Kurs IHK Datenschutz

From NilsWiki

1 Einführung
2 Gefährdungen
3 Maßnahmen
4 Organisatorisches

Einführung

Rechtliche Grundlage

Bei der Nutzung von Computersystemen gilt es, die rechtlichen Vorgaben zum Datenschutz zu beachten. In der Anlage zum §9.1 BDSG werden technische Maßnahmen genannt, die je nach gesetzlichen Anfprderungen einzusetzen sind:

physische Zutrittskontrolle. (z.B. durch Schließanlagen, Personalkontrolle)
Zugangskontrolle, im Techspeak Authentisierung (Wer hat Nutzungszugang?)
Zugriffskontrolle, Authorisierung (Welche Nutzungsmöglichkeiten hat der Benutzer?)
Weitergabekontrolle: Schutz der Daten vor unbefugter Nutzung und Manipulation
Eingabekontrolle
Auftragskontrolle
Verfügbarkeitskontrolle: Schutz vor Datenverlust (Backup, Datenredundanz)
Datentrennung

[edit]

Terminologie

Datenschutz soll denjenigen schützen, auf den sich die Daten beziehen, nicht denjenigen, der über die Daten verfügt
Datensicherung hat zwei unterschiedliche Bedeutungen und sollte daher vermieden werden:
- technisch: Erstellen von Sicherheitskopien, Backups
- juristisch: Schutz der Daten vor unbefugter Nutzung und Manipulation. Der Techniker nennt das Informationssicherheit, Datensicherheit oder IT-Sicherheit
Systemdatenschutz: Maßnahmen, die für den Schutz des Rechts auf informationelle Selbstbestimmung förderlich und rechtlich geboten sind.
Selbstdatenschutz: Maßnahmen, mit denen der Einzelne seine persönlichen Daten vor mißbäuchlicher Verwendung schützen kann.

Dieser Kurs befaßt sich mit Informationssicherheit und technischen Datenschutz, und zwar sowohl mit System- als auch mit Selbstdatenschutz.

[edit]

Ressourcen

Google
Die Qualität der Wikipedia ist bekanntermaßen durchwachsen, aber die Artikel der englischsprachigen Ausgabe zu technischen Themen sind i.d.R. sehr gut.
Heise Ticker (Suche)
Es gibt eine eigene Literaturliste zum Thema Informationssicherheit
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet eine Menge Material, insbesondere zum IT-Grundschutz (IT-Grundschutzkatalog als PDF, lokale HTML Kopie)
Die Materialien des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BBfD) Peter Schaar zum technologischen Datenschutz.
Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) bietet einiges zu dem Themen

[edit]

Gefährdungen

[edit]

Datenquellen

Öffentlich verfügbare Daten
- Das DNS System
- Die umstrittenen WHOIS-Register wie z.B. das RIPE NCC und die DENIC e.G.
- Elektronische Telefonbücher
- Grundbuch (Liegenschaftsbuch beim Katasteramt)
- Handelsregister
- Geodaten wie z.B. Google Earth, Kartenmaterial für Navigationssoftware.
- Beim Statistischen Bundesamt kann man verschiedenste Statistiken bekommen, z.B. im Statistischen Jahrbuch 2006
- I.d.R. halböffentlich: Schufa, Schuldnerregister, andere Ratingagenturen, Addresshändler
Datenweitergabe an eigentlich unbefugte Dritte:
- freiwillig:
  - Vorratsdatenspeicherung - Der Fall Holger Voss vs. T-Online in der Presse: Spiegel, Heise, Heise
  - Der SWIFT Skandal
  - Rasterfahndung in Kreditkartendaten
  - AOL veröffentlich Suchdaten
- unfreiwillig
  - MyChannel
- Datendiebstahl:
  - UCLA
  - AT&T
  - (Rekordhalter mit 40mio Datensätzen) Cardsystems Solutions
  - Man stelle sich vor, jemand verschafft sich unbefugten Zugang zur im Aufbau befindlichen Anti-Terror-Datei. Ähnliches ist durchaus vorgekommen.

Aus unterschiedliche Quellen gewonnene Daten lassen sich zusammenführen und z.B. mit Dataminingtechniken aufbereiten.

[edit]

Bösartige Software

Bösartige Software nennt mal Malware (malicious software):

Viren verbreiten sich selbsttätig. Nutzen sie dazu Netzwerkdienste (z.B. Email) nennt man sie auch Würmer
Trojaner verstecken sich in harmlos erscheinenden Anwendungen
Installierte Malware nennt man rootkit, wenn sie das Betriebssystem verändert um sich vor Nutzern und Administratoren zu verbergen
Spyware späht den Nutzer aus (z.B. keylogger, sniffer) und übermittlelt die gewonnenen Daten an Dritte. Auch "normale" Anwendungen verhalten sich manchmal wie Spyware:
Adware nervt den Nutzer mit unerwünschten Werbe-Popups
Malware kann aus dem infizierten Rechner ein Spamrelay machen
Dialer initiieren kostenpflichtige Wählverbindungen
Eine Backdoor gewährt unbefugten Dritten verborgenen Zugang zum infizierten System
Eine Backdoor kann als Bot oder Zombie Teilnehmer eines Botnetzes sein

Diese Klassifikation ist nicht disjunkt: Ein Trojaner kann sich wie ein Rootkit verstecken, erspähte Zugangsdaten übermitteln und als Zombie eines Botnetzes eine backdoor öffnen. Die Überwachungssoftware Spector Pro ist z.B. rootkit, spyware und backdoor.

[edit]

Angriffe

Netzwerkangriffe
- Sniffen z.B. mit WireShark
- MAC-, ARP-, IP-, DNS-, und Mail-Spoofing
- Man-in-the-Middle (MITM), auch auf HTTPS! (Hosts-Datei)

[edit]

Seitenkanäle

Weitere Methode, Daten auszuspähen:

handytracking, silent SMS
Keylogger
TEMPEST
Kreditkarten RFIDs auslesen
Kreditkartendaten mit MP3-Player abfangen
Unvollständig gelöschte Dateien

[edit]

Maßnahmen

(siehe Foliensatz)

Datenredundanz (RAID/SAN/NAS) und -sicherung
PenTesting

[edit]

Crypto

Symmetrische vs. asymmetrische Verschlüsselung (Archivierung, Schlüsselkopien)
Digitale Signatur (z.B. §126BGB händische Unterschrift)
PKI

[edit]

Anonymität im Netz

Pseudonymisierung vs. Anonymisierung
Protokolle (z.B. §3a Datenvermeidung/-sparsamkeit; §28 Eigene Zwecke) (Timestamps!)
Cookies, Caches & Usertracking (Bannerserver), Caching Proxies, Swap
Selbstdatenschutz
- Wikipediaartikel Anonymität im Internet
- Anonymer Zugriff auf's Netz (Tor, JAP)
Systemdatenschutz
- Common Log Format des W3C
- Ulrich Flegel: Pseudonymizing Unix Log Files
- Skript zum Anonymisieren von Protokolldateien