Mitteilung mit Anlage(n) (PDF 705 KB ) - Berliner ...

2.2
teter Risikoanalysen als Voraussetzung dafür, dass die technischen und organisatorischen
Maßnahmen auf die Reduzierung der vorhandenen nicht tragbaren
Risiken gerichtet werden und somit ein Sicherheitskonzept bilden.
Aus diesem Grunde wird auch in § 5 Abs. 3 BlnDSG die Durchführung
einer Risikoanalyse und die Erarbeitung eines Sicherheitskonzepts verlangt.
Die Sicherheitsrichtlinie wird derzeit im Rahmen der neuen Regelungen zur
IT-Steuerung zu IT-Sicherheitsgrundsätzen fortgeschrieben. Die wesentlichen
Inhalte bleiben aber unangetastet.
Es bleibt auch dabei, dass jährlich bis zum März des laufenden Jahres ein
IT-Sicherheitsbericht erstellt wird. Allerdings wird bei der zuständigen
Senatsverwaltung darüber nachgedacht, die Informationsbasis für diese
Berichte vertrauenswürdiger zu gestalten. Bisher basierten diese Berichte
vorwiegend auf Umfragen bei den Berliner Behörden. Die dabei entstandenen
Ergebnisse hatten mit unseren Kontrollerfahrungen nicht viel zu tun.
Der letzte Bericht, der sich mit dem Jahr 2003 befasst, fußt auf dem Rücklauf
von 53 Behörden. Die Frage nach der Existenz und dem Umsetzungsgrad
von behördlichen und verfahrensspezifischen Sicherheitskonzepten
haben 42 davon beantwortet. Ein knappes Drittel (13) davon bejahte die
Existenz eines schriftlich festgelegten behördlichen Sicherheitskonzepts, gut
die Hälfte (22) bekundete, dass für Teilbereiche ein solches Sicherheitskonzept
vorläge, die übrigen 7 gaben zu, dass schriftliche Sicherheitskonzepte
fehlten. Diese sieben Behörden waren offenbar zum Teil der Meinung, dass
es mündliche Sicherheitskonzepte geben könnte, denn immerhin haben nur
zwei von den 42 Behörden angegeben, dass bei ihnen das Sicherheitskonzept
zumindest in einzelnen Maßnahmen umgesetzt worden sei. Zu den verfahrensspezifischen
Sicherheitskonzepten macht der Bericht keine quantitativen
Aussagen. Für beide Arten von Sicherheitskonzepten wurden qualitative
Aspekte (Aktualität, Vollständigkeit, Existenz einer Risikoanalyse, Zeitrahmen
für die Umsetzung, Revisionsfähigkeit) nicht einmal erfragt.
Die übrigen Aussagen des IT-Sicherheitsberichts ergaben zumindest, dass
eine Vielzahl von Einzelmaßnahmen (Virenschutz, Firewalls, Verschlüsselung
usw.) von einem mehr oder weniger großen Teil der Behörden getroffen
worden ist, um augenfällige Risiken abzuwehren. Gleiches gilt für die Nutzung
von zentralen Angeboten an Sicherheitstechnik im Berliner Landesnetz.
35 der 53 Behörden führen eine dezentrale Virenprüfung durch, d. h.,
ein Drittel der Behörden verzichtet darauf und vertraut ausschließlich auf die
zentrale Virenschutzprüfung im Landesbetrieb für Informationstechnik
(Grenznetz zwischen Internet und Landesnetz) 37 . Dieses ist grob leichtfertig,
denn Viren in passwortgeschützten oder verschlüsselten Dateien werden
zentral nicht oder nicht zuverlässig abgefangen.
Basiert der IT-Sicherheitsbericht im Wesentlichen auf dem Glauben an die
Ehrlichkeit und Kompetenz der antwortenden Behörden, so sehen die Ergeb-
20
nisse ganz anders aus, wenn die Existenz und Qualität von Sicherheitskonzepten
einer Kontrolle unterzogen wird. So befasst sich der Rechnungshof
von Berlin (trotz der immer wieder behaupteten Kostenträchtigkeit der IT-
Sicherheit) ebenfalls intensiv mit der Durchsetzung von IT-Sicherheit im
Lande. 2003 hat er beinahe flächendeckend IT-Sicherheitskonzepte der
Behörden angefordert und auf Aktualität, Fortschreibungsstatus, Vollständigkeit,
funktionales Sicherheitsniveau, Stand der Umsetzung und Revisionsfähigkeit
überprüft. Seine Ergebnisse decken sich in keiner Weise mit
dem Sicherheitsbericht. Von 113 in die Prüfung einbezogenen Behörden
haben nur zwei ein vollständiges, schriftliches und umgesetztes Sicherheitskonzept
vorweisen können, in mehr als hundert Fällen lag kein schriftliches
Konzept im Sinne der IT-Sicherheitsrichtlinie vor.
Hoffnung auf die Verbesserung der Situation haben wir im Zusammenhang
mit der Entwicklung eines Modellsicherheitskonzepts durch eine
Arbeitsgruppe des IT-KAB unter der Federführung der Senatsverwaltung für
Inneres. Das Modellsicherheitskonzept basiert auf dem Grundschutzhandbuch
des Bundesamtes für Sicherheit in der Informationstechnik (BSI) 38 und
vereinfacht dessen Anwendung durch die Vorabeinbeziehung relevanter
Rahmenbedingungen in der Berliner Verwaltung. Das Modellsicherheitskonzept
wird sukzessiv aufgebaut und ist somit in den bereits fertig gestellten
Teilbereichen sofort anwendbar.
Aktuelle IT-Projekte des Landes
Erneut sind wir über eine Vielzahl neuer IT-Projekte in öffentlichen Stellen
Berlins unterrichtet worden. Nach der Abschaffung des Dateienregisters
mit der Novellierung des Berliner Datenschutzgesetzes im Jahre 2001 ist
die Pflicht zu unserer Unterrichtung über neue Automationsvorhaben (§ 24
Abs. 3 Satz 3 BlnDSG) die einzige direkt verfügbare Quelle, aus der wir
erfahren, welche IT-Verfahren künftig unserer Kontrolle unterliegen. Die
zitierte Vorschrift sagt nichts darüber aus, wann eine solche Unterrichtung
zu erfolgen hat. Wenn die öffentlichen Stellen erwarten, dass wir zu einem
Verfahren aus rechtlicher und technisch-organisatorischer Sicht Stellung
beziehen, dann muss die Unterrichtung so früh erfolgen, dass eine Prüfung
der in der Regel sehr umfänglichen Unterlagen so rechtzeitig Ergebnisse
erbringt, dass diese im Bedarfsfall noch zu Modifikationen im IT-Projekt
führen können. Wenn die Verfahren dagegen in den Echtbetrieb gegangen
sind oder dies kurz bevorsteht, können eventuell festgestellte datenschutzrechtliche
Mängel nur auf der Grundlage von § 26 BlnDSG beanstandet oder
im unerheblichen Fall bemängelt werden. Die notwendigen Modifikationen
müssten in diesem Falle nachträglich durchgeführt werden.
Im Bereich der Sicherheit und Strafverfolgung stand das neue Verfahren
POLIKS (Polizeiliches Informations- und Kommunikationssystem) im
37 vgl. auch 4.8.3 38 BSI (Hrsg.): IT-Grundschutzhandbuch. Köln: Bundesanzeiger-Verlag, 2003 (Druckfassung)
Jahresbericht BlnBDI 2004
Jahresbericht BlnBDI 2004
2.2
21