Informationstechnologie
Allgemeiner Begriff für Technologien zur Verarbeitung Speicherung und Übertragung von Informationen
1/173
| Term | Definition |
|---|---|
| Informationstechnologie | Allgemeiner Begriff für Technologien zur Verarbeitung Speicherung und Übertragung von Informationen |
| Cyberangriff | Gezielte Handlung zur Störung Manipulation oder Ausspähung von IT Systemen |
| Social Engineering | Methoden zur Manipulation von Menschen zum Zweck der Informationsgewinnung |
| Pretexting | Vortäuschen eines falschen Szenarios um vertrauliche Informationen zu erhalten |
| Phishing | Betrügerische E‑Mail oder Nachricht mit dem Ziel Zugangsdaten oder Daten zu erlangen |
| Spear‑Phishing | Zielgerichtete Phishing‑Attacke gegen eine spezifische Person oder Rolle |
| Vishing | Telefonbasierter Betrug zur Erlangung sensibler Informationen |
| Smishing | Phishing über SMS‑Nachrichten |
| Baiting | Locken von Opfern mit verlockendem Angebot oft verbunden mit Malware |
| Tailgating Physischer Zugang | Unbefugtes Nachlaufen hinter berechtigten Personen um Zutritt zu erlangen |
| Meta‑Daten | Daten über Daten; z. B. EXIF in Bildern oder Dateieigenschaften |
| EXIF | Metadaten in Bildern die Kamera‑Modell Datum und GPS‑Informationen enthalten können |
| OSINT | Sammlung und Auswertung öffentlich zugänglicher Informationen zur Informationsgewinnung |
| Google Dorking | Gezielte Suchanfragen zur Auffindung falsch abgelegter oder sensibler Daten |
| Strava Heatmap | Beispiel für unbeabsichtigte Offenlegung von Bewegungsdaten durch Aggregation |
| BSI IT‑Grundschutz | Deutsches Rahmenwerk mit Bausteinen und Maßnahmen zur Informationssicherheit |
| Grundschutz Baustein | Modul im IT‑Grundschutz das Anforderungen und Gefährdungen für einen Bereich beschreibt |
| Basis‑Absicherung | Einstiegsstufe des IT‑Grundschutz mit elementaren Maßnahmen für alle Organisationen |
| Kern‑Absicherung | Fokussierte Umsetzung des Grundschutzes für besonders wichtige Geschäftsprozesse |
| Standard‑Absicherung | Vollständige Umsetzung des IT‑Grundschutz‑Kompendiums für umfassenden Schutz |
| WiBA Weg in die Basis Absicherung | Praxisorientiertes Einstiegskonzept in die Basis‑Absicherung für Kommunen |
| Schutzbedarf | Bewertung wie kritisch ein Informationswert in Bezug auf Vertraulichkeit Integrität Verfügbarkeit ist |
| Schutzbedarf Normal | Beeinträchtigung wäre akzeptabel für den Geschäftsbetrieb |
| Schutzbedarf Hoch | Erhebliche Schäden möglich für Betrieb oder Reputation |
| Schutzbedarf Sehr hoch | Existenzbedrohende Auswirkungen bei Verlust oder Manipulation |
| Kronjuwelen | Besonders schützenswerte Informationen oder Systeme eines Unternehmens |
| Zutritt | Physische Kontrolle des Betretens von Gebäuden oder Räumen |
| Zugang | Systemische Anmeldung an IT‑Systemen z. B. Benutzername Passwort |
| Zugriff | Nutzung oder Veränderung von Informationen innerhalb eines Systems |
| CIA‑Trias | Die drei Schutzziele Vertraulichkeit Integrität Verfügbarkeit |
| Vertraulichkeit | Schutz davor dass nur berechtigte Personen Informationen einsehen können |
| Integrität | Sicherstellung dass Informationen nicht unbemerkt verändert wurden |
| Verfügbarkeit | Gewährleistung dass Informationen und Systeme bei Bedarf nutzbar sind |
| ISMS | Informationssicherheits‑Managementsystem zur systematischen Steuerung der Informationssicherheit |
| ISO/IEC 27001 | Internationaler Standard mit Anforderungen an ein ISMS |
| Statement of Applicability SoA | Dokument das angibt welche Controls angewendet wurden und warum |
| Anhang A ISO 27001 | Sammlung möglicher Sicherheitskontrollen als Referenzrahmen |
| BSI‑Standard 200‑1 | Managementsysteme für Informationssicherheit (ISMS) nach IT‑Grundschutz |
| BSI‑Standard 200‑2 | IT‑Grundschutz‑Methodik zur praktischen Umsetzung des Grundschutzes |
| BSI‑Standard 200‑3 | Risikoanalyse auf Basis von IT‑Grundschutz zur Bewertung verbleibender Risiken |
| BSI‑Standard 200‑4 | Business Continuity Management zur Sicherstellung des Geschäftsbetriebs in Krisen |
| PDCA Zyklus Plan Do Check Act | Kontinuierlicher Verbesserungszyklus im Managementsystem |
| Deming Zirkel | Synonym für den PDCA‑Zyklus |
| Risikomanagement | Systematische Identifikation Bewertung und Behandlung von Risiken |
| Risikomatrix | Visualisierung von Eintrittswahrscheinlichkeit und Schadensausmaß zur Priorisierung |
| Risikobehandlung | Maßnahmen zur Vermeidung Reduktion Transfer oder Akzeptanz von Risiken |
| BIA Business Impact Analyse | Analyse der Auswirkungen von Ausfällen auf Geschäftsprozesse |
| MTPD | Maximal tolerierbare Ausfallzeit eines Prozesses |
| RACI Modell | Responsible Accountable Consulted Informed Modell zur Rollenklärung |
| SoA Zweck | Nachweis welche Maßnahmen gewählt wurden und Begründung für Audits |
| Interne Audits | Prüfungen zur Überprüfung der Wirksamkeit des ISMS und Vorbereitung auf Zertifizierung |
| Incident Management | Prozess zur schnellen Wiederherstellung des normalen Betriebs nach Störungen |
| Problem Management | Prozess zur Ursachenanalyse und dauerhaften Beseitigung wiederkehrender Störungen |
| Event Management | Überwachung von Ereignissen zur Früherkennung von Abweichungen und Störungen |
| Service Desk | Single Point of Contact für Anwenderanfragen Störungen und Service Requests |
| Request Fulfillment | Prozess zur Bearbeitung standardisierter Benutzeranfragen wie Passwortzurücksetzung |
| ITIL Service Lifecycle | Fünf Phasen Strategy Design Transition Operation CSI zur Steuerung von IT‑Services |
| Utility und Warranty | Begriffe zur Bewertung des Nutzens und der Qualität eines IT‑Service |
| CSI Continual Service Improvement | Kontinuierliche Verbesserung von Services und Prozessen |
| 7 Schritte Verbesserungsplan | Strukturierter Ansatz zur datenbasierten Verbesserung von Services |
| TLS | Protokoll für sichere Kommunikation im Internet das hybride Verschlüsselung nutzt |
| Hybride Verschlüsselung | Asymmetrischer Schlüsseltausch kombiniert mit symmetrischer Datenverschlüsselung |
| Symmetrische Verschlüsselung | Ein Schlüssel für Ver‑ und Entschlüsselung Beispiel AES |
| Asymmetrische Verschlüsselung | Schlüsselpaar öffentlich und privat Beispiel RSA ECC |
| Digitale Signatur | Mechanismus zur Sicherstellung von Authentizität und Integrität einer Nachricht |
| Hashfunktion | Einwegfunktion zur Erzeugung einer Prüfsumme zur Integritätsprüfung |
| Kryptoanalyse | Untersuchung von Verschlüsselungen auf Schwachstellen und Angriffsvektoren |
| Key Rotation | Regelmäßiger Austausch von Schlüsseln zur Minimierung von Kompromittierungsrisiken |
| Datensicherheit | Technischer und organisatorischer Schutz von Daten unabhängig vom Personenbezug |
| Datenschutz | Schutz personenbezogener Daten auf Basis rechtlicher Vorgaben DSGVO |
| Geheimschutz | Schutz vertraulicher interner oder klassifizierter Informationen vor Abfluss |
| Backup und Wiederherstellung | Maßnahmen zur Sicherung und Wiederherstellung von Daten und Systemen |
| Penetrationstest | Geplante Prüfung der Systeme durch simulierte Angriffe zur Aufdeckung von Schwachstellen |
| Meldesystem für Vorfälle | Mechanismus zur schnellen Meldung und Behandlung verdächtiger Ereignisse |
| KPI Kennzahl | Messgröße zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen oder Services |
| ROSI Return on Security Investment | Bewertung des finanziellen Nutzens von Sicherheitsmaßnahmen |
| Ransomware | Schadsoftware die Systeme verschlüsselt und Lösegeldforderungen stellt |
| Top‑3 Bedrohungen BSI | Ransomware Phishing/ Social Engineering Angriffe auf kritische Infrastrukturen |
| IT‑Sicherheitsgesetz 1.0 | Erste gesetzliche Regelung in DE für Betreiber kritischer Infrastrukturen (2015) |
| IT‑Sicherheitsgesetz 2.0 | Erweiterung mit mehr Branchen UBI Meldepflichten und Bußgeldern (2021) |
| NIS2 Richtlinie | EU‑Richtlinie zur Harmonisierung von Cybersicherheitsanforderungen und Meldepflichten |
| NIS2 Meldepflicht | Verpflichtung zur Meldung von Sicherheitsvorfällen innerhalb definierter Fristen (z. B. 24h) |
| BAIT | Bankaufsichtliche Anforderungen an die IT für Institute (BaFin) |
| MaRisk | Mindestanforderungen an das Risikomanagement im Bankenbereich |
| DORA | EU‑Verordnung zur digitalen Resilienz des Finanzsektors (ab 2025) |
| GoBD | Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Bücher und Unterlagen |
| Zutrittskontrolle | Physische Maßnahmen wie Karten Schlösser Sicherheitsschleusen zur Verhinderung unbefugten Betretens |
| MFA Multi‑Faktor‑Authentifizierung | Verfahren das mehrere Nachweise zur Authentifizierung verlangt z. B. Passwort + Token |
| Patch‑Management | Regelmäßiges Einspielen von Updates zur Schließung bekannter Schwachstellen |
| Awareness‑Training | Schulungen zur Sensibilisierung von Mitarbeitenden gegenüber Sicherheitsrisiken |
| BYOD Richtlinie | Richtlinie zum sicheren Einsatz privater Geräte im Unternehmenskontext |
| MDM Mobile Device Management | Technische Lösung zur Verwaltung und Absicherung mobiler Geräte |
| EXIF entfernen | Vor Veröffentlichung Bilder‑Metadaten prüfen und entfernen z. B. mit ExifTool |
| PDF‑Sanitizer | Tool zum Entfernen sensibler Metadaten aus PDF‑Dokumenten |
| Maltego | OSINT‑Tool zur graphischen Visualisierung von Beziehungen zwischen Domains Personen und Daten |
| Shodan | Suchmaschine für mit dem Internet verbundene Geräte zur Erkennung falsch konfigurierter Services |
| theHarvester | OSINT‑Tool zur Sammlung von E‑Mail Adressen und Domain‑Informationen |
| Recon‑NG | OSINT Framework für automatisierte Informationssammlung |
| Schutzbedarfsfeststellung | Prozess zur Bewertung Vertraulichkeit Integrität Verfügbarkeit je Asset |
| Asset‑Inventar | Verzeichnis aller Informationswerte Systeme Anwendungen und Prozesse |
| Modellierung im Grundschutz | Zuordnung von IT‑Verbünden zu passenden Bausteinen des Kompendiums |
| Gefährdungskatalog | BSI‑Liste typischer Gefährdungen wie Fehlkonfiguration Schadsoftware Stromausfall |
| Anforderungsprüfung | Abgleich Ist‑Zustand mit A‑Katalog Anforderungen eines Bausteins |
| SIEM Security Information and Event Management | Zentrale Logauswertung und Erkennung sicherheitsrelevanter Ereignisse |
| SoA Erstellungsschritte | Ermitteln Controls aus Anhang A Bewerten Anwendbarkeit Dokumentation der Begründung |
| ISO‑Zertifizierungsstufen Stage‑1 Stage‑2 | Stage‑1 Dokumentenprüfung Stage‑2 Wirksamkeitsprüfung im Betrieb |
| Zertifikatslaufzeit ISO27001 | Drei Jahre mit jährlichen Überwachungsaudits im 1. und 2. Jahr |
| Personenzertifikate ISO27001 | Foundation Lead Implementer Lead Auditor Nachweis individueller Kompetenzen |
| Managementbewertung | Strategische Überprüfung Wirksamkeit ISMS durch die Unternehmensleitung |
| Notfallmanagement | Vorbereitung Wiederanlauf und Tests zur Sicherstellung der Betriebsfähigkeit in Krisen |
| Wiederanlaufplan | Prozeduren zum Wiederherstellen kritischer Systeme nach Ausfall |
| Forensische Dokumentation | Beweissichere Aufzeichnung von Sicherheitsvorfällen für Analyse und Nachweis |
| Sicherheitsvorfall Definition | Jedes Ereignis das Vertraulichkeit Integrität oder Verfügbarkeit beeinträchtigen kann |
| Meldepflichten bei Vorfällen | Interne und externe Meldewege z. B. an BSI oder Aufsichtsbehörden je Rechtslage |
| Schulungspflicht Arbeitgeber | Verpflichtung zur regelmäßigen Unterweisung der Mitarbeitenden zu Sicherheits‑ und Datenschutzthemen |
| Zugriffsrechteverwaltung | Prinzip der minimalen Rechtevergabe zur Reduzierung von Missbrauchsrisiken |
| Backup‑Test | Regelmäßige Überprüfung der Wiederherstellbarkeit von Backups zur Sicherstellung der Verfügbarkeit |
| Sicherheitskultur | Unternehmensweite Haltung und Verhalten die Informationssicherheit fördert |
| Business Continuity Management BCM | Strategie und Maßnahmen zur Aufrechterhaltung kritischer Geschäftsprozesse |
| Wirtschaftlichkeitsbetrachtung WiBa | Bewertung Kosten Nutzen von Sicherheitsmaßnahmen zur Entscheidungsunterstützung |
| ROSI Formel | ROSI = (Risikoverminderung − Kosten) / Kosten zur Bewertung Investitionsrentabilität |
| SoA Audit‑Nutzen | Ermöglicht Auditoren Nachvollziehbarkeit welche Controls warum umgesetzt wurden |
| PDCA im ISMS | Planen Umsetzen Prüfen Handeln zur kontinuierlichen Verbesserung des ISMS |
| 7‑Schritte‑Verbesserungsplan | Schritte von Messung Datensammlung Analyse bis Implementierung und Überwachung von Verbesserungen |
| Service Owner | Verantwortliche Person für einen Service über dessen gesamten Lebenszyklus |
| Process Owner | Verantwortlich für korrekte Durchführung eines Prozesses |
| SLA Service Level Agreement | Vereinbarte Leistungsparameter zwischen Dienstleister und Kunde |
| OLA Operational Level Agreement | Interne Vereinbarung zwischen IT‑Teams zur Unterstützung eines Services |
| KPI Beispiele | Anzahl Sicherheitsvorfälle Backup‑Test Erfolgsquote Schulungsquote als Messgrößen |
| Meldung an BSI | Bei bestimmten Vorfällen Meldepflicht an das Bundesamt für Sicherheit in der Informationstechnik |
| Struktur einer Risikoanalyse | Identifikation Bewertung Priorisierung Behandlung und Dokumentation von Risiken |
| Unterschied Datenschutz vs Datensicherheit | Datenschutz schützt Personenrechte Datensicherheit schützt technische Integrität Verfügbarkeit der Daten |
| Definition Gefahr vs Risiko | Gefahr = Möglichkeit eines Schadens Risiko = Eintrittswahrscheinlichkeit × Schadensausmaß |
| Definition Incident | Einzelnes Ereignis das den Service beeinträchtigt und schnelle Reaktion erfordert |
| Definition Problem | Grundursache für wiederkehrende Incidents die dauerhafte Lösung erfordert |
| Prüfungsfrage: Was ist ein ISMS? | Ein systematisches Managementsystem zur Steuerung Informationssicherheit inkl. Richtlinien Rollen Risiko‑ und Maßnahmenmanagement |
| Prüfungsfrage: Nenne die drei Schutzziele | CIA = Vertraulichkeit Integrität Verfügbarkeit |
| Prüfungsfrage: Definiere Vertraulichkeit | Schutz davor dass nur berechtigte Personen Informationen einsehen oder nutzen können |
| Prüfungsfrage: Definiere Integrität | Sicherstellung dass Informationen vollständig und unverändert sind |
| Prüfungsfrage: Definiere Verfügbarkeit | Gewährleistung dass Informationen und Systeme bei Bedarf nutzbar sind |
| Prüfungsfrage: Was ist eine Risikomatrix? | Werkzeug zur Einordnung von Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe |
| Prüfungsfrage: Nenne zwei Maßnahmen gegen Phishing | Schulung der Mitarbeitenden und technische Filter/Spam‑Scanner; keine Links in E‑Mails anklicken |
| Prüfungsfrage: Was ist eine BIA? | Business Impact Analyse zur Bestimmung kritischer Prozesse und maximal tolerierbarer Ausfallzeiten |
| Prüfungsfrage: Was bedeutet MTPD? | Maximal tolerierbare Ausfallzeit eines Prozesses bevor erheblicher Schaden entsteht |
| Prüfungsfrage: Was ist eine SoA in einem Satz? | Dokument das festhält welche Controls angewendet wurden welche nicht und warum als Nachweis im ISMS |
| Prüfungsfrage: Nenne die drei Absicherungsstufen des IT‑Grundschutz | Basis‑Absicherung Kern‑Absicherung Standard‑Absicherung |
| Prüfungsfrage: Für wen ist die Basis‑Absicherung geeignet? | Kleine Organisationen oder Handwerksbetriebe als pragmatischer Einstieg in IT‑Sicherheit |
| Prüfungsfrage: Für wen ist die Kern‑Absicherung geeignet? | Organisationen mit kritischen Geschäftsprozessen z. B. mittelständische Produktionsunternehmen |
| Prüfungsfrage: Was ist WiBA? | Praxisorientiertes Einstiegskonzept in die Basis‑Absicherung mit Checklisten für Kommunen und kleine Organisationen |
| Prüfungsfrage: Nenne die Stufen im ISO‑Zertifizierungsprozess | Stage‑1 Dokumentenprüfung Stage‑2 Wirksamkeitsprüfung sowie jährliche Überwachungsaudits und Re‑Zertifizierung nach 3 Jahren |
| Prüfungsfrage: Was prüft ein interner Audit? | Konformität und Wirksamkeit von Prozessen Kontrollen und Dokumentation im ISMS |
| Prüfungsfrage: Was ist PDCA kurz erklärt? | Planen Maßnahmen umsetzen prüfen und handeln zur kontinuierlichen Verbesserung |
| Prüfungsfrage: Nenne ein Beispiel für eine technische Maßnahme zur Integrität | Hashfunktionen Prüfsummen oder digitale Signaturen zur Erkennung von Manipulationen |
| Prüfungsfrage: Wie funktioniert hybride Verschlüsselung kurz? | Asymmetrischer Schlüsseltausch zur Aushandlung eines symmetrischen Sitzungsschlüssels; symmetrische Verschlüsselung für die Datenübertragung |
| Prüfungsfrage: Was ist TLS in einem Satz? | Protokoll für sichere Kommunikation im Internet das hybride Verschlüsselung für Schlüsseltausch und symmetrische Verschlüsselung für Daten nutzt |
| Prüfungsfrage: Nenne drei typische OSINT‑Quellen | Suchmaschinen Social Media Firmenwebsites DNS/Whois |
| Prüfungsfrage: Warum sind Meta‑Daten gefährlich? | Sie können Standort interne Pfade oder Autoreninformationen preisgeben und Angreifern für Profiling dienen |
| Prüfungsfrage: Was ist ein SIEM kurz? | Zentrales System zur Sammlung Analyse und Korrelation von Logs zur Erkennung sicherheitsrelevanter Ereignisse |
| Prüfungsfrage: Nenne zwei organisatorische Maßnahmen zur Datensicherheit | Zugriffsrechteverwaltung und regelmäßige Schulungen/Awareness‑Programme |
| Prüfungsfrage: Was ist ein Penetrationstest? | Simulierter Angriff zur Identifikation von Schwachstellen und Bewertung der Wirksamkeit von Schutzmaßnahmen |
| Prüfungsfrage: Welche drei Bedrohungen nennt das BSI als Top‑3? | Ransomware Phishing/Social Engineering Angriffe auf kritische Infrastrukturen |
| Prüfungsfrage: Was ist der Unterschied Zutritt Zugang Zugriff? | Zutritt = physisch Zugang = Anmeldung an System Zugriff = Nutzung/Änderung von Daten |
| Prüfungsfrage: Nenne drei Elemente eines Notfallplans | Erkennung Eskalation Wiederanlauf und Kommunikationswege |
| Prüfungsfrage: Was ist Key Rotation und warum wichtig? | Regelmäßiger Austausch kryptographischer Schlüssel zur Begrenzung der Wirkung eines kompromittierten Schlüssels |
| Prüfungsfrage: Nenne zwei Maßnahmen zur Absicherung von BYOD | MDM‑Lösungen und verbindliche BYOD‑Richtlinien mit Verschlüsselungspflicht |
| Prüfungsfrage: Was ist eine Managementbewertung? | Strategische Überprüfung des ISMS durch die Geschäftsleitung inkl. Audit Ergebnissen Vorfällen und Ressourcenbedarf |
| Prüfungsfrage: Wie dokumentiert man einen Sicherheitsvorfall forensisch? | Zeitstempel Logs Beweissichere Kopien und lückenlose Dokumentation aller Schritte und Entscheidungen |
| Prüfungsfrage: Was ist eine Checkliste im IT‑Grundschutz? | Praktisches Werkzeug zur Selbstbewertung welche Maßnahmen eines Bausteins umgesetzt sind |
| Prüfungsfrage: Nenne ein Tool zum Entfernen von EXIF‑Daten | ExifTool |
| Prüfungsfrage: Was bedeutet „Keine Sicherheit durch Geheimhaltung des Algorithmus“? | Sicherheit darf nur vom Schlüssel abhängen nicht vom Verbergen des Algorithmus |
| Prüfungsfrage: Nenne drei Kontrollbereiche aus ISO/IEC 27002 | Asset‑Management Zugangskontrolle Kryptografie Betriebssicherheit |
| Prüfungsfrage: Was ist eine SoA‑Begründung? | Dokumentierte Erklärung warum ein Control angewendet oder ausgeschlossen wurde basierend auf Risikoanalyse |
| Prüfungsfrage: Wie lange ist ein ISO/IEC 27001 Zertifikat gültig? | Drei Jahre mit jährlichen Überwachungsaudits |