6Schutzbedarfsanalyse

Die eingesetzte Informationstechnik ist nicht aus sich heraus, sondern vielmehr wegen ihres Wertes für die Anwender schützenswert. Der Wert der Daten und Funktionen, die die IT bereitstellt, ist in der Regel um ein Vielfaches höher als der Wert der Geräte selbst. Daher sind angemessene Sicherheitsmaßnahmen aus den Sicherheitsanforderungen der IT-Verfahren abzuleiten.

Um die Sensibilität der im IT-Verfahren verarbeiteten Daten zu bestimmen, ist die Analyse des Schutzbedarfes durchzuführen. Der Schutzbedarf wird durch die drei Werte (Schutzklassen) "normal", "hoch" und "sehr hoch" klassifiziert. Die im Abschnitt 6.2 wiedergegebenen Tabellen beschreiben die Bedeutung dieser Werte in Hinblick auf verschiedene Kriterien. Aufgrund des Ergebnisses der Schutzbedarfsanalyse können sich darüberhinausgehende Anforderungen ergeben.

Wird als Ergebnis der Schutzbedarfsanalyse das IT-Verfahren in die Schutzklasse "normal" eingestuft, reichen die Maßnahmen des IT-Grundschutzes in Teil III aus. In allen anderen Fällen muss eine verfahrensspezifische Risikoanalyse durchgeführt werden. Die Vorgehensweise bei einer Risikoanalyse wird in Kapitel 7 beschrieben.

6.1Vorgehensweise

Die Praxis hat gezeigt, dass die Durchführung der Schutzbedarfsanalyse in einem Team hilfreich ist. Damit mögliche Risiken zuverlässig identifiziert werden, sind detaillierte Kenntnisse über die einzelnen Schritte der Datenverarbeitung notwendig. Häufig sind diese Detailkenntnisse auf mehrere Personen verteilt.

Die folgenden vier Bewertungstabellen dienen der Einordnung der Ergebnisse von den Abschätzungs­überlegungen. Die in den Tabellen formulierten Schadensszenarien sollen als Orientierungshilfe genutzt werden. Die Schadensszenarien bezüglich des Verlusts von Vertraulichkeit, Integrität und Verfügbarkeit sowie des Verstoßes gegen Gesetze, Vorschriften und Verträge wurden aus Gründen der besseren Übersicht in vier getrennten Tabellen dargestellt. Demzufolge wiederholen sich zum Teil die skizzierten Szenarien in den Tabellen, aber die Fragestellung ist in jeder Tabelle unterschiedlich.
Mit der Einteilung in drei Schutzbedarfskategorien "normal", "hoch" und "sehr hoch" folgt diese Richtlinie der Praxis des Bundesamts für Sicherheit in der Informationstechnik (BSI).

6.2Bewertungstabellen

6.2.1Verlust von Vertraulichkeit

Der Schutzbedarf wird über die Abschätzung der schlimmsten denkbaren Folgen des Verlustes von Vertraulichkeit, Integrität und Verfügbarkeit ermittelt. Die Abschätzung hat gesondert für folgende sechs Schadenskategorien zu erfolgen:

1. Beeinträchtigung des informationellen Selbstbestimmungsrechts
2. Beeinträchtigung der persönlichen Unversehrtheit
3. Beeinträchtigung der Aufgabenerfüllung
4. Negative Außenwirkung
5. Finanzielle Auswirkungen
6. Verstoß gegen Gesetze, Vorschriften und Verträge

Die Durchführung einer Schutzbedarfsanalyse unter Anwendung der unter Abschnitt 6.2 aufgeführten Tabellen wird im Folgenden kurz skizziert. Dabei werden die einzelnen Schritte erläutert und mit Auszügen aus einer fiktiven Beispielanalyse illustriert.

1. Schritt: Identifikation der zu schützenden Daten

An erster Stelle steht die Identifikation aller Daten, die innerhalb des analysierten IT-Verfahrens verarbeitet bzw. gespeichert werden.

2. Schritt: Zusammenfassung der Daten zu Datengruppen (optional)

Häufig lassen sich mehrere Einzeldaten inhaltlich zu Datengruppen zusammenfassen. Die weiteren Schritte sind dann stets auf diese Datengruppen anzuwenden und nicht mehr auf die dort enthaltenen Einzeldaten. Beispielsweise ist es sinnvoll, Vornamen und Nachnamen sowie die Adressdaten zusammenzufassen. Darum kann eine Datengruppe "Kontaktdaten" gebildet werden.

3. Schritt: Bestimmen der schlimmsten möglichen Folgen des Verlustes von Vertraulichkeit /
                 Integrität / Verfügbarkeit (Worst-case-Szenarien)

Jede Datengruppe ist jeweils bezüglich der oben genannten sechs Schadenskategorien zu bewerten. Für jede der sechs Schadenskategorien ist zu überlegen, welche Folgen die Beeinträchtigung der Schutzziele Vertraulichkeit / Integrität / Verfügbarkeit im schlimmsten Fall hätte.

Die Überlegungen sind der Reihe nach bezüglich Verlust der Vertraulichkeit, Integrität und Verfügbarkeit durchzuführen. In jeder der drei Betrachtungen müssen die eingangs genannten Schadenskategorien betrachtet werden.

4. Schritt: Einordnung in eine Schutzbedarfskategorie

Die in den Abschätzungsüberlegungen festgestellten schlimmsten Folgen müssen anhand der in den Bewertungstabellen (Abschnitt 6.2) vorgegebenen Maßstäbe (normal / hoch / sehr hoch) eingestuft werden. Das Ergebnis ist zu dokumentieren. Das Maximum des höchsten Schutzbedarfs einer Kategorie bestimmt den Schutzbedarf des IT-Verfahrens. In der folgenden Beispieltabelle würde das gesamte IT-Verfahren in die Schutzklasse "hoch" eingestuft werden.

6.2.2Verletzung von Integrität

6.2.3Beeinträchtigung von Verfügbarkeit

Mit der Beeinträchtigung der Verfügbarkeit ist sowohl der temporäre als auch der dauerhafte Verlust der Verfügbarkeit gemeint. Allgemein formuliert bedeutet das, dass die Daten bzw. Informationen nicht zur Verfügung stehen, wenn sie gebraucht werden.

6.2.4Verstoß gegen Gesetze, Vorschriften und Verträge

Bei der Bearbeitung der Kategorie "Verstoß gegen Gesetze, Vorschriften und Verträge" müssen alle Regelungen betrachtet werden, die für das betreffende IT-Verfahren relevant sind:

Datenschutzgesetze, beispielsweise

• Berliner Datenschutzgesetz (BlnDSG)
• Informationsverarbeitungsgesetz (IVG)
• Bundesdatenschutzgesetz (BDSG)

Hochschulgesetze bzw. -verordungen, FU-Richtlinien, beispielsweise

• Berliner Hochschulgesetz (BerlHG)
• Studierendendatenverordnung (StudDatVO)
• Datenschutzsatzung der Freien Universität Berlin
• IT-Sicherheitsrichtlinie der Freien Universität Berlin

Vorschriften zur Mitbestimmung, beispielsweise

• Landespersonalvertretungsgesetz Berlin (LPersVG-Berlin)
• IT-Grundsatzdienstvereinbarung der Freien Universität Berlin

Verträge, beispielsweise

• Vertrag über die Zusammenarbeit mit einer externen Firma

Die Dokumentation der Schutzbedarfsanalyse besteht aus den Ergebnissen der Bewertungstabellen und weiteren Angaben über die analysierten Datensätze bzw. das analysierte IT-Verfahren. Insbesondere müssen die wesentlichen Überlegungen, die zu den einzelnen Einschätzungen über den zu erwartenden Schaden geführt haben, nachvollziehbar dokumentiert werden.