UEber die Autoren 7
Einleitung 19
UEber dieses Buch 19
Toerichte Annahmen ueber den Leser 19
Was Sie nicht lesen muessen 20
Wie dieses Buch aufgebaut ist 20
Teil I: Informationssicherheit, IT-Sicherheit und Datenschutz 20
Teil II: Rechtliche Anforderungen 21
Teil III: Organisation der Informationssicherheit 21
Teil IV: Bausteine der technischen IT-Sicherheit 22
Teil V: Loesungen und Umsetzungen 22
Teil VI: Der Top-Ten-Teil 22
Symbole, die in diesem Buch verwendet werden 23
Konventionen in diesem Buch 23
Wie es weitergeht 24
Teil I: Informationssicherheit, IT-Sicherheit und Datenschutz 25
Kapitel 1: Irrtuemer und haeufige Fehler 27
Internet-Sicherheit 27
Mobile und Cloud-Sicherheit 29
Endgeraetesicherheit 31
E-Mail-Sicherheit 32
Kapitel 2: Grundlagen der Informationssicherheit 35
Was ist Informationssicherheit? 35
Was ist IT-Sicherheit? 35
Was ist Cybersicherheit? 38
Klassische Schutzziele der Informationssicherheit 39
Verfuegbarkeit 39
Integritaet 41
Vertraulichkeit 42
Authentizitaet 42
Verantwortlichkeit 42
Benutzbarkeit 43
Weitere Schutzziele 44
Kapitel 3: Bausteine der Informationssicherheit 47
Risikomanagement 48
Meldepflichten bei Vorfaellen 51
Einhaltung von Sicherheitsstandards 54
Nachweis der Einhaltung durch Audits 55
Kapitel 4: Datenschutz und technisch-organisatorische Massnahmen 59
Teil II: Rechtliche Anforderungen 63
Kapitel 5: Die DS-GVO und das BDSG 65
Die acht Gebote des Datenschutzes (BDSG a F.) 65
Stand der Technik 67
Implementierungskosten 70
Gewaehrleistungsziele des Datenschutzes 73
Kapitel 6: Gesetze zur IT-Sicherheit 75
NIS-Richtlinie (EU) 75
Rechtsakt zur Cybersicherheit (EU) 77
eIDAS-Verordnung (EU) 79
Single-Digital-Gateway-(SDG-)Verordnung (EU) 81
BSI-Gesetz (D) 81
BSI-Kritisverordnung (D) 85
Geschaeftsgeheimnisgesetz (D) 86
Onlinezugangsgesetz (D) 87
Sozialgesetzbuch V (D) 88
TKG, TMG und TTDSG (D) 92
Kapitel 7: ISO-Normen 95
ISO/IEC 270xx Informationssicherheit 96
Anforderungsnormen 98
Leitfaeden 100
ISO/IEC 27701 Datenschutz 102
Kapitel 8: BSI und Grundschutz 105
IT-Grundschutz 105
BSI-Standards 106
IT-Grundschutz-Kompendium 108
Standard-Datenschutzmodell und IT-Grundschutz 113
Technische Richtlinien des BSI 115
Kapitel 9: Weitere Standards 119
Prozessorientierte Standards 119
VdS 10000: ISMS fuer KMU 120
ISIS12 wird CISIS12 122
TISAX 122
Finanzstandards 123
Vorgaben fuer die oeffentliche Verwaltung 124
Technikorientierte Standards 125
Common Criteria 125
PCI-DSS 127
FIPS 129
ITIL 130
Kapitel 10: Technisch-organisatorische Massnahmen (TOM) 131
Vertraulichkeit 131
Zutrittskontrolle, physische und umgebungsbezogene Sicherheit 132
Zugangskontrolle, Zugangssteuerung 133
Zugriffskontrolle 134
[Trennungskontrolle], Nichtverkettbarkeit 135
Pseudonymisierung 137
Verschluesselung, Kryptografie 139
Integritaet 141
Eingabekontrolle 141
Digitale Signatur, Hashfunktionen 142
Weitergabekontrolle, Kommunikationssicherheit 143
Loeschkontrolle (>>Recht auf Vergessen werden<<) 144
Verfuegbarkeit und Belastbarkeit 145
Verfuegbarkeitskontrolle und Informationssicherheitsaspekte
beim Business Continuity Management 146
Auftragskontrolle, Lieferantenbeziehungen 147
UEberpruefung, Bewertung und Evaluierung der Wirksamkeit der TOM 149
Teil III: Organisation der Informationssicherheit 153
Kapitel 11: Organisation im Unternehmen 155
Verantwortung fuer die Informationssicherheit 155
Organisatorische Strukturen 155
Geschaeftsleitung 156
Chief Information Officer/Chief Digital Officer 156
Informationssicherheitsbeauftragter 156
IT-Leitung 157
Computer Emergency Response Team (CERT) 158
Informationssicherheitsausschuss 159
Richtlinien und Regeln 159
Kapitel 12: Der Deming-Kreis (PDCA) und die staendige Verbesserung 163
Kapitel 13: Risikoanalyse und Kronjuwelen 165
Klassifizierung der Daten 165
Klassifizierung der Systeme 166
Bedrohungsanalyse 168
Metriken und Bewertung 169
Kapitel 14: Grundlegende Dokumentation 171
Asset- und Konfigurationsmanagement 174
Nutzermanagement und Zugriffskontrolle 180
Kapitel 15: Meldepflichten und Vorfallsmanagement 185
Datenschutzvorfaelle 185
IT-Sicherheitsvorfaelle 187
Angriffserkennung 189
Security Information and Event Management (SIEM) 190
Dokumentation von Vorfaellen und Forensik 191
Sharing von Threat-Informationen 192
Kapitel 16: Awareness und Beschaeftigte 197
Teil IV: Bausteine der technischen IT-Sicherheit 201
Kapitel 17: Grundlagen der Verschluesselung 203
Symmetrische Verschluesselung 208
Betriebsarten der Blockverschluesselung 210
Asymmetrische Verschluesselung 214
Diffie-Hellman-Merkle-Schluesselaustausch 214
Das RSA-Verfahren 215
Hybride Verschluesselung 220
Hashfunktionen 221
Digitale und elektronische Signaturen 225
Elliptische-Kurven-Kryptografie 227
DLIES und ECIES 229
Vertrauensmodelle 229
Persoenlicher Kontakt 232
Zertifizierungsstellen 233
Web of Trust 235
Trust on First Use 237
Kryptograpische Forschung 237
Homomorphe Verschluesselung 238
Post-Quantenkryptografie 240
Kapitel 18: Biometrie 243
Hautleisten 246
Venenmuster 247
Iris-Scan 247
Gesichtserkennung 247
Kapitel 19: Chipkarten und Secure Hardware Token 249
Einmalpasswort-Token 252
Teil V: Loesungen und Umsetzungen 255
Kapitel 20: Backup & Co 257
Datensicherung 258
Kontrollfragen 261
Aufbewahrungspflichten 262
Archivierung 263
Redundanz 264
Kapitel 21: Netzwerksicherheit 267
Grundlagen 269
Sicherheitserweiterungen von Netzwerkprotokollen 270
DNS, Anwendungsschicht 270
HTTPS, SMTPS, Anwendungsschicht 272
TCP und UDP, Transportschicht 272
IP und IPsec, Netzwerkschicht 276
ARP und 802.1X, Verbindungsschicht 277
Netzwerkzugang 278
Netzwerksegmentierung 280
Denial-of-Service-Angriffe 281
Anonymisierung in Netzwerken 283
Funknetze 284
WLAN 284
Bluetooth 286
NFC, RFID 288
Das sichere Internet der Zukunft 290
Kapitel 22: Firewalls 291
Grundlagen von Firewalls 291
Packet Filter 294
Stateful Inspection Firewall 294
Network Address Translation (NAT) 295
Proxy-Server und Application Layer Firewall 296
NG Firewall und Deep Packet Inspection 297
Firewall in der Cloud 298
Kapitel 23: Verschluesselung im Einsatz 301
Daten in Ruhe 301
Datentraegerverschluesselung 304
Partitionsverschluesselung 307
Containerverschluesselung 307
Dateiverschluesselung 308
Daten in Bewegung 309
Transportverschluesselung 309
E-Mail-Verschluesselung 311
Virtuelle private Netzwerke (VPN) 311
Kapitel 24: Monitoring 319
Metriken der IT-Sicherheit 319
Angriffserkennungssysteme 322
Angriffserkennungssysteme (netzwerkbasiert) 323
Angriffserkennungssysteme (hostbasiert) 324
Managed Security 325
Schadsoftware 326
Abwehrstrategien 327
Analyse von Schadsoftware 328
Kapitel 25: Patch Management 331
Kapitel 26: Zugangssicherung und Authentisierung 335
Passwoerter im Unternehmen 335
Zwei-Faktor-Authentisierung 338
Biometrie 339
Single Sign-on 340
Kapitel 27: Anwendungssicherheit 343
Chat 343
E-Mail 344
Verschluesselung 345
Allgemeine Sicherheit 346
Videokonferenzen 347
Multipoint Control Unit 347
Selective Forwarding Unit 348
Peer to Peer 348
Webanwendungen 349
Datenbanken 351
Cloud 352
Speichern in der Cloud 353
Verarbeiten in der Cloud 353
Blockchain 354
Kuenstliche Intelligenz 356
Teil VI: Der Top-Ten-Teil 359
Kapitel 28: Zehn Massnahmen fuer den technischen Basisschutz 361
Backup 361
Schutz vor Schadsoftware 361
Netzwerkschutz 361
Firewall 362
Patch-Management 362
Verschluesselt speichern 362
Verschluesselt kommunizieren 362
Passwort-Management 362
Biometrie und Zwei-Faktor-Authentifikation 362
Spam-Abwehr 363
Kapitel 29: Zehn Massnahmen fuer den organisatorischen UEberbau 365
UEbernahme der Verantwortung 365
Leitlinie zur Informationssicherheit 365
Richtlinien zur Informationssicherheit 365
Definition und Besetzung der Rollen 366
Definition der fundamentalen Prozesse 366
Risikobetrachtung 366
Klassifizierung der Daten und Systeme 366
Awareness 366
Krisenmanagement 366
Regelmaessige UEberpruefung 367
Literaturverzeichnis 369
Abbildungsverzeichnis 373
Stichwortverzeichnis 379
