Bundesamt für Sicherheit in der Informationstechnik

CON.7 Informationssicherheit auf Auslandsreisen

Schnell zum Abschnitt

1 Beschreibung

1.1 Einleitung

Die Bedeutung berufsbedingt notwendiger Reisetätigkeiten hat in den letzten Jahren durch die Globalisierung und die dadurch zunehmende internationale Vernetzung von Behörden und Unternehmen stetig zugenommen. Um auch außerhalb des regulären Arbeitsumfeldes arbeiten zu können, ist es unabdingbar geworden, neben Unterlagen in Papierform auch Informationstechnik mitzuführen, sei es z. B. Notebook, Smartphone, Tablet, Wechselfestplatte oder USB-Stick. Bei Geschäftsreisen, vor allem bei Auslandsreisen, sind eine Vielzahl an Bedrohungen und Risiken für die Informationssicherheit zu beachten, die im normalen Geschäftsbetrieb nicht existieren.

Jede Reise ist grundsätzlich verschieden, da sich aufgrund der Abhängigkeit von Parametern, wie dem Reisezweck (z. B. geschäftliche Besprechung, Tagung, Kongress, Seminar), der Reisedauer und dem Reiseziel, jeweils eine neue Bedrohungslage, auch in Bezug auf den Schutz geschäftskritischer Informationen, ergibt.

Der Schutz betrieblicher Informationen ist aufgrund der ständig wechselnden Zieldestinationen, bestimmter Umstände bzw. regulatorischer und gesetzlicher Anforderungen nicht immer einfach zu realisieren. So können z. B. die gesetzlichen und regulatorischen Anforderungen die Einreisekontrolle und somit den Schutz der Vertraulichkeit von Daten beeinflussen. Dies zeigt, dass sich abhängig von Art und Dauer der Reise sowie dem Reiseziel individuelle Anforderungen an die Informationssicherheit ergeben. Politische, gesellschaftliche, religiöse, geografische, klimatische, gesetzliche und regulatorische Besonderheiten einzelner Reiseziele spielen hier eine maßgebliche Rolle.

1.2 Zielsetzung

Zielsetzung dieses Bausteins ist der Schutz aller Informationen, die auf Auslandsreisen sowohl in elektronischer als auch physischer Form mitgeführt werden, in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Vertrauliche Informationen, die jeder reisende Mitarbeiter im Kopf mitführt, sind ebenfalls Gegenstand dieses Bausteines. Daher ist die Erstellung angemessener Regelungen und Maßnahmen für den Umgang mit schützenswerten Informationen und Daten auf Auslandsreisen unter Einbindung relevanter anderer Rahmenbedingungen, wie z. B. IT, Datenschutz, Recht, unerlässlich.

Aufgrund dessen werden in diesem Baustein szenariospezifische Gefährdungen und Anforderungen herausgestellt, die in direktem Zusammenhang mit dem sicheren Einsatz von Informationstechnologie, den Informationen und den diese verarbeitenden Geräten auf Auslandsreisen stehen.

Dieser Baustein dient den Verantwortlichen einer Institution als Orientierungshilfe für die Etablierung angemessener Sicherheitsmaßnahmen im Rahmen der Informationssicherheit auf Auslandsreisen. Dabei werden die wesentlichen Grundsätze aufgezeigt, die in diesem Zusammenhang zu berücksichtigen sind. Viele der genannten Gefährdungen haben auch Gültigkeit bei Inlandsreisen oder grundsätzlich bei der Verarbeitung von Informationen in fremden bzw. nicht unter eigener Kontrolle stehenden Umgebungen.

1.3 Abgrenzung

Der Baustein umfasst grundsätzlich die Anforderungen, die zu einem angemessenen Schutz von Informationen auf Auslandsreisen beitragen. Dabei hat der Schutz der Vertraulichkeit und Integrität von schützenswerten Informationen auf Reisen den gleichen Stellenwert wie am Sitz der Institution.

Gefährdungen und Anforderungen, die den lokalen Informationsverbund betreffen, werden hier nicht betrachtet.

Da im Baustein CON.6 Informationssicherheit auf Auslandsreisen speziell die prozessualen, technischen und organisatorischen Anforderungen betrachtet werden, die spezifisch für geschäftliche Arbeit auf Reisen sind, werden Anforderungen der Schichten Netze und Kommunikation (NET), IT-Systeme (SYS) und Anwendungen (APP) nicht betrachtet. Alle notwendigen Bausteine, vor allem SYS.2.1 Allgemeine Clients, NET.3.3 VPN, SYS 3.2.2 Mobile Device Management, müssen gesondert berücksichtigt werden.

Zudem sind die Anforderungen aus den themenüberschneidenden Bausteinen INF.10 Mobiler Arbeitsplatz und INF.9 Telearbeitsplatz zu beachten und umzusetzen.

Innerhalb dieses Bausteins kommt es außerdem zu Überschneidungen mit weiteren Bausteinen und Themenfeldern, die hier nicht betrachtet werden:

  • Erfüllung der Datenschutzanforderungen
  • Präventive Maßnahmen zum Schutz von Informationen (auch technische Anforderungen, die an tragbare IT-Systeme gestellt werden, z. B. Abstrahl-/Abhörschutz)
  • Personelle Sicherheit

2 Gefährdungslage

Nachfolgend beschrieben sind die spezifischen Bedrohungen und Schwachstellen im Bereich Informationssicherheit, die auf Auslandsreisen von besonderer Bedeutung sind.

Die Bedrohungslage ist für einige Gefährdungen auf Grund dieses Szenarios besonders erhöht. Dies ergibt sich z. B. aus der Kommunikation über öffentliche Netze, die nicht im Zugriff der eigenen Institution sind. Dadurch werden wieder Gefahren relevant, gegen welche sich die Institution vielleicht schon abgesichert hat.

Hinzu kommt, dass die Eintrittswahrscheinlichkeit eines Risikos auf Auslandsreisen in Abhängigkeit des gewählten Ziellandes meist deutlich höher gegenüber Inlandsreisen ist.

2 1 Abhören und Ausspähen von Informationen/Wirtschaftsspionage

Mit Spionage werden Angriffe bezeichnet, die das Ziel haben, Informationen über Institutionen, Personen, Produkte oder andere Zielobjekte zu sammeln, auszuwerten und aufzubereiten. Insbesondere bei Reisen ins Ausland sind unbekannte Gefahrenquellen vorhanden, auf die vom Informationssicherheitsmanagement der eigenen Institution keinen Einfluss genommen werden kann. Grundsätzlich bestehen in fremden Räumen und fremden IT-Umgebungen viele Gefahren durch das gezielte Abhören von Raumgesprächen, Leitungen, Telefongesprächen oder Datenübertragungen. Dies kann vor allem im Ausland durch entsprechende rechtliche Möglichkeiten problematisch und für den Reisenden nur schwer einschätzbar sein.

Dies kann sowohl öffentliche Plätze und Räume betreffen wie auch Gegebenheiten in anderen Institutionen, aber auch in institutionseigenen Repräsentanzen im Ausland. Auch Geräte wie z. B. Mobiltelefone können dazu benutzt werden, unbemerkt Gespräche aufzuzeichnen oder abzuhören. Zudem sind viele IT-Systeme standardmäßig mit Mikrofon und Kameras ausgestattet, die angegriffen und dann ausgenutzt werden können.

Darüber hinaus kann es bei bestimmten Ländern Restriktionen bei der Ein- und Ausreise geben, die regulatorische Vorgaben des Herkunftslandes und Anforderungen der Institution außer Kraft setzen bzw. diesen widersprechen. Als Beispiel kann hier die Möglichkeit genannt werden, dass bei Reisen in andere Länder, wie z. B. die USA, Einsicht in auf Notebooks und anderen tragbaren IT-Systemen gespeicherte Daten verlangt werden kann. Hierbei können zum Teil vertrauliche und personenbezogene Daten nicht nur eingesehen, sondern auch kopiert und gespeichert werden. Da es sich bei diesen Informationen z. B. auch um Strategiepapiere oder streng vertrauliche Entwürfe eines Unternehmens oder einer Behörde handeln könnte, muss in diesem Zusammenhang immer mit einem potentiellen Missbrauch dieser gerechnet werden (Wirtschaftsspionage).

Weiterhin können im Rahmen der Kommunikation übertragene Signale auf der Strecke nicht physisch gegen unbefugtes Mithören und Aufzeichnen abgeschirmt werden. Deshalb könnten Einwahlpunkte/Hotspots o. ä. angegriffen oder abgehört und über diese Informationen erlangt werden. Hierzu gehören z. B. Standortinformationen oder MAC-Adressen, aber auch unverschlüsselt übertragene Datenpakete und Informationen wie Metadaten inklusive Empfänger- und Absenderdaten, Adressen oder Telefonnummern.

Auf Auslandsreisen besteht nicht nur die Gefahr, dass Informationen auf technisch komplexem Weg ausgespäht werden können. Oft können schützenswerte Daten auf optischem, akustischem oder elektronischem Weg einfacher ausgespäht werden, da im Ausland häufig nicht die gewohnten Ansprüche an Sicherheitsbestimmungen in Bezug auf die Informationssicherheit gestellt werden können. Dies betrifft z. B. das allgemeine Sicherheitslevel, welches in anderen Ländern vorherrscht, sowie die Gegebenheiten vor Ort, die ein Reisender zwangsläufig nutzen muss.

Hier können z. B. die unverschlüsselte Übertragung von Benutzer-ID und/oder Passwörtern genannt werden, aber auch Gefährdungen wie nicht gesperrte oder leicht einsehbare Bildschirme, worüber ein Angreifer Informationen erlangen kann.

2 2 Offenlegung und Missbrauch schützenswerter Informationen (elektronisch und physisch)

Beim Austausch von Informationen, sowohl beim Versand oder der Übergabe von Datenträgern als auch persönlich oder telefonisch, kommt es immer wieder vor, dass neben den eigentlich gewünschten Informationen auch ungewollt andere schutzbedürftige Informationen übermittelt werden. Dieser Umstand ist auch auf Auslandsreisen gegeben. Hier wird die Kommunikation bzw. der Informationsaustausch durch technisch unsichere Gegebenheiten zum Teil noch erschwert. Zudem kann es vorkommen, dass Geschäftsreisende vertrauliche Dokumente sowohl physischer als auch elektronischer Art in öffentlichen Räumen oder im Hotelzimmer aufgrund von Unachtsamkeit offen einsehbar liegen lassen.

Die Kommunikation mit unbekannten IT-Systemen und Netzen birgt immer ein Gefährdungspotenzial für das eigene Endgerät. So können z. B. auch vertrauliche Informationen, die nicht dazu bestimmt sind, weitergegeben zu werden, mit kopiert werden.

Auf der anderen Seite können fremde Datenträger auch Schadprogramme enthalten. Hier besteht die Gefahr, dass diese wichtige Daten stehlen, manipulieren, verschlüsseln oder vernichten könnten. Ebenso können aber auch Integrität und Verfügbarkeit von IT-Systemen beeinträchtigt werden. Dieser Aspekt wird durch die Tatsache begünstigt, dass ein Datenaustausch im Ausland häufig über unsichere Medien stattfindet. Dieser wichtige Aspekt ist den Mitarbeitern allerdings nicht immer bewusst.

2 3 Unbemerkter Zugriff auf mobile Endgeräte

Mobile Endgeräte wie Notebooks, Smartphones, Tablets oder PDAs sind größtenteils darauf ausgelegt, einen einfachen Datenaustausch mit anderen IT-Systemen zu ermöglichen. Dies kann über ein Verbindungskabel oder auch drahtlos, z. B. über WLAN, Bluetooth oder eine Mobilfunkverbindung, erfolgen. Wo auf Reisen im Ausland ein offener Zugang zu IT-Systemen möglich ist, können Angreifer daher von mobilen Endgeräten unter Umständen Informationen unauffällig abfragen, verändern oder mitnehmen. Eine nachträgliche Überprüfung oder gar ein Nachweis sind nicht immer möglich, da häufig die Zugriffe nicht entsprechend protokolliert werden

2 4 Vortäuschen einer falschen Identität

Im Rahmen von Kommunikation auf Reisen besteht eine erhöhte Gefahr, dass Angreifer sowohl persönlich als auch elektronisch versuchen, eine falsche Identität vorzutäuschen oder eine autorisierte Identität zu übernehmen (technisch z. B. durch Maskerade, Spoofing-Arten, Hijacking, Man-in-the-Middle-Angriffe oder ähnlichem). Hierbei kann der Benutzer über die Identität seines Kommunikationspartners so getäuscht werden, dass er schützenswerte Informationen preisgibt. Eine falsche digitale Identität erlangt er z. B. durch das Ausspähen von Benutzer-ID und Passwort, die Manipulation des Absenderfeldes einer Nachricht oder durch die Manipulation einer Adresse im Netz.

Ausländische Geschäftspartner kennt ein Mitarbeiter nicht immer persönlich. Daher kann es passieren, dass ein Mitarbeiter der ersten Person, die sich mit dem richtigen Namen bzw. Hintergrundwissen vorstellt, Glauben schenkt und dieser wertvolle Informationen weitergibt.

Da die Sicherheitsanforderungen an Vertraulichkeit und Integrität in institutionsfremden, vor allem ausländischen, Gebäuden und Räumen nie vollständig sichergestellt werden kann, besteht auch immer ein Restrisiko, dass sonst selbstverständlich erscheinende Dinge manipuliert sein könnten, wie die Rufnummernanzeige am Telefon oder die Absenderkennung eines Faxabsenders, durch die eine falsche Identität vorgetäuscht und Informationen erlangt werden können.

2 5 Fehlendes Sicherheitsbewusstsein und Sorglosigkeit im Umgang mit Informationen

Häufig ist zu beobachten, dass in Institutionen organisatorische Regelungen und technische Sicherheitsverfahren für tragbare IT-Systeme und mobile Datenträger vorhanden sind, diese jedoch durch den sorglosen Umgang mit den Vorgaben und der Technik wieder ausgehebelt werden. So ist z. B. immer wieder zu beobachten, dass mitgebrachte mobile Datenträger während der Pausen unbeaufsichtigt im Besprechungsraum oder auch im Zugabteil zurückgelassen werden.

Darüber hinaus werden zum Teil Geschenke in Form von Datenträgern, wie z. B. USB-Sticks, von Mitarbeitern angenommen und unüberlegt an das eigene Notebook angeschlossen. Hier besteht dann die Gefahr, dass das Notebook mit Schadsoftware infiziert wird und dadurch schützenswerte Daten gestohlen, manipuliert oder verschlüsselt und damit vorübergehend (siehe 2.7 Nötigung, Erpressung, Entführung und Korruption) unbrauchbar gemacht werden.

In öffentlichen Verkehrsmitteln oder auch während Geschäftsessen ist immer wieder zu beobachten, dass Menschen offene Gespräche über geschäftskritische Informationen führen. Diese können dann von Außenstehenden leicht mitgehört und möglicherweise zum schwerwiegenden Nachteil des Mitarbeiters oder seiner Institution verwendet werden.

2 6 Verstoß gegen lokale Gesetze oder Regelungen

Bei Reisen ins Ausland sind insbesondere abweichende Gesetze und Regularien bzw. zusätzliche Bestimmungen der Zieldestination zu berücksichtigen, da diese von der nationalen Rechtslage schwerwiegend abweichen können. Einschlägige Gesetze und Verordnungen (z. B. zu Datenschutz, Informationspflichten, Haftung, Informationszugriffe für Dritte) des Ziellandes sind Reisenden häufig unbekannt oder werden falsch eingeschätzt. Dadurch kann nicht nur im Aus-, sondern auch im Inland gegen eine Vielzahl von Gesetzen verstoßen werden, beispielsweise wenn im Ausland personenbezogene Daten inländischer Kunden bei einer Auslandsdienstreise ungeschützt über öffentliche Netze übertragen werden.

2 7 Nötigung, Erpressung, Entführung und Korruption

Die Sicherheit von Informationen, aber auch die der Reisenden selber könnte bei Auslandsreisen durch Nötigung, Erpressung und in diesem Zusammenhang auch Entführung beeinträchtigt werden. Im Ausland gelten oft andere Sicherheitsrisiken aufgrund politischer und gesellschaftlicher Umstände. Mitarbeiter könnten in eine Opferrolle gedrängt werden, in der ihnen Gewalt angedroht wird, um sie zur Herausgabe von schützenswerten Daten zu zwingen. Dabei werden sie genötigt, Sicherheitsrichtlinien und -maßnahmen zu umgehen bzw. zu missachten. Im Fokus stehen hierbei oftmals hochrangige Führungskräfte oder Mitarbeiter, die eine besondere Vertrauensstellung genießen.

Angreifer verfolgen vor allem das Ziel, schützenswerte Informationen zu stehlen oder zu manipulieren, um den Ablauf der Geschäftsprozesse zu beeinträchtigen oder sich und andere zu bereichern. Hier spielen vor allem politische, ideologische und wirtschaftliche Ziele der Angreifer eine Rolle.

Neben der Androhung von Gewalt existiert auch die Möglichkeit, Reisenden gezielt Geld oder andere Vorteile anzubieten (Bestechung), um diese zur Herausgabe von vertraulichen Informationen an Unbefugte bzw. zu Sicherheitsverletzungen zu bewegen (Korruption). Generell wird durch Nötigung, Erpressung (in diesem Zusammenhang auch Entführung) und Korruption die Umsetzung der in der Informationssicherheit geltenden Regelungen gestört bzw. gänzlich ausgehebelt.

2 8 Informationen aus unzuverlässiger Quelle/Vortäuschen

Im Rahmen einer Auslandstätigkeit können dem Reisenden absichtlich falsche (irreführende) Informationen zugespielt werden, um diesen zu täuschen. In Folge dieser Täuschung könnten falsche Aussagen in geschäftskritische Berichte eingearbeitet werden. Dies kann unter anderem dazu führen, dass geschäftsrelevante Informationen auf einer falschen Datenbasis beruhen, Berechnungen falsche Ergebnisse liefern und darauf basierend falsche Entscheidungen getroffen werden.

2 9 Beeinträchtigung der IT durch wechselnde Einsatzumgebung

Informationstechnik wird bei Reisen in sehr unterschiedlichen Umgebungen eingesetzt und ist dadurch vielen Gefährdungen ausgesetzt. Dazu gehören z. B. schädigende Umwelteinflüsse, wie zu hohe oder zu niedrige Temperaturen, ebenso wie Staub oder Feuchtigkeit. Zu anderen Problemen, die durch die Mobilität der Geräte entstehen, gehören z. B. Transportschäden.

Zudem führen bei Auslandstätigkeit häufig nicht greifende IT-Betriebsprozesse wie Patch Management, Change Management und Berechtigungsmanagement zu Schwachstellen, die besonders in ungesicherten IT-Netzen im Ausland schnell ausgenutzt werden können.

2 10 Diebstahl oder Verlust von Geräten, Datenträgern und Dokumenten

Insbesondere auf Reisen im Ausland ist damit zu rechnen, dass mobile Endgeräte leicht verloren gehen oder gestohlen werden können. Je kleiner und begehrter diese Geräte sind, desto höher ist dieses Risiko. Neben dem rein materiellen Schaden durch den unmittelbaren Verlust des mobilen Gerätes kann durch die Offenlegung schützenswerter Daten (z. B. E-Mails, Notizen von Besprechungen, Adressen oder sonstige Dokumente) weiterer (finanzieller und/oder Reputations-)Schaden entstehen.

3 Anforderungen

Im Folgenden sind spezifische Anforderungen für den Bereich Informationssicherheit auf Auslandsreisen aufgeführt. Grundsätzlich ist der Informationssicherheitsbeauftragte für die Erfüllung der Anforderungen zuständig. Abweichungen hiervon werden in den entsprechenden Anforderungen gesondert erwähnt.

Außerdem ist der ISB dafür verantwortlich, dass alle Anforderungen gemäß dem festlegten Sicherheitskonzept regelmäßig überprüft werden.

BausteinverantwortlicherInformationssicherheitsbeauftragter (ISB)
Weitere VerantwortlicheBenutzer, Datenschutzbeauftragter, Fachverantwortliche, IT-Betrieb, Notfallbeauftragter, Personalabteilung

3.1 Basis-Anforderungen

Die folgenden Anforderungen MÜSSEN vorrangig umgesetzt werden:

CON.7.A1 Sicherheitsrichtlinie zur Informationssicherheit auf Auslandsreisen

Alle für die Informationssicherheit relevanten Aspekte, die in Verbindung mit den Tätigkeiten im Ausland stehen, MÜSSEN betrachtet und geregelt werden. Anforderungen an die Sicherheitsmaßnahmen, die in diesem Zusammenhang ergriffen werden, MÜSSEN in einer Sicherheitsrichtlinie zur Informationssicherheit auf Auslandsreisen dokumentiert werden. Diese Regelungen und die Sicherheitsrichtlinie für Auslandsreisen, oder ein entsprechendes Merkblatt zur Informationssicherheit auf Auslandsreisen, in dem die zu beachtenden Sicherheitsmaßnahmen erläutert werden, MÜSSEN transnational agierenden Mitarbeitern ausgehändigt werden.

Erweiternd MUSS ein Sicherheitskonzept zum Umgang mit tragbaren IT-Systemen auf Auslandsreisen erstellt und regelmäßig überprüft werden, das alle Sicherheitsanforderungen und -maßnahmen angemessen detailliert beschreibt.

CON.7.A2 Sensibilisierung der Mitarbeiter zur Sicherheitsrichtlinie Informationssicherheit auf Auslandsreisen [IT-Betrieb, Datenschutzbeauftragter]

Benutzer MÜSSEN im verantwortungsvollen Umgang mit Informationstechnik bzw. tragbaren IT-Systemen auf Auslandsreisen geschult und sensibilisiert werden. Insbesondere MÜSSEN ihnen die Gefahren, die durch den unangemessenen Umgang mit Informationen, die unsachgemäße Vernichtung von Daten und Datenträgern, Schadsoftware und unsicheren Datenaustausch entstehen, vermittelt, aber auch die Grenzen der eingesetzten Sicherheitsmaßnahmen aufgezeigt werden. Sie MÜSSEN dazu befähigt und bestärkt werden, bei Ungereimtheiten fachliche Beratung einzuholen bzw. einem Verlust oder Diebstahl vorzubeugen. Außerdem SOLLTEN Mitarbeiter auf gesetzliche Anforderungen einzelner Reiseziele in Bezug auf die Reisesicherheit hingewiesen werden. Hier steht der Informationssicherheitsbeauftragte in der Verantwortung, sich über gesetzliche Anforderungen im Rahmen der Informationssicherheit (z. B. Datenschutz, IT-Sicherheitsgesetz) zu informieren und die Mitarbeiter zu sensibilisieren.

CON.7.A3 Identifikation länderspezifischer Regelungen, Reise- und Umgebungsbedingungen [Personalabteilung]

Vor Reiseantritt MÜSSEN durch das Informationssicherheitsmanagement bzw. die Personalabteilung die jeweils geltenden Regelungen der einzelnen Länder geprüft und an die entsprechenden Mitarbeiter kommuniziert werden.

Die Institution MUSS geeignete Regelungen und Maßnahmen erstellen, umsetzen und kommunizieren, die den angemessenen Schutz unternehmensinterner Daten in Abhängigkeit der individuellen Reise- und Umgebungsbedingung ermöglichen.

Außerdem MUSS sich ein Mitarbeiter vor Reiseantritt mit den klimatischen Bedingungen des Reiseziels auseinandersetzen und abklären, welche Schutzmaßnahmen er für sich (z. B. Impfungen) und die mitgeführte Informationstechnik benötigt.

CON.7.A4 Verwendung von Sichtschutz-Folien [Benutzer]

Benutzer MÜSSEN insbesondere im Ausland darauf achten, dass z. B. bei der Arbeit mit dem Notebook keine schützenswerten Informationen erspäht werden können. Dazu MUSS auf allen mobilen IT-Systemen ein angemessener Sichtschutz verwendet werden, der den gesamten Bildschirm des jeweiligen Gerätes, also Notebooks, Tablets oder Smartphones umfasst und ein Ausspähen von Informationen erschwert.

CON.7.A5 Verwendung der Bildschirm-/Code-Sperre [Benutzer]

Durch die Verwendung einer Bildschirm-/Code-Sperre wird verhindert, dass Dritte auf Daten auf mobilen Endgeräten, wie z. B. Notebooks oder Mobiltelefonen zugreifen können. Eine entsprechende Sperrmöglichkeit MUSS verwendet werden. Der Benutzer MUSS dazu einen angemessenen Code bzw. ein sicheres Gerätepasswort verwenden. Die Bildschirmsperre MUSS sich nach einer kurzen Zeit der Inaktivität automatisch aktivieren.

CON.7.A6 Zeitnahe Verlustmeldung [Benutzer, Notfallbeauftragter]

Mitarbeiter MÜSSEN ihrer Institution umgehend melden, wenn Informationen, IT-Systeme oder Datenträger verloren oder gestohlen wurden. Hierfür MUSS es klare Meldewege und Ansprechpartner innerhalb der Institution geben. Die Institution MUSS die möglichen Auswirkungen des Verlustes bewerten und geeignete Gegenmaßnahmen ergreifen.

CON.7.A7 Sicherer Remote-Zugriff [IT-Betrieb, Benutzer]

Um Mitarbeitern auf Auslandsreisen einen sicheren Fernzugriff auf das Netz der Institution zu ermöglichen, MUSS zuvor ein sicherer Remote-Zugang, z.B. via VPN, durch den IT-Betrieb eingerichtet worden sein. Der VPN-Zugang MUSS kryptographisch abgesichert sein. Außerdem MÜSSEN Benutzer über angemessen sichere Zugangsdaten verfügen, um sich gegenüber Endgerät und dem Netz erfolgreich zu authentisieren. Mitarbeiter MÜSSEN den sicheren Remote-Zugriff für jegliche darüber mögliche Kommunikation nutzen. Es MUSS sichergestellt werden, dass nur autorisierte Personen auf IT-Systeme zugreifen dürfen, die über einen Fernzugriff verfügen. Mobile IT-Systeme MÜSSEN im Rahmen der Möglichkeiten vor dem direkten Anschluss an das Internet durch eine restriktiv konfigurierte Personal Firewall geschützt werden.

CON.7.A8 Sichere Nutzung von öffentlichen WLANs [Benutzer]

Grundsätzlich MUSS geregelt werden, ob mobile IT-Systeme direkt auf das Internet zugreifen dürfen.

Der Zugriff auf das Netz der Institution über öffentlich zugängliche WLANs MUSS über ein Virtual Private Network (VPN) oder vergleichbare Sicherheitsmechanismen realisiert sein (siehe CON.6.A7 Sicherer Remote-Zugriff). Die sichere Nutzung von WLANs ist im Baustein NET.2.2 WLAN-Nutzung beschrieben, die Nutzung von WLAN-Hotspots MUSS ebenfalls abgesichert sein und ist im Baustein INF.10 Mobiler Arbeitsplatz beschrieben.

CON.7.A9 Sicherer Umgang mit mobilen Datenträgern [Benutzer]

Vor der Verwendung mobiler Datenträger MUSS überprüft werden, dass diese nicht mit Schadsoftware infiziert sind. Vor der Weitergabe mobiler Datenträger MUSS sichergestellt werden, dass keine schützenswerten Informationen darauf enthalten sind. Nach der Verwendung MUSS der Datenträger, insbesondere wenn dieser an andere weitergegeben wird, sicher gelöscht werden. Dazu MUSS der Datenträger mit einem in der Institution festgelegten, ausreichend sicheren Verfahren überschrieben werden.

CON.7.A10 Verschlüsselung tragbarer IT-Systeme und Datenträger [Benutzer, IT-Betrieb]

Damit schützenswerte Informationen nicht durch unberechtigte Dritte eingesehen werden können, MUSS vor Reiseantritt durch den Mitarbeiter sichergestellt werden, dass alle schützenswerten Informationen entsprechend den internen Richtlinien abgesichert sind. Mobile Datenträger und Clients SOLLTEN dabei vor Reiseantritt verschlüsselt werden. Die kryptographischen Schlüssel MÜSSEN getrennt vom verschlüsselten Gerät aufbewahrt werden. Bei der Verschlüsselung von Daten SOLLTEN die gesetzlichen Regelungen des Ziellandes beachtet werden, dies betrifft insbesondere landesspezifische Gesetze zur Herausgabe von Passwörtern und zur Entschlüsselung von Daten.

CON.7.A11 Einsatz von Diebstahl-Sicherungen [Benutzer]

Zum Schutz der mobilen IT-Systeme außerhalb der Institution SOLLTEN Diebstahl-Sicherungen eingesetzt werden, vor allem an den Orten, an denen ein erhöhter Publikumsverkehr herrscht oder die Fluktuation von Benutzern sehr hoch ist. Die Beschaffungs- und Einsatzkriterien für Diebstahl-Sicherungen SOLLTEN an die Prozesse der Institution angepasst und dokumentiert werden.

CON.7.A12 Sicheres Vernichten von schutzbedürftigen Materialien und Dokumenten [Benutzer]

Insbesondere im Ausland können Dokumente und andere schutzbedürftige Datenträger nicht immer sicher entsorgt werden. Die Institution MUSS den Mitarbeitern Möglichkeiten aufzeigen, geschäftskritische Dokumente angemessen zu vernichten. Die Mitarbeiter MÜSSEN diese einhalten und DÜRFEN interne Unterlagen der Institution NICHT öffentlich entsorgen. Ist dies vor Ort nicht möglich oder handelt es sich um Dokumente bzw. Datenträger mit besonders schützenswerten Informationen, so MÜSSEN diese bis zur Rückkehr behalten und anschließend angemessen vernichtet werden.

3.2 Standard-Anforderungen

Gemeinsam mit den Basis-Anforderungen entsprechen die folgenden Anforderungen dem Stand der Technik im Bereich Informationssicherheit auf Auslandsreisen. Sie SOLLTEN grundsätzlich umgesetzt werden.

CON.7.A13 Mitnahme von Daten und Datenträgern [IT-Betrieb, Benutzer]

Vor Reiseantritt SOLLTE geprüft werden, welche Daten während der Reise nicht unbedingt auf den mitgenommenen IT-Systemen, wie dem Notebook, Tablet oder Smartphone, gebraucht werden. Ist es nicht notwendig, diese Daten auf den Geräten zu belassen, SOLLTEN diese physisch gelöscht werden (siehe CON.6.A9 Sicheres Löschen der Informationen auf Datenträgern). Ergibt sich allerdings die Notwendigkeit, schützenswerte Daten mit auf Reisen zu nehmen, SOLLTE dies nur in verschlüsselter Form erfolgen.

Darüber hinaus SOLLTE schriftlich geregelt sein, welche mobilen Datenträger auf Auslandsreisen mitgenommen werden dürfen und welche Sicherheitsmaßnahmen dabei zu berücksichtigen sind (z. B. Schutz vor Schadsoftware, Verschlüsselung geschäftskritischer Daten, Aufbewahrung mobiler Datenträger). Die Mitarbeiter SOLLTEN diese Regelungen vor Reiseantritt kennen und beachten (siehe u.a. CON.6.A12 Verschlüsselung tragbarer IT-Systeme und Datenträger).

Diese sicherheitstechnischen Anforderungen richten sich nach dem Schutzbedarf der zu bearbeitenden Daten im Ausland und der Daten, auf die zugegriffen werden soll.

CON.7.A14 Kryptographisch abgesicherte E-Mail-Kommunikation [Benutzer, IT-Betrieb]

Bei der E-Mail-basierten Kommunikation SOLLTE der Mitarbeiter diese entsprechend den internen Vorgaben der Institution kryptographisch absichern.

Bei Kommunikation über E-Mail-Dienste, z. B. Webmail, SOLLTE durch die Institution vorab geklärt werden, welche Sicherheitsmechanismen beim Provider umgesetzt werden und ob damit die internen Sicherheitsanforderungen erfüllt werden. Hierzu zählen z. B. der sichere Betrieb der Server, Aufbau einer verschlüsselten Verbindung und Dauer der Datenspeicherung. Die E-Mails SOLLTEN ebenfalls geeignet verschlüsselt bzw. digital signiert werden. Öffentliche IT-Systeme, etwa in Hotels oder Internetcafés, SOLLTEN nicht für den Zugriff auf E-Mails genutzt werden.

3.3 Anforderungen bei erhöhtem Schutzbedarf

Im Folgenden sind exemplarische Vorschläge für Anforderungen aufgeführt, die über das dem Stand der Technik entsprechende Schutzniveau hinausgehen und BEI ERHÖHTEM SCHUTZBEDARF in Betracht gezogen werden SOLLTEN. Die konkrete Festlegung erfolgt im Rahmen einer Risikoanalyse. Die jeweils in Klammern angegebenen Buchstaben zeigen an, welche Grundwerte durch die Anforderung vorrangig geschützt werden (C = Vertraulichkeit, I = Integrität, A = Verfügbarkeit).

CON.7.A15 Abstrahlsicherheit tragbarer IT-Systeme [IT-Betrieb](C)

Es SOLLTE vor Beginn der Reise festgelegt werden, welchen Schutzbedarf die einzelnen Informationen haben, die auf dem mobilen Datenträger bzw. Client des Mitarbeiters im Ausland verarbeitet werden. Informationstragende oder auch bloßstellende Abstrahlung dieser Datenträger und Clients kann von anderen empfangen bzw. abgefangen werden, sodass Informationen rekonstruiert und die Vertraulichkeit dieser Daten in Frage gestellt werden können. Die Institution SOLLTE hier prüfen, ob ein solcher Schutzbedarf für vertrauliche Informationen vorliegt, und entsprechend abstrahlarme bzw. -sichere Datenträger und Clients einsetzen.

CON.7.A16 Integritätsschutz durch Check-Summen oder digitale Signaturen(I)

Check-Summen SOLLTEN im Rahmen der Datenübertragung oder auch Datensicherung verwendet werden, um die Integrität der Daten überprüfen zu können. Besser noch SOLLTEN digitale Signaturen verwendet werden, um die Vertraulichkeit und Integrität von schützenswerten Informationen zu bewahren.

CON.7.A17 Verwendung dedizierter Reise-Hardware [IT-Betrieb](CIA)

Zur Verhinderung des unberechtigten Abflusses schützenswerter Informationen der Institution auf Auslandsreisen (z. B. bei der Einreise oder der Ausreise) SOLLTE dem Mitarbeiter vorkonfigurierte Reise-Hardware zur Verfügung gestellt werden. Diese Reise-Hardware SOLLTE auf Basis des Minimalprinzips nur die Funktionen und Informationen zur Verfügung stellen, die zur Durchführung der Geschäftstätigkeit unbedingt erforderlich sind.

CON.7.A18 Eingeschränkte Berechtigungen auf Auslandsreisen [IT-Betrieb, Fachverantwortliche](CI)

Vor Reiseantritt SOLLTE der Fachverantwortliche für das Sicherheitsmanagements der Institution prüfen, welche Berechtigungen der Mitarbeiter wirklich braucht, um seinem Alltagsgeschäft im Ausland nachgehen zu können. Dabei SOLLTE geprüft werden, ob Zugriffsrechte für die Reisedauer des Benutzers entzogen werden können, um einen unbefugten Zugriff auf zu verhindern.

4 Weiterführende Informationen

4.1 Literatur

Weiterführende Informationen zu Gefährdungen und Sicherheitsmaßnahmen im Bereich "Informationssicherheit auf Auslandsreisen" finden sich unter anderem in folgenden Veröffentlichungen:

5 Anlage: Kreuzreferenztabelle zu elementaren Gefährdungen

Die folgenden elementaren Gefährdungen sind für den Baustein "Informationssicherheit auf Auslandsreisen" von Bedeutung.

  • G 0.14 Ausspähen von Informationen (Spionage)
  • G 0.15 Abhören
  • G 0.16 Diebstahl von Geräten, Datenträgern oder Dokumenten
  • G 0.17 Verlust von Geräten, Datenträgern oder Dokumenten
  • G 0.18 Fehlplanung oder fehlende Anpassung
  • G 0.19 Offenlegung schützenswerter Informationen
  • G 0.20 Informationen oder Produkte aus unzuverlässiger Quelle
  • G 0.29 Verstoß gegen Gesetze oder Regelungen
  • G 0.30 Unberechtigte Nutzung oder Administration von Geräten und Systemen
  • G 0.31 Fehlerhafte Nutzung oder Administration von Geräten und Systemen
  • G 0.35 Nötigung, Erpressung oder Korruption
  • G 0.36 Identitätsdiebstahl
  • G 0.39 Schadprogramme
  • G 0.42 Social Engineering
  • G 0.45 Datenverlust
  • G 0.46 Integritätsverlust schützenswerter Informationen

Die Kreuzreferenztabellen finden Sie aufgrund ihres Umfangs im Downloadbereich.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK