Frankfurt, 3 Juli 2008 - Die Nationale Initiative für Informations- und Internetsicherheit NIFIS e.V. reagiert auf die jüngsten Vorfälle bei der Datenschutz-Verletzung von Behörden und empfiehlt erste einfache Maßnahmen zum IT-Grundschutz.
Die Verantwortung für die Einhaltung des Datenschutzes liegt beim Betreiber
Wie das Fernsehmagazin ARD Report aus München am 23. Juni 2008 berichtete, bestanden bei den Meldeämtern verschiedener Städte und Gemeinden offene Zugänge zu Meldedaten. Der Passwortschutz war in diesem Fall nicht gewährleistet und der vermeintlich Schuldige, der Softwarelieferant schnell gefunden. Die vorschnelle Schuldzuweisung lenkt jedoch vom eigentlichen Problem ab. Es muss festgestellt werden, dass die Verantwortung für die Einhaltung des Datenschutzes beim Betreiber eines Informationssystems liegt, nicht beim Lieferanten.
Praktische Empfehlungen
Aufgrund des aktuellen Beispiels empfiehlt die NIFIS ein paar grundsätzliche Maßnahmen:
1. Noch vor der ersten Installation sollte ein Konzept für die Verwaltung der Benutzerrechte, Benutzernamen und Kennworte erstellt werden, etwa als Teil des Pflichtenhefts.
2. Mit der ersten Übernahme "echter" Daten, auch für Tests und Schulungen, sollte im selben Zug nur noch mit Benutzernamen und Kennworten nach dem Rechtekonzept gearbeitet werden.
3. Standardbenutzer sollten ab der Installation geändert werden. Verschiedene Systeme haben dafür verschiedene Vorgehensweisen. Kunden sollten darauf bestehen, dass dies durchgeführt wird.
4. Lieferanten sollten Systeme nur für den Betrieb übergeben, wenn der Kunde seine eigenen Kennungen eingegeben hat, und der Startbenutzer entfernt oder inaktiviert wurde.
5. Zugang zu und Nutzung von Informationssystemen trennen und getrennt verwalten:
- in den Aufbau der Verbindung zum Informationssystem, etwa durch Zuordnung eines Schlüssel für eine gesicherte Verbindung.
- in die Benutzerverwaltung des eigentlichen Informationssystems.
So kann ein Vier-Augen-Prinzip installiert werden. Wenn dann an einer Stelle ein Fehler eintritt, bleibt ein Schutz erhalten.
Es ist das Anliegen der NIFIS, durch solche Hinweise die Sicherheit von Internet und Informationssystemen durch eigene Initiative zu verbessern.
Die NIFIS e.V.
Die Nationale Initiative für Informations- und Internet-Sicherheit (NIFIS e.V.) ist die Selbsthilfeorganisation der Wirtschaft, um Unter¬nehmen im Kampf gegen die wachsenden Gefahren aus dem Internet technisch, organisatorisch und rechtlich zu stärken. Als neutrale und unabhängige Organisation verbindet die NIFIS Wirtschaft, Wissenschaft und Politik und fungiert als Plattform für einen branchenübergreifenden und interdisziplinären Erfahrungsaustausch.
In prominent besetzten Beiräten unterstützen verschiedene Bundespolitiker und Professoren die Arbeit der Initiative.
Weitere Informationen: NIFIS e.V., Weismüllerstraße 21, 60314 Frankfurt, Tel.: 069 40 80 93 70, Fax: 069 40 14 71 59, E Mail: nifis@nifis.de, Web: www.nifis.de
Die o.g. Maßnahmen sind in Zusammenarbeit mit Thomas Teichmann entwickelt worden. Thomas Teichmann ist Berater für IT-Sicherheit und Organisation und Geschäftsführer der Schmitz & Teichmann Betriebsberatung GmbH - www.schmitzteichmann.de - und Mitglied im Expertenkreis Business Continuity Management der Nationalen Initiative für Informations- und Internetsicherheit (NIFIS e.V.) - www.nifis.de.
PR-Agentur:
Plus PR Agentur für Public Relations GmbH & Co. KG
Bonner Str. 324 . 50968 Köln . Telefon +49 221 93464423 . Fax + 49 221 93464480 . www.pluspr.de
X