Informationstechnologie

Allgemeiner Begriff für Technologien zur Verarbeitung Speicherung und Übertragung von Informationen

Cyberangriff

Gezielte Handlung zur Störung Manipulation oder Ausspähung von IT Systemen

Social Engineering

Methoden zur Manipulation von Menschen zum Zweck der Informationsgewinnung

Pretexting

Vortäuschen eines falschen Szenarios um vertrauliche Informationen zu erhalten

Phishing

Betrügerische E‑Mail oder Nachricht mit dem Ziel Zugangsdaten oder Daten zu erlangen

Spear‑Phishing

Zielgerichtete Phishing‑Attacke gegen eine spezifische Person oder Rolle

Vishing

Telefonbasierter Betrug zur Erlangung sensibler Informationen

Smishing

Phishing über SMS‑Nachrichten

Baiting

Locken von Opfern mit verlockendem Angebot oft verbunden mit Malware

Tailgating Physischer Zugang

Unbefugtes Nachlaufen hinter berechtigten Personen um Zutritt zu erlangen

Meta‑Daten

Daten über Daten; z. B. EXIF in Bildern oder Dateieigenschaften

EXIF

Metadaten in Bildern die Kamera‑Modell Datum und GPS‑Informationen enthalten können

OSINT

Sammlung und Auswertung öffentlich zugänglicher Informationen zur Informationsgewinnung

Google Dorking

Gezielte Suchanfragen zur Auffindung falsch abgelegter oder sensibler Daten

Strava Heatmap

Beispiel für unbeabsichtigte Offenlegung von Bewegungsdaten durch Aggregation

BSI IT‑Grundschutz

Deutsches Rahmenwerk mit Bausteinen und Maßnahmen zur Informationssicherheit

Grundschutz Baustein

Modul im IT‑Grundschutz das Anforderungen und Gefährdungen für einen Bereich beschreibt

Basis‑Absicherung

Einstiegsstufe des IT‑Grundschutz mit elementaren Maßnahmen für alle Organisationen

Kern‑Absicherung

Fokussierte Umsetzung des Grundschutzes für besonders wichtige Geschäftsprozesse

Standard‑Absicherung

Vollständige Umsetzung des IT‑Grundschutz‑Kompendiums für umfassenden Schutz

WiBA Weg in die Basis Absicherung

Praxisorientiertes Einstiegskonzept in die Basis‑Absicherung für Kommunen

Schutzbedarf

Bewertung wie kritisch ein Informationswert in Bezug auf Vertraulichkeit Integrität Verfügbarkeit ist

Schutzbedarf Normal

Beeinträchtigung wäre akzeptabel für den Geschäftsbetrieb

Schutzbedarf Hoch

Erhebliche Schäden möglich für Betrieb oder Reputation

Schutzbedarf Sehr hoch

Existenzbedrohende Auswirkungen bei Verlust oder Manipulation

Kronjuwelen

Besonders schützenswerte Informationen oder Systeme eines Unternehmens

Zutritt

Physische Kontrolle des Betretens von Gebäuden oder Räumen

Zugang

Systemische Anmeldung an IT‑Systemen z. B. Benutzername Passwort

Zugriff

Nutzung oder Veränderung von Informationen innerhalb eines Systems

CIA‑Trias

Die drei Schutzziele Vertraulichkeit Integrität Verfügbarkeit

Vertraulichkeit

Schutz davor dass nur berechtigte Personen Informationen einsehen können

Integrität

Sicherstellung dass Informationen nicht unbemerkt verändert wurden

Verfügbarkeit

Gewährleistung dass Informationen und Systeme bei Bedarf nutzbar sind

ISMS

Informationssicherheits‑Managementsystem zur systematischen Steuerung der Informationssicherheit

ISO/IEC 27001

Internationaler Standard mit Anforderungen an ein ISMS

Statement of Applicability SoA

Dokument das angibt welche Controls angewendet wurden und warum

Anhang A ISO 27001

Sammlung möglicher Sicherheitskontrollen als Referenzrahmen

BSI‑Standard 200‑1

Managementsysteme für Informationssicherheit (ISMS) nach IT‑Grundschutz

BSI‑Standard 200‑2

IT‑Grundschutz‑Methodik zur praktischen Umsetzung des Grundschutzes

BSI‑Standard 200‑3

Risikoanalyse auf Basis von IT‑Grundschutz zur Bewertung verbleibender Risiken

BSI‑Standard 200‑4

Business Continuity Management zur Sicherstellung des Geschäftsbetriebs in Krisen

PDCA Zyklus Plan Do Check Act

Kontinuierlicher Verbesserungszyklus im Managementsystem

Deming Zirkel

Synonym für den PDCA‑Zyklus

Risikomanagement

Systematische Identifikation Bewertung und Behandlung von Risiken

Risikomatrix

Visualisierung von Eintrittswahrscheinlichkeit und Schadensausmaß zur Priorisierung

Risikobehandlung

Maßnahmen zur Vermeidung Reduktion Transfer oder Akzeptanz von Risiken

BIA Business Impact Analyse

Analyse der Auswirkungen von Ausfällen auf Geschäftsprozesse

MTPD

Maximal tolerierbare Ausfallzeit eines Prozesses

RACI Modell

Responsible Accountable Consulted Informed Modell zur Rollenklärung

SoA Zweck

Nachweis welche Maßnahmen gewählt wurden und Begründung für Audits

Interne Audits

Prüfungen zur Überprüfung der Wirksamkeit des ISMS und Vorbereitung auf Zertifizierung

Incident Management

Prozess zur schnellen Wiederherstellung des normalen Betriebs nach Störungen

Problem Management

Prozess zur Ursachenanalyse und dauerhaften Beseitigung wiederkehrender Störungen

Event Management

Überwachung von Ereignissen zur Früherkennung von Abweichungen und Störungen

Service Desk

Single Point of Contact für Anwenderanfragen Störungen und Service Requests

Request Fulfillment

Prozess zur Bearbeitung standardisierter Benutzeranfragen wie Passwortzurücksetzung

ITIL Service Lifecycle

Fünf Phasen Strategy Design Transition Operation CSI zur Steuerung von IT‑Services

Utility und Warranty

Begriffe zur Bewertung des Nutzens und der Qualität eines IT‑Service

CSI Continual Service Improvement

Kontinuierliche Verbesserung von Services und Prozessen

7 Schritte Verbesserungsplan

Strukturierter Ansatz zur datenbasierten Verbesserung von Services

TLS

Protokoll für sichere Kommunikation im Internet das hybride Verschlüsselung nutzt

Hybride Verschlüsselung

Asymmetrischer Schlüsseltausch kombiniert mit symmetrischer Datenverschlüsselung

Symmetrische Verschlüsselung

Ein Schlüssel für Ver‑ und Entschlüsselung Beispiel AES

Asymmetrische Verschlüsselung

Schlüsselpaar öffentlich und privat Beispiel RSA ECC

Digitale Signatur

Mechanismus zur Sicherstellung von Authentizität und Integrität einer Nachricht

Hashfunktion

Einwegfunktion zur Erzeugung einer Prüfsumme zur Integritätsprüfung

Kryptoanalyse

Untersuchung von Verschlüsselungen auf Schwachstellen und Angriffsvektoren

Key Rotation

Regelmäßiger Austausch von Schlüsseln zur Minimierung von Kompromittierungsrisiken

Datensicherheit

Technischer und organisatorischer Schutz von Daten unabhängig vom Personenbezug

Datenschutz

Schutz personenbezogener Daten auf Basis rechtlicher Vorgaben DSGVO

Geheimschutz

Schutz vertraulicher interner oder klassifizierter Informationen vor Abfluss

Backup und Wiederherstellung

Maßnahmen zur Sicherung und Wiederherstellung von Daten und Systemen

Penetrationstest

Geplante Prüfung der Systeme durch simulierte Angriffe zur Aufdeckung von Schwachstellen

Meldesystem für Vorfälle

Mechanismus zur schnellen Meldung und Behandlung verdächtiger Ereignisse

KPI Kennzahl

Messgröße zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen oder Services

ROSI Return on Security Investment

Bewertung des finanziellen Nutzens von Sicherheitsmaßnahmen

Ransomware

Schadsoftware die Systeme verschlüsselt und Lösegeldforderungen stellt

Top‑3 Bedrohungen BSI

Ransomware Phishing/ Social Engineering Angriffe auf kritische Infrastrukturen

IT‑Sicherheitsgesetz 1.0

Erste gesetzliche Regelung in DE für Betreiber kritischer Infrastrukturen (2015)

IT‑Sicherheitsgesetz 2.0

Erweiterung mit mehr Branchen UBI Meldepflichten und Bußgeldern (2021)

NIS2 Richtlinie

EU‑Richtlinie zur Harmonisierung von Cybersicherheitsanforderungen und Meldepflichten

NIS2 Meldepflicht

Verpflichtung zur Meldung von Sicherheitsvorfällen innerhalb definierter Fristen (z. B. 24h)

BAIT

Bankaufsichtliche Anforderungen an die IT für Institute (BaFin)

MaRisk

Mindestanforderungen an das Risikomanagement im Bankenbereich

DORA

EU‑Verordnung zur digitalen Resilienz des Finanzsektors (ab 2025)

GoBD

Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Bücher und Unterlagen

Zutrittskontrolle

Physische Maßnahmen wie Karten Schlösser Sicherheitsschleusen zur Verhinderung unbefugten Betretens

MFA Multi‑Faktor‑Authentifizierung

Verfahren das mehrere Nachweise zur Authentifizierung verlangt z. B. Passwort + Token

Patch‑Management

Regelmäßiges Einspielen von Updates zur Schließung bekannter Schwachstellen

Awareness‑Training

Schulungen zur Sensibilisierung von Mitarbeitenden gegenüber Sicherheitsrisiken

BYOD Richtlinie

Richtlinie zum sicheren Einsatz privater Geräte im Unternehmenskontext

MDM Mobile Device Management

Technische Lösung zur Verwaltung und Absicherung mobiler Geräte

EXIF entfernen

Vor Veröffentlichung Bilder‑Metadaten prüfen und entfernen z. B. mit ExifTool

PDF‑Sanitizer

Tool zum Entfernen sensibler Metadaten aus PDF‑Dokumenten

Maltego

OSINT‑Tool zur graphischen Visualisierung von Beziehungen zwischen Domains Personen und Daten

Shodan

Suchmaschine für mit dem Internet verbundene Geräte zur Erkennung falsch konfigurierter Services

theHarvester

OSINT‑Tool zur Sammlung von E‑Mail Adressen und Domain‑Informationen

Recon‑NG

OSINT Framework für automatisierte Informationssammlung

Schutzbedarfsfeststellung

Prozess zur Bewertung Vertraulichkeit Integrität Verfügbarkeit je Asset

Asset‑Inventar

Verzeichnis aller Informationswerte Systeme Anwendungen und Prozesse

Modellierung im Grundschutz

Zuordnung von IT‑Verbünden zu passenden Bausteinen des Kompendiums

Gefährdungskatalog

BSI‑Liste typischer Gefährdungen wie Fehlkonfiguration Schadsoftware Stromausfall

Anforderungsprüfung

Abgleich Ist‑Zustand mit A‑Katalog Anforderungen eines Bausteins

SIEM Security Information and Event Management

Zentrale Logauswertung und Erkennung sicherheitsrelevanter Ereignisse

SoA Erstellungsschritte

Ermitteln Controls aus Anhang A Bewerten Anwendbarkeit Dokumentation der Begründung

ISO‑Zertifizierungsstufen Stage‑1 Stage‑2

Stage‑1 Dokumentenprüfung Stage‑2 Wirksamkeitsprüfung im Betrieb

Zertifikatslaufzeit ISO27001

Drei Jahre mit jährlichen Überwachungsaudits im 1. und 2. Jahr

Personenzertifikate ISO27001

Foundation Lead Implementer Lead Auditor Nachweis individueller Kompetenzen

Managementbewertung

Strategische Überprüfung Wirksamkeit ISMS durch die Unternehmensleitung

Notfallmanagement

Vorbereitung Wiederanlauf und Tests zur Sicherstellung der Betriebsfähigkeit in Krisen

Wiederanlaufplan

Prozeduren zum Wiederherstellen kritischer Systeme nach Ausfall

Forensische Dokumentation

Beweissichere Aufzeichnung von Sicherheitsvorfällen für Analyse und Nachweis

Sicherheitsvorfall Definition

Jedes Ereignis das Vertraulichkeit Integrität oder Verfügbarkeit beeinträchtigen kann

Meldepflichten bei Vorfällen

Interne und externe Meldewege z. B. an BSI oder Aufsichtsbehörden je Rechtslage

Schulungspflicht Arbeitgeber

Verpflichtung zur regelmäßigen Unterweisung der Mitarbeitenden zu Sicherheits‑ und Datenschutzthemen

Zugriffsrechteverwaltung

Prinzip der minimalen Rechtevergabe zur Reduzierung von Missbrauchsrisiken

Backup‑Test

Regelmäßige Überprüfung der Wiederherstellbarkeit von Backups zur Sicherstellung der Verfügbarkeit

Sicherheitskultur

Unternehmensweite Haltung und Verhalten die Informationssicherheit fördert

Business Continuity Management BCM

Strategie und Maßnahmen zur Aufrechterhaltung kritischer Geschäftsprozesse

Wirtschaftlichkeitsbetrachtung WiBa

Bewertung Kosten Nutzen von Sicherheitsmaßnahmen zur Entscheidungsunterstützung

ROSI Formel

ROSI = (Risikoverminderung − Kosten) / Kosten zur Bewertung Investitionsrentabilität

SoA Audit‑Nutzen

Ermöglicht Auditoren Nachvollziehbarkeit welche Controls warum umgesetzt wurden

PDCA im ISMS

Planen Umsetzen Prüfen Handeln zur kontinuierlichen Verbesserung des ISMS

7‑Schritte‑Verbesserungsplan

Schritte von Messung Datensammlung Analyse bis Implementierung und Überwachung von Verbesserungen

Service Owner

Verantwortliche Person für einen Service über dessen gesamten Lebenszyklus

Process Owner

Verantwortlich für korrekte Durchführung eines Prozesses

SLA Service Level Agreement

Vereinbarte Leistungsparameter zwischen Dienstleister und Kunde

OLA Operational Level Agreement

Interne Vereinbarung zwischen IT‑Teams zur Unterstützung eines Services

KPI Beispiele

Anzahl Sicherheitsvorfälle Backup‑Test Erfolgsquote Schulungsquote als Messgrößen

Meldung an BSI

Bei bestimmten Vorfällen Meldepflicht an das Bundesamt für Sicherheit in der Informationstechnik

Struktur einer Risikoanalyse

Identifikation Bewertung Priorisierung Behandlung und Dokumentation von Risiken

Unterschied Datenschutz vs Datensicherheit

Datenschutz schützt Personenrechte Datensicherheit schützt technische Integrität Verfügbarkeit der Daten

Definition Gefahr vs Risiko

Gefahr = Möglichkeit eines Schadens Risiko = Eintrittswahrscheinlichkeit × Schadensausmaß

Definition Incident

Einzelnes Ereignis das den Service beeinträchtigt und schnelle Reaktion erfordert

Definition Problem

Grundursache für wiederkehrende Incidents die dauerhafte Lösung erfordert

Prüfungsfrage: Was ist ein ISMS?

Ein systematisches Managementsystem zur Steuerung Informationssicherheit inkl. Richtlinien Rollen Risiko‑ und Maßnahmenmanagement

Prüfungsfrage: Nenne die drei Schutzziele

CIA = Vertraulichkeit Integrität Verfügbarkeit

Prüfungsfrage: Definiere Vertraulichkeit

Schutz davor dass nur berechtigte Personen Informationen einsehen oder nutzen können

Prüfungsfrage: Definiere Integrität

Sicherstellung dass Informationen vollständig und unverändert sind

Prüfungsfrage: Definiere Verfügbarkeit

Gewährleistung dass Informationen und Systeme bei Bedarf nutzbar sind

Prüfungsfrage: Was ist eine Risikomatrix?

Werkzeug zur Einordnung von Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe

Prüfungsfrage: Nenne zwei Maßnahmen gegen Phishing

Schulung der Mitarbeitenden und technische Filter/Spam‑Scanner; keine Links in E‑Mails anklicken

Prüfungsfrage: Was ist eine BIA?

Business Impact Analyse zur Bestimmung kritischer Prozesse und maximal tolerierbarer Ausfallzeiten

Prüfungsfrage: Was bedeutet MTPD?

Maximal tolerierbare Ausfallzeit eines Prozesses bevor erheblicher Schaden entsteht

Prüfungsfrage: Was ist eine SoA in einem Satz?

Dokument das festhält welche Controls angewendet wurden welche nicht und warum als Nachweis im ISMS

Prüfungsfrage: Nenne die drei Absicherungsstufen des IT‑Grundschutz

Basis‑Absicherung Kern‑Absicherung Standard‑Absicherung

Prüfungsfrage: Für wen ist die Basis‑Absicherung geeignet?

Kleine Organisationen oder Handwerksbetriebe als pragmatischer Einstieg in IT‑Sicherheit

Prüfungsfrage: Für wen ist die Kern‑Absicherung geeignet?

Organisationen mit kritischen Geschäftsprozessen z. B. mittelständische Produktionsunternehmen

Prüfungsfrage: Was ist WiBA?

Praxisorientiertes Einstiegskonzept in die Basis‑Absicherung mit Checklisten für Kommunen und kleine Organisationen

Prüfungsfrage: Nenne die Stufen im ISO‑Zertifizierungsprozess

Stage‑1 Dokumentenprüfung Stage‑2 Wirksamkeitsprüfung sowie jährliche Überwachungsaudits und Re‑Zertifizierung nach 3 Jahren

Prüfungsfrage: Was prüft ein interner Audit?

Konformität und Wirksamkeit von Prozessen Kontrollen und Dokumentation im ISMS

Prüfungsfrage: Was ist PDCA kurz erklärt?

Planen Maßnahmen umsetzen prüfen und handeln zur kontinuierlichen Verbesserung

Prüfungsfrage: Nenne ein Beispiel für eine technische Maßnahme zur Integrität

Hashfunktionen Prüfsummen oder digitale Signaturen zur Erkennung von Manipulationen

Prüfungsfrage: Wie funktioniert hybride Verschlüsselung kurz?

Asymmetrischer Schlüsseltausch zur Aushandlung eines symmetrischen Sitzungsschlüssels; symmetrische Verschlüsselung für die Datenübertragung

Prüfungsfrage: Was ist TLS in einem Satz?

Protokoll für sichere Kommunikation im Internet das hybride Verschlüsselung für Schlüsseltausch und symmetrische Verschlüsselung für Daten nutzt

Prüfungsfrage: Nenne drei typische OSINT‑Quellen

Suchmaschinen Social Media Firmenwebsites DNS/Whois

Prüfungsfrage: Warum sind Meta‑Daten gefährlich?

Sie können Standort interne Pfade oder Autoreninformationen preisgeben und Angreifern für Profiling dienen

Prüfungsfrage: Was ist ein SIEM kurz?

Zentrales System zur Sammlung Analyse und Korrelation von Logs zur Erkennung sicherheitsrelevanter Ereignisse

Prüfungsfrage: Nenne zwei organisatorische Maßnahmen zur Datensicherheit

Zugriffsrechteverwaltung und regelmäßige Schulungen/Awareness‑Programme

Prüfungsfrage: Was ist ein Penetrationstest?

Simulierter Angriff zur Identifikation von Schwachstellen und Bewertung der Wirksamkeit von Schutzmaßnahmen

Prüfungsfrage: Welche drei Bedrohungen nennt das BSI als Top‑3?

Ransomware Phishing/Social Engineering Angriffe auf kritische Infrastrukturen

Prüfungsfrage: Was ist der Unterschied Zutritt Zugang Zugriff?

Zutritt = physisch Zugang = Anmeldung an System Zugriff = Nutzung/Änderung von Daten

Prüfungsfrage: Nenne drei Elemente eines Notfallplans

Erkennung Eskalation Wiederanlauf und Kommunikationswege

Prüfungsfrage: Was ist Key Rotation und warum wichtig?

Regelmäßiger Austausch kryptographischer Schlüssel zur Begrenzung der Wirkung eines kompromittierten Schlüssels

Prüfungsfrage: Nenne zwei Maßnahmen zur Absicherung von BYOD

MDM‑Lösungen und verbindliche BYOD‑Richtlinien mit Verschlüsselungspflicht

Prüfungsfrage: Was ist eine Managementbewertung?

Strategische Überprüfung des ISMS durch die Geschäftsleitung inkl. Audit Ergebnissen Vorfällen und Ressourcenbedarf

Prüfungsfrage: Wie dokumentiert man einen Sicherheitsvorfall forensisch?

Zeitstempel Logs Beweissichere Kopien und lückenlose Dokumentation aller Schritte und Entscheidungen

Prüfungsfrage: Was ist eine Checkliste im IT‑Grundschutz?

Praktisches Werkzeug zur Selbstbewertung welche Maßnahmen eines Bausteins umgesetzt sind

Prüfungsfrage: Nenne ein Tool zum Entfernen von EXIF‑Daten

ExifTool

Prüfungsfrage: Was bedeutet „Keine Sicherheit durch Geheimhaltung des Algorithmus“?

Sicherheit darf nur vom Schlüssel abhängen nicht vom Verbergen des Algorithmus

Prüfungsfrage: Nenne drei Kontrollbereiche aus ISO/IEC 27002

Asset‑Management Zugangskontrolle Kryptografie Betriebssicherheit

Prüfungsfrage: Was ist eine SoA‑Begründung?

Dokumentierte Erklärung warum ein Control angewendet oder ausgeschlossen wurde basierend auf Risikoanalyse

Prüfungsfrage: Wie lange ist ein ISO/IEC 27001 Zertifikat gültig?

Drei Jahre mit jährlichen Überwachungsaudits