+IT-Grundschutz-Kompendium
---+G 0.1 Feuer
---+G 0.2 Ungünstige klimatische Bedingungen
---+G 0.3 Wasser
---+G 0.4 Verschmutzung, Staub, Korrosion
---+G 0.5 Naturkatastrophen
---+G 0.6 Katastrophen im Umfeld
---+G 0.7 Großereignisse im Umfeld
---+G 0.8 Ausfall oder Störung der Stromversorgung
---+G 0.9 Ausfall oder Störung von Kommunikationsnetzen
---+G 0.10 Ausfall oder Störung von Versorgungsnetzen
---+G 0.11 Ausfall oder Störung von Dienstleistungsunternehmen
---+G 0.12 Elektromagnetische Störstrahlung
---+G 0.13 Abfangen kompromittierender Strahlung
---+G 0.14 Ausspähen von Informationen (Spionage)
---+G 0.15 Abhören
---+G 0.16 Diebstahl von Geräten, Datenträgern oder Dokumenten
---+G 0.17 Verlust von Geräten, Datenträgern oder Dokumenten
---+G 0.18 Fehlplanung oder fehlende Anpassung
---+G 0.19 Offenlegung schützenswerter Informationen
---+G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle
---+G 0.21 Manipulation von Hard- oder Software
---+G 0.22 Manipulation von Informationen
---+G 0.23 Unbefugtes Eindringen in IT-Systeme
---+G 0.24 Zerstörung von Geräten oder Datenträgern
---+G 0.25 Ausfall von Geräten oder Systemen
---+G 0.26 Fehlfunktion von Geräten oder Systemen
---+G 0.27 Ressourcenmangel
---+G 0.28 Software-Schwachstellen oder -Fehler
---+G 0.29 Verstoß gegen Gesetze oder Regelungen
---+G 0.30 Unberechtigte Nutzung oder Administration von Geräten und Systemen
---+G 0.31 Fehlerhafte Nutzung oder Administration von Geräten und Systemen
---+G 0.32 Missbrauch von Berechtigungen
---+G 0.33 Personalausfall
---+G 0.34 Anschlag
---+G 0.35 Nötigung, Erpressung oder Korruption
---+G 0.36 Identitätsdiebstahl
---+G 0.37 Abstreiten von Handlungen
---+G 0.38 Missbrauch personenbezogener Daten
---+G 0.39 Schadprogramme
---+G 0.40 Verhinderung von Diensten (Denial of Service)
---+G 0.41 Sabotage
---+G 0.42 Social Engineering
---+G 0.43 Einspielen von Nachrichten
---+G 0.44 Unbefugtes Eindringen in Räumlichkeiten
---+G 0.45 Datenverlust
---+G 0.46 Integritätsverlust schützenswerter Informationen
---+G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe
---+Sicherheitsmanagement
------+ISMS.1 Sicherheitsmanagement
---------+ISMS.1.G1 Fehlende persönliche Verantwortung im Sicherheitsprozess
---------+ISMS.1.G2 Mangelnde Unterstützung durch die Institutionsleitung
---------+ISMS.1.G3 Unzureichende strategische und konzeptionelle Vorgaben
---------+ISMS.1.G4 Unzureichende oder fehlgeleitete Investitionen
---------+ISMS.1.G5 Unzureichende Durchsetzbarkeit von Sicherheitsmaßnahmen
---------+ISMS.1.G6 Fehlende Aktualisierung im Sicherheitsprozess
---------+ISMS.1.G7 Verstoß gegen gesetzliche Regelungen und vertragliche Vereinbarungen
---------+ISMS.1.G8 Störung der Geschäftsabläufe aufgrund von Sicherheitsvorfällen
---------+ISMS.1.G9 Unwirtschaftlicher Umgang mit Ressourcen durch unzureichendes Sicherheitsmanagement
---------+ISMS.1.A1 Übernahme der Gesamtverantwortung für Informationssicherheit durch die Leitung (B) [Institutionsleitung]
---------+ISMS.1.A2 Festlegung der Sicherheitsziele und -strategie (B) [Institutionsleitung]
---------+ISMS.1.A3 Erstellung einer Leitlinie zur Informationssicherheit (B) [Institutionsleitung]
---------+ISMS.1.A4 Benennung eines oder einer Informationssicherheitsbeauftragten (B) [Institutionsleitung]
---------+ISMS.1.A5 Vertragsgestaltung bei Bestellung eines oder einer externen Informationssicherheitsbeauftragten (B) [Institutionsleitung]
---------+ISMS.1.A6 Aufbau einer geeigneten Organisationsstruktur für Informationssicherheit (B) [Institutionsleitung]
---------+ISMS.1.A7 Festlegung von Sicherheitsmaßnahmen (B)
---------+ISMS.1.A8 Integration der Mitarbeitenden in den Sicherheitsprozess (B) [Vorgesetzte]
---------+ISMS.1.A9 Integration der Informationssicherheit in organisationsweite Abläufe und Prozesse (B) [Institutionsleitung]
---------+ISMS.1.A10 Erstellung eines Sicherheitskonzepts (S)
---------+ISMS.1.A11 Aufrechterhaltung der Informationssicherheit (S)
---------+ISMS.1.A12 Management-Berichte zur Informationssicherheit (S) [Institutionsleitung]
---------+ISMS.1.A13 Dokumentation des Sicherheitsprozesses (S)
---------+ISMS.1.A15 Wirtschaftlicher Einsatz von Ressourcen für Informationssicherheit (S)
---------+ISMS.1.A16 Erstellung von zielgruppengerechten Sicherheitsrichtlinien (H)
---------+ISMS.1.A17 Abschließen von Versicherungen (H)
---+Organisation und Personal
------+ORP.1 Organisation
---------+ORP.1.G1 Fehlende oder unzureichende Regelungen
---------+ORP.1.G2 Nichtbeachtung von Regelungen
---------+ORP.1.G3 Fehlende, ungeeignete oder inkompatible Betriebsmittel
---------+ORP.1.G4 Gefährdung durch Institutionsfremde
---------+ORP.1.A1 Festlegung von Verantwortlichkeiten und Regelungen (B) [Institutionsleitung]
---------+ORP.1.A2 Zuweisung der Zuständigkeiten (B) [Institutionsleitung]
---------+ORP.1.A3 Beaufsichtigung oder Begleitung von Fremdpersonen (B) [Mitarbeitende]
---------+ORP.1.A4 Funktionstrennung zwischen unvereinbaren Aufgaben (B)
---------+ORP.1.A15 Ansprechperson zu Informationssicherheitsfragen (B)
---------+ORP.1.A8 Betriebsmittel- und Geräteverwaltung (S) [IT-Betrieb]
---------+ORP.1.A13 Sicherheit bei Umzügen (S) [IT-Betrieb, Haustechnik]
---------+ORP.1.A16 Richtlinie zur sicheren IT-Nutzung (S) [Benutzende]
---------+ORP.1.A17 Mitführverbot von Mobiltelefonen (H)
------+ORP.2 Personal
---------+ORP.2.G1 Personalausfall
---------+ORP.2.G2 Unzureichende Kenntnis über Regelungen
---------+ORP.2.G3 Sorglosigkeit im Umgang mit Informationen
---------+ORP.2.G4 Unzureichende Qualifikationen der Mitarbeitenden
---------+ORP.2.A1 Geregelte Einarbeitung neuer Mitarbeitender (B) [Vorgesetzte]
---------+ORP.2.A2 Geregelte Verfahrensweise beim Weggang von Mitarbeitenden (B) [Vorgesetzte, IT-Betrieb]
---------+ORP.2.A3 Festlegung von Vertretungsregelungen (B) [Vorgesetzte]
---------+ORP.2.A4 Festlegung von Regelungen für den Einsatz von Fremdpersonal (B)
---------+ORP.2.A5 Vertraulichkeitsvereinbarungen für den Einsatz von Fremdpersonal (B)
---------+ORP.2.A14 Aufgaben und Zuständigkeiten von Mitarbeitenden (B) [Vorgesetzte]
---------+ORP.2.A15 Qualifikation des Personals (B) [Vorgesetzte]
---------+ORP.2.A7 Überprüfung der Vertrauenswürdigkeit von Mitarbeitenden (S)
---------+ORP.2.A13 Sicherheitsüberprüfung (H)
------+ORP.3 Sensibilisierung und Schulung zur Informationssicherheit
---------+ORP.3.G1 Unzureichende Kenntnis über Regelungen
---------+ORP.3.G2 Unzureichende Sensibilisierung für Informationssicherheit
---------+ORP.3.G3 Unwirksame Aktivitäten zur Sensibilisierung und Schulung
---------+ORP.3.G4 Unzureichende Schulung der Mitarbeitenden zu Sicherheitsfunktionen
---------+ORP.3.G5 Nicht erkannte Sicherheitsvorfälle
---------+ORP.3.G6 Nichtbeachtung von Sicherheitsmaßnahmen
---------+ORP.3.G7 Sorglosigkeit im Umgang mit Informationen
---------+ORP.3.G8 Fehlende Akzeptanz von Informationssicherheitsvorgaben
---------+ORP.3.G9 Social Engineering
---------+ORP.3.A1 Sensibilisierung der Institutionsleitung für Informationssicherheit (B) [Vorgesetzte, Institutionsleitung]
---------+ORP.3.A3 Einweisung des Personals in den sicheren Umgang mit IT (B) [Vorgesetzte, Personalabteilung, IT-Betrieb]
---------+ORP.3.A4 Konzeption und Planung eines Sensibilisierungs- und Schulungsprogramms zur Informationssicherheit (S)
---------+ORP.3.A6 Durchführung von Sensibilisierungen und Schulungen zur Informationssicherheit (S)
---------+ORP.3.A7 Schulung zur Vorgehensweise nach IT-Grundschutz (S)
---------+ORP.3.A8 Messung und Auswertung des Lernerfolgs (S) [Personalabteilung]
---------+ORP.3.A9 Spezielle Schulung von exponierten Personen und Institutionen (H)
------+ORP.4 Identitäts- und Berechtigungsmanagement
---------+ORP.4.G1 Fehlende oder unzureichende Prozesse beim Identitäts- und Berechtigungsmanagement
---------+ORP.4.G2 Fehlende zentrale Deaktivierungsmöglichkeit von Konten
---------+ORP.4.G3 Ungeeignete Verwaltung von Zutritts-, Zugangs- und Zugriffsrechten
---------+ORP.4.A1 Regelung für die Einrichtung und Löschung von Benutzenden und Benutzendengruppen (B) [IT-Betrieb]
---------+ORP.4.A2 Einrichtung, Änderung und Entzug von Berechtigungen (B) [IT-Betrieb]
---------+ORP.4.A3 Dokumentation der Benutzendenkennungen und Rechteprofile (B) [IT-Betrieb]
---------+ORP.4.A4 Aufgabenverteilung und Funktionstrennung (B) [IT-Betrieb]
---------+ORP.4.A5 Vergabe von Zutrittsberechtigungen (B) [IT-Betrieb]
---------+ORP.4.A6 Vergabe von Zugangsberechtigungen (B) [IT-Betrieb]
---------+ORP.4.A7 Vergabe von Zugriffsrechten (B) [IT-Betrieb]
---------+ORP.4.A8 Regelung des Passwortgebrauchs (B) [Benutzende, IT-Betrieb]
---------+ORP.4.A9 Identifikation und Authentisierung (B) [IT-Betrieb]
---------+ORP.4.A22 Regelung zur Passwortqualität (B) [IT-Betrieb]
---------+ORP.4.A23 Regelung für passwortverarbeitende Anwendungen und IT-Systeme (B) [IT-Betrieb]
---------+ORP.4.A10 Schutz von Benutzendenkennungen mit weitreichenden Berechtigungen (S) [IT-Betrieb]
---------+ORP.4.A11 Zurücksetzen von Passwörtern (S) [IT-Betrieb]
---------+ORP.4.A12 Entwicklung eines Authentisierungskonzeptes für IT-Systeme und Anwendungen (S) [IT-Betrieb]
---------+ORP.4.A13 Geeignete Auswahl von Authentisierungsmechanismen (S) [IT-Betrieb]
---------+ORP.4.A14 Kontrolle der Wirksamkeit der Benutzendentrennung am IT-System bzw. an der Anwendung (S) [IT-Betrieb]
---------+ORP.4.A15 Vorgehensweise und Konzeption der Prozesse beim Identitäts- und Berechtigungsmanagement (S) [IT-Betrieb]
---------+ORP.4.A16 Richtlinien für die Zugriffs- und Zugangskontrolle (S) [IT-Betrieb]
---------+ORP.4.A17 Geeignete Auswahl von Identitäts- und Berechtigungsmanagement-Systemen (S) [IT-Betrieb]
---------+ORP.4.A18 Einsatz eines zentralen Authentisierungsdienstes (S) [IT-Betrieb]
---------+ORP.4.A19 Einweisung aller Mitarbeitenden in den Umgang mit Authentisierungsverfahren und -mechanismen (S) [Benutzende, IT-Betrieb]
---------+ORP.4.A20 Notfallvorsorge für das Identitäts- und Berechtigungsmanagement-System (H) [IT-Betrieb]
---------+ORP.4.A21 Mehr-Faktor-Authentisierung (H) [IT-Betrieb]
---------+ORP.4.A24 Vier-Augen-Prinzip für administrative Tätigkeiten (H) [IT-Betrieb]
------+ORP.5 Compliance Management (Anforderungsmanagement)
---------+ORP.5.G1 Verstoß gegen rechtliche Vorgaben
---------+ORP.5.G2 Unzulässige Weitergabe von Informationen
---------+ORP.5.G3 Unzureichende Identifikationsprüfung von Kommunikationspartnern und -partnerinnen
---------+ORP.5.G4 Unbeabsichtigte Weitergabe interner Informationen
---------+ORP.5.A1 Identifikation der Rahmenbedingungen (B) [Zentrale Verwaltung, Institutionsleitung]
---------+ORP.5.A2 Beachtung der Rahmenbedingungen (B) [Vorgesetzte, Zentrale Verwaltung, Institutionsleitung]
---------+ORP.5.A4 Konzeption und Organisation des Compliance Managements (S) [Institutionsleitung]
---------+ORP.5.A5 Ausnahmegenehmigungen (S) [Vorgesetzte]
---------+ORP.5.A8 Regelmäßige Überprüfungen des Compliance Managements (S)
---+Konzepte und Vorgehensweisen
------+CON.1 Kryptokonzept
---------+CON.1.G1 Unzureichendes Schlüsselmanagement bei Verschlüsselung
---------+CON.1.G2 Verstoß gegen rechtliche Rahmenbedingungen beim Einsatz von Hard- oder Software mit kryptografischen Funktionen
---------+CON.1.G3 Vertraulichkeits- oder Integritätsverlust von Informationen durch Fehlverhalten
---------+CON.1.G4 Schwachstellen oder Fehler in Hard- oder Software mit kryptografischen Funktionen
---------+CON.1.G5 Ausfall von Hardware mit kryptografischen Funktionen
---------+CON.1.G6 Unsichere kryptografische Algorithmen
---------+CON.1.G7 Fehler in verschlüsselten Informationen oder kryptografischen Schlüsseln
---------+CON.1.G8 Kompromittierung kryptografischer Schlüssel
---------+CON.1.G9 Gefälschte Zertifikate
---------+CON.1.A1 Auswahl geeigneter kryptografischer Verfahren (B) [Fachverantwortliche]
---------+CON.1.A2 Datensicherung beim Einsatz kryptografischer Verfahren (B) [IT-Betrieb]
---------+CON.1.A4 Geeignetes Schlüsselmanagement (B)
---------+CON.1.A5 Sicheres Löschen und Vernichten von kryptografischen Schlüsseln (S) [IT-Betrieb, Benutzende]
---------+CON.1.A9 Festlegung von Kriterien für die Auswahl von Hard- oder Software mit kryptografischen Funktionen (S) [Fachverantwortliche]
---------+CON.1.A10 Erstellung eines Kryptokonzepts (S)
---------+CON.1.A15 Reaktion auf praktische Schwächung eines Kryptoverfahrens (S)
---------+CON.1.A19 Erstellung eines Krypto-Katasters (S) [IT-Betrieb]
---------+CON.1.A11 Test von Hardware mit kryptografischen Funktionen (H) [IT-Betrieb]
---------+CON.1.A16 Physische Absicherung von Hardware mit kryptografischen Funktionen (H) [IT-Betrieb]
---------+CON.1.A17 Abstrahlsicherheit (H) [IT-Betrieb]
---------+CON.1.A18 Kryptografische Ersatzhardware (H) [IT-Betrieb]
---------+CON.1.A20 Manipulationserkennung für Hard- oder Software mit kryptografischen Funktionen (H)
------+CON.2 Datenschutz
---------+CON.2.G1 Missachtung von Datenschutzgesetzen oder Nutzung eines unvollständigen Risikomodells
---------+CON.2.G2 Festlegung eines zu niedrigen Schutzbedarfs
---------+CON.2.A1 Umsetzung Standard-Datenschutzmodell (B)
------+CON.3 Datensicherungskonzept
---------+CON.3.G1 Fehlende Datensicherung
---------+CON.3.G2 Fehlende Wiederherstellungstests
---------+CON.3.G3 Ungeeignete Aufbewahrung der Speichermedien für die Datensicherungen
---------+CON.3.G4 Fehlende oder unzureichende Dokumentation
---------+CON.3.G5 Missachtung gesetzlicher Vorschriften
---------+CON.3.G6 Unsichere Anbieter für Online-Datensicherungen
---------+CON.3.G7 Ungenügende Speicherkapazitäten
---------+CON.3.G8 Unzureichendes Datensicherungskonzept
---------+CON.3.G9 Ungenügende Datensicherungsgeschwindigkeit
---------+CON.3.G10 Ransomware
---------+CON.3.A1 Erhebung der Einflussfaktoren für Datensicherungen (B) [Fachverantwortliche, IT-Betrieb]
---------+CON.3.A2 Festlegung der Verfahrensweisen für die Datensicherung (B) [Fachverantwortliche, IT-Betrieb]
---------+CON.3.A4 Erstellung von Datensicherungsplänen (B) [IT-Betrieb]
---------+CON.3.A5 Regelmäßige Datensicherung (B) [IT-Betrieb, Mitarbeitende]
---------+CON.3.A12 Sichere Aufbewahrung der Speichermedien für die Datensicherungen (B) [IT-Betrieb]
---------+CON.3.A14 Schutz von Datensicherungen (B) [IT-Betrieb]
---------+CON.3.A15 Regelmäßiges Testen der Datensicherungen (B) [IT-Betrieb]
---------+CON.3.A6 Entwicklung eines Datensicherungskonzepts (S) [Fachverantwortliche, IT-Betrieb]
---------+CON.3.A7 Beschaffung eines geeigneten Datensicherungssystems (S) [IT-Betrieb]
---------+CON.3.A9 Voraussetzungen für die Online-Datensicherung (S) [IT-Betrieb]
---------+CON.3.A13 Einsatz kryptografischer Verfahren bei der Datensicherung (H) [IT-Betrieb]
------+CON.6 Löschen und Vernichten
---------+CON.6.G1 Fehlende oder unzureichend dokumentierte Regelungen beim Löschen und Vernichten
---------+CON.6.G2 Vertraulichkeitsverlust durch Restinformationen auf Datenträgern
---------+CON.6.G3 Ungeeignete Einbindung externer Dienstleistende in das Löschen und Vernichten
---------+CON.6.G4 Ungeeigneter Umgang mit defekten Datenträgern oder IT-Geräten
---------+CON.6.A1 Regelung für die Löschung und Vernichtung von Informationen (B) [Zentrale Verwaltung, Fachverantwortliche, Datenschutzbeauftragte, IT-Betrieb]
---------+CON.6.A2 Ordnungsgemäßes Löschen und Vernichten von schützenswerten Betriebsmitteln und Informationen (B)
---------+CON.6.A11 Löschung und Vernichtung von Datenträgern durch externe Dienstleistende (B)
---------+CON.6.A12 Mindestanforderungen an Verfahren zur Löschung und Vernichtung (B)
---------+CON.6.A4 Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Datenträgern (S)
---------+CON.6.A8 Erstellung einer Richtlinie für die Löschung und Vernichtung von Informationen (S) [Mitarbeitende, IT-Betrieb, Datenschutzbeauftragte]
---------+CON.6.A13 Vernichtung defekter digitaler Datenträger (S)
---------+CON.6.A14 Vernichten von Datenträgern auf erhöhter Sicherheitsstufe (H)
------+CON.7 Informationssicherheit auf Auslandsreisen
---------+CON.7.G1 Abhören und Ausspähen von Informationen/Wirtschaftsspionage
---------+CON.7.G2 Offenlegung und Missbrauch schützenswerter Informationen (elektronisch und physisch)
---------+CON.7.G3 Vortäuschen einer falschen Identität
---------+CON.7.G4 Fehlendes Sicherheitsbewusstsein und Sorglosigkeit im Umgang mit Informationen
---------+CON.7.G5 Verstoß gegen lokale Gesetze oder Regelungen
---------+CON.7.G6 Nötigung, Erpressung, Entführung und Korruption
---------+CON.7.G7 Informationen aus unzuverlässiger Quelle
---------+CON.7.G8 Diebstahl oder Verlust von Geräten, Datenträgern und Dokumenten
---------+CON.7.A1 Sicherheitsrichtlinie zur Informationssicherheit auf Auslandsreisen (B)
---------+CON.7.A2 Sensibilisierung der Mitarbeitenden zur Informationssicherheit auf Auslandsreisen (B)
---------+CON.7.A3 Identifikation länderspezifischer Regelungen, Reise- und Umgebungsbedingungen (B) [Personalabteilung]
---------+CON.7.A4 Verwendung von Sichtschutz-Folien (B) [Benutzende]
---------+CON.7.A5 Verwendung der Bildschirm-/Code-Sperre (B) [Benutzende]
---------+CON.7.A6 Zeitnahe Verlustmeldung (B) [Benutzende]
---------+CON.7.A7 Sicherer Remote-Zugriff auf das Netz der Institution (B) [IT-Betrieb, Benutzende]
---------+CON.7.A8 Sichere Nutzung von öffentlichen WLANs (B) [Benutzende]
---------+CON.7.A9 Sicherer Umgang mit mobilen Datenträgern (B) [Benutzende]
---------+CON.7.A10 Verschlüsselung tragbarer IT-Systeme und Datenträger (B) [Benutzende, IT-Betrieb]
---------+CON.7.A12 Sicheres Vernichten von schutzbedürftigen Materialien und Dokumenten (B) [Benutzende]
---------+CON.7.A11 Einsatz von Diebstahl-Sicherungen (S) [Benutzende]
---------+CON.7.A13 Mitnahme notwendiger Daten und Datenträger (S) [Benutzende]
---------+CON.7.A14 Kryptografisch abgesicherte E-Mail-Kommunikation (S) [Benutzende, IT-Betrieb]
---------+CON.7.A15 Abstrahlsicherheit tragbarer IT-Systeme (H)
---------+CON.7.A16 Integritätsschutz durch Check-Summen oder digitale Signaturen (H) [Benutzende]
---------+CON.7.A17 Verwendung vorkonfigurierter Reise-Hardware (H) [IT-Betrieb]
---------+CON.7.A18 Eingeschränkte Berechtigungen auf Auslandsreisen (H) [IT-Betrieb]
------+CON.8 Software-Entwicklung
---------+CON.8.G1 Auswahl eines ungeeigneten Vorgehensmodells
---------+CON.8.G2 Auswahl einer ungeeigneten Entwicklungsumgebung
---------+CON.8.G3 Fehlende oder unzureichende Qualitätssicherung des Entwicklungsprozesses
---------+CON.8.G4 Fehlende oder unzureichende Dokumentation
---------+CON.8.G5 Unzureichend gesicherter Einsatz von Entwicklungsumgebungen
---------+CON.8.G6 Software-Konzeptionsfehler
---------+CON.8.G7 Fehlendes oder unzureichendes Test- und Freigabeverfahren
---------+CON.8.G8 Software-Tests mit Produktivdaten
---------+CON.8.A2 Auswahl eines Vorgehensmodells (B)
---------+CON.8.A3 Auswahl einer Entwicklungsumgebung (B)
---------+CON.8.A5 Sicheres Systemdesign (B)
---------+CON.8.A6 Verwendung von externen Bibliotheken aus vertrauenswürdigen Quellen (B)
---------+CON.8.A7 Durchführung von entwicklungsbegleitenden Software-Tests (B) [Testende, Entwickelnde]
---------+CON.8.A8 Bereitstellung von Patches, Updates und Änderungen (B) [Entwickelnde]
---------+CON.8.A10 Versionsverwaltung des Quellcodes (B) [Entwickelnde]
---------+CON.8.A20 Überprüfung von externen Komponenten (B)
---------+CON.8.A1 Definition von Rollen und Zuständigkeiten (S) [Zentrale Verwaltung]
---------+CON.8.A11 Erstellung einer Richtlinie für die Software-Entwicklung (S)
---------+CON.8.A12 Ausführliche Dokumentation (S)
---------+CON.8.A14 Schulung des Entwicklungsteams zur Informationssicherheit (S)
---------+CON.8.A16 Geeignete Steuerung der Software-Entwicklung (S)
---------+CON.8.A21 Bedrohungsmodellierung (S)
---------+CON.8.A22 Sicherer Software-Entwurf (S)
---------+CON.8.A17 Auswahl vertrauenswürdiger Entwicklungswerkzeuge (H)
---------+CON.8.A18 Regelmäßige Sicherheitsaudits für die Entwicklungsumgebung (H)
---------+CON.8.A19 Regelmäßige Integritätsprüfung der Entwicklungsumgebung (H) [IT-Betrieb]
------+CON.9 Informationsaustausch
---------+CON.9.G1 Nicht fristgerecht verfügbare Informationen
---------+CON.9.G2 Ungeregelte Weitergabe von Informationen
---------+CON.9.G3 Weitergabe falscher oder interner Informationen
---------+CON.9.G4 Unberechtigtes Kopieren oder Verändern von Informationen
---------+CON.9.G5 Unzulängliche Anwendung von Verschlüsselungsverfahren
---------+CON.9.A1 Festlegung zulässiger Empfangender (B) [Zentrale Verwaltung]
---------+CON.9.A2 Regelung des Informationsaustausches (B)
---------+CON.9.A3 Unterweisung des Personals zum Informationsaustausch (B) [Fachverantwortliche]
---------+CON.9.A4 Vereinbarungen zum Informationsaustausch mit Externen (S) [Zentrale Verwaltung]
---------+CON.9.A5 Beseitigung von Restinformationen vor Weitergabe (S) [Benutzende]
---------+CON.9.A6 Kompatibilitätsprüfung des Sende- und Empfangssystems (S)
---------+CON.9.A7 Sicherungskopie der übermittelten Daten (S)
---------+CON.9.A8 Verschlüsselung und digitale Signatur (S)
---------+CON.9.A9 Vertraulichkeitsvereinbarungen (H) [Zentrale Verwaltung]
------+CON.10 Entwicklung von Webanwendungen
---------+CON.10.G1 Umgehung der Autorisierung bei Webanwendungen
---------+CON.10.G2 Unzureichende Eingabevalidierung und Ausgabekodierung
---------+CON.10.G3 Fehlende oder mangelhafte Fehlerbehandlung durch Webanwendungen
---------+CON.10.G4 Unzureichende Protokollierung von sicherheitsrelevanten Ereignissen
---------+CON.10.G5 Offenlegung sicherheitsrelevanter Informationen durch Webanwendungen
---------+CON.10.G6 Missbrauch einer Webanwendung durch automatisierte Nutzung
---------+CON.10.G7 Unzureichendes Session-Management von Webanwendungen
---------+CON.10.A1 Authentisierung bei Webanwendungen (B)
---------+CON.10.A2 Zugriffskontrolle bei Webanwendungen (B)
---------+CON.10.A3 Sicheres Session-Management (B)
---------+CON.10.A4 Kontrolliertes Einbinden von Inhalten bei Webanwendungen (B)
---------+CON.10.A5 Upload-Funktionen (B)
---------+CON.10.A6 Schutz vor unerlaubter automatisierter Nutzung von Webanwendungen (B)
---------+CON.10.A7 Schutz vertraulicher Daten (B)
---------+CON.10.A8 Umfassende Eingabevalidierung und Ausgabekodierung (B)
---------+CON.10.A9 Schutz vor SQL-Injection (B)
---------+CON.10.A10 Restriktive Herausgabe sicherheitsrelevanter Informationen (B)
---------+CON.10.A11 Softwarearchitektur einer Webanwendung (S)
---------+CON.10.A12 Verifikation essenzieller Änderungen (S)
---------+CON.10.A13 Fehlerbehandlung (S)
---------+CON.10.A14 Sichere HTTP-Konfiguration bei Webanwendungen (S)
---------+CON.10.A15 Verhinderung von Cross-Site-Request-Forgery (S)
---------+CON.10.A16 Mehr-Faktor-Authentisierung (S)
---------+CON.10.A17 Verhinderung der Blockade von Ressourcen (H)
---------+CON.10.A18 Kryptografische Absicherung vertraulicher Daten (H)
------+CON.11.1 Geheimschutz VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD)
---------+CON.11.1.G1 Unbefugte Kenntnisnahme
---------+CON.11.1.G2 Konspirative Angriffe
---------+CON.11.1.G3 Angriffe durch Innentäter und -täterinnen
---------+CON.11.1.A1 Einhaltung der Grundsätze zur VS-Verarbeitung mit IT nach § 3, 4 und 6 und Nr. 1 Anlage V zur VSA (B)
---------+CON.11.1.A2 Erstellung und Fortschreibung der VS-IT-Dokumentation nach § 12 und Nr. 2.2 Anlage II zur VSA (B)
---------+CON.11.1.A3 Einsatz von IT-Sicherheitsprodukten nach §§ 51, 52 VSA (B)
---------+CON.11.1.A4 Beschaffung von VS-IT nach § 49 VSA (B)
---------+CON.11.1.A5 Verpflichtung bei Zugang zu VS nach § 4 VSA und Anlage V zur VSA (B)
---------+CON.11.1.A6 Beaufsichtigung und Begleitung von Fremdpersonal für VS-IT nach §§ 3, 4 VSA (B)
---------+CON.11.1.A7 Kennzeichnung von elektronischen VS und Datenträgern nach §§ 20, 54 und Anlage III, V und VIII zur VSA (B)
---------+CON.11.1.A8 Verwaltung und Nachweis von elektronischen VS nach § 21 VSA (B)
---------+CON.11.1.A9 Speicherung elektronischer VS nach § 23 und Nr. 5 Anlage V zur VSA (B)
---------+CON.11.1.A10 Elektronische Übertragung von VS nach §§ 24, 53, 55 und Nr. 6.2 Anlage V zur VSA (B)
---------+CON.11.1.A11 Mitnahme elektronischer VS nach § 28 VSA und Nr. 7 Anlage V zur VSA (B)
---------+CON.11.1.A12 Archivierung elektronischer VS nach §§ 30, 31 VSA (B)
---------+CON.11.1.A13 Löschung elektronischer VS, Vernichtung von Datenträgern und IT-Produkten nach §§ 32, 56 und Nr. 8 Anlage V zur VSA (B)
---------+CON.11.1.A14 Zugangs- und Zugriffsschutz nach § 3 VSA (B)
---------+CON.11.1.A15 Handhabung von Datenträgern und IT-Produkten nach § 54 und Anlage V zur VSA (B)
---------+CON.11.1.A16 Zusammenschaltung von VS-IT nach § 58 VSA (B)
---------+CON.11.1.A17 Wartungs- und Instandsetzungsarbeiten von VS-IT nach § 3 Abs. 3 VSA (B)
---------+CON.11.1.A18 Fernwartung von VS-IT nach § 3 Abs. 3 VSA (B)
---+Betrieb
------+OPS.1.1.1 Allgemeiner IT-Betrieb
---------+OPS.1.1.1.G1 Unzureichende Personalkapazitäten
---------+OPS.1.1.1.G2 Verlust betriebsrelevanter Informationen
---------+OPS.1.1.1.G3 Eingeschränkte Verfügbarkeit von Betriebsmitteln
---------+OPS.1.1.1.G4 Missbrauch betriebsrelevanter Informationen und privilegierter Rechte durch berechtigte Personen
---------+OPS.1.1.1.G5 Erreichbarkeit oder Ausspähen von Betriebsmitteln und betriebsrelevanten Informationen durch Unbefugte
---------+OPS.1.1.1.G6 Fehlleiten des IT-Betriebs
---------+OPS.1.1.1.G7 Verhinderung von Betriebsprozessen
---------+OPS.1.1.1.A1 Festlegung der Aufgaben und Zuständigkeiten des IT-Betriebs (B)
---------+OPS.1.1.1.A2 Festlegung von Rollen und Berechtigungen für den IT-Betrieb (B)
---------+OPS.1.1.1.A3 Erstellen von Betriebshandbüchern für die betriebene IT (S)
---------+OPS.1.1.1.A4 Bereitstellen ausreichender Personal- und Sachressourcen (S)
---------+OPS.1.1.1.A5 Festlegen von gehärteten Standardkonfigurationen (S)
---------+OPS.1.1.1.A6 Durchführung des IT-Asset-Managements (S)
---------+OPS.1.1.1.A7 Sicherstellung eines ordnungsgemäßen IT-Betriebs (S)
---------+OPS.1.1.1.A8 Regelmäßiger Soll-Ist-Vergleich (S)
---------+OPS.1.1.1.A9 Durchführung von IT-Monitoring (S)
---------+OPS.1.1.1.A10 Führen eines Schwachstelleninventars (S)
---------+OPS.1.1.1.A11 Festlegung und Einhaltung von SLAs (S)
---------+OPS.1.1.1.A12 Spezifikation und Umsetzung klarer Betriebsprozesse (S)
---------+OPS.1.1.1.A13 Absicherung der Betriebsmittel und der Dokumentation (S)
---------+OPS.1.1.1.A14 Berücksichtigung der Betreibbarkeit bei Konzeption und Beschaffung (S)
---------+OPS.1.1.1.A15 Planung und Einsatz von Betriebsmitteln (S)
---------+OPS.1.1.1.A16 Schulung des Betriebspersonals (S)
---------+OPS.1.1.1.A17 Planung des IT-Betriebs unter besonderer Berücksichtigung von Mangel- und Notsituationen (S)
---------+OPS.1.1.1.A18 Planung des Einsatzes von Dienstleistenden (S)
---------+OPS.1.1.1.A19 Regelungen für Wartungs- und Reparaturarbeiten (S)
---------+OPS.1.1.1.A20 Prüfen auf Schwachstellen (S)
---------+OPS.1.1.1.A21 Einbinden der Betriebsmittel in das Sicherheitsmonitoring (H)
---------+OPS.1.1.1.A22 Automatisierte Tests auf Schwachstellen (H)
---------+OPS.1.1.1.A23 Durchführung von Penetrationstests (H)
---------+OPS.1.1.1.A24 Umfassendes Protokollieren der Prozessschritte im IT-Betrieb (H)
---------+OPS.1.1.1.A25 Sicherstellen von autark funktionierenden Betriebsmitteln (H)
---------+OPS.1.1.1.A26 Proaktive Instandhaltung im IT-Betrieb (H)
------+OPS.1.1.2 Ordnungsgemäße IT-Administration
---------+OPS.1.1.2.G1 Unzureichend geregelte Zuständigkeiten
---------+OPS.1.1.2.G2 Unzureichende Dokumentation
---------+OPS.1.1.2.G3 Missbrauch von privilegierten Berechtigungen durch Administrierende
---------+OPS.1.1.2.G4 Preisgabe von schützenswerten Informationen an unberechtigte Personen
---------+OPS.1.1.2.G5 Personalausfall von Kernkompetenzträgern
---------+OPS.1.1.2.G6 Unzureichende Verfügbarkeit von Administrierenden
---------+OPS.1.1.2.G7 Unzureichende Absicherung von Administrationswerkzeugen
---------+OPS.1.1.2.G8 Ausfall der Administrationsmöglichkeit
---------+OPS.1.1.2.G9 Fehlgeleitete Administration
---------+OPS.1.1.2.G10 Fehlerhafte Administration
---------+OPS.1.1.2.G11 Störung der IT durch IT-Administrationstätigkeiten
---------+OPS.1.1.2.A2 Vertretungsregelungen (B)
---------+OPS.1.1.2.A4 Beendigung der Tätigkeit in der IT-Administration (B)
---------+OPS.1.1.2.A5 Nachweisbarkeit von administrativen Tätigkeiten (B)
---------+OPS.1.1.2.A6 Schutz administrativer Tätigkeiten (B)
---------+OPS.1.1.2.A21 Regelung der IT-Administrationsrollen (B)
---------+OPS.1.1.2.A22 Trennung von administrativen und anderen Tätigkeiten (B)
---------+OPS.1.1.2.A7 Regelung der IT-Administrationstätigkeit (S)
---------+OPS.1.1.2.A8 Administration von Fachanwendungen (S)
---------+OPS.1.1.2.A11 Dokumentation von IT-Administrationstätigkeiten (S)
---------+OPS.1.1.2.A16 Erweiterte Sicherheitsmaßnahmen für Administrationszugänge (S)
---------+OPS.1.1.2.A23 Rollen- und Berechtigungskonzept für administrative Zugriffe (S)
---------+OPS.1.1.2.A24 Prüfen von IT-Administrationstätigkeiten (S)
---------+OPS.1.1.2.A25 Zeitfenster für schwerwiegende IT-Administrationstätigkeiten (S)
---------+OPS.1.1.2.A26 Backup der Konfiguration (S)
---------+OPS.1.1.2.A27 Ersatz für zentrale IT-Administrationswerkzeuge (S)
---------+OPS.1.1.2.A28 Protokollierung administrativer Tätigkeiten (S)
---------+OPS.1.1.2.A17 IT-Administration im Vier-Augen-Prinzip (H)
---------+OPS.1.1.2.A18 Durchgängige Protokollierung administrativer Tätigkeiten (H)
---------+OPS.1.1.2.A19 Nutzung hochverfügbarer IT-Administrationswerkzeuge (H)
---------+OPS.1.1.2.A29 Monitoring der IT-Administrationswerkzeuge (H)
---------+OPS.1.1.2.A30 Sicherheitsmonitoring administrativer Tätigkeiten (H)
------+OPS.1.1.3 Patch- und Änderungsmanagement
---------+OPS.1.1.3.G1 Mangelhaft festgelegte Zuständigkeiten
---------+OPS.1.1.3.G2 Mangelhafte Kommunikation beim Änderungsmanagement
---------+OPS.1.1.3.G3 Mangelhafte Berücksichtigung von Geschäftsprozessen und Fachaufgaben
---------+OPS.1.1.3.G4 Unzureichende Ressourcen beim Patch- und Änderungsmanagement
---------+OPS.1.1.3.G5 Probleme bei der automatisierten Verteilung von Patches und Änderungen
---------+OPS.1.1.3.G6 Mangelhafte Wiederherstellungsoptionen beim Patch- und Änderungsmanagement
---------+OPS.1.1.3.G7 Fehleinschätzung der Relevanz von Patches und Änderungen
---------+OPS.1.1.3.G8 Manipulation von Daten und Werkzeugen beim Änderungsmanagement
---------+OPS.1.1.3.A1 Konzept für das Patch- und Änderungsmanagement (B) [Fachverantwortliche]
---------+OPS.1.1.3.A2 Festlegung der Zuständigkeiten (B)
---------+OPS.1.1.3.A3 Konfiguration von Autoupdate-Mechanismen (B)
---------+OPS.1.1.3.A15 Regelmäßige Aktualisierung von IT-Systemen und Software (B)
---------+OPS.1.1.3.A5 Umgang mit Änderungsanforderungen (S) [Fachverantwortliche]
---------+OPS.1.1.3.A6 Abstimmung von Änderungsanforderungen (S)
---------+OPS.1.1.3.A7 Integration des Änderungsmanagements in die Geschäftsprozesse (S)
---------+OPS.1.1.3.A8 Sicherer Einsatz von Werkzeugen für das Patch- und Änderungsmanagement (S)
---------+OPS.1.1.3.A9 Test- und Abnahmeverfahren für neue Hardware (S)
---------+OPS.1.1.3.A10 Sicherstellung der Integrität und Authentizität von Softwarepaketen (S)
---------+OPS.1.1.3.A11 Kontinuierliche Dokumentation der Informationsverarbeitung (S)
---------+OPS.1.1.3.A12 Einsatz von Werkzeugen beim Änderungsmanagement (H)
---------+OPS.1.1.3.A13 Erfolgsmessung von Änderungsanforderungen (H) [Fachverantwortliche]
---------+OPS.1.1.3.A14 Synchronisierung innerhalb des Änderungsmanagements (H)
------+OPS.1.1.4 Schutz vor Schadprogrammen
---------+OPS.1.1.4.G1 Softwareschwachstellen und Drive-by-Downloads
---------+OPS.1.1.4.G2 Erpressung durch Ransomware
---------+OPS.1.1.4.G3 Gezielte Angriffe und Social Engineering
---------+OPS.1.1.4.G4 Botnetze
---------+OPS.1.1.4.G5 Infektion von Produktionssystemen und IoT-Geräten
---------+OPS.1.1.4.A1 Erstellung eines Konzepts für den Schutz vor Schadprogrammen (B)
---------+OPS.1.1.4.A2 Nutzung systemspezifischer Schutzmechanismen (B)
---------+OPS.1.1.4.A3 Auswahl eines Virenschutzprogrammes (B)
---------+OPS.1.1.4.A5 Betrieb und Konfiguration von Virenschutzprogrammen (B)
---------+OPS.1.1.4.A6 Regelmäßige Aktualisierung der eingesetzten Virenschutzprogramme (B)
---------+OPS.1.1.4.A7 Sensibilisierung und Verpflichtung der Benutzenden (B) [Benutzende]
---------+OPS.1.1.4.A9 Meldung von Infektionen mit Schadprogrammen (S) [Benutzende]
---------+OPS.1.1.4.A10 Nutzung spezieller Analyseumgebungen (H)
---------+OPS.1.1.4.A11 Einsatz mehrerer Scan-Engines (H)
---------+OPS.1.1.4.A12 Einsatz von Datenträgerschleusen (H)
---------+OPS.1.1.4.A13 Umgang mit nicht vertrauenswürdigen Dateien (H)
---------+OPS.1.1.4.A14 Auswahl und Einsatz von Cyber-Sicherheitsprodukten gegen gezielte Angriffe (H)
------+OPS.1.1.5 Protokollierung
---------+OPS.1.1.5.G1 Fehlende oder unzureichende Protokollierung
---------+OPS.1.1.5.G2 Fehlerhafte Auswahl von relevanten Protokollierungsdaten
---------+OPS.1.1.5.G3 Fehlende oder fehlerhafte Zeitsynchronisation bei der Protokollierung
---------+OPS.1.1.5.G4 Fehlplanung bei der Protokollierung
---------+OPS.1.1.5.G5 Vertraulichkeits- und Integritätsverlust von Protokollierungsdaten
---------+OPS.1.1.5.G6 Falsch konfigurierte Protokollierung
---------+OPS.1.1.5.G7 Ausfall von Datenquellen für Protokollierungsdaten
---------+OPS.1.1.5.G8 Ungenügend dimensionierte Protokollierungsinfrastruktur
---------+OPS.1.1.5.A1 Erstellung einer Sicherheitsrichtlinie für die Protokollierung (B) [Fachverantwortliche]
---------+OPS.1.1.5.A3 Konfiguration der Protokollierung auf System- und Netzebene (B)
---------+OPS.1.1.5.A4 Zeitsynchronisation der IT-Systeme (B)
---------+OPS.1.1.5.A5 Einhaltung rechtlicher Rahmenbedingungen (B)
---------+OPS.1.1.5.A6 Aufbau einer zentralen Protokollierungsinfrastruktur (S)
---------+OPS.1.1.5.A8 Archivierung von Protokollierungsdaten (S)
---------+OPS.1.1.5.A9 Bereitstellung von Protokollierungsdaten für die Auswertung (S)
---------+OPS.1.1.5.A10 Zugriffsschutz für Protokollierungsdaten (S)
---------+OPS.1.1.5.A11 Steigerung des Protokollierungsumfangs (H)
---------+OPS.1.1.5.A12 Verschlüsselung der Protokollierungsdaten (H)
---------+OPS.1.1.5.A13 Hochverfügbare Protokollierungsinfrastruktur (H)
------+OPS.1.1.6 Software-Tests und -Freigaben
---------+OPS.1.1.6.G1 Software-Tests mit Produktivdaten
---------+OPS.1.1.6.G2 Fehlendes oder unzureichendes Testverfahren
---------+OPS.1.1.6.G3 Fehlendes oder unzureichendes Freigabeverfahren
---------+OPS.1.1.6.G4 Fehlende oder unzureichende Dokumentation der Tests und Testergebnisse
---------+OPS.1.1.6.G5 Fehlende oder unzureichende Dokumentation der Freigabekriterien
---------+OPS.1.1.6.A1 Planung der Software-Tests (B)
---------+OPS.1.1.6.A2 Durchführung von funktionalen Software-Tests (B) [Testende]
---------+OPS.1.1.6.A3 Auswertung der Testergebnisse (B) [Testende]
---------+OPS.1.1.6.A4 Freigabe der Software (B) [Fachverantwortliche]
---------+OPS.1.1.6.A5 Durchführung von Software-Tests für nicht funktionale Anforderungen (B) [Testende]
---------+OPS.1.1.6.A11 Verwendung von anonymisierten oder pseudonymisierten Testdaten (B) [Datenschutzbeauftragte, Testende]
---------+OPS.1.1.6.A6 Geordnete Einweisung der Software-Testenden (S) [Fachverantwortliche]
---------+OPS.1.1.6.A7 Personalauswahl der Software-Testenden (S) [Personalabteilung, Fachverantwortliche]
---------+OPS.1.1.6.A10 Erstellung eines Abnahmeplans (S)
---------+OPS.1.1.6.A12 Durchführung von Regressionstests (S) [Testende]
---------+OPS.1.1.6.A13 Trennung der Testumgebung von der Produktivumgebung (S)
---------+OPS.1.1.6.A15 Überprüfung der Installation und zugehörigen Dokumentation (S) [Testende]
---------+OPS.1.1.6.A14 Durchführung von Penetrationstests (H) [Testende]
---------+OPS.1.1.6.A16 Sicherheitsüberprüfung der Testenden (H)
------+OPS.1.1.7 Systemmanagement
---------+OPS.1.1.7.G1 Unberechtigter Zugriff auf die Systemmanagement-Lösung
---------+OPS.1.1.7.G2 Fehler in Automatisierungsfunktionen für das Systemmanagement
---------+OPS.1.1.7.G3 Unberechtigte Eingriffe in die Systemmanagement-Kommunikation
---------+OPS.1.1.7.G4 Unzureichende Zeitsynchronisation der Systemmanagement-Komponenten
---------+OPS.1.1.7.G5 Inkompatibilität zwischen den zu verwaltenden Systemen und der Systemmanagement-Lösung
---------+OPS.1.1.7.G6 Verbindungsverlust zwischen Anwendenden und Systemmanagement-Lösung
---------+OPS.1.1.7.G7 Verbindungsverlust zwischen Systemmanagement-Lösung und zu verwaltenden Systemen
---------+OPS.1.1.7.G8 Unzureichende Abstimmung zwischen Systemmanagement und Netzmanagement
---------+OPS.1.1.7.A1 Anforderungsspezifikation für das Systemmanagement (B)
---------+OPS.1.1.7.A2 Planung des Systemmanagements (B)
---------+OPS.1.1.7.A3 Zeitsynchronisation für das Systemmanagement (B)
---------+OPS.1.1.7.A4 Absicherung der Systemmanagement-Kommunikation (B)
---------+OPS.1.1.7.A5 Gegenseitige Authentisierung von Systemmanagement-Lösung und zu verwaltenden Systemen (B)
---------+OPS.1.1.7.A6 Absicherung des Zugriffs auf die Systemmanagement-Lösung (B)
---------+OPS.1.1.7.A7 Festlegung einer Sicherheitsrichtlinie für das Systemmanagement (S)
---------+OPS.1.1.7.A8 Erstellung eines Systemmanagement-Konzepts (S)
---------+OPS.1.1.7.A9 Fein- und Umsetzungsplanung für das Systemmanagement (S)
---------+OPS.1.1.7.A10 Konzept für den sicheren Betrieb der Systemmanagement-Lösung (S)
---------+OPS.1.1.7.A11 Regelmäßiger Soll-Ist-Vergleich im Rahmen des Systemmanagements (S)
---------+OPS.1.1.7.A12 Auslösung von Aktionen durch die zentralen Komponenten der Systemmanagement-Lösung (S)
---------+OPS.1.1.7.A13 Verpflichtung zur Nutzung der vorgesehenen Schnittstellen für das Systemmanagement (S)
---------+OPS.1.1.7.A14 Zentrale Konfigurationsverwaltung für zu verwaltende Systeme (S)
---------+OPS.1.1.7.A15 Statusüberwachung, Protokollierung und Alarmierung bei relevanten Ereignissen im Systemmanagement-Lösung und den zu verwaltenden Systemen (S)
---------+OPS.1.1.7.A16 Einbindung des Systemmanagements in die Notfallplanung (S)
---------+OPS.1.1.7.A17 Kontrolle der Systemmanagement-Kommunikation (S)
---------+OPS.1.1.7.A18 Überprüfung des Systemzustands (S)
---------+OPS.1.1.7.A19 Absicherung der Systemmanagement-Kommunikation zwischen der Systemmanagement-Lösung und den zu verwaltenden Systemen (S)
---------+OPS.1.1.7.A20 Hochverfügbare Realisierung der Systemmanagement-Lösung (H)
---------+OPS.1.1.7.A21 Physische Trennung der zentralen Systemmanagementnetze (H)
---------+OPS.1.1.7.A22 Einbindung des Systemmanagements in automatisierte Detektionssysteme (H)
---------+OPS.1.1.7.A23 Standort-übergreifende Zeitsynchronisation für das Systemmanagement (H)
---------+OPS.1.1.7.A24 Automatisierte Überprüfung von sicherheitsrelevanten Konfigurationen durch geeignete Detektionssysteme (H)
---------+OPS.1.1.7.A25 Protokollierung und Reglementierung von Systemmanagement-Sitzungen (H)
---------+OPS.1.1.7.A26 Entkopplung von Zugriffen auf die Systemmanagement-Lösung (H)
------+OPS.1.2.2 Archivierung
---------+OPS.1.2.2.G1 Überalterung von Archivsystemen
---------+OPS.1.2.2.G2 Unzureichende Ordnungskriterien für Archive
---------+OPS.1.2.2.G3 Unbefugte Archivzugriffe aufgrund unzureichender Protokollierung
---------+OPS.1.2.2.G4 Unzulängliche Übertragung von Papierdaten in ein elektronisches Archiv
---------+OPS.1.2.2.G5 Unzureichende Erneuerung von kryptografischen Verfahren bei der Archivierung
---------+OPS.1.2.2.G6 Unzureichende Revisionen der Archivierung
---------+OPS.1.2.2.G7 Verstoß gegen rechtliche Rahmenbedingungen beim Einsatz von Archivierung
---------+OPS.1.2.2.A1 Ermittlung von Einflussfaktoren für die elektronische Archivierung (B)
---------+OPS.1.2.2.A2 Entwicklung eines Archivierungskonzepts (B)
---------+OPS.1.2.2.A3 Geeignete Aufstellung von Archivsystemen und Lagerung von Archivmedien (B) [IT-Betrieb]
---------+OPS.1.2.2.A4 Konsistente Indizierung von Daten bei der Archivierung (B) [IT-Betrieb, Benutzende]
---------+OPS.1.2.2.A5 Regelmäßige Aufbereitung von archivierten Datenbeständen (B) [IT-Betrieb]
---------+OPS.1.2.2.A6 Schutz der Integrität der Indexdatenbank von Archivsystemen (B) [IT-Betrieb]
---------+OPS.1.2.2.A7 Regelmäßige Datensicherung der System- und Archivdaten (B) [IT-Betrieb]
---------+OPS.1.2.2.A8 Protokollierung der Archivzugriffe (B) [IT-Betrieb]
---------+OPS.1.2.2.A9 Auswahl geeigneter Datenformate für die Archivierung von Dokumenten (B) [IT-Betrieb]
---------+OPS.1.2.2.A10 Erstellung einer Richtlinie für die Nutzung von Archivsystemen (S) [IT-Betrieb]
---------+OPS.1.2.2.A11 Einweisung in die Administration und Bedienung des Archivsystems (S) [IT-Betrieb, Benutzende]
---------+OPS.1.2.2.A12 Überwachung der Speicherressourcen von Archivmedien (S) [IT-Betrieb]
---------+OPS.1.2.2.A13 Regelmäßige Revision der Archivierungsprozesse (S)
---------+OPS.1.2.2.A14 Regelmäßige Beobachtung des Marktes für Archivsysteme (S) [IT-Betrieb]
---------+OPS.1.2.2.A15 Regelmäßige Aufbereitung von kryptografisch gesicherten Daten bei der Archivierung (S) [IT-Betrieb]
---------+OPS.1.2.2.A16 Regelmäßige Erneuerung technischer Archivsystem-Komponenten (S) [IT-Betrieb]
---------+OPS.1.2.2.A17 Auswahl eines geeigneten Archivsystems (S) [IT-Betrieb]
---------+OPS.1.2.2.A18 Verwendung geeigneter Archivmedien (S) [IT-Betrieb]
---------+OPS.1.2.2.A19 Regelmäßige Funktions- und Recoverytests bei der Archivierung (S) [IT-Betrieb]
---------+OPS.1.2.2.A20 Geeigneter Einsatz kryptografischer Verfahren bei der Archivierung (H) [IT-Betrieb]
---------+OPS.1.2.2.A21 Übertragung von Papierdaten in elektronische Archive (H)
------+OPS.1.2.4 Telearbeit
---------+OPS.1.2.4.G1 Fehlende oder unzureichende Regelungen für den Telearbeitsplatz
---------+OPS.1.2.4.G2 Unerlaubte private Nutzung des dienstlichen Telearbeitsrechners
---------+OPS.1.2.4.G3 Verzögerungen durch temporär eingeschränkte Erreichbarkeit der Mitarbeitenden
---------+OPS.1.2.4.G4 Mangelhafte Einbindung der Mitarbeitenden in den Informationsfluss
---------+OPS.1.2.4.G5 Nichtbeachtung von Sicherheitsmaßnahmen
---------+OPS.1.2.4.A1 Regelungen für Telearbeit (B) [Vorgesetzte, Personalabteilung]
---------+OPS.1.2.4.A2 Sicherheitstechnische Anforderungen an den Telearbeitsrechner (B)
---------+OPS.1.2.4.A5 Sensibilisierung und Schulung der Mitarbeitenden (B)
---------+OPS.1.2.4.A6 Erstellen eines Sicherheitskonzeptes für Telearbeit (S)
---------+OPS.1.2.4.A7 Regelung der Nutzung von Kommunikationsmöglichkeiten bei Telearbeit (S) [IT-Betrieb, Mitarbeitende]
---------+OPS.1.2.4.A8 Informationsfluss zwischen Mitarbeitenden und Institution (S) [Vorgesetzte, Mitarbeitende]
---------+OPS.1.2.4.A9 Betreuungs- und Wartungskonzept für Telearbeitsplätze (S) [IT-Betrieb, Mitarbeitende]
---------+OPS.1.2.4.A10 Durchführung einer Anforderungsanalyse für den Telearbeitsplatz (S) [IT-Betrieb]
------+OPS.1.2.5 Fernwartung
---------+OPS.1.2.5.G1 Unzureichende Kenntnisse über Regelungen der Fernwartung
---------+OPS.1.2.5.G2 Fehlende oder unzureichende Planung und Regelung der Fernwartung
---------+OPS.1.2.5.G3 Ungeeignete Nutzung von Authentisierung bei der Fernwartung
---------+OPS.1.2.5.G4 Fehlerhafte Fernwartung
---------+OPS.1.2.5.G5 Verwendung unsicherer Protokolle in der Fernwartung
---------+OPS.1.2.5.G6 Fehlende Regelungen zur Fremdnutzung der Fernwartungszugänge
---------+OPS.1.2.5.G7 Nutzung von Online-Diensten für die Fernwartung
---------+OPS.1.2.5.G8 Unbekannte Fernwartungskomponenten
---------+OPS.1.2.5.A1 Planung des Einsatzes der Fernwartung (B)
---------+OPS.1.2.5.A2 Sicherer Verbindungsaufbau bei der Fernwartung von Clients (B) [Benutzende]
---------+OPS.1.2.5.A3 Absicherung der Schnittstellen zur Fernwartung (B)
---------+OPS.1.2.5.A5 Einsatz von Online-Diensten (S)
---------+OPS.1.2.5.A6 Erstellung einer Richtlinie für die Fernwartung (S)
---------+OPS.1.2.5.A7 Dokumentation bei der Fernwartung (S)
---------+OPS.1.2.5.A8 Sichere Protokolle bei der Fernwartung (S)
---------+OPS.1.2.5.A9 Auswahl und Beschaffung geeigneter Fernwartungswerkzeuge (S)
---------+OPS.1.2.5.A10 Umgang mit Fernwartungswerkzeugen (S)
---------+OPS.1.2.5.A17 Authentisierungsmechanismen bei der Fernwartung (S)
---------+OPS.1.2.5.A19 Fernwartung durch Dritte (S)
---------+OPS.1.2.5.A20 Betrieb der Fernwartung (S)
---------+OPS.1.2.5.A21 Erstellung eines Notfallplans für den Ausfall der Fernwartung (S)
---------+OPS.1.2.5.A24 Absicherung integrierter Fernwartungssysteme (S)
---------+OPS.1.2.5.A25 Entkopplung der Kommunikation bei der Fernwartung (S)
---------+OPS.1.2.5.A14 Dedizierte Clients und Konten bei der Fernwartung (H)
---------+OPS.1.2.5.A22 Redundante Kommunikationsverbindungen (H)
------+OPS.1.2.6 NTP-Zeitsynchronisation
---------+OPS.1.2.6.G1 Unzureichende Planung des Einsatzes von NTP
---------+OPS.1.2.6.G2 Keine oder fehlerhafte Zeitinformationen
---------+OPS.1.2.6.G3 Widersprüchliche Zeitinformationen
---------+OPS.1.2.6.G4 Manipulation der NTP-Kommunikation
---------+OPS.1.2.6.A1 Planung des NTP- Einsatzes (B)
---------+OPS.1.2.6.A2 Sichere Nutzung fremder Zeitquellen (B)
---------+OPS.1.2.6.A3 Sichere Konfiguration von NTP-Servern (B)
---------+OPS.1.2.6.A4 Nichtberücksichtigung unaufgeforderter Zeitinformationen (B)
---------+OPS.1.2.6.A5 Nutzung des Client-Server-Modus für NTP (S)
---------+OPS.1.2.6.A6 Überwachung von IT-Systemen mit NTP-Nutzung (S)
---------+OPS.1.2.6.A7 Sichere Konfiguration von NTP-Clients (S)
---------+OPS.1.2.6.A8 Einsatz sicherer Protokolle zur Zeitsynchronisation (S)
---------+OPS.1.2.6.A9 Verfügbarkeit ausreichend vieler genauer Zeitquellen (H)
---------+OPS.1.2.6.A10 Ausschließlich interne NTP-Server (H)
---------+OPS.1.2.6.A11 Redundante NTP-Server (H)
---------+OPS.1.2.6.A12 NTP-Server mit authentifizierten Auskünften (H)
------+OPS.2.3 Nutzung von Outsourcing
---------+OPS.2.3.G1 Unzureichende Strategie für das Outsourcing
---------+OPS.2.3.G2 Gefahr des Outsourcings von institutionskritischen Prozessen
---------+OPS.2.3.G3 Abhängigkeit von Anbietenden von Outsourcing
---------+OPS.2.3.G4 Unzureichendes Niveau der Informationssicherheit beim Outsourcing
---------+OPS.2.3.G5 Mangelhaftes Auslagerungsmanagement
---------+OPS.2.3.G6 Unzulängliche vertragliche Regelungen mit Anbietenden von Outsourcing
---------+OPS.2.3.G7 Ungeeignete Verwaltung von Zutritts-, Zugangs- und Zugriffsrechten
---------+OPS.2.3.G8 Kontroll- und Steuerverlust durch Weiterverlagerungen
---------+OPS.2.3.G9 Fehlende und unzulängliche Instrumente zur Steuerung von Anbietenden von Outsourcing
---------+OPS.2.3.G10 Unzulängliche Regelungen für eine geplante und ungeplante Beendigung eines Outsourcing-Verhältnisses
---------+OPS.2.3.G11 Unzureichendes Notfallkonzept
---------+OPS.2.3.A1 Erstellung von Anforderungsprofilen für Prozesse (B) [Fachverantwortliche]
---------+OPS.2.3.A2 Verfolgung eines risikoorientierten Ansatzes im Auslagerungsmanagement (B)
---------+OPS.2.3.A3 Festlegung von Eignungsanforderungen an Anbietende von Outsourcing (B) [Fachverantwortliche, Institutionsleitung]
---------+OPS.2.3.A4 Grundanforderungen an Verträge mit Anbietenden von Outsourcing (B)
---------+OPS.2.3.A5 Vereinbarung der Mandantenfähigkeit (B)
---------+OPS.2.3.A6 Festlegung von Sicherheitsanforderungen und Erstellung eines Sicherheitskonzeptes für das Outsourcing-Vorhaben (B)
---------+OPS.2.3.A7 Regelungen für eine geplante oder ungeplante Beendigung eines Outsourcing-Verhältnisses (B) [Fachverantwortliche, Institutionsleitung]
---------+OPS.2.3.A8 Erstellung einer Strategie für Outsourcing-Vorhaben (S) [Institutionsleitung]
---------+OPS.2.3.A9 Etablierung einer Richtlinie zur Auslagerung (S) [Institutionsleitung]
---------+OPS.2.3.A10 Etablierung einer zuständigen Person für das Auslagerungsmanagement (S) [Personalabteilung]
---------+OPS.2.3.A11 Führung eines Auslagerungsregisters (S)
---------+OPS.2.3.A12 Erstellung von Auslagerungsberichten (S)
---------+OPS.2.3.A13 Bereitstellung der erforderlichen Kompetenzen bei der Vertragsgestaltung (S) [Institutionsleitung]
---------+OPS.2.3.A14 Erweiterte Anforderungen an Verträge mit Anbietenden von Outsourcing (S)
---------+OPS.2.3.A15 Anbindung an die Netze der Outsourcing-Partner (S)
---------+OPS.2.3.A16 Prüfung der Anbietenden von Outsourcing (S)
---------+OPS.2.3.A17 Regelungen für den Einsatz des Personals von Anbietenden von Outsourcing (S)
---------+OPS.2.3.A18 Überprüfung der Vereinbarungen mit Anbietenden von Outsourcing (S)
---------+OPS.2.3.A19 Überprüfung der Handlungsalternativen hinsichtlich einer geplanten oder ungeplanten Beendigung eines Outsourcing-Verhältnisses (S) [Beschaffungsstelle]
---------+OPS.2.3.A20 Etablierung sowie Einbeziehung von Anbietenden von Outsourcing im Notfallkonzept (S) [Notfallbeauftragte]
---------+OPS.2.3.A21 Abschluss von ESCROW-Verträgen bei softwarenahen Dienstleistungen (H)
---------+OPS.2.3.A22 Durchführung von gemeinsamen Notfall- und Krisenübungen (H) [Notfallbeauftragte]
---------+OPS.2.3.A23 Einsatz von Verschlüsselungen (H)
---------+OPS.2.3.A24 Sicherheits- und Eignungsüberprüfung von Mitarbeitenden (H) [Personalabteilung]
---------+OPS.2.3.A25 Errichtung und Nutzung einer Sandbox für eingehende Daten vom Anbietenden von Outsourcing (H)
------+OPS.2.2 Cloud-Nutzung
---------+OPS.2.2.G1 Fehlende oder unzureichende Strategie für die Cloud-Nutzung
---------+OPS.2.2.G2 Abhängigkeit von Cloud-Diensteanbietenden (Kontrollverlust)
---------+OPS.2.2.G3 Mangelhaftes Anforderungsmanagement bei der Cloud-Nutzung
---------+OPS.2.2.G4 Verstoß gegen rechtliche Vorgaben
---------+OPS.2.2.G5 Fehlende Mandantenfähigkeit bei Cloud-Diensteanbietenden
---------+OPS.2.2.G6 Unzulängliche vertragliche Regelungen mit Cloud-Diensteanbietenden
---------+OPS.2.2.G7 Mangelnde Planung der Migration zu Cloud-Diensten
---------+OPS.2.2.G8 Unzureichende Einbindung von Cloud-Diensten in die eigene IT
---------+OPS.2.2.G9 Unzureichende Regelungen für das Ende eines Cloud-Nutzungs-Vorhabens
---------+OPS.2.2.G10 Unzureichendes Administrationsmodell für die Cloud-Nutzung
---------+OPS.2.2.G11 Unzureichendes Notfallvorsorgekonzept
---------+OPS.2.2.G12 Ausfall der IT-Systeme der Cloud-Diensteanbietenden
---------+OPS.2.2.A1 Erstellung einer Strategie für die Cloud-Nutzung (B) [Fachverantwortliche, Institutionsleitung, Datenschutzbeauftragte]
---------+OPS.2.2.A2 Erstellung einer Sicherheitsrichtlinie für die Cloud-Nutzung (B) [Fachverantwortliche]
---------+OPS.2.2.A3 Service-Definition für Cloud-Dienste (B) [Fachverantwortliche]
---------+OPS.2.2.A4 Festlegung von Verantwortungsbereichen und Schnittstellen (B) [Fachverantwortliche]
---------+OPS.2.2.A5 Planung der sicheren Migration zu einem Cloud-Dienst (S) [Fachverantwortliche]
---------+OPS.2.2.A6 Planung der sicheren Einbindung von Cloud-Diensten (S)
---------+OPS.2.2.A7 Erstellung eines Sicherheitskonzeptes für die Cloud-Nutzung (S)
---------+OPS.2.2.A8 Sorgfältige Auswahl von Cloud-Diensteanbietenden (S) [Institutionsleitung]
---------+OPS.2.2.A9 Vertragsgestaltung mit den Cloud-Diensteanbietenden (S) [Institutionsleitung]
---------+OPS.2.2.A10 Sichere Migration zu einem Cloud-Dienst (S) [Fachverantwortliche]
---------+OPS.2.2.A11 Erstellung eines Notfallkonzeptes für einen Cloud-Dienst (S)
---------+OPS.2.2.A12 Aufrechterhaltung der Informationssicherheit im laufenden Cloud-Nutzungs-Betrieb (S)
---------+OPS.2.2.A13 Nachweis einer ausreichenden Informationssicherheit bei der Cloud-Nutzung (S)
---------+OPS.2.2.A14 Geordnete Beendigung eines Cloud-Nutzungs-Verhältnisses (S) [Fachverantwortliche, Institutionsleitung]
---------+OPS.2.2.A15 Sicherstellung der Portabilität von Cloud-Diensten (H) [Fachverantwortliche]
---------+OPS.2.2.A16 Durchführung eigener Datensicherungen (H) [Fachverantwortliche]
---------+OPS.2.2.A17 Einsatz von Verschlüsselung bei Cloud-Nutzung (H)
---------+OPS.2.2.A18 Einsatz von Verbunddiensten (H) [Fachverantwortliche]
---------+OPS.2.2.A19 Sicherheitsüberprüfung von Mitarbeitenden (H) [Personalabteilung]
------+OPS.3.2 Anbieten von Outsourcing
---------+OPS.3.2.G1 Unzureichendes Informationssicherheitsmanagement bei Anbietenden von Outsourcing
---------+OPS.3.2.G2 Unzureichendes Notfallmanagement der Anbietenden von Outsourcing
---------+OPS.3.2.G3 Unzulängliche vertragliche Regelungen mit Nutzenden von Outsourcing
---------+OPS.3.2.G4 Schwachstellen bei der Anbindung Nutzender von Outsourcing
---------+OPS.3.2.G5 Abhängigkeit von Sub-Dienstleistenden
---------+OPS.3.2.G6 Ungeeignete Konfiguration und Verwaltung von Zutritts-, Zugangs- und Zugriffsrechten
---------+OPS.3.2.G7 Unzureichende Mandantenfähigkeit bei Anbietenden von Outsourcing
---------+OPS.3.2.G8 Kontroll- und Steuerungsverlust bei der Weiterverlagerung an Sub-Dienstleistende
---------+OPS.3.2.G9 Unzulängliche Regelungen für eine geplante oder ungeplante Beendigung eines Outsourcing-Verhältnisses
---------+OPS.3.2.A1 Einhaltung der Schutzziele der Informationssicherheit durch ein Informationssicherheitsmanagement (B)
---------+OPS.3.2.A2 Grundanforderungen an Verträge mit Nutzenden von Outsourcing (B)
---------+OPS.3.2.A3 Weitergabe der vertraglich geregelten Bestimmungen mit Nutzenden von Outsourcing an Sub-Dienstleistende (B)
---------+OPS.3.2.A4 Erstellung eines Mandantentrennungskonzepts (B)
---------+OPS.3.2.A5 Erstellung eines Sicherheitskonzepts für die Outsourcing-Dienstleistung (B)
---------+OPS.3.2.A6 Regelungen für eine geplante und ungeplante Beendigung eines Outsourcing-Verhältnisses (B)
---------+OPS.3.2.A7 Bereitstellung der ausgelagerten Dienstleistung durch multiple Sub-Dienstleistende (S)
---------+OPS.3.2.A8 Erstellung einer Richtlinie für die Outsourcing-Dienstleistungen (S)
---------+OPS.3.2.A9 Überprüfung der Vereinbarung mit Nutzenden von Outsourcing (S)
---------+OPS.3.2.A10 Etablierung eines sicheren Kommunikationskanals und Festlegung der Kommunikationspartner (S)
---------+OPS.3.2.A11 Etablierung eines Notfallkonzepts (S) [Notfallbeauftragte]
---------+OPS.3.2.A12 Durchführung einer risikoorientierten Betrachtung von Prozessen, Anwendungen und IT-Systemen (S)
---------+OPS.3.2.A13 Anbindung an die Netze der Outsourcing-Partner (S)
---------+OPS.3.2.A14 Überwachung der Prozesse, Anwendungen und IT-Systeme (S)
---------+OPS.3.2.A15 Berichterstattung gegenüber den Nutzenden von Outsourcing (S)
---------+OPS.3.2.A16 Transparenz über die Outsourcing-Kette der ausgelagerten Kundenprozesse (S)
---------+OPS.3.2.A17 Zutritts-, Zugangs- und Zugriffskontrolle (S)
---------+OPS.3.2.A18 Regelungen für den Einsatz von Sub-Dienstleistenden (S)
---------+OPS.3.2.A19 Sicherheitsüberprüfung von Beschäftigten (H)
---------+OPS.3.2.A20 Verschlüsselte Datenübertragung und -speicherung (H)
---------+OPS.3.2.A21 Durchführung von gemeinsamen Notfall- und Krisenübungen (H) [Notfallbeauftragte]
---+Detektion und Reaktion
------+DER.1 Detektion von sicherheitsrelevanten Ereignissen
---------+DER.1.G1 Missachtung von gesetzlichen Vorschriften und betrieblichen Mitbestimmungsrechten
---------+DER.1.G2 Unzureichende Qualifikation der Mitarbeitenden
---------+DER.1.G3 Fehlerhafte Administration der eingesetzten Detektionssysteme
---------+DER.1.G4 Fehlende Informationen über den zu schützenden Informationsverbund
---------+DER.1.G5 Unzureichende Nutzung von Detektionssystemen
---------+DER.1.G6 Unzureichende personelle Ressourcen
---------+DER.1.A1 Erstellung einer Sicherheitsrichtlinie für die Detektion von sicherheitsrelevanten Ereignissen (B)
---------+DER.1.A2 Einhaltung rechtlicher Bedingungen bei der Auswertung von Protokollierungsdaten (B)
---------+DER.1.A3 Festlegung von Meldewegen für sicherheitsrelevante Ereignisse (B)
---------+DER.1.A4 Sensibilisierung der Mitarbeitenden (B) [Vorgesetzte, Benutzende, Mitarbeitende]
---------+DER.1.A5 Einsatz von mitgelieferten Systemfunktionen zur Detektion (B) [Fachverantwortliche]
---------+DER.1.A6 Kontinuierliche Überwachung und Auswertung von Protokollierungsdaten (S)
---------+DER.1.A7 Schulung von Zuständigen (S) [Vorgesetzte]
---------+DER.1.A9 Einsatz zusätzlicher Detektionssysteme (S) [Fachverantwortliche]
---------+DER.1.A10 Einsatz von TLS-/SSL-Proxies (S) [Fachverantwortliche]
---------+DER.1.A11 Nutzung einer zentralen Protokollierungsinfrastruktur für die Auswertung sicherheitsrelevanter Ereignisse (S) [Fachverantwortliche]
---------+DER.1.A12 Auswertung von Informationen aus externen Quellen (S) [Fachverantwortliche]
---------+DER.1.A13 Regelmäßige Audits der Detektionssysteme (S)
---------+DER.1.A14 Auswertung der Protokollierungsdaten durch spezialisiertes Personal (H)
---------+DER.1.A15 Zentrale Detektion und Echtzeitüberprüfung von Ereignismeldungen (H)
---------+DER.1.A16 Einsatz von Detektionssystemen nach Schutzbedarfsanforderungen (H)
---------+DER.1.A17 Automatische Reaktion auf sicherheitsrelevante Ereignisse (H)
---------+DER.1.A18 Durchführung regelmäßiger Integritätskontrollen (H)
------+DER.2.1 Behandlung von Sicherheitsvorfällen
---------+DER.2.1.G1 Ungeeigneter Umgang mit Sicherheitsvorfällen
---------+DER.2.1.G2 Zerstörung von Beweisspuren bei der Behandlung von Sicherheitsvorfällen
---------+DER.2.1.A1 Definition eines Sicherheitsvorfalls (B)
---------+DER.2.1.A2 Erstellung einer Richtlinie zur Behandlung von Sicherheitsvorfällen (B)
---------+DER.2.1.A3 Festlegung von Verantwortlichkeiten und Ansprechpersonen bei Sicherheitsvorfällen (B)
---------+DER.2.1.A4 Benachrichtigung betroffener Stellen bei Sicherheitsvorfällen (B) [Institutionsleitung, IT-Betrieb, Datenschutzbeauftragte, Notfallbeauftragte]
---------+DER.2.1.A5 Behebung von Sicherheitsvorfällen (B) [IT-Betrieb]
---------+DER.2.1.A6 Wiederherstellung der Betriebsumgebung nach Sicherheitsvorfällen (B) [IT-Betrieb]
---------+DER.2.1.A7 Etablierung einer Vorgehensweise zur Behandlung von Sicherheitsvorfällen (S) [Institutionsleitung]
---------+DER.2.1.A8 Aufbau von Organisationsstrukturen zur Behandlung von Sicherheitsvorfällen (S)
---------+DER.2.1.A9 Festlegung von Meldewegen für Sicherheitsvorfälle (S)
---------+DER.2.1.A10 Eindämmen der Auswirkung von Sicherheitsvorfällen (S) [Notfallbeauftragte, IT-Betrieb]
---------+DER.2.1.A11 Einstufung von Sicherheitsvorfällen (S) [IT-Betrieb]
---------+DER.2.1.A12 Festlegung der Schnittstellen der Sicherheitsvorfallbehandlung zur Störungs- und Fehlerbehebung (S) [Notfallbeauftragte]
---------+DER.2.1.A13 Einbindung in das Sicherheits- und Notfallmanagement (S) [Notfallbeauftragte]
---------+DER.2.1.A14 Eskalationsstrategie für Sicherheitsvorfälle (S) [IT-Betrieb]
---------+DER.2.1.A15 Schulung der Mitarbeitenden des Service Desks (S) [IT-Betrieb]
---------+DER.2.1.A16 Dokumentation der Behebung von Sicherheitsvorfällen (S)
---------+DER.2.1.A17 Nachbereitung von Sicherheitsvorfällen (S)
---------+DER.2.1.A18 Weiterentwicklung der Prozesse durch Erkenntnisse aus Sicherheitsvorfällen und Branchenentwicklungen (S) [Fachverantwortliche]
---------+DER.2.1.A19 Festlegung von Prioritäten für die Behandlung von Sicherheitsvorfällen (H) [Institutionsleitung]
---------+DER.2.1.A20 Einrichtung einer dedizierten Meldestelle für Sicherheitsvorfälle (H)
---------+DER.2.1.A21 Einrichtung eines Teams von Fachleuten für die Behandlung von Sicherheitsvorfällen (H)
---------+DER.2.1.A22 Überprüfung der Effizienz des Managementsystems zur Behandlung von Sicherheitsvorfällen (H)
------+DER.2.2 Vorsorge für die IT-Forensik
---------+DER.2.2.G1 Verstoß gegen rechtliche Rahmenbedingungen
---------+DER.2.2.G2 Verlust von Beweismitteln durch fehlerhafte oder unvollständige Beweissicherung
---------+DER.2.2.A1 Prüfung rechtlicher und regulatorischer Rahmenbedingungen zur Erfassung und Auswertbarkeit (B) [Datenschutzbeauftragte, Institutionsleitung]
---------+DER.2.2.A2 Erstellung eines Leitfadens für Erstmaßnahmen bei einem IT-Sicherheitsvorfall (B)
---------+DER.2.2.A3 Vorauswahl von Forensik-Dienstleistenden (B)
---------+DER.2.2.A4 Festlegung von Schnittstellen zum Krisen- und Notfallmanagement (S)
---------+DER.2.2.A5 Erstellung eines Leitfadens für Beweissicherungsmaßnahmen bei IT-Sicherheitsvorfällen (S)
---------+DER.2.2.A6 Schulung des Personals für die Umsetzung der forensischen Sicherung (S)
---------+DER.2.2.A7 Auswahl von Werkzeugen zur Forensik (S)
---------+DER.2.2.A8 Auswahl und Reihenfolge der zu sichernden Beweismittel (S) [Fachverantwortliche]
---------+DER.2.2.A9 Vorauswahl forensisch relevanter Daten (S) [Fachverantwortliche]
---------+DER.2.2.A10 IT-forensische Sicherung von Beweismitteln (S) [Fachverantwortliche]
---------+DER.2.2.A11 Dokumentation der Beweissicherung (S) [Fachverantwortliche]
---------+DER.2.2.A12 Sichere Verwahrung von Originaldatenträgern und Beweismitteln (S) [Fachverantwortliche]
---------+DER.2.2.A13 Rahmenverträge mit externen Dienstleistenden (H)
---------+DER.2.2.A14 Festlegung von Standardverfahren für die Beweissicherung (H)
---------+DER.2.2.A15 Durchführung von Übungen zur Beweissicherung (H)
------+DER.2.3 Bereinigung weitreichender Sicherheitsvorfälle
---------+DER.2.3.G1 Unvollständige Bereinigung
---------+DER.2.3.G2 Vernichtung von Spuren
---------+DER.2.3.G3 Vorzeitige Alarmierung der Angreifenden
---------+DER.2.3.G4 Datenverlust und Ausfall von IT-Systemen
---------+DER.2.3.G5 Fehlender Netzumbau nach einem APT-Angriff
---------+DER.2.3.A1 Einrichtung eines Leitungsgremiums (B)
---------+DER.2.3.A2 Entscheidung für eine Bereinigungsstrategie (B)
---------+DER.2.3.A3 Isolierung der betroffenen Netzabschnitte (B)
---------+DER.2.3.A4 Sperrung und Änderung von Zugangsdaten und kryptografischen Schlüsseln (B)
---------+DER.2.3.A5 Schließen des initialen Einbruchswegs (B)
---------+DER.2.3.A6 Rückführung in den Produktivbetrieb (B)
---------+DER.2.3.A7 Gezielte Systemhärtung (S)
---------+DER.2.3.A8 Etablierung sicherer, unabhängiger Kommunikationskanäle (S)
---------+DER.2.3.A9 Hardwaretausch betroffener IT-Systeme (H)
---------+DER.2.3.A10 Umbauten zur Erschwerung eines erneuten Angriffs durch dieselben Angreifenden (H)
------+DER.3.1 Audits und Revisionen
---------+DER.3.1.G1 Unzureichende oder nicht planmäßige Umsetzung von Sicherheitsmaßnahmen
---------+DER.3.1.G2 Wirkungslose oder nicht wirtschaftliche Umsetzung von Sicherheitsmaßnahmen
---------+DER.3.1.G3 Unzureichende Umsetzung des ISMS
---------+DER.3.1.G4 Unzureichende Qualifikation der Prüfenden
---------+DER.3.1.G5 Fehlende langfristige Planung
---------+DER.3.1.G6 Fehlende Planung und Abstimmung bei der Durchführung eines Audits
---------+DER.3.1.G7 Fehlende Abstimmung mit der Personalvertretung
---------+DER.3.1.G8 Absichtliches Verschweigen von Abweichungen
---------+DER.3.1.A1 Definition von Verantwortlichkeiten (B) [Institutionsleitung]
---------+DER.3.1.A2 Vorbereitung eines Audits oder einer Revision (B)
---------+DER.3.1.A3 Durchführung eines Audits (B) [Auditteam]
---------+DER.3.1.A4 Durchführung einer Revision (B)
---------+DER.3.1.A5 Integration in den Informationssicherheitsprozess (S)
---------+DER.3.1.A6 Definition der Prüfungsgrundlage und eines einheitlichen Bewertungsschemas (S)
---------+DER.3.1.A7 Erstellung eines Auditprogramms (S)
---------+DER.3.1.A8 Erstellung einer Revisionsliste (S)
---------+DER.3.1.A9 Auswahl eines geeigneten Audit- oder Revionsteams (S)
---------+DER.3.1.A10 Erstellung eines Audit- oder Revisionsplans (S) [Auditteam]
---------+DER.3.1.A11 Kommunikation und Verhalten während der Prüfungen (S) [Auditteam]
---------+DER.3.1.A12 Durchführung eines Auftaktgesprächs (S) [Auditteam]
---------+DER.3.1.A13 Sichtung und Prüfung der Dokumente (S) [Auditteam]
---------+DER.3.1.A14 Auswahl von Stichproben (S) [Auditteam]
---------+DER.3.1.A15 Auswahl von geeigneten Prüfmethoden (S) [Auditteam]
---------+DER.3.1.A16 Ablaufplan der Vor-Ort-Prüfung (S) [Auditteam]
---------+DER.3.1.A17 Durchführung der Vor-Ort-Prüfung (S) [Auditteam]
---------+DER.3.1.A18 Durchführung von Interviews (S) [Auditteam]
---------+DER.3.1.A19 Überprüfung des Risikobehandlungsplans (S) [Auditteam]
---------+DER.3.1.A20 Durchführung einer Abschlussbesprechung (S) [Auditteam]
---------+DER.3.1.A21 Auswertung der Prüfungen (S) [Auditteam]
---------+DER.3.1.A22 Erstellung eines Auditberichts (S) [Auditteam]
---------+DER.3.1.A23 Dokumentation der Revisionsergebnisse (S)
---------+DER.3.1.A24 Abschluss des Audits oder der Revision (S) [Auditteam]
---------+DER.3.1.A25 Nachbereitung eines Audits (S)
---------+DER.3.1.A26 Überwachen und Anpassen des Auditprogramms (S)
---------+DER.3.1.A27 Aufbewahrung und Archivierung von Unterlagen zu Audits und Revisionen (S)
------+DER.3.2 Revisionen auf Basis des Leitfadens IS-Revision
---------+DER.3.2.G1 Verstoß gegen die Vorgaben des UP Bund
---------+DER.3.2.G2 Aussetzen von Sicherheitsmaßnahmen
---------+DER.3.2.G3 Wirkungslose oder nicht wirtschaftliche Umsetzung von Sicherheitsmaßnahmen
---------+DER.3.2.G4 Unzureichende Umsetzung des Managementsystems für Informationssicherheit
---------+DER.3.2.G5 Unzureichende Qualifikation des Prüfteams
---------+DER.3.2.G6 Befangenheit interner IS-Revisionsteams
---------+DER.3.2.G7 Fehlende langfristige Planung
---------+DER.3.2.G8 Mangelhafte Planung und Abstimmung bei der Durchführung von IS-Revisionen
---------+DER.3.2.G9 Fehlende Abstimmung mit der Personalvertretung
---------+DER.3.2.G10 Absichtliches Verschweigen von Abweichungen oder Problemen
---------+DER.3.2.G11 Vertraulichkeitsverlust von schützenswerten Informationen
---------+DER.3.2.A1 Benennung von Verantwortlichen für die IS-Revision (B) [Institutionsleitung]
---------+DER.3.2.A2 Erstellung eines IS-Revisionshandbuches (B)
---------+DER.3.2.A3 Definition der Prüfungsgrundlage (B)
---------+DER.3.2.A4 Erstellung einer Planung für die IS-Revision (B)
---------+DER.3.2.A5 Auswahl eines geeigneten IS-Revisionsteams (B)
---------+DER.3.2.A6 Vorbereitung einer IS-Revision (B) [IS-Revisionsteam]
---------+DER.3.2.A7 Durchführung einer IS-Revision (B) [IS-Revisionsteam]
---------+DER.3.2.A8 Aufbewahrung von IS-Revisionsberichten (B)
---------+DER.3.2.A9 Integration in den Informationssicherheitsprozess (S)
---------+DER.3.2.A10 Kommunikationsabsprache (S)
---------+DER.3.2.A11 Durchführung eines Auftaktgesprächs für eine IS-Querschnittsrevision (S) [IS-Revisionsteam]
---------+DER.3.2.A12 Erstellung eines Prüfplans (S) [IS-Revisionsteam]
---------+DER.3.2.A13 Sichtung und Prüfung der Dokumente (S) [IS-Revisionsteam]
---------+DER.3.2.A14 Auswahl der Zielobjekte und der zu prüfenden Anforderungen (S) [IS-Revisionsteam]
---------+DER.3.2.A15 Auswahl von geeigneten Prüfmethoden (S) [IS-Revisionsteam]
---------+DER.3.2.A16 Erstellung eines Ablaufplans für die Vor-Ort-Prüfung (S) [IS-Revisionsteam]
---------+DER.3.2.A17 Durchführung der Vor-Ort-Prüfung (S) [IS-Revisionsteam]
---------+DER.3.2.A18 Durchführung von Interviews (S) [IS-Revisionsteam]
---------+DER.3.2.A19 Überprüfung der gewählten Risikobehandlungsoptionen (S) [IS-Revisionsteam]
---------+DER.3.2.A20 Nachbereitung der Vor-Ort-Prüfung (S) [IS-Revisionsteam]
---------+DER.3.2.A21 Erstellung eines IS-Revisionsberichts (S) [IS-Revisionsteam]
---------+DER.3.2.A22 Nachbereitung einer IS-Revision (S)
------+DER.4 Notfallmanagement
---------+DER.4.G1 Personalausfall
---------+DER.4.G2 Ausfall von IT-Systemen
---------+DER.4.G3 Ausfall eines Weitverkehrsnetzes (WAN)
---------+DER.4.G4 Ausfall eines Gebäudes
---------+DER.4.G5 Ausfall einer Lieferung oder Dienstleistung
---------+DER.4.A1 Erstellung eines Notfallhandbuchs (S)
---------+DER.4.A2 Integration von Notfallmanagement und Informationssicherheitsmanagement (S) [Informationssicherheitsbeauftragte (ISB)]
---------+DER.4.A3 Festlegung des Geltungsbereichs und der Notfallmanagementstrategie (H) [Institutionsleitung]
---------+DER.4.A4 Leitlinie zum Notfallmanagement und Übernahme der Gesamtverantwortung durch die Institutionsleitung (H) [Institutionsleitung]
---------+DER.4.A5 Aufbau einer geeigneten Organisationsstruktur für das Notfallmanagement (H) [Institutionsleitung]
---------+DER.4.A6 Bereitstellung angemessener Ressourcen für das Notfallmanagement (H) [Institutionsleitung]
---------+DER.4.A7 Erstellung eines Notfallkonzepts (H) [Institutionsleitung]
---------+DER.4.A8 Integration der Mitarbeitenden in den Notfallmanagement-Prozess (H) [Vorgesetzte, Personalabteilung]
---------+DER.4.A9 Integration von Notfallmanagement in organisationsweite Abläufe und Prozesse (H) [Institutionsleitung]
---------+DER.4.A10 Tests und Notfallübungen (H) [Institutionsleitung]
---------+DER.4.A12 Dokumentation im Notfallmanagement-Prozess (H)
---------+DER.4.A13 Überprüfung und Steuerung des Notfallmanagement-Systems (H) [Institutionsleitung]
---------+DER.4.A14 Regelmäßige Überprüfung und Verbesserung der Notfallmaßnahmen (H) [Institutionsleitung]
---------+DER.4.A15 Bewertung der Leistungsfähigkeit des Notfallmanagementsystems (H) [Institutionsleitung]
---------+DER.4.A16 Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten (H) [Institutionsleitung]
---+Anwendungen
------+APP.1.1 Office-Produkte
---------+APP.1.1.G1 Fehlende Anpassung der Office-Produkte an den Bedarf der Institution
---------+APP.1.1.G2 Schädliche Inhalte in Office-Dokumenten
---------+APP.1.1.G3 Integritätsverlust von Office-Dokumenten
---------+APP.1.1.A2 Einschränken von Aktiven Inhalten (B)
---------+APP.1.1.A3 Sicheres Öffnen von Dokumenten aus externen Quellen (B) [Benutzende]
---------+APP.1.1.A17 Sensibilisierung zu spezifischen Office-Eigenschaften (B)
---------+APP.1.1.A6 Testen neuer Versionen von Office-Produkten (S)
---------+APP.1.1.A10 Regelung der Software-Entwicklung durch Endbenutzende (S)
---------+APP.1.1.A11 Geregelter Einsatz von Erweiterungen für Office-Produkte (S)
---------+APP.1.1.A12 Verzicht auf Cloud-Speicherung (S) [Benutzende]
---------+APP.1.1.A13 Verwendung von Viewer-Funktionen (S) [Benutzende]
---------+APP.1.1.A14 Schutz gegen nachträgliche Veränderungen von Dokumenten (S) [Benutzende]
---------+APP.1.1.A15 Einsatz von Verschlüsselung und Digitalen Signaturen (H)
---------+APP.1.1.A16 Integritätsprüfung von Dokumenten (H)
------+APP.1.2 Webbrowser
---------+APP.1.2.G1 Ausführung von Schadcode durch Webbrowser
---------+APP.1.2.G2 Exploit Kits
---------+APP.1.2.G3 Mitlesen der Internetkommunikation
---------+APP.1.2.G4 Integritätsverlust in Webbrowsern
---------+APP.1.2.G5 Verlust der Privatsphäre
---------+APP.1.2.A1 Verwendung von grundlegenden Sicherheitsmechanismen (B)
---------+APP.1.2.A2 Unterstützung sicherer Verschlüsselung der Kommunikation (B)
---------+APP.1.2.A3 Verwendung von vertrauenswürdigen Zertifikaten (B)
---------+APP.1.2.A6 Kennwortmanagement im Webbrowser (B)
---------+APP.1.2.A13 Nutzung von DNS-over-HTTPS (B)
---------+APP.1.2.A7 Datensparsamkeit in Webbrowsern (S) [Benutzende]
---------+APP.1.2.A9 Einsatz einer isolierten Webbrowser-Umgebung (H)
---------+APP.1.2.A10 Verwendung des privaten Modus (H) [Benutzende]
---------+APP.1.2.A11 Überprüfung auf schädliche Inhalte (H)
---------+APP.1.2.A12 Zwei-Browser-Strategie (H)
------+APP.1.4 Mobile Anwendungen (Apps)
---------+APP.1.4.G1 Ungeeignete Auswahl von Apps
---------+APP.1.4.G2 Zu weitreichende Berechtigungen
---------+APP.1.4.G3 Ungewollte Funktionen in Apps
---------+APP.1.4.G4 Software-Schwachstellen und Fehler in Apps
---------+APP.1.4.G5 Unsichere Speicherung lokaler Anwendungsdaten
---------+APP.1.4.G6 Ableitung vertraulicher Informationen aus Metadaten
---------+APP.1.4.G7 Abfluss von vertraulichen Daten
---------+APP.1.4.G8 Unsichere Kommunikation mit Backend-Systemen
---------+APP.1.4.G9 Kommunikationswege außerhalb der Infrastruktur der Institution
---------+APP.1.4.A1 Anforderungsanalyse für die Nutzung von Apps (B) [Fachverantwortliche]
---------+APP.1.4.A5 Minimierung und Kontrolle von App-Berechtigungen (B) [Fachverantwortliche]
---------+APP.1.4.A7 Sichere Speicherung lokaler App-Daten (B)
---------+APP.1.4.A8 Verhinderung von Datenabfluss (B)
---------+APP.1.4.A3 Verteilung schutzbedürftiger Apps (S)
---------+APP.1.4.A12 Sichere Deinstallation von Apps (S)
---------+APP.1.4.A14 Unterstützung zusätzlicher Authentisierungsmerkmale bei Apps (H)
---------+APP.1.4.A15 Durchführung von Penetrationstests für Apps (H)
---------+APP.1.4.A16 Mobile Application Management (H)
------+APP.2.1 Allgemeiner Verzeichnisdienst
---------+APP.2.1.G1 Fehlende oder unzureichende Planung des Einsatzes von Verzeichnisdiensten
---------+APP.2.1.G2 Fehlerhafte oder unzureichende Planung der Partitionierung und Replizierung im Verzeichnisdienst
---------+APP.2.1.G3 Fehlerhafte Administration von Zugangs- und Zugriffsrechten
---------+APP.2.1.G4 Fehlerhafte Konfiguration des Zugriffs auf Verzeichnisdienste
---------+APP.2.1.G5 Ausfall von Verzeichnisdiensten
---------+APP.2.1.G6 Kompromittierung von Verzeichnisdiensten durch unbefugten Zugriff
---------+APP.2.1.G7 Fehlerhafte Konfiguration von Verzeichnisdiensten
---------+APP.2.1.A1 Erstellung einer Sicherheitsrichtlinie für Verzeichnisdienste (B)
---------+APP.2.1.A2 Planung des Einsatzes von Verzeichnisdiensten (B) [Datenschutzbeauftragte, Fachverantwortliche]
---------+APP.2.1.A3 Einrichtung von Zugriffsberechtigungen auf Verzeichnisdienste (B) [Fachverantwortliche]
---------+APP.2.1.A5 Sichere Konfiguration und Konfigurationsänderungen von Verzeichnisdiensten (B)
---------+APP.2.1.A6 Sicherer Betrieb von Verzeichnisdiensten (B)
---------+APP.2.1.A17 Absicherung von schutzbedürftigen Anmeldeinformationen (B)
---------+APP.2.1.A8 Planung einer Partitionierung im Verzeichnisdienst (S)
---------+APP.2.1.A9 Geeignete Auswahl von Komponenten für Verzeichnisdienste (S) [Fachverantwortliche]
---------+APP.2.1.A11 Einrichtung des Zugriffs auf Verzeichnisdienste (S)
---------+APP.2.1.A12 Überwachung von Verzeichnisdiensten (S)
---------+APP.2.1.A13 Absicherung der Kommunikation mit Verzeichnisdiensten (S)
---------+APP.2.1.A14 Geregelte Außerbetriebnahme eines Verzeichnisdienstes (S) [Fachverantwortliche]
---------+APP.2.1.A15 Migration von Verzeichnisdiensten (S)
---------+APP.2.1.A18 Planung einer Replikation im Verzeichnisdienst (S)
---------+APP.2.1.A19 Umgang mit anonymen Zugriffen auf Verzeichnisdienste (S)
---------+APP.2.1.A16 Erstellung eines Notfallplans für den Ausfall eines Verzeichnisdienstes (H)
---------+APP.2.1.A20 Absicherung der Replikation (H)
---------+APP.2.1.A21 Hochverfügbarkeit des Verzeichnisdienstes (H)
------+APP.2.2 Active Directory Domain Services
---------+APP.2.2.G1 Unzureichende Planung der Sicherheitsgrenzen
---------+APP.2.2.G2 Zu viele oder nachlässige Vertrauensbeziehungen
---------+APP.2.2.G3 Fehlende Sicherheitsfunktionen durch ältere Betriebssysteme und Domänen- und Gesamtstruktur-Funktionsebenen
---------+APP.2.2.G4 Betrieb weiterer Rollen und Dienste auf Domänencontrollern
---------+APP.2.2.G5 Unzureichende Überwachung und Dokumentation von delegierten Rechten
---------+APP.2.2.G6 Unsichere Authentisierung
---------+APP.2.2.G7 Zu mächtige oder schwach gesicherte Konten
---------+APP.2.2.G8 Nutzung desselben lokalen Administrierendenpassworts auf mehreren IT-Systemen
---------+APP.2.2.G9 Unsichere Speicherung von Passwörtern
---------+APP.2.2.G10 Unzureichende Absicherung von Domänencontrollern
---------+APP.2.2.G11 Hinterlassen von hochprivilegierten Anmeldeinformationen auf Domänenmitgliedsservern und -clients
---------+APP.2.2.G12 Hinzufügen nicht vertrauenswürdiger IT-Systemen zur Windows-Domäne
---------+APP.2.2.G13 Vermaschung von administrativen Privilegien durch Integration von weiteren Anwendungen
---------+APP.2.2.A1 Planung von Active Directory Domain Services (B) [Fachverantwortliche]
---------+APP.2.2.A3 Planung der Gruppenrichtlinien unter Windows (B)
---------+APP.2.2.A5 Absicherung des Domänencontrollers (B)
---------+APP.2.2.A6 Sichere Konfiguration von Vertrauensbeziehungen (B)
---------+APP.2.2.A7 Umsetzung sicherer Verwaltungsmethoden für Active Directory (B) [Fachverantwortliche]
---------+APP.2.2.A16 Härtung der AD-DS-Konten (B)
---------+APP.2.2.A17 Anmelderestriktionen für hochprivilegierte Konten der Gesamtstruktur auf Clients und Servern (B)
---------+APP.2.2.A18 Einschränken des Hinzufügens neuer Computer-Objekte zur Domäne (B)
---------+APP.2.2.A8 Absicherung des „Sicheren Kanals“ (S)
---------+APP.2.2.A9 Schutz der Authentisierung beim Einsatz von AD DS (S)
---------+APP.2.2.A12 Datensicherung für Domänencontroller (S)
---------+APP.2.2.A15 Auslagerung der Administration in eine eigene Gesamtstruktur (H)
---------+APP.2.2.A19 Betrieb von virtualisierten Domänencontrollern (H)
---------+APP.2.2.A20 Trennung von Organisationseinheiten (H)
---------+APP.2.2.A21 Konfiguration eines Schichtenmodells (H)
---------+APP.2.2.A22 Zeitlich befristete Berechtigungen für die Administration (H)
---------+APP.2.2.A23 Regelmäßige Analyse von Berechtigungen und resultierenden Angriffspfaden (H)
------+APP.2.3 OpenLDAP
---------+APP.2.3.G1 Fehlende oder unzureichende Planung von OpenLDAP
---------+APP.2.3.G2 Unzureichende Trennung von Offline- und Online-Zugriffen auf OpenLDAP
---------+APP.2.3.A1 Planung und Auswahl von Backends und Overlays für OpenLDAP (B)
---------+APP.2.3.A3 Sichere Konfiguration von OpenLDAP (B)
---------+APP.2.3.A4 Konfiguration der durch OpenLDAP verwendeten Datenbank (B)
---------+APP.2.3.A5 Sichere Vergabe von Zugriffsrechten auf dem OpenLDAP (B)
---------+APP.2.3.A6 Sichere Authentisierung gegenüber OpenLDAP (B)
---------+APP.2.3.A8 Einschränkungen von Attributen bei OpenLDAP (S)
---------+APP.2.3.A9 Partitionierung und Replikation bei OpenLDAP (S)
---------+APP.2.3.A10 Sichere Aktualisierung von OpenLDAP (S)
---------+APP.2.3.A11 Einschränkung der OpenLDAP-Laufzeitumgebung (S)
------+APP.3.1 Webanwendungen und Webservices
---------+APP.3.1.G1 Unzureichende Protokollierung von sicherheitsrelevanten Ereignissen
---------+APP.3.1.G2 Offenlegung sicherheitsrelevanter Informationen bei Webanwendungen und Webservices
---------+APP.3.1.G3 Missbrauch einer Webanwendung durch automatisierte Nutzung
---------+APP.3.1.G4 Unzureichende Authentisierung
---------+APP.3.1.A1 Authentisierung (B)
---------+APP.3.1.A4 Kontrolliertes Einbinden von Dateien und Inhalten (B)
---------+APP.3.1.A7 Schutz vor unerlaubter automatisierter Nutzung (B)
---------+APP.3.1.A14 Schutz vertraulicher Daten (B)
---------+APP.3.1.A8 Systemarchitektur (S) [Beschaffungsstelle]
---------+APP.3.1.A9 Beschaffung von Webanwendungen und Webservices (S)
---------+APP.3.1.A11 Sichere Anbindung von Hintergrundsystemen (S)
---------+APP.3.1.A12 Sichere Konfiguration (S)
---------+APP.3.1.A21 Sichere HTTP-Konfiguration bei Webanwendungen (S)
---------+APP.3.1.A22 Penetrationstest und Revision (S)
---------+APP.3.1.A20 Einsatz von Web Application Firewalls (H)
------+APP.3.2 Webserver
---------+APP.3.2.G1 Reputationsverlust
---------+APP.3.2.G2 Manipulation des Webservers
---------+APP.3.2.G3 Denial of Service (DoS)
---------+APP.3.2.G4 Verlust vertraulicher Daten
---------+APP.3.2.G5 Verstoß gegen Gesetze oder Regelungen
---------+APP.3.2.G6 Fehlende oder mangelhafte Fehlerbehebung
---------+APP.3.2.A1 Sichere Konfiguration eines Webservers (B)
---------+APP.3.2.A2 Schutz der Webserver-Dateien (B)
---------+APP.3.2.A3 Absicherung von Datei-Uploads und -Downloads (B)
---------+APP.3.2.A4 Protokollierung von Ereignissen (B)
---------+APP.3.2.A5 Authentisierung (B)
---------+APP.3.2.A7 Rechtliche Rahmenbedingungen für Webangebote (B) [Fachverantwortliche, Zentrale Verwaltung, Compliance-Beauftragte]
---------+APP.3.2.A11 Verschlüsselung über TLS (B)
---------+APP.3.2.A8 Planung des Einsatzes eines Webservers (S)
---------+APP.3.2.A9 Festlegung einer Sicherheitsrichtlinie für den Webserver (S)
---------+APP.3.2.A10 Auswahl eines geeigneten Webhosters (S)
---------+APP.3.2.A12 Geeigneter Umgang mit Fehlern und Fehlermeldungen (S)
---------+APP.3.2.A13 Zugriffskontrolle für Webcrawler (S)
---------+APP.3.2.A14 Integritätsprüfungen und Schutz vor Schadsoftware (S)
---------+APP.3.2.A16 Penetrationstest und Revision (S)
---------+APP.3.2.A20 Benennung von Anzusprechenden (S) [Zentrale Verwaltung]
---------+APP.3.2.A15 Redundanz (H)
---------+APP.3.2.A18 Schutz vor Denial-of-Service-Angriffen (H)
------+APP.3.3 Fileserver
---------+APP.3.3.G1 Ausfall eines Fileservers
---------+APP.3.3.G2 Unzureichende Dimensionierung des Fileservers
---------+APP.3.3.G3 Unzureichende Überprüfung von abgelegten Dateien
---------+APP.3.3.G4 Fehlendes oder unzureichendes Zugriffsberechtigungskonzept
---------+APP.3.3.G5 Unstrukturierte Datenhaltung
---------+APP.3.3.G6 Verlust von auf Fileservern abgespeicherten Daten
---------+APP.3.3.G7 Ransomware
---------+APP.3.3.A2 Einsatz von RAID-Systemen (B)
---------+APP.3.3.A3 Einsatz von Viren-Schutzprogrammen (B)
---------+APP.3.3.A15 Planung von Fileservern (B)
---------+APP.3.3.A6 Beschaffung eines Fileservers und Auswahl eines Dienstes (S)
---------+APP.3.3.A7 Auswahl eines Dateisystems (S)
---------+APP.3.3.A8 Strukturierte Datenhaltung (S) [Benutzende]
---------+APP.3.3.A9 Sicheres Speichermanagement (S)
---------+APP.3.3.A11 Einsatz von Speicherbeschränkungen (S)
---------+APP.3.3.A14 Einsatz von Error-Correction-Codes (S)
---------+APP.3.3.A12 Verschlüsselung des Datenbestandes (H)
---------+APP.3.3.A13 Replikation zwischen Standorten (H)
------+APP.3.4 Samba
---------+APP.3.4.G1 Abhören ungeschützter Kommunikationsverbindungen von Samba
---------+APP.3.4.G2 Unsichere Standardeinstellungen auf Samba-Servern
---------+APP.3.4.G3 Unberechtigte Nutzung oder Administration von Samba
---------+APP.3.4.G4 Fehlerhafte Administration von Samba
---------+APP.3.4.G5 Datenverlust bei Samba
---------+APP.3.4.G6 Integritätsverlust schützenswerter Informationen bei Samba
---------+APP.3.4.A1 Planung des Einsatzes eines Samba-Servers (B)
---------+APP.3.4.A2 Sichere Grundkonfiguration eines Samba-Servers (B)
---------+APP.3.4.A3 Sichere Konfiguration eines Samba-Servers (S)
---------+APP.3.4.A4 Vermeidung der NTFS-Eigenschaften auf einem Samba-Server (S)
---------+APP.3.4.A5 Sichere Konfiguration der Zugriffssteuerung bei einem Samba-Server (S)
---------+APP.3.4.A6 Sichere Konfiguration von Winbind unter Samba (S)
---------+APP.3.4.A7 Sichere Konfiguration von DNS unter Samba (S)
---------+APP.3.4.A8 Sichere Konfiguration von LDAP unter Samba (S)
---------+APP.3.4.A9 Sichere Konfiguration von Kerberos unter Samba (S)
---------+APP.3.4.A10 Sicherer Einsatz externer Programme auf einem Samba-Server (S)
---------+APP.3.4.A12 Schulung der Administrierenden eines Samba-Servers (S)
---------+APP.3.4.A13 Regelmäßige Sicherung wichtiger Systemkomponenten eines Samba-Servers (S)
---------+APP.3.4.A15 Verschlüsselung der Datenpakete unter Samba (H)
------+APP.3.6 DNS-Server
---------+APP.3.6.G1 Ausfall des DNS-Servers
---------+APP.3.6.G2 Unzureichende Leitungskapazitäten
---------+APP.3.6.G3 Fehlende oder unzureichende Planung des DNS-Einsatzes
---------+APP.3.6.G4 Fehlerhafte Domain-Informationen
---------+APP.3.6.G5 Fehlerhafte Konfiguration eines DNS-Servers
---------+APP.3.6.G6 DNS-Manipulation
---------+APP.3.6.G7 DNS-Hijacking
---------+APP.3.6.G8 DNS-DoS
---------+APP.3.6.G9 DNS-Reflection
---------+APP.3.6.A1 Planung des DNS-Einsatzes (B)
---------+APP.3.6.A2 Einsatz redundanter DNS-Server (B)
---------+APP.3.6.A3 Verwendung von separaten DNS-Servern für interne und externe Anfragen (B)
---------+APP.3.6.A4 Sichere Grundkonfiguration eines DNS-Servers (B)
---------+APP.3.6.A6 Absicherung von dynamischen DNS-Updates (B)
---------+APP.3.6.A7 Überwachung von DNS-Servern (B)
---------+APP.3.6.A8 Verwaltung von Domainnamen (B) [Zentrale Verwaltung]
---------+APP.3.6.A9 Erstellen eines Notfallplans für DNS-Server (B)
---------+APP.3.6.A10 Auswahl eines geeigneten DNS-Server-Produktes (S)
---------+APP.3.6.A11 Ausreichende Dimensionierung der DNS-Server (S)
---------+APP.3.6.A13 Einschränkung der Sichtbarkeit von Domain-Informationen (S)
---------+APP.3.6.A14 Platzierung der Nameserver (S)
---------+APP.3.6.A15 Auswertung der Logdaten (S)
---------+APP.3.6.A16 Integration eines DNS-Servers in eine "P-A-P"-Struktur (S)
---------+APP.3.6.A17 Einsatz von DNSSEC (S)
---------+APP.3.6.A18 Erweiterte Absicherung von Zonentransfers (S)
---------+APP.3.6.A19 Aussonderung von DNS-Servern (S)
---------+APP.3.6.A20 Prüfung des Notfallplans auf Durchführbarkeit (H)
---------+APP.3.6.A21 Hidden Master (H)
---------+APP.3.6.A22 Anbindung der DNS-Server über unterschiedliche Provider (H)
------+APP.4.2 SAP-ERP-System
---------+APP.4.2.G1 Fehlende Berücksichtigung der Sicherheitsempfehlungen von SAP
---------+APP.4.2.G2 Fehlendes oder nicht zeitnahes Einspielen von Patches und SAP-Sicherheitshinweisen
---------+APP.4.2.G3 Mangelnde Planung, Umsetzung und Dokumentation eines SAP-Berechtigungskonzeptes
---------+APP.4.2.G4 Fehlende SAP-Dokumentation und fehlende Notfallkonzepte
---------+APP.4.2.A1 Sichere Konfiguration des SAP-ABAP-Stacks (B)
---------+APP.4.2.A2 Sichere Konfiguration des SAP-JAVA-Stacks (B)
---------+APP.4.2.A3 Netzsicherheit (B)
---------+APP.4.2.A4 Absicherung der ausgelieferten SAP-Standard-Konten (B)
---------+APP.4.2.A5 Konfiguration und Absicherung der SAP-Konten-Verwaltung (B)
---------+APP.4.2.A6 Erstellung und Umsetzung eines Konten- und Berechtigungskonzeptes (B) [Fachabteilung, Entwickelnde]
---------+APP.4.2.A7 Absicherung der SAP-Datenbanken (B)
---------+APP.4.2.A8 Absicherung der SAP-RFC-Schnittstelle (B)
---------+APP.4.2.A9 Absicherung und Überwachung des Message-Servers (B)
---------+APP.4.2.A11 Sichere Installation eines SAP-ERP-Systems (S)
---------+APP.4.2.A12 SAP-Berechtigungsentwicklung (S) [Fachabteilung, Entwickelnde]
---------+APP.4.2.A13 SAP-Passwortsicherheit (S)
---------+APP.4.2.A14 Identifizierung kritischer SAP-Berechtigungen (S) [Fachabteilung]
---------+APP.4.2.A15 Sichere Konfiguration des SAP-Routers (S)
---------+APP.4.2.A16 Umsetzung von Sicherheitsanforderungen für das Betriebssystem Windows (S)
---------+APP.4.2.A17 Umsetzung von Sicherheitsanforderungen für das Betriebssystem Unix (S)
---------+APP.4.2.A18 Abschaltung von unsicherer Kommunikation (S)
---------+APP.4.2.A19 Definition der Sicherheitsrichtlinien für Konten (S)
---------+APP.4.2.A20 Sichere SAP-GUI-Einstellungen (S)
---------+APP.4.2.A22 Schutz des Spools im SAP-ERP-System (S) [Entwickelnde]
---------+APP.4.2.A23 Schutz der SAP-Hintergrundverarbeitung (S) [Entwickelnde]
---------+APP.4.2.A24 Aktivierung und Absicherung des Internet Communication Frameworks (S)
---------+APP.4.2.A25 Sichere Konfiguration des SAP Web Dispatchers (S)
---------+APP.4.2.A26 Schutz von selbstentwickeltem Code im SAP-ERP-System (S)
---------+APP.4.2.A27 Audit des SAP-ERP-Systems (S) [Fachabteilung]
---------+APP.4.2.A28 Erstellung eines Notfallkonzeptes (S) [Notfallbeauftragte]
---------+APP.4.2.A29 Einrichten von Notfall-Konten (S)
---------+APP.4.2.A30 Implementierung eines kontinuierlichen Monitorings der Sicherheitseinstellungen (S)
---------+APP.4.2.A31 Konfiguration von SAP Single-Sign-On (S)
---------+APP.4.2.A32 Echtzeiterfassung und Alarmierung von irregulären Vorgängen (H)
------+APP.4.3 Relationale Datenbanken
---------+APP.4.3.G1 Unzureichende Dimensionierung der Systemressourcen
---------+APP.4.3.G2 Aktivierte Standard-Konten
---------+APP.4.3.G3 Unverschlüsselte Datenbankanbindung
---------+APP.4.3.G4 Datenverlust in der Datenbank
---------+APP.4.3.G5 Integritätsverlust der gespeicherten Daten
---------+APP.4.3.G6 SQL-Injections
---------+APP.4.3.G7 Unsichere Konfiguration des Datenbankmanagementsystems
---------+APP.4.3.G8 Malware und unsichere Datenbank-Skripte
---------+APP.4.3.A1 Erstellung einer Sicherheitsrichtlinie für Datenbanksysteme (B)
---------+APP.4.3.A3 Basishärtung des Datenbankmanagementsystems (B)
---------+APP.4.3.A4 Geregeltes Anlegen neuer Datenbanken (B)
---------+APP.4.3.A9 Datensicherung eines Datenbanksystems (B)
---------+APP.4.3.A11 Ausreichende Dimensionierung der Hardware (S) [Fachverantwortliche]
---------+APP.4.3.A12 Einheitlicher Konfigurationsstandard von Datenbankmanagementsystemen (S)
---------+APP.4.3.A13 Restriktive Handhabung von Datenbank-Links (S)
---------+APP.4.3.A16 Verschlüsselung der Datenbankanbindung (S)
---------+APP.4.3.A17 Datenübernahme oder Migration (S) [Fachverantwortliche]
---------+APP.4.3.A18 Überwachung des Datenbankmanagementsystems (S)
---------+APP.4.3.A19 Schutz vor schädlichen Datenbank-Skripten (S) [Entwickelnde]
---------+APP.4.3.A20 Regelmäßige Audits (S)
---------+APP.4.3.A21 Einsatz von Datenbank Security Tools (H)
---------+APP.4.3.A22 Notfallvorsorge (H)
---------+APP.4.3.A23 Archivierung (H)
---------+APP.4.3.A24 Datenverschlüsselung in der Datenbank (H)
---------+APP.4.3.A25 Sicherheitsprüfungen von Datenbanksystemen (H)
------+APP.4.4 Kubernetes
---------+APP.4.4.G1 Mangelhafte Authentisierung und Autorisierung in der Control Plane
---------+APP.4.4.G2 Vertraulichkeitsverlust von Zugangsdaten
---------+APP.4.4.G3 Ressourcenkonflikte auf Nodes
---------+APP.4.4.G4 Unautorisierte Änderungen an Clustern
---------+APP.4.4.G5 Unberechtigte Kommunikation
---------+APP.4.4.A1 Planung der Separierung der Anwendungen (B)
---------+APP.4.4.A2 Planung der Automatisierung mit CI/CD (B)
---------+APP.4.4.A3 Identitäts- und Berechtigungsmanagement bei Kubernetes (B)
---------+APP.4.4.A4 Separierung von Pods (B)
---------+APP.4.4.A5 Datensicherung im Cluster (B)
---------+APP.4.4.A6 Initialisierung von Pods (S)
---------+APP.4.4.A7 Separierung der Netze bei Kubernetes (S)
---------+APP.4.4.A8 Absicherung von Konfigurationsdateien bei Kubernetes (S)
---------+APP.4.4.A9 Nutzung von Kubernetes Service-Accounts (S)
---------+APP.4.4.A10 Absicherung von Prozessen der Automatisierung (S)
---------+APP.4.4.A11 Überwachung der Container (S)
---------+APP.4.4.A12 Absicherung der Infrastruktur-Anwendungen (S)
---------+APP.4.4.A13 Automatisierte Auditierung der Konfiguration (H)
---------+APP.4.4.A14 Verwendung dedizierter Nodes (H)
---------+APP.4.4.A15 Trennung von Anwendungen auf Node- und Cluster-Ebene (H)
---------+APP.4.4.A16 Verwendung von Operatoren (H)
---------+APP.4.4.A17 Attestierung von Nodes (H)
---------+APP.4.4.A18 Verwendung von Mikro-Segmentierung (H)
---------+APP.4.4.A19 Hochverfügbarkeit von Kubernetes (H)
---------+APP.4.4.A20 Verschlüsselte Datenhaltung bei Pods (H)
---------+APP.4.4.A21 Regelmäßiger Restart von Pods (H)
------+APP.4.6 SAP ABAP-Programmierung
---------+APP.4.6.G1 Fehlende Berechtigungsprüfungen
---------+APP.4.6.G2 Verlust von Vertraulichkeit oder Integrität von kritischen Daten
---------+APP.4.6.G3 Injection-Schwachstellen
---------+APP.4.6.G4 Umgehung von vorhandenen SAP-Sicherheitsmechanismen
---------+APP.4.6.A1 Absicherung von Reports mit Berechtigungsprüfungen (B)
---------+APP.4.6.A2 Formal korrekte Auswertung von Berechtigungsprüfungen (B)
---------+APP.4.6.A3 Berechtigungsprüfung vor dem Start einer Transaktion (B)
---------+APP.4.6.A4 Verzicht auf proprietäre Berechtigungsprüfungen (B)
---------+APP.4.6.A5 Erstellung einer Richtlinie für die ABAP-Entwicklung (S)
---------+APP.4.6.A6 Vollständige Ausführung von Berechtigungsprüfungen (S)
---------+APP.4.6.A7 Berechtigungsprüfung während der Eingabeverarbeitung (S)
---------+APP.4.6.A8 Schutz vor unberechtigten oder manipulierenden Zugriffen auf das Dateisystem (S)
---------+APP.4.6.A9 Berechtigungsprüfung in remote-fähigen Funktionsbausteinen (S)
---------+APP.4.6.A10 Verhinderung der Ausführung von Betriebssystemkommandos (S)
---------+APP.4.6.A11 Vermeidung von eingeschleustem Schadcode (S)
---------+APP.4.6.A12 Vermeidung von generischer Modulausführung (S)
---------+APP.4.6.A13 Vermeidung von generischem Zugriff auf Tabelleninhalte (S)
---------+APP.4.6.A14 Vermeidung von nativen SQL-Anweisungen (S)
---------+APP.4.6.A15 Vermeidung von Datenlecks (S)
---------+APP.4.6.A16 Verzicht auf systemabhängige Funktionsausführung (S)
---------+APP.4.6.A17 Verzicht auf mandantenabhängige Funktionsausführung (S)
---------+APP.4.6.A18 Vermeidung von Open-SQL-Injection-Schwachstellen (S)
---------+APP.4.6.A19 Schutz vor Cross-Site-Scripting (S)
---------+APP.4.6.A20 Keine Zugriffe auf Daten eines anderen Mandanten (S)
---------+APP.4.6.A21 Verbot von verstecktem ABAP-Quelltext (S)
---------+APP.4.6.A22 Einsatz von ABAP-Codeanalyse Werkzeugen (H)
------+APP.5.2 Microsoft Exchange und Outlook
---------+APP.5.2.G1 Fehlende oder unzureichende Regelungen für Exchange und Outlook
---------+APP.5.2.G2 Fehlerhafte Migration von Exchange
---------+APP.5.2.G3 Unzulässiger Browserzugriff auf Exchange
---------+APP.5.2.G4 Unerlaubte Anbindung anderer Systeme an Exchange
---------+APP.5.2.G5 Fehlerhafte Administration von Zugangs- und Zugriffsrechten unter Exchange und Outlook
---------+APP.5.2.G6 Fehlerhafte Konfiguration von Exchange
---------+APP.5.2.G7 Fehlerhafte Konfiguration von Outlook
---------+APP.5.2.G8 Fehlfunktionen und Missbrauch selbst entwickelter Makros sowie Programmierschnittstellen unter Outlook
---------+APP.5.2.A1 Planung des Einsatzes von Exchange und Outlook (B)
---------+APP.5.2.A2 Auswahl einer geeigneten Exchange-Infrastruktur (B)
---------+APP.5.2.A3 Berechtigungsmanagement und Zugriffsrechte (B)
---------+APP.5.2.A5 Datensicherung von Exchange (B)
---------+APP.5.2.A7 Migration von Exchange-Systemen (S)
---------+APP.5.2.A9 Sichere Konfiguration von Exchange-Servern (S)
---------+APP.5.2.A10 Sichere Konfiguration von Outlook (S)
---------+APP.5.2.A11 Absicherung der Kommunikation zwischen Exchange-Systemen (S)
---------+APP.5.2.A12 Einsatz von Outlook Anywhere, MAPI over HTTP und Outlook im Web (S)
---------+APP.5.2.A17 Verschlüsselung von Exchange-Datenbankdateien (H)
------+APP.5.3 Allgemeiner E-Mail-Client und -Server
---------+APP.5.3.G1 Unzureichende Planung der E-Mail-Nutzung
---------+APP.5.3.G2 Fehlerhafte Einstellung von E-Mail-Clients und -Servern
---------+APP.5.3.G3 Unzuverlässigkeit von E-Mail
---------+APP.5.3.G4 Schadsoftware in E-Mails
---------+APP.5.3.G5 Social Engineering
---------+APP.5.3.G6 Mitlesen und Manipulieren von E-Mails
---------+APP.5.3.A1 Sichere Konfiguration der E-Mail-Clients (B)
---------+APP.5.3.A2 Sicherer Betrieb von E-Mail-Servern (B)
---------+APP.5.3.A3 Datensicherung und Archivierung von E-Mails (B)
---------+APP.5.3.A4 Spam- und Virenschutz auf dem E-Mail-Server (B)
---------+APP.5.3.A5 Festlegung von Vertretungsregelungen bei E-Mail-Nutzung (S) [Vorgesetzte]
---------+APP.5.3.A6 Festlegung einer Sicherheitsrichtlinie für E-Mail (S)
---------+APP.5.3.A7 Schulung zu Sicherheitsmechanismen von E-Mail-Clients für Benutzende (S)
---------+APP.5.3.A8 Umgang mit Spam durch Benutzende (S) [Benutzende]
---------+APP.5.3.A9 Erweiterte Sicherheitsmaßnahmen auf dem E-Mail-Server (S)
---------+APP.5.3.A10 Ende-zu-Ende-Verschlüsselung und Signatur (H)
---------+APP.5.3.A11 Einsatz redundanter E-Mail-Server (H)
---------+APP.5.3.A12 Überwachung öffentlicher Block-Listen (H)
---------+APP.5.3.A13 TLS-Reporting (H)
------+APP.5.4 Unified Communications und Collaboration (UCC)
---------+APP.5.4.G1 Eingeschränkte Verfügbarkeit von UCC-Diensten
---------+APP.5.4.G2 Unzureichende Planung von UCC
---------+APP.5.4.G3 Fehlerhafte Konfiguration von UCC
---------+APP.5.4.G4 Unbefugte oder missbräuchliche Benutzung der Administrationsrechte eines UCC-Dienstes
---------+APP.5.4.G5 Preisgabe von schützenswerten Informationen
---------+APP.5.4.G6 Preisgabe von personenbezogenen Informationen
---------+APP.5.4.G7 Wechselwirkungen bei UCC-Diensten
---------+APP.5.4.G8 Zugriff auf Applikationen oder Ressourcen durch Freigabe der Steuerung
---------+APP.5.4.G9 Vorspiegelung falscher Identitäten
---------+APP.5.4.A1 Planung von UCC (B)
---------+APP.5.4.A2 Berücksichtigung von UCC in der Netzplanung (B)
---------+APP.5.4.A3 Initiales und regelmäßiges Testen der UCC-Dienste (B)
---------+APP.5.4.A4 Deaktivierung nicht benötigter Funktionen und Dienste (B)
---------+APP.5.4.A5 Rollen- und Berechtigungskonzept für UCC (B)
---------+APP.5.4.A6 Verschlüsselung von UCC-Daten (B)
---------+APP.5.4.A7 Regelungen für eine sichere Benutzung der UCC-Dienste (B)
---------+APP.5.4.A8 Einsatz eines Session Border Controller am Provider-Übergang (S)
---------+APP.5.4.A9 Sichere Konfiguration von UCC (S)
---------+APP.5.4.A10 Absicherung und Einschränkung von Auswertungen von Inhalten (S)
---------+APP.5.4.A11 Sicherstellung der Verfügbarkeit von Kommunikationsdiensten (H)
---------+APP.5.4.A12 Einbindung von UCC in die Notfallplanung (H)
---------+APP.5.4.A13 Sichere Administration von SIP-Trunks (H)
---------+APP.5.4.A14 Ende-zu-Ende-Verschlüsselung (H)
---------+APP.5.4.A15 Einschränkung von KI-Funktionen (H)
---------+APP.5.4.A16 Einsatz eines SBC an weiteren Netzübergängen (H)
---------+APP.5.4.A17 Einschränkung der Benutzung von UCC-Diensten (H)
---------+APP.5.4.A18 Einbindung von UCC in ein Sicherheitsmonitoring (H)
------+APP.6 Allgemeine Software
---------+APP.6.G1 Ungeeignete Auswahl von Software
---------+APP.6.G2 Offenlegung schützenswerter Informationen durch fehlerhafte Konfiguration
---------+APP.6.G3 Bezug von Software aus unzuverlässiger Quelle
---------+APP.6.G4 Sicherheitslücken durch mangelhafte Wartung
---------+APP.6.G5 Datenverlust durch fehlerhafte Nutzung von Software
---------+APP.6.G6 Mangelhafte Ressourcen für die Ausführung von Software
---------+APP.6.G7 Nichtbeachtung von Anforderungen der Benutzenden
---------+APP.6.A1 Planung des Software-Einsatzes (B) [Fachverantwortliche]
---------+APP.6.A2 Erstellung eines Anforderungskatalogs für Software (B) [Fachverantwortliche]
---------+APP.6.A3 Sichere Beschaffung von Software (B) [Beschaffungsstelle]
---------+APP.6.A4 Regelung für die Installation und Konfiguration von Software (B) [Fachverantwortliche]
---------+APP.6.A5 Sichere Installation von Software (B)
---------+APP.6.A6 Berücksichtigung empfohlener Sicherheitsanforderungen (S)
---------+APP.6.A7 Auswahl und Bewertung potentieller Software (S) [Fachverantwortliche, Beschaffungsstelle]
---------+APP.6.A8 Regelung zur Verfügbarkeit der Installationsdateien (S)
---------+APP.6.A9 Inventarisierung von Software (S)
---------+APP.6.A10 Erstellung einer Sicherheitsrichtlinie für den Einsatz der Software (S)
---------+APP.6.A11 Verwendung von Plug-ins und Erweiterungen (S)
---------+APP.6.A12 Geregelte Außerbetriebnahme von Software (S) [Fachverantwortliche]
---------+APP.6.A13 Deinstallation von Software (S)
---------+APP.6.A14 Nutzung zertifizierter Software (H)
------+APP.7 Entwicklung von Individualsoftware
---------+APP.7.G1 Unzulängliche vertragliche Regelungen mit externen Dienstleistenden
---------+APP.7.G2 Software-Konzeptionsfehler
---------+APP.7.G3 Undokumentierte Funktionen
---------+APP.7.G4 Fehlende oder unzureichende Sicherheitsmaßnahmen in Anwendungen
---------+APP.7.G5 Mangelhafte Steuerung der Software-Entwicklung
---------+APP.7.G6 Beauftragung ungeeigneter Software-Entwickelnder
---------+APP.7.A1 Erweiterung der Planung des Software-Einsatzes um Aspekte von Individualsoftware (B)
---------+APP.7.A2 Festlegung von Sicherheitsanforderungen an den Prozess der Software-Entwicklung (B)
---------+APP.7.A3 Festlegung der Sicherheitsfunktionen zur Systemintegration (B) [IT-Betrieb]
---------+APP.7.A4 Anforderungsgerechte Beauftragung (B) [Beschaffungsstelle]
---------+APP.7.A5 Geeignete Steuerung der Anwendungsentwicklung (S)
---------+APP.7.A6 Dokumentation der Anforderungen an die Individualsoftware (S)
---------+APP.7.A7 Sichere Beschaffung von Individualsoftware (S)
---------+APP.7.A8 Frühzeitige Beteiligung der Fachverantwortlichen bei entwicklungsbegleitenden Software-Tests (S)
---------+APP.7.A9 Treuhänderische Hinterlegung (H)
---------+APP.7.A10 Beauftragung zertifizierter Software-Entwicklungsunternehmen (H)
---+IT-Systeme
------+SYS.1.1 Allgemeiner Server
---------+SYS.1.1.G1 Unzureichende Planung
---------+SYS.1.1.G2 Fehlerhafte Administration von Servern
---------+SYS.1.1.G3 Unberechtigtes Erlangen oder Missbrauch von Administrationsrechten
---------+SYS.1.1.G4 Datenverlust
---------+SYS.1.1.G5 Denial-of-Service-Angriffe
---------+SYS.1.1.G6 Bereitstellung unnötiger Applikationen und Dienste
---------+SYS.1.1.G7 Überlastung von Servern
---------+SYS.1.1.A1 Zugriffsschutz und Nutzung (B)
---------+SYS.1.1.A2 Authentisierung an Servern (B)
---------+SYS.1.1.A5 Schutz von Schnittstellen (B)
---------+SYS.1.1.A6 Deaktivierung nicht benötigter Dienste (B)
---------+SYS.1.1.A9 Einsatz von Virenschutz-Programmen auf Servern (B)
---------+SYS.1.1.A10 Protokollierung (B)
---------+SYS.1.1.A11 Festlegung einer Sicherheitsrichtlinie für Server (S)
---------+SYS.1.1.A12 Planung des Server-Einsatzes (S)
---------+SYS.1.1.A13 Beschaffung von Servern (S)
---------+SYS.1.1.A15 Unterbrechungsfreie und stabile Stromversorgung (S) [Haustechnik]
---------+SYS.1.1.A16 Sichere Installation und Grundkonfiguration von Servern (S)
---------+SYS.1.1.A19 Einrichtung lokaler Paketfilter (S)
---------+SYS.1.1.A21 Betriebsdokumentation für Server (S)
---------+SYS.1.1.A22 Einbindung in die Notfallplanung (S)
---------+SYS.1.1.A23 Systemüberwachung und Monitoring von Servern (S)
---------+SYS.1.1.A24 Sicherheitsprüfungen für Server (S)
---------+SYS.1.1.A25 Geregelte Außerbetriebnahme eines Servers (S)
---------+SYS.1.1.A35 Erstellung und Pflege eines Betriebshandbuchs (S)
---------+SYS.1.1.A37 Kapselung von sicherheitskritischen Anwendungen und Betriebssystemkomponenten (S)
---------+SYS.1.1.A39 Zentrale Verwaltung der Sicherheitsrichtlinien von Servern (S)
---------+SYS.1.1.A27 Hostbasierte Angriffserkennung (H)
---------+SYS.1.1.A28 Steigerung der Verfügbarkeit durch Redundanz (H)
---------+SYS.1.1.A30 Ein Dienst pro Server (H)
---------+SYS.1.1.A31 Einsatz von Ausführungskontrolle (H)
---------+SYS.1.1.A33 Aktive Verwaltung der Wurzelzertifikate (H)
---------+SYS.1.1.A34 Festplattenverschlüsselung (H)
---------+SYS.1.1.A36 Absicherung des Bootvorgangs (H)
---------+SYS.1.1.A38 Härtung des Host-Systems mittels Read-Only-Dateisystem (H)
------+SYS.1.2.2 Windows Server 2012
---------+SYS.1.2.2.G1 Unzureichende Planung von Windows Server 2012
---------+SYS.1.2.2.G2 Unbedachte Cloud-Nutzung
---------+SYS.1.2.2.G3 Fehlerhafte Administration von Windows-Servern
---------+SYS.1.2.2.G4 Unsachgemäßer Einsatz von Gruppenrichtlinien (GPOs)
---------+SYS.1.2.2.G5 Integritätsverlust schützenswerter Informationen oder Prozesse
---------+SYS.1.2.2.G6 Unberechtigtes Erlangen oder Missbrauch von Administrationsrechten
---------+SYS.1.2.2.G7 Kompromittierung von Fernzugängen
---------+SYS.1.2.2.A1 Planung von Windows Server 2012 (B)
---------+SYS.1.2.2.A2 Sichere Installation von Windows Server 2012 (B)
---------+SYS.1.2.2.A3 Sichere Administration von Windows Server 2012 (B)
---------+SYS.1.2.2.A4 Sichere Konfiguration von Windows Server 2012 (S)
---------+SYS.1.2.2.A5 Schutz vor Schadsoftware auf Windows Server 2012 (S)
---------+SYS.1.2.2.A6 Sichere Authentisierung und Autorisierung in Windows Server 2012 (S)
---------+SYS.1.2.2.A8 Schutz der Systemintegrität (S)
---------+SYS.1.2.2.A11 Angriffserkennung bei Windows Server 2012 (H)
---------+SYS.1.2.2.A12 Redundanz und Hochverfügbarkeit bei Windows Server 2012 (H)
---------+SYS.1.2.2.A14 Herunterfahren verschlüsselter Server und virtueller Maschinen (H)
------+SYS.1.2.3 Windows Server
---------+SYS.1.2.3.G1 Unbedachte Cloud-Nutzung
---------+SYS.1.2.3.G2 Kompromittierung von Fernzugängen
---------+SYS.1.2.3.G3 Telemetrie von Windows Server
---------+SYS.1.2.3.G4 Eingeschränkte Forensik bei der Nutzung des Virtual Secure Mode (VSM)
---------+SYS.1.2.3.A1 Planung von Windows Server (B)
---------+SYS.1.2.3.A2 Sichere Installation von Windows Server (B)
---------+SYS.1.2.3.A3 Telemetrie- und Nutzungsdaten unter Windows Server (B)
---------+SYS.1.2.3.A4 Schutz vor Ausnutzung von Schwachstellen in Anwendungen (S)
---------+SYS.1.2.3.A5 Sichere Authentisierung und Autorisierung in Windows Server (S)
---------+SYS.1.2.3.A6 Sicherheit beim Fernzugriff über RDP (S)
---------+SYS.1.2.3.A7 Verwendung der Windows PowerShell (H)
---------+SYS.1.2.3.A8 Nutzung des Virtual Secure Mode (VSM) (H)
------+SYS.1.3 Server unter Linux und Unix
---------+SYS.1.3.G1 Ausspähen von Informationen über das System und über Benutzende
---------+SYS.1.3.G2 Ausnutzbarkeit der Skriptumgebung
---------+SYS.1.3.G3 Dynamisches Laden von gemeinsam genutzten Bibliotheken
---------+SYS.1.3.G4 Software aus Drittquellen
---------+SYS.1.3.A2 Sorgfältige Vergabe von IDs (B)
---------+SYS.1.3.A3 Kein automatisches Einbinden von Wechsellaufwerken (B)
---------+SYS.1.3.A4 Schutz vor Ausnutzung von Schwachstellen in Anwendungen (B)
---------+SYS.1.3.A5 Sichere Installation von Software-Paketen (B)
---------+SYS.1.3.A6 Verwaltung von Benutzenden und Gruppen (S)
---------+SYS.1.3.A8 Verschlüsselter Zugriff über Secure Shell (S)
---------+SYS.1.3.A10 Verhinderung der Ausbreitung bei der Ausnutzung von Schwachstellen (S)
---------+SYS.1.3.A14 Verhinderung des Ausspähens von Informationen über das System und über Benutzende (H)
---------+SYS.1.3.A16 Zusätzliche Verhinderung der Ausbreitung bei der Ausnutzung von Schwachstellen (H)
---------+SYS.1.3.A17 Zusätzlicher Schutz des Kernels (H)
------+SYS.1.5 Virtualisierung
---------+SYS.1.5.G1 Fehlerhafte Planung der Virtualisierung
---------+SYS.1.5.G2 Fehlerhafte Konfiguration der Virtualisierung
---------+SYS.1.5.G3 Unzureichende Ressourcen für virtuelle IT-Systeme
---------+SYS.1.5.G4 Informationsabfluss oder Ressourcen-Engpass durch Snapshots
---------+SYS.1.5.G5 Ausfall des Verwaltungsservers für Virtualisierungssysteme
---------+SYS.1.5.G6 Missbräuchliche Nutzung von Gastwerkzeugen
---------+SYS.1.5.G7 Kompromittierung der Virtualisierungssoftware
---------+SYS.1.5.A2 Sicherer Einsatz virtueller IT-Systeme (B)
---------+SYS.1.5.A3 Sichere Konfiguration virtueller IT-Systeme (B)
---------+SYS.1.5.A4 Sichere Konfiguration eines Netzes für virtuelle Infrastrukturen (B)
---------+SYS.1.5.A5 Schutz der Administrationsschnittstellen (B)
---------+SYS.1.5.A6 Protokollierung in der virtuellen Infrastruktur (B)
---------+SYS.1.5.A7 Zeitsynchronisation in virtuellen IT-Systemen (B)
---------+SYS.1.5.A8 Planung einer virtuellen Infrastruktur (S) [Planende]
---------+SYS.1.5.A9 Netzplanung für virtuelle Infrastrukturen (S) [Planende]
---------+SYS.1.5.A10 Einführung von Verwaltungsprozessen für virtuelle IT-Systeme (S)
---------+SYS.1.5.A11 Administration der Virtualisierungsinfrastruktur über ein gesondertes Managementnetz (S)
---------+SYS.1.5.A12 Rechte- und Rollenkonzept für die Administration einer virtuellen Infrastruktur (S)
---------+SYS.1.5.A13 Auswahl geeigneter Hardware für Virtualisierungsumgebungen (S)
---------+SYS.1.5.A14 Einheitliche Konfigurationsstandards für virtuelle IT-Systeme (S)
---------+SYS.1.5.A15 Betrieb von Gast-Betriebssystemen mit unterschiedlichem Schutzbedarf (S)
---------+SYS.1.5.A16 Kapselung der virtuellen Maschinen (S)
---------+SYS.1.5.A17 Überwachung des Betriebszustands und der Konfiguration der virtuellen Infrastruktur (S)
---------+SYS.1.5.A19 Regelmäßige Audits der Virtualisierungsinfrastruktur (S)
---------+SYS.1.5.A20 Verwendung von hochverfügbaren Architekturen (H) [Planende]
---------+SYS.1.5.A21 Sichere Konfiguration virtueller IT-Systeme bei erhöhtem Schutzbedarf (H)
---------+SYS.1.5.A22 Härtung des Virtualisierungsservers (H)
---------+SYS.1.5.A23 Rechte-Einschränkung der virtuellen Maschinen (H)
---------+SYS.1.5.A24 Deaktivierung von Snapshots virtueller IT-Systeme (H)
---------+SYS.1.5.A25 Minimale Nutzung von Konsolenzugriffen auf virtuelle IT-Systeme (H)
---------+SYS.1.5.A26 Einsatz einer PKI (H) [Planende]
---------+SYS.1.5.A27 Einsatz zertifizierter Virtualisierungssoftware (H)
---------+SYS.1.5.A28 Verschlüsselung von virtuellen IT-Systemen (H)
------+SYS.1.6 Containerisierung
---------+SYS.1.6.G1 Schwachstellen oder Schadsoftware in Images
---------+SYS.1.6.G2 Administrative Zugänge ohne Absicherung
---------+SYS.1.6.G3 Ressourcenkonflikte auf dem Host
---------+SYS.1.6.G4 Unberechtigte Kommunikation
---------+SYS.1.6.G5 Ausbruch aus dem Container auf das Host-System
---------+SYS.1.6.G6 Datenverluste durch das Container-Management
---------+SYS.1.6.G7 Vertraulichkeitsverlust von Zugangsdaten
---------+SYS.1.6.G8 Ungeordnete Bereitstellung und Verteilung von Images
---------+SYS.1.6.A1 Planung des Container-Einsatzes (B)
---------+SYS.1.6.A2 Planung der Verwaltung von Containern (B)
---------+SYS.1.6.A3 Sicherer Einsatz containerisierter IT-Systeme (B)
---------+SYS.1.6.A4 Planung der Bereitstellung und Verteilung von Images (B)
---------+SYS.1.6.A5 Separierung der Administrations- und Zugangsnetze bei Containern (B)
---------+SYS.1.6.A6 Verwendung sicherer Images (B)
---------+SYS.1.6.A7 Persistenz von Protokollierungsdaten der Container (B)
---------+SYS.1.6.A8 Sichere Speicherung von Zugangsdaten bei Containern (B)
---------+SYS.1.6.A9 Eignung für Container-Betrieb (S)
---------+SYS.1.6.A10 Richtlinie für Images und Container-Betrieb (S)
---------+SYS.1.6.A11 Nur ein Dienst pro Container (S)
---------+SYS.1.6.A12 Verteilung sicherer Images (S)
---------+SYS.1.6.A13 Freigabe von Images (S)
---------+SYS.1.6.A14 Aktualisierung von Images (S)
---------+SYS.1.6.A15 Limitierung der Ressourcen pro Container (S)
---------+SYS.1.6.A16 Administrativer Fernzugriff auf Container (S)
---------+SYS.1.6.A17 Ausführung von Containern ohne Privilegien (S)
---------+SYS.1.6.A18 Accounts der Anwendungsdienste (S)
---------+SYS.1.6.A19 Einbinden von Datenspeichern in Container (S)
---------+SYS.1.6.A20 Absicherung von Konfigurationsdaten (S)
---------+SYS.1.6.A21 Erweiterte Sicherheitsrichtlinien (H)
---------+SYS.1.6.A22 Vorsorge für Untersuchungen (H)
---------+SYS.1.6.A23 Unveränderlichkeit der Container (H)
---------+SYS.1.6.A24 Hostbasierte Angriffserkennung (H)
---------+SYS.1.6.A25 Hochverfügbarkeit von containerisierten Anwendungen (H)
---------+SYS.1.6.A26 Weitergehende Isolation und Kapselung von Containern (H)
------+SYS.1.7 IBM Z
---------+SYS.1.7.G1 Unzureichende oder fehlerhafte Konfiguration der Hardware oder des z/OS-Betriebssystems
---------+SYS.1.7.G2 Fehlerhafte Konfiguration des z/OS-Sicherheitssystems RACF
---------+SYS.1.7.G3 Fehlbedienung der z/OS-Systemfunktionen
---------+SYS.1.7.G4 Manipulation der z/OS-Systemsteuerung
---------+SYS.1.7.G5 Angriffe über TCP/IP auf z/OS-Systeme
---------+SYS.1.7.G6 Fehlerhafte Zeichensatzkonvertierung beim Einsatz von z/OS
---------+SYS.1.7.A1 Einsatz restriktiver z/OS-Kennungen (B)
---------+SYS.1.7.A2 Absicherung sicherheitskritischer z/OS-Dienstprogramme (B)
---------+SYS.1.7.A3 Wartung von Z-Systemen (B)
---------+SYS.1.7.A4 Schulung des z/OS-Bedienungspersonals (B) [Vorgesetzte]
---------+SYS.1.7.A5 Einsatz und Sicherung systemnaher z/OS-Terminals (B)
---------+SYS.1.7.A6 Einsatz und Sicherung der Remote Support Facility (B)
---------+SYS.1.7.A7 Restriktive Autorisierung unter z/OS (B)
---------+SYS.1.7.A8 Einsatz des z/OS-Sicherheitssystems RACF (B)
---------+SYS.1.7.A9 Mandantenfähigkeit unter z/OS (B)
---------+SYS.1.7.A11 Schutz der Session-Daten (B)
---------+SYS.1.7.A14 Berichtswesen zum sicheren Betrieb von z/OS (S)
---------+SYS.1.7.A16 Überwachung von z/OS-Systemen (S)
---------+SYS.1.7.A17 Synchronisierung von z/OS-Passwörtern und RACF-Kommandos (S)
---------+SYS.1.7.A18 Rollenkonzept für z/OS-Systeme (S)
---------+SYS.1.7.A19 Absicherung von z/OS-Transaktionsmonitoren (S)
---------+SYS.1.7.A20 Stilllegung von z/OS-Systemen (S)
---------+SYS.1.7.A21 Absicherung des Startvorgangs von z/OS-Systemen (S)
---------+SYS.1.7.A22 Absicherung der Betriebsfunktionen von z/OS (S)
---------+SYS.1.7.A23 Absicherung von z/VM (S)
---------+SYS.1.7.A24 Datenträgerverwaltung unter z/OS-Systemen (S)
---------+SYS.1.7.A25 Festlegung der Systemdimensionierung von z/OS (S)
---------+SYS.1.7.A26 WorkLoad Management für z/OS-Systeme (S)
---------+SYS.1.7.A27 Zeichensatzkonvertierung bei z/OS-Systemen (S)
---------+SYS.1.7.A28 Lizenzschlüssel-Management für z/OS-Software (S)
---------+SYS.1.7.A29 Absicherung von Unix System Services bei z/OS-Systemen (S)
---------+SYS.1.7.A30 Absicherung der z/OS-Trace-Funktionen (S)
---------+SYS.1.7.A31 Notfallvorsorge für z/OS-Systeme (S)
---------+SYS.1.7.A32 Festlegung von Standards für z/OS-Systemdefinitionen (H)
---------+SYS.1.7.A33 Trennung von Test- und Produktionssystemen unter z/OS (H)
---------+SYS.1.7.A34 Batch-Job-Planung für z/OS-Systeme (H)
---------+SYS.1.7.A35 Einsatz von RACF-Exits (H)
---------+SYS.1.7.A36 Interne Kommunikation von Betriebssystemen (H)
---------+SYS.1.7.A37 Parallel Sysplex unter z/OS (H)
---------+SYS.1.7.A38 Einsatz des VTAM Session Management Exit unter z/OS (H)
------+SYS.1.8 Speicherlösungen
---------+SYS.1.8.G1 Unsichere Default-Einstellungen bei Speicherkomponenten
---------+SYS.1.8.G2 Manipulation von Daten über das Speichersystem
---------+SYS.1.8.G3 Verlust der Vertraulichkeit durch storagebasierte Replikationsmethoden
---------+SYS.1.8.G4 Zugriff auf Informationen anderer Mandanten durch WWN-Spoofing
---------+SYS.1.8.G5 Überwindung der logischen Netzseparierung
---------+SYS.1.8.G6 Ausfall von Komponenten einer Speicherlösung
---------+SYS.1.8.G7 Erlangung physischen Zugangs auf SAN-Switches
---------+SYS.1.8.A1 Geeignete Aufstellung von Speichersystemen (B) [Haustechnik]
---------+SYS.1.8.A2 Sichere Grundkonfiguration von Speicherlösungen (B)
---------+SYS.1.8.A4 Schutz der Administrationsschnittstellen (B)
---------+SYS.1.8.A6 Erstellung einer Sicherheitsrichtlinie für Speicherlösungen (S)
---------+SYS.1.8.A7 Planung von Speicherlösungen (S)
---------+SYS.1.8.A8 Auswahl einer geeigneten Speicherlösung (S)
---------+SYS.1.8.A9 Auswahl von Liefernden für eine Speicherlösung (S)
---------+SYS.1.8.A10 Erstellung und Pflege eines Betriebshandbuchs (S)
---------+SYS.1.8.A11 Sicherer Betrieb einer Speicherlösung (S)
---------+SYS.1.8.A13 Überwachung und Verwaltung von Speicherlösungen (S)
---------+SYS.1.8.A14 Absicherung eines SANs durch Segmentierung (S)
---------+SYS.1.8.A15 Sichere Trennung von Mandanten in Speicherlösungen (S)
---------+SYS.1.8.A16 Sicheres Löschen in SAN-Umgebungen (S)
---------+SYS.1.8.A17 Dokumentation der Systemeinstellungen von Speichersystemen (S)
---------+SYS.1.8.A18 Sicherheitsaudits und Berichtswesen bei Speichersystemen (S)
---------+SYS.1.8.A19 Aussonderung von Speicherlösungen (S)
---------+SYS.1.8.A20 Notfallvorsorge und Notfallreaktion für Speicherlösungen (S)
---------+SYS.1.8.A21 Einsatz von Speicherpools zur Trennung von Mandanten (H)
---------+SYS.1.8.A22 Einsatz einer hochverfügbaren SAN-Lösung (H)
---------+SYS.1.8.A23 Einsatz von Verschlüsselung für Speicherlösungen (H)
---------+SYS.1.8.A24 Sicherstellung der Integrität der SAN-Fabric (H)
---------+SYS.1.8.A25 Mehrfaches Überschreiben der Daten einer LUN (H)
---------+SYS.1.8.A26 Absicherung eines SANs durch Hard-Zoning (H)
------+SYS.1.9 Terminalserver
---------+SYS.1.9.G1 Qualitätsverlust der Anwendungsbereitstellung
---------+SYS.1.9.G2 Ausfall der Anwendungsbereitstellung
---------+SYS.1.9.G3 Unzureichende Netztrennung für Terminalserver
---------+SYS.1.9.G4 Unzureichende Absicherung von Sitzungen auf dem Terminalserver
---------+SYS.1.9.G5 Unzureichende Absicherung des Terminalserver-Protokolls
---------+SYS.1.9.G6 Unberechtigte Nutzung von Sammelkonten
---------+SYS.1.9.G7 Ungeeignete Einschränkung der Zugriffsrechte der Benutzenden
---------+SYS.1.9.G8 Ungeeignete Anwendungen für den Einsatz auf Terminalservern
---------+SYS.1.9.A1 Erstellung einer Sicherheitsrichtlinie für den Einsatz von Terminalservern (B)
---------+SYS.1.9.A2 Planung des Einsatzes von Terminalservern (B)
---------+SYS.1.9.A3 Festlegung der Rollen und Berechtigungen für den Terminalserver (B)
---------+SYS.1.9.A4 Sichere Konfiguration des Terminalservers (B)
---------+SYS.1.9.A5 Planung der eingesetzten Clients und Terminal-Client-Software (B)
---------+SYS.1.9.A6 Planung der verwendeten Netze (B) [Planende]
---------+SYS.1.9.A7 Sicherer Zugriff auf den Terminalserver (B)
---------+SYS.1.9.A8 Sichere Zuordnung des Terminalservers zu Netzsegmenten (B)
---------+SYS.1.9.A9 Sensibilisierung der Benutzenden (B)
---------+SYS.1.9.A10 Einsatz eines zentralen Identitäts- und Berechtigungsmanagements für Terminalserver (S)
---------+SYS.1.9.A11 Sichere Konfiguration von Profilen (S)
---------+SYS.1.9.A12 Automatisches Beenden inaktiver Sitzungen (S)
---------+SYS.1.9.A13 Protokollierung bei Terminalservern (S)
---------+SYS.1.9.A14 Monitoring des Terminalservers (S)
---------+SYS.1.9.A15 Härtung des Terminalservers (S)
---------+SYS.1.9.A16 Optimierung der Kompression (S)
---------+SYS.1.9.A17 Verschlüsselung der Übertragung (H)
---------+SYS.1.9.A18 Nutzung von Thin Clients (H)
---------+SYS.1.9.A19 Erweitertes Monitoring des Terminalservers (H)
---------+SYS.1.9.A20 Unterschiedliche Terminalserver für unterschiedliche Gruppen von Benutzenden oder Geschäftsprozesse (H)
---------+SYS.1.9.A21 Nutzung hochverfügbarer IT-Systeme (H)
---------+SYS.1.9.A22 Unterbinden des Transfers von Anwendungsdaten zwischen Client und Terminalserver (H)
------+SYS.2.1 Allgemeiner Client
---------+SYS.2.1.G1 Schadprogramme
---------+SYS.2.1.G2 Datenverlust durch lokale Datenhaltung
---------+SYS.2.1.G3 Hardware-Defekte bei Client-Systemen
---------+SYS.2.1.G4 Unberechtigte Nutzung von Clients
---------+SYS.2.1.G5 Installation nicht benötigter Betriebssystemkomponenten und Applikationen
---------+SYS.2.1.G6 Abhören von Räumen mittels Mikrofon und Kamera
---------+SYS.2.1.G7 Fehlerhafte Administration oder Nutzung von Geräten und Systemen
---------+SYS.2.1.A1 Sichere Authentisierung von Benutzenden (B)
---------+SYS.2.1.A3 Aktivieren von Autoupdate-Mechanismen (B)
---------+SYS.2.1.A6 Einsatz von Schutzprogrammen gegen Schadsoftware (B)
---------+SYS.2.1.A8 Absicherung des Bootvorgangs (B)
---------+SYS.2.1.A42 Nutzung von Cloud- und Online-Funktionen (B) [Benutzende]
---------+SYS.2.1.A9 Festlegung einer Sicherheitsrichtlinie für Clients (S)
---------+SYS.2.1.A10 Planung des Einsatzes von Clients (S)
---------+SYS.2.1.A11 Beschaffung von Clients (S)
---------+SYS.2.1.A13 Zugriff auf Ausführungsumgebungen mit unbeobachtbarer Codeausführung (S)
---------+SYS.2.1.A15 Sichere Installation und Konfiguration von Clients (S)
---------+SYS.2.1.A16 Deaktivierung und Deinstallation nicht benötigter Komponenten und Kennungen (S)
---------+SYS.2.1.A18 Nutzung von verschlüsselten Kommunikationsverbindungen (S)
---------+SYS.2.1.A20 Schutz der Administrationsverfahren bei Clients (S)
---------+SYS.2.1.A21 Verhinderung der unautorisierten Nutzung von Rechnermikrofonen und Kameras (S)
---------+SYS.2.1.A23 Bevorzugung von Client-Server-Diensten (S)
---------+SYS.2.1.A24 Umgang mit externen Medien und Wechseldatenträgern (S)
---------+SYS.2.1.A26 Schutz vor Ausnutzung von Schwachstellen in Anwendungen (S)
---------+SYS.2.1.A27 Geregelte Außerbetriebnahme eines Clients (S)
---------+SYS.2.1.A34 Kapselung von sicherheitskritischen Anwendungen und Betriebssystemkomponenten (S)
---------+SYS.2.1.A43 Lokale Sicherheitsrichtlinien für Clients (S)
---------+SYS.2.1.A44 Verwaltung der Sicherheitsrichtlinien von Clients (S)
---------+SYS.2.1.A28 Verschlüsselung der Clients (H)
---------+SYS.2.1.A29 Systemüberwachung und Monitoring der Clients (H)
---------+SYS.2.1.A30 Einrichten einer Referenzumgebung für Clients (H)
---------+SYS.2.1.A31 Einrichtung lokaler Paketfilter (H)
---------+SYS.2.1.A32 Einsatz zusätzlicher Maßnahmen zum Schutz vor Exploits (H)
---------+SYS.2.1.A33 Einsatz von Ausführungskontrolle (H)
---------+SYS.2.1.A35 Aktive Verwaltung der Wurzelzertifikate (H)
---------+SYS.2.1.A36 Selbstverwalteter Einsatz von SecureBoot und TPM (H)
---------+SYS.2.1.A37 Verwendung von Mehr-Faktor-Authentisierung (H)
---------+SYS.2.1.A38 Einbindung in die Notfallplanung (H)
---------+SYS.2.1.A39 Unterbrechungsfreie und stabile Stromversorgung (H) [Haustechnik]
---------+SYS.2.1.A40 Betriebsdokumentation (H)
---------+SYS.2.1.A41 Verwendung von Quotas für lokale Datenträger (H)
---------+SYS.2.1.A45 Erweiterte Protokollierung (H)
------+SYS.2.2.3 Clients unter Windows
---------+SYS.2.2.3.G1 Schadprogramme auf Windows-Clients
---------+SYS.2.2.3.G2 Integrierte Cloud-Funktionen
---------+SYS.2.2.3.G3 Beeinträchtigung von Software-Funktionen durch Kompatibilitätsprobleme
---------+SYS.2.2.3.G4 Telemetrie-Funktionen von Windows
---------+SYS.2.2.3.G5 Eingeschränkte Forensik bei der Nutzung des Virtual Secure Mode (VSM)
---------+SYS.2.2.3.A1 Planung des Einsatzes von Cloud-Diensten unter Windows (B)
---------+SYS.2.2.3.A2 Auswahl und Beschaffung einer geeigneten Windows-Version (B)
---------+SYS.2.2.3.A4 Telemetrie und Datenschutzeinstellungen unter Windows (B)
---------+SYS.2.2.3.A5 Schutz vor Schadsoftware unter Windows (B)
---------+SYS.2.2.3.A6 Integration von Online-Konten in das Betriebssystem (B) [Benutzende]
---------+SYS.2.2.3.A9 Sichere zentrale Authentisierung in Windows-Netzen (S)
---------+SYS.2.2.3.A12 Datei- und Freigabeberechtigungen unter Windows (S)
---------+SYS.2.2.3.A13 Einsatz der SmartScreen-Funktion (S)
---------+SYS.2.2.3.A14 Einsatz des Sprachassistenten Cortana (S) [Benutzende]
---------+SYS.2.2.3.A15 Einsatz der Synchronisationsmechanismen unter Windows (S)
---------+SYS.2.2.3.A16 Anbindung von Windows an den Microsoft-Store (S)
---------+SYS.2.2.3.A17 Keine Speicherung von Daten zur automatischen Anmeldung (S)
---------+SYS.2.2.3.A18 Einsatz der Windows-Remoteunterstützung (S)
---------+SYS.2.2.3.A19 Sicherheit beim Fernzugriff über RDP (S) [Benutzende]
---------+SYS.2.2.3.A20 Einsatz der Benutzerkontensteuerung UAC für privilegierte Konten (S)
---------+SYS.2.2.3.A21 Einsatz des Encrypting File Systems (H)
---------+SYS.2.2.3.A22 Verwendung der Windows PowerShell (H)
---------+SYS.2.2.3.A23 Erweiterter Schutz der Anmeldeinformationen unter Windows (H)
---------+SYS.2.2.3.A24 Aktivierung des Last-Access-Zeitstempels (H)
---------+SYS.2.2.3.A25 Umgang mit Fernzugriffsfunktionen der „Connected User Experience and Telemetry“ (H)
---------+SYS.2.2.3.A26 Nutzung des Virtual Secure Mode (VSM) (H)
------+SYS.2.3 Clients unter Linux und Unix
---------+SYS.2.3.G1 Software aus Drittquellen
---------+SYS.2.3.G2 Ausnutzbarkeit der Skriptumgebung
---------+SYS.2.3.G3 Dynamisches Laden von gemeinsam genutzten Bibliotheken
---------+SYS.2.3.G4 Fehlerhafte Konfiguration
---------+SYS.2.3.A1 Authentisierung von Administrierenden und Benutzenden (B) [Benutzende]
---------+SYS.2.3.A2 Auswahl einer geeigneten Distribution (B)
---------+SYS.2.3.A4 Kernel-Aktualisierungen auf unixartigen Systemen (B)
---------+SYS.2.3.A5 Sichere Installation von Software-Paketen (B)
---------+SYS.2.3.A6 Kein automatisches Einbinden von Wechsellaufwerken (S) [Benutzende]
---------+SYS.2.3.A7 Restriktive Rechtevergabe auf Dateien und Verzeichnisse (S)
---------+SYS.2.3.A8 Einsatz von Techniken zur Rechtebeschränkung von Anwendungen (S)
---------+SYS.2.3.A9 Sichere Verwendung von Passwörtern auf der Kommandozeile (S) [Benutzende]
---------+SYS.2.3.A11 Verhinderung der Überlastung der lokalen Festplatte (S)
---------+SYS.2.3.A12 Sicherer Einsatz von Appliances (S)
---------+SYS.2.3.A14 Absicherung gegen Nutzung unbefugter Peripheriegeräte (H)
---------+SYS.2.3.A15 Zusätzlicher Schutz vor der Ausführung unerwünschter Dateien (H)
---------+SYS.2.3.A17 Zusätzliche Verhinderung der Ausbreitung bei der Ausnutzung von Schwachstellen (H)
---------+SYS.2.3.A18 Zusätzlicher Schutz des Kernels (H)
---------+SYS.2.3.A19 Festplatten- oder Dateiverschlüsselung (H)
---------+SYS.2.3.A20 Abschaltung kritischer SysRq-Funktionen (H)
------+SYS.2.4 Clients unter macOS
---------+SYS.2.4.G1 Unkontrollierbarer Zugriff auf ausgelagerte Daten
---------+SYS.2.4.G2 Missbrauch der Apple-ID als zentrale Zugangsinformation für Apple-Dienste
---------+SYS.2.4.G3 Angriffe auf Funkschnittstellen
---------+SYS.2.4.G4 Angriffe auf Anwendungen mit Vorschau-Funktion
---------+SYS.2.4.G5 Unsichere Protokolle in macOS oder macOS-Anwendungen
---------+SYS.2.4.A1 Planung des sicheren Einsatzes von macOS (B)
---------+SYS.2.4.A2 Nutzung der integrierten Sicherheitsfunktionen von macOS (B)
---------+SYS.2.4.A3 Verwendung geeigneter Konten (B) [Benutzende]
---------+SYS.2.4.A4 Verwendung einer Festplattenverschlüsselung (S)
---------+SYS.2.4.A5 Deaktivierung sicherheitskritischer Funktionen von macOS (S)
---------+SYS.2.4.A6 Verwendung aktueller Mac-Hardware (S)
---------+SYS.2.4.A7 Zwei-Faktor-Authentisierung für Apple-ID (S) [Benutzende]
---------+SYS.2.4.A8 Keine Nutzung von iCloud für schützenswerte Daten (S) [Benutzende]
---------+SYS.2.4.A9 Verwendung von zusätzlichen Schutzprogrammen unter macOS (S)
---------+SYS.2.4.A10 Aktivierung der Personal Firewall unter macOS (S)
---------+SYS.2.4.A11 Geräteaussonderung von Macs (S)
---------+SYS.2.4.A12 Firmware-Kennwort und Boot-Schutz auf Macs (H) [Benutzende]
------+SYS.2.5 Client-Virtualisierung
---------+SYS.2.5.G1 Unzureichende Dimensionierung der Netzanbindung virtueller Clients
---------+SYS.2.5.G2 Unzureichende Leistung der virtuellen Clients durch Ressourcenknappheit
---------+SYS.2.5.G3 Gegenseitiges Stören der virtuellen Clients
---------+SYS.2.5.G4 Unzureichende Trennung der virtuellen Clients auf Netzebene
---------+SYS.2.5.G5 Verlust von virtuellen Clients und darauf gespeicherten Daten
---------+SYS.2.5.G6 Nicht-Erreichbarkeit von virtuellen Clients und darauf gespeicherten Daten
---------+SYS.2.5.G7 Software-Schwachstellen auf den virtuellen Clients
---------+SYS.2.5.G8 Umgehen der Isolation zwischen einem virtuellen Client und anderen virtualisierten IT-Systemen
---------+SYS.2.5.A1 Planung des Einsatzes virtueller Clients (B)
---------+SYS.2.5.A2 Planung der verwendeten Netze für virtuelle Clients (B) [Planende]
---------+SYS.2.5.A3 Schutz vor Schadsoftware auf den virtuellen Clients (B)
---------+SYS.2.5.A4 Verwendung einer dedizierten Virtualisierungsinfrastruktur für die virtuellen Clients (S)
---------+SYS.2.5.A5 Zusätzliche Netzsegmentierung für virtuelle Clients (S)
---------+SYS.2.5.A6 Keine lokale Datenablage auf virtuellen Clients (S)
---------+SYS.2.5.A7 Automatische Sperrung von Sitzungen (S)
---------+SYS.2.5.A8 Härtung der virtuellen Clients (S)
---------+SYS.2.5.A9 Einbindung der virtuellen Clients in das Patch- und Änderungsmanagement (S)
---------+SYS.2.5.A10 Bedarfsgerechte Zuweisung von Ressourcen zu virtuellen Clients und Gruppen (S)
---------+SYS.2.5.A11 Vermeidung von verschachtelter Virtualisierung auf virtuellen Clients (S)
---------+SYS.2.5.A12 Sensibilisierung der Benutzenden (S)
---------+SYS.2.5.A13 Verhinderung der Kommunikation zwischen virtuellen Clients an einem gemeinsam genutzten virtuellen Switch (H)
---------+SYS.2.5.A14 Erweiterte Sicherheitsfunktionen für den Einsatz von virtuellen Clients (H)
---------+SYS.2.5.A15 Monitoring der virtuellen Clients (H)
---------+SYS.2.5.A16 Erweiterte Protokollierung für virtuelle Clients (H)
---------+SYS.2.5.A17 Erweitertes Monitoring der virtuellen Clients (H)
---------+SYS.2.5.A18 Hochverfügbare Bereitstellung der Virtualisierungsinfrastruktur (H)
------+SYS.2.6 Virtual Desktop Infrastructure
---------+SYS.2.6.G1 Qualitätsverlust der Bereitstellung virtueller Clients
---------+SYS.2.6.G2 Falsche Zuweisung von virtuellen Clients zu Benutzenden
---------+SYS.2.6.G3 Unzureichende Netztrennung durch Fehlkonfiguration in der VDI
---------+SYS.2.6.G4 Verlust von virtuellen Clients durch Fehlkonfiguration in der VDI
---------+SYS.2.6.G5 Ausfall von VDI-Komponenten
---------+SYS.2.6.G6 Unberechtigter Zugriff auf virtuelle Clients
---------+SYS.2.6.G7 Nutzung von Templates mit Software-Schwachstellen
---------+SYS.2.6.A1 Planung des Einsatzes einer VDI (B)
---------+SYS.2.6.A2 Sichere Installation und Konfiguration der VDI-Komponenten (B)
---------+SYS.2.6.A3 Sichere Installation und Konfiguration der virtuellen Clients mithilfe der VDI (S)
---------+SYS.2.6.A4 Netzsegmentierung der VDI-Komponenten (S) [Planende]
---------+SYS.2.6.A5 Standardisierter Zugriff auf virtuelle Clients (S)
---------+SYS.2.6.A6 Verwendung einer dedizierten Infrastruktur für virtuelle VDI-Komponenten (S)
---------+SYS.2.6.A7 Härtung der virtualisierten Clients durch die VDI-Lösung (S)
---------+SYS.2.6.A8 Härtung der VDI-Lösung (S)
---------+SYS.2.6.A9 Einbindung der virtuellen Clients in das Patch- und Änderungsmanagement (S)
---------+SYS.2.6.A10 Monitoring von Verfügbarkeit und Nutzungsgrad der VDI (S)
---------+SYS.2.6.A11 Monitoring von sicherheitsrelevanten Ereignissen der VDI (S)
---------+SYS.2.6.A12 Verteilung von virtuellen Clients auf Virtualisierungsservern (S)
---------+SYS.2.6.A13 Verwendung getrennter VDI-Lösungen für unterschiedliche Benutzendengruppen (H)
---------+SYS.2.6.A14 Verwendung von nicht-persistenten virtuellen Clients (H)
---------+SYS.2.6.A15 Hochverfügbare Bereitstellung der VDI-Komponenten (H)
---------+SYS.2.6.A16 Integration der VDI in ein SIEM (H)
------+SYS.3.1 Laptops
---------+SYS.3.1.G1 Beeinträchtigung durch wechselnde Einsatzumgebung
---------+SYS.3.1.G2 Diebstahl und Verlust von Laptops
---------+SYS.3.1.G3 Ungeordnete Weitergabe von Laptops
---------+SYS.3.1.A1 Regelungen zur mobilen Nutzung von Laptops (B)
---------+SYS.3.1.A3 Einsatz von Personal Firewalls (B)
---------+SYS.3.1.A9 Sicherer Fernzugriff mit Laptops (B)
---------+SYS.3.1.A6 Sicherheitsrichtlinien für Laptops (S)
---------+SYS.3.1.A7 Geregelte Übergabe und Rücknahme eines Laptops (S) [Benutzende]
---------+SYS.3.1.A8 Sicherer Anschluss von Laptops an Datennetze (S) [Benutzende]
---------+SYS.3.1.A10 Abgleich der Datenbestände von Laptops (S) [Benutzende]
---------+SYS.3.1.A11 Sicherstellung der Energieversorgung von Laptops (S) [Benutzende]
---------+SYS.3.1.A12 Verlustmeldung für Laptops (S) [Benutzende]
---------+SYS.3.1.A13 Verschlüsselung von Laptops (S)
---------+SYS.3.1.A14 Geeignete Aufbewahrung von Laptops (S) [Benutzende]
---------+SYS.3.1.A15 Geeignete Auswahl von Laptops (S) [Beschaffungsstelle]
---------+SYS.3.1.A16 Zentrale Administration und Verwaltung von Laptops (H)
---------+SYS.3.1.A17 Sammelaufbewahrung von Laptops (H)
---------+SYS.3.1.A18 Einsatz von Diebstahl-Sicherungen (H)
------+SYS.3.2.1 Allgemeine Smartphones und Tablets
---------+SYS.3.2.1.G1 Fehlende Betriebssystem-Updates
---------+SYS.3.2.1.G2 Software-Schwachstellen in vorinstallierten Anwendungen (Apps)
---------+SYS.3.2.1.G3 Manipulation von Smartphones und Tablets
---------+SYS.3.2.1.G4 Schadprogramme für Smartphones und Tablets
---------+SYS.3.2.1.G5 Webbasierte Angriffe auf mobile Browser
---------+SYS.3.2.1.G6 Missbrauch von Gesundheits-, Fitness- und Ortungsdaten
---------+SYS.3.2.1.G7 Missbrauch schutzbedürftiger Daten im Sperrbildschirm
---------+SYS.3.2.1.G8 Gefahren durch private Nutzung dienstlicher Smartphones und Tablets
---------+SYS.3.2.1.G9 Gefahren durch Bring Your Own Device (BYOD)
---------+SYS.3.2.1.G10 Rechteerhöhung durch Schwachstellen
---------+SYS.3.2.1.A1 Festlegung einer Richtlinie für den Einsatz von Smartphones und Tablets (B)
---------+SYS.3.2.1.A2 Festlegung einer Strategie für die Cloud-Nutzung (B)
---------+SYS.3.2.1.A3 Sichere Grundkonfiguration für mobile Geräte (B)
---------+SYS.3.2.1.A4 Verwendung eines Zugriffsschutzes (B) [Benutzende]
---------+SYS.3.2.1.A5 Updates von Betriebssystem und Apps (B)
---------+SYS.3.2.1.A6 Datenschutzeinstellungen und Berechtigungen (B)
---------+SYS.3.2.1.A7 Verhaltensregeln bei Sicherheitsvorfällen (B) [Benutzende]
---------+SYS.3.2.1.A8 Installation von Apps (B)
---------+SYS.3.2.1.A9 Restriktive Nutzung von funktionalen Erweiterungen (S)
---------+SYS.3.2.1.A10 Richtlinie für Mitarbeitende zur Benutzung von mobilen Geräten (S) [Benutzende]
---------+SYS.3.2.1.A11 Verschlüsselung des Speichers (S)
---------+SYS.3.2.1.A12 Verwendung nicht personalisierter Gerätenamen (S)
---------+SYS.3.2.1.A13 Regelungen zum Screensharing und Casting (S)
---------+SYS.3.2.1.A16 Deaktivierung nicht benutzter Kommunikationsschnittstellen (S) [Benutzende]
---------+SYS.3.2.1.A18 Verwendung biometrischer Authentisierung (S)
---------+SYS.3.2.1.A19 Verwendung von Sprachassistenten (S)
---------+SYS.3.2.1.A22 Einbindung mobiler Geräte in die interne Infrastruktur via VPN (S)
---------+SYS.3.2.1.A28 Verwendung der Filteroption für Webseiten (S)
---------+SYS.3.2.1.A31 Regelung zu Mobile Payment (S)
---------+SYS.3.2.1.A32 MDM Nutzung (S)
---------+SYS.3.2.1.A33 Auswahl und Installation von Sicherheits-Apps (S)
---------+SYS.3.2.1.A34 Konfiguration des verwendeten DNS-Servers (S)
---------+SYS.3.2.1.A25 Nutzung von getrennten Arbeitsumgebungen (H)
---------+SYS.3.2.1.A26 Nutzung von PIM-Containern (H)
---------+SYS.3.2.1.A27 Einsatz besonders abgesicherter Endgeräte (H)
---------+SYS.3.2.1.A29 Verwendung eines institutionsbezogenen APN (H)
---------+SYS.3.2.1.A30 Einschränkung der App-Installation mittels Allowlist (H)
---------+SYS.3.2.1.A35 Verwendung einer Firewall (H)
------+SYS.3.2.2 Mobile Device Management (MDM)
---------+SYS.3.2.2.G1 Keine ausreichende Synchronisation mit dem MDM
---------+SYS.3.2.2.G2 Fehlerhafte Administration des MDM
---------+SYS.3.2.2.G3 Ungeeignetes Rechtemanagement im MDM
---------+SYS.3.2.2.G4 Unberechtigte Erstellung von Bewegungsprofilen durch das MDM
---------+SYS.3.2.2.A1 Festlegung einer Strategie für das Mobile Device Management (B)
---------+SYS.3.2.2.A2 Festlegung erlaubter mobiler Endgeräte (B)
---------+SYS.3.2.2.A3 Auswahl eines MDM-Produkts (B)
---------+SYS.3.2.2.A4 Verteilung der Grundkonfiguration auf mobile Endgeräte (B)
---------+SYS.3.2.2.A5 Installation des MDM-Clients (B)
---------+SYS.3.2.2.A20 Regelmäßige Überprüfung des MDM (B)
---------+SYS.3.2.2.A6 Protokollierung des Gerätestatus (S)
---------+SYS.3.2.2.A7 Installation von Apps (S)
---------+SYS.3.2.2.A12 Absicherung der MDM-Betriebsumgebung (S)
---------+SYS.3.2.2.A21 Verwaltung von Zertifikaten (S)
---------+SYS.3.2.2.A22 Fernlöschung und Außerbetriebnahme von Endgeräten (S)
---------+SYS.3.2.2.A14 Benutzung externer Reputation-Services für Apps (H)
---------+SYS.3.2.2.A17 Kontrolle der Nutzung von mobilen Endgeräten (H)
---------+SYS.3.2.2.A19 Einsatz von Geofencing (H)
---------+SYS.3.2.2.A23 Durchsetzung von Compliance-Anforderungen (H)
------+SYS.3.2.3 iOS (for Enterprise)
---------+SYS.3.2.3.G1 Risikokonzentration durch ein Konto (Apple-ID) für alle Apple-Dienste
---------+SYS.3.2.3.G2 Feste Integration von vorinstallierten Apps und deren Funktionen
---------+SYS.3.2.3.G3 Missbräuchlicher Zugriff auf ausgelagerte Daten
---------+SYS.3.2.3.A1 Strategie für die iOS-Nutzung (B)
---------+SYS.3.2.3.A2 Planung des Einsatzes von Cloud-Diensten (B)
---------+SYS.3.2.3.A7 Verhinderung des unautorisierten Löschens von Konfigurationsprofilen (B)
---------+SYS.3.2.3.A12 Verwendung von Apple-IDs (S)
---------+SYS.3.2.3.A13 Verwendung der Konfigurationsoption „Einschränkungen unter iOS“ (S)
---------+SYS.3.2.3.A14 Verwendung der iCloud-Infrastruktur (S)
---------+SYS.3.2.3.A15 Verwendung der Continuity-Funktionen (S)
---------+SYS.3.2.3.A17 Verwendung der Gerätecode-Historie (S)
---------+SYS.3.2.3.A18 Verwendung der Konfigurationsoption für den Browser Safari (S)
---------+SYS.3.2.3.A21 Installation von Apps und Einbindung des Apple App Stores (S)
---------+SYS.3.2.3.A23 Verwendung der automatischen Konfigurationsprofillöschung (H)
---------+SYS.3.2.3.A25 Verwendung der Konfigurationsoption für AirPrint (H)
---------+SYS.3.2.3.A26 Keine Verbindung mit Host-Systemen (H)
------+SYS.3.2.4 Android
---------+SYS.3.2.4.G1 Deaktivieren von Sicherheitsfunktionen
---------+SYS.3.2.4.G2 Schadsoftware für das Android-Betriebssystem
---------+SYS.3.2.4.G3 Fehlende Updates für das Android-Betriebssystem
---------+SYS.3.2.4.G4 Risiko durch Konten (Google-ID) für Google-Dienste
---------+SYS.3.2.4.G5 Vorinstallierte Apps und integrierte Funktionen bei Android-basierten Geräten
---------+SYS.3.2.4.A2 Deaktivieren des Entwicklermodus (S)
---------+SYS.3.2.4.A3 Einsatz des Multi-User- und Gäste-Modus (S)
---------+SYS.3.2.4.A5 Erweiterte Sicherheitseinstellungen (S)
------+SYS.3.3 Mobiltelefon
---------+SYS.3.3.G1 Unzureichende Planung bei der Anschaffung von Mobiltelefonen
---------+SYS.3.3.G2 Verlust des Mobiltelefons
---------+SYS.3.3.G3 Sorglosigkeit im Umgang mit Informationen bei der Mobiltelefonie
---------+SYS.3.3.G4 Unerlaubte private Nutzung des dienstlichen Mobiltelefons
---------+SYS.3.3.G5 Ausfall des Mobiltelefons
---------+SYS.3.3.G6 Auswertung von Verbindungsdaten bei der Nutzung von Mobiltelefonen
---------+SYS.3.3.G7 Abhören von Raumgesprächen über Mobiltelefone
---------+SYS.3.3.G8 Einsatz veralteter Mobiltelefone
---------+SYS.3.3.A1 Sicherheitsrichtlinien und Regelungen für die Nutzung von Mobiltelefonen (B)
---------+SYS.3.3.A2 Sperrmaßnahmen bei Verlust eines Mobiltelefons (B) [Benutzende]
---------+SYS.3.3.A3 Sensibilisierung und Schulung der Mitarbeitenden im Umgang mit Mobiltelefonen (B)
---------+SYS.3.3.A4 Aussonderung und ordnungsgemäße Entsorgung von Mobiltelefonen und darin verwendeter Speicherkarten (B)
---------+SYS.3.3.A5 Nutzung der Sicherheitsmechanismen von Mobiltelefonen (S) [Benutzende]
---------+SYS.3.3.A6 Updates von Mobiltelefonen (S) [Benutzende]
---------+SYS.3.3.A7 Beschaffung von Mobiltelefonen (S)
---------+SYS.3.3.A8 Nutzung drahtloser Schnittstellen von Mobiltelefonen (S) [Benutzende]
---------+SYS.3.3.A10 Sichere Datenübertragung über Mobiltelefone (S) [Benutzende]
---------+SYS.3.3.A11 Ausfallvorsorge bei Mobiltelefonen (S) [Benutzende]
---------+SYS.3.3.A12 Einrichtung eines Mobiltelefon-Pools (S)
---------+SYS.3.3.A9 Sicherstellung der Energieversorgung von Mobiltelefonen (H) [Benutzende]
---------+SYS.3.3.A13 Schutz vor der Erstellung von Bewegungsprofilen bei der Nutzung von Mobilfunk (H) [Benutzende]
---------+SYS.3.3.A14 Schutz vor Rufnummernermittlung bei der Nutzung von Mobiltelefonen (H) [Benutzende]
---------+SYS.3.3.A15 Schutz vor Abhören der Raumgespräche über Mobiltelefone (H)
------+SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte
---------+SYS.4.1.G1 Unerlaubte Einsicht in ausgedruckte Dokumente
---------+SYS.4.1.G2 Sichtbarkeit von Metadaten
---------+SYS.4.1.G3 Ungenügender Schutz gespeicherter Informationen
---------+SYS.4.1.G4 Unverschlüsselte Kommunikation
---------+SYS.4.1.G5 Unberechtigter Versand von Informationen
---------+SYS.4.1.G6 Unkontrollierter Datenaustausch über Speicherschnittstellen bei Druckern, Kopierern und Multifunktionsgeräten
---------+SYS.4.1.G7 Ungenügend abgesicherte Netzzugänge von Druckern, Kopierern und Multifunktionsgeräten
---------+SYS.4.1.G8 Mangelhafter Zugriffsschutz zur Geräteadministration
---------+SYS.4.1.A1 Planung des Einsatzes von Druckern, Kopierern und Multifunktionsgeräten (B)
---------+SYS.4.1.A2 Geeignete Aufstellung und Zugriff auf Drucker, Kopierer und Multifunktionsgeräte (B)
---------+SYS.4.1.A22 Ordnungsgemäße Entsorgung ausgedruckter Dokumente (B)
---------+SYS.4.1.A4 Erstellung einer Sicherheitsrichtlinie für den Einsatz von Druckern, Kopierern und Multifunktionsgeräten (S)
---------+SYS.4.1.A5 Erstellung von Nutzungsrichtlinien für den Umgang mit Druckern, Kopierern und Multifunktionsgeräten (S) [Informationssicherheitsbeauftragte (ISB)]
---------+SYS.4.1.A7 Beschränkung der administrativen Fernzugriffe auf Drucker, Kopierer und Multifunktionsgeräte (S)
---------+SYS.4.1.A11 Einschränkung der Anbindung von Druckern, Kopierern und Multifunktionsgeräten (S)
---------+SYS.4.1.A15 Verschlüsselung von Informationen bei Druckern, Kopierern und Multifunktionsgeräten (S)
---------+SYS.4.1.A17 Schutz von Nutz- und Metadaten (S)
---------+SYS.4.1.A18 Konfiguration von Druckern, Kopierern und Multifunktionsgeräten (S)
---------+SYS.4.1.A14 Authentisierung und Autorisierung bei Druckern, Kopierern und Multifunktionsgeräten (H)
---------+SYS.4.1.A16 Verringerung von Ausfallzeiten bei Druckern, Kopierern und Multifunktionsgeräten (H)
---------+SYS.4.1.A20 Erweiterter Schutz von Informationen bei Druckern, Kopierern und Multifunktionsgeräten (H)
---------+SYS.4.1.A21 Erweiterte Absicherung von Druckern, Kopierern und Multifunktionsgeräten (H)
------+SYS.4.3 Eingebettete Systeme
---------+SYS.4.3.G1 Unzureichende Sicherheitsanforderungen bei der Entwicklung von eingebetteten Systemen
---------+SYS.4.3.G2 Ungesicherte Ein- und Ausgabe-Schnittstellen bei eingebetteten Systemen
---------+SYS.4.3.G3 Unzureichende physische Absicherung bei eingebetteten Systemen
---------+SYS.4.3.G4 Hardwareausfall und Hardwarefehler bei eingebetteten Systemen
---------+SYS.4.3.G5 Einspielen (Flashen) von manipulierten Software-Updates bei eingebetteten Systemen
---------+SYS.4.3.G6 Seitenkanalangriffe auf eingebettete Kryptosysteme
---------+SYS.4.3.G7 Eindringen und Manipulation über die Kommunikationsschnittstelle von eingebetteten Systemen
---------+SYS.4.3.G8 Einsatz gefälschter Komponenten
---------+SYS.4.3.A1 Regelungen zum Umgang mit eingebetteten Systemen (B)
---------+SYS.4.3.A2 Deaktivieren nicht benutzter Schnittstellen und Dienste bei eingebetteten Systemen (B)
---------+SYS.4.3.A3 Protokollierung sicherheitsrelevanter Ereignisse bei eingebetteten Systemen (B)
---------+SYS.4.3.A4 Erstellung von Beschaffungskriterien für eingebettete Systeme (S) [Beschaffungsstelle]
---------+SYS.4.3.A5 Schutz vor schädigenden Umwelteinflüssen bei eingebetteten Systemen (S) [Entwickelnde, Planende]
---------+SYS.4.3.A6 Verhindern von Debugging-Möglichkeiten bei eingebetteten Systemen (S) [Entwickelnde]
---------+SYS.4.3.A7 Hardware-Realisierung von Funktionen eingebetteter Systeme (S) [Entwickelnde, Planende, Beschaffungsstelle]
---------+SYS.4.3.A8 Einsatz eines sicheren Betriebssystems für eingebettete Systeme (S) [Entwickelnde, Planende, Beschaffungsstelle]
---------+SYS.4.3.A9 Einsatz kryptografischer Prozessoren bzw. Koprozessoren bei eingebetteten Systemen (S) [Entwickelnde, Planende, Beschaffungsstelle]
---------+SYS.4.3.A10 Wiederherstellung von eingebetteten Systemen (S)
---------+SYS.4.3.A11 Sichere Aussonderung eines eingebetteten Systems (S)
---------+SYS.4.3.A12 Auswahl einer vertrauenswürdigen Lieferungs- und Logistikkette sowie qualifizierte herstellende Institutionen für eingebettete Systeme (H) [Beschaffungsstelle]
---------+SYS.4.3.A13 Einsatz eines zertifizierten Betriebssystems (H) [Entwickelnde, Planende, Beschaffungsstelle]
---------+SYS.4.3.A14 Abgesicherter und authentisierter Bootprozess bei eingebetteten Systemen (H) [Entwickelnde, Planende, Beschaffungsstelle]
---------+SYS.4.3.A15 Speicherschutz bei eingebetteten Systemen (H) [Entwickelnde, Planende, Beschaffungsstelle]
---------+SYS.4.3.A16 Tamper-Schutz bei eingebetteten Systemen (H) [Planende]
---------+SYS.4.3.A17 Automatische Überwachung der Baugruppenfunktion (H) [Planende, Beschaffungsstelle]
---------+SYS.4.3.A18 Widerstandsfähigkeit eingebetteter Systeme gegen Seitenkanalangriffe (H) [Entwickelnde, Beschaffungsstelle]
------+SYS.4.4 Allgemeines IoT-Gerät
---------+SYS.4.4.G1 Ausspähung über IoT-Geräte
---------+SYS.4.4.G2 Verwendung von UPnP
---------+SYS.4.4.G3 Übernahme in ein Botnetz
---------+SYS.4.4.A1 Einsatzkriterien für IoT-Geräte (B)
---------+SYS.4.4.A2 Authentisierung (B)
---------+SYS.4.4.A5 Einschränkung des Netzzugriffs (B)
---------+SYS.4.4.A6 Aufnahme von IoT-Geräten in die Sicherheitsrichtlinie der Institution (S)
---------+SYS.4.4.A7 Planung des Einsatzes von IoT-Geräten (S)
---------+SYS.4.4.A8 Beschaffungskriterien für IoT-Geräte (S) [Beschaffungsstelle]
---------+SYS.4.4.A9 Regelung des Einsatzes von IoT-Geräten (S)
---------+SYS.4.4.A10 Sichere Installation und Konfiguration von IoT-Geräten (S)
---------+SYS.4.4.A11 Verwendung von verschlüsselter Datenübertragung (S)
---------+SYS.4.4.A13 Deaktivierung und Deinstallation nicht benötigter Komponenten (S)
---------+SYS.4.4.A15 Restriktive Rechtevergabe (S)
---------+SYS.4.4.A16 Beseitigung von Schadprogrammen auf IoT-Geräten (S)
---------+SYS.4.4.A17 Überwachung des Netzverkehrs von IoT-Geräten (S)
---------+SYS.4.4.A18 Protokollierung sicherheitsrelevanter Ereignisse bei IoT-Geräten (S)
---------+SYS.4.4.A19 Schutz der Administrationsschnittstellen (S)
---------+SYS.4.4.A20 Geregelte Außerbetriebnahme von IoT-Geräten (S)
---------+SYS.4.4.A21 Einsatzumgebung und Stromversorgung (H) [Haustechnik]
---------+SYS.4.4.A22 Systemüberwachung (H)
---------+SYS.4.4.A23 Auditierung von IoT-Geräten (H)
---------+SYS.4.4.A24 Sichere Konfiguration und Nutzung eines eingebetteten Webservers (H)
------+SYS.4.5 Wechseldatenträger
---------+SYS.4.5.G1 Sorglosigkeit im Umgang mit Informationen
---------+SYS.4.5.G2 Unzureichende Kenntnis über Regelungen
---------+SYS.4.5.G3 Diebstahl oder Verlust von Wechseldatenträgern
---------+SYS.4.5.G4 Defekte Datenträger
---------+SYS.4.5.G5 Beeinträchtigung durch wechselnde Einsatzumgebung
---------+SYS.4.5.G6 Verbreitung von Schadsoftware
---------+SYS.4.5.A1 Sensibilisierung zum sicheren Umgang mit Wechseldatenträgern (B)
---------+SYS.4.5.A2 Verlust- und Manipulationsmeldung (B) [Benutzende]
---------+SYS.4.5.A10 Datenträgerverschlüsselung (B)
---------+SYS.4.5.A12 Schutz vor Schadsoftware (B) [Benutzende]
---------+SYS.4.5.A4 Erstellung einer Richtlinie zum sicheren Umgang mit Wechseldatenträgern (S)
---------+SYS.4.5.A5 Regelung zur Mitnahme von Wechseldatenträgern (S)
---------+SYS.4.5.A6 Datenträgerverwaltung (S) [Fachverantwortliche]
---------+SYS.4.5.A7 Sicheres Löschen der Wechseldatenträger vor und nach der Verwendung (S) [Fachverantwortliche]
---------+SYS.4.5.A13 Kennzeichnung der Wechseldatenträger beim Versand (S)
---------+SYS.4.5.A17 Gewährleistung der Integrität und Verfügbarkeit bei Langzeitspeichern (S)
---------+SYS.4.5.A11 Integritätsschutz durch Checksummen oder digitale Signaturen (H)
---------+SYS.4.5.A14 Sichere Versandart und Verpackung (H)
---------+SYS.4.5.A15 Verwendung zertifizierter Wechseldatenträger (H)
---------+SYS.4.5.A16 Nutzung dedizierter IT-Systeme zur Datenprüfung (H)
---+Industrielle IT
------+IND.1 Prozessleit- und Automatisierungstechnik
---------+IND.1.G1 Beeinträchtigung durch schädliche Umgebungseinflüsse
---------+IND.1.G2 Ungeeignete Einbindung der OT in die Sicherheitsorganisation
---------+IND.1.G3 Ungeeignete Einbindung der OT in betriebliche Abläufe
---------+IND.1.G4 Unzureichender Zugangsschutz
---------+IND.1.G5 Unsicherer Projektierungsprozess/Anwendungsentwicklungsprozess
---------+IND.1.G6 Unsicheres Administrationskonzept und Fernadministration
---------+IND.1.G7 Unzureichende Überwachungs- und Detektionsverfahren
---------+IND.1.G8 Unzureichendes Testkonzept
---------+IND.1.G9 Mangelnde Life-Cycle-Konzepte
---------+IND.1.G10 Unzureichende Sicherheitsanforderungen bei der Beschaffung
---------+IND.1.G11 Einsatz unsicherer Protokolle
---------+IND.1.G12 Unsichere Konfigurationen von ICS-Komponenten
---------+IND.1.G13 Abhängigkeiten der OT von IT-Netzen
---------+IND.1.A1 Einbindung in die Sicherheitsorganisation (B)
---------+IND.1.A3 Schutz vor Schadprogrammen (B)
---------+IND.1.A18 Protokollierung (B) [OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A19 Erstellung von Datensicherungen (B) [Mitarbeitende, OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A4 Dokumentation der OT-Infrastruktur (S)
---------+IND.1.A5 Entwicklung eines geeigneten Zonenkonzepts (S) [Planende]
---------+IND.1.A6 Änderungsmanagement im OT-Betrieb (S)
---------+IND.1.A7 Etablieren einer übergreifenden Berechtigungsverwaltung zwischen der OT und in der Office-IT (S)
---------+IND.1.A8 Sichere Administration (S) [IT-Betrieb]
---------+IND.1.A9 Restriktiver Einsatz von Wechseldatenträgern und mobilen Endgeräten in ICS-Umgebungen (S)
---------+IND.1.A10 Monitoring, Protokollierung und Detektion (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A11 Sichere Beschaffung und Systementwicklung (S)
---------+IND.1.A12 Etablieren eines Schwachstellen-Managements (S)
---------+IND.1.A20 Systemdokumentation (S) [Mitarbeitende, OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A21 Dokumentation der Kommunikationsbeziehungen (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A22 Zentrale Systemprotokollierung und -überwachung (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A23 Aussonderung von ICS-Komponenten (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.1.A13 Notfallplanung für OT (H)
---------+IND.1.A14 Starke Authentisierung an OT-Komponenten (H)
---------+IND.1.A15 Überwachung von weitreichenden Berechtigungen (H)
---------+IND.1.A16 Stärkere Abschottung der Zonen (H)
---------+IND.1.A17 Regelmäßige Sicherheitsüberprüfung (H)
---------+IND.1.A24 Kommunikation im Störfall (H) [Mitarbeitende, OT-Betrieb (Operational Technology, OT)]
------+IND.2.1 Allgemeine ICS-Komponente
---------+IND.2.1.G1 Unsichere Systemkonfiguration
---------+IND.2.1.G2 Unzureichendes Benutzenden- und Berechtigungsmanagement
---------+IND.2.1.G3 Unzureichende Protokollierung
---------+IND.2.1.G4 Manipulation und Sabotage einer ICS-Komponente
---------+IND.2.1.G5 Einsatz unsicherer Protokolle
---------+IND.2.1.G6 Denial-of-Service-(DoS)-Angriffe
---------+IND.2.1.G7 Schadprogramme
---------+IND.2.1.G8 Ausspionieren von Informationen
---------+IND.2.1.G9 Manipulierte Firmware
---------+IND.2.1.A1 Einschränkung des Zugriffs auf Konfigurations- und Wartungsschnittstellen (B) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A2 Nutzung sicherer Übertragungs-Protokolle für die Konfiguration und Wartung (B) [Wartungspersonal, OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A4 Deaktivierung oder Deinstallation nicht genutzter Dienste, Funktionen und Schnittstellen (B) [Wartungspersonal, OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A6 Netzsegmentierung (B) [OT-Betrieb (Operational Technology, OT), Planende]
---------+IND.2.1.A7 Erstellung von Datensicherungen (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A8 Schutz vor Schadsoftware (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A11 Wartung der ICS-Komponenten (S) [Mitarbeitende, OT-Betrieb (Operational Technology, OT), Wartungspersonal]
---------+IND.2.1.A13 Geeignete Inbetriebnahme von ICS-Komponenten (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A16 Schutz externer Schnittstellen (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A17 Nutzung sicherer Protokolle für die Übertragung von Mess- und Steuerdaten (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A18 Kommunikation im Störfall (H) [OT-Betrieb (Operational Technology, OT), Mitarbeitende]
---------+IND.2.1.A19 Security-Tests (H) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.1.A20 Vertrauenswürdiger Code (H) [OT-Betrieb (Operational Technology, OT)]
------+IND.2.2 Speicherprogrammierbare Steuerung (SPS)
---------+IND.2.2.G1 Unvollständige Dokumentation
---------+IND.2.2.A1 Erweiterte Systemdokumentation für Speicherprogrammierbare Steuerungen (S) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.2.A3 Zeitsynchronisation (S) [OT-Betrieb (Operational Technology, OT)]
------+IND.2.3 Sensoren und Aktoren
---------+IND.2.3.G1 Unzureichende Sicherheitsanforderungen bei der Beschaffung
---------+IND.2.3.A1 Installation von Sensoren (B) [OT-Betrieb (Operational Technology, OT), Wartungspersonal]
---------+IND.2.3.A2 Kalibrierung von Sensoren (S) [Wartungspersonal]
---------+IND.2.3.A3 Drahtlose Kommunikation (H)
------+IND.2.4 Maschine
---------+IND.2.4.G1 Ausfall oder Störung durch ungenügende Wartung
---------+IND.2.4.G2 Gezielte Manipulationen
---------+IND.2.4.A1 Fernwartung durch Maschinen- und Anlagenbauende (B) [OT-Betrieb (Operational Technology, OT)]
---------+IND.2.4.A2 Betrieb nach Ende der Gewährleistung (B) [OT-Betrieb (Operational Technology, OT)]
------+IND.2.7 Safety Instrumented Systems
---------+IND.2.7.G1 Manipulation des Logiksystems
---------+IND.2.7.G2 Unzureichende Überwachungs- und Detektionsverfahren
---------+IND.2.7.A1 Erfassung und Dokumentation (B) [Planende, Wartungspersonal]
---------+IND.2.7.A2 Zweckgebundene Nutzung der Hard- und Softwarekomponenten (B) [Wartungspersonal]
---------+IND.2.7.A3 Änderung des Anwendungsprogramms auf dem Logiksystem (B) [Wartungspersonal]
---------+IND.2.7.A4 Verankerung von Informationssicherheit im Functional Safety Management (S) [ICS-Informationssicherheitsbeauftragte]
---------+IND.2.7.A5 Notfallmanagement von SIS (S) [ICS-Informationssicherheitsbeauftragte]
---------+IND.2.7.A6 Sichere Planung und Spezifikation des SIS (S) [Planende, Wartungspersonal, ICS-Informationssicherheitsbeauftragte]
---------+IND.2.7.A7 Trennung und Unabhängigkeit des SIS von der Umgebung (S) [Planende, Wartungspersonal]
---------+IND.2.7.A8 Sichere Übertragung von Engineering Daten auf SIS (S) [Planende, Wartungspersonal, ICS-Informationssicherheitsbeauftragte]
---------+IND.2.7.A9 Absicherung der Daten- und Signalverbindungen (S) [Planende, Wartungspersonal, ICS-Informationssicherheitsbeauftragte]
---------+IND.2.7.A10 Anzeige und Alarmierung von simulierten oder gebrückten Variablen (S) [Planende]
---------+IND.2.7.A11 Umgang mit integrierten Systemen (S) [Planende, Wartungspersonal, ICS-Informationssicherheitsbeauftragte]
---------+IND.2.7.A12 Sicherstellen der Integrität und Authentizität von Anwendungsprogrammen und Konfigurationsdaten (H) [Planende]
------+IND.3.2 Fernwartung im industriellen Umfeld
---------+IND.3.2.G1 Unvollständig dokumentierte Fernwartungszugänge in der OT
---------+IND.3.2.G2 Unzureichende Verfügbarkeit durch Abhängigkeiten von der Büro- und Gebäude-IT
---------+IND.3.2.G3 Unzureichende Regelungen für die Nutzung von OT-Fernwartungszugängen
---------+IND.3.2.G4 Unzureichende menschliche Kontrolle über OT-Fernwartungssitzungen
---------+IND.3.2.G5 Direkte IP-basierte Zugriffsmöglichkeiten auf ICS aus unsicheren Zonen
---------+IND.3.2.G6 Unsichere alternative OT-Fernwartungszugänge für Störungen
---------+IND.3.2.G7 Unsichere Konzeption von OT-Fernwartungszugängen
---------+IND.3.2.G8 Veraltete technische Konzeption von OT-Fernwartungszugängen
---------+IND.3.2.A1 Planung des Einsatzes der Fernwartung in der OT (B) [Planende]
---------+IND.3.2.A2 Konsistente Dokumentation der Fernwartung durch OT sowie Büro- und Gebäude-IT (B) [IT-Betrieb, Wartungspersonal]
---------+IND.3.2.A3 Regelmäßige Prüfungen sowie Ausnahmegenehmigungen bestehender OT-Fernwartungszugänge (B) [IT-Betrieb]
---------+IND.3.2.A4 Verbindliche Regelung der OT-Fernwartung durch Dritte (B)
---------+IND.3.2.A5 Interne Abstimmung für die OT-Fernwartung mit der Büro- und Gebäude-IT (B) [Planende]
---------+IND.3.2.A6 Absicherung jedes Fernwartungszugriffs auf die OT (B) [IT-Betrieb]
---------+IND.3.2.A7 Technische Entkopplung von Zugriffen (S) [Planende]
---------+IND.3.2.A8 Explizite Freigabe jeder OT-Fernwartungssitzung (S) [Mitarbeitende]
---------+IND.3.2.A9 Sicherer Austausch von Dateien begleitend zur OT-Fernwartung (S) [Planende, IT-Betrieb]
---------+IND.3.2.A10 Beobachtung und Kontrolle von OT-Fernwartungssitzungen (S) [Mitarbeitende]
---------+IND.3.2.A11 Zentrale Verwaltung aller Konten für die OT-Fernwartung (S) [IT-Betrieb]
---------+IND.3.2.A12 Dedizierte Fernwartungslösung in der OT (H) [Planende]
---------+IND.3.2.A13 Protokollierung der Inhalte von Fernwartungszugriffen in der OT (H) [Planende, Datenschutzbeauftragte]
---------+IND.3.2.A14 Technische Kontrolle von Fernwartungssitzungen (H) [Planende, Datenschutzbeauftragte]
---+Netze und Kommunikation
------+NET.1.1 Netzarchitektur und -design
---------+NET.1.1.G1 Ausfall oder unzureichende Performance von Kommunikationsverbindungen
---------+NET.1.1.G2 Ungenügend abgesicherte Netzzugänge
---------+NET.1.1.G3 Unsachgemäßer Aufbau von Netzen
---------+NET.1.1.A1 Sicherheitsrichtlinie für das Netz (B) [IT-Betrieb]
---------+NET.1.1.A2 Dokumentation des Netzes (B) [IT-Betrieb]
---------+NET.1.1.A3 Anforderungsspezifikation für das Netz (B)
---------+NET.1.1.A4 Netztrennung in Zonen (B)
---------+NET.1.1.A5 Client-Server-Segmentierung (B)
---------+NET.1.1.A6 Endgeräte-Segmentierung im internen Netz (B)
---------+NET.1.1.A7 Absicherung von schützenswerten Informationen (B)
---------+NET.1.1.A8 Grundlegende Absicherung des Internetzugangs (B)
---------+NET.1.1.A9 Grundlegende Absicherung der Kommunikation mit nicht vertrauenswürdigen Netzen (B)
---------+NET.1.1.A10 DMZ-Segmentierung für Zugriffe aus dem Internet (B)
---------+NET.1.1.A11 Absicherung eingehender Kommunikation vom Internet in das interne Netz (B)
---------+NET.1.1.A12 Absicherung ausgehender interner Kommunikation zum Internet (B)
---------+NET.1.1.A13 Netzplanung (B)
---------+NET.1.1.A14 Umsetzung der Netzplanung (B)
---------+NET.1.1.A15 Regelmäßiger Soll-Ist-Vergleich (B)
---------+NET.1.1.A16 Spezifikation der Netzarchitektur (S)
---------+NET.1.1.A17 Spezifikation des Netzdesigns (S)
---------+NET.1.1.A18 P-A-P-Struktur für die Internet-Anbindung (S)
---------+NET.1.1.A19 Separierung der Infrastrukturdienste (S)
---------+NET.1.1.A20 Zuweisung dedizierter Subnetze für IPv4/IPv6-Endgerätegruppen (S)
---------+NET.1.1.A21 Separierung des Management-Bereichs (S)
---------+NET.1.1.A22 Spezifikation des Segmentierungskonzepts (S)
---------+NET.1.1.A23 Trennung von Netzsegmenten (S)
---------+NET.1.1.A24 Sichere logische Trennung mittels VLAN (S)
---------+NET.1.1.A25 Fein- und Umsetzungsplanung von Netzarchitektur und -design (S)
---------+NET.1.1.A26 Spezifikation von Betriebsprozessen für das Netz (S)
---------+NET.1.1.A27 Einbindung der Netzarchitektur in die Notfallplanung (S) [IT-Betrieb]
---------+NET.1.1.A28 Hochverfügbare Netz- und Sicherheitskomponenten (H)
---------+NET.1.1.A29 Hochverfügbare Realisierung von Netzanbindungen (H)
---------+NET.1.1.A30 Schutz vor Distributed-Denial-of-Service (H)
---------+NET.1.1.A31 Physische Trennung von Netzsegmenten (H)
---------+NET.1.1.A32 Physische Trennung von Management-Netzsegmenten (H)
---------+NET.1.1.A33 Mikrosegmentierung des Netzes (H)
---------+NET.1.1.A34 Einsatz kryptografischer Verfahren auf Netzebene (H)
---------+NET.1.1.A35 Einsatz von netzbasiertem DLP (H)
---------+NET.1.1.A36 Trennung mittels VLAN bei sehr hohem Schutzbedarf (H)
------+NET.1.2 Netzmanagement
---------+NET.1.2.G1 Unberechtigter Zugriff auf zentrale Netzmanagement-Komponenten
---------+NET.1.2.G2 Unberechtigter Zugriff auf einzelne Netzkomponenten
---------+NET.1.2.G3 Unberechtigte Eingriffe in die Netzmanagement-Kommunikation
---------+NET.1.2.G4 Unzureichende Zeitsynchronisation der Netzmanagement-Komponenten
---------+NET.1.2.A1 Planung des Netzmanagements (B)
---------+NET.1.2.A2 Anforderungsspezifikation für das Netzmanagement (B)
---------+NET.1.2.A6 Regelmäßige Datensicherung (B)
---------+NET.1.2.A7 Grundlegende Protokollierung von Ereignissen (B)
---------+NET.1.2.A8 Zeit-Synchronisation (B)
---------+NET.1.2.A9 Absicherung der Netzmanagement-Kommunikation und des Zugriffs auf Netz-Management-Werkzeuge (B)
---------+NET.1.2.A10 Beschränkung der SNMP-Kommunikation (B)
---------+NET.1.2.A11 Festlegung einer Sicherheitsrichtlinie für das Netzmanagement (S)
---------+NET.1.2.A12 Ist-Aufnahme und Dokumentation des Netzmanagements (S)
---------+NET.1.2.A13 Erstellung eines Netzmanagement-Konzepts (S)
---------+NET.1.2.A14 Fein- und Umsetzungsplanung (S)
---------+NET.1.2.A15 Konzept für den sicheren Betrieb der Netzmanagement-Infrastruktur (S)
---------+NET.1.2.A16 Einrichtung und Konfiguration von Netzmanagement-Lösungen (S)
---------+NET.1.2.A17 Regelmäßiger Soll-Ist-Vergleich im Rahmen des Netzmanagements (S)
---------+NET.1.2.A18 Schulungen für Management-Lösungen (S) [Vorgesetzte]
---------+NET.1.2.A21 Entkopplung der Netzmanagement-Kommunikation (S)
---------+NET.1.2.A22 Beschränkung der Management-Funktionen (S)
---------+NET.1.2.A24 Zentrale Konfigurationsverwaltung für Netzkomponenten (S)
---------+NET.1.2.A25 Statusüberwachung der Netzkomponenten (S)
---------+NET.1.2.A26 Alarming und Logging (S)
---------+NET.1.2.A27 Einbindung des Netzmanagements in die Notfallplanung (S)
---------+NET.1.2.A28 Platzierung der Management-Clients für das In-Band-Management (S)
---------+NET.1.2.A29 Einsatz von VLANs im Management-Netz (S)
---------+NET.1.2.A30 Hochverfügbare Realisierung der Management-Lösung (H)
---------+NET.1.2.A31 Grundsätzliche Nutzung von sicheren Protokollen (H)
---------+NET.1.2.A32 Physische Trennung des Managementnetzes (H) [Planende]
---------+NET.1.2.A33 Physische Trennung von Management-Segmenten (H) [Planende]
---------+NET.1.2.A35 Festlegungen zur Beweissicherung (H)
---------+NET.1.2.A36 Einbindung der Protokollierung des Netzmanagements in eine SIEM-Lösung (H)
---------+NET.1.2.A37 Standortübergreifende Zeitsynchronisation (H)
---------+NET.1.2.A38 Festlegung von Notbetriebsformen für die Netzmanagement-Infrastruktur (H)
------+NET.2.1 WLAN-Betrieb
---------+NET.2.1.G1 Ausfall oder Störung eines Funknetzes
---------+NET.2.1.G2 Fehlende oder unzureichende Planung des WLAN-Einsatzes
---------+NET.2.1.G3 Fehlende oder unzureichende Regelungen zum WLAN-Einsatz
---------+NET.2.1.G4 Ungeeignete Auswahl von Authentisierungsverfahren
---------+NET.2.1.G5 Fehlerhafte Konfiguration der WLAN-Infrastruktur
---------+NET.2.1.G6 Unzureichende oder fehlende WLAN-Sicherheitsmechanismen
---------+NET.2.1.G7 Abhören der WLAN-Kommunikation
---------+NET.2.1.G8 Vortäuschung eines gültigen Access Points (Rogue Access Point)
---------+NET.2.1.G9 Ungeschützter LAN-Zugang am Access Point
---------+NET.2.1.G10 Hardware-Schäden
---------+NET.2.1.G11 Diebstahl eines Access Points
---------+NET.2.1.A1 Festlegung einer Strategie für den Einsatz von WLANs (B)
---------+NET.2.1.A2 Auswahl eines geeigneten WLAN-Standards (B) [Planende]
---------+NET.2.1.A3 Auswahl geeigneter Kryptoverfahren für WLAN (B) [Planende]
---------+NET.2.1.A4 Geeignete Aufstellung von Access Points (B) [Haustechnik]
---------+NET.2.1.A5 Sichere Basis-Konfiguration der Access Points (B)
---------+NET.2.1.A6 Sichere Konfiguration der WLAN-Infrastruktur (B)
---------+NET.2.1.A7 Aufbau eines Distribution Systems (B) [Planende]
---------+NET.2.1.A8 Verhaltensregeln bei WLAN-Sicherheitsvorfällen (B)
---------+NET.2.1.A9 Sichere Anbindung von WLANs an ein LAN (S) [Planende]
---------+NET.2.1.A10 Erstellung einer Sicherheitsrichtlinie für den Betrieb von WLANs (S)
---------+NET.2.1.A11 Geeignete Auswahl von WLAN-Komponenten (S)
---------+NET.2.1.A12 Einsatz einer geeigneten WLAN-Management-Lösung (S)
---------+NET.2.1.A13 Regelmäßige Sicherheitschecks in WLANs (S)
---------+NET.2.1.A14 Regelmäßige Audits der WLAN-Komponenten (S)
---------+NET.2.1.A15 Verwendung eines VPN zur Absicherung von WLANs (H)
---------+NET.2.1.A16 Zusätzliche Absicherung bei der Anbindung von WLANs an ein LAN (H)
---------+NET.2.1.A17 Absicherung der Kommunikation zwischen Access Points (H)
---------+NET.2.1.A18 Einsatz von Wireless Intrusion Detection/Wireless Intrusion Prevention Systemen (H)
------+NET.2.2 WLAN-Nutzung
---------+NET.2.2.G1 Unzureichende Kenntnis über Regelungen
---------+NET.2.2.G2 Nichtbeachtung von Sicherheitsmaßnahmen
---------+NET.2.2.G3 Abhören der WLAN-Kommunikation
---------+NET.2.2.G4 Auswertung von Verbindungsdaten bei der drahtlosen Kommunikation
---------+NET.2.2.G5 Vortäuschung eines gültigen Access Points (Rogue Access Point)
---------+NET.2.2.A1 Erstellung einer Nutzungsrichtlinie für WLAN (B) [IT-Betrieb]
---------+NET.2.2.A2 Sensibilisierung und Schulung der WLAN-Benutzenden (B) [Vorgesetzte, IT-Betrieb]
---------+NET.2.2.A3 Absicherung der WLAN-Nutzung an Hotspots (B) [IT-Betrieb]
---------+NET.2.2.A4 Verhaltensregeln bei WLAN-Sicherheitsvorfällen (S)
------+NET.3.1 Router und Switches
---------+NET.3.1.G1 Distributed Denial of Service (DDoS)
---------+NET.3.1.G2 Manipulation
---------+NET.3.1.G3 Fehlerhafte Konfiguration eines Routers oder Switches
---------+NET.3.1.G4 Fehlerhafte Planung und Konzeption
---------+NET.3.1.G5 Inkompatible aktive Netzkomponenten
---------+NET.3.1.G6 MAC-Flooding
---------+NET.3.1.G7 Spanning-Tree-Angriffe
---------+NET.3.1.G8 GARP-Attacken
---------+NET.3.1.A1 Sichere Grundkonfiguration eines Routers oder Switches (B)
---------+NET.3.1.A4 Schutz der Administrationsschnittstellen (B)
---------+NET.3.1.A5 Schutz vor Fragmentierungsangriffen (B)
---------+NET.3.1.A6 Notfallzugriff auf Router und Switches (B)
---------+NET.3.1.A7 Protokollierung bei Routern und Switches (B)
---------+NET.3.1.A8 Regelmäßige Datensicherung (B)
---------+NET.3.1.A9 Betriebsdokumentationen (B)
---------+NET.3.1.A10 Erstellung einer Sicherheitsrichtlinie (S)
---------+NET.3.1.A11 Beschaffung eines Routers oder Switches (S)
---------+NET.3.1.A12 Erstellung einer Konfigurations-Checkliste für Router und Switches (S)
---------+NET.3.1.A13 Administration über ein gesondertes Managementnetz (S)
---------+NET.3.1.A14 Schutz vor Missbrauch von ICMP-Nachrichten (S)
---------+NET.3.1.A15 Bogon- und Spoofing-Filterung (S)
---------+NET.3.1.A16 Schutz vor „IPv6 Routing Header Type-0“-Angriffen (S)
---------+NET.3.1.A17 Schutz vor DoS- und DDoS-Angriffen (S)
---------+NET.3.1.A18 Einrichtung von Access Control Lists (S)
---------+NET.3.1.A19 Sicherung von Switch-Ports (S)
---------+NET.3.1.A20 Sicherheitsaspekte von Routing-Protokollen (S)
---------+NET.3.1.A21 Identitäts- und Berechtigungsmanagement in der Netzinfrastruktur (S)
---------+NET.3.1.A22 Notfallvorsorge bei Routern und Switches (S)
---------+NET.3.1.A23 Revision und Penetrationstests (S)
---------+NET.3.1.A24 Einsatz von Netzzugangskontrollen (H)
---------+NET.3.1.A25 Erweiterter Integritätsschutz für die Konfigurationsdateien (H)
---------+NET.3.1.A26 Hochverfügbarkeit (H)
---------+NET.3.1.A27 Bandbreitenmanagement für kritische Anwendungen und Dienste (H)
---------+NET.3.1.A28 Einsatz von zertifizierten Produkten (H)
------+NET.3.2 Firewall
---------+NET.3.2.G1 Distributed Denial of Service (DDoS)
---------+NET.3.2.G2 Manipulation
---------+NET.3.2.G3 Umgehung der Firewall-Regeln
---------+NET.3.2.G4 Fehlerhafte Konfiguration und Bedienungsfehler einer Firewall
---------+NET.3.2.A1 Erstellung einer Sicherheitsrichtlinie (B)
---------+NET.3.2.A2 Festlegen der Firewall-Regeln (B)
---------+NET.3.2.A3 Einrichten geeigneter Filterregeln am Paketfilter (B)
---------+NET.3.2.A4 Sichere Konfiguration der Firewall (B)
---------+NET.3.2.A6 Schutz der Administrationsschnittstellen (B)
---------+NET.3.2.A7 Notfallzugriff auf die Firewall (B)
---------+NET.3.2.A8 Unterbindung von dynamischem Routing (B)
---------+NET.3.2.A9 Protokollierung (B)
---------+NET.3.2.A10 Abwehr von Fragmentierungsangriffen am Paketfilter (B)
---------+NET.3.2.A14 Betriebsdokumentationen (B)
---------+NET.3.2.A15 Beschaffung einer Firewall (B)
---------+NET.3.2.A16 Aufbau einer „P-A-P“-Struktur (S)
---------+NET.3.2.A17 Deaktivierung von IPv4 oder IPv6 (S)
---------+NET.3.2.A18 Administration über ein gesondertes Managementnetz (S)
---------+NET.3.2.A19 Schutz vor TCP SYN Flooding, UDP Paket Storm und Sequence Number Guessing am Paketfilter (S)
---------+NET.3.2.A20 Absicherung von grundlegenden Internetprotokollen (S)
---------+NET.3.2.A21 Temporäre Entschlüsselung des Datenverkehrs (S)
---------+NET.3.2.A22 Sichere Zeitsynchronisation (S)
---------+NET.3.2.A23 Systemüberwachung und -Auswertung (S)
---------+NET.3.2.A24 Revision und Penetrationstests (S)
---------+NET.3.2.A32 Notfallvorsorge für die Firewall (S)
---------+NET.3.2.A25 Erweiterter Integritätsschutz für die Konfigurationsdateien (H)
---------+NET.3.2.A26 Auslagerung von funktionalen Erweiterungen auf dedizierte Hardware (H)
---------+NET.3.2.A27 Einsatz verschiedener Firewall-Betriebssysteme und -Produkte in einer mehrstufigen Firewall-Architektur (H)
---------+NET.3.2.A28 Zentrale Filterung von aktiven Inhalten (H)
---------+NET.3.2.A29 Einsatz von Hochverfügbarkeitslösungen (H)
---------+NET.3.2.A30 Bandbreitenmanagement für kritische Anwendungen und Dienste (H)
---------+NET.3.2.A31 Einsatz von zertifizierten Produkten (H)
------+NET.3.3 VPN
---------+NET.3.3.G1 Fehlende oder unzureichende Planung des VPN-Einsatzes
---------+NET.3.3.G2 Unsichere VPN-Dienstleistende
---------+NET.3.3.G3 Unsichere Konfiguration der VPN-Clients für den Fernzugriff
---------+NET.3.3.G4 Unsichere Standard-Einstellungen auf VPN-Komponenten
---------+NET.3.3.A1 Planung des VPN-Einsatzes (B)
---------+NET.3.3.A2 Auswahl von VPN-Dienstleistenden (B)
---------+NET.3.3.A3 Sichere Installation von VPN-Endgeräten (B)
---------+NET.3.3.A4 Sichere Konfiguration eines VPN (B)
---------+NET.3.3.A5 Sperrung nicht mehr benötigter VPN-Zugänge (B)
---------+NET.3.3.A6 Durchführung einer VPN-Anforderungsanalyse (S)
---------+NET.3.3.A7 Planung der technischen VPN-Realisierung (S)
---------+NET.3.3.A8 Erstellung einer Sicherheitsrichtlinie zur VPN-Nutzung (S)
---------+NET.3.3.A9 Geeignete Auswahl von VPN-Produkten (S)
---------+NET.3.3.A10 Sicherer Betrieb eines VPN (S)
---------+NET.3.3.A11 Sichere Anbindung eines externen Netzes (S)
---------+NET.3.3.A12 Konten- und Zugriffsverwaltung bei Fernzugriff-VPNs (S)
---------+NET.3.3.A13 Integration von VPN-Komponenten in eine Firewall (S)
------+NET.3.4 Network Access Control
---------+NET.3.4.G1 Unzureichende Planung der NAC-Lösung
---------+NET.3.4.G2 Unzureichend abgestimmte Integration von Endgeräten in die NAC-Lösung
---------+NET.3.4.G3 Nutzung unzureichend sicherer Protokolle bei NAC
---------+NET.3.4.G4 Fehlerhafte Konfiguration der NAC-Lösung
---------+NET.3.4.G5 Unzureichende Validierung von Konfigurationsänderungen
---------+NET.3.4.G6 Unzureichend geschützter Netzzugang
---------+NET.3.4.G7 Ausfall oder unzureichende Erreichbarkeit der zentralen NAC-Komponenten
---------+NET.3.4.G8 Nachverfolgung von Benutzenden
---------+NET.3.4.A1 Begründete Entscheidung für den Einsatz von NAC (B) [Institution]
---------+NET.3.4.A2 Planung des Einsatzes von NAC (S)
---------+NET.3.4.A3 Erstellung eines Anforderungskatalogs für NAC (S)
---------+NET.3.4.A4 Erstellung eines NAC-Konzepts (S)
---------+NET.3.4.A5 Anpassung von Prozessen für Endgeräte bezüglich NAC (S)
---------+NET.3.4.A6 Festlegung von Notfallprozessen für NAC (S)
---------+NET.3.4.A7 Nutzung sicherer Authentisierungsverfahren (S)
---------+NET.3.4.A8 Festlegung der NAC-spezifischen Rollen und Berechtigungen für den RADIUS-Server (S)
---------+NET.3.4.A9 Festlegung eines angepassten NAC-Regelwerkes (S)
---------+NET.3.4.A10 Sichere Nutzung von Identitäten (S)
---------+NET.3.4.A11 Sichere Konfiguration der NAC-Lösung (S)
---------+NET.3.4.A12 Monitoring der NAC-Lösung (S)
---------+NET.3.4.A13 Erstellung von Validierungsvorgaben für die NAC-Konfiguration (S)
---------+NET.3.4.A14 Umsetzung weiterer Maßnahmen bei Verwendung von MAC-Adress-Authentisierung (S)
---------+NET.3.4.A15 Anbindung Virenschutz an NAC-Lösung (S)
---------+NET.3.4.A16 Protokollierung der Ereignisse (S)
---------+NET.3.4.A17 Positionierung des RADIUS-Servers im Management-Bereich (S)
---------+NET.3.4.A18 Dokumentation der NAC-Lösung (S)
---------+NET.3.4.A19 Ordnungsgemäße Verwaltung von Identitäten zur Authentisierung (S)
---------+NET.3.4.A20 Einsatz von MACsec (H)
---------+NET.3.4.A21 Einsatz von Endgerätekonformitätsprüfung (H)
---------+NET.3.4.A22 NAC-Autorisierung mit Mikrosegmenten (H)
---------+NET.3.4.A23 Einsatz von autarken RADIUS-Servern für unterschiedliche Netzbereiche und Funktionen (H)
---------+NET.3.4.A24 Nutzung sicherer Protokolle zwischen NAC-Komponenten (H)
---------+NET.3.4.A25 Einbindung der NAC-Lösung in ein Sicherheitsmonitoring (H)
---------+NET.3.4.A26 Hochverfügbarkeit der zentralen NAC-Komponenten (H)
---------+NET.3.4.A27 Prüfung der Notwendigkeit für MAC-Adress-Authentisierung (H)
------+NET.4.1 TK-Anlagen
---------+NET.4.1.G1 Abhören von TK-Anlagen
---------+NET.4.1.G2 Abhören von Räumen über TK-Anlagen
---------+NET.4.1.G3 Gebührenbetrug
---------+NET.4.1.G4 Missbrauch frei zugänglicher Telefonanschlüsse
---------+NET.4.1.A1 Anforderungsanalyse und Planung für TK-Anlagen (B) [IT-Betrieb]
---------+NET.4.1.A2 Auswahl von TK-Diensteanbietenden (B) [IT-Betrieb]
---------+NET.4.1.A5 Protokollierung bei TK-Anlagen (B)
---------+NET.4.1.A6 Erstellung einer Sicherheitsrichtlinie für TK-Anlagen (S) [IT-Betrieb]
---------+NET.4.1.A7 Geeignete Aufstellung der TK-Anlage (S)
---------+NET.4.1.A8 Einschränkung und Sperrung nicht benötigter oder sicherheitskritischer Leistungsmerkmale (S)
---------+NET.4.1.A9 Schulung zur sicheren Nutzung von TK-Anlagen (S) [Vorgesetzte]
---------+NET.4.1.A10 Dokumentation und Revision der TK-Anlagenkonfiguration (S) [IT-Betrieb]
---------+NET.4.1.A11 Außerbetriebnahme von TK-Anlagen und -geräten (S) [IT-Betrieb]
---------+NET.4.1.A12 Datensicherung der Konfigurationsdateien (S)
---------+NET.4.1.A13 Beschaffung von TK-Anlagen (S)
---------+NET.4.1.A14 Notfallvorsorge für TK-Anlagen (S)
---------+NET.4.1.A15 Notrufe bei einem Ausfall der TK-Anlage (S)
---------+NET.4.1.A16 Sicherung von Endgeräten in frei zugänglichen Räumen (S)
---------+NET.4.1.A17 Wartung von TK-Anlagen (S)
---------+NET.4.1.A18 Erhöhter Zugangsschutz (H)
---------+NET.4.1.A19 Redundanter Anschluss (H)
------+NET.4.2 VoIP
---------+NET.4.2.G1 Fehlerhafte Konfiguration der VoIP-Middleware
---------+NET.4.2.G2 Fehlerhafte Konfiguration der VoIP-Komponenten
---------+NET.4.2.G3 Abhören von Telefongesprächen
---------+NET.4.2.G4 Missbrauch frei zugänglicher Telefonanschlüsse
---------+NET.4.2.A1 Planung des VoIP-Einsatzes (B)
---------+NET.4.2.A3 Sichere Administration und Konfiguration von VoIP-Endgeräten (B)
---------+NET.4.2.A4 Einschränkung der Erreichbarkeit über VoIP (B)
---------+NET.4.2.A5 Sichere Konfiguration der VoIP-Middleware (B)
---------+NET.4.2.A7 Erstellung einer Sicherheitsrichtlinie für VoIP (S)
---------+NET.4.2.A8 Verschlüsselung von VoIP (S)
---------+NET.4.2.A9 Geeignete Auswahl von VoIP-Komponenten (S)
---------+NET.4.2.A11 Sicherer Umgang mit VoIP-Endgeräten (S) [Benutzende]
---------+NET.4.2.A12 Sichere Außerbetriebnahme von VoIP-Komponenten (S)
---------+NET.4.2.A13 Anforderungen an eine Firewall für den Einsatz von VoIP (S)
---------+NET.4.2.A14 Verschlüsselung der Signalisierung (H)
---------+NET.4.2.A15 Sicherer Medientransport mit SRTP (H)
---------+NET.4.2.A16 Trennung des Daten- und VoIP-Netzes (H)
------+NET.4.3 Faxgeräte und Faxserver
---------+NET.4.3.G1 Unzureichende oder falsche Versorgung mit Verbrauchsgütern
---------+NET.4.3.G2 Fehlerhafte Faxübertragung
---------+NET.4.3.G3 Manipulation von Adressbüchern und Verteilerlisten
---------+NET.4.3.G4 Unbefugtes Lesen von Faxsendungen
---------+NET.4.3.G5 Auswertung von Restinformationen in Faxgeräten und Faxservern
---------+NET.4.3.G6 Vortäuschen eines falschen Absendenden bei Faxsendungen
---------+NET.4.3.A1 Geeignete Aufstellung eines Faxgerätes (B) [Haustechnik]
---------+NET.4.3.A2 Informationen für Mitarbeitende über die Faxnutzung (B)
---------+NET.4.3.A3 Sicherer Betrieb eines Faxservers (B) [IT-Betrieb]
---------+NET.4.3.A4 Erstellung einer Sicherheitsrichtlinie für die Faxnutzung (S)
---------+NET.4.3.A6 Beschaffung geeigneter Faxgeräte und Faxserver (S) [Beschaffungsstelle]
---------+NET.4.3.A7 Geeignete Kennzeichnung ausgehender Faxsendungen (S) [Benutzende]
---------+NET.4.3.A8 Geeignete Entsorgung von Fax-Verbrauchsgütern und -Ersatzteilen (S)
---------+NET.4.3.A9 Nutzung von Sende- und Empfangsprotokollen (S)
---------+NET.4.3.A10 Kontrolle programmierbarer Zieladressen, Protokolle und Verteilerlisten (S)
---------+NET.4.3.A11 Schutz vor Überlastung des Faxgerätes (H) [IT-Betrieb]
---------+NET.4.3.A12 Sperren bestimmter Quell- und Ziel-Faxnummern (H)
---------+NET.4.3.A13 Festlegung berechtigter Faxbedienenden (H) [Benutzende]
---------+NET.4.3.A14 Fertigung von Kopien eingehender Faxsendungen (H) [Benutzende]
---------+NET.4.3.A15 Ankündigung und Rückversicherung im Umgang mit Faxsendungen (H) [Benutzende]
---+Infrastruktur
------+INF.1 Allgemeines Gebäude
---------+INF.1.G1 Feuer
---------+INF.1.G2 Blitz
---------+INF.1.G3 Wasser
---------+INF.1.G4 Elementarschäden und Naturkatastrophen
---------+INF.1.G5 Umfeld-Gefährdungen
---------+INF.1.G6 Unbefugter Zutritt
---------+INF.1.G7 Verstoß gegen Gesetze oder Regelungen
---------+INF.1.G8 Unzureichende Brandschottungen
---------+INF.1.G9 Ausfall der Stromversorgung
---------+INF.1.A1 Planung der Gebäudeabsicherung (B) [Planende]
---------+INF.1.A2 Angepasste Aufteilung der Stromkreise (B)
---------+INF.1.A3 Einhaltung von Brandschutzvorschriften (B)
---------+INF.1.A4 Branderkennung in Gebäuden (B) [Planende]
---------+INF.1.A5 Handfeuerlöscher (B)
---------+INF.1.A6 Geschlossene Fenster und Türen (B) [Mitarbeitende]
---------+INF.1.A7 Zutrittsregelung und -kontrolle (B) [Zentrale Verwaltung]
---------+INF.1.A8 Rauchverbot (B)
---------+INF.1.A10 Einhaltung einschlägiger Normen und Vorschriften (B) [Errichterfirma, Bauleitung]
---------+INF.1.A9 Sicherheitskonzept für die Gebäudenutzung (S) [Planende]
---------+INF.1.A12 Schlüsselverwaltung (S)
---------+INF.1.A13 Regelungen für Zutritt zu Verteilern (S)
---------+INF.1.A14 Blitzschutzeinrichtungen (S)
---------+INF.1.A15 Lagepläne der Versorgungsleitungen (S)
---------+INF.1.A16 Vermeidung von Lagehinweisen auf schützenswerte Gebäudeteile (S)
---------+INF.1.A17 Baulicher Rauchschutz (S) [Planende]
---------+INF.1.A18 Brandschutzbegehungen (S)
---------+INF.1.A19 Information des oder der Brandschutzbeauftragten (S)
---------+INF.1.A20 Alarmierungsplan und Brandschutzübungen (S)
---------+INF.1.A27 Einbruchschutz (S)
---------+INF.1.A36 Regelmäßige Aktualisierungen der Dokumentation (S)
---------+INF.1.A22 Sichere Türen und Fenster (H)
---------+INF.1.A23 Bildung von Sicherheitszonen (H) [Planende]
---------+INF.1.A24 Selbsttätige Entwässerung (H)
---------+INF.1.A25 Geeignete Standortauswahl (H) [Institutionsleitung]
---------+INF.1.A26 Pforten- oder Sicherheitsdienst (H)
---------+INF.1.A30 Auswahl eines geeigneten Gebäudes (H)
---------+INF.1.A31 Auszug aus Gebäuden (H) [Zentrale Verwaltung]
---------+INF.1.A32 Brandschott-Kataster (H)
---------+INF.1.A34 Gefahrenmeldeanlage (H)
---------+INF.1.A35 Perimeterschutz (H) [Planende, Haustechnik]
------+INF.2 Rechenzentrum sowie Serverraum
---------+INF.2.G1 Fehlerhafte Planung
---------+INF.2.G2 Fehlende oder fehlerhafte Zutrittskontrollen
---------+INF.2.G3 Unzureichende Überwachung
---------+INF.2.G4 Unzureichende Klimatisierung im Rechenzentrum
---------+INF.2.G5 Feuer
---------+INF.2.G6 Wasser
---------+INF.2.G7 Fehlender oder unzureichender Einbruchschutz
---------+INF.2.G8 Ausfall der Stromversorgung
---------+INF.2.G9 Verschmutzung
---------+INF.2.A1 Festlegung von Anforderungen (B) [Haustechnik, Planende]
---------+INF.2.A2 Bildung von Brandabschnitten (B) [Planende]
---------+INF.2.A3 Einsatz einer unterbrechungsfreien Stromversorgung (B) [Haustechnik]
---------+INF.2.A4 Notabschaltung der Stromversorgung (B) [Haustechnik]
---------+INF.2.A5 Einhaltung der Lufttemperatur und -feuchtigkeit (B) [Haustechnik]
---------+INF.2.A6 Zutrittskontrolle (B) [Haustechnik]
---------+INF.2.A7 Verschließen und Sichern (B) [Mitarbeitende, Haustechnik]
---------+INF.2.A8 Einsatz einer Brandmeldeanlage (B) [Planende]
---------+INF.2.A9 Einsatz einer Lösch- oder Brandvermeidungsanlage (B) [Haustechnik]
---------+INF.2.A10 Inspektion und Wartung der Infrastruktur (B) [Wartungspersonal, Haustechnik]
---------+INF.2.A11 Automatische Überwachung der Infrastruktur (B) [Haustechnik]
---------+INF.2.A17 Einsatz einer Brandfrüherkennung (B) [Planende, Haustechnik]
---------+INF.2.A29 Vermeidung und Überwachung nicht erforderlicher Leitungen (B) [Haustechnik, Planende]
---------+INF.2.A12 Perimeterschutz für das Rechenzentrum (S) [Planende, Haustechnik]
---------+INF.2.A13 Planung und Installation von Gefahrenmeldeanlagen (S) [Haustechnik]
---------+INF.2.A14 Einsatz einer Netzersatzanlage (S) [Planende, Haustechnik]
---------+INF.2.A15 Überspannungsschutzeinrichtung (S) [Planende, Haustechnik]
---------+INF.2.A16 Klimatisierung im Rechenzentrum (S) [Planende]
---------+INF.2.A19 Durchführung von Funktionstests der technischen Infrastruktur (S) [Haustechnik]
---------+INF.2.A30 Anlagen zur, Löschung oder Vermeidung von Bränden (S) [Haustechnik, Planende]
---------+INF.2.A21 Ausweichrechenzentrum (H)
---------+INF.2.A22 Durchführung von Staubschutzmaßnahmen (H) [Haustechnik]
---------+INF.2.A23 Zweckmäßiger Aufbau der Verkabelung im Rechenzentrum (H) [Haustechnik]
---------+INF.2.A24 Einsatz von Videoüberwachungsanlagen (H) [Datenschutzbeauftragte, Haustechnik, Planende]
---------+INF.2.A25 Redundante Auslegung von unterbrechungsfreien Stromversorgungen (H) [Planende]
---------+INF.2.A26 Redundante Auslegung von Netzersatzanlagen (H) [Planende]
---------+INF.2.A28 Einsatz von höherwertigen Gefahrenmeldeanlagen (H) [Planende]
------+INF.5 Raum sowie Schrank für technische Infrastruktur
---------+INF.5.G1 Fehlerhafte Planung
---------+INF.5.G2 Unberechtigter Zutritt
---------+INF.5.G3 Unzureichende Lüftung
---------+INF.5.G4 Feuer
---------+INF.5.G5 Wasser
---------+INF.5.G6 Ausfall der Stromversorgung
---------+INF.5.G7 Blitzschlag und Überspannungen
---------+INF.5.G8 Elektromagnetische Störfelder
---------+INF.5.G9 Elektrostatische Aufladung
---------+INF.5.A1 Planung der Raumabsicherung (B) [Planende]
---------+INF.5.A2 Lage und Größe des Raumes für technische Infrastruktur (B) [Planende]
---------+INF.5.A3 Zutrittsregelung und -kontrolle (B) [Haustechnik, IT-Betrieb]
---------+INF.5.A4 Schutz vor Einbruch (B) [Planende, Haustechnik]
---------+INF.5.A5 Vermeidung sowie Schutz vor elektromagnetischen Störfeldern (B) [Planende]
---------+INF.5.A6 Minimierung von Brandlasten (B) [Mitarbeitende, Planende]
---------+INF.5.A7 Verhinderung von Zweckentfremdung (B) [Mitarbeitende, Planende]
---------+INF.5.A9 Stromversorgung (B) [Haustechnik]
---------+INF.5.A8 Vermeidung von unkontrollierter elektrostatischer Entladung (S) [Planende]
---------+INF.5.A10 Einhaltung der Lufttemperatur und -Feuchtigkeit (S) [Haustechnik]
---------+INF.5.A11 Vermeidung von Leitungen mit gefährdenden Flüssigkeiten und Gasen (S) [Planende, Haustechnik]
---------+INF.5.A12 Schutz vor versehentlicher Beschädigung von Zuleitungen (S) [Planende]
---------+INF.5.A13 Schutz vor Schädigung durch Brand und Rauchgase (S) [Planende, Haustechnik]
---------+INF.5.A14 Minimierung von Brandgefahren aus Nachbarbereichen (S) [Planende, Haustechnik]
---------+INF.5.A15 Blitz- und Überspannungsschutz (S) [Planende, Haustechnik]
---------+INF.5.A16 Einsatz einer unterbrechungsfreien Stromversorgung (S) [Haustechnik]
---------+INF.5.A17 Inspektion und Wartung der Infrastruktur (S) [Haustechnik, IT-Betrieb, Wartungspersonal]
---------+INF.5.A18 Lage des Raumes für technische Infrastruktur (H) [Planende]
---------+INF.5.A19 Redundanz des Raumes für technische Infrastruktur (H) [Planende]
---------+INF.5.A20 Erweiterter Schutz vor Einbruch und Sabotage (H) [Planende]
---------+INF.5.A22 Redundante Auslegung der Stromversorgung (H) [Planende]
---------+INF.5.A23 Netzersatzanlage (H) [Planende, Haustechnik, Wartungspersonal]
---------+INF.5.A24 Lüftung und Kühlung (H) [Planende, Haustechnik, Wartungspersonal]
---------+INF.5.A25 Erhöhter Schutz vor Schädigung durch Brand und Rauchgase (H) [Planende]
---------+INF.5.A26 Überwachung der Energieversorgung (H) [Planende, Haustechnik]
------+INF.6 Datenträgerarchiv
---------+INF.6.G1 Unzulässige Temperatur und Luftfeuchtigkeit
---------+INF.6.G2 Fehlende oder unzureichende Regelungen
---------+INF.6.G3 Unbefugter Zutritt zu schutzbedürftigen Räumen
---------+INF.6.G4 Diebstahl
---------+INF.6.A1 Handfeuerlöscher (B) [Brandschutzbeauftragte]
---------+INF.6.A2 Zutrittsregelung und -kontrolle (B) [Haustechnik]
---------+INF.6.A3 Schutz vor Staub und anderer Verschmutzung (B)
---------+INF.6.A4 Geschlossene Fenster und abgeschlossene Türen (B) [Mitarbeitende]
---------+INF.6.A5 Verwendung von Schutzschränken (S) [Mitarbeitende]
---------+INF.6.A6 Vermeidung von wasserführenden Leitungen (S) [Haustechnik]
---------+INF.6.A7 Einhaltung von klimatischen Bedingungen (S) [Haustechnik]
---------+INF.6.A8 Sichere Türen und Fenster (S) [Planende]
---------+INF.6.A9 Gefahrenmeldeanlage (H) [Haustechnik]
------+INF.7 Büroarbeitsplatz
---------+INF.7.G1 Unbefugter Zutritt
---------+INF.7.G2 Beeinträchtigung durch ungünstige Arbeitsbedingungen
---------+INF.7.G3 Manipulationen durch Reinigungs- und Fremdpersonal oder Besuchende
---------+INF.7.G4 Manipulation oder Zerstörung von IT, Zubehör, Informationen und Software im Büroraum
---------+INF.7.G5 Diebstahl
---------+INF.7.G6 Fliegende Verkabelung
---------+INF.7.A1 Geeignete Auswahl und Nutzung eines Büroraumes (B) [Vorgesetzte]
---------+INF.7.A2 Geschlossene Fenster und abgeschlossene Türen (B) [Mitarbeitende, Haustechnik]
---------+INF.7.A3 Fliegende Verkabelung (S)
---------+INF.7.A5 Ergonomischer Arbeitsplatz (S) [Zentrale Verwaltung, Vorgesetzte]
---------+INF.7.A6 Aufgeräumter Arbeitsplatz (S) [Mitarbeitende, Vorgesetzte]
---------+INF.7.A7 Geeignete Aufbewahrung dienstlicher Unterlagen und Datenträger (S) [Mitarbeitende, Haustechnik]
---------+INF.7.A8 Einsatz von Diebstahlsicherungen (H) [Mitarbeitende]
------+INF.8 Häuslicher Arbeitsplatz
---------+INF.8.G1 Fehlende oder unzureichende Regelungen für den häuslichen Arbeitsplatz
---------+INF.8.G2 Unbefugter Zutritt zu schutzbedürftigen Räumen des häuslichen Arbeitsplatzes
---------+INF.8.G3 Beeinträchtigung der IT-Nutzung durch ungünstige Arbeitsbedingungen am häuslichen Arbeitsplatz
---------+INF.8.G4 Ungesicherter Akten- und Datenträgertransport
---------+INF.8.G5 Ungeeignete Entsorgung der Datenträger und Dokumente
---------+INF.8.G6 Manipulation oder Zerstörung von IT, Zubehör, Informationen und Software am häuslichen Arbeitsplatz
---------+INF.8.G7 Erhöhte Diebstahlgefahr am häuslichen Arbeitsplatz
---------+INF.8.A1 Sichern von dienstlichen Unterlagen am häuslichen Arbeitsplatz (B)
---------+INF.8.A2 Transport von Arbeitsmaterial zum häuslichen Arbeitsplatz (B)
---------+INF.8.A3 Schutz vor unbefugtem Zutritt am häuslichen Arbeitsplatz (B)
---------+INF.8.A4 Geeignete Einrichtung des häuslichen Arbeitsplatzes (S)
---------+INF.8.A5 Entsorgung von vertraulichen Informationen am häuslichen Arbeitsplatz (S)
---------+INF.8.A6 Umgang mit dienstlichen Unterlagen bei erhöhtem Schutzbedarf am häuslichen Arbeitsplatz (H)
------+INF.9 Mobiler Arbeitsplatz
---------+INF.9.G1 Fehlende oder unzureichende Regelungen für mobile Arbeitsplätze
---------+INF.9.G2 Beeinträchtigung durch wechselnde Einsatzumgebung
---------+INF.9.G3 Manipulation oder Zerstörung von IT-Systemen, Zubehör, Informationen und Software am mobilen Arbeitsplatz
---------+INF.9.G4 Verzögerungen durch temporär eingeschränkte Erreichbarkeit
---------+INF.9.G5 Ungesicherter Akten- und Datenträgertransport
---------+INF.9.G6 Ungeeignete Entsorgung der Datenträger und Dokumente
---------+INF.9.G7 Vertraulichkeitsverlust schützenswerter Informationen
---------+INF.9.G8 Diebstahl oder Verlust von Datenträgern oder Dokumenten
---------+INF.9.A1 Geeignete Auswahl und Nutzung eines mobilen Arbeitsplatzes (B) [IT-Betrieb]
---------+INF.9.A2 Regelungen für mobile Arbeitsplätze (B) [Personalabteilung]
---------+INF.9.A3 Zutritts- und Zugriffsschutz (B) [Zentrale Verwaltung, Mitarbeitende]
---------+INF.9.A4 Arbeiten mit fremden IT-Systemen (B) [IT-Betrieb, Mitarbeitende]
---------+INF.9.A5 Zeitnahe Verlustmeldung (S) [Mitarbeitende]
---------+INF.9.A6 Entsorgung von vertraulichen Informationen (S) [Mitarbeitende]
---------+INF.9.A7 Rechtliche Rahmenbedingungen für das mobile Arbeiten (S) [Personalabteilung]
---------+INF.9.A8 Sicherheitsrichtlinie für mobile Arbeitsplätze (S) [IT-Betrieb]
---------+INF.9.A9 Verschlüsselung tragbarer IT-Systeme und Datenträger (S) [IT-Betrieb]
---------+INF.9.A12 Nutzung eines Bildschirmschutzes (S) [Mitarbeitende]
---------+INF.9.A10 Einsatz von Diebstahlsicherungen (H) [Mitarbeitende]
---------+INF.9.A11 Verbot der Nutzung unsicherer Umgebungen (H) [IT-Betrieb]
------+INF.10 Besprechungs-, Veranstaltungs- und Schulungsräume
---------+INF.10.G1 Fehlende oder unzureichende Regelungen
---------+INF.10.G2 Inkompatibilität zwischen fremder und eigener IT
---------+INF.10.G3 Fliegende Verkabelung
---------+INF.10.G4 Diebstahl
---------+INF.10.G5 Vertraulichkeitsverlust schützenswerter Informationen
---------+INF.10.A1 Sichere Nutzung von Besprechungs-, Veranstaltungs- und Schulungsräumen (B) [Haustechnik, IT-Betrieb]
---------+INF.10.A3 Geschlossene Fenster und Türen (B) [Mitarbeitende]
---------+INF.10.A4 Planung von Besprechungs-, Veranstaltungs- und Schulungsräumen (S)
---------+INF.10.A5 Fliegende Verkabelung (S)
---------+INF.10.A6 Einrichtung sicherer Netzzugänge (S) [IT-Betrieb]
---------+INF.10.A7 Sichere Konfiguration von Schulungs- und Präsentationsrechnern (S) [IT-Betrieb]
---------+INF.10.A8 Erstellung eines Nutzungsnachweises für Räume (S)
---------+INF.10.A9 Zurücksetzen von Schulungs- und Präsentationsrechnern (H) [IT-Betrieb]
------+INF.11 Allgemeines Fahrzeug
---------+INF.11.G1 Fehlende oder unzureichende Regelungen für Fahrzeuge
---------+INF.11.G2 Fehlendes Sicherheitsbewusstsein und Sorglosigkeit beim Umgang mit dem Fahrzeug
---------+INF.11.G3 Ungeregelte Datenübertragung an Dritte und unsichere Kommunikationsschnittstellen
---------+INF.11.G4 Unsachgemäße Veränderungen am Fahrzeug
---------+INF.11.G5 Manipulation, unbefugter Zutritt und Diebstahl bei Fahrzeugen
---------+INF.11.G6 Gefahren im Zusammenhang mit Wartung, Reparatur und Updates
---------+INF.11.G7 Gefahren bei der Aussonderung
---------+INF.11.G8 Unzulässige Temperatur und Luftfeuchte in Fahrzeugen
---------+INF.11.A1 Planung und Beschaffung (B) [Fachverantwortliche, Beschaffungsstelle, Datenschutzbeauftragte]
---------+INF.11.A2 Wartung, Inspektion und Updates (B) [Fachverantwortliche, IT-Betrieb]
---------+INF.11.A3 Regelungen für die Fahrzeugbenutzung (B) [IT-Betrieb, Fachverantwortliche, Benutzende, Datenschutzbeauftragte]
---------+INF.11.A4 Erstellung einer Sicherheitsrichtlinie (S) [Fachverantwortliche, IT-Betrieb]
---------+INF.11.A5 Erstellung einer Inventarliste (S)
---------+INF.11.A6 Festlegung von Handlungsanweisungen (S) [Fachverantwortliche, Benutzende]
---------+INF.11.A7 Sachgerechter Umgang mit Fahrzeugen und schützenswerten Informationen (S) [Fachverantwortliche, Benutzende]
---------+INF.11.A8 Schutz vor witterungsbedingten Einflüssen (S) [Benutzende, Fachverantwortliche]
---------+INF.11.A9 Sicherstellung der Versorgung (S) [Fachverantwortliche]
---------+INF.11.A10 Aussonderung (S) [IT-Betrieb, Fachverantwortliche]
---------+INF.11.A11 Ersatzvorkehrungen bei Ausfällen (H) [Fachverantwortliche]
---------+INF.11.A12 Diebstahlsicherung bzw. Bewachung (H) [Fachverantwortliche, Mitarbeitende]
---------+INF.11.A13 Schädigende Fremdeinwirkung (H) [Fachverantwortliche]
---------+INF.11.A14 Schutz sensibler Informationen vor unbefugtem Zugriff und Kenntnisnahme (H) [IT-Betrieb, Fachverantwortliche]
---------+INF.11.A15 Physische Absicherung der Schnittstellen (H) [IT-Betrieb, Fachverantwortliche]
---------+INF.11.A16 Brandlöschanlage (H) [Fachverantwortliche]
---------+INF.11.A17 Netztrennung des In-Vehicle-Network mit einem Sonderfahrzeugnetz über Gateways (H)
------+INF.12 Verkabelung
---------+INF.12.G1 Kabelbrand
---------+INF.12.G2 Unzureichende Dimensionierung der Verkabelung
---------+INF.12.G3 Unzureichende Dokumentation der Verkabelung
---------+INF.12.G4 Unzureichend geschützte Verteiler
---------+INF.12.G5 Leitungsbeschädigungen
---------+INF.12.G6 Spannungsschwankungen, Überspannung, Unterspannung
---------+INF.12.G7 Verwendung qualitativ unzureichender Steckdosenleisten
---------+INF.12.G8 Unzulässige Kabelverbindungen
---------+INF.12.G9 Leitungsbeeinträchtigungen
---------+INF.12.G10 Abhören und Manipulation von Kabeln
---------+INF.12.A1 Auswahl geeigneter Kabeltypen (B) [IT-Betrieb, Haustechnik]
---------+INF.12.A2 Planung der Kabelführung (B) [IT-Betrieb, Haustechnik]
---------+INF.12.A3 Fachgerechte Installation (B) [IT-Betrieb, Haustechnik]
---------+INF.12.A4 EMV-taugliche Stromversorgung (B) [Haustechnik]
---------+INF.12.A5 Anforderungsanalyse für die Verkabelung (S) [IT-Betrieb, Haustechnik]
---------+INF.12.A6 Abnahme der Verkabelung (S) [IT-Betrieb, Haustechnik]
---------+INF.12.A7 Überspannungsschutz (S) [Haustechnik]
---------+INF.12.A8 Entfernen und Deaktivieren nicht mehr benötigter Kabel (S) [IT-Betrieb, Haustechnik]
---------+INF.12.A9 Brandschutz in Trassen (S) [Haustechnik]
---------+INF.12.A10 Dokumentation und Kennzeichnung der Verkabelung (S) [IT-Betrieb, Haustechnik]
---------+INF.12.A11 Neutrale Dokumentation in den Verteilern (S) [IT-Betrieb, Haustechnik]
---------+INF.12.A12 Kontrolle elektrotechnischer Anlagen und bestehender Verbindungen (S) [IT-Betrieb, Haustechnik]
---------+INF.12.A13 Vermeidung elektrischer Zündquellen (S) [Haustechnik]
---------+INF.12.A14 A-B-Versorgung (H) [Haustechnik]
---------+INF.12.A15 Materielle Sicherung der Verkabelung (H) [IT-Betrieb, Haustechnik]
---------+INF.12.A16 Nutzung von Schranksystemen (H) [Haustechnik]
---------+INF.12.A17 Redundanzen für die IT-Verkabelung (H) [IT-Betrieb]
------+INF.13 Technisches Gebäudemanagement
---------+INF.13.G1 Fehlende Grundlagen für die Planung des TGM
---------+INF.13.G2 Mangelnde Dokumentation beim TGM
---------+INF.13.G3 Kompromittierung der Schnittstellen mit TGM
---------+INF.13.G4 Unzureichendes Monitoring der TGA
---------+INF.13.G5 Unzureichendes Rollen- und Berechtigungsmanagement
---------+INF.13.A1 Beurteilung des Ist-Zustands bei der Übernahme bestehender Gebäude (B)
---------+INF.13.A2 Regelung und Dokumentation von Verantwortlichkeiten und Zuständigkeiten im Gebäude (B) [Institutionsleitung, Planende]
---------+INF.13.A3 Dokumentation von Gebäudeeinrichtungen (B)
---------+INF.13.A4 Erstellung einer Sicherheitsrichtlinie für TGM (S)
---------+INF.13.A5 Planung des TGM (S) [Planende]
---------+INF.13.A6 Erstellung eines TGM-Konzepts (S) [Planende]
---------+INF.13.A7 Erstellung eines Funkfrequenzkatasters (S)
---------+INF.13.A8 Erstellung und Pflege eines Inventars für das TGM (S) [Planende]
---------+INF.13.A9 Regelung des Einsatzes von Computer-Aided Facility Management (S) [Planende]
---------+INF.13.A10 Regelung des Einsatzes von Building Information Modeling (S) [Planende]
---------+INF.13.A11 Angemessene Härtung von Systemen im TGM (S)
---------+INF.13.A12 Sichere Konfiguration der TGM-Systeme (S)
---------+INF.13.A13 Sichere Anbindung von eingeschränkt vertrauenswürdigen Systemen im TGM (S) [Planende]
---------+INF.13.A14 Berücksichtigung spezieller Rollen und Berechtigungen im TGM (S)
---------+INF.13.A15 Schutz vor Schadsoftware im TGM (S)
---------+INF.13.A16 Prozess für Änderungen im TGM (S)
---------+INF.13.A17 Regelung von Wartungs- und Reparaturarbeiten im TGM (S)
---------+INF.13.A18 Proaktive Instandhaltung im TGM (S) [Planende]
---------+INF.13.A19 Konzeptionierung und Durchführung des Monitorings im TGM (S) [Planende]
---------+INF.13.A20 Regelung des Ereignismanagements im TGM (S) [Planende]
---------+INF.13.A21 Protokollierung im TGM (S)
---------+INF.13.A22 Durchführung von Systemtests im TGM (S) [Planende]
---------+INF.13.A23 Integration des TGM in das Schwachstellenmanagement (S)
---------+INF.13.A24 Sicherstellung der Kontrolle über die Prozesse bei Cloud-Nutzung für das TGM (S) [Planende]
---------+INF.13.A25 Aufbau einer Testumgebung für das TGM (H) [Planende]
---------+INF.13.A26 Absicherung von BIM (H) [Planende]
---------+INF.13.A27 Einrichtung einer Private Cloud für das TGM (H) [Planende]
---------+INF.13.A28 Sichere Nutzung von Künstlicher Intelligenz im TGM (H)
---------+INF.13.A29 Integration des TGM in ein SIEM (H) [IT-Betrieb]
---------+INF.13.A30 Durchführung von Penetrationstests im TGM (H)
------+INF.14 Gebäudeautomation
---------+INF.14.G1 Unzureichende Planung der GA
---------+INF.14.G2 Fehlerhafte Integration von TGA-Anlagen in die GA
---------+INF.14.G3 Nutzung unsicherer Systeme und Protokolle in der GA
---------+INF.14.G4 Fehlerhafte Konfiguration der Gebäudeautomation
---------+INF.14.G5 Manipulation der Schnittstellen von eigenständigen TGA-Anlagen zur Gebäudeautomation
---------+INF.14.G6 Unzureichend geschützte Zugänge zur GA
---------+INF.14.G7 Unzureichend abgesicherte Bedienelemente der GA
---------+INF.14.G8 Unzureichend abgesicherte Mobilfunk-Anschlüsse
---------+INF.14.A1 Planung der Gebäudeautomation (B) [Planende]
---------+INF.14.A2 Festlegung eines Inbetriebnahme- und Schnittstellenmanagements für die GA (B)
---------+INF.14.A3 Sichere Anbindung von TGA-Anlagen und GA-Systemen (B)
---------+INF.14.A4 Berücksichtigung von Gefahrenmeldeanlagen in der GA (B) [Planende]
---------+INF.14.A5 Dokumentation der GA (B)
---------+INF.14.A6 Separierung von Netzen der GA (B) [Planende, IT-Betrieb]
---------+INF.14.A7 Festlegung einer Sicherheitsrichtlinie für die GA (S)
---------+INF.14.A8 Anforderungsspezifikation für GA-Systeme (S)
---------+INF.14.A9 Entwicklung eines GA-Konzepts (S)
---------+INF.14.A10 Bildung von unabhängigen GA-Bereichen (S) [Planende]
---------+INF.14.A11 Absicherung von frei zugänglichen Ports und Zugängen der GA (S) [Planende]
---------+INF.14.A12 Nutzung sicherer Übertragungsprotokolle für die GA (S)
---------+INF.14.A13 Netzsegmentierung in der GA (S) [Planende]
---------+INF.14.A14 Nutzung eines GA-geeigneten Zugriffsschutzes (S)
---------+INF.14.A15 Absicherung von GA-spezifischen Netzen (S)
---------+INF.14.A16 Absicherung von drahtloser Kommunikation in GA-Netzen (S) [Planende]
---------+INF.14.A17 Absicherung von Mobilfunkkommunikation in GA-Netzen (S) [Planende]
---------+INF.14.A18 Sichere Anbindung von GA-externen Systemen (S)
---------+INF.14.A19 Nutzung dedizierter Adressbereiche für GA-Netze (S) [Planende]
---------+INF.14.A20 Vermeidung von Broadcast-Kommunikation in GA-Netzen (S) [Planende]
---------+INF.14.A21 Anzeigen der Gültigkeit von Informationen in GA-Systemen (S)
---------+INF.14.A22 Sicherstellung von autark funktionierenden GA-Systemen und TGA-Anlagen (S) [Planende]
---------+INF.14.A23 Einsatz von physisch robusten Komponenten für die GA (S) [Planende]
---------+INF.14.A24 Zeitsynchronisation für die GA (S)
---------+INF.14.A25 Dediziertes Monitoring in der GA (S)
---------+INF.14.A26 Protokollierung in der GA (S)
---------+INF.14.A27 Berücksichtigung von Wechselwirkungen zwischen Komponenten der GA in der Notfallplanung (S)
---------+INF.14.A28 Physische Trennung der GA (H) [Planende]
---------+INF.14.A29 Trennung einzelner TGA-Anlagen (H)
---------+INF.14.A30 Bereitstellung eines GA-eigenen Zeitservers zur Zeitsynchronisation (H)
|
IT-Grundschutz-Kompendium
Edition 2023
1. Overview
| Summary |
Standard |
|
Sicherheitsmanagement
|
Die Schicht ISMS enthält als Grundlage für alle weiteren Aktivitäten im Sicherheitsprozess den Baustein Sicherheitsmanagement.
|
|
Organisation und Personal
|
Die Schicht ORP befasst sich mit organisatorischen und personellen Sicherheitsaspekten. In diese Schicht fallen beispielsweise die Bausteine Organisation und Personal.
|
|
Konzepte und Vorgehensweisen
|
Die Schicht CON enthält Bausteine, die sich mit Konzepten und Vorgehensweisen befassen. Typische Bausteine der Schicht CON sind unter anderem Kryptokonzept und Datenschutz.
|
|
Betrieb
|
Die Schicht OPS umfasst alle Sicherheitsaspekte betrieblicher Art. Insbesondere sind dies die Sicherheitsaspekte des operativen IT-Betriebs, sowohl bei einem Betrieb im Haus, als auch bei einem IT-Betrieb, der in Teilen oder komplett durch Dritte betrieben wird. Ebenso enthält er die Sicherheitsaspekte, die bei einem IT-Betrieb für Dritte zu beachten sind. Beispiele für die Schicht OPS sind die Bausteine Schutz vor Schadprogrammen und Outsourcing für Kunden.
|
|
Detektion und Reaktion
|
In der Schicht DER finden sich alle Bausteine, die für die Überprüfung der umgesetzten Sicherheitsmaßnahmen, die Detektion von Sicherheitsvorfällen sowie die geeigneten Reaktionen darauf relevant sind. Typische Bausteine der Schicht DER sind Behandlung von Sicherheitsvorfällen und Vorsorge für IT-Forensik.
|
|
Anwendungen
|
Die Schicht APP beschäftigt sich mit der Absicherung von Anwendungen und Diensten, unter anderem in den Bereichen Kommunikation, Verzeichnisdienste, netzbasierte Dienste sowie Business- und Client-Anwendungen. Typische Bausteine der Schicht APP sind Allgemeiner E-Mail-Client und -Server, Office-Produkte, Webserver und Relationale Datenbanken.
|
|
IT-Systeme
|
Die Schicht SYS betrifft die einzelnen IT-Systeme des Informationsverbunds, die gegebenenfalls in Gruppen zusammengefasst wurden. Hier werden die Sicherheitsaspekte von Servern, Desktop-Systemen, Mobile Devices und sonstigen IT-Systemen wie Druckern und TK-Anlagen behandelt. Zur Schicht SYS gehören beispielsweise Bausteine zu konkreten Betriebssystemen, Allgemeine Smartphones und Tablets sowie Drucker, Kopierer und Multifunktionsgeräte.
|
|
Industrielle IT
|
Die Schicht IND befasst sich mit Sicherheitsaspekten industrieller IT. In diese Schicht fallen beispielsweise die Bausteine Prozessleit- und Automatisierungstechnik, Allgemeine ICS-Komponente und Speicherprogrammierbare Steuerung (SPS).
|
|
Netze und Kommunikation
|
Die Schicht NET betrachtet die Vernetzungsaspekte, die sich nicht primär auf bestimmte IT-Systeme, sondern auf die Netzverbindungen und die Kommunikation beziehen. Dazu gehören zum Beispiel die Bausteine Netz-Management, Firewall und WLAN-Betrieb.
|
|
Infrastruktur
|
Die Schicht INF befasst sich mit den baulich-technischen Gegebenheiten, hier werden Aspekte der infrastrukturellen Sicherheit zusammengeführt. Dies betrifft unter anderem die Bausteine Allgemeines Gebäude und Rechenzentrum.
|
1.1 References
1.2 Identified Requirements
1.3 Related Regulations
2. Identified Requirements
Requirements
| Source |
Requirement |
3. Related Regulations
Regulations
| Source |
Regulation |
Linked Issues
|