17. Datenschutz- und Informationsfreiheitsbericht

Technik
durch Verlust von Vertraulichkeit, Integrität und Verfügbarkeit entstehenden
Folgeschäden betrachtet. Die Anwendungen werden dementsprechend in
verschiedene Schutzstufen eingeteilt.
Das Modell des Grundschutzhandbuchs nimmt eine Gliederung der
technischen und organisatorischen Komponenten in eine vorgegebene
Anzahl so genannter Bausteine vor. Zu jedem dieser Bausteine wie Netz,
Server, IT-Räume und organisatorische Bereiche sind die spezifischen
Gefährdungen aufgelistet und die entsprechenden Abwehr- oder
Präventivmaßnahmen beschrieben. Werden alle für die eingesetzten IT-
Systeme relevanten Bausteine ausgewählt, ist das Ergebnis eine Check-Liste
für die Umsetzung der konkreten Sicherheitsmaßnahmen. Die weitere
Modellierung besteht dann im Wesentlichen darin, einen Soll-Ist-Abgleich
der Maßnahmen vorzunehmen. Ergänzend können bei einem hohen
Schutzbedarf weitere Maßnahmen notwendig sein. Auch die in § 10 DSG
NRW postulierten Schutzziele Authentizität und Revisionssicherheit sind
ergänzend zu prüfen.
Da von den zu treffenden Maßnahmen im Normalfall alle Bereiche einer
datenverarbeitenden Stelle betroffen sind, sollte ein Sicherheitsmanagement
von der Behörden- oder Geschäftsleitung initiiert werden. In diesem
Zusammenhang ist auf den „Leitfaden IT-Sicherheit“ des BSI
hinzuweisen. Er gibt auf wenigen Seiten sowohl einen inhaltlichen
Überblick, als auch plastische Beschreibungen von sonst eher abstrakten
Bedrohungsszenarien. Ein weiterer Fokus liegt auf Maßnahmen, die im
organisatorischen Bereich angesiedelt sind. Dieses lediglich 40 Seiten starke
Dokument steht kostenfrei zum Download zur Verfügung.
Zusammenfassend bleibt zu sagen, dass auch mit „Rezept“ und
Unterstützung durch Tools und Check-Listen die Sicherheitspolitik und
deren Umsetzung ein komplexes Unterfangen ist. Die explosionsartige
Entwicklung der schadensstiftenden Inhalte jeder Form über Internet und E-
Mail und die dadurch aufgedeckten Sicherheitslücken in der technischen
Infrastruktur belegen aber, dass die Erstellung neben der gesetzlichen
Verpflichtung auch im Sinne der Aufrechterhaltung eines ordnungsgemäßen
Betriebs unbedingt notwendig ist.
2.6 Datensicherheit in mittelständischen Unternehmen
Eine Überprüfung der technischen und organisatorischen Maßnahmen
zur Datensicherheit in mittelständischen Unternehmen führte zu recht
LDI NRW 17. Datenschutzbericht 2005 21