Checkliste TOM Zugangskontrolle

Aus Datenschutz-Wiki
Zur Navigation springen Zur Suche springen

Eine nähere Erläuterung des Prüfkatalogs zur Auditierung des Standes technischer und organisatorischer Maßnahmen bzw. zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage ist unter Checkliste Technische und organisatorische Maßnahmen zu finden. Des Umfangs halber wurde die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierungen beachten.

Hilfsmittel zur Durchführung

Die Erfüllung der Aufgaben nach § 9 BDSG und Anlage beinhaltet

  1. Organisationskontrolle (im BDSG nicht mehr als eigenständige Nr. in der Anlage aufgeführt)
    "die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird"
  2. Zutrittskontrolle (Anlage Nr.1)
    "Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren"
  3. Zugangskontrolle (Anlage Nr.2)
    "zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können"
  4. Zugriffskontrolle (Anlage Nr.3)
    "zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können"
  5. Weitergabekontrolle (Anlage Nr.4)
    "zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist"
  6. Eingabekontrolle (Anlage Nr.5)
    "zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind"
  7. Auftragskontrolle (Anlage Nr.6)
    "zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können"
  8. Verfügbarkeitskontrolle (Anlage Nr.7)
    "zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind"
  9. Trennungskontrolle (Anlage Nr.8)
    "zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können"

sowie

  1. Internetauftritt
  2. WLAN

Checkliste[1]

Abkürzungen: erf. = erfüllt, nicht erf. = nicht erfüllt, nicht erfdl. = nicht erforderlich / nicht zutreffend

Vorgabe erf. nicht erf. nicht erfdl. Bemerkungen
Zugangskontrolle
Passwortverfahren
Forderung einer unterschiedlichen Zeichenzusammensetzung Groß- und Kleinschreibung, Zahlen, Sonderzeichen
Mindestlänge 8 Zeichen besser: länger als 16 Zeichen (z.B. ein einfach zu merkender Satz)
Regelmäßiger Wechsel
Erstanmeldeprozedur Vergabe des ersten Passwortes durch wen? Aufforderung/Prüfung der Änderung
Bildschirmsperre bei Pausen mit Passwort-Aktivierung
Zugangssperre bei mehr als 3 Anmeldeversuchen Protokollierung fehlerhafter Anmeldeversuche? Auswertung wann durch wen?
Passworthistorie
Verwendung Gruppen-Passwörter Sollte aufgrund der Nachvollziehbarkeit von Zugriffen unbedingt vermieden werden
Richtlinie, Merkblatt
Aufbewahrung Administrator-Passwörter Zugriffsregelungen?
Einmal-Passwörter Software-/Hardware-Token?
BIOS-Passwörter
Boot-Passwörter
Single-Sign-On (SSO)?
Andere Verfahren
Biometrische Verfahren (one-to-one)
Biometrische Verfahren (one-to-many)
Elektronische Signatur
Chipkarten PIN-Vergabe und -Änderung?
Magnetkarten
Transponderkarten
Protokollierung des Zugangs (An-/Abmeldung)
Verschlüsselung mobiler Datenträger/Festplatten
Zugang von außerhalb des Intranets
Wie erfolgt der Zugang ins Internet?
Kommunikationsserver
Proxy-Server
Vergabe der Accounts?
Verwaltung der Passwörter?
Wechsel des Betriebssystems
Wechsel zu einem Live-Betriebssystem (read only)
Stand-alone-PC
Ohne Schließen der aktiven Anwendung
Welcher Internet-Provider wird genutzt?
Corporate Network Wer?
Internet-Provider (direkt) Wer?
Dienstleister (Hosting) Wer?
Verwendete Technik
ISDN
Karte
Modem
Router
DSL
Karte
Modem
Router
Firewall
Betreuung durch Dienstleister ADV Vereinbarung? SLA?
Zugriffsberechtigungskonzept
Verantwortlich für Regelwerk
Änderungsberechtigungen Wer darf Änderungen veranlassen?
Nachvollziehbarkeit von Regeländerungen Wodurch gewährleistet?
Prüfung des Regelwerks Durch wen, wie oft?
Proxy-Server mit Software-Firewall
Software-Firewall
Hardware-Firewall (Appliance)
Hersteller
Support und Wartung (Fernwartung?) Handhabung Support-Fall?
Wie oft werden Updates installiert? Richtlinie/Vorgaben?
Laufend, automatisiertes Verfahren Betriebssystem:

...

Firewall:

...

Laufend, manuell Betriebssystem:

...

Firewall:

...

Wie werden Sicherheitslücken gehandhabt? Vorgaben/Richtlinie?
Benachrichtigung durch wen? z.B. CERT
Regelmäßig, automatisiertes Verfahren
Regelmäßig, manuell In welchen Fällen?
Manuell In welchen Fällen?
Einspielung Sicherheitspatches
Laufend, automatisiertes Verfahren
Laufend, manuell
Getrennte Administration der Komponenten? Betriebssystem, Proxy, Firewall
Welcher Browser wird genutzt? Hersteller
Wie oft werden Sicherheitspatches und/oder Updates installiert?
Laufend, automatisiertes Verfahren
Laufend, manuell
Verwaltung der Konfiguration?
Durch Administration
Durch Nutzer
Werden Sicherheitseinstellungen durch Penetrationstests regelmäßig überprüft? Wenn „Ja“, durch wen und wie häufig?
Systemadministration
Administrationsrichtlinie
Administratoren sind tätig...
...hauptamtlich
...nebenamtlich
...extern ADV Vereinbarung?
Aufgabenbezogene systemtechnische Trennung bei mehreren Administratoren
Spezielle Passwortkonventionen zur Administration (abweichend von Nutzer-Passwörter)
Getrennte Benutzerkonten für Systemadministration, Sachbearbeitung, persönlichen Nutzungen
Anwendung des 4-Augen-Prinzips
Protokollierung der Administrationsarbeit
Protokoll-Server Zugriffsregelungen?
Eigener Protokoll-Bereich Wo?
Vorkehrungen gegen Protokollmanipulation
Wer wertet Protokolle ggf. aus? Anlassbezogen, regelmäßige Prüfung?
Sind Notfallpasswörter hinterlegt? Wo? Zugriffsregelungen?

Checkliste als RTF-Datei


2. Zutrittskontrolle

4. Zugriffskontrolle

Einzelnachweise

  1. ^ Dr. Peter Münch, Checklisten zur Betriebsprüfung gem. § 38 BDSG, RDV 2006, 272, 280; Coaching Workshop Datenschutzpraxis; Dr. Münch ist Berater für Datenschutz und IT-Sicherheit und Mitglied des Präsidiums der GDD-Datenschutzakademie. Als langjähriges Mitglied des GDD-Vorstandes zeichnete er für den Bereich IT-Sicherheit, Wissenschaft und Lehre sowie das Gesundheitswesen verantwortlich. Die Listen sind teilweise angepasst bzw. ergänzt.


Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.