Seite 5.3 Informationstechnische Schutzziele bei der Kommunikation Prüfungsziel Du sollst erklären können, welche informationstechnischen Schutzziele bei digitaler Kommunikation wichtig sind und wie man sie im privaten und betrieblichen Bereich beachtet. Für die Prüfung sind hier vor allem wichtig: informationstechnische Schutzziele bei der Kommunikation Sicherheitsbewusstsein bei der Nutzung von IT-Technik IT-Sicherheit im privaten und betrieblichen Bereich Erfahrungen in virtuellen Räumen reflektieren Gefahren bei Social Media kennen Zuständigkeitsabgrenzung bei Kommunikation und Information sicherer Umgang mit dienstlichen E-Mails kurzer, zielführender, höflicher und korrekter Informationsaustausch Netiquette Nachrichten aus Sicht der Empfänger betrachten sensibler Umgang mit Adressatenlisten mögliche juristische Konsequenzen von Äußerungen über den Arbeitgeber Social Engineering erkennen und Schäden vermeiden Was sind informationstechnische Schutzziele? Informationstechnische Schutzziele beschreiben, was bei Informationen und IT-Systemen geschützt werden soll. Die wichtigsten Schutzziele sind: Schutzziel Bedeutung Vertraulichkeit Informationen dürfen nur berechtigte Personen sehen Integrität Informationen dürfen nicht unbemerkt verändert werden Verfügbarkeit Informationen und Systeme müssen bei Bedarf nutzbar sein Authentizität Absender, Nutzer oder Systeme müssen echt und überprüfbar sein Nachvollziehbarkeit Vorgänge sollen später nachvollzogen werden können Vertraulichkeit Vertraulichkeit bedeutet, dass Informationen nur für berechtigte Personen zugänglich sind. Beispiele: Kundendaten nicht an falsche Empfänger senden Passwörter nicht per Klartext verschicken interne Dokumente nicht öffentlich teilen E-Mails nur an berechtigte Personen senden Screenshots vor Weitergabe prüfen Cloud-Freigaben begrenzen Beispiel aus der IT: Ein Screenshot aus einem Ticketsystem enthält Kundendaten. Vor dem Versenden müssen sensible Daten geschwärzt oder entfernt werden. Integrität Integrität bedeutet, dass Informationen vollständig und unverändert bleiben. Beispiele: Dokumente dürfen nicht unbemerkt verändert werden Konfigurationsdateien müssen korrekt bleiben Logdateien dürfen nicht manipuliert werden Anhänge dürfen nicht durch Schadsoftware verändert werden Arbeitsanweisungen müssen aktuell und richtig sein Beispiel aus der IT: Eine Konfigurationsdatei wird per E-Mail verschickt. Wenn sie unterwegs verändert wird, kann ein System falsch eingerichtet werden. Verfügbarkeit Verfügbarkeit bedeutet, dass Informationen, Systeme und Kommunikationsmittel bei Bedarf nutzbar sind. Beispiele: E-Mail-System funktioniert Ticketsystem ist erreichbar VPN-Zugang steht bereit interne Wiki-Seiten sind verfügbar Telefonie und Chat funktionieren wichtige Dokumente sind nicht nur lokal auf einem Gerät gespeichert Beispiel aus der IT: Wenn das Ticketsystem ausfällt, können Störungen schlechter bearbeitet werden. Deshalb sind Backups, Monitoring und Notfallpläne wichtig. Authentizität Authentizität bedeutet, dass eine Person, Nachricht oder ein System echt ist. Beispiele: Absender einer E-Mail prüfen verdächtige Links nicht anklicken Identität am Telefon prüfen digitale Signaturen nutzen Zertifikate prüfen keine Zugangsdaten an unbekannte Personen herausgeben Beispiel: Eine E-Mail sieht aus, als käme sie vom Geschäftsführer und fordert eine schnelle Überweisung. Vor dem Handeln muss geprüft werden, ob die Nachricht wirklich echt ist. Nachvollziehbarkeit Nachvollziehbarkeit bedeutet, dass Handlungen später geprüft oder verstanden werden können. Beispiele: Tickets sauber dokumentieren Änderungen an Systemen protokollieren Entscheidungen schriftlich festhalten E-Mail-Verläufe geordnet ablegen Berechtigungsänderungen dokumentieren wichtige Anweisungen nicht nur mündlich geben Beispiel aus dem Support: Wenn ein Ticket ohne Dokumentation geschlossen wird, kann später niemand nachvollziehen, was gemacht wurde. Sicherheitsbewusstsein bei IT-Nutzung Sicherheitsbewusstsein bedeutet, mögliche Gefahren zu erkennen und vorsichtig mit IT-Systemen und Informationen umzugehen. Einfach gesagt: Man denkt mit, bevor man klickt, sendet, speichert oder teilt. Wichtig im Betrieb: keine unbekannten Anhänge öffnen Links prüfen starke Passwörter nutzen MFA verwenden, wenn vorgesehen Geräte sperren, wenn man den Arbeitsplatz verlässt keine vertraulichen Daten offen liegen lassen verdächtige Vorfälle melden private und dienstliche Nutzung trennen Sicherheitsrichtlinien beachten IT-Sicherheit im privaten und betrieblichen Bereich IT-Sicherheit betrifft nicht nur den Arbeitsplatz. Auch privates Verhalten kann den Betrieb beeinflussen. Beispiele: dienstliche E-Mails auf privaten Geräten private Cloudspeicher für Firmendaten schwache Passwörter gleiche Passwörter privat und dienstlich Social-Media-Beiträge über den Arbeitgeber Phishing über private Messenger unsichere WLAN-Netze Wichtig: Dienstliche Daten gehören nicht unkontrolliert in private Systeme. Virtuelle Räume Virtuelle Räume sind digitale Umgebungen, in denen Menschen zusammenarbeiten oder kommunizieren. Beispiele: Videokonferenz Chat Online-Meeting Cloud-Dokument Ticketsystem Lernplattform Social-Media-Gruppe Forum Online-Projektboard Erfahrungen in virtuellen Räumen reflektieren Reflektieren bedeutet, das eigene Verhalten zu überdenken. Fragen zur Reflexion: War meine Nachricht klar? War der Ton angemessen? Habe ich die richtigen Empfänger gewählt? Habe ich vertrauliche Inhalte geschützt? Habe ich andere ausreden lassen? Habe ich unnötige Informationen geteilt? Habe ich Missverständnisse verursacht? War der Kommunikationskanal passend? Social Media und IT-Sicherheit Social Media kann private und betriebliche Risiken verursachen. Risiken: Informationen über Arbeitgeber werden öffentlich Angreifer sammeln Informationen über Mitarbeiter Phishing über soziale Netzwerke gefälschte Profile Rufschädigung Preisgabe interner Projekte Veröffentlichung vertraulicher Informationen unbedachte Kommentare Verletzung von Persönlichkeitsrechten Beispiel: Social-Media-Risiko Ein Mitarbeiter postet: „Heute wieder Chaos im Serverraum. Kunde XY ist seit Stunden offline.“ Problem: Kundenname wird öffentlich interner Vorfall wird bekannt Imageschaden möglich Vertraulichkeit verletzt arbeitsrechtliche Folgen möglich Zuständigkeitsabgrenzung bei Kommunikation und Information Zuständigkeitsabgrenzung bedeutet, dass klar ist, wer welche Informationen geben darf und wer wofür verantwortlich ist. Warum ist das wichtig? Nicht jeder darf jede Auskunft geben. Beispiele: Situation Zuständig Presseanfrage Geschäftsführung oder Pressestelle Datenschutzvorfall Datenschutzbeauftragter / zuständige Stelle IT-Sicherheitsvorfall IT-Sicherheitsverantwortliche Kundenbeschwerde zuständiger Kundenbetreuer Vertragsfrage Vertrieb oder Rechtsabteilung Personalfrage Personalabteilung technische Störung IT-Support oder Fachteam Beispiel für falsche Zuständigkeitsabgrenzung Ein Azubi antwortet einem Kunden eigenständig auf eine rechtliche Frage zum Datenschutz. Problem: Der Azubi ist dafür wahrscheinlich nicht zuständig. Richtiges Verhalten: Anfrage aufnehmen keine verbindliche Aussage machen an zuständige Stelle weiterleiten Rückmeldung dokumentieren Sicherer Umgang mit dienstlichen E-Mails Dienstliche E-Mails müssen sorgfältig, höflich und sicher geschrieben werden. Wichtige Regeln: klare Betreffzeile höfliche Anrede kurze und verständliche Formulierung sachlicher Ton richtige Empfänger auswählen CC und BCC bewusst nutzen Anhänge prüfen vertrauliche Inhalte schützen keine Passwörter im Klartext senden vor dem Senden nochmal prüfen keine unbestätigten Informationen verbreiten Kurzer, zielführender, höflicher und korrekter Informationsaustausch Eine gute dienstliche E-Mail ist: Eigenschaft Bedeutung kurz keine unnötigen Informationen zielführend Empfänger erkennt, was zu tun ist höflich respektvoller Ton korrekt sachlich richtig und sprachlich angemessen vollständig wichtige Informationen fehlen nicht sicher keine unnötigen vertraulichen Daten Beispiel für schlechte E-Mail Betreff: Problem Hi, geht nicht. Bitte schnell machen. Gruß Problem: unklarer Betreff keine genaue Fehlerbeschreibung kein System genannt keine Dringlichkeit begründet nicht zielführend Beispiel für bessere E-Mail Betreff: VPN-Zugang für Benutzer Müller funktioniert seit 09:30 Uhr nicht Hallo Support-Team, der Benutzer Max Müller kann sich seit ca. 09:30 Uhr nicht mehr per VPN verbinden. Fehlermeldung: „Authentifizierung fehlgeschlagen“. Ein Neustart des Clients wurde bereits versucht. Bitte prüft den Zugang. Viele Grüße Warum besser? klarer Betreff konkrete Beschreibung Zeitpunkt genannt Fehlermeldung genannt bisherige Schritte genannt höflich und sachlich Netiquette Netiquette bedeutet höfliche und angemessene Umgangsformen in digitaler Kommunikation. Wichtige Netiquette-Regeln: höflich bleiben sachlich schreiben keine Beleidigungen keine komplett großgeschriebenen Nachrichten Ironie vorsichtig einsetzen andere ausreden lassen keine unnötigen Nachrichtenfluten passende Kanäle nutzen keine vertraulichen Inhalte in öffentliche Kanäle vor dem Senden nachdenken Nachrichten aus Sicht der Empfänger betrachten Bevor eine Nachricht gesendet wird, sollte man überlegen, wie sie beim Empfänger ankommt. Fragen: Ist die Nachricht verständlich? Ist der Ton respektvoll? Weiß der Empfänger, was zu tun ist? Fehlen wichtige Informationen? Sind zu viele Informationen enthalten? Könnte die Nachricht falsch verstanden werden? Darf der Empfänger diese Informationen sehen? Sensibler Umgang mit Adressatenlisten Adressatenlisten müssen sorgfältig verwendet werden. Begriffe: Feld Bedeutung An direkte Empfänger CC Personen erhalten die Nachricht zur Kenntnis BCC Empfänger sind für andere nicht sichtbar Risiken bei Adressatenlisten Fehler Risiko falscher Empfänger vertrauliche Informationen gelangen an falsche Person zu viele Personen in CC unnötige Informationsweitergabe offene Verteilerliste E-Mail-Adressen werden sichtbar kein BCC bei großen Gruppen Datenschutzproblem möglich „Allen antworten“ unüberlegt Informationen werden unnötig verbreitet Beispiel: Adressatenfehler Eine E-Mail mit Kundendaten wird versehentlich an einen externen Empfänger mit ähnlichem Namen gesendet. Mögliche Folgen: Datenschutzvorfall Meldepflicht möglich Vertrauensverlust interne Nacharbeit Schulungsbedarf Richtiges Verhalten: Empfänger vor dem Senden prüfen Autovervollständigung kontrollieren bei sensiblen Daten besondere Vorsicht Fehler sofort melden Äußerungen über den Arbeitgeber in sozialen Netzwerken Äußerungen über den Arbeitgeber können Konsequenzen haben. Problematisch sind zum Beispiel: Beleidigungen Veröffentlichung interner Informationen Kundendaten Geschäftsgeheimnisse Fotos aus gesicherten Bereichen falsche Behauptungen Rufschädigung vertrauliche Projektinformationen Wichtig: Auch private Beiträge können arbeitsrechtliche oder juristische Folgen haben, wenn sie den Arbeitgeber, Kunden oder Kollegen betreffen. Beispiel für problematischen Beitrag Unser Chef hat keine Ahnung. Außerdem ist Kunde XY wegen unserer schlechten IT gerade komplett lahmgelegt. Problem: beleidigende Aussage Kundendaten oder Kundenbezug interne Störung öffentlich gemacht Rufschädigung mögliche arbeitsrechtliche Folgen Social Engineering Social Engineering bedeutet, dass Angreifer Menschen manipulieren, um an Informationen, Zugänge oder Handlungen zu kommen. Einfach gesagt: Nicht die Technik wird zuerst angegriffen, sondern der Mensch. Typische Social-Engineering-Methoden Methode Erklärung Phishing gefälschte E-Mail oder Website Spear-Phishing gezieltes Phishing gegen bestimmte Personen Vishing Betrug per Telefon Smishing Betrug per SMS oder Messenger Pretexting Angreifer gibt falsche Identität oder Geschichte vor Tailgating Angreifer folgt unberechtigt durch eine Tür CEO-Fraud angebliche Anweisung der Geschäftsführung USB-Drop präparierter USB-Stick wird absichtlich platziert Beispiel: Social Engineering per Telefon Eine Person ruft im Unternehmen an und sagt: „Ich bin vom IT-Support. Wir müssen Ihr Konto prüfen. Bitte nennen Sie mir Ihr Passwort.“ Richtiges Verhalten: Passwort niemals nennen Identität prüfen Gespräch beenden, wenn verdächtig Vorfall melden zuständige IT-Sicherheitsstelle informieren Warnzeichen für Social Engineering ungewöhnlicher Zeitdruck Drohungen oder Druck Bitte um Passwort oder Zugangscode ungewöhnliche Zahlungsaufforderung unbekannter Absender gefälschte E-Mail-Adresse unerwarteter Anhang verdächtiger Link Bitte um Umgehung von Regeln Geheimhaltung wird verlangt Schäden durch Social Engineering vermeiden Wichtige Maßnahmen: Sicherheitsbewusstsein entwickeln Passwörter nie weitergeben Identität von Anfragenden prüfen verdächtige E-Mails melden Links prüfen Anhänge nur bei vertrauenswürdiger Quelle öffnen keine fremden USB-Sticks verwenden Besucherregeln beachten keine Türen für Unberechtigte öffnen klare Meldewege nutzen Schulungen ernst nehmen Bezug zur Prüfung In der Prüfung können Situationen beschrieben werden, bei denen du entscheiden sollst, welches Verhalten sicher und korrekt ist. Typische Aufgaben: Schutzziele zuordnen Vertraulichkeit bei E-Mails erkennen Fehler bei Adressatenlisten bewerten Social Engineering erkennen sichere E-Mail-Kommunikation auswählen Netiquette-Regeln anwenden Social-Media-Äußerungen beurteilen Zuständigkeiten richtig einordnen Typische Prüfungsfrage 1 Nenne drei informationstechnische Schutzziele. Antwort anzeigen Drei wichtige Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit. Typische Prüfungsfrage 2 Was bedeutet Vertraulichkeit? Antwort anzeigen Vertraulichkeit bedeutet, dass Informationen nur für berechtigte Personen zugänglich sind. Typische Prüfungsfrage 3 Was bedeutet Integrität? Antwort anzeigen Integrität bedeutet, dass Informationen vollständig und unverändert bleiben und nicht unbemerkt manipuliert werden. Typische Prüfungsfrage 4 Was bedeutet Verfügbarkeit? Antwort anzeigen Verfügbarkeit bedeutet, dass Informationen, Systeme und Dienste bei Bedarf nutzbar sind. Typische Prüfungsfrage 5 Warum ist Authentizität bei Kommunikation wichtig? Antwort anzeigen Weil geprüft werden muss, ob Absender, Nachricht oder System echt sind. Dadurch können gefälschte Nachrichten und Betrugsversuche erkannt werden. Typische Prüfungsfrage 6 Was bedeutet Netiquette? Antwort anzeigen Netiquette bedeutet höfliche und angemessene Umgangsformen in digitaler Kommunikation. Typische Prüfungsfrage 7 Warum muss man Adressatenlisten sorgfältig prüfen? Antwort anzeigen Weil vertrauliche oder personenbezogene Informationen sonst an falsche oder zu viele Personen gelangen können. Typische Prüfungsfrage 8 Warum können Äußerungen über den Arbeitgeber in sozialen Netzwerken problematisch sein? Antwort anzeigen Weil sie interne Informationen, Kundendaten, Geschäftsgeheimnisse oder beleidigende Aussagen enthalten können. Das kann arbeitsrechtliche oder juristische Folgen haben. Typische Prüfungsfrage 9 Was ist Social Engineering? Antwort anzeigen Social Engineering ist eine Angriffsmethode, bei der Menschen manipuliert werden, um Informationen, Zugangsdaten oder bestimmte Handlungen zu erhalten. Typische Prüfungsfrage 10 Nenne drei Warnzeichen für Social Engineering. Antwort anzeigen Warnzeichen sind zum Beispiel ungewöhnlicher Zeitdruck, Bitte um Passwörter, verdächtige Links, unbekannte Absender, Drohungen oder die Aufforderung, Regeln zu umgehen. Merksatz Vertraulichkeit = nur Berechtigte dürfen Informationen sehen Integrität = Informationen bleiben korrekt und unverändert Verfügbarkeit = Systeme und Informationen sind nutzbar Authentizität = Echtheit von Absendern, Nutzern und Systemen Netiquette = höfliche digitale Umgangsformen E-Mails müssen kurz, zielführend, höflich, korrekt und sicher sein Adressatenlisten immer sorgfältig prüfen Social Media kann arbeitsrechtliche und juristische Folgen haben Social Engineering greift den Menschen an, nicht nur die Technik Passwörter niemals weitergeben