Ist mit einem Pentester eine Vereinbarung zur Auftragsverarbeitung erforderlich

"securITy in everything we do" so lautet der Leitgedanke von yourIT. Wir bieten Kunden unter anderem professionelle Schwachstellenanalysen und Penetrationstests an. Hierzu wurden und werden deutschlandweit Systemhaus-Partner aufgebaut, die eine Versorgung mit gleichbleibender Qualität im gesamten Bundesgebiet sicherstellen können.

Sind Pentester Auftragsverarbeiter gemäß EU-DSGVO?

Folgende interessante Frage wurde von einem Partner an yourIT herangetragen:

Datenrisiken 2018: Mit welchen IT-Bedrohungen müssen wir rechnen?

2018 ist ein spannendes Jahr für den Datenschutz. Nicht nur die EU-Datenschutz-Grundverordnung erwartet uns, auch die IT bringt viele Neuheiten. Leider sind damit zugleich neue Risiken verbunden.

Mehr als Malware-Attacken

Vielleicht haben Sie schon in der einen oder anderen Computer-Zeitschrift von den Prognosen für die Datensicherheit 2018 gelesen. Kaum ein IT-Anbieter lässt die Chance ungenutzt, seine Einschätzung dazu zu veröffentlichen. Virenschutz-Hersteller berichten naturgemäß von neuen Computer-Schädlingen, die uns 2018 bedrohen. Anbieter im Bereich E-Mail-Sicherheit weisen auf die steigende Gefahr durch Phishing-Angriffe hin, die es auf Passwörter der Opfer abgesehen haben. Hier soll jedoch nun nicht eine weitere Liste der neuen IT-Gefahren folgen, sondern es geht um den richtigen Umgang mit neuen Risiken.

Schützen Sie sich vor den Datenrisiken 2018

Die Vielzahl der Prognosen für 2018 kann verwirrend sein. Einige der Vorhersagen stimmen überein, andere führen IT-Bedrohungen auf, von denen man als Nutzer vorher noch nie gehört hat...

So machen Sie Ihr Unternehmen sicherer

Kein Unternehmen kommt heute mehr ohne Computer, Internet und Firmenwebseite aus, wenn es den Anschluss nicht verpassen möchte. Gleichzeitig rüsten auch die Datendiebe auf und interessieren sich nicht nur für die Großen der Branchen, sondern auch für den kleinen Mittelständler von nebenan. Aus diesem Grund ist es besonders wichtig, dass Ihr Unternehmen sicher ist. Besonders in kleineren und mittleren Unternehmen wird die Gefahr von Cyberattacken leicht unterschätzt. Dabei sind diese von besonders häufig betroffen, weil ihr Schutz oft geringer ist. Früher reichte es meistens, ein Antivirenprogramm einfach zu installieren, wohingegen heutzutage die Kriminellen im Internet immer raffinierter und geschickter vorgehen.

Welche Bedrohungen gibt es?

Schäden durch Insider: Eine große Schwachstelle, durch die Schäden entstehen können, sind USB-Speicher. Bekommen Angestellte auf einer Messe diese als Werbegeschenk, stecken sie die USB-Sticks oft ohne Prüfung in die Firmen-PCs. Inzwischen gibt es Geräte, die sich als Speicher tarnen und mit denen sich hervorragend Firmenspionage betreiben oder eine Schadsoftware starten lässt.

Lösung: Sämtliche USB-Anschlüsse lassen sich im Netzwerk sperren und können nur durch den Administrator einzeln freigegeben werden. Damit Mitarbeiter diese Sperren nicht umgehen können, bleibt dem Unternehmen eigentlich nur, Krypto-USB-Sticks für die Mitarbeiter zu finanzieren und nur diese im Firmennetz zu erlauben.

Schäden durch Internet-Kriminelle: Industriespione und Hacker sammeln systematisch Daten. Werden diese per Internet übertragen, lassen sie sich relativ einfach auslesen. Lagern die Daten irgendwo auf Speichern, können diese das Ziel von Hackerangriffen werden. Ob beim Online-Banking, Phishing  oder Spam: Nicht immer sind die Angriffe leicht als solche zu enttarnen. Trotzdem gehen viele Firmen recht sorglos mit Passwörtern um, wählen nur einfache aus und verwenden diese mehrfach.  Datendiebe recherchieren diese gezielt in sozialen Netzwerken und probieren den Namen des  Nutzers mit Passwort auf allen Systemen aus. Ebenso sind ungesicherte Firmennetzwerke ein Einfallstor für Kriminelle. Ein kabelvernetztes Netzwerk ist sicherer, als ein Funknetzwerk. Dazu Portsperren für die LAN-Anschlüsse und eine gute Firewall.

Lösung: Ein sicheres Passwort hat mindestens 12 Zeichen, die möglichst scheinbar sinnlos aufeinander folgen und mindestens einen Großbuchstaben, ein Sonderzeichen und eine Zahl  enthalten. Mit einem Satz, der sich geschickt abkürzen lässt, bleibt ein solches Passwort besser im Gedächtnis. 

Spionage durch Mitbewerber: Ob Kundendaten oder Geschäftsinterna: Die Konkurrenz kann damit das Meiste anfangen. Besonders leicht lassen sich die Daten stehlen, wenn sie auf mobilen Geräten leicht zugänglich sind.

Lösung: Hier ist auf der sicheren Seite, wer den Teil der Festplatte verschlüsselt, auf dem die sensiblen Daten liegen. Dafür gibt es vorinstallierte Programme für Unternehmen. Macht eine zusätzliche Software die Informationen gezielt unleserlich, sind diese noch sicherer.

10 Schritte zum sicheren Unternehmen:

• Scannen Sie Ihre Schwachstellen regelmäßig und lassen Sie die Patches automatisch erneuern (Angebot: Sicherheitsaudit Webapplikationen bzw. Infrastruktur);

 

yourIT - Wir bieten Sicherheit auf Knopfdruck

• Definieren Sie Richtlinien, nach denen die Mitarbeiter mobil unterwegs sind, auch in den sozialen Medien, und kontrollieren Sie deren Einhaltung; 
• Nutzen Sie in besonders sensiblen Bereichen mehrstufige Sicherheitslösungen (auch Zwei-Faktor-Authentifizierung) 
• Sichern Sie auch die Daten, die sich außerhalb des Unternehmens befinden;
• Halten Sie Ihre IT auf einem aktuellen Stand: Ältere Systeme sind gegen Angriffe schlechter gewappnet;
• Überwachen Sie die Sicherheitsmeldungen; 
• Reduzieren Sie die gespeicherten Datenmengen (Tipp: Proaktive Datendeduplizierung);
• Stellen Sie sicher, dass auch Drittanbieter die nötige Sicherheit bieten (Stichwort: §-11-Zertifizierung für Auftragsdatenverarbeiter); 
• Arbeiten Sie nur mit Partnern zusammen, denen Sie vertrauen;
• Ändern Sie regelmäßig Ihre Kennwörter nach den oben genannten Merkmalen.

Wenn Sie nicht nur im Verdachtsfall das IT-Systemhaus Ihres Vertrauens fragen, sondern bereits vorher

Ihre Hard- und Software, den Datenschutz sowie die Prozesse und Schwachstellen von ihm checken lassen, können Sie unbesorgt online unterwegs sein.

yourIT - wir stehen für Sicherheit in allen IT-Fragen

Ich freue mich auf Ihre Projektanfrage. Fordern Sie uns!

Ihr Thomas Ströbele

BEST OF CONSULTING 2015 - Initiative Mittelstand prämiert yourIT-Beratungspakete mit dem Innovationspreis-IT

Am 16.03.2015 wurden unsere Beratungspakete

• Kern-Prozessanalyse
• Sicherheitsaudit "IT-Infrastruktur"
• Informations-Sicherheitsanalyse ISA+

beim Innovationspreis-IT der Initative Mittelstand in die Liste BEST OF CONSULTING 2015 aufgenommen.

Signet Innovationspreis-IT für yourIT-Beratungspakete

Datenschutz & Schwachstellenmanagement

Wie kontrolliert eigentlich ein Auftraggeber seinen Outsourcing-Dienstleister (siehe §11 Abs. 2 BDSG Auftragsdatenverarbeitung)

Seit der Änderung des Bundesdatenschutzgesetzes im Juli 2009 stellen sich für Auftraggeber (AG) von EDV-Outsourcing-Verträgen im Bezug auf die Kontrolle der Auftragsdatenverarbeitung (ADV) folgende Fragen:
1. Wie ist die Kontrolle zu gewährleisten?
2. Womit kann die Kontrolle technisch durchgeführt werden?

Zu 1. Wie ist die Kontrolle zu gewährleisten?
Die Neuregelung des Bundesdatenschutzgesetzes (BDSG) stellt eine Reaktion auf in der Praxis festgestellte Mängel bei der Auftragserteilung dar. In der neuen Fassung des §11 Abs. 2 BDSG werden die schriftlich festzulegenden Bedingungen der Auftragsdatenverarbeitung aufgezählt. Der Auftraggeber hat sich erstmals vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Aus Gründen der Nachweisbarkeit ist dies zu dokumentieren ist. Bei Verstößen drohen Bußgelder bis zu 50.000 oder sogar bis zu 300.000 Euro.

Die Dokumentation sollte zwingend folgendes beinhalten:
· Angaben zu den Beteiligten (Verfahrensverantwortlicher, konkreter Prüfer, Datenschutzbeauftragter (DSB), CIO)
· Angaben zur betroffenen ADV (Auftragnehmer (AN), Beginn/Ende, Art der ADV, Kritikalität, Angaben wo der ADV Vertrag vorgehalten wird)
· Angaben zur Kontrolle (Wann? Wo? Prüfer? Erstkontrolle/laufende Kontrolle? Zeitpunkt der letzten Kontrolle?)
· Art und Umfang der Kontrolle (vor Ort, teiweise/vollständig)
· Feststellungen (vertragliche, gesetzliche, techn. organisatorische Anforderungen eingehalten/nicht eingehalten; sonstige Verstöße)
· Weitere Maßnahmen (Zeitpunkt der nächsten Kontrolle/Nachkontrolle)
· Unterschrift des Prüfers

Jedoch ist nach der Gesetzesbegründung eine persönliche oder Vorort-Kontrolle nicht zwingend erforderlich. Eine schriftliche Auskunft des AN über die getroffenen Maßnahmen bzw. die Vorlage eines Testats/Zertifikats eines Sachverständigen wäre ebenfalls denkbar.

Zu 2. Womit kann die Kontrolle technisch durchgeführt werden?
In solchen Outsourcing-Verträgen werden typischerweise Regelungen zum Schwachstellen-Management getroffen, deren Einhaltung sich direkt auf die Datensicherheit und den Datenschutz auswirken. Für den AG sollte es also durchaus interessant sein, zu erfahren, ob sich der AN an die Vertragsvereinbarungen hält.

Doch wie soll der AG dies mit machbarem Aufwand kontrollieren?

Als technisch ausgereifte Lösung setzen wir von yourIT hierzu seit 2007 auf eine Schwachstellenanalyse (vulnerability management), die das gesamte EDV-Netzwerk auf Knopfdruck analysiert. Neben vielen anderen Informationen wird so die Einhaltung der Security-Policies kontrolliert und protokolliert.

Dabei halten sich die Kosten im Rahmen: Ein einmaliger Scan über 100 IP-Adressen kostet etwa 2.500 EUR incl. Beratung. Auch eine dauerhafte Kontrolle durch den AG ist möglich.

Im Übrigen kann natürlich auch der Auftragnehmer (= der Auftragsdatenverarbeiter) die Schwachstellenanalyse bei Experten wie yourIT beauftragen. Der sich ergebende Schwachstellen-Report gilt dann gegenüber dem Auftraggeber als Nachweis.