LITMIR.BIZ

Abbildung 2.1: Anzahl der aktuellen (2012, 2016 und 2019) und veralteten (2003, 2008) Windows Server Versionen. (Quelle: Rapid7 Blog, Oktober 2020)

      Es sind deutlich mehr veraltete Versionen des Windows-Server-Betriebssystems aus dem Internet erreichbar, als aktuelle von Microsoft noch gepflegte Versionen. Sie sehen zwar in der Abbildung 2.1, dass die Zahl der veralteten Server abnimmt, aber schnell geschieht das nicht. Der Support für Windows Server 2003 wurde im Juli 2015 und der für Windows Server 2008 und 2008 R2 im Januar 2020 eingestellt.

Um die Verfügbarkeit der Daten und/oder Systeme sicherzustellen, bieten sich zum Beispiel folgende Maßnahmen an:

      Dabei reicht meistens eine Maßnahme allein nicht aus, sondern es müssen mehrere Maßnahmen aufeinander abgestimmt ergriffen werden.

      Integrität

      Der Einstieg in die Diskussion des Begriffs »Integrität« erfolgt am einfachsten über die Frage: »Sind Sie sich sicher, dass Ihre Daten unverändert sind?«. Haben Sie auch, wie viele ihrer Mitmenschen, ein gesundes Vertrauen in die Korrektheit der Daten in Ihren IT-Systemen? Aber es ist immer wieder möglich, dass sich Daten verändern. Dies kann beabsichtigt durch Hacker oder eine Schadsoftware geschehen oder auch unbeabsichtigt durch einen technischen Fehler. Gerade ältere Datenträger wie Disketten, Festplatten oder Magnetbänder können durch äußere Magnetfelder beschädigt werden. In großen Archiven ist es üblich, Magnetbänder zur Vorbeugung regelmäßig auf neue Bänder zu kopieren, um die Daten zu erhalten. Selbst bei relativ langlebigen Datenträgern wie CD-ROM, DVD oder Blu-Ray Disc können die gespeicherten Daten durch klimatische Einflüsse (insbesondere Luftfeuchtigkeit, Wärme und helles Licht) verändert werden. Deshalb ist es notwendig, durch geeignete Maßnahmen zumindest die Veränderung zu erkennen. Geeignete Maßnahmen, die Sie treffen können, sind zum Beispiel:

      Vertraulichkeit

Die Diskussion über die Vertraulichkeit beginnen wir am einfachsten mit der Frage: »Ist es akzeptabel, wenn Dritte Ihre Daten sehen?«. Wenn Sie diese Frage mit »ja« beantworten, müssen Sie sich weiter keine Gedanken machen. Aber kaum jemand wird diese Frage mit »ja« beantworten. Wenn Sie die Daten Dritter verarbeiten, seien es nun personenbezogene oder technische Daten, kann die Antwort auch nicht leichtfertig »ja« sein, denn hier gibt es klare gesetzliche Vorgaben. Schützenswerte Daten müssen durch geeignete technische und/oder organisatorische Maßnahmen vor unberechtigter Kenntnisnahme geschützt werden. Natürlich können Sie Ihre Daten auf einen Datenträger kopieren und sie dann in einen Tresor einschließen. Aber darunter leidet die Benutzbarkeit der Daten ganz erheblich. Trotzdem kann der Tresor unter Umständen eine geeignete technische Maßnahme sein. Eine technisch sinnvollere Methode, wenn man mit den Daten regelmäßig arbeiten will, ist es, die Daten zu verschlüsseln. Situationen, in denen Sie Ihre Daten verschlüsseln sollten, sind:

Authentizität

      Ein weiteres Schutzziel, dass wir in den Regelungen gesehen haben, ist »Authentizität«. Der Begriff stammt aus dem Griechischen und Lateinischen und bedeutet soviel wie »Echtheit« oder »Verbürgtheit«. Im RFC 4949 wird der englische Begriff »authenticity« als »the property of being genuine and able to be verified and be trusted« definiert, also »die Eigenschaft, echt zu sein, überprüft werden zu können und vertrauenswürdig zu sein«. In der Informationssicherheit verwenden wir Authentizität überwiegend als »tatsächlich vom Urheber oder Autor stammend«. Wird eine Nachricht, ein Text oder ein Dokument mit einem Urheber oder Absender verknüpft, so können Sie die Authentizität als einen Teilaspekt der Integrität betrachten.

Verantwortlichkeit

Die Verantwortlichkeit (englisch Accountability) beschreibt, dass wir der Nutzerin oder auch dem Anbieter Handlungen belastbar zuschreiben können. Wahrscheinlich können Sie sich auch Situationen vorstellen, wo es für Sie erstrebenswert ist, dass Ihnen Ihre Handlungen nicht zugeordnet werden können (plausible deniability). Gerade Whistleblower oder Regimekritiker in undemokratischen Ländern setzen sich einem hohen Verfolgungsdruck aus, wenn ihnen jede Handlung gerichtsfest zugeordnet werden kann.

      Die Verantwortlichkeit oder auch Nichtabstreitbarkeit können wir als einen Teilaspekt des Schutzziels Integrität betrachten, wenn wir einer Handlung oder einer Information die Identität des Urhebers hinzufügen. Wird die Identität des Urhebers mit der Information so verknüpft, dass die Verknüpfung nicht mehr aufgelöst werden kann, so lässt sich die Urheberschaft nicht mehr abstreiten. Der Urheber muss die Verantwortung für die Information übernehmen. Technisch lässt sich dies durch eine digitale Signatur erreichen.

      Eine digitale Signatur ist ein technisches (genauer ein kryptografisches) Verfahren, das sicherstellt, dass ein Dokument nicht mehr verändert werden kann. Der Ersteller versiegelt das Dokument so, dass Veränderungen bemerkt werden. Eine elektronische Signatur dagegen ist ein rechtlicher Begriff aus der europäischen Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (eIDAS-Verordnung, ABl. L 257 vom 28.8.2014, S. 73). Eine elektronische Signatur

Скачать книгу