Table Of ContentGUnther Cyranek und Kurt Bauknecht (Hrsg.)
Sicherheitsrisiko Informationstechnik
DUD-Fachbeitrage
herausgegeben von Karl Rihaczek, Paul Schmitz, Herbert Meister
1 Karl Riheczek 10 Hans-Albert Lennartz
Datenschutzt und Datenschutz und
Kommunikationssysteme Wissenschaftsfreiheit
2 Einheitliche Hohere Kommunika- 11 Martin Schrempf
tionsprotokolle - Schicht 4 Datenschutz bei TEMEX
Hrsg.: Bundesministerium des
12 JUrgen W. Groebel, JUrgen Scheller
Innern
Elektronische Unterschiftsver-
3 Einheitliche Hohere Kommunika- fahren in der Telekommunikation
tionsprotokolle - Schichten 5 und 6
13 Ulrich Pordesch, Volker Hammer,
Hrsg.: Bundesministerium des
Alexander Roftnagel
Innern
PrOfung des rechtsgemiiBen
4 Helmut Hofer Betriebs von ISDN-Anlagen
Erfordernisse der Personaldaten-
14 Hans-JUrgen Seelos
verarbeitung in Unternehmen
Informationssysteme und
5 Ulrich von Petersdorff Datenschutz im Krankenhaus
Medienfunktionen und
15 Heinzpeter Holler
Fernmeldewesen
Kommunikationssysteme -
6 Karl Rihaczek Normung und soziale Akzeptanz
DatenverschlOsselung in
16 Gerhard Weck und
Kommunikationssystemen
Patrick Horster (Hrsg.)
7 Erwin Grochla, Helmut Weber, VerliiBliche Informationssysteme
Thomas Werhahn Proceedings der GI-Fachtagung
Kosten des Datenschutzes in der VIS'93
Unternehmung
17 Hans-Albert Lennartz
8 Franz-Peter Heider, Detlef Kraus, Rechtliche Steuerung informa-
Michael Welschenbach tionstechnischer Systeme
Mathematische Methoden der
18 Georg Erwin Thaller
Kryptoanalyse
Computersicherheit
9 Armin Herb
19 GUnther Cyranek,
Verweisungsfehler im
Kurt Bauknecht (Hrsg.)
Datenschutz-
Sicherheitsrisiko
Strafrecht
Informationstechnik
Gunther Cyranek und Kurt Bauknecht (Hrsg.)
Sicherheitsrisiko
Informationstechnik
Analysen, Empfeblungen, MaBnahmen
in Staat und Wirtschaft
Die Deutsche Bibliothek - CIP-Einheitsaufnahme
Sicherheitsrisiko Iolormatioutechnik: Analysen,
Empfehlungen, MaBnahmen in Staat und Wirtschaft 1
GUnther Cyranek und Kurt Bauknecht (Hrsg.). -
Braunschweig, Wiesbaden: Vieweg, 1994
(DuD-Fachbeitrlige; 19)
NE: Cyranek, GUnther [Hrsg.]; GT
Aile Rechte vorbehalten
© Friedr. Vieweg & Sohn Verlagsgesellschaft mbH, BraunschweigIWiesbaden, 1994
Softcover reprint of the hardcover 1st edition 1994
Der Verlag Vieweg ist ein Unternehmen der Verlagsgruppe Bertelsmann International.
Das Werk einschlieBlich aller seiner Teile ist urheberrechtlich
geschUtzt. Jede Verwertung auBerhalb der engen Grenzen des Ur
heberrechtsgesetzes ist ohne Zustimmung des Verlags unzullissig
und strafbar. Das gilt insbesondere fUr Vervieifliltigungen, Uberset
zungen, Mikroverfilmungen und die Einspeicherung und Verarbei
tung in elektronischen Systemen.
ISBN-13: 978-3-528-05295-9 e-ISBN-13: 978-3-322-86213-6
DOl: 10.1007/978-3-322-86213-6
v
Vorwort
Der vorliegende Band zum Sicherheitsrisiko Informationstechnik und damit zur
Informatiksicherheit spiegelt Positionen aus Deutschland und der Schweiz
wider. Die zunehmende Bedeutung der Informatiksicherheit und die notwendige
Sensibilisierung fUr Risiken der Informationstechnik bei fortschreitender Ver
netzung in Staat und Wirtschaft wird von allen Autoren unterstrichen. Deshalb
ist es ein Anliegen dieses Bandes, einerseits auf Analysen, MaBnahmen und
Empfehlungen hinsichtlich Informatiksicherheit hinzuweisen sowie methodi
sche Ansatze vorzustellen, die sich in der Unternehmenspraxis bewabren. Ande
rerseits ist ftir eine Orientierung tiber staatliche Aktivitaten von Bedeutung, z.B.
welche Prioritaten vom Bundesamt flir InJormatik in der Schweiz oder in
Deutschland vom Bundesamt flir Sicherheit in der InJormationstechnik einge
raumt werden.
Zentrale Themen mit Blick auf Staat und Wirtschaft sind deshalb Verletzlich
keit der Informationsgesellschaft, Informatiksicherheit und Bedrohungspoten
tial, Technikfolgenabschatzung, Umsetzung von Sicherheitsstandards in Unter
nehmen sowie Datenschutz und die Konsequenzen fur Datensicherheit.
Die meisten der Autoren des vorliegenden Bandes waren an Workshops und Ta
gungen zur Informatiksicherheit am Gottlieb-Duttweiler-Institut in Rtischlikon
beteiligt. Aus der Bedeutung der Beitrage ist die Anregung erwachsen, diese
Buchpublikation vorzulegen. Wir mochten uns an dieser Stelle bei den Autoren
fUr ihr Engagement bedanken. Dariiber hinaus danken wir Andreas Schmitter
ftir seine Layout-Unterstiitzung sowie Reinald Klockenbusch vom Verlag fur
seine Anregungen, dieses Buchprojekt umzusetzen.
Gtinther Cyranek
Kurt Bauknecht Ztirich, im Marz 1994
VII
Inhaltsverzeichnis
Vorwort ............................................................................................................... v
I. Einfiihrung
Informationstechnik als Risikopotential der Informations
gesellschaft: Erfahrungen der Anwender
Gunther Cyranek, Zurich ..................................................................................... 3
II. Sicherheit und Bedrohungspotential
Uber die Verletzlichkeit der InformationsgeseUschaft
Klaus Brunnstein, Hamburg ............................................................................... 11
Sicherheitskonzepte fur »offene« IT -Anwendungen
Eckart Raublod, Darmstadt ................................................................................ 35
Hacking als Grenzuberschreitung
Frank Simon, Oldenburg .................................................................................... 45
Technikfolgenabschatzung zur Sicherheit der Informationstechnik
Gunther Cyranek, Zurich ................................................................................... 53
VIII Inhaltsverzeichnis
III. Informationssicherheit in Unternehmen
Infonnationssicherheit: Bedeutung und Durchsetzung von
Sicherheitsstandards im Untemehmen
Daniel von Stockar, Winterthur ......................................................................... 75
Durchsetzung von Sicherheitsstandards in einer Grossbank
Walter Widmer, Zurich ...................................................................................... 99
Erfahrungen aos der Arbeit eines Sicherheitsberaters
Peter Popp, Landschlacht ................................................................................. l 09
Sicherheit in der Infonnationstechnik: Risikoanalyse in der Praxis
Erhard Berger, Zurich ...................................................................................... 123
Methodische Infonnatik-Sicherheitsanalyse und Massnahmen
planung mit MARION
Adolf Dorig und Herbert Tomaschett, Zurich ................................................. 127
IV. Staatliche Massnahmen zur Sicherheit in der
Informationstechnik und das juristische Umfeld
Neue AufgabensteUungen des Bundesamtes fiir Sicherheit in der
Infonnationstechnik
Heinrich Kersten, Bonn .................................................................................... 141
Die Infonnatik-Sicherheit in der otTentlichen Verwaltung - Der
Weg zu angemessenen Sicherheitsmassnahmen
Bernhard Schmid, Bern .................................................................................... 153
Datenschutz und seine Konsequenzen ffir die Datensicherheit - mit
schweizerischen Beispielen
Carl August Zehnder, Zurich ........................................................................... 171
Aus der praktischen Arbeit eines Datenschutzbeauftragten
Urs Belser, Bern ............................................................................................... 191
Autorenverzeichnis .......................................................................................... 203
Teil I
Einfiihrung
3
Informationstechnik als Risikopotential
der Informationsgesellschaft:
Erfahrungen der Anwender
GUNTHER CYRANEK
I. Einfiihrung
Diese Einfuhrung will Ihnen die Orientierung fur die folgenden drei Kapitel er
leichtem. Dabei werden die einzelnen Beitrage mit ihren zentralen Aussagen
kurz vorgestellt.
II. Sicherheit und Bedrohungspotentiai
Ausgehend von Umfragen, Statistiken und Fallstudien zeigt Klaus Brunnstein
Schwerpunkte der Verletzlichkeit der Informationsgesellschaft auf. Risiken der
Informations- und Kommunikationstechniken liegen fur ihn hiiufig bereits in
der Systemanalyse und in den Softwareprodukten selbst begriindet. Wie Un
tersuchungen belegen, sind mindestens ein Viertel aller »Computer-Unfalle« auf
Softwarefehler zuriickzufiihren. Entgegen einem 6ffentlichen Vorurteil sind
dagegen Schiiden durch Hacker wesentlich geringer einzustufen als diejenigen
Schadensereignisse, die z.B. von leitenden MitarbeiterInnen in Untemehmen
selbst verursacht werden.
In Abhiingigkeit von der Uberlebenszeit eines Untemehmens beim Rechneraus
fall skizziert Brunnstein Vorgehensweisen fur den Notfall und veranschaulicht
branchenspezifische »Bremsspuren«, also die Nachwirkungen von Rechneraus
fallen in Industrie, Banken und Versicherungen. Er vertritt die These, daB
bereits in der von Neumann-Architektur heutiger Rechnersysteme die Risiken
4 Gunther Cyranek
der Informatiksicherheit angelegt sind. Eine pragmatische Risikoanalyse ist des
halb aus seiner Sieht umso dringlicher.
Sicherheitsprobleme bei »offenen« IT-Anwendungen analysiert Eckart Raubold.
Da aus seiner Sieht die bisher dominierenden Hinderungsfaktoren fur »offene«
Systeme wie Software-Portabilitlit und Kommunikations-Kompatibilitlit, Netz
erreichbarkeit und Rechner-Zuganglichkeit in Zukunft wegfallen, bieibt als ent
scheidende Hinderungsschwelle fur die Entwicklung, Bereitstellung und Nut
zung »offener« IT-Anwendungen das Sicherheitsproblem ubrig. Anhand eines
Bedrohungs-Modells werden Sicherungskonzepte zur Abwehr von Angriffen in
»offenen« Systemen durchgespielt, aber auch konkrete Realisierungsschritte
aufgezeigt.
Uber die Griindungsgeschichte und heutige Zielsetzung des Chaos Computer
Clubs (CCC), ein Verfechter »offener« Systeme, berichtet Frank Simon. Danach
versteht sich der CCC heute als Schnittstelle zwischen Hackem und BehOrden
bzw. Untemehmen. Der besondere Reiz des CCC geht von der Mischung aus
technik-kritischen und technik-begeisterten Menschen aus, die sieh als Hacker
und Datenreisende im »global village« verstehen. Er schildert Beispiele, wie die
Erfahrungen des CCC konstruktiv in verbesserte SicherheitsmaBnahmen umge
setzt werden konnten. Dabei kritisiert er die triigerische Sicherheit, die von stan
dardisierten Sicherheitskriterien ausgeht, da dabei der Faktor »Mensch« ebenso
unberiicksichtigt bleibt wie z.B. die organisatorische Einbettung der Systeman
wendung oder das gesellschaftliche Technikfolgenpptential. Er unterstreicht die
Notwendigkeit einer Technikfolgenabschlitzung gerade im Bereich der Sicher
heit der Informationstechnik, da durch ihren Einsatz nicht nur vorhandene
Strukturen verandert, sondem auch neue erst geschaffen werden.
Ideen und Erfahrungen zur Technikfolgenabschlitzung (T A) der Informatiksi
cherheit stellt Gunther Cyranek vor. Ausgehend von Datenschutz und Datensi
cherheit wird TA als Methode im praktischen Umfeld der IT-Anwendungen
vorgestellt, urn die Risiken der Informationsgesellschaft u.a. hinsichtlich IT-Si
cherheit zu minimieren. Dabei sind nicht nur technische oder technisch-organi
satorische Faktoren zu beriicksichtigen, sondem auch gesellschaftliche, rechtli
che, wirtschaftliehe und 6kologische. Abschliessend werden Themenschwer
punkte fur Diskursprojekte zur IT-Sicherheit skizziert.
III. Informationssicherheit in Unternehmen
Die historische Entwicklung der Computersicherheit zeichnet Daniel von
Stockar nacho Der in Zukunft vermehrt genutzte elektronische Datenaustausch
