ECOVIN - Institut für Produktion und Industrielles ...

306 I. Böhmer: Datensicherheit im Internet
Ein niedriges bis mittleres Sicherheitsniveau, das schon mit geringem Aufwand erreicht werden
kann und vom BSI als Grundschutz bezeichnet wird, ist in den meisten Fällen ausreichend.
Das im ersten Schritt festgelegte Sicherheitsniveau hat erhebliche Folgen für den zweiten
Schritt, dessen Ziel die Erstellung eines Sicherheitskonzepts ist. Um dieses Ziel zu erreichen,
sind folgende vier Teilschritte erforderlich (BSI, 1992, S. 33):
1. Ermittlung der Schutzbedürftigkeit,
2. Bedrohungsanalyse,
3. Risikoanalyse,
4. Erstellung des Sicherheitskonzepts.
Wird im ersten Teilschritt ein niedriger bis mittlerer Schutzbedarf festgestellt, kann das Verfahren
erheblich abgekürzt werden, indem ein bewährter allgemeiner Maßnahmenkatalog zur
Entwicklung des Sicherheitskonzepts herangezogen wird. Um einen solchen Grundschutz zu
erreichen, empfiehlt sich z.B. das IT-Grundschutzhandbuch des BSI. Ein hoher bis sehr hoher
Schutzbedarf – wie er für einzelne I&K-Systeme erforderlich sein kann – ist jedoch nur dadurch
zu decken, dass eine detaillierte und individuelle Bedrohungs- und Risikoanalyse
durchgeführt wird. In diesem Fall sei z.B. auf das IT-Sicherheitshandbuch des BSI verwiesen.
7.5.3.2.2 BEDROHUNGEN
Im Rahmen der I&K-Sicherheit wird zwischen gewollten und ungewollten Bedrohungen unterschieden.
Letzt genannte umfassen z.B. höhere Gewalt, Bedienungsfehler oder technisches
Versagen und werden hier nicht weiter betrachtet. Von besonderem Interesse sind dagegen
Bedrohungen durch vorsätzliche Handlungen, die als Angriffe bezeichnet werden. Angriffe
können direkt von einer Person oder indirekt durch eine Schadsoftware, etwa einen Computervirus,
verübt werden. Man unterscheidet zwischen passiven und aktiven Angriffen.
Beim passiven Angriff nimmt der Angreifer keine Handlungen vor, die unmittelbare Wirkung
auf fremde Informationsverarbeitung haben. Das bedeutet, dass der Angriff zunächst unbemerkt
bleibt, da ja die Informationsverarbeitung in keiner Weise gestört wird. Die Folgen
werden erst später oder gar nicht erkannt. Zu den passiven Angriffen gehören z.B. das Abhören
von Kommunikationskanälen oder das Leugnen von Urheberschaften. Ein aktiver Angriff
zeichnet sich dadurch aus, dass der Angreifer in irgendeiner Weise auf fremde I&K-Systeme
einwirkt.
Die höchste Form der Bedrohung stellt der Man-in-the-Middle-Angriff dar, wie er in
Abbildung 7-53 skizziert wird. Dabei werden alle Nachrichten, die zwischen zwei Stationen
ausgetauscht werden, unbemerkt von einem Angreifer kontrolliert. Für die Benutzer besteht
hierbei scheinbar eine direkte Verbindung, tatsächlich kann der Angreifer jedoch alle Nachrichten
mitlesen, löschen oder sogar verändern.