Checkliste TOM Zugangskontrolle

Eine nähere Erläuterung des Prüfkatalogs zur Auditierung des Standes technischer und organisatorischer Maßnahmen bzw. zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage ist unter Checkliste Technische und organisatorische Maßnahmen zu finden. Des Umfangs halber wurde die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierungen beachten.

Hilfsmittel zur Durchführung

Die Erfüllung der Aufgaben nach § 9 BDSG und Anlage beinhaltet

1. Organisationskontrolle (im BDSG nicht mehr als eigenständige Nr. in der Anlage aufgeführt)

   "die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird"

2. Zutrittskontrolle (Anlage Nr.1)

   "Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren"

3. Zugangskontrolle (Anlage Nr.2)

   "zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können"

4. Zugriffskontrolle (Anlage Nr.3)

   "zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können"

5. Weitergabekontrolle (Anlage Nr.4)

   "zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist"

6. Eingabekontrolle (Anlage Nr.5)

   "zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind"

7. Auftragskontrolle (Anlage Nr.6)

   "zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können"

8. Verfügbarkeitskontrolle (Anlage Nr.7)

   "zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind"

9. Trennungskontrolle (Anlage Nr.8)

   "zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können"

sowie

10. Internetauftritt
11. WLAN

Checkliste

Abkürzungen: erf. = erfüllt, nicht erf. = nicht erfüllt, nicht erfdl. = nicht erforderlich / nicht zutreffend

Vorgabe		erf.	nicht erf.	nicht erfdl.	Bemerkungen
Zugangskontrolle
	Passwortverfahren
	Forderung einer unterschiedlichen Zeichenzusammensetzung				Groß- und Kleinschreibung, Zahlen, Sonderzeichen
	Mindestlänge 8 Zeichen				besser: länger als 16 Zeichen (z.B. ein einfach zu merkender Satz)
	Regelmäßiger Wechsel
	Erstanmeldeprozedur				Vergabe des ersten Passwortes durch wen? Aufforderung/Prüfung der Änderung
	Bildschirmsperre bei Pausen mit Passwort-Aktivierung
	Zugangssperre bei mehr als 3 Anmeldeversuchen				Protokollierung fehlerhafter Anmeldeversuche? Auswertung wann durch wen?
	Passworthistorie
	Verwendung Gruppen-Passwörter				Sollte aufgrund der Nachvollziehbarkeit von Zugriffen unbedingt vermieden werden
	Richtlinie, Merkblatt
	Aufbewahrung Administrator-Passwörter				Zugriffsregelungen?
	Einmal-Passwörter				Software-/Hardware-Token?
	BIOS-Passwörter
	Boot-Passwörter
	Single-Sign-On (SSO)?
	Andere Verfahren
	Biometrische Verfahren (one-to-one)
	Biometrische Verfahren (one-to-many)
	Elektronische Signatur
	Chipkarten				PIN-Vergabe und -Änderung?
	Magnetkarten
	Transponderkarten
	Protokollierung des Zugangs (An-/Abmeldung)
	Verschlüsselung mobiler Datenträger/Festplatten
	Zugang von außerhalb des Intranets
	Wie erfolgt der Zugang ins Internet?
	Kommunikationsserver
	Proxy-Server
	Vergabe der Accounts?
	Verwaltung der Passwörter?
	Wechsel des Betriebssystems
	Wechsel zu einem Live-Betriebssystem (read only)
	Stand-alone-PC
	Ohne Schließen der aktiven Anwendung
	Welcher Internet-Provider wird genutzt?
	Corporate Network				Wer?
	Internet-Provider (direkt)				Wer?
	Dienstleister (Hosting)				Wer?
	Verwendete Technik
	ISDN
	Karte
	Modem
	Router
	DSL
	Karte
	Modem
	Router
	Firewall
	Betreuung durch Dienstleister				ADV Vereinbarung? SLA?
	Zugriffsberechtigungskonzept
	Verantwortlich für Regelwerk
	Änderungsberechtigungen				Wer darf Änderungen veranlassen?
	Nachvollziehbarkeit von Regeländerungen				Wodurch gewährleistet?
	Prüfung des Regelwerks				Durch wen, wie oft?
	Proxy-Server mit Software-Firewall
	Software-Firewall
	Hardware-Firewall (Appliance)
	Hersteller
	Support und Wartung (Fernwartung?)				Handhabung Support-Fall?
	Wie oft werden Updates installiert?				Richtlinie/Vorgaben?
	Laufend, automatisiertes Verfahren				Betriebssystem: ... Firewall: ...
	Laufend, manuell				Betriebssystem: ... Firewall: ...
	Wie werden Sicherheitslücken gehandhabt?				Vorgaben/Richtlinie?
	Benachrichtigung durch wen?				z.B. CERT
	Regelmäßig, automatisiertes Verfahren
	Regelmäßig, manuell				In welchen Fällen?
	Manuell				In welchen Fällen?
	Einspielung Sicherheitspatches
	Laufend, automatisiertes Verfahren
	Laufend, manuell
	Getrennte Administration der Komponenten?				Betriebssystem, Proxy, Firewall
	Welcher Browser wird genutzt?				Hersteller
	Wie oft werden Sicherheitspatches und/oder Updates installiert?
	Laufend, automatisiertes Verfahren
	Laufend, manuell
	Verwaltung der Konfiguration?
	Durch Administration
	Durch Nutzer
	Werden Sicherheitseinstellungen durch Penetrationstests regelmäßig überprüft?				Wenn „Ja“, durch wen und wie häufig?
	Systemadministration
	Administrationsrichtlinie
	Administratoren sind tätig...
	...hauptamtlich
	...nebenamtlich
	...extern				ADV Vereinbarung?
	Aufgabenbezogene systemtechnische Trennung bei mehreren Administratoren
	Spezielle Passwortkonventionen zur Administration (abweichend von Nutzer-Passwörter)
	Getrennte Benutzerkonten für Systemadministration, Sachbearbeitung, persönlichen Nutzungen
	Anwendung des 4-Augen-Prinzips
	Protokollierung der Administrationsarbeit
	Protokoll-Server				Zugriffsregelungen?
	Eigener Protokoll-Bereich				Wo?
	Vorkehrungen gegen Protokollmanipulation
	Wer wertet Protokolle ggf. aus?				Anlassbezogen, regelmäßige Prüfung?
	Sind Notfallpasswörter hinterlegt?				Wo? Zugriffsregelungen?

→ Checkliste als RTF-Datei

← 2. Zutrittskontrolle

→ 4. Zugriffskontrolle

Einzelnachweise

Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.