Übungsaufgaben zu Schutzzielen, Sicherheitsrisiken und Datenschutz

Je 1 Punkt, z. B.: Vertraulichkeit – „Könnte jemand, der es nicht darf, diese Informationen lesen, sehen oder mithören?“ Integrität – „Könnte jemand die Daten unbemerkt ändern, löschen oder verfälschen – oder rechnet das System falsch?“ Verfügbarkeit – „Können wir mit Daten und Geräten arbeiten, wenn wir sie brauchen?“

Je Regel 1 Punkt:

• Regel 1 ist falsch zugeordnet, richtig ist Integrität: Weil nur zwei Personen schreiben dürfen, kann niemand sonst den Plan versehentlich oder absichtlich verändern. Lesen können ihn weiterhin alle.

• Regel 2 ist richtig (Verfügbarkeit): Fällt ein Laptop aus, kann das Team sofort weiterarbeiten.

• Regel 3 ist falsch zugeordnet, richtig ist Vertraulichkeit: Die Folie verhindert, dass Wartende Namen und Angaben anderer Teilnehmender mitlesen; verändert wird dadurch nichts.

• Regel 4 ist richtig (Integrität): Jede nachträgliche Änderung an der signierten Tabelle fällt bei der Prüfung auf; zusätzlich ist nachweisbar, von wem sie stammt (Authentizität).

Je Situation 1 Punkt für das Risiko und 1 Punkt für eine passende Regel, z. B.:

1. Risiko: Unbefugte sehen oder ändern Daten am entsperrten Gerät oder nehmen den Laptop mit. Regel: Beim Aufstehen den Bildschirm immer sperren oder den Laptop mitnehmen; die automatische Sperre greift nach wenigen Minuten.

2. Risiko: Kostenlose Programme aus unbekannter Quelle können Schadsoftware enthalten oder Daten abgreifen. Regel: Installiert wird nur durch die Schul-IT bzw. aus dem freigegebenen Softwarekatalog; die Teamkonten haben keine Administratorrechte.

3. Risiko: Social Engineering – jemand gibt sich als Schul-IT aus, um an Zugangsdaten zu kommen. Regel: Passwörter werden nie weitergegeben, auch nicht an die IT; bei solchen Anfragen über die bekannte Telefonnummer der Schul-IT zurückrufen und den Vorfall melden.

4. Risiko: Anmeldelisten und gespeicherte Passwörter bleiben für die nächste Klasse lesbar. Regel: Vor der Rückgabe Daten auf den Schulserver übertragen; die Schul-IT löscht die Datenträger sicher, bevor sie die Geräte neu verleiht.

ca) Die Einstufung ist zu niedrig (1 Punkt). Die Liste enthält mehr als Namen: Der Barrierefreiheitsbedarf kann Gesundheitsangaben offenlegen (Art. 9 DSGVO), dazu kommen Daten Minderjähriger und E-Mail-Adressen für gezieltes Phishing (1 Punkt). Werden diese Angaben bekannt, sind die Betroffenen erheblich beeinträchtigt, und der Schule drohen Maßnahmen der Aufsichtsbehörde und Ansehensverlust – der Schutzbedarf ist mindestens hoch (1 Punkt).

cb) Einstufung mit Begründung (2 Punkte), z. B. sehr hoch: Am Morgen kommen in kurzer Zeit sehr viele Personen an; fällt das System aus, gibt es keine Namensschilder und keine Übersicht, wer im Haus ist, der Beginn verzögert sich, und im Notfall fehlt die Anwesenheitsliste. Vorkehrung (2 Punkte), z. B.: Am Vorabend werden eine Teilnehmerliste und alle Namensschilder ausgedruckt, und das Team übt den Check-in auf Papier. Dann ist ein Ausfall ärgerlich, aber beherrschbar – hoch wäre vertretbar.

da) Erklärung (1 Punkt): Härten heißt, die Angriffsfläche eines Systems zu verkleinern – alles, was für den Betrieb nicht nötig ist, wird entfernt oder abgeschaltet, und es werden sichere Voreinstellungen gesetzt.

Je Punkt 0,5 Punkte:

db) 1 Punkt, z. B.: Warnungen vor Sicherheitslücken und Schadsoftware (CERT-Bund); Erarbeitung von Standards wie dem IT-Grundschutz; Prüfung und Zertifizierung von IT-Produkten; Schutz der IT-Systeme des Bundes; Aufsicht über Betreiber kritischer Infrastrukturen; Beratung von Wirtschaft, Verwaltung und Bürger*innen.

ESD: Electrostatic Discharge, elektrostatische Entladung (1 Punkt). Maßnahmen (je 1 Punkt), z. B.: Erdungsarmband tragen, auf einer geerdeten ESD-Matte arbeiten, Bauteile in ESD-Schutzbeuteln lagern, sich vorher am geerdeten Metall entladen, ESD-Schuhe bzw. -Kleidung.

Je 0,5 Punkte: Zutritt: 2, 4; Zugang: 1, 5; Zugriff: 3, 6.

Je 1 Punkt: 1 Datenschutz (schützt Personen und ihre Rechte), 2 Datensicherung (Backup, eine Maßnahme der Datensicherheit), 3 Datensicherheit (schützt alle Daten unabhängig vom Personenbezug).

Die Aussage stimmt nur zum Teil (1 Punkt). Die Verschlüsselung schützt die Vertraulichkeit: Geht ein ausgeschaltetes oder gesperrtes Tablet verloren oder wird es gestohlen, sind Namen und Telefonnummern ohne PIN bzw. Schlüssel nicht lesbar (1 Punkt). Grenzen (je 1 Punkt, höchstens 2 Punkte):

• Im entsperrten Zustand sind die Daten für jede Person lesbar, die das Tablet in die Hand nimmt – die Verschlüsselung wirkt nur im Ruhezustand.

• Die Verschlüsselung verhindert nicht, dass Auftragsdaten versehentlich oder absichtlich geändert werden (Integrität); dafür braucht es Rechte und Protokollierung.

• Fällt das Tablet herunter oder ist die SSD defekt, sind nicht synchronisierte Daten trotzdem weg (Verfügbarkeit); dafür braucht es Synchronisation mit dem Server bzw. ein Backup.

Je 1 Punkt, z. B.: Verfügbarkeit – ein Tablet fällt herunter oder das WLAN der Werkstatt fällt aus, Aufträge können nicht abgerufen werden. Integrität – jemand ändert in einem fremden, nicht gesperrten Tablet versehentlich die verbauten Teile eines Auftrags. Vertraulichkeit – Kund*innen sehen auf einem offen liegenden, entsperrten Tablet die Daten anderer Kund*innen, oder ein entsperrtes Tablet wird gestohlen.

fa) Beim (Schnell-)Formatieren werden nur die Verwaltungsinformationen des Dateisystems neu angelegt; die eigentlichen Daten bleiben auf der Festplatte und lassen sich mit Wiederherstellungsprogrammen zurückholen (2 Punkte).

fb) Je 1 Punkt, z. B.: den gesamten Datenträger mit einem Löschprogramm vollständig überschreiben – ein Durchgang mit Zufallsdaten genügt (bei SSD: die in die Firmware eingebaute Löschfunktion Secure Erase bzw. Sanitize); Festplatte ausbauen, behalten bzw. durch einen zertifizierten Dienstleister nach DIN 66399 vernichten lassen und den Vernichtungsnachweis aufbewahren; war die Festplatte vollständig verschlüsselt, den Schlüssel sicher löschen.

Schutzziel (2 P): Clara geht es um die Integrität: Treffpunkt und Uhrzeit sollen korrekt bleiben, und unbefugte oder unbemerkte Änderungen müssen verhindert oder zumindest sichtbar werden. Um Vertraulichkeit geht es nicht – die Teilnehmenden sollen die Treffpunkte ja gerade sehen.

Warum die Maßnahme nicht hilft (1 P): Eine verschlüsselte Speicherung verhindert nur, dass jemand mit Zugriff auf Datenträger oder Datenbankdateien mitliest. Wer über die App eine Aktivität ändert – berechtigt, mit einem übernommenen Konto oder über einen Programmfehler –, wird davon nicht aufgehalten, und die Änderung fällt auch niemandem auf.

Maßnahmen (je 1 P), z. B.:

• Ort und Uhrzeit darf nur die organisierende Person ändern; der Server prüft das bei jeder Änderung.

• Jede Änderung wird mit Zeit und Konto protokolliert und allen Teilnehmenden sofort als Push-Nachricht angezeigt.

• Konten von Organisierenden werden mit einem zweiten Faktor geschützt.

Bewertung: je Zeile 1 P für die Zuordnung und 1 P für eine passende Begründung. Vertretbare Alternativen mit tragfähiger Begründung werden anerkannt, z. B. Zeile 3 Integrität (falsche Profildaten) oder Zeile 5 Integrität (wenn mit fehlender Nachvollziehbarkeit begründet, 1 P).

Bewertung: je Zeile 1 P für eine vertretbare Kategorie und 1 P für eine Begründung mit konkretem möglichem Schaden. Eine abweichende Kategorie ist richtig, wenn die Begründung sie trägt.

• Vertraulichkeit: Nach dem Maximumprinzip übernimmt der Server den höchsten Schutzbedarf der Daten, die auf ihm gespeichert sind. Weil die Live-Standorte dort liegen, hat der Datenbankserver für die Vertraulichkeit den Schutzbedarf sehr hoch (2 P).

• Verfügbarkeit: Die einzelnen Datenbestände haben für sich vielleicht nur normalen Schutzbedarf. Fällt der einzige Server aus, fallen aber alle Funktionen der App gleichzeitig aus – Anmeldung, Aktivitätenkalender, Chat und „Treffen teilen“ (gerade dann, wenn sich Menschen auf die Funktion verlassen). Durch diesen Kumulationseffekt steigt der Schutzbedarf des Servers für die Verfügbarkeit, mindestens auf hoch (2 P).

Je Entwurf 1 P für die Bewertung und 1 P für eine prüfbare Neufassung mit Schutzziel, z. B.:

1. Nicht prüfbar: „Sicher“ sagt nicht, was genau gefordert ist. Neufassung: „Standortdaten werden zwischen App, Server und Browser der Vertrauensperson ausschließlich über HTTPS mit TLS 1.2 oder höher übertragen; unverschlüsselte Anfragen werden abgewiesen.“ – Vertraulichkeit (und Integrität).

2. Beschreibt nur die Funktion, keine Sicherheitseigenschaft: Ein erratbarer oder unbefristeter Link würde Fremden den Standort zeigen. Neufassung: „Der Link enthält ein zufälliges Token mit mindestens 128 Bit, gilt nur für ein Treffen und wird mit ‚Gut angekommen‘, spätestens zwei Stunden nach dem geplanten Ende, ungültig.“ – Vertraulichkeit.

3. Widerspricht Datenminimierung und Speicherbegrenzung: Es entsteht ein Bewegungsprofil, das abfließen kann. Neufassung: „Gespeichert wird nur die letzte Position; sie wird nach Ende des Teilens automatisch gelöscht.“ – Vertraulichkeit (Datenschutz).

2 P für eine prüfbare Beschreibung, 1 P für das Schutzziel, z. B.: „Ort und Uhrzeit einer Aktivität kann nur die organisierende Person ändern; der Server prüft das bei jeder Änderung. Jede Änderung wird mit Zeit und Konto protokolliert und allen Teilnehmenden innerhalb einer Minute angezeigt.“ – Integrität (zusätzlich Verbindlichkeit durch die Protokollierung).

Je Grund 2 P, z. B.:

• Transparenz und Selbstbestimmung: Die Datenschutzerklärung informiert, welche Daten (Live-Standort, Name und Telefonnummer der Vertrauensperson) zu welchem Zweck, wie lange und auf welcher Rechtsgrundlage verarbeitet werden und welche Rechte die Nutzenden haben (Informationspflicht nach Art. 13 DSGVO). Nur so können Nutzende selbst entscheiden, ob sie die Funktion verwenden.

• Rechtmäßigkeit: Für die Kernfunktionen der App ist der Nutzungsvertrag die Rechtsgrundlage. Das Teilen des Live-Standorts ist dagegen eine freiwillige Zusatzfunktion mit sehr sensiblen Daten; dafür ist eine ausdrückliche, freiwillige und widerrufbare Einwilligung die passende Rechtsgrundlage. Ohne sie wäre die Verarbeitung unzulässig.

• Nachweis und Rechtssicherheit: Let’s Meet muss gegenüber der Aufsichtsbehörde nachweisen können, dass die Verarbeitung zulässig ist (Rechenschaftspflicht). Verstöße können Bußgelder, Schadensersatzforderungen und Abmahnungen nach sich ziehen.

• Vertrauen: Eine verständliche Information und eine echte Wahlmöglichkeit stärken das Vertrauen, das für eine App mit Treffen unter Fremden entscheidend ist.

Der Entwurf ist nicht geeignet; eine so eingeholte Einwilligung wäre unwirksam (1 P für eine begründete Position). Gründe (je 1 P, höchstens 4 P):

• Vorangekreuztes Kästchen: Eine Einwilligung erfordert eine eindeutige aktive Handlung. Ein bereits gesetztes Häkchen genügt nicht (Art. 4 Nr. 11 DSGVO, EuGH „Planet49“).

• Nicht freiwillig (Kopplungsverbot): Ohne Zustimmung lässt sich die App gar nicht nutzen, obwohl „Treffen teilen“ für die Kernfunktion nicht nötig ist (Art. 7 Abs. 4 DSGVO).

• Nicht bestimmt: „Allen Datenverarbeitungen“ ist zu pauschal; eine Einwilligung muss für einen bestimmten Zweck erteilt werden. Für verschiedene Zwecke braucht es getrennte Einwilligungen.

• Datenschutzerklärung wird nicht „zugestimmt“: Sie informiert nur. Für die Kernfunktion ist der Nutzungsvertrag die Rechtsgrundlage; eine Einwilligung ist dort nicht nötig.

• Falscher Zeitpunkt: Die Einwilligung zum Standort gehört dorthin, wo die Funktion zum ersten Mal genutzt wird, mit kurzer Erklärung und Hinweis auf den Widerruf.

Besser: beim ersten Tippen auf „Treffen teilen“ ein eigener Dialog mit leerem Kästchen oder Schaltflächen „Erlauben“/„Nicht erlauben“, kurzer Erklärung (welche Daten, wer sieht sie, wie lange), Link zur Datenschutzerklärung und Hinweis, dass die Einwilligung in den Einstellungen jederzeit widerrufen werden kann. Zusätzlich muss das Betriebssystem den Standortzugriff erlauben.

Ja (1 P). Nach Art. 8 DSGVO können Jugendliche bei Diensten der Informationsgesellschaft ab 16 Jahren selbst wirksam einwilligen; Deutschland hat diese Altersgrenze nicht abgesenkt. Noah ist 17, also ist keine Zustimmung der Eltern nötig (1 P). Die Einwilligung muss trotzdem verständlich formuliert sein; die übrigen Schutzvoreinstellungen für Minderjährige in der App bleiben bestehen.

Je Recht 1 P, z. B.: Recht auf Auskunft (Art. 15), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20), Widerspruchsrecht (Art. 21), Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3), Beschwerderecht bei der Aufsichtsbehörde (Art. 77).

Je Grundsatz 1 P für die Beschreibung und 1 P für eine passende Umsetzung, z. B.:

• Datenminimierung: Nur die Daten, die für den Zweck nötig sind. – Die Vertrauensperson braucht kein Konto; gespeichert wird nur eine Telefonnummer für die SMS. Übertragen wird nur die aktuelle Position, keine Bewegungshistorie.

• Speicherbegrenzung: Daten werden gelöscht, sobald der Zweck erfüllt ist. – Positionen und Telefonnummer der Vertrauensperson werden nach „Gut angekommen“ bzw. nach Ablauf der Frist automatisch gelöscht.

• Zweckbindung: Daten nur für den festgelegten Zweck. – Die Standortdaten werden nicht für Werbung, Matching oder Statistik genutzt.

• Transparenz: Die Person weiß, was passiert. – Während des Teilens ist ständig ein Hinweis sichtbar („Du teilst Deinen Standort mit …“).

• Datenschutzfreundliche Voreinstellungen (Art. 25): Die Funktion ist standardmäßig ausgeschaltet und muss für jedes Treffen neu gestartet werden.

• Integrität und Vertraulichkeit: Verschlüsselte Übertragung, nicht erratbare Links, kein Zugriff durch den Support.

Je Schwachstelle 1 P für den Mangel und 1 P für die beschriebene Folge (6 P), dazu 2 P für eine nachvollziehbare Begründung der Reihenfolge. Mögliche Schwachstellen:

• Veraltetes Betriebssystem ohne Sicherheitsupdates: Bekannte Sicherheitslücken des Dateiservers werden nicht mehr geschlossen; Schadsoftware oder Angreifende können sie ausnutzen und Rechnungen oder Schließanlagen-Unterlagen lesen, verändern oder verschlüsseln.

• Datensicherung am selben Ort, ungetestet: Brand, Wasserschaden im Keller, Diebstahl oder Ransomware treffen Original und Sicherung gleichzeitig; ob die Sicherung überhaupt wiederherstellbar ist, weiß niemand. Datenverlust gefährdet die Verfügbarkeit.

• Keine Netztrennung: Das WLAN für Kundschaft, die Kasse und der Dateiserver liegen im selben Netz. Ein infiziertes Gerät von Kundschaft oder ein Angreifer im WLAN erreicht direkt alle Systeme.

• Single Point of Failure beim Shop: Shop, Händlerportal und Datenbank auf einer einzigen VM ohne Redundanz – fällt sie aus oder wird sie überlastet, ist alles gleichzeitig offline (Verfügbarkeit, Umsatzverlust).

• Verwaltungszugang der VM aus dem Internet, nur mit Passwort: Angreifende können das Passwort durchprobieren oder per Phishing erbeuten und haben dann Shop, Portal und Datenbank vollständig in der Hand (Vertraulichkeit, Integrität, Verfügbarkeit).

• Gemeinsames Admin-Konto: Handlungen sind keiner Person zuzuordnen (Verbindlichkeit); das Passwort ist mehreren bekannt und wird kaum geändert.

• Abhängigkeit von einer Person und einem Anschluss: Ist Cem Sarıkaya krank oder fällt der DSL-Anschluss aus, kann niemand eingreifen bzw. die Werkstatt nicht auf Shopdaten zugreifen.

Beispiel für eine Reihenfolge: Datensicherung (ohne sie wird jeder Vorfall existenzbedrohend, Abhilfe ist günstig), Verwaltungszugang der VM (aus dem ganzen Internet angreifbar), Netztrennung. Andere Reihenfolgen sind richtig, wenn sie mit Eintrittswahrscheinlichkeit und Schadenshöhe begründet werden.

Nur Stichworte ohne Folge: höchstens 1 P je Schwachstelle.

Je Begriff 1 P für die Erklärung und 1 P für den Bezug zum Beispiel:

• Schwachstelle: ein Mangel, der ausgenutzt werden kann. – Die Sicherung steht im selben Raum wie der Server, ist dauerhaft angeschlossen und wurde nie getestet.

• Bedrohung (Gefährdung): ein Ereignis oder Umstand, der Schaden anrichten kann, wenn er auf eine Schwachstelle trifft. – Ein Wasserschaden im Lagerkeller, ein Brand oder eine Ransomware, die auch die angeschlossene USB-Festplatte verschlüsselt.

• Risiko: Kombination aus Eintrittswahrscheinlichkeit und Schadenshöhe. – Ransomware-Angriffe auf kleine Unternehmen sind nicht selten, ein Wasserschaden ist eher selten; der Schaden wäre aber jeweils sehr groß (Rechnungen, Konstruktionsdaten und Schließanlagen-Unterlagen gleichzeitig verloren). Das Risiko ist deshalb hoch.

Je Gedankenschritt 1 P:

• Die Händler lernen, dass Excel-Anhänge von CSB-Rad normal sind und dass man dafür Makros einschalten muss – die Warnung von Office wird zur lästigen Routine.

• Angreifende können genau diese E-Mail nachahmen: Der Absendername lässt sich fälschen, und eine Preisliste, die jeden Monat kommt, wird erwartet und kaum hinterfragt.

• Aktiviert ein Händler in einer gefälschten Datei die Makros, startet Schadsoftware (z. B. Ransomware) auf seinem Rechner. Die Schutzfunktion von Office ist durch die Gewohnheit ausgehebelt – das Risiko entsteht beim Händler, der Vertrauensschaden auch bei CSB-Rad.

Je Variante 1 P für einen Vorteil und 1 P für einen Nachteil, 1 P für eine begründete Empfehlung, z. B.:

Empfehlung z. B.: Variante B, weil sie das eigentliche Problem – die Gewöhnung an Anhänge mit aktiven Inhalten – beseitigt; Variante A eignet sich als Übergang, bis das Händlerportal in Betrieb ist.

Bewertung: je Fall 1 P für die Bezeichnung, 1 P für eine passende Maßnahme.

Bewertung: je Zeile 1 P bei richtiger Zuordnung mit stimmiger Begründung.

• Es liegt eine Verletzung des Schutzes personenbezogener Daten vor. CSB-Rad muss sie innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden (in NRW die LDI NRW), außer es besteht voraussichtlich kein Risiko für die Betroffenen (Art. 33) (1 P).

• Besteht ein hohes Risiko für die Betroffenen, müssen sie unverzüglich benachrichtigt werden (Art. 34). Ob das hier der Fall ist, wird bewertet (Name und Lieferadresse wurden fremden Personen angezeigt) (1 P).

• Die Panne wird intern dokumentiert (Ursache, betroffene Daten, Maßnahmen), der Fehler sofort behoben und die Ursache abgestellt, z. B. durch Tests der Zugriffsprüfung vor jedem Update (1 P).

Je Maßnahme 1,5 P für die Beschreibung, 0,5 P für das Schutzziel; fehlt eine organisatorische Maßnahme, höchstens 6 P. Beispiele:

• Datensicherung nach der 3-2-1-Regel (technisch): drei Kopien auf zwei verschiedenen Medien, davon eine außer Haus bzw. verschlüsselt in der Cloud und eine vom Netz getrennt (gegen Ransomware); Wiederherstellung vierteljährlich testen. – Verfügbarkeit.

• Dateiserver ersetzen oder aktualisieren (technisch): Betriebssystem mit Herstellerunterstützung, automatische Sicherheitsupdates, Aufstellung außerhalb des Kellers. – Vertraulichkeit, Integrität (geschlossene Lücken), Verfügbarkeit.

• Netze trennen (technisch): eigene VLANs für Kundschafts-WLAN (nur Internet, Client-Isolation), Kasse, Büro und Server, Regeln an der Firewall. – Vertraulichkeit, Integrität.

• Redundanz für den Shop (technisch): mindestens zwei Instanzen hinter einem Lastverteiler, Datenbank mit Replikation. – Verfügbarkeit.

• Verwaltungszugang absichern (technisch): Die Verwaltungsoberfläche der VM ist nur noch über VPN erreichbar und verlangt einen zweiten Faktor. – Vertraulichkeit, Integrität.

• Persönliche Konten statt admin (technisch/organisatorisch): jede Person erhält ein eigenes Konto mit nur den nötigen Rechten, Verwaltungszugänge mit zweitem Faktor, Protokollierung. – Verbindlichkeit, Vertraulichkeit.

• Vertretungsregelung und Notfallplan (organisatorisch): eine zweite Person wird eingearbeitet, Abläufe sind dokumentiert, Notfallkontakte und Wiederanlaufreihenfolge liegen aus. – Verfügbarkeit.

• Schulung (organisatorisch): regelmäßige Sensibilisierung zu Phishing, Social Engineering und Makros. – Vertraulichkeit, Integrität.

• Das Kompendium enthält Bausteine für typische Objekte (z. B. Server, Clients, Webanwendungen, Netze, Datensicherungskonzept, Sensibilisierung und Schulung); CSB-Rad wählt die Bausteine aus, die zu seinen Systemen passen (1 P).

• Jeder Baustein beschreibt die Gefährdungslage und konkrete Anforderungen in Stufen: Basis-Anforderungen (zuerst umsetzen), Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf. So entsteht eine Prüfliste mit Prioritäten (1 P).

• Mit der Schutzbedarfsfeststellung (BSI-Standard 200-2) legt CSB-Rad fest, wo erhöhter Schutz nötig ist (z. B. Vertraulichkeit der Schließanlagen-Unterlagen) und wo die Standard-Anforderungen reichen. Für kleine Unternehmen gibt es Einstiegshilfen wie die Basis-Absicherung (1 P).

Je Möglichkeit 2 P:

• Risiko übertragen: Den finanziellen Schaden auf andere verlagern, z. B. durch eine Betriebsunterbrechungs- bzw. Cyberversicherung oder durch einen Vertrag mit zugesicherter Verfügbarkeit und Vertragsstrafe (Service Level Agreement).

• Risiko akzeptieren: Die Geschäftsführung entscheidet bewusst und schriftlich, ein seltenes Restrisiko zu tragen, weil weitere Maßnahmen (z. B. ein zweiter Cloudanbieter) mehr kosten würden als der zu erwartende Schaden; für den Ernstfall gibt es einen Notfallplan (z. B. Bestellannahme per Telefon).

• Risiko vermeiden: Die riskante Tätigkeit aufgeben, z. B. keine zeitkritischen Aktionen mehr nur online anbieten. Hier wenig sinnvoll, als Nennung mit Begründung aber richtig.

• Befund 1 – fehlerhafte Zugriffskontrolle (Broken Access Control, Platz 1 der OWASP Top 10): Das Portal prüft nur, ob jemand angemeldet ist, aber nicht, ob die angeforderte Bestellung zu diesem Händler gehört. Durch einfaches Hochzählen der Nummer lassen sich Konditionen und Ansprechpersonen anderer Händler lesen (Vertraulichkeit, Datenschutz) (1,5 P). Gegenmaßnahme: Bei jedem Zugriff serverseitig prüfen, ob die Bestellung zum angemeldeten Händlerkonto gehört, sonst Antwort 403 bzw. 404; dazu automatisierte Tests für diese Prüfung (1,5 P). Nicht erratbare IDs allein reichen nicht.

• Befund 2 – sicherheitsrelevante Fehlkonfiguration (Security Misconfiguration): Der Stacktrace verrät Angreifenden den inneren Aufbau und die genauen Versionen der Software; damit können sie gezielt nach bekannten Lücken dieser Versionen suchen (1,5 P). Gegenmaßnahme: Im Betrieb nur eine allgemeine Fehlerseite mit Fehlernummer anzeigen, Details ausschließlich ins geschützte Protokoll schreiben; Konfiguration härten und Bibliotheken aktuell halten (1,5 P).

Je Zeile 0,5 Punkte für die Kontrollart, 0,5 Punkte für eine passende Sicherung und 1 Punkt für die Folge, z. B.:

ba) Je Situation 2 Punkte (Modell 1, Begründung 1):

1. DAC: Die Lehrkraft ist Eigentümerin der Datei und entscheidet selbst, wem sie sie freigibt – genau das ist die Idee der benutzerbestimmbaren Zugriffskontrolle.

2. MAC: Das System setzt eine feste Regel nach Freigabestufen durch; auch wer die Datei erzeugt hat, kann sie nicht für andere öffnen. (RBAC: 1 Punkt.)

bb) 1 Punkt: Jede Person kann Rechte nach eigenem Ermessen weitergeben; zu großzügige oder versehentliche Freigaben lassen sich zentral kaum verhindern oder überblicken.

ca) Je Stufe 1 Punkt: Die allgemein anerkannten Regeln der Technik sind lange bewährt und unstrittig, können aber veraltet sein. Der Stand der Technik umfasst fortschrittliche, am Markt erhältliche Verfahren mit gesicherter Eignung, die das Schutzziel nach Auffassung von Fachleuten zuverlässig erreichen; er verschiebt sich mit der Zeit. Der Stand von Wissenschaft und Forschung ist das Neueste aus der Forschung, oft noch nicht erprobt oder nicht zu kaufen.

cb) Je Anforderung 1 Punkt für eine prüfbare Formulierung und 1 Punkt für die Begründung, z. B.:

• „Der Hersteller sagt noch mindestens zwei Jahre Sicherheitsupdates zu.“ – Sonst bleiben bekannt gewordene Lücken dauerhaft offen.

• „Die Verwaltung ist nur über verschlüsselte Verfahren (HTTPS mit aktuellem TLS, SSH) möglich; unverschlüsselte Zugänge lassen sich abschalten.“ – Sonst können Zugangsdaten im Schulnetz mitgelesen werden.

• „Bei der Einrichtung muss ein eigenes Passwort gesetzt werden; es gibt keine festen Standard- oder Wartungskonten.“ – Werkseitige Zugangsdaten stehen in Handbüchern und Foren.

• „Der Player startet nur signierte Software (Secure Boot).“ – Schützt gegen manipulierte Firmware.

Je 1 Punkt, z. B.:

• Position: Die Aussage stimmt nur teilweise – ein Teil der Risiken verlagert sich, die Verantwortung verschwindet nicht.

• Risiko wird kleiner: Stromausfall, Hitze, Brand oder ein Hardwaredefekt im Serverraum der Schule; ein Rechenzentrum hat USV, Klimatisierung, Brandschutz und redundante Hardware.

• Risiko kommt hinzu oder bleibt: Daten Minderjähriger liegen bei einem Dritten, womöglich außerhalb der EU; ohne Internetverbindung zeigen die Monitore nichts an.

• Gegenmaßnahme dazu: Anbieter mit Rechenzentrum in der EU und Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO); zweite Internetanbindung bzw. Anzeige der zuletzt geladenen Daten.

• Verantwortung der Schule: Die Schule bleibt Verantwortliche nach DSGVO und kümmert sich – je nach Modell – um Konten, Rechte, Konfiguration, Updates der eigenen Anwendung und die Datensicherung (geteilte Verantwortung).

ea) Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Resilienz) – je 0,5 Punkte.

eb) Je 2 Punkte (Zusage 1, Schutzziel 1), z. B.:

• Personenbezogene Daten werden bei der Speicherung und bei der Übertragung verschlüsselt und wo möglich pseudonymisiert → Vertraulichkeit.

• Nach einem Zwischenfall werden Verfügbarkeit und Zugang zu den Daten innerhalb von vier Stunden wiederhergestellt → Verfügbarkeit.

Die dritte Zusage – jährliche Prüfung aller Maßnahmen durch eine unabhängige Stelle – betrifft alle Schutzziele und lässt sich keinem einzelnen zuordnen. Die Zusagen orientieren sich an Art. 32 DSGVO.

fa) Begründung (1 Punkt): Große, regelmäßige Datenmengen zur Nachtzeit an ein unbekanntes Ziel passen zu keinem dokumentierten Dienst; das ist ein typisches Muster, wenn jemand nach einem Einbruch Daten automatisiert abzieht. Sofortschritte (je 1 Punkt), z. B.: Verbindungen zu diesem Ziel an der Firewall sperren bzw. den Server vom Netz trennen; Protokolle und Systemzustand sichern, ohne sie zu verändern; die Datenschutzbeauftragte Andrea Wolf informieren, weil bei personenbezogenen Daten die 72-Stunden-Frist für eine Meldung laufen kann.

fb) Je 1 Punkt, z. B.: ausgehenden Verkehr nur zu freigegebenen Zielen und Ports erlauben (egress filtering); automatischer Alarm bei ungewöhnlichen Datenmengen oder unbekannten Zielen; Software zur Data Loss Prevention.

ga) Je 1 Punkt: 1 Datenintegrität – die angezeigten Daten sind falsch, der Player selbst arbeitet korrekt. 2 Systemintegrität – das System ist durch fremde Software manipuliert. 3 Systemintegrität – eine unbefugt geänderte Konfiguration lässt den Player etwas anderes tun als vorgesehen; die Daten der App sind unverändert. Die Systemintegrität schützen z. B. Härtung, signierte Updates, gesperrte USB-Anschlüsse und verschlossene Gehäuse.

gb) Fällt ein Monitor aus, können alle Angebote weiterhin in der App gesehen und gebucht werden; der Schaden ist gering. Fällt die App aus, kommen keine Fahrgemeinschaften zustande. Für die Monitore genügen daher einfache Maßnahmen (z. B. Ersatzgerät im Lager), während für die App mehr Aufwand für Verfügbarkeit gerechtfertigt ist (Backup, Überwachung, ggf. redundanter Betrieb) (2 Punkte).