IT-Infrastruktur ergeben. Die in den ersten Infektionswellen kurzfristig umgesetzten Lösungen, sollten mittlerweile sicher angepasst sein. Es ist damit zu rechnen, dass das Risiko von Cyberangriffen parallel ansteigt.
Wenn wir Sie bei der Umsetzung von einzelnen Bausteinen unterstützen dürfen, kommen Sie jeder Zeit auf uns zu.
Anonymous Deutschland hat den Querdenker Attila Hildmann erneut gehackt. Auf dem Blog „AnonLeaks“ wird erklärt, dass die Aktivistinnen und Aktivisten von „Anonymous“ eigentlich nur die Website von Attila Hildmann angreifen wollten, aber man sich dann letztendlich dazu entschieden hat, sich den ganzen Hoster vorzunehmen – weil das einfacher gewesen sein soll.
Beim Versuch die Seite zu kapern, konnte Anonymous sich in tiefere Ebenen des Webhosters vorarbeiten und deckte dabei Schwachstellen des Hosters und grundlegende Datenprobleme auf. Im Folgenden soll es um die Vorgehensweise des Hackers gehen und wie es überhaupt dazu kam.
In der Regel gehen Angreifer den direkten Weg und suchen eine Sicherheitslücke auf der Zielseite. Findet man keine, weitet man die Suche auf umliegende Systeme aus und versucht von dort aus die Zielseite anzugreifen. Eigentlich sollte dies durch die Segmentierung der Kundenspaces und der Datenbankserver nur schwer möglich sein. Bei Hildmanns Webseitenhoster Prosite war das jedoch nicht der Fall. Die Hacker-Aktivisten kommentierten den Anbieter und dessen mangelnde Sicherheitsvorkehrungen nur mit: „Das ist ein Nudelsieb, aber kein Hoster“.
Zu dem eigentlichen Vorgehen und der von den Aktivisten verwendeten Sicherheitslücke selbst werden eher weniger Details preisgegeben. Man habe wohl eine verwundbare Joomla-Instanz ausgenutzt und durch weitere Lücken einen Vollzugriff auf die Administrationswerkzeuge des Hosters erhalten. Darüber hinaus konnten die Hacker sämtliche Datenbanken von Kunden des Hosters durch Root-Zugänge verwalten. Dies beinhaltete die Zugangsverwaltung der Kunden, Gründe für deren Sperrung, die Klimaregelung und Webcams des Rechenzentrums, aber auch die Datenbank des Messaging-Dienstes Mattermost. Über diesen versendete das Team von Prosite unter anderem auch Passwörter, die Anonymous somit im Klartext auslesen konnte.
Letzten Endes hatte man Zugriff auf sämtliche Kundendaten – von den Stammdaten bis hin zu den Kreditkartendaten inklusive des CVC-Codes, die alle in einer einzigen Datenbanktabelle in den eigenen Systemen gespeichert wurden. Von Seitens der Hacker wird Prosite eine Selbstanzeige wegen des massiven Datenschutzverstoßes im Sinne der DSGVO empfohlen.
Unabhängig davon wo Daten gespeichert werden, ob inhouse oder in einem externen Rechenzentrum, bleibt die Verantwortung für die Einhaltung des Datenschutzes und der Informationssicherheit bei der verantwortlichen Stelle. In der Regel wird die konforme Umsetzung durch eine vertragliche Grundlage geregelt, die technische und organisatorische Vereinbarungen beinhaltet.
Die Verantwortung zur Prüfung dieser Regelungen obliegt dem Eigentümer der Daten. Um diesen Prozess abbildbar zu gestalten, können Nachweise eingeholt werden, beispielsweise ISO27001 Zertifikate. Diese Vorgehensweise unterstützt auch die Hoster selbst, weil damit Einzelprüfungen der Kunden ausbleiben.
Wir empfehlen bei der Planung von externen Datenspeicherungen einen Prozess zu etablieren, der die wichtigsten technischen und organisatorischen Anforderungen prüft. Beispielsweise die Möglichkeit zum Abschluss eines Datenschutzvertrages, eines Nachweises zur Einhaltung der Informationssicherheit, bestehende Zugriffsrechte durch den Dienstleister oder Standorte der Rechenzentren.
Weitere Maßnahmen stehen in Abhängigkeit mit der Sensibilität der Daten und den Stabilitätsanforderungen an den Dienst. In jedem Fall sorgen alle Präventivmaßnahmen für eine Minimierung von zukünftigen Risiken.
Auch wenn soziale Netzwerke mehr und mehr in den Mittelpunkt rücken, bleibt die eigene Website weiterhin der zentrale Anlaufpunkt für Interessenten, Kunden, Lieferanten und Partner. Neben diverser Maßnahmen aus dem Marketing ergeben sich bei dem Betrieb von Websites auch hohe Anforderungen aus dem Datenschutz und der IT-Sicherheit.
Während die konforme Umsetzung von datenschutzrechtlichen und it-sicherheitstechnischen Maßnahmen bei internen Prozessen eher im Verborgenen bleibt, ist die Umsetzung dieser Anforderungen auf der Unternehmenswebsite für jedermann öffentlich einsehbar. Abweichungen sind damit nicht nur für Kunden und Interessenten ersichtlich, sondern auch für Aufsichtsbehörden und Verbraucherzentralen.
Wir haben für Sie zusammengefasst, welche technischen und organisatorischen Maßnahmen wir Ihnen im Zusammenhang mit Ihrer Website empfehlen.
Zum Betrieb einer Website werden in der Regel verschiedene interne und externe Akteure mit Zugriffsrechten eingebunden. Beispiele hierfür sind:
Alle diese Beteiligten greifen in den jeweiligen Arbeitsaufgaben nicht nur auf Programmcodes zu, sondern auch auf personenbezogene Informationen, die durch oder über Webseitenbesucher kreiert werden. Damit ergeben sich aus dem Datenschutz und der IT-Sicherheit Anforderungen an die Vertraulichkeit und Einhaltung von Regeln, die über Vereinbarungen/Verträge abzuwickeln sind.
Eine gezielte Auswahl von zuverlässigen Partnern und den passenden Dienstleistungspaketen sind essentielle Voraussetzungen. Als Verantwortlicher für die Website sollten Sie immer wissen, in welchem Rechenzentrum sich Ihr Webserver befindet, welche Zugriffsrechte durch welche Akteure bestehen, welche Regeln definiert wurden und welche Verantwortlichkeiten auf die zugrunde liegenden Prozesse existieren. Diese Verantwortlichkeiten wiederum sollten in Vereinbarungen schriftlich fixiert werden.
Die bereits genannte Zuordnung von Verantwortlichkeiten stellt sich im Kontext von Websites als besonders herausfordernd dar. Oft ist die Zuordnung für den Betrieb und die Wartung von Websites nicht klar definiert. Interne Mitarbeiter gehen davon aus, dass Datensicherungen und das Updatemanagement von Website und der zugrunde liegenden IT Systeme durch eingebundene externe Dienstleister erfolgen. Diesen wiederum fehlt oft ein klarer Auftrag für die Umsetzung der Aufgaben. Damit bleiben maßgebliche Sicherheitsmaßnahmen unbehandelt. Für einen Notfall könnte dies bedeuten, dass kein aktueller Sicherungsstand vorliegt und damit der bestehende Webauftritt verloren gehen könnte.
Auch das Auslagern in ein Rechenzentrum bedeutet nicht, dass damit die Datensicherung automatisch geregelt wäre, was der Vorfall bei OVH Anfang 2021 aufzeigt.
Alle wichtigen Informationen zur Website müssen sich ebenfalls in der internen IT Dokumentation wiederfinden. Die Aufzeichnungen sollten immer den Anspruch haben, dass diese durch einen fachkundigen Dritten verstanden werden können und ein Weiterbetrieb – auf Basis dieser Informationen – auch bei Ausfall von wichtigen Akteuren möglich bleibt.
Ebenfalls sollte die Organisation im Besitz von administrativen Passwörtern sein, um jeder Zeit selbst bestimmt notwendige Anpassungen vornehmen zu können.
Artikel 32 der DSGVO bestimmt, dass die Sicherheit personenbezogener Daten nach Stand der Technik gewährleistet werden muss. Erzwungene verschlüsselte Webseiten (https://) sind heute Standard. Wichtig dabei: das Verschlüsselungsprotokoll ist gültig, vertrauenswürdig, gegen bekannte Angriffsmöglichkeiten geschützt und akzeptiert dabei nur aktuelle Verschlüsselungsverfahren wie mindestens TLS 1.2.
Ein weiterer wichtiger Punkt ist die Sicherheit des Zugangs auf die zu Grunde liegenden Systeme selbst. Diese sind direkt aus dem Internet erreichbar und sollten deshalb über eine Zweifaktor-Authentifizierung abgesichert sein. Die Benutzerkonten sollten personenbezogen benannt sein. Damit können Zugriffe zugeordnet werden und auf einfache Weise Zugriffsrechte entzogen werden, beispielsweise bei Austritt eines Mitarbeiters.
Die Website ist ein zentraler Bestand des Marketings einer Organisation. Gerne kommen deshalb Dienste zum Einsatz, die das Besucherverhalten auf der Website analysieren. Das bekannteste Beispiel hierfür ist Google Analytics. Der Einsatz solcher Dienste erfordert datenschutzrechtlich meist verschiedene technische und organisatorische Maßnahmen z.B. eine Verkürzung der IP-Adressen von Webseitenbesuchern, einen Datenschutzvertrag mit Google oder eine Einwilligung zur Verarbeitung der personenbezogenen Daten. Verantwortliche sollten sich deshalb darüber bewusst sein, welche Dienste auf der Website zum Einsatz kommen.
Auch wenn es bei der Programmierung einer neuen Website mittlerweile fast schon zum Standard geworden ist, das Websiteverhalten zu kennen und entsprechende Dienste zu implementieren, werden die aggregierten Daten nicht immer zielführend weiterbearbeitet. Als erstes sollte also die Frage gestellt werden, ob die Ergebnisse der Dienste überhaupt eine Rolle spielen. Im Zweifel sollte der jeweilige Dienst von der Website entfernt werden.
Die Einwilligung zur Verarbeitung der Daten von Websitebesuchern werden in der Regel über Cookie Consent Tools (CCT) eingeholt. Diese blockieren bei Aufruf der Website die Aktivitäten bereits angesprochener Dienste und verhindern das Setzen von Cookies auf den Systemen der Websitebesucher. Cookie Consent Tools fragen die Einwilligung des Websitebesuchers zur Verarbeitung der personenbezogenen Daten ab und stellen somit eine Lösung für den Cookie-Opt-In dar. Beim Einsatz von Cookie Consent Tool gibt es jedoch einige Anforderungen, die zu beachten sind und bei Missachten auch zu Abmahnungen führen können.
Für Websitebesucher muss es auf einfache Weise möglich sein, sich vor Auswahl im Cookie Consent Tool darüber zu informieren, welche Cookies geladen und gesetzt werden. Dies erfordert eine Beschreibung aller zum Einsatz kommender Dienste und Cookies. Häufig werden die Cookies kategorisiert dargestellt z. B. essenzielle Cookies und Cookies für Statistiken. Teilweise wird die Beschreibung der Cookies im CCT selbst dargestellt, alternativ bzw. parallel muss eine Information über die Datenschutzerklärung der Website erfolgen.
Dabei wird in der Regel der Name des Dienstes, der Empfänger der Daten und damit auch der Rechtsraum (EU\Drittstaat), die Speicherdauer und der Zweck angegeben. Auf Basis dieser Informationen soll es dem Websitebesucher möglich sein, eine gezielte Auswahl zu treffen und eine bewusste Entscheidung abzugeben.
Besonders wichtig ist es dabei, dass das Cookie Consent Tool den Link auf die Datenschutzerklärung der Website nicht überdeckt. In diesem Fall wäre eine vorherige Information des Websitebesuchers nicht garantiert und würde dem Anspruch einer rechtskonformen Einwilligung widersprechen.
Es muss sichergestellt werden, dass Cookie Consent Tools beim Aufruf der Website zusätzliche Dienste so lange blockieren, bis der Webseitenbesucher eine gezielte Entscheidung getroffen hat. Deshalb sollte die Blockierung der Dienste durch das CCT manuell geprüft werden.
Analyse- und Marketingdienste dienen dazu das Besucherverhalten auf der Website auszuwerten. Die Ergebnisse der Analyse helfen Marketingabteilungen den Webauftritt gezielt anzupassen und weiterzuentwickeln. Es besteht also ein besonderes Interesse daran, dass Websitebesucher der Analyse zustimmen.
Deshalb wird versucht, über das Design von Cookie Consent Tools eine gewünschte Entscheidung herbeizuführen. Beispielsweise werden Farben oder die Größe der Entscheidungsbuttons so gewählt, dass möglichst viele Websitebesucher das Setzen von Analyse und Marketing Cookies akzeptieren. Des Weiteren ist es nicht erlaubt, die Entscheidung des Users vorzubestimmen, in dem Cookie-Kategorien standardmäßig zum Akzeptieren ausgewählt sind wie z. B. Marketing Cookies. Der User muss die einzelnen Cookie Kategorien bewusst aktivieren und seine Entscheidung anschließend akzeptieren.
Diese Beeinflussung von Websitebesuchern widerspricht den Vorgaben von Datenschutzgesetzen. Einwilligungen müssen verständlich und transparent aufgebaut sein und dürfen den Webseitenbesucher nicht zu einer vorhersehbaren Entscheidung drängen. Bei dieser Form der Manipulation spricht man von „Dark Pattern“. Aufsichtsbehörden und Verbraucherschützer prüfen Websites und gehen gezielt gegen diese Art von rechtswidrigen Cookie-Bannern vor. Im Jahr 2021 wurden eine Vielzahl von Websites analysiert und aufgrund dessen abgemahnt (Verbraucherzentralen, Noyb).
Letztlich bleibt es aber immer Entscheidung der obersten Leitung, welche Dienste zum Einsatz kommen, ob CCTs überhaupt und wie eingesetzt werden. Dies erfordert aber, dass verantwortliche Stellen über Veränderungen auf der Website aktiv werden informiert werden, um eine bewusste Entscheidung treffen zu können.
Im Tagesgeschäft fehlt häufig dieses Änderungsmanagement. Eifrige Webdienstleister schalten pflichtbewusst Analysedienste, vergessen aber die notwendigen Datenschutzmaßnahmen umzusetzen. Damit ergibt sich eine abmahnfähige Schwachstelle ohne Wissen des Verantwortlichen und dazu weltweit einsehbar.
Über das Impressum kann sich ein Websitebesucher über den Verantwortlichen des Webauftritts informieren. Wer steht hinter der Webseite und wie kann die Organisation kontaktiert werden. Entgegen dem Impressum besteht eine sogenannte 2-Klick Regel. Das Impressum muss nach maximal zwei Klicks angezeigt werden. Idealerweise befinden sich Impressum und Datenschutzerklärung im Fuß- oder Kopfbereich, können von jeder Unterseite aus geöffnet werden und sind nicht durch das Cookie Consent Tool verdeckt.
Die Datenschutzerklärung der Website informiert den Websitebesucher über die Verarbeitung personenbezogener Daten auf der Website. Es müssen sich somit neben Standardinformationen Beschreibungen zu allen eingesetzten Diensten wiederfinden. Der Aufbau ist komplex und sollte nicht in Handarbeit, sondern über einen Generator für Datenschutzerklärungen erfolgen z.B. hier. Wenn zielführend können manuell weitere Informationen ergänzt werden, beispielsweise zum Bewerbungsmanagement, dessen Prozesse meist die Website und interne Stellen miteinbezieht. Unbedingt sollten auch die Kontaktdaten des Datenschutzansprechpartners in der Datenschutzerklärung aufgeführt werden.
Websites stehen durch ihre starke Außenwirkung besonders im Fokus interessierter Parteien. Organisationen sollten deshalb bemüht sein, den Webseitenauftritt so konform als möglich abzubilden. Sollten Sie Unterstützung bei den Anpassungen wünschen, kommen Sie jeder Zeit auf uns zu.
Die Einführung eines Informationssicherheits- und Datenschutzmanagementsystems ist keine Kür, sondern eine Pflicht!
Es geht nicht mehr nur darum, ob Sie mit einem Angriff rechnen müssen, sondern vielmehr wann dieser eintritt und wie gut Sie darauf vorbereitet sind.
Diese Aussage wird aktuell in zahlreichen Veröffentlichungen getätigt und wir als IT-Dienstleistungs- und Beratungshaus für Datenschutz und Informationssicherheit können dies nur unterstreichen.
Es geht nicht mehr darum, ein Sicherheitsprodukt zu implementieren oder einzelne Maßnahmen zur Erhöhung der IT-Sicherheit isoliert umzusetzen. Es geht darum, als Leitung einer Organisation die Bereitschaft zu zeigen, die Anforderungen an die Vertraulichkeit, Verfügbarkeit und Integrität, die Chancen und vor allem die Risiken in einem Managementsystem zu regeln und zu steuern. Die Entscheidung gegen die Einführung eines ISMS ist die Entscheidung gegen den aktuellen Stand der Technik, welcher neben der Informationssicherheit auch von der Datenschutzgrundverordnung gefordert wird.
Laut Branchenverband Bitkom hat sich die Schadenssumme auf Grund von Datenklau, Spionage oder Sabotage gegenüber den Jahren 2018\2019 mehr als verdoppelt – insgesamt auf 220 Milliarden Euro.
Unternehmer messen die größte Gefahr Ransomware Attacken zu. Weiter in der Top 3 folgen „Zero-Day-Lücken“ sowie „Spyware-Angriffe“.
83% der Unternehmen befürchten, dass die Angriffe in den kommenden Monaten weiter zunehmen werden.
Mit diesem Artikel möchten wir uns in klarer Sprache direkt an Sie, als Geschäftsleiter Ihres Unternehmens, richten. Sie müssen die Entscheidung für oder gegen ein Managementsystem treffen.
Ein ISMS umfasst die Einrichtung, die Implementierung, den Betrieb, die Überwachung, das Review, die Wartung und die ständige Verbesserung der Informationssicherheit und stützt sich auf das Management von Geschäftsrisiken.
Ein ISMS umfasst folgende Bausteine:
In einer jeden Umgebung gibt es Freigaben, die von jedem Mitarbeiter genutzt werden dürfen. Nur ein Managementsystem erwirkt eine systematische, gezielte und geplante Vorgehensweise und verfolgt einen ganzheitlichen Ansatz für Informationssicherheit in Ihrer Organisation. Alle Anforderungen der Informationssicherheit werden im Managementsystem behandelt und erfordern unter anderem Entscheidungen der obersten Leitung. Mit Entscheidungen kann die Leitungsebene umgehen. Voraussetzung ist, dass diese Entscheidungen der Leitungsebene überhaupt erst vorliegen. Ohne Managementsystem wird dies, wenn überhaupt, nur bruchstückhaft passieren. Die Erforderlichkeit, Eignung und Verhältnismäßigkeit einer Maßnahme wird ohne gezielte Risikobewertung und Zuteilung von Verantwortlichkeiten erfolgen. Das Management bleibt außen vor und trägt doch die Gesamtverantwortung der Organisation. Auch dann, wenn Betriebsabläufe auf Grund von Basisfehlern stehen.
Ein Managementsystem bedeutet in erster Linie nicht die Umsetzung von Maßnahmen, sondern die Transparenz über vorhandene Betriebsabläufe, darauf wirkende Risiken und die sich ändernde Bedrohungslage. Nur auf dieser Grundlage ist es möglich, bewusste und zielführende Entscheidungen zu treffen.
Ohne Betrieb eines Managementsystems fehlt regelmäßig das Wissen um die wichtigsten Werte und die darauf wirkenden Risiken. Ist der Organisation nicht bewusst, welche Gewichtung den einzelnen Werten zuzuordnen ist, werden Sicherheitsmaßnahmen falsch priorisiert. Essentielle Dienste, die für die Aufrechterhaltung des Betriebs unerlässlich sind, werden damit nicht ausreichend geschützt. Dies führt zum Stillstand der Kernprozesse und damit zum Stillstand der Organisation. Daneben wird sich die Notfallbehandlung, die selbst für Organisationen mit Managementsystem herausfordernd ist, als Herkulesaufgabe erweisen. Unbedingt notwendige Informationen zur Notfallbehandlung liegen womöglich nicht vor, weil diese niemals hinterfragt wurden.
Natürlich ist das oberste Gebot, dass die Betriebsabläufe reibungslos funktionieren und die Unternehmensprozesse den berechneten Erfolg bringen. Meist sind IT-Abteilungen ausschließlich damit beschäftigt, diesen Betrieb zu ermöglichen. Es ist kein Freiraum vorhanden, zusätzliche Themen wie die Dokumentation, die Härtung von Systemen, oder ein Notfallmanagement in Angriff zu nehmen. Produktionsrelevante und wertschöpfende Handlungen werden immer in den Fokus gestellt und Maßnahmen zur Steigerung der Informationssicherheit immer weiter nach hinten verschoben.
Der Preis dafür zeigt sich in einem möglichen Schadensfall. Wo Organisationen mit geregelten Sicherheitsprozessen in die kontrollierte Notfallbewältigung gehen, arbeiten Einrichtungen ohne solche Strukturen an grundlegenden Themen, die bereits vorliegen sollten. Jede Stunde und jeder Tag mit Betriebsstillstand setzt sich nun ins Verhältnis zur Entscheidung für oder gegen die Implementierung eines Managementsystems.
An dieser Stelle klärt sich auch die Frage, warum die oberste Leitung ein essentieller Baustein eines Managementsystems ist. Es geht hier nicht nur um die Freigabe von Ressourcen in Zeit und Geld. Diese Fragen werden auch ohne Managementsystem regelmäßig an die Geschäftsleitung adressiert. Der Unterschied ist, dass dies im systematischen Managementansatz automatisiert, bewusst und risikobasiert erfolgt.
Managementsysteme gehen aber noch einen Schritt weiter. Ein finaler Stand ist – wenn überhaupt – nur für einen kurzen Moment erreicht. Das System hinterfragt sich immer wieder und leistet damit einen wichtigen Beitrag zur ständigen Verbesserung. Dieser Prozess ist essentiell, um der sich ständig ändernden Gefahrenlage gerecht zu werden. Nur über einen dauerhaften Zyklus der Reflektion lassen sich neue oder bestehende Schwachstellen erkennen, die wiederum bewusst behandelt werden.
Die Bedrohungslage auf IT Systeme hat sich in den zurückliegenden Jahren drastisch verschärft. Einschläge rücken näher und lösen in Organisationen gut gemeinte Maßnahmen zur Risikominimierung aus. Diese sind regelmäßig unstrukturiert und stopfen Sicherheitslecks, die gerade im Fokus der Maßnahmenbehandlung stehen. Ein Konzept, welches auf Basis der Kritikalität von Unternehmensprozessen strukturierte Maßnahmen platziert, fehlt.
Die Leitungsebene muss sich bewusst für oder gegen ein Managementsystem entscheiden. Aus dem Normenstrauß (ISO27001, BSI, CISIS12, VdS…) lässt sich für jede Organisation eine passende Norm finden, die zur Größe und Ausrichtung der Organisation passt. Ohne die systematische Vorgehensweise bleiben essentielle Maßnahmen auf der Strecke.
Nur der Betrieb eines ISMS kann die richtige Antwort auf die sich immer weiter zuspitzende Gefahrenlage sein. Der Ressourcenaufwand zur Umsetzung steht in keinem Verhältnis zur Aufarbeitung eines massiven Vorfalls, der heute viel wahrscheinlicher ist, als in den zurückliegenden Jahren.
Es geht nicht mehr darum, ob Sie mit einem Angriff rechnen müssen, es geht darum wann dieser eintritt und wie gut Sie darauf vorbereitet sind.
LDAP (Lightweight Directory Access Protocol) wird im Active Directory zur Authentifizierung zwischen Clients und Domain Controller, aber auch zur Kommunikation zwischen den Domain Controller verwendet. Werden hier Informationen im Klartext gesendet, so können Angreifer mit diesen Daten (im schlimmsten Fall Benutzernamen inklusive Passwörter) Zugang zu sensiblen Bereichen erhalten. Per GPO können Server und Clients so konfiguriert werden, dass sie ausschließlich über TLS gesicherte Verbindungen kommunizieren. Das Ereignislog hilft dabei, Clients zu identifizieren, die LDAP noch ungesichert verwenden.
Gerne wird – besonders in kleineren und mittelgroßen Umgebungen – der Domain Controller auch als FileShare, Druckserver, DHCP und DNS Server oder als Zertifizierungsstelle genutzt. Sogar Software/Anwendungen von Drittanbietern oder Dienste zur Kommunikation nach Extern werden der Einfachheit halber immer wieder auch auf Domain Controllern installiert. Hier gilt es sich bewusst zu werden, dass jede Sicherheitslücke eines zusätzlichen Services unmittelbar das ganze Active Directory bedroht und die Angriffsfläche erhöht. Beispiele:
Als Domänenadministrator sollte man nur dann arbeiten, wenn dies für die Aufgabenstellung zwingend erforderlich ist und niemals zur Arbeit auf einem Standard Client z.B. zum Installieren von Software, verwendet werden. Ist ein Client kompromittiert, kann ein Angreifer sich mit nur einer erfolgreichen Anmeldung den Zugang zu weiten Teilen des Unternehmens ermöglichen. Auch bei der alltäglichen Arbeit sollte man mit einem Benutzeraccount ohne lokale oder gar domänenweite Adminrechte angemeldet sein. Zwar kann es auch dann noch zu einer Rechteausweitung kommen, diese stellt für einen Angreifer jedoch eine weitere Hürde dar.
In der Vergangenheit wurden lokale Admins gerne per GPO verteilt, mittlerweile kann in einer GPO für lokale Benutzer das Passwort nicht mehr gesetzt werden. Aus gutem Grund: das Passwort kann einfach ausgelesen werden!
Sind derartige GPOs aber noch vorhanden und werden wegen einer falschen Konfiguration (eventuell auch durch Änderungen an der AD Struktur) auf Servern angewandt, freut das jeden Angreifer. Daher sollten Gruppenrichtlinien und Skripte sowie die Aufgabenplanung genau dokumentiert und regelmäßig überprüft werden. Auch Passwörter im Skript sind ein hohes Risiko und sollten unter keinen Umständen als Lösung implementiert werden.
Sie sollten für jeden Dienst ein eigenes Dienstkonto nutzen bzw. noch besser auf Group Managed Service Accounts zurückgreifen. Diese Dienstkonten sollten genau über die Rechte verfügen, die für die Aufgabenerfüllung benötigt werden. Dadurch kann das Risiko bzw. der Schaden potentieller Angriffe minimiert werden. Sollte zum Beispiel ein Skript per Aufgabenplanung als Domänenadministrator ausgeführt werden, so kann jeder, der Zugriff auf dieses Skript hat, beliebig viele weitere Befehle ausführen lassen.
In einer jeden Umgebung gibt es Freigaben, die von jedem Mitarbeiter genutzt werden dürfen. Grundsätzlich bedeutet “jeder” aber nicht gleich “jeder Mitarbeiter”. Dienstkonten und Praktikanten verfügen ebenfalls über solche Freigaben, auch wenn ihnen diese möglicherweise gar nicht zustehen dürften. Jede Freigabe sollte daher ausschließlich nur denen zur Verfügung stehen, die diese auch benötigen. Temporäre Änderungen sind grundsätzlich zu vermeiden. Sollten solche jedoch unvermeidbar sein, dann sind sie zu dokumentieren und dürfen nicht vergessen werden.
Auch die oft gültige Direktive “Der Chef darf alles sehen” sollte hinterfragt werden. Wird schädliche Software unter dessen Account ausgeführt, so hat ein Angreifer dann automatisch die Berechtigung, alles zu verschlüsseln.
SIEM-Lösungen und/oder XDR Lösungen wie Sophos XDR bieten zum Beispiel mit dem Data Lake eine sehr komfortable Lösung, um Vorgänge im AD zu beobachten, zu bewerten, zu warnen oder im Verdachtsfall Vorgänge im Active Directory nachzuvollziehen. Auch das in Windows integrierte Ereignislog kann schon vieles aufzeigen, zum Beispiel gescheiterte Anmeldeversuche oder das Erstellen von Benutzerkonten. Wird im AD die Gruppe der Domänen Admins geändert, ein AD Account erstellt oder ein administrativer Account verändert, so sollte dies bei den regelmäßigen Prüfungen der Logs nochmals genau betrachtet werden. Zur Minimierung des Aufwands und der Fehler empfiehlt es sich, diese Prüfungen zu automatisieren.
Auch wenn das Backup nicht direkt zum Schutz des ADs beiträgt, ist es ein unerlässlicher Teil einer jeden IT Umgebung. Wird aber das Active Directory kompromittiert und ist das Backupsystem nicht strikt abgetrennt, muss im schlimmsten Fall auch das Backup als kompromittiert angesehen werden. Unsere Tipps: Das Backup System auf einem eigenen Server physisch getrennt halten. Dieser Server sollte auf die Umgebung zugreifen können, nicht aber umgekehrt. Die Backups nicht nur auf einem NAS oder dem direkten Speicher des Backupsystems vorhalten, sondern auch in regelmäßigen Abständen “außer Haus” bringen, z.B. verschlüsselt auf einem Band in einem Bankschließfach.
Grundsätzlich gibt es noch viele weitere Risiken und entsprechende Maßnahmen, um das Active Directory und damit die gesamte IT Infrastruktur zu schützen. Dazu zählen unter anderem eine 2 Faktor-Authentifizierung, eine Netztrennung, lokale und vorgeschaltete Firewalls. Für die speziellen Anforderungen einer hybriden Umgebung bietet Microsoft mit Microsoft 365 und den darin enthaltenen Funktionen wie z.B. Conditional Access noch weitergehenden Schutz.
Um immer auf dem neusten Stand in Fragen der IT Sicherheit zu bleiben, abonnieren Sie unseren monatlichen Security-Newsletter. Darin behandeln wir immer wieder aktuelle Bedrohungen wie z.B. Petit-Potam.
Gerne bieten wir Ihnen auch eine individuelle Beratung, um Sie dabei zu unterstützen, die Sicherheit ihrer Umgebung kontinuierlich zu verbessern. Sollten Sie Fragen haben oder Unterstützung bei der Härtung Ihrer Active Directory Infrastruktur benötigen, stehen wir Ihnen jederzeit zur Verfügung.
Ein schwerwiegender Sicherheitsvorfall durch die Hackergruppe REvil gegenüber der Software VSA der Firma Kaseya wirkte sich auf bis zu 1500 Unternehmen und tausende Endgeräte aus. VSA (Virtual System Administrator) ist eine Software, um Unternehmensnetzwerke aus der Ferne zu administrieren, sodass beispielsweise Software-Updates installiert werden können. Kaseya wird daher nicht nur von direkten Endkunden eingesetzt, sondern vor allem auch von IT-Dienstleistern, die Ihren Kunden mit der Software VSA administrative oder organisatorische Arbeiten in Zusammenhang mit dem Netzwerk- und Updatemanagement abnehmen.
Derartige Fälle werden der Kategorie “Supply-Chain-Angriffe” zugeordnet. Damit wird ein Angriff beschrieben, der über die Lieferkette eines Unternehmens erfolgt, anstatt das Unternehmen direkt zu attackieren. Diese Angriffsvarianten sind technisch sehr aufwendig, besitzen aber durch die beschriebene Kettenreaktion eine enorme Auswirkung.
Die Hackergruppe REvil hat das Kaseya-Tool VSA der IT-Dienstleister über eine zero-day-Lücke gekapert, einen Schadcode infiltriert und damit die Kundenumgebungen im Rahmen eines Updates mit einem Verschlüsselungstrojaner infiziert. Ein besonders hoher Schaden entstand für die Supermarktkette Coop in Schweden, die hunderte Filialen schließen musste, weil die Kassensysteme nicht mehr funktionierten.
Laut BSI waren auch deutsche Unternehmen betroffen. Auch hier handelte es sich – zumindest in einem Fall – um einen IT Dienstleister, der über die Fernwartungssoftware VSA Kunden in der IT-Administration unterstützte. Durch den beschriebenen Dominoeffekt wirkte sich der Angriff auf einige tausend Kundenrechner des IT-Dienstleisters aus.
Dieses und letztes Jahr gab es weltweit weitere vergleichbare Supply-Chain-Angriffe mit einer großen Anzahl an betroffenen Unternehmen. Im Gegensatz zum Supply-Chain-Angriff auf SolarWinds im Jahr 2019, wurde Kaseya nicht gehackt. Es wurde eine bis dato unbekannte Sicherheitslücke ausgenutzt – auch bezeichnet als Zero-Day-Exploit. Die Thread Analysis Group (TAG) von Googles Project Zero hat im Juli veröffentlicht, dass bis dato bereits 33 Zero-Day-Exploits entdeckt wurden, während im gesamten Jahr 2020 22 Zero-Day-Exploits gezählt wurden. Die Entwicklung der vergangenen drei Jahre zeigt, dass Zero-Day-Exploits stetig steigen. Die Gefahr von einem Angriff in der Supply-Chain betroffen zu sein, wird somit zukünftig für Unternehmen ein unvermeidbares Risiko darstellen. Wir haben für Sie zusammengefasst, wie Sie die Risiken in Ihrer Lieferkette minimieren und welche Maßnahmen Sie ergreifen sollten, damit Sie bei einem Supply-Chain-Angriff gut gewappnet sind.
Achten Sie auf die Auswahl von vertrauenswürdigen Lieferanten, die höchste Sicherheitsstandards einhalten und dies der verantwortlichen Stelle nachweisen können. Natürlich ist ein Angriff auf diese Lieferanten nicht ausgeschlossen, aber das Risiko kann dadurch reduziert werden. Jeder neue Lieferant wird anhand verschiedener Kriterien eingestuft und bewertet. Nur wenn die definierten Anforderungen erfüllt werden, sollten Sie den Lieferanten in Ihre Lieferkette aufnehmen.
Eine Übersicht der im Unternehmen eingesetzten Software und Clouddienste sollte vorliegen. Jedes Programm darf nur dann in Betrieb genommen werden bzw. in Betrieb sein, wenn dies zwingend für die Aufgabenbewältigung notwendig ist und wenn die Rahmenbedingungen des Softwareprodukts definierten Vorgaben entsprechen.
Jeder Angriff wird bestimmte Spuren hinterlassen bzw. ungewöhnliches Systemverhalten im Netzwerk auslösen. Die Auswertung von Log-Dateien, Ereignisanzeigen und Alarmen kann Angreifer, die sich bisher unentdeckt im Netzwerk bewegten, erkennbar machen.
Ziel der Angreifer sind in der Regel sensible Daten, um diese als Druckmittel für Lösegeldzahlung einzusetzen. Eine Risikominimierung bedeutet, nur zur Aufgabenerfüllung notwendige Berechtigungen zu vergeben. Besonders wichtig ist dies auch in Bezug auf privilegierte Berechtigungen z.B. der Administratoren.
Mitarbeiter sollten sensibilisiert sein, ungewöhnliches Systemverhalten an eine definierte Stelle zu melden. Eine Meldung muss auch außerhalb der Kernzeiten möglich sein, um flexible Arbeitszeiten oder Schichtbetrieb abzudecken. Urlaubsvertretungen der Meldeempfänger sind zu regeln.
Weiter gibt es zahlreiche Möglichkeiten das System gegen Angriffe zu härten. Mittlerweile müssen wir davon ausgehen, dass wir früher oder später Ziel eines Angriffs werden. Alle internen Anstrengungen zur Erhöhung der IT-Sicherheit/Informationssicherheit dienen letztlich dem Ziel, einen Angriff frühzeitig zu erkennen und es dem Angreifer innerhalb des Netzwerkes so schwer wie möglich zu machen. Beispiel hierfür kann der Einsatz von Endpoint-Security Lösungen mit EDR Funktionalität sein, eine konsequente Netztrennung und die Härtung der Konfiguration von Server und Diensten wie z.B. des Active Directorys.
Unerlässlich ist ein durchgängiges Konzept, das den Umgang mit Schwachstellen in Software, Netzwerkkomponenten und Cloudlösungen regelt. In diesem Prozess muss sichergestellt sein, dass neu auftretende Schwachstellen erkannt werden und je nach Schwere der Schwachstelle umgehend über ein Update oder Workaround geschlossen werden. Im Worst Case muss die Lösung außer Betrieb genommen werden, bis durch ein Update oder Workaround ein Weiterbetrieb sicher möglich ist.
Unbedingt sollte sich die verantwortliche Stelle mit der Behandlung eines möglichen Angriffs im Vorfeld auseinandersetzen. Gerade in einer Krisensituation ist es entscheidend, dass vorab definierte Prozesse zur Vorfalls Behandlung vorliegen, denn nur so existiert die Chance eine Krise kontrolliert zu bearbeiten.
All diese beschriebenen Maßnahmen erhöhen die Sicherheit im Unternehmen, tragen dabei aber nicht sofort zu mehr Umsatz bei. Es muss trotzdem vom höchsten Interesse der obersten Leitung sein, die Informationssicherheit zu unterstützen, um hohe Schäden in der Zukunft zu vermeiden. Nicht umsonst wird die Unterstützung der Geschäftsleitung als zentrale Voraussetzung einer stabilen Informationssicherheit gesehen.
Die immer weiter fortschreitende Digitalisierung sowie Abhängigkeit von IT-Systemen bei parallel steigenden Angriffsrisken, macht eine ganzheitliche Betrachtung der Organisation aus Informationssicherheitsperspektive notwendig. Der Kreis schließt sich mit der Frage des richtigen Informationssicherheitsstandards, denn nur damit wird eine umfassende Betrachtung und Risikominimierung möglich und bietet Antworten auf das Risiko von Supply-Chain-Angriffen.
Nehmen Sie das Thema Informationssicherheits-Managementsystem in Ihre Planung auf. Nutzen Sie unsere Webinaraufzeichnungen zu den Themen ISMS und CISIS12 oder kommen Sie jederzeit für ein kostenfreies Strategiegespräch auf uns zu.
Am 31. März feierte der World Backup Day sein 10 Jubiläum. Der „Welt-Backup-Tag“ soll als Erinnerung für Konsumenten dienen, wichtige Dateien zu sichern. Mit der zunehmenden Digitalisierung liegen private Informationen wie beispielsweise die kompletten Familienfotos der zurückliegenden Jahre oft nur noch digital vor. Eine Datensicherung im privaten Umfeld ist wichtig, ein Verlust der Daten aber oft nur äußerst ärgerlich. Für Unternehmen kann ein lückenhaftes Backup-Konzept existenzbedrohend sein. In unserem Artikel erfahren Sie, was Unternehmen bei der Gestaltung Ihres Backup-Konzeptes beachten sollten.
Ein Backup-Konzept geht oft mit der Bezeichnung „Lebensversicherung der Organisationsdaten“ einher. Diese Aussage bewahrheitet sich regelmäßig, wenn einzelne besonders wichtige Daten oder komplette Datenbestände nicht mehr verfügbar sind. Beim Aufbau eines Backup-Konzeptes geht es eingangs um die Erhebung von Informationen und Anforderungen. Es ist in diesem Schritt nicht entscheidend, wie die genaue technische Umsetzung der Backups später aussehen wird und welche Sicherungstools zum Einsatz kommen. In dieser Phase werden Kriterien zusammengetragen, die den Rahmen der zukünftigen Backup-Strategie vorgeben.
Es sollte eine Übersicht erstellt werden, welche Informationen, Anwendungen und Systeme für das Unternehmen einen Wert darstellen und in das Backup-Konzept einfließen müssen. Letztlich geht es um alle Systeme, deren Informationen oder Funktionen für die Organisation unverzichtbar sind. Server, Netzwerkkomponenten, besonders wichtige Arbeitsplatz PCs, Produktionsanlagen, Nebensysteme wie Steuerungen von Klimaanlagen oder oft unbeachtet, die Webseite eines Unternehmens. Überlegen Sie auch, welche Systeme sich komplett ausgelagert in einem Rechenzentrum befinden. Beauftragte Backups für diese Cloudanwendungen befinden sich in den zugehörigen Vertragsunterlagen mit dem Rechenzentrumsbetreiber. Diese müssen zwingend in das Backup-Konzept einbezogen werden.
Werden diese Systeme in einer Tabelle gelistet, können in weiteren Spalten notwendige Parameter zugeordnet werden. Auf dieser Grundlage kann im nächsten Schritt die passende Backup-Methode ausgewählt werden. Das Wissen um diese Parameter findet sich ausschließlich in der jeweiligen Fachabteilung für die das System betrieben wird. Die IT kann hier nur beratend begleiten, aber die Zuordnung nicht selbstständig durchführen. Vergessen Sie nicht, wir befinden uns hier in der Konzeptphase. Verschwenden Sie keine Energie darauf, bereits hier das geeignete Sicherungstool zuzuordnen. Diese Belegung erfolgt im Nachgang.
Die maximal tolerierbare Ausfallzeit bezeichnet die gesamte Zeitspanne, die für eine Wiederherstellung des Systems verkraftet werden kann, ohne gravierende Auswirkungen auf den Geschäftsbetrieb auszulösen. In der Praxis ist Unternehmen oftmals nicht bewusst, dass das Zeitfenster für die Wiederherstellung den zumutbaren Zeitrahmen sprengt.
Der minimal tolerierbare Datenverlust beschreibt, in welchem Rhythmus Backups erfolgen. Das Delta zwischen den Sicherungszyklen stellt den möglichen Datenverlust dar. Abhängig von der Wichtigkeit der zu sichernden Informationen, sollte ein für Sie geeignetes Zeitfenster gewählt werden.
Ordnen Sie in einer Spalte den Fachverantwortlichen für das System zu. Idealerweise geben Sie auch einen Stellvertreter an, der Ihnen notwendige Informationen geben kann, wenn der Hauptansprechpartner nicht greifbar ist. Diese Angaben sind für die Ausgestaltung des Backup-Konzeptes und für eine mögliche spätere Notfallbewältigung wichtig.
Für die jeweiligen Systeme ist zuzuordnen, wie lange das Backup gespeichert bleibt, also wie lange sie auf einen Sicherungsstand rückwirkend zurückgreifen möchten. In der Praxis ergibt sich aus diesem Wert beispielsweise die Chance, einen Datensicherungsstand vor einem nachgewiesenen unberechtigten Zugriff wiederherzustellen. Angreifer führen merkbare Manipulationen meist nicht direkt aus, sondern erforschen vorsichtig das Netzwerk. Diese Phase kann sich über Monate ausdehnen. Darüber hinaus werden damit mögliche Aufbewahrungs- bzw. Löschfristen abgedeckt.
Auf Basis der eingetragenen Parameter wird zusammen mit der IT Abteilung ein Sicherungstool ausgesucht und zugeordnet, das für das jeweilige System geeignet und verhältnismäßig ist. Backups von eher unwichtigen Informationen wie beispielsweise Schulungsvideos, erfordern eine andere Strategie, wie beispielsweise die Datensicherung Ihres ERP Systems, bei dem bereits ein Datenverlust von einer Stunde einen hohen Schaden für die Organisation bedeuten könnte.
Nicht selten kommt es vor, dass Backups aus unterschiedlichsten – oft lapidaren – Gründen abbrechen. Der Backup-Prozess sollte deshalb eine Statusmeldung automatisiert an den verantwortlichen IT-Mitarbeiter ausgeben. Denken Sie auch hier wieder an eine Vertreterregelung.
Eine Backup-Strategie sollte sich auch damit auseinandersetzen, wann ein (zusätzliches) Offline Backup Sinn macht. Über diese Backup-Methode erreichen Sie eine physikalische Trennung zu Ihrem System und haben die Garantie, dass sich ein Schadsoftwareangriff nicht auf die komplette Datensicherung auswirken kann. Parallel ergibt sich ein Schutz vor elementaren Einflüssen wie Feuer oder Wasser, wenn externe Sicherungsmedien in einem anderen Brandabschnitt oder außer Haus gebracht werden.
Ein Offline Backup birgt aber auch ein weiteres Risiko. Eine Vielzahl sensibler Informationen verlassen die Unternehmensgrenzen, ein Verlust des Sicherungsmediums würde einen möglichen unberechtigten Zugriff durch Dritte bedeuten. Deshalb wird empfohlen, die Sicherungsdaten zu verschlüsseln und den Zugriff über ein Passwort abzusichern. Die gleiche Anforderung kann auf mobile interne Datensicherungsmedien wie NAS-Systeme übertragen werden, wenn diese außerhalb eines besonders zutrittsgeschützten Bereichs aufgestellt wurden.
Welcher IT Mitarbeiter dokumentiert gerne? Und doch ist diese Phase Ihres Backup-Konzeptes genauso entscheidend, wie der passgenaue Backup-Vorgang an sich. Die Anleitung muss so gut sein, dass diese von einem fachkundigen Dritten nachvollziehbar umgesetzt werden kann. Dies bedeutet einen Ausfall des für das Backup zuständigen Mitarbeiters abzufangen. Gerade für kleinere Organisationen die nur einen IT Mitarbeiter beschäftigen oder deren Systeme von einem “1-Mann IT Unternehmen“ betreut werden, ist eine durchgängige Dokumentation elementar. Dies bedeutet keinesfalls, dass die Fachkunde in Frage gestellt wird. Nur würde ein Notfall in Kombination mit der Nichterreichbarkeit eines zentralen Wissensträgers, besonders hohe Herausforderungen auslösen.
Eine Dokumentation Ihres Backup-Konzept beschreibt mindestens:
Letztlich alle Informationen, die für eine erfolgreiche Wiederherstellung eines Backups entscheidend sind. Wurde die eingangs erwähnte Tabelle zum Backup-Konzept gewissenhaft ausgearbeitet, liegen Ihnen bereits die entscheidenden Informationen zur Erstellung der Dokumentation vor.
Änderungen an der aktiven Backup-Strategie müssen kurzfristig in der Dokumentation nachgezogen werden. Speichern Sie die Backup-Dokumentation nicht nur digital, sondern bewahren Sie diese parallel in Ihrer Notfalldokumentation in Papierform außerhalb Ihrer Organisation z. B. in einem Bankschließfach auf. Natürlich adressiert sich das Wissen um die Notfalldokumentation nicht nur an die IT Verantwortlichen, sondern im Besonderen an die Geschäftsleitung.
Über regelmäßige Rücksicherungstests wird der Nachweis über eine erfolgreiche Backup-Strategie eingeholt. Die Position der Backups in einem Notfallbewältigungsprozess setzt diesen zusätzlichen Überwachungsschritt voraus. Scheuen Sie sich nicht davor, auch komplette Umgebungen oder Datenbanksysteme aus dem Backup wiederherzustellen. Beziehen Sie dabei auch die Funktionalität vorhandener Offline Backup-Medien mit ein.
Erkannte Herausforderungen und deren Aufarbeitung helfen, das Backup-Konzept weiter zu verbessern und für den Krisenanwendungsfall vorzubereiten. Das Vertrauen in funktionierende Backups unterstützt eine kontrollierte Notfallbewältigung.
Führen Sie die Prüfungen entlang Ihrer Dokumentation durch. Unstimmigkeiten sind umgehend anzupassen und in der Notfalldokumentation zu aktualisieren. Eine Checkliste hilft dabei, keine Punkte im Rücksicherungstest zu übersehen. Zusätzlich erleichtert eine Checkliste die Einarbeitung neuer IT-Kollegen in diesen Prozess und unterstützt bei einer Urlaubsvertretung.
In einer möglichen Krisensituation ist ein geeignetes und verhältnismäßiges Backup-Konzept mit Dokumentation ein elementarer Bestandteil der Vorfalls Bewältigung. Genau hier verdient ein funktionierendes Backup-Konzept die Bezeichnung „Lebensversicherung ihrer wichtigsten Organisationsdaten“.
Wir hoffen, dass wir Ihnen wertvolle Anregungen für Ihren Backup-Prozess geben konnten. Kommen Sie jeder Zeit auf uns zu, wenn wir Sie in der Strategieauswahl und technischen Umsetzung Ihrer Backups unterstützen dürfen.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen