Handbuch Datenschutz und IT-Sicherheit

Name: Handbuch Datenschutz und IT-Sicherheit
Brand: Erich Schmidt Verlag
Price: 89.4 EUR
Availability: OnlineOnly

Uwe Schläger Jan-Christoph Thode(Herausgeber*in)

Erich Schmidt Verlag

2. Auflage

Erschienen am 26. November 2021

XXIV, 708 Seiten

E-Book

PDF mit Wasserzeichen-DRM

Systemvoraussetzungen

978-3-503-20534-9 (ISBN)

89,40 €inkl. 7% MwSt.

Systemvoraussetzungen

für PDF mit Wasserzeichen-DRM

E-Book Einzellizenz

Als Download verfügbar

Beschreibung

Weitere Details

Weitere Ausgaben

Personen

Inhalt

Intro
Titel
Vorwort
Inhaltsverzeichnis
Bearbeiterverzeichnis
Abkürzungsverzeichnis
Literaturverzeichnis
Kapitel A - Datenschutzrechtliche Grundlagen
1 Geschichte des Datenschutzrechts
1.1 Erste Entwicklungen
1.2 Das Volkszählungsurteil des Bundesverfassungsgerichts
1.2.1 Recht auf informationelle Selbstbestimmung
1.2.2 Schutzbereich
1.2.3 Schranken
1.2.4 Weiterentwicklung des Rechts auf informationelle Selbstbestimmung
1.2.5 Langfristige Bedeutung
1.3 Entwicklung der Datenschutzgesetze in Deutschland
1.3.1 Bedarf an Datenschutzgesetzen
1.3.2 Landesdatenschutzgesetze
1.3.3 Bundesdatenschutzgesetz
1.3.4 Gesetzgebungskompetenz
1.3.5 Verhältnis Bundesdatenschutzgesetz - Datenschutzgesetze der Länder
1.3.6 Europarechtliche Regelungen
2 Datenschutzrecht in Deutschland und in der EU
2.1 Maßgebliche Rechtsquellen
2.1.1 Datenschutz-Grundverordnung
2.1.2 Bundesdatenschutzgesetz-neu
2.1.3 ePrivacy-Verordnung
2.2 Grundlagen der Datenverarbeitung
2.2.1 Verbot mit Erlaubnisvorbehalt
2.2.2 Personenbezogene Daten
2.2.3 Besondere Kategorien von personenbezogenen Daten
2.2.4 Besondere Verarbeitungssituationen
2.3 Datenschutzrechtliche Grundsätze
2.3.1 Rechtmäßigkeit
2.3.2 Treu und Glauben
2.3.3 Transparenz
2.3.4 Zweckbindung
2.3.5 Datenminimierung
2.3.6 Richtigkeit
2.3.7 Speicherbegrenzung
2.3.8 Integrität und Vertraulichkeit
2.3.9 Rechenschaftspflicht
2.4 Betroffenenrechte
2.4.1 Auskunft
2.4.2 Berichtigung
2.4.3 Löschung
2.4.4 Einschränkung der Verarbeitung
2.4.5 Datenübertragbarkeit
2.4.6 Widerspruch
2.4.7 Wahrnehmung der Rechte
2.5 Sanktionen
2.5.1 Datenschutz-Grundverordnung
2.5.2 Bundesdatenschutzgesetz-neu
3 Anwendungsbereich der DSGVO
3.1 Niederlassungsprinzip
3.1.1 Tätigkeit einer Niederlassung
3.1.2 Datenverarbeitung im Rahmen einer Niederlassung
3.2 Marktortprinzip
3.2.1 Anbieten von Waren oder Dienstleistungen
3.2.2 Beobachtung des Verhaltens
3.2.3 Pflicht zur Benennung eines Vertreters
3.3 Sonderfall Völkerrecht
3.4 Öffnungsklauseln
3.4.1 Kollisionsnorm
3.4.2 Situation in Deutschland
4 Datenschutzrecht außerhalb von Europa
4.1 USA
4.1.1 Allgemeine Übersicht
4.1.2 Maßgebliche Rechtsquellen
4.1.3 Datenschutzrechtliche Grundsätze
4.1.4 Betroffenenrechte
4.1.5 Sanktionen
4.2 Japan
4.2.1 Allgemeine Übersicht
4.2.2 Maßgebliche Rechtsquellen
4.2.3 Datenschutzrechtliche Grundsätze
4.2.4 Betroffenenrechte
4.2.5 Sanktionen
4.3 Russland
4.3.1 Allgemeine Übersicht
4.3.2 Maßgebliche Rechtsquellen
4.3.3 Datenschutzrechtliche Grundsätze
4.3.4 Betroffenenrechte
4.3.5 Sanktionen
Kapitel B - Datenschutzmanagement im Unternehmen
1 Der betriebliche Datenschutzbeauftragte
1.1 Bestellpflicht
1.1.1 Europarechtliche Regelung mit nationaler Öffnungsklausel
1.1.2 Bestellpflicht nach Art.?37 DSGVO
1.1.3 Gemeinsame Bestellung eines Datenschutzbeauftragten durch eine Unternehmensgruppe
1.1.4 Die Bestellpflicht nach nationalem Recht - §?38 BDSG
1.2 Mitteilungspflicht gegenüber der Aufsichtsbehörde
1.3 Qualifikation
1.3.1 Berufliche Qualifikation/Fachwissen
1.3.2 Persönliche Fähigkeiten
1.4 Wahrnehmung durch natürliche oder auch juristische Person?
1.5 Stellung im Unternehmen
1.5.1 Bereitstellung von Ressourcen
1.5.2 Umfassende Einsicht und Unterstützung
1.5.2.1 Haftung des Datenschutzbeauftragten
1.5.2.1.1 Extern
1.5.2.1.2 Intern
1.6 Aufgaben
1.6.1 Beratung und Information
1.6.2 Überwachung der Einhaltung der Verordnung - Einrichtung eines Datenschutzmanagements
1.6.3 Zusammenarbeit mit der Aufsichtsbehörde
1.6.4 Wahrnehmung von Betroffenenrechten
1.6.5 Zeitpunkt und Ausnahmen
1.6.6 Ansprechpartner für die Aufsichtsbehörde
1.7 Abberufung
2 Verzeichnis von Verarbeitungstätigkeiten
2.1 Sinn und Zweck der Dokumentation
2.2 Zuständigkeit
2.3 Adressaten
2.4 Inhalt und Form
2.5 Historie und Aktualisierungsintervall
3 Datenschutz-Folgenabschätzung
3.1 Anwendungsbereich
3.2 Schwellenwert-Analyse
3.3 Durchführungsphase
3.3.1 Methodik
3.3.2 Informationsbeschaffung
3.3.3 Checkliste
3.3.4 Bewertung
3.3.5 Praktischer Ablauf
3.4 Dokumentation
4 Verpflichtung auf das Datengeheimnis
4.1 Die Verpflichtung und die DSGVO
4.2 Praxisnahe Umsetzung im Unternehmensumfeld
4.3 Adressaten
4.4 Sanktionen bei Verletzung
5 Meldepflicht bei Datenpannen
5.1 Inhalt, Art und Weise und Frist der Meldung an die Aufsichtsbehörde
5.2 Inhalt, Art und Weise und Frist der Meldung an Betroffene
5.3 Ausnahme - Risikoabwägung
5.4 Dokumentation
5.5 Ausschlussgründe
6 Outsourcing
6.1 Auftragsverarbeitung - Chancen und Risiken
6.1.1 Überblick
6.1.2 Dienstleister außerhalb der EU
6.1.3 Prüfung von Verträgen zur Auftragsverarbeitung
6.2 Abgrenzung zur eigenen Verantwortlichkeit
6.3 Gemeinsam für die Verarbeitung Verantwortliche
6.4 Übermittlung an Drittländer außerhalb der EU
6.4.1 Übermittlung auf Grundlage eines Angemessenheitsbeschlusses
6.4.2 Übermittlung auf Grundlage von Binding Corporate Rules
6.4.3 Übermittlung auf Grundlage der EU-Standardvertragsklauseln
7 Kontrolle des Datenschutzniveaus
7.1 Rolle des Datenschutzbeauftragten
7.2 Abgleich der Verfahrenspraxis mit Verfahrensverzeichnis
7.3 Abgleich der Verfahrenspraxis mit Betriebsvereinbarungen oder Richtlinien
7.4 Auditierung der Auftragsverarbeiter
7.5 Nachweis durch Zertifikate
7.6 Dokumentation
8 Datenlöschung
8.1 Das Praxisproblem - Warum soll ich Daten löschen?
8.2 Bestandsaufnahme für Löschfristen
8.3 Erstellung eines Löschkonzepts
8.3.1 (Automatisierte) Umsetzung von Löschpflichten
8.3.2 Sicher löschen - Vorgaben des BSI
9 Datenweitergabe im Konzern
9.1 Konzernprivileg
9.2 Auftragsverarbeitung im Konzern
9.3 Gemeinsame Verantwortlichkeit
9.4 Übermittlung innerhalb Europas
9.4.1 Einwilligung
9.4.2 Vertragserfüllung
9.4.3 Rechtliche Verpflichtung
9.4.4 Interessenabwägung
9.5 Beschäftigtendaten
9.6 Übermittlung außerhalb Europas
Kapitel C - Verarbeitung von Beschäftigtendaten
1 Regelungen zum Beschäftigtendatenschutz
1.1 Öffnungsklausel
1.2 Regelungen im BDSG-neu
1.3 Betriebsvereinbarungen
2 Bewerbermanagement
2.1 Zulässigkeit der Datenverarbeitung im Bewerbungsverfahren
2.1.1 Fragerecht des Arbeitgebers
2.1.2 Recherche des Arbeitgebers in sozialen Netzwerken
2.1.3 Ärztliche Untersuchungen und psychologische Tests
2.2 Dauer der Speicherung von Bewerberdaten
2.3 Informationspflichten
3 Personalakten
3.1 Inhalte
3.2 Zugriffsrechte
3.3 Aufbewahrungsdauer
3.4 Rechte des Mitarbeiters
3.5 Best Practice
4 Zeiterfassung
4.1 Abhängigkeit vom Arbeitszeitmodell
4.2 Erfassung der Kommt-, Geht- und Pausenzeiten
4.3 Zugriffsrechte
4.4 Aufbewahrungszeiten
5 Personalentwicklung
5.1 Schulungssysteme/Learning-Management-Systems
5.1.1 Pflichtschulungen und freiwillig angebotene Schulungen
5.1.2 Zugriffsrechte
5.1.3 Beauftragung von Dienstleistern
5.2 Mitarbeitergespräche
5.2.1 Krankenrückkehrgespräche
5.2.2 Standardisierung im Unternehmen
5.3 Arbeitszeugnisse und Performance-Management
5.3.1 Arbeitszeugnisse
5.3.2 Performance-Management
5.3.3 Zugriffsrechte, Speicherfristen, Auftragsverarbeitung
5.4 Mitarbeiterprofile (Persönlichkeitsprofile)
5.4.1 Erhebung von Softskills auf Grundlage einer Einwilligung
5.4.2 Datenschutz-Folgenabschätzung
5.4.3 Beauftragung von Dienstleistern
5.5 Mitarbeiterbefragungen
5.5.1 Anonyme Befragungen
5.5.2 Personenbezogene Befragungen
5.5.3 Best Practice
5.6 360-Grad-Feedback
5.6.1 Personenbezogene Datenerhebung
5.6.2 Informationspflichten
5.6.3 Datenschutz-Folgenabschätzung
5.7 Outplacement
5.7.1 Durchführung auf Grundlage einer Einwilligung
5.7.2 Outsourcing als eigenständige Verantwortlichkeit
6 Nutzung von Internet, E-Mail und Telefon
6.1 Internet- und E-Mail-Nutzung
6.1.1 Wahrung des Fernmeldegeheimnisses
6.1.2 Erlaubnis der privaten Nutzung
6.1.3 Verbot der privaten Nutzung
6.1.4 Nicht-Regelung und Duldung der privaten Nutzung
6.1.5 Notwendigkeit unternehmensinterner Regelungen
6.2 Telefonie
6.2.1 Verarbeitung von Verkehrsdaten
6.2.2 Aufzeichnung von Inhaltsdaten
7 Ortung von Mitarbeitern
7.1 Ortung von Mobiltelefonen/GPS-Ortung
7.2 Betriebsvereinbarung/Einwilligung
7.3 Gesetzliche Grenzen
7.4 Transparenzpflichten
7.5 Aufdeckung von Straftaten
7.6 Sonstige Anforderungen
8 Auskunftsersuchen von Behörden und sonstigen Dritten
8.1 Spezialgesetzliche Normen
8.2 Einwilligung
8.3 Berechtigtes Interesse an einer Datenherausgabe
8.4 Rahmenbedingungen und Umfang einer Datenherausgabe
9 Compliance-Maßnahmen
9.1 Der Begriff Compliance
9.1.1 Abgrenzung zu Revisionsmaßnahmen
9.1.2 Compliance "Kerndisziplinen"
9.1.3 Rechtsgrundlagen für Compliance-Prüfungen
9.2 Konfliktpotential zum Datenschutz
9.3 Datenschutzrechtliche Erlaubnisnormen
9.3.1 Entstehung einer speziellen Norm zum Beschäftigtendatenschutz
9.3.2 Verarbeitung von Beschäftigtendaten bei Compliance-Prüfungen
9.4 Best Practice
9.4.1 E-Mail-Screening
9.4.2 Whistleblowing/Hinweisgebersysteme
9.4.3 Einhaltung von Hygienevorschriften
9.4.4 Bondatenanalysen
9.4.5 Tankkartenkontrolle
9.4.6 Exkurs: Geschäftspartner Compliance
9.5 Sonstiges
9.5.1 Informationspflichten
9.5.2 Mitbestimmungsrechte
10 Verarbeitung von Gesundheitsdaten
10.1 Rechtliche Grundlagen
10.2 Betriebsärztliche Untersuchungen
10.2.1 Arbeitsmedizinische Vorsorge
10.2.2 Einstellungsuntersuchungen
10.3 Eignungstests
10.4 Betriebliches Eingliederungsmanagement
11 Betriebsrat und Datenschutz
11.1 Stellung des Betriebsrats im Betriebsverfassungsgesetz
11.2 Aufgaben des Betriebsrats
11.3 Verwendung von Beschäftigtendaten im BetrVG
11.3.1 Subsidiarität des BDSG gegenüber dem BetrVG
11.3.2 Subsidiarität des BDSG gegenüber Betriebsvereinbarungen
11.3.3 Betriebsvereinbarungen nach der DSGVO
11.4 Stellung des Betriebsrats im BDSG
11.5 Verantwortung des Betriebsrats für den Datenschutz
11.5.1 Pflichten nach dem BDSG
11.5.2 Datensicherheit
11.5.3 Verfahrensverzeichnis durch den Betriebsrat
11.6 Verwendung von Beschäftigtendaten durch den Betriebsrat
11.6.1 Zugriff auf Daten der Personalverwaltung
11.6.2 Speichern von Beschäftigtendaten
11.6.3 Veröffentlichung von Beschäftigtendaten
11.7 Kontrolle des Betriebsrats durch den Datenschutzbeauftragten
Kapitel D - Verarbeitung von Kundendaten
1 CRM-Systeme
1.1 Ausgestaltung und Anforderungen
1.2 Erfüllung eines Vertrages
1.3 Vorvertragliche Maßnahmen
1.4 Erforderlichkeit
1.5 Einzelne Kategorien von Daten
1.6 Nutzung innerhalb eines Konzerns
2 Marketing und Werbung
2.1 Regelungen in der DSGVO
2.2 Verschiedene Werbemaßnahmen
2.2.1 Postalische Werbung
2.2.2 Elektronische Bewerbung (E-Mail und Fax)
2.2.3 Telefonische Bewerbung
2.3 Widerspruchsrecht
2.3.1 Werbewidersprüche (postalische Werbung)
2.3.2 Widerruf der Einwilligung (elektronisch, Fax oder Telefon)
2.4 Dokumentationspflichten
2.5. Geldbußen
3 Kundenbindungssysteme
3.1 Kundenbindung versus Datenschutz
3.2 Datenverarbeitung zur Programmabwicklung
3.2.1 Verarbeitung der Stammdaten
3.2.2 Verarbeitung von Programmdaten
3.3 Datenverarbeitung für Werbung und Marktforschung
3.3.1 Verarbeitung von Stamm- und Programmdaten
3.3.2 Grenzen der Einwilligung
3.4 Betroffenenrechte der Kundenkartenteilnehmer
3.5 Kundenkartensysteme in der Praxis
4 Unternehmenskauf
4.1 Einwilligung und Betriebsübergang
4.2 Datenaustausch vor einer Transaktion (Due-Diligence-Phase)
4.3 Informationspflichten gegenüber der betroffenen Person
4.4 Vollzug einer Transaktion
5 Bonitätsmanagement (einschl. Scoring)
5.1 Beteiligte des Bonitätsmanagements
5.2 Datenübermittlung an eine Auskunftei
5.2.1 Rechtsgrundlage
5.2.2 Zulässigkeit der Übermittlung bestimmter Datenkategorien
5.2.3 Zusammenspiel von Rechtsgrundlage und Einwilligung
5.3 Allgemeine Bonitätsbewertung
5.3.1 Informationsquellen
5.3.2 Zulässigkeit allgemeiner Bonitätsbewertung
5.4 Bonitätsbewertung mittels Scoring-Verfahren
5.4.1 Einsatzbereiche
5.4.2 Zulässigkeit des internen Scorings
5.4.3 Zulässigkeit des externen Scorings
5.5 Auskunfteien
5.5.1 Abgrenzung zum internen Scoring
5.5.2 Anwendbare Regelungen bei Auskunfteitätigkeit
5.6 Datenschutz-Folgenabschätzung
5.7 Bestellung eines Datenschutzbeauftragten
5.8 Konsultation der Aufsichtsbehörde
5.9 Rechte der betroffenen Person
5.9.1 Auskunftsrecht der betroffenen Person
5.9.2 Informationspflichten gegenüber der betroffenen Person
5.9.3 Widerspruchsrecht der betroffenen Person
5.9.4 Verbot automatisierter Einzelentscheidung
5.10 Best Practice
Kapitel E - Datenverarbeitung im Internet und Intranet
1 Webseiten
1.1 Anwendbares Recht
1.2 Informationspflichten
1.2.1 Pflichtangaben nach §?5 TMG
1.2.2 Pflichtangaben nach §?55 RStV bzw. §§?18?ff. MStV
1.2.3 Zusätzliche Pflichtangaben nach der DL-InfoV
1.3 Datenschutzerklärung
1.3.1 Rechtliche Grundlagen
1.3.2 Platzierung auf der Webseite
1.3.3 Inhalt
1.4 Disclaimer
1.4.1 Haftung für Inhalte
1.4.2 Haftung für Links
1.4.3 Wahrung des Urheberrechts
1.5 Einwilligung auf Webseiten
1.5.1 Voraussetzungen der Einwilligung
1.5.2 Einwilligung bei Kindern
1.5.3 Widerrufbarkeit
1.6 Der Einsatz von Cookies
1.6.1 Unklare Rechtslage
1.6.2 Formen der Einwilligung
1.6.3 Cookie-Varianten
1.6.4 Voraussetzungen an den Einsatz von Cookies
1.7 Tracking-Tools
1.7.1 Unterschiede
1.7.2 Unklare Rechtslage
1.7.3 Nutzerverhalten
1.7.4 Retargeting
1.7.5 Conversion Tracking
1.8 Device-Fingerprinting
1.9 Newsletter
1.9.1 Rechtliche Grundlage
1.9.2 Rechtskonforme Umsetzung
1.10 Kontaktformular
1.11 Tell-a-Friend-Funktion
1.12 Social-Media-Plugins
1.13 Veröffentlichung von Mitarbeiterdaten und -fotos
1.13.1 Allgemeine Mitarbeiterdaten
1.13.2 Mitarbeiterfotos
1.14 Gästebuch und Foren
1.15 Bewerbungsportal
1.15.1 Online-Registrierung bzw. Profilerstellung
1.15.2 Verarbeitung bzw. Aufbewahrung im Unternehmen
1.16 Rechtspflichten zur Sicherung von Webseiten
1.16.1 Technische und organisatorische Maßnahmen
1.16.2 Verschlüsselte Übertragung
1.17 Recht auf Datenübertragbarkeit
2 Soziale Netzwerke
2.1 Social-Media-Auftritt des Unternehmens
2.1.1 Grundsätzliche Fragestellungen
2.1.2 Impressum
2.1.3 Datenschutzerklärung
2.1.4 Analysemöglichkeiten
2.1.5 Nutzung des Application Interface
2.1.6 Absicherung des Social-Media-Auftritts
2.1.7 Veröffentlichung von Fotos
2.1.8 Freundefinder
2.1.9 Besonderheiten für Behörden
2.1.10 Einwilligung
2.2 Social-Media-Plugins und eingebettete Inhalte
2.2.1 Problemstellung
2.2.2 Reine Verlinkung
2.2.3 Platzhaltergrafiken
2.2.4 Webserverlösung
2.2.5 Datenschutzeinstellungen bei der Einbindung
2.3 Marketing auf Social-Media-Plattformen
2.3.1 Werbung per Direktnachricht
2.3.2 Pinnwandveröffentlichungen
2.3.3 Gesponserte Beiträge und Anzeigenwerbung
2.3.4 Kampagnenziele
2.3.5 Allgemeine Zielgruppendefinitionen
2.3.6 Custom Audiences mit Personenlisten
2.3.7 Retargeting - Custom Audiences from your Website
2.3.8 Conversion Tracking
2.3.9 Lookalike Audiences
2.3.10 Gemeinsame Verantwortlichkeit
2.4 Social-Media-Recruiting
2.4.1 Passives Recruiting
2.4.2 Aktives Recruiting
2.5 Nutzung von Social-Media-Diensten
2.5.1 Social Login
2.5.2 Facebook WLAN-Hotspot
2.5.3 Bluetooth Low Energy Beacons
2.5.4 Messenger und Messenger-Bots
2.6 Unternehmensinterne Social-Media-Nutzung
2.6.1 Social-Media-Monitoring
2.6.2 Social Media im Intranet
2.7 Künftige Entwicklungen
3 Intranet-Portale
3.1 Datenschutzrechtliche Rahmenbedingungen
3.2 Veröffentlichung von Kontaktdaten
3.3 Veröffentlichung von Bildnissen
3.4 Veröffentlichung von Qualifikationen und Lebensläufen
3.5 Veröffentlichung von Geburtstagen
3.6 Kalenderfunktion
3.7 Unternehmensinterne Kommunikationsplattformen am Beispiel von Microsoft Teams
3.7.1 Funktionen von Microsoft Teams
3.7.2 Protokollierungsfunktion/Historie
3.7.3 Dienstliche und private Nutzung von MS Teams
3.7.4 Anwesenheitsstatus der Mitarbeiter
3.8 Unternehmensinterne Intranet-Anwendungen am Beispiel von Microsoft Yammer
3.8.1 Microsoft Yammer als Social-Media-Anwendung
3.8.2 Datenschutzrechtliche Rahmenbedingungen
3.9 Künftige Entwicklungen
3.9.1 Rechtliche Entwicklung
3.9.2 Technische Entwicklung
Kapitel F - Videoüberwachung im Unternehmen
1 Personenbeziehbarkeit und Verarbeitung von Bilddaten
2 Rechtliche Grundlagen für Unternehmen
2.1 Videoüberwachung mit Einwilligung
2.2 Videoüberwachung aufgrund rechtlicher Verpflichtung
2.3 Videoüberwachung im öffentlichen Interesse
2.4 Videoüberwachung aufgrund Interessenabwägung
2.4.1 Nachweisbarer Zweck der Videoüberwachung
2.4.2 Verhältnismäßigkeit der Videoüberwachung
2.5 Videoüberwachung im Beschäftigungskontext
2.6 Videokonferenz und Videoidentifizierung
2.7 Videoüberwachung von Kindern
2.8 Verdeckte Videoüberwachung
3 Sicherheitsmaßnahmen für Videosysteme
3.1 Hinweisschilder
3.2 Löschung der Bilddaten
3.3 Sonstige technische und organisatorische Pflichten
4 Beispiele aus der Praxis
4.1 Supermärkte und Einkaufszentren
4.2 Gastronomie
4.3 Banken, Spielhallen, Tankstellen
4.4 Krankenhäuser, Praxen, Heime, Videosprechstunden
4.5 Wohnobjekte und Hotels
4.6 Baustellen
4.7 Abfallbeseitigung, Müllcontainer
4.8 Parkplätze, Parkhäuser, Kennzeichenerfassung
4.9 Öffentliche Verkehrsmittel
4.10 Dashcams in Unternehmensfahrzeugen
4.11 Außenfassaden und Perimeterschutz
4.12 Rechenzentren und Serverräume
Kapitel G - Rechtliche Grundlagen der Informationssicherheit
1 Datenschutzgrundverordnung
1.1 Technische und organisatorische Maßnahmen
1.1.1 Verantwortlicher und Auftragsverarbeiter
1.1.2 Eignung der Maßnahmen, Angemessenheit des Schutzniveaus
1.1.3 Schwere des Risikos
1.1.4 Stand der Technik
1.1.5 Implementierungskosten
1.1.6 Eintrittswahrscheinlichkeit und Schwere des Risikos
1.1.7 Art, Umfang, Umstände und Zweck der Verarbeitung
1.1.8 Sicherheitsziele
1.1.9 Datenschutz durch Technikgestaltung
1.2 Pseudonymisierung
1.3 Anonymisierung
1.4 Verschlüsselung
1.5 Durchführung von Tests
1.6 Nachweispflichten
1.6.1 Genehmigte Verhaltensregeln
1.6.2 Genehmigte Zertifizierungsverfahren
2 IT-Sicherheitsgesetz, europäische NIS-Richtlinie
2.1 Betreiber kritischer Infrastrukturen
2.2 Betreiber von Webseiten
2.3 Anbieter digitaler Dienste
2.4 EU Cybersecurity Act
3 Bereichsspezifische Normen
3.1 Energiewirtschafts- und Messstellenbetriebsgesetz
3.2 Kreditwesengesetz
3.3 Glückspielstaatsvertrag
Kapitel H - IT-Sicherheitsmanagement im Unternehmen
1 Vorgehensweise
2 Merkmale eines ISMS
2.1 Management-Prinzipien
2.2 Ressourcen
2.3 Mitarbeiter
2.4 Strategie
3 ISO/IEC 27001 und IT-Grundschutz
3.1 Unterschiede und Gemeinsamkeiten
3.2 ISO/IEC 27000-er Normenreihe
3.2.1 ISO/IEC 27001 als Basisnorm
3.2.2 ISO/IEC 27002
3.2.3 ISO/IEC 27004 für Messbarkeit
3.2.4 ISO/IEC 27005 für Risikomanagement
3.2.5 ISO/IEC 27011 für Telekommunikationsunternehmen
3.2.6 ISO/IEC 27017 und ISO/IEC 27018 für Cloud-Dienste
3.2.7 ISO/IEC TR 27019 für die Energiewirtschaft
3.2.8 ISO/IEC 27799 für das Gesundheitswesen
3.2.9 ISO/IEC 27701 für ein Datenschutz-Managementsystem
3.3 ISO 27001 auf der Basis von IT-Grundschutz
3.3.1 Strukturanalyse
3.3.2 Schutzbedarfsfeststellung
3.3.3 Modellierung der IT-Grundschutz-Bausteine
3.3.4 IT-Grundschutz-Check
3.3.5 Risikoanalyse
3.3.6 Modernisierung des IT-Grundschutzes
4 Bedeutung von Zertifikaten
Kapitel I - Technische und organisatorische Maßnahmen
1 Übergreifende Aspekte
1.1 Behandlung von Sicherheitsvorfällen
1.1.1 Incident Management
1.1.2 Problem Management
1.1.3 Notfall Management
1.2 Hardware und Software Management
1.2.1 Change Management
1.2.2 Asset Management
1.2.3 Patch Management, Update Management
1.3 Personal Management
1.3.1 Sensibilisierung und Schulung
1.3.2 Ein- und Austrittsprozess
1.3.3 Sicherheitsüberprüfung
1.4 Datensicherung
1.4.1 Datenart, Häufigkeit der Datensicherungen, Anzahl der Generationen
1.4.2 Art der Datensicherung
1.4.3 Speichermedien
1.4.4 Aufbewahrung der Speichermedien
1.4.5 Zeitpunkt der Erstellung
1.4.6 Wiederherstellung der Datensicherungen
1.4.7 Einsatz eines Datensicherungssystems
1.5 Archivierung
1.5.1 Infrastruktur
1.5.2 Speichermedien
1.5.3 Dateiformate
1.5.4 Einsatz elektronischer Signaturen
1.5.5 Funktionstests
1.5.6 Datensicherung des Archivsystems
1.6 Datenlöschung
1.6.1 Physische Vernichtung
1.6.2 Digitales Löschen
1.6.3 Einsatz von externen Dienstleistern
1.7 Verschlüsselung
1.7.1 Grundlagen der Verschlüsselung
1.7.2 Anwendungen von Verschlüsselung
1.7.3 Schlüsselmanagement
1.8 Getrennte Test- und Produktivsysteme
1.8.1 Anonymisierte Testdaten
1.8.2 Freigabeverfahren
1.9 Cloud-Computing
1.9.1 Formen von Cloud-Services
1.9.2 Vertragliche Verpflichtung des Cloud-Diensteanbieters
1.9.3 Authentisierung der Anwender
1.9.4 Verschlüsselung der übermittelten Daten
1.9.5 Verschlüsselung der gespeicherten Daten
1.9.6 Normen und Standards
2 Infrastruktur
2.1 Zutrittskontrollsysteme
2.2 Brandschutzmaßnahmen
2.3 Maßnahmen gegen Über- und Unterspannung
2.4 Klimageräte
2.5 Vermeidung wasserführender Leitungen
3 IT-Systeme
3.1 Serversysteme
3.1.1 Allgemeine Maßnahmen zur Serverhärtung
3.1.2 Serverspezifische Härtungsmaßnahmen
3.2 Clientsysteme
3.2.1 Allgemeine Maßnahmen zur Clienthärtung
3.2.2 Anwendungsspezifische Maßnahmen zur Client-Härtung
3.3 Mobile Endgeräte und Mobile-Device-Management
3.4 Verteilung und Verwaltung privilegierter Zugänge
4 Netze
4.1 Internetanbindung
4.1.1 Firewall
4.1.2 Intrusion-Detection/Prevention-Systeme
4.1.3 Demilitarisierte Zonen
4.1.4 VPN
4.2 Intranet
4.2.1 Network Access Control
4.2.2 VLAN
4.2.3 WLAN
4.3 Verzeichnisdienste
4.3.1 LDAP und Kerberos
4.3.2 Active Directory
4.3.3 Linux/UNIX-Domains
4.4 Administration
4.4.1 Monitoring
4.4.2 Security Information and Event Management
5 Anwendungen
5.1 Identifizierung, Authentisierung und Autorisierung
5.1.1 Identifizierung
5.1.2 Authentisierung
5.1.3 Autorisierung
5.2 Berechtigungs- und Rollenkonzepte
5.3 Mandantentrennung
5.4 Protokollierung von Anwendungsaktivitäten
Kapitel J - Penetrationstest
1 Vorgehensweise
1.1 Kickoff
1.2 Durchführung der Tests
1.2.1 Automatisierte Scans
1.2.2 Erweiterte Tests und manuelle Prüfungen
1.3 Auswertung und Dokumentation
1.4 Ergebnispräsentation
1.5 Prüfung der Verbesserungsmaßnahmen
2 Testszenarien
2.1 Black-Box
2.2 White-Box
2.3 Grey-Box
3 Testmodule und Prüfthemen
3.1 Systeme und Netzwerke
3.1.1 Einsatz veralteter Software
3.1.2 Verfügbarkeit von administrativen Zugängen
3.1.3 Verwendung von trivialen Kennwörtern
3.1.4 Ausgabe von sensiblen Informationen
3.1.5 Test der Verschlüsselung
3.1.6 Überprüfung von Zugriffsrechten
3.1.7 Test der Netzanmeldung
3.1.8 Man-In-The-Middle-Angriffe
3.2 Anwendungen
3.2.1 Auswertung von Fehlermeldungen
3.2.2 Überprüfung der Verschlüsselung
3.2.3 Überprüfung der Registrierung und Authentisierung
3.2.4 Ausweitung von Zugriffsrechten
3.2.5 Manipulation des Session-Managements
3.2.6 Cross-Site-Scripting
3.2.7 Replay-Angriffe
3.2.8 Injection
Stichwortverzeichnis

Systemvoraussetzungen

Als PDF speichern Als Link merken