Xinux Wiki - Letzte Änderungen [de]

Lenovo

2026-09-08T17:22:34Z

Die Seite wurde neu angelegt: „;Akkustand *upower -i /org/freedesktop/UPower/devices/battery_BAT0“

Neue Seite

;Akkustand
*upower -i /org/freedesktop/UPower/devices/battery_BAT0

Notebooks

2026-09-08T17:22:15Z

Schulungen

2026-09-08T16:00:20Z

Wazuh aufsetzen

2026-09-08T11:09:29Z

Festplatte vergrösseren

Industrie 4.0 (Sicherheit vernetzter Systeme)

2026-09-07T13:06:55Z

Industrie 4.0 – Sicherheit vernetzter Produktionssysteme

Cyber Security II. Netzplan

2026-09-07T08:37:04Z

Datei:Cybersec-2.2-plan.drawio.png

2026-09-07T08:36:46Z

Thomas.will lud eine neue Version von Datei:Cybersec-2.2-plan.drawio.png hoch

Neue Seite

Datei:Cybersec-2.1-plan.drawio.png

2026-09-07T08:36:13Z

Thomas.will lud eine neue Version von Datei:Cybersec-2.1-plan.drawio.png hoch

Neue Seite

Datei:Cybersec-2.1-plan.drawio.png

2026-09-07T08:35:41Z

Thomas.will lud eine neue Version von Datei:Cybersec-2.1-plan.drawio.png hoch

Neue Seite

Datei:Cybersec-2.1-plan.drawio.png

2026-09-07T08:34:54Z

Thomas.will lud eine neue Version von Datei:Cybersec-2.1-plan.drawio.png hoch

Neue Seite

MQTT Projekt

2026-09-07T08:19:56Z

Cyber Security II. Punkte

2026-09-07T06:38:10Z

Cyber Security II.

2026-09-07T06:29:29Z

Aktueller Kurs: Etherpad

Programmiersprachen

2026-09-07T05:14:13Z

Datei:Programmers.png

2026-09-07T05:13:58Z

Thomas.will lud Datei:Programmers.png hoch

Neue Seite

Programmiersprachen

2026-09-07T05:13:43Z

Verantwortung

2026-09-06T16:13:19Z

Datei:Waf1.drawio.png

2026-09-06T15:19:40Z

Thomas.will lud eine neue Version von Datei:Waf1.drawio.png hoch

Neue Seite

Identitätsbasierter Zugriff und Profilerstellung

2026-09-06T15:18:45Z

Datei:Scanner-pentest-02.drawio.png

2026-09-06T13:19:08Z

Thomas.will lud Datei:Scanner-pentest-02.drawio.png hoch

Neue Seite

Datei:Scanner-pentest-01.drawio.png

2026-09-06T13:18:46Z

Thomas.will lud Datei:Scanner-pentest-01.drawio.png hoch

Neue Seite

Abgrenzung zum Penetration Test

2026-09-06T13:18:00Z

Die Seite wurde neu angelegt: „= Security Scanner und Penetrationstest = *Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht. =…“

Neue Seite

= Security Scanner und Penetrationstest =

*Beide Verfahren suchen Schwachstellen. Sie beantworten aber unterschiedliche Fragen und ersetzen einander nicht.

== Was der Scanner beantwortet ==
{{#drawio:scanner-pentest-01}}
*Der Scanner ermittelt, welches Produkt in welcher Version hinter einem offenen Port läuft, und schlägt in seiner Datenbank nach, ob dazu Schwachstellen bekannt sind.
*Seine Aussage lautet: hier '''könnte''' etwas sein.
*Ob die Schwachstelle in dieser konkreten Umgebung tatsächlich ausnutzbar ist, prüft er nicht.
*Daraus entstehen Falschmeldungen (''False Positives''): gemeldete Schwachstellen, die im vorliegenden Aufbau ins Leere laufen.
*Ebenso entstehen Lücken in der Erkennung (''False Negatives''): der Scanner findet nur, was in seiner Datenbank steht.

== Was der Penetrationstest beantwortet ==
{{#drawio:scanner-pentest-02}}
*Beim Penetrationstest wird die Schwachstelle tatsächlich ausgenutzt.
*Die Aussage lautet: hier '''ist''' etwas, und ich bin hineingekommen — mit Nachweis.
*Geprüft wird nicht nur die einzelne Lücke, sondern auch die Verkettung mehrerer für sich harmloser Schwächen.
*Gefunden werden dabei auch Fehler, die in keiner Datenbank stehen: Logikfehler in der Anwendung, fehlerhafte Berechtigungsprüfungen, unsaubere Abläufe im Geschäftsprozess.

== Gegenüberstellung ==
{| class="wikitable"
! !! Security Scanner !! Penetrationstest
|-
| Frage || Ist etwas bekannt Verwundbares vorhanden? || Lässt es sich ausnutzen?
|-
| Ablauf || automatisiert || überwiegend manuell
|-
| Umfang || flächendeckend, alle Systeme || punktuell, ausgewählte Ziele
|-
| Häufigkeit || regelmäßig, z. B. wöchentlich || einmalig oder jährlich
|-
| Grundlage || Datenbank bekannter Schwachstellen || Kenntnis und Erfahrung des Testers
|-
| Ergebnis || lange Liste mit Bewertung || wenige belegte Befunde mit Nachweis
|-
| Fehlerarten || Falschmeldungen und Erkennungslücken || abhängig vom Können des Testers
|-
| Aufwand || gering, nach Einrichtung fast keiner || hoch, Personentage
|-
| Findet Logikfehler || nein || ja
|-
| Beauftragung || auf eigenen Systemen nicht erforderlich || schriftliche Beauftragung zwingend
|}

== Rechtliche Einordnung ==
*Ein Penetrationstest ohne schriftliche Beauftragung des Systembetreibers ist strafbar.
*Die Beauftragung legt fest: Ziele, Zeitraum, erlaubte Verfahren, Ansprechpartner und das Vorgehen bei einem gefundenen kritischen Befund.
*Bei fremdgehosteten Systemen ist zusätzlich die Zustimmung des Betreibers erforderlich.
*Auch ein Scan gegen fremde Systeme ist ohne Erlaubnis nicht zulässig.

== Zusammenspiel in der Praxis ==
*Der Scanner läuft dauerhaft und hält den Grundzustand sauber: fehlende Patches, veraltete Dienste, unsichere Konfigurationen.
*Der Penetrationstest prüft in größeren Abständen, ob die verbliebenen Schwächen zusammen einen Weg ins System ergeben.
*Ein Penetrationstest auf einem System, das nie gescannt wurde, verbringt seine Zeit mit dem Auflisten fehlender Patches — dafür ist er zu teuer.
*Werkzeuge lassen sich nicht eindeutig zuordnen: OWASP ZAP ist im automatischen Scan ein Scanner, im Proxy-Betrieb mit manuellem Nachfassen ein Werkzeug für den Penetrationstest.

== Kernaussage ==
*Der Scanner prüft Bekanntes flächendeckend.
*Der Penetrationstest prüft die Ausnutzbarkeit punktuell.
*Keines der beiden Verfahren ersetzt das andere.

Cyber Security II.

2026-09-06T13:17:31Z

Todo

Vulnerability Scanner Ablauf

2026-09-06T13:10:42Z

Cipher Suits check gegen BSI und weitere Vorgaben

Team zur Reaktion auf Computersicherheitsvorfälle

2026-09-06T13:06:11Z

Informationssicherheits-Managementsysteme (ISMS) Praxis

2026-09-06T13:02:15Z

Informationssicherheits-Managementsysteme (ISMS) Theorie

2026-09-06T13:00:33Z

Die Seite wurde neu angelegt: „= Informationssicherheits-Managementsysteme (ISMS) Theorie = == Was ein ISMS ist == *Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verf…“

Neue Seite

= Informationssicherheits-Managementsysteme (ISMS) Theorie =

== Was ein ISMS ist ==
*Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verfahren.
*Es beantwortet vier Fragen dauerhaft und nachvollziehbar:
**Was haben wir? (Systeme, Anwendungen, Daten)
**Was kann passieren? (Gefährdungen)
**Was tun wir dagegen? (Maßnahmen)
**Woher wissen wir, dass es noch stimmt? (Prüfung und Nachbesserung)
*Der Unterschied zu "wir machen ja Sicherheit" ist die Nachvollziehbarkeit: Entscheidungen sind schriftlich festgehalten und mit Datum und Verantwortlichem versehen.
*Technische Maßnahmen bleiben dieselben — Firewall, Patchen, Logging. Das ISMS sorgt dafür, dass sie vollständig, begründet und überprüfbar sind.

== Wer ein ISMS braucht und warum ==
;Gesetzlich verpflichtet
*Betreiber kritischer Anlagen (KRITIS) und die von NIS2 erfassten Einrichtungen.
*Das NIS2-Umsetzungsgesetz gilt seit dem 06.12.2025 ohne Übergangsfrist und betrifft rund 29.000 Unternehmen in Deutschland.
*Die Geschäftsleitung haftet persönlich und muss selbst regelmäßig geschult werden.
;Vertraglich verpflichtet
*Zulieferer und Dienstleister großer Kunden.
*Ausschreibungen und Lieferantenfragebögen verlangen belastbare Angaben zum Sicherheitsstand.
*Ohne Nachweis fällt man aus dem Verfahren, unabhängig vom tatsächlichen Sicherheitsniveau.
;Freiwillig
*Unternehmen, die Ordnung in eine gewachsene Umgebung bringen wollen.
*Unternehmen, die nach einem Vorfall zeigen müssen, dass sie das Thema im Griff haben.
;Der praktische Nutzen
*Eine vollständige Liste dessen, was man betreibt — die es erfahrungsgemäß vorher nicht gibt.
*Eine begründete Liste der offenen Punkte, mit der man Budget beantragen kann.
*Ein Nachweis nach außen.
*Entlastung im Schadensfall: dokumentierte, terminierte offene Punkte sind etwas anderes als Unwissenheit.

== Funktionsweise ==
*Ein ISMS läuft als Kreislauf, nicht als einmaliges Projekt (PDCA-Zyklus).
**Plan: Geltungsbereich festlegen, Werte erfassen, Risiken bewerten, Maßnahmen auswählen.
**Do: Maßnahmen umsetzen, Verantwortliche und Termine festlegen.
**Check: prüfen, ob die Maßnahmen umgesetzt sind und wirken (interne Audits, Messungen).
**Act: nachbessern, Erkenntnisse zurück in die Planung geben.
*PDCA (''Plan-Do-Check-Act''): Regelkreis für ständige Verbesserung, in allen Managementsystem-Normen identisch.
*Der Kreislauf läuft mindestens jährlich, zusätzlich nach jeder größeren Änderung und nach jedem Sicherheitsvorfall.

== Die Landschaft: was es gibt und was was ist ==

=== Der wichtigste Satz vorweg ===
*Das Gesetz fordert den Nachweis.
*Die Norm liefert die Methode.
*Der IT-Grundschutz liefert zusätzlich die fertige Maßnahmenliste.
*Diese drei Ebenen werden ständig durcheinandergeworfen. Sie sind nicht dasselbe und schließen sich nicht aus.

=== IT-Grundschutz (BSI) ===
*Methode plus fertiger Maßnahmenkatalog, herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik.
*Man muss nicht selbst herleiten, was zu tun ist: man sucht den passenden Baustein und arbeitet dessen Anforderungen ab.
*Deutschsprachig, sehr detailliert, frei verfügbar.
*Verbreitet in Behörden, im öffentlichen Umfeld und bei deren Zulieferern.
*Nachteil: großer Umfang, ohne Werkzeug schwer zu handhaben.

=== Die BSI-Standards 200-x ===
;BSI-Standard 200-1 – Managementsysteme für Informationssicherheit
*Beschreibt, was ein ISMS ist und welche Anforderungen es erfüllen muss.
*Regelt Verantwortlichkeiten, Leitlinie, Rollen und den Verbesserungsprozess.
*Kompatibel zur ISO/IEC 27001 aufgebaut.
;BSI-Standard 200-2 – IT-Grundschutz-Methodik
*Der eigentliche Arbeitsablauf: wie man von der Bestandsaufnahme zum Sicherheitskonzept kommt.
*Bietet drei Vorgehensweisen:
**Basis-Absicherung: schneller Einstieg, nur die Basis-Anforderungen, für alles gleichzeitig.
**Kern-Absicherung: zuerst die wenigen wirklich kritischen Bereiche ("Kronjuwelen").
**Standard-Absicherung: der vollständige Weg, Voraussetzung für eine Zertifizierung.
;BSI-Standard 200-3 – Risikoanalyse
*Kommt erst zum Einsatz, wenn die Standardmaßnahmen nicht ausreichen.
*Fälle: hoher oder sehr hoher Schutzbedarf, kein passender Baustein vorhanden, ungewöhnlicher Einsatzzweck.
*Für den Normalfall gilt: der Baustein ist die Risikoanalyse, sie wurde vom BSI bereits erledigt.
;BSI-Standard 200-4 – Business Continuity Management
*Notfall- und Wiederanlaufplanung, eigenes Thema neben dem ISMS.

=== IT-Grundschutz-Kompendium ===
*Die Sammlung der Bausteine, jährlich in einer neuen Edition veröffentlicht.
*Baustein: ein Themenpaket zu einem Objekttyp, mit Gefährdungslage und einer Liste konkreter Anforderungen.
*Die Kennungen folgen dem Schichtenmodell:
**SYS = IT-Systeme (Server, Clients, Netzkomponenten)
**APP = Anwendungen (Webserver, Webanwendungen, Datenbanken)
**NET = Netze und Netzkomponenten
**CON = übergreifende Konzepte (Kryptographie, Datenschutz)
**OPS = Betrieb (Administration, Protokollierung, Patchmanagement)
**ORP, INF, IND, DER = Organisation/Personal, Infrastruktur, Industrielle IT, Detektion und Reaktion
*Jede Anforderung hat eine Stufe:
**Basis-Anforderung: muss in jedem Fall umgesetzt werden.
**Standard-Anforderung: Regelfall für normalen Schutzbedarf.
**Anforderung bei erhöhtem Schutzbedarf: nur wenn die Schutzbedarfsfeststellung das ergibt.
*Die früheren IT-Grundschutz-Kataloge sind durch das Kompendium abgelöst.

=== ISO/IEC 27001 ===
*Internationale Norm für Managementsysteme der Informationssicherheit, aktuelle Fassung von 2022.
*Legt fest, dass Risiken systematisch bewertet und behandelt werden müssen — nicht, mit welchen Maßnahmen.
*Anhang A enthält 93 Controls in vier Themenbereichen (organisatorisch, personell, physisch, technologisch).
*Control: eine Sicherheitsmaßnahme in der Sprache der Norm.
*Statement of Applicability (SoA, Erklärung zur Anwendbarkeit): Übersicht, welche Controls gelten, welche nicht, und die Begründung dafür. Das Kernstück jedes Audits.
*Zertifikate nach der Vorgängerfassung von 2013 sind seit Oktober 2025 nicht mehr gültig.
*Vorteil: international anerkannt, in Ausschreibungen die übliche Währung.
*Nachteil: liefert keine fertigen Maßnahmen, die Arbeit der Risikoanalyse bleibt beim Unternehmen.

=== ISO/IEC 27701 ===
*Norm für ein Datenschutz-Managementsystem (PIMS, ''Privacy Information Management System'').
*Behandelt den Umgang mit personenbezogenen Daten, nicht die Informationssicherheit allgemein.
*Seit der Fassung von 2025 eine eigenständige, für sich zertifizierbare Norm — eine ISO/IEC 27001-Zertifizierung ist nicht mehr Voraussetzung.
*Enthält 78 Datenschutz-Controls; Anhang D ordnet sie den Artikeln der DSGVO zu.
*Für Organisationen mit einem Zertifikat nach der Fassung von 2019 läuft eine Übergangsfrist bis Oktober 2028.

=== NIST Cybersecurity Framework (CSF) ===
*Rahmenwerk des US-amerikanischen National Institute of Standards and Technology, aktuelle Fassung 2.0.
*Gliedert Sicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond, Recover.
*Deutlich grober als der IT-Grundschutz, keine Maßnahmenliste auf Umsetzungsebene.
*Nicht zertifizierbar — es gibt kein NIST-Zertifikat.
*Nutzen: gemeinsame Sprache gegenüber der Geschäftsführung und in internationalen Konzernstrukturen.
*In Deutschland begegnet es einem meist als Konzernvorgabe, nicht als eigenständiger Weg.

=== KRITIS und NIS2 ===
*Keine Methode, sondern geltendes Recht.
*Rechtsgrundlage in Deutschland ist das BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit 06.12.2025.
*KRITIS (kritische Infrastruktur): Anlagen, deren Ausfall die Versorgung der Bevölkerung gefährdet — Energie, Wasser, Gesundheit, Transport, Finanzen, IT und Telekommunikation, Ernährung, Abfall.
*NIS2 erweitert den Kreis erheblich auf weitere Branchen ab bestimmten Größenschwellen.
*Pflichten im Überblick:
**Registrierung beim BSI.
**Risikomanagementmaßnahmen nach § 30 BSIG.
**Meldung erheblicher Sicherheitsvorfälle: Erstmeldung innerhalb von 24 Stunden, Zwischenmeldung nach 72 Stunden, Abschlussbericht nach einem Monat.
**Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach.
**Schulungspflicht für die Geschäftsleitung, die persönlich haftet.
*Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
*Das Gesetz schreibt keine bestimmte Methode vor. Genau deshalb greift man zu IT-Grundschutz oder ISO/IEC 27001 — man braucht etwas, das man vorlegen kann.

=== Abgrenzung auf einen Blick ===
{| class="wikitable"
! Was !! Herkunft !! Was es ist !! Fertige Maßnahmen? !! Zertifizierbar?
|-
| IT-Grundschutz || BSI (Deutschland) || Methode + Katalog || ja, sehr detailliert || ja (auf Basis ISO 27001)
|-
| ISO/IEC 27001 || international || Methode || nein, nur Control-Ziele || ja
|-
| ISO/IEC 27701 || international || Methode für Datenschutz || Datenschutz-Controls || ja, seit 2025 eigenständig
|-
| NIST CSF || USA || Ordnungsraster || nein || nein
|-
| KRITIS / NIS2 || Gesetz (DE/EU) || Pflicht zum Nachweis || nein || Nachweispflicht statt Zertifikat
|}

== Rahmenbedingungen und entscheidende Faktoren ==
;Ohne diese Voraussetzungen scheitert es
*Rückendeckung der Leitung. Ein ISMS greift in Abläufe anderer Abteilungen ein — ohne Mandat setzt sich niemand durch.
*Ein benannter Verantwortlicher (Informationssicherheitsbeauftragter) mit zugeteilter Arbeitszeit.
*Ein realistisch geschnittener Geltungsbereich. Lieber ein Dienst vollständig als das ganze Unternehmen halb.
*Aktuelle Bestandsdaten. Was nicht erfasst ist, wird nicht geschützt.
;Was in der Praxis den Ausschlag gibt
*Klein anfangen: Basis-Absicherung für alles oder Kern-Absicherung für das Wichtigste, statt sofort den vollständigen Weg.
*Bewertungen ehrlich vergeben. Ein Konzept, in dem alles grün ist, ist wertlos und fällt im Audit auf.
*Offene Punkte mit Verantwortlichem und Termin versehen. Ohne beides passiert nichts.
*Pflegbar halten. Ein Sicherheitskonzept, das nach einem Jahr niemand mehr anfasst, ist Papier.
;Typische Fehler
*Zu großer Geltungsbereich im ersten Anlauf.
*Werkzeugauswahl vor der Methodenentscheidung.
*Dokumentation als Selbstzweck, ohne dass jemals eine Maßnahme daraus umgesetzt wird.

== Aufbau eines Sicherheitskonzepts nach IT-Grundschutz ==
*Die Reihenfolge nach BSI-Standard 200-2:
;1. Geltungsbereich festlegen (Informationsverbund)
*Welche Standorte, Systeme, Anwendungen und Prozesse gehören dazu — und was ausdrücklich nicht.
;2. Strukturanalyse
*Erfassung aller Objekte im Geltungsbereich: IT-Systeme, Anwendungen, Räume, Netze, Kommunikationsverbindungen.
;3. Schutzbedarfsfeststellung
*Für jedes Objekt wird der Schaden abgeschätzt, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit.
*Ergebnis ist eine Einstufung als normal, hoch oder sehr hoch.
;4. Modellierung
*Jedem Objekt werden die passenden Bausteine des Kompendiums zugeordnet.
;5. IT-Grundschutz-Check
*Soll-Ist-Vergleich: für jede Anforderung wird festgehalten, ob sie umgesetzt ist — entbehrlich, ja, teilweise oder nein, jeweils mit Begründung.
;6. Risikoanalyse nach 200-3
*Nur für die Objekte mit hohem oder sehr hohem Schutzbedarf oder ohne passenden Baustein.
;7. Realisierungsplan
*Die offenen Punkte werden priorisiert, mit Verantwortlichem, Termin und Aufwand versehen.
;8. Prüfen und wiederholen
*Umsetzung kontrollieren, Konzept fortschreiben — zurück zu Schritt 1.

== Kernaussagen ==
*Das Gesetz fordert den Nachweis, die Norm liefert die Methode, der IT-Grundschutz liefert zusätzlich die Maßnahmenliste.
*Ein ISMS erzeugt keine neue Technik, sondern Vollständigkeit und Nachvollziehbarkeit.
*Der Baustein ersetzt im Regelfall die eigene Risikoanalyse.
*Ein Sicherheitskonzept, in dem alles grün ist, ist entweder falsch oder wertlos.
*Der Wert entsteht erst mit Verantwortlichem und Termin an jedem offenen Punkt.

Informationssicherheits-Managementsysteme (ISMS) Praxis

2026-09-06T12:54:22Z

Die Seite wurde neu angelegt: „= Übung: IT-Grundschutz mit dem Simulator = == Worum es geht == *Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungssta…“

Neue Seite

= Übung: IT-Grundschutz mit dem Simulator =

== Worum es geht ==
*Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungsstand und exportieren das Ergebnis als CSV-Datei.
*Wir arbeiten dabei nicht mit Verinice, sondern mit einer Webseite, die denselben Ablauf abbildet.
*Es wird nichts installiert und nichts angemeldet. Alle Eingaben bleiben im Browser und sind nach dem Neuladen der Seite wieder weg.
*Aufruf: https://labs.xinux.net/it-grundschutz.html

== Das Szenario ==
*Die kit GmbH betreibt eine kleine Online-Plattform mit 12 Mitarbeitern.
*Zur Plattform gehören vier Objekte:
{| class="wikitable"
! Objekt !! Typ !! Was es ist
|-
| Webserver01 || IT-System || Apache-Webserver mit Testanwendungen, öffentlich erreichbar
|-
| WAF || IT-System || NGINX mit ModSecurity und OWASP Core Rule Set, TLS-Endpunkt
|-
| Firewall || IT-System || OPNsense vor der Plattform, Admin-Zugriff nur intern
|-
| Webshop || Anwendung || die öffentliche Webanwendung für Bestellungen
|}
*Ziel der Organisation: Verfügbarkeit und Sicherheit der Website sicherstellen.

== Die Bedienung der Seite ==
*Oben stehen fünf Schaltflächen — das sind die fünf Schritte:
**1 Organisation
**2 Systeme & Anwendungen
**3 Bausteine zuordnen
**4 Maßnahmen bewerten
**5 Ergebnis
*Man kann jederzeit oben direkt auf einen Schritt klicken oder unten mit "Weiter →" und "← Zurück" blättern.
*"Beispiel laden" füllt alle fünf Schritte mit dem vollständig bearbeiteten Szenario.
*"Zurücksetzen" leert alles wieder.
*Empfehlung für den Ablauf: erst leer durchgehen und selbst ausfüllen, am Ende einmal "Beispiel laden" zum Vergleich.

== Schritt 1 — Organisation ==
*Hier steht, für wen das Sicherheitskonzept gilt. Das ist der Geltungsbereich.
*Auszufüllende Felder:
{| class="wikitable"
! Feld !! Eintrag im Beispiel
|-
| Title || kit GmbH
|-
| Abbreviation || KIT
|-
| Organization || KIT
|-
| Tags || Demo, IT-Grundschutz
|-
| Number of employees || 12
|-
| Bearbeiter || eigener Name
|-
| Scope || Kleine Online-Plattform mit einem Webdienst für Kunden. Ziel ist es, Verfügbarkeit und Sicherheit der Website sicherzustellen.
|}
*Der Bearbeiter taucht später im Dateinamen der CSV-Datei auf.
*Das Feld "Scope" ist das wichtigste: es grenzt ab, was zum Konzept gehört und was nicht.
*In der Methode nach BSI-Standard 200-2 entspricht dieser Schritt der Festlegung des Informationsverbunds.

== Schritt 2 — Systeme und Anwendungen ==
*Hier wird erfasst, was überhaupt betrieben wird. Das ist die Strukturanalyse.
*Die vier Objekte sind bereits angelegt. Jede Karte hat drei Felder:
**Auswahlfeld für den Typ: IT-System oder Anwendung
**Name
**Beschreibung
*Alle drei Felder sind änderbar. Damit lässt sich statt des Beispiels auch eine eigene Umgebung bewerten.
*Die Unterscheidung IT-System und Anwendung ist keine Formsache: sie entscheidet, welche Bausteine im nächsten Schritt passen.
**IT-System ist die Maschine — Server, Firewall.
**Anwendung ist das, was darauf läuft und einen fachlichen Zweck hat — der Webshop.

== Schritt 3 — Bausteine zuordnen ==
*Hier wird festgelegt, welche Anforderungen für welches Objekt gelten. Das ist die Modellierung.
*Links steht der Katalog mit fünf Bausteinen, rechts für jedes Objekt eine Ablagefläche.
*Bedienung: einen Baustein links mit der Maus anfassen, auf das Objekt rechts ziehen und loslassen. Ein zugeordneter Baustein lässt sich über das "×" wieder entfernen.
*Mehrere Bausteine pro Objekt sind ausdrücklich vorgesehen und der Normalfall.
*Die verfügbaren Bausteine:
{| class="wikitable"
! Baustein !! Wofür
|-
| SYS.1.1 Allgemeiner Server || Grundanforderungen an jeden Server: Patchen, Logging, Monitoring
|-
| SYS.1.3 Server unter Linux und Unix || Linux-Besonderheiten: Rechte, sudo, SSH
|-
| APP.3.2 Webserver || Apache, NGINX, IIS: TLS, Module, Protokollierung
|-
| APP.3.1 Webanwendungen || die Anwendung selbst: Eingaben, Sessions, Tests
|-
| NET.3.2 Firewall || Regelwerk, Administration, Protokollierung der Firewall
|}
*Die Zuordnung im Beispiel:
{| class="wikitable"
! Objekt !! Bausteine
|-
| Webserver01 || SYS.1.1, SYS.1.3, APP.3.2
|-
| WAF || SYS.1.1, SYS.1.3, APP.3.2
|-
| Firewall || NET.3.2
|-
| Webshop || APP.3.1
|}
*Begründung der Zuordnung:
**Webserver01 ist ein Server (SYS.1.1), er läuft unter Linux (SYS.1.3) und er ist ein Webserver (APP.3.2) — drei Bausteine, weil drei Eigenschaften zutreffen.
**Die WAF bekommt dieselben drei: sie ist ebenfalls ein Linux-Server mit einem Webserver-Dienst, auch wenn sie keine eigenen Inhalte ausliefert.
**Die Firewall ist eine Appliance und bekommt nur NET.3.2.
**Der Webshop ist kein Server, sondern eine Anwendung — nur APP.3.1.
*Das ist der eigentliche Kern des IT-Grundschutzes: die Frage "was müssen wir hier tun" ist mit der Zuordnung beantwortet, ohne dass jemand selbst eine Risikoanalyse rechnen musste.

== Schritt 4 — Maßnahmen bewerten ==
*Hier wird für jede einzelne Anforderung festgehalten, ob sie umgesetzt ist. Das ist der IT-Grundschutz-Check, ein Soll-Ist-Vergleich.
*Die Seite listet jedes Objekt mit seinen Bausteinen und je Baustein die Maßnahmen auf.
*Jede Maßnahme hat eine Stufe:
**BASIC — Basis-Anforderung, muss in jedem Fall umgesetzt sein.
**STANDARD — Standard-Anforderung, Regelfall bei normalem Schutzbedarf.
*Je Maßnahme wird eine Ampel gesetzt:
**erfüllt
**teilweise
**nicht erfüllt
**unbewertet (der Ausgangszustand)
*Darunter steht ein Notizfeld für die Begründung. Das Feld ist der wichtigste Teil der Übung: eine Ampel ohne Begründung ist im Audit wertlos.
*Beispiele für brauchbare Notizen aus dem Beispieldatensatz:
**"nftables konfiguriert: nur Ports 22, 80, 443 offen."
**"Nur SSH mit Schlüssel-Authentisierung, Root-Login deaktiviert."
**"Ausgabe-Escaping vorhanden, Content-Security-Policy noch nicht konfiguriert."
*Die Maßnahmen je Baustein:
{| class="wikitable"
! Baustein !! Maßnahmen
|-
| SYS.1.1 || Geeignete Aufstellung; Benutzerauthentisierung an Servern; Deaktivierung nicht benötigter Dienste; Einsatz von Virenschutz-Programmen; Protokollierung; Einrichtung lokaler Paketfilter
|-
| SYS.1.3 || Sorgfältige Vergabe von IDs; kein automatisches Einbinden von Wechselaufwerken; Verwaltung von Benutzern und Gruppen; verschlüsselter Zugriff über Secure Shell
|-
| APP.3.2 || Absicherung der Webserver-Software; Konfiguration der Protokolle; Trennung von Webinhalten und Betriebssystem; Protokollierung von Webserver-Ereignissen; Minimierung von Modulen und Erweiterungen; Schutz vor bekannten Schwachstellen
|-
| APP.3.1 || Eingabevalidierung; Session-Management; Schutz vor Cross-Site-Scripting; Absicherung der Zahlungsabwicklung; regelmäßige Sicherheitstests
|-
| NET.3.2 || Regelbasierte Filterung; geregelte Administration; Protokollierung; Patchmanagement; regelmäßige Konfigurationsprüfung
|}
*Hier wird sichtbar, dass die Anforderungen nichts Fremdes sind: das ist die Liste dessen, was wir im Kurs ohnehin konfiguriert haben — nur mit einer Kennung davor.

== Schritt 5 — Ergebnis ==
*Für jedes Objekt erscheint eine Karte mit einer Gesamtampel und der Zählung der Bewertungen.
*Die Gesamtampel eines Objekts ergibt sich so:
**kritisch, sobald eine einzige Maßnahme auf "nicht erfüllt" steht
**teilweise, wenn es "teilweise" oder noch unbewertete Maßnahmen gibt
**erfüllt, wenn alle Maßnahmen erfüllt sind
*Ein einziger roter Punkt reißt also das ganze Objekt auf Rot. Das ist beabsichtigt und entspricht der Praxis.
*Darunter steht die Tabelle der offenen Punkte.
*Über "CSV exportieren" wird die Datei heruntergeladen.
**Dateiname: grundschutz_<Bearbeiter>_<Datum>.csv
**Spalten: Organisation; Objekt; Baustein; Massnahme; Level; Status; Notiz
**Trennzeichen ist das Semikolon, die Datei lässt sich direkt in einer Tabellenkalkulation öffnen.

== Die offenen Punkte im Beispiel ==
*Im vorbereiteten Beispiel bleiben genau diese Punkte offen:
{| class="wikitable"
! Objekt !! Maßnahme !! Status !! Grund
|-
| Firewall || Regelmäßige Konfigurationsprüfung || nicht erfüllt || Review der Firewall-Regeln ist nicht terminiert
|-
| Webshop || Regelmäßige Sicherheitstests || nicht erfüllt || letzter Penetrationstest liegt über 18 Monate zurück
|-
| Firewall || Protokollierung || teilweise || Logs werden gesammelt, aber nicht ausgewertet
|-
| WAF || Schutz vor bekannten Schwachstellen || teilweise || OWASP Core Rule Set wird unregelmäßig aktualisiert
|-
| Webshop || Schutz vor Cross-Site-Scripting || teilweise || keine Content-Security-Policy konfiguriert
|-
| Webserver01 || Einsatz von Virenschutz-Programmen || teilweise || ClamAV vorhanden, ergänzt durch IDS auf Netzebene
|}
*Keiner dieser Punkte ist exotisch. Es sind die Dinge, die im Tagesgeschäft liegen bleiben, weil sie niemandem zugeteilt sind.

== Was mit der CSV-Datei passiert ==
*Die Datei ist keine Ablage, sondern eine Aufgabenliste.
*Aus der Bewertung wird ein Realisierungsplan, indem drei Spalten ergänzt werden:
**Verantwortlicher
**Termin
**Aufwand
*Erst damit ist die Arbeit fertig. Eine Bewertung ohne Namen und Datum verändert nichts.
*Vorgelegt wird das Ergebnis der Geschäftsleitung als Begründung für Budget, dem Auditor bei einer Zertifizierung, dem BSI als Nachweis bei Nachweispflicht sowie Kunden und Versicherungen auf Nachfrage.

== Aufgabe für die Teilnehmer ==
*Wir setzen die Seite zurück und legen eine eigene Organisation an.
*Wir ersetzen in Schritt 2 die Objekte durch die Systeme aus unserer eigenen Kursumgebung.
*Wir ordnen die passenden Bausteine zu und begründen die Zuordnung.
*Wir bewerten die Maßnahmen ehrlich — mit dem, was wir im Kurs tatsächlich konfiguriert haben.
*Wir exportieren die CSV-Datei und benennen zu jedem roten und gelben Punkt einen Verantwortlichen und einen Termin.

Informationssicherheits-Managementsysteme (ISMS)

2026-09-06T12:52:05Z

Informationssicherheits-Managementsysteme (ISMS) Weiteres

2026-09-06T12:47:39Z

Die Seite wurde neu angelegt: „ = Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches = == Definition und Bedeutung == * Ein '''Informationssicherheits-Managementsystem (ISMS)…“

Neue Seite

= Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches =

== Definition und Bedeutung ==
* Ein '''Informationssicherheits-Managementsystem (ISMS)''' ist ein systematischer Ansatz zur Verwaltung und Sicherung sensibler Informationen in einer Organisation.
* Es basiert auf definierten Sicherheitsrichtlinien, Verfahren und Kontrollmechanismen, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.
* Die Einführung eines ISMS erfolgt häufig gemäß internationalen Standards wie '''ISO/IEC 27001''', die eine Zertifizierung ermöglichen.
* Ein effektives ISMS hilft Organisationen, Cyberrisiken zu minimieren, gesetzliche Anforderungen zu erfüllen und Sicherheitsvorfälle strukturiert zu behandeln.

== Grundprinzipien eines ISMS ==
* '''Vertraulichkeit''': Sicherstellen, dass nur autorisierte Personen Zugriff auf bestimmte Informationen haben.
* '''Integrität''': Schutz der Daten vor unbefugten Änderungen oder Manipulationen.
* '''Verfügbarkeit''': Sicherstellen, dass Informationen und Systeme jederzeit für berechtigte Nutzer zugänglich sind.
* '''Risikobasiertes Management''': Identifikation und Bewertung von Bedrohungen und Schwachstellen zur Minimierung von Risiken.

== Kernbestandteile eines ISMS ==
* '''Risikomanagement''': Identifikation, Bewertung und Behandlung von Sicherheitsrisiken.
* '''Sicherheitsrichtlinien''': Festlegung und Durchsetzung organisatorischer Maßnahmen zum Schutz von Informationen.
* '''Zugriffskontrollen''': Implementierung von Berechtigungsmechanismen zur Minimierung unautorisierter Zugriffe.
* '''Schulung und Sensibilisierung''': Regelmäßige Schulungen für Mitarbeiter, um Sicherheitsbewusstsein zu fördern.
* '''Kontinuierliche Verbesserung''': Regelmäßige Audits und Überprüfungen zur Anpassung an neue Bedrohungslagen.
* '''Incident Management''': Definition und Umsetzung von Prozessen zur Erkennung, Reaktion und Wiederherstellung nach Sicherheitsvorfällen.

== ISMS-Standards und Frameworks ==
* '''ISO/IEC 27001''': Internationaler Standard für die Implementierung und Zertifizierung eines ISMS.
* '''NIST Cybersecurity Framework''': Leitlinien für das Risikomanagement in der Cybersicherheit.
* '''BSI IT-Grundschutz''': Deutsches Sicherheitskonzept für Behörden und Unternehmen zur Umsetzung eines ISMS.
* '''COBIT (Control Objectives for Information and Related Technologies)''': Framework für die IT-Governance mit Fokus auf Sicherheit und Compliance.

== Vorteile eines ISMS ==
* Reduzierung von Cyberrisiken durch systematische Sicherheitsmaßnahmen.
* Verbesserung der Compliance mit regulatorischen Anforderungen und Datenschutzgesetzen.
* Erhöhung des Vertrauens von Kunden und Geschäftspartnern durch zertifizierte Sicherheitsstandards.
* Schnellere Reaktionsfähigkeit auf Sicherheitsvorfälle durch definierte Prozesse und Verantwortlichkeiten.
* Bessere Transparenz und Nachverfolgbarkeit von Sicherheitsmaßnahmen innerhalb der Organisation.

== Implementierung eines ISMS ==
* Festlegen von Sicherheitsrichtlinien und Zielen basierend auf den Anforderungen der Organisation.
* Durchführung einer '''Risikoanalyse''', um Bedrohungen und Schwachstellen zu identifizieren.
* Einführung technischer und organisatorischer Sicherheitsmaßnahmen.
* Regelmäßige Überprüfung und Verbesserung des Systems durch Audits und Bewertungen.
* Sensibilisierung und Schulung der Mitarbeiter zur Einhaltung der Sicherheitsrichtlinien.

== Unterstützung durch Tools ==
* Es gibt verschiedene Softwarelösungen, die Organisationen bei Aufbau und Betrieb eines ISMS unterstützen können, z. B.:
- Verinice
- HiScout ISMS
- SAVe
- ibi systems iris
- GS-Tool (BSI, eingestellt aber noch verbreitet)
- andere kommerzielle GRC-Plattformen (Governance, Risk & Compliance)

= ISMS Tools =
== verinice ==
* Open-Source-Tool von SerNet für ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz.
* Community Edition (kostenlos) und Enterprise-Version (kommerziell).
* Unterstützt Modellierung von Organisationen, Prozessen, IT-Systemen und Bausteinen.
* Geeignet für Behörden und Unternehmen, auch für ISO-27001-Zertifizierungsvorbereitung.

== HiScout ISMS ==
* Kommerzielle Lösung, in vielen Behörden und Konzernen im Einsatz.
* Starke Integration in BSI IT-Grundschutz und ISO 27001.
* Erweiterbar um Module für Datenschutz und Business Continuity Management.
* Fokus auf automatisiertes Berichtswesen und Audit-Support.

== ibi systems iris ==
* Deutsches GRC-Tool (Governance, Risk, Compliance).
* Unterstützt Risikomanagement, Informationssicherheit und Datenschutz.
* Intuitive Weboberfläche, geeignet für mittlere und große Unternehmen.
* Starker Fokus auf Dashboards und Kennzahlen.

== GS-Tool (BSI) ==
* Älteres Werkzeug des BSI für den IT-Grundschutz (bis 2022 offiziell gepflegt).
* Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.
* Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.
* Mittlerweile ersetzt durch modernere Tools (z. B. verinice oder HiScout).

== Weitere Plattformen ==
* Markt bietet zahlreiche kommerzielle GRC-Lösungen (z. B. Risk2Value, RSA Archer).
* Zielgruppe: vor allem Konzerne mit integriertem Managementansatz.
* Fokus: Risiko- und Compliance-Management, nicht nur ISMS.

= Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit =
== IT-Grundschutz ==
* Deutscher Standard des BSI
* Stellt Bausteine, Maßnahmen und Vorgehensweisen bereit (Kataloge)
* Ziel: systematische Informationssicherheit in Organisationen
* Fokus auf Vollständigkeit und Methodik (Schutzbedarf → Bausteine → Maßnahmen)
* Ergebnis: IT-Sicherheitskonzept mit dokumentierten Anforderungen, Umsetzung, Restrisiken

== ISO 27001 ==
* Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)
* Basiert auf der High Level Structure (HLS) der ISO-Normen
* Enthält Annex A mit 93 Controls (Themenbereiche: Organisation, Technik, Personal, Lieferkette)
* Zertifizierung weltweit anerkannt
* BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an
** Kombiniert internationale Anerkennung (ISO 27001) mit nationalen Bausteinen (Grundschutz)

== KRITIS-Audit ==
* Spezieller Prüfrahmen nach dem BSI-Gesetz (§8a BSIG)
* Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)
* Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit
* Audit alle 2 Jahre durch eine unabhängige, vom BSI zugelassene Stelle
* Grundlage kann sein:
** ISO 27001
** ISO 27001 auf Basis von IT-Grundschutz
** Branchen-Sicherheitskataloge (z. B. Energiewirtschaft)
* Ergebnis: Prüfbericht + Management Summary → an das BSI

== Abgrenzung ==
* IT-Grundschutz = Werkzeugkasten / Methodik (national)
* ISO 27001 = formaler Managementsystem-Standard (international)
* KRITIS-Audit = gesetzlich vorgeschriebene Prüfung für kritische Infrastrukturen
= Zusammenhang IT-Grundschutz und ISO 27001 =

* ISO 27001 ist ein internationaler Managementsystem-Standard (ISMS).
* IT-Grundschutz ist eine Methodik mit Bausteinen, die vom BSI bereitgestellt wird.
* Das BSI ermöglicht die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz:
** IT-Grundschutz liefert die Methodik zur Umsetzung der ISO-Anforderungen.
** ISO 27001 liefert den formalen Standard für das Zertifikat.
* Ergebnis: Wer IT-Grundschutz vollständig umsetzt und prüfen lässt, kann ein international anerkanntes ISO 27001-Zertifikat erhalten.

= Verinice =

= Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701) =
==IT-GS==
===Übersicht===
;BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS): (Management und ISB)
*Dieser Standard stellt die Grundlage dar und fokussiert sich auf die Anforderungen und die Struktur eines ISMS.
*Er bietet einen Überblick und Rahmenbedingungen zur Implementierung und Aufrechterhaltung eines ISMS.
*Dies schliesst die Entwicklung von Sicherheitsrichtlinien und der Organisation der Informationssicherheit ein.
;BSI-Standard 200-2 IT-Grundschutz-Methodik: (Für die Admins wichtig)
*Standard 200-2 geht auf die praktische Anwendung und Implementierung der im ISMS festgelegten Sicherheitsstrategien ein.
*Er behandelt, wie man die Sicherheitsmaßnahmen durch eine detaillierte Methodik und Modellierung von Geschäftsprozessen.
*Als auch die effektive Umsetzung von IT-Systemen, um spezifische Sicherheitsanforderungen zu erfüllen.
;BSI-Standard 200-3 Risikomanagement: (Management und ISB)
*Dieser Standard konzentriert sich auf das Risikomanagement innerhalb des ISMS.
*Er leitet Organisationen an, wie sie Risiken identifizieren, bewerten und behandeln können.
*Er bietet eine tiefgehende Anleitung zum Aufbau eines Risikomanagementprozesses
*Die geschieht umeine systematische Handhabung von Sicherheitsrisiken ermöglicht und damit die Grundlage für eine informierte Entscheidungsfindung in der Informationssicherheit schafft.

===Die Standards kurz und knapp===
*[[BSI-S 200-1]]
*[[BSI-S 200-2]]
*[[BSI-S 200-3]]
===Sollte noch aufgneommen werden===
;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)
*[[BSI-S 100-4]]
==IT-GS Kataloge==

===Übersicht===
;ISO/IEC 27001 Informationssicherheits-Managementsysteme (ISMS):
*ISO/IEC 27001 bietet einen umfassenden Rahmen für die Einrichtung, Implementierung, Überwachung und Verbesserung eines Informationssicherheits-Managementsystems.
*Die Norm legt allgemeine Anforderungen an das Management der Informationssicherheit fest, einschließlich Risikobewertung und Risikobehandlung, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen.
*Sie ist darauf ausgelegt, Organisationen jeder Größe oder Branche dabei zu helfen, die Sicherheit ihrer Informationen systematisch zu managen.
;ISO/IEC 27701 Datenschutz-Managementsysteme (PIMS):
*ISO/IEC 27701 baut auf ISO/IEC 27001 auf und fügt spezifische Anforderungen und Leitlinien hinzu, um Organisationen dabei zu unterstützen, Datenschutzgesetze und -vorschriften wie die DSGVO zu erfüllen.
*Diese Norm erweitert die ISMS-Anforderungen von ISO/IEC 27001, indem sie Datenschutzkontrollen und -verfahren einführt, die speziell darauf ausgerichtet sind, die Privatsphäre zu schützen und die Rechenschaftspflicht in Bezug auf personenbezogene Daten zu erhöhen.
*Sie richtet sich sowohl an Datenverantwortliche als auch an Datenverarbeiter und ist darauf ausgelegt, durch Datenschutzmanagement sowohl rechtliche Compliance als auch Kundevertrauen zu fördern.
;Unterschiede und Beziehungen:
*Während ISO/IEC 27001 ein breites Rahmenwerk für Informationssicherheit bietet, spezialisiert sich ISO/IEC 27701 auf den Datenschutz und ergänzt ISO/IEC 27001 um praxisorientierte Anleitungen zur Erfüllung spezifischer Datenschutzanforderungen.
*ISO/IEC 27701 kann als eine Erweiterung angesehen werden, die Organisationen ermöglicht, ein integriertes Managementsystem zu schaffen, das sowohl Informationssicherheit als auch Datenschutz adressiert.
*Die Implementierung von ISO/IEC 27701 setzt voraus, dass eine Organisation bereits ein nach ISO/IEC 27001 zertifiziertes ISMS hat oder gleichzeitig implementiert.
===Die Standards kurz und knapp===
*[[ISO/IEC 27001]]
*[[ISO/IEC 27701]]
;Unrelevant da die Kataloge 27001 dies beinhalten ..

= Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren =
= Informationssicherheits-Managementsysteme (ISMS) =

;Wer/Warum benötigt ISMS:
* Organisationen jeder Größe und Branche, die die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen sicherstellen wollen.
* Besonders kritisch für Einrichtungen, die sensible Daten verarbeiten oder gesetzlichen und regulatorischen Anforderungen unterliegen.

;Funktionsweise:
* ISMS umfasst Richtlinien, Prozesse und Maßnahmen, die darauf abzielen, Risiken für die Informationssicherheit zu identifizieren, zu bewerten und zu mindern.
* Es berücksichtigt sowohl technische als auch organisatorische Aspekte und bezieht alle Ebenen der Organisation ein.

;Rahmenbedingungen:
* Die Einrichtung eines ISMS wird durch internationale Standards wie ISO/IEC 27001 und die BSI-Standards 200-Serie geleitet.
* Diese Standards bieten einen Rahmen für die Implementierung und kontinuierliche Verbesserung des ISMS.

;Aufbau:
* Festlegung der Sicherheitspolitik und der Ziele der Informationssicherheit.
* Identifizierung und Bewertung von Informationsrisiken.
* Entwicklung und Implementierung von Risikomanagementmaßnahmen.
* Regelmäßige Überprüfung und Anpassung der Sicherheitsmaßnahmen an sich ändernde Bedingungen.

;Entscheidende Faktoren:
* Engagement der obersten Leitungsebene für die Informationssicherheit.
* Klare Definition von Rollen, Verantwortlichkeiten und Prozessen innerhalb des ISMS.
* Bewusstseinsbildung und Schulung der Mitarbeiter in Sicherheitsfragen.
* Kontinuierliche Überwachung, Überprüfung und Verbesserung des ISMS.

;ISO/IEC 27001 und 27701:
* ISO/IEC 27001 ist die führende internationale Norm für ISMS, die Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS definiert.
* ISO/IEC 27701 erweitert ISO/IEC 27001 um Anforderungen und Leitlinien zum Datenschutzmanagement, insbesondere im Kontext des Schutzes personenbezogener Daten.
=Old Stuff=
*[[Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches]]
*[[ISMS Tools]]
*[[Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit]]
*[[Verinice]]
*[[Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701)]]
*[[Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren]]

Informationssicherheits-Managementsysteme (ISMS)

2026-09-06T12:47:32Z

Der Seiteninhalt wurde durch einen anderen Text ersetzt: „ =Weiteres= *Informationssicherheits-Managementsysteme (ISMS) Weiteres“

Änderungen zeigen

IT-GS-Kataloge

2026-09-06T12:24:31Z

Informationssicherheits-Managementsysteme (ISMS)

2026-09-06T12:23:47Z

Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701)

IT-GS

2026-09-06T12:22:45Z

Cyber Security II. Punkte

2026-09-06T10:43:06Z

← Nächstältere Version		Version vom 8. September 2026, 17:22 Uhr
Zeile 1:		Zeile 1:
	*[[ASUS TUF A17 (FA707NVR) unter Debian 12 Bookworm optimal einrichten]]		*[[ASUS TUF A17 (FA707NVR) unter Debian 12 Bookworm optimal einrichten]]
	*[[Dell]]		*[[Dell]]
		+	*[[Lenovo]]

@@ Zeile 9: / Zeile 9: @@
 * [[Linux - Security und Firewall]]
 * [[IPv6 Training]]
 =Schulungen=

@@ Zeile 47: / Zeile 47: @@
 ;Hier bekommt ihr angezeigt was ihr machen müsst.
 *rocky-setup -h
 =Benötigte Ports freigeben=
@@ Zeile 53: / Zeile 71: @@
 *firewall-cmd --permanent --add-port=1515/tcp
 *firewall-cmd --reload
 =SELinux (nur falls es zickt)=
 ;Hintergrund

@@ Zeile 6: / Zeile 6: @@
 *Technisch identisch – Auswirkungen komplett unterschiedlich.
 *Manipulation bedeutet hier Produktionsfehler oder Gefährdung von Menschen.
 == Sicherheitsziele in OT ==

@@ Zeile 5: / Zeile 5: @@
 =Anpassen der Maschinen=
-==fw==
+==opnsense==
 *GW: 192.168.HS.254
 *WANIP: 192.168.HS.200+TN

@@ Zeile 3: / Zeile 3: @@
 ; '''Projektbeschreibung'''
-Das Projekt nutzt den MQTT-Broker '''Mosquitto''', um verschiedene IoT-Geräte wie Lampen und Türöffner zu simulieren. Diese werden über ein Webinterface gesteuert, wobei der aktuelle Zustand jedes Geräts – etwa „An“, „Aus“, „Auf“ oder „Zu“ – angezeigt wird. Über Graylog, ein SIEM (Security Information and Event Management)-System, werden dabei sämtliche Aktivitäten überwacht und ausgewertet. Der zentrale Fokus dieses Projekts liegt auf der Demonstration sicherheitsrelevanter Aspekte im IoT-Kontext.
+Das Projekt nutzt den MQTT-Broker '''Mosquitto''', um verschiedene IoT-Geräte wie Lampen und Türöffner zu simulieren. Diese werden über ein Webinterface gesteuert, wobei der aktuelle Zustand jedes Geräts – etwa „An“, „Aus“, „Auf“ oder „Zu“ – angezeigt wird. Über ein SIEM (Security Information and Event Management)-System, werden dabei sämtliche Aktivitäten überwacht und ausgewertet. Der zentrale Fokus dieses Projekts liegt auf der Demonstration sicherheitsrelevanter Aspekte im IoT-Kontext.
 ; '''Zielsetzung und Zielgruppe'''

@@ Zeile 17: / Zeile 17: @@
 *Firewalls der nächsten Generation
 *Erkennung und Verhinderung von Eindringlingen
 *Identitätsbasierter Zugriff und Profilerstellung
 *Übungen zu Szenarien in einer für die Teilnehmenden bereitgestellten Lehrumgebung

@@ Zeile 5: / Zeile 5: @@
 [[Datei:Cyber-security-2-1.png|500px]]
 *[[Thomas Will]]
 *[[Zeiten KO]]
 *[[Zeiten DD]]
-*[[Koblenz Bus]]
+;Themen
 *[[Cyber Security II. - Was wollen wir praktisch tun]]
 *[[Cyber Security II. Netzplan]]

@@ Zeile 1: / Zeile 1: @@
 </div>
 <div style="margin-left: 20px;">
-[[Datei:programmers.png|rechts|600px]]
+[[Datei:programmers.png|rechts|300px]]
 </div>
 </div>

← Nächstältere Version		Version vom 7. September 2026, 05:13 Uhr
Zeile 1:		Zeile 1:
		+	</div>
		+	<div style="margin-left: 20px;">
		+	[[Datei:programmers.png\|rechts\|600px]]
		+	</div>
		+	</div>
	*[[Bash]]		*[[Bash]]
	*[[C]]		*[[C]]

@@ Zeile 1: / Zeile 1: @@
-=Verantwortungbereiche bei Sicherheitsvorfällen=
+=Verantwortungsbereiche bei Sicherheitsvorfällen=
-* Web Entwikcler
+* Web Entwickler
 ** validiert die Eingaben
+** behebt die Schwachstelle im Code
 * Server Admin
 ** Updates
@@ Zeile 8: / Zeile 8: @@
 ** Prozessfirewall
 ** Logs auswerten
-** Mandatory Access Controll SELinux/Apparmor, Systemd
+** Mandatory Access Control SELinux/AppArmor, Systemd
+** Wiederherstellung aus dem Backup
 * Firewall Admin
-** Firewallregeln restirktiver halten
+** Firewallregeln restriktiver halten
 ** IPS Regeln die verdächtige Muster erkennen
 ** Logs auswerten
+** Sperrung des Angreifers im laufenden Vorfall
 * Entscheider
 ** Prozesse festlegen und kontrollieren
 ** Finanzielle Mittel zur Verfügung stellen
 ** Personal bereitstellen
+** Entscheidung über Abschaltung des Dienstes
 {{#drawio:uber2}}

@@ Zeile 1: / Zeile 1: @@
 =Identitätsbasierter Zugriff und Profilerstellung=
 ;Einleitung:
 Der identitätsbasierte Zugriff erweitert klassische rollenbasierte Modelle durch die direkte Verknüpfung von Identität, Kontext und Verhalten. Ziel ist es, nicht nur statische Berechtigungen zu prüfen, sondern auch dynamische Risiken anhand von Profilen und Verhaltensmustern zu bewerten.
 ==Identitätsbasierter Zugriff (IBAC)==
 * Zugriffskontrolle erfolgt auf Grundlage der konkreten Benutzeridentität.
 * Attribute wie Standort, Endgerät, Uhrzeit oder Sicherheitsstatus fließen in die Entscheidung ein.
 * IBAC erlaubt eine feinere Granularität als rollenbasierter Zugriff (RBAC).
 ;Beispiel:
 * Ein Benutzer darf nur von einem verwalteten Firmenlaptop und innerhalb der Arbeitszeiten auf interne Finanzdaten zugreifen.
 * Ein Zugriff von einem privaten Gerät oder um 03:00 Uhr nachts wird blockiert oder mit zusätzlicher Authentifizierung abgesichert.
 ==Profilerstellung im Kontext der Cybersicherheit==
 ;Baseline-Erstellung:
 * Profiling bedeutet die kontinuierliche Erfassung des üblichen Benutzerverhaltens.
 * Daraus wird ein Referenzprofil („Baseline“) gebildet.
+;Wie die Baseline entsteht:
 ;Anomalieerkennung:
 * Abweichungen vom Normalverhalten werden automatisch erkannt.
 * Machine-Learning-Methoden verbessern die Genauigkeit von Erkennung und Bewertung.
 ;Praxisbeispiele:
 * Ein Mitarbeiter meldet sich plötzlich aus einem anderen Land an → zusätzliche MFA-Abfrage.
@@ Zeile 28: / Zeile 28: @@
 * Ein Administrator greift auf Systeme zu, die nicht in seinem Zuständigkeitsbereich liegen → Alarm an das SOC.
 * Login außerhalb der Arbeitszeit, z. B. mitten in der Nacht → Auffälligkeit wird gemeldet.
 ==Reaktion auf Verhaltensauffälligkeiten==
 ;Mögliche Maßnahmen:
 * Alarmierung des Security Operations Center (SOC).
@@ Zeile 36: / Zeile 34: @@
 * Erzwingen einer erneuten starken Authentifizierung.
 * Einschränkung der Berechtigungen bis zur Klärung.
 ;Beispielhafte Reaktionskette:
 # Anomalie erkannt (z. B. ungewöhnlicher Login-Ort).
@@ Zeile 43: / Zeile 40: @@
 # Untersuchung der Legitimität (z. B. Rückfrage beim Benutzer).
 # Entscheidung über Wiederfreigabe oder Eskalation.
+==Grenzen in der Praxis==
 ==Vorteile==
 * Früherkennung kompromittierter Konten.
@@ Zeile 49: / Zeile 52: @@
 * Dynamische Anpassung der Zugriffskontrollen.
 * Stärkung der Zero-Trust-Architektur.
 ==Risiken und Datenschutz==
 * Profilerstellung muss DSGVO- und Compliance-konform umgesetzt werden.
 * Transparenz gegenüber den Mitarbeitern ist entscheidend.
 * Privacy-Preserving Machine Learning kann helfen, Sicherheit und Datenschutz zu verbinden.
+;Beteiligung der Interessenvertretung:
 =Fazit=
 Identitätsbasierter Zugriff kombiniert die strikte Prüfung der Benutzeridentität mit dynamischem Profiling. Durch die Erkennung von Abweichungen im Verhalten können Sicherheitsvorfälle frühzeitig erkannt und automatisch eingedämmt werden. Konkrete Beispiele – von ungewöhnlichen Logins bis hin zu massiven Datenabflüssen – zeigen, dass IBAC und Profiling nicht Theorie, sondern praktische Säulen moderner Unternehmenssicherheit sind.

@@ Zeile 27: / Zeile 27: @@
 *[[Cybersicherheits-/Schwachstellenbewertung]]
 *[[Vulnerability Scanner Ablauf]]
 *[[Penetrationstests unter Linux]]
 *[[Firewalls der nächsten Generation]]

@@ Zeile 13: / Zeile 13: @@
 =Gibt es eine CVE zur CPE?=
 {{#drawio:vulnerabity-scanner-5}}
-*nmap -sV --script vulners victim.suxer.de -p 443
 =Cipher Suits check gegen BSI und weitere Vorgaben=
 {{#drawio:vulnerabity-scanner-6}}
 =Weitere Tests=
 {{#drawio:vulnerabity-scanner-7}}

@@ Zeile 45: / Zeile 45: @@
 | '''Management'''   || Entscheidung über Eskalation<br>Freigabe von Ressourcen<br>Information interner Stakeholder<br>Kommunikation nach außen (z. B. Presse)
 |-
-| '''BSI / CERT-Bund''' || Externe Meldestelle für Vorfälle nach §8b BSIG<br>Unterstützung bei Analyse schwerer Vorfälle<br>Koordination mit internationalen CERTs
+| '''BSI / CERT-Bund''' || Externe Meldestelle für Vorfälle nach § 32 BSIG<br>Unterstützung bei Analyse schwerer Vorfälle<br>Koordination mit internationalen CERTs
 |}
@@ Zeile 93: / Zeile 93: @@
 = Externe Meldepflichten =
-* Sicherheitsvorfälle mit hoher Kritikalität sind gemäß '''§ 8b BSIG''' an das BSI zu melden.
+* Erhebliche Sicherheitsvorfälle sind gemäß '''§ 32 BSIG''' an das BSI zu melden.
 * Kooperation mit nationalen und internationalen CERTs.
-* Falls personenbezogene Daten betroffen sind: Meldung an die Datenschutzbehörde nach '''Art. 33 DSGVO'''.
+* Falls personenbezogene Daten betroffen sind: Meldung an die Datenschutzbehörde nach '''Art. 33 DSGVO''' innerhalb von 72 Stunden.

@@ Zeile 1: / Zeile 1: @@
-= Übung: IT-Grundschutz mit dem Simulator =
+= Informationssicherheits-Managementsysteme (ISMS) Praxis =
-== Worum es geht ==
+== Werkzeuge ==
-*Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungsstand und exportieren das Ergebnis als CSV-Datei.
+*Der Ablauf nach BSI-Standard 200-2 ist Verwaltungsarbeit: viele Objekte, viele Anforderungen, viele Statusangaben. Genau dafür gibt es Werkzeuge.
-*Wir arbeiten dabei nicht mit Verinice, sondern mit einer Webseite, die denselben Ablauf abbildet.
+;Verinice
-*Es wird nichts installiert und nichts angemeldet. Alle Eingaben bleiben im Browser und sind nach dem Neuladen der Seite wieder weg.
+*Das bekannteste Werkzeug im deutschsprachigen Raum, von der SerNet GmbH, Open Source und vom BSI lizenziert.
 *Aufruf: https://labs.xinux.net/it-grundschutz.html
 == Das Szenario ==
@@ Zeile 139: / Zeile 155: @@
 |}
 *Hier wird sichtbar, dass die Anforderungen nichts Fremdes sind: das ist die Liste dessen, was wir im Kurs ohnehin konfiguriert haben — nur mit einer Kennung davor.
 == Schritt 5 — Ergebnis ==
@@ Zeile 179: / Zeile 196: @@
 **Aufwand
 *Erst damit ist die Arbeit fertig. Eine Bewertung ohne Namen und Datum verändert nichts.
-*Vorgelegt wird das Ergebnis der Geschäftsleitung als Begründung für Budget, dem Auditor bei einer Zertifizierung, dem BSI als Nachweis bei Nachweispflicht sowie Kunden und Versicherungen auf Nachfrage.
+;Wem man das Ergebnis vorlegt
 == Aufgabe für die Teilnehmer ==

@@ Zeile 1: / Zeile 1: @@
+*[[Informationssicherheits-Managementsysteme (ISMS) Theorie]]
+*[[Informationssicherheits-Managementsysteme (ISMS) Praxis]]
 *[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]

@@ Zeile 1: / Zeile 1: @@
 =Übersicht=
-=Übersicht=
+===Übersicht===
 ;ISO/IEC 27001 Informationssicherheits-Managementsysteme (ISMS):
 *ISO/IEC 27001 bietet einen umfassenden Rahmen für die Einrichtung, Implementierung, Überwachung und Verbesserung eines Informationssicherheits-Managementsystems.
@@ Zeile 13: / Zeile 13: @@
 *ISO/IEC 27701 kann als eine Erweiterung angesehen werden, die Organisationen ermöglicht, ein integriertes Managementsystem zu schaffen, das sowohl Informationssicherheit als auch Datenschutz adressiert.
 *Die Implementierung von ISO/IEC 27701 setzt voraus, dass eine Organisation bereits ein nach ISO/IEC 27001 zertifiziertes ISMS hat oder gleichzeitig implementiert.
-=Die Standards kurz und knapp=
+===Die Standards kurz und knapp===
 *[[ISO/IEC 27001]]
 *[[ISO/IEC 27701]]
 ;Unrelevant da die Kataloge 27001 dies beinhalten ...

← Nächstältere Version		Version vom 6. September 2026, 12:23 Uhr
Zeile 129:		Zeile 129:

	= Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701) =		= Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701) =
		+	==IT-GS==
		+	===Übersicht===
		+	;BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS): (Management und ISB)
		+	*Dieser Standard stellt die Grundlage dar und fokussiert sich auf die Anforderungen und die Struktur eines ISMS.
		+	*Er bietet einen Überblick und Rahmenbedingungen zur Implementierung und Aufrechterhaltung eines ISMS.
		+	*Dies schliesst die Entwicklung von Sicherheitsrichtlinien und der Organisation der Informationssicherheit ein.
		+	;BSI-Standard 200-2 IT-Grundschutz-Methodik: (Für die Admins wichtig)
		+	*Standard 200-2 geht auf die praktische Anwendung und Implementierung der im ISMS festgelegten Sicherheitsstrategien ein.
		+	*Er behandelt, wie man die Sicherheitsmaßnahmen durch eine detaillierte Methodik und Modellierung von Geschäftsprozessen.
		+	*Als auch die effektive Umsetzung von IT-Systemen, um spezifische Sicherheitsanforderungen zu erfüllen.
		+	;BSI-Standard 200-3 Risikomanagement: (Management und ISB)
		+	*Dieser Standard konzentriert sich auf das Risikomanagement innerhalb des ISMS.
		+	*Er leitet Organisationen an, wie sie Risiken identifizieren, bewerten und behandeln können.
		+	*Er bietet eine tiefgehende Anleitung zum Aufbau eines Risikomanagementprozesses
		+	*Die geschieht umeine systematische Handhabung von Sicherheitsrisiken ermöglicht und damit die Grundlage für eine informierte Entscheidungsfindung in der Informationssicherheit schafft.
		+
		+	===Die Standards kurz und knapp===
		+	*[[BSI-S 200-1]]
		+	*[[BSI-S 200-2]]
		+	*[[BSI-S 200-3]]
		+	===Sollte noch aufgneommen werden===
		+	;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)
		+	*[[BSI-S 100-4]]

	= Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren =		= Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren =

@@ Zeile 1: / Zeile 1: @@
-=Übersicht=
+===Übersicht===
 ;BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS): (Management und ISB)
 *Dieser Standard stellt die Grundlage dar und fokussiert sich auf die Anforderungen und die Struktur eines ISMS.
@@ Zeile 14: / Zeile 14: @@
 *Die geschieht umeine systematische Handhabung von Sicherheitsrisiken ermöglicht und damit die Grundlage für eine informierte Entscheidungsfindung in der Informationssicherheit schafft.
-=Die Standards kurz und knapp=
+===Die Standards kurz und knapp===
 *[[BSI-S 200-1]]
 *[[BSI-S 200-2]]
 *[[BSI-S 200-3]]
-=Sollte noch aufgneommen werden=
+===Sollte noch aufgneommen werden===
 ;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)
 *[[BSI-S 100-4]]