IT-Security-Beauftragter - Prüfungsvorbereitung

Umfassender Karteikartensatz mit prüfungsrelevanten Fachbegriffen und Definitionen zur Ausbildung als IT-Security-Beauftragter basierend auf den Modulen 1 bis 3 (Recht, Normen, BSI IT-Grundschutz, ISO 27001 und Sicherheitsorganisation).

CIA-Triade

Die drei klassischen Schutzziele der Informationssicherheit: Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Vertraulichkeit

Schutzziel, das sicherstellt, dass der Zugang zu Informationen ausschließlich für autorisierte bzw. berechtigte Personen gestattet ist.

Verfügbarkeit

Schutzziel, das gewährleistet, dass Berechtigte zeitgerecht und bei Bedarf auf benötigte Systeme, Daten und Werte zugreifen können.

Integrität

Schutzziel, das die Richtigkeit, Vollständigkeit und Unverfälschtheit von Daten und Verarbeitungsmethoden garantiert.

Informationssicherheit vs. IT-Sicherheit

Informationssicherheit ist der umfassende Oberbegriff für technische sowie organisatorische Maßnahmen (inkl. Papierdokumente und Mitarbeiterwissen), während IT-Sicherheit den spezifischen Fokus auf den Schutz elektronischer Systeme legt.

§ 202a StGB

Straftatbestand im deutschen Strafgesetzbuch, der das unbefugte Ausspähen von Daten unter Strafe stellt.

§ 202b StGB

Straftatbestand im deutschen Strafgesetzbuch, der das unbefugte Abfangen von Daten unter Strafe stellt.

§ 202c StGB („Hackerparagraph“)

Straftatbestand im deutschen Strafgesetzbuch, der das Vorbereiten des Ausspähens und Abfangens von Daten (z. B. durch die Beschaffung oder Erstellung von Hackerwerkzeugen) regelt.

Cybercrime im weiteren Sinne

Straftaten, bei denen Informations- und Kommunikationstechnik bzw. das Internet vor allem als Tatmittel zur Begehung herkömmlicher Delikte eingesetzt wird.

Erstes IT-Sicherheitsgesetz (IT-SiG)

Bundesdeutsches Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, das am 25. Juli 2015 in Kraft getreten ist.

IT-Sicherheitsgesetz 2.0

Novellierung des IT-Sicherheitsgesetzes zur Stärkung der Befugnisse des BSI und Erweiterung der Pflichten für Wirtschaft und KRITIS, in Kraft getreten am 6. Mai 2021.

KRITIS-Einstufungskriterien

Voraussetzungen zur Einstufung als Kritische Infrastruktur gemäß BSI-Kritisverordnung: Erbringung einer kritischen Dienstleistung (Versorgungsrelevanz) sowie das Überschreiten definierter Schwellenwerte.

Anlagenbezug von KRITIS

Rechtlicher Grundsatz, nach dem KRITIS-Anforderungen nicht zwingend ein gesamtes Unternehmen erfassen, sondern gezielt die anlagenbezogenen Teilbereiche, die der kritischen Dienstleistung dienen.

Systeme zur Angriffserkennung (SzA)

Technische und organisatorische Sicherheitslösungen zur Protokollierung, Detektion und Reaktion bei Cyberangriffen; seit dem 1. Mai 2023 für KRITIS-Betreiber nach § 8a Abs. 1a BSI-Gesetz verpflichtend.

Dreiteilige KRITIS-Meldepflicht

Verfahren bei meldepflichtigen Vorfällen: Frühwarnung innerhalb von 24 Stunden, vollständige Vorfallmeldung innerhalb von 72 Stunden und finaler Abschlussbericht innerhalb von 1 Monat.

Stand der Technik

Sicherheitsniveau, das auf erprobten, in der Praxis wirksamen Maßnahmen beruht und fortlaufend an aktuelle Bedrohungen und technische Entwicklungen angepasst werden muss.

EU-Verordnung

Unmittelbar in allen Mitgliedstaaten geltendes europäisches Recht mit Anwendungsvorrang vor nationalen Bestimmungen, sofern keine Öffnungsklauseln nationale Anpassungen zulassen.

Bundesdatenschutzgesetz (BDSG-neu)

Deutsches Gesetz, das zeitgleich mit der DSGVO am 25. Mai 2018 in Kraft trat, um diese über nationale Öffnungsklauseln (z. B. § 26 zum Beschäftigtendatenschutz) zu ergänzen.

ISO/IEC 27002:2022

Nicht-normativer, informativer Leitfaden zur Umsetzung von 93 Informationssicherheits-Controls, gegliedert in die vier Kategorien: organisatorisch, personenbezogen, physisch und technologisch.

ISO/IEC 27001

Normativer, zertifizierbarer Standard für Managementsysteme für Informationssicherheit (ISMS), der verbindliche Kernanforderungen in den Kapiteln 4 bis 10 festlegt.

BSI-Standards 200-1 bis 200-4

Die methodische Reihe des BSI: 200-1 (Managementsysteme für Informationssicherheit / ISMS), 200-2 (IT-Grundschutz-Methodik), 200-3 (Risikoanalyse auf Basis von IT-Grundschutz) und 200-4 (Business Continuity Management / BCM).

Standard-Absicherung

Das vollumfängliche Standard-Vorgehen im IT-Grundschutz, das als einziges Grundschutz-Vorgehen nach „ISO 27001 auf Basis von IT-Grundschutz“ zertifizierbar ist.

Basis-Absicherung

Kompaktes Einstiegsvorgehen im IT-Grundschutz zur zügigen Beseitigung elementarer Sicherheitslücken, welches mit der Festlegung des Scopes beginnt und in weiterführende Vorgehen übergeht.

Bedrohung

Ein potenzieller Umstand oder ein Ereignis, welches einen Schaden an schützenswerten Werten oder Prozessen verursachen kann.

Risikoberechnung (vereinfacht)

Mathematische Formel zur quantitativen Bewertung von Sicherheitsrisiken: $\text{Risiko} = \text{Eintrittswahrscheinlichkeit} \times \text{Schadensausma\ss}$.

Restrisiko / Risikoakzeptanz

Verbleibendes Risiko nach Umsetzung von Schutzmaßnahmen, dessen bewusste Übernahme eine unübertragbare Entscheidung der Geschäftsleitung darstellt.

Nichtabstreitbarkeit (Non-Repudiation)

Erweitertes Schutzziel, das gewährleistet, dass durchgeführte Aktionen oder Datenübertragungen nicht unzulässig bestritten werden können, und die Urheberschaft rechtssicher nachweist.

Schutzziel des Datenschutzes

Der Schutz von natürlichen Personen vor Beeinträchtigungen ihrer Grundrechte und Grundfreiheiten (insbesondere des Persönlichkeitsrechts), nicht der Schutz der Daten an sich.

Datensicherheit

Der technische Schutz von Daten jeder Art (sowohl personenbezogen als auch sachbezogen) vor Zerstörung, Manipulation, Verlust oder unbefugter Weitergabe.

Geschäftsgeheimnisgesetz (GeschGehG)

Gesetz, das den rechtlichen Schutz vertraulicher Informationen davon abhängig macht, dass Unternehmen nachweisbare und angemessene Geheimhaltungsmaßnahmen ergreifen.

EU AI Act Risikoklassen

Einstufung von Systemen künstlicher Intelligenz in vier regulatorische Kategorien: minimales / kein Risiko, begrenztes Risiko, hohes Risiko sowie unannehmbares Risiko.

Mantelgesetz (Artikelgesetz)

Ein Gesetzgebungswerk, welches in einem formalen Vorgang mehrere bestehende Fachgesetze gleichzeitig novelliert oder anpasst (z. B. NIS-2-Umsetzungsgesetz).

NIS2-Richtlinie

Europäische Cybersicherheitsrichtlinie zur Erweiterung betroffener Sektoren, Stärkung der Lieferkettensicherheit, Einführung von MFA-Pflichten sowie Verschärfung der persönlichen Leitungshaftung.

ISO/IEC 27005

Internationaler Standard, der Leitlinien und Methoden für das Risikomanagement der Informationssicherheit bereitstellt.

Leitungsverantwortung (Leadership)

Grundsatz nach ISO 27001 Kap. 5.1 und Grundschutz, dass die Gesamtverantwortung und Haftung für die Informationssicherheit unübertragbar bei der Geschäftsführung liegt.

Informationsverbund

Ganzheitliche Zusammenfassung von Organisation, Infrastruktur, IT-Systemen, Anwendungen, Netzen und Personen (Technik, Raum und Mensch) für den Grundschutz.

Control A.5.24

Maßnahme der ISO/IEC 27001/27002 zur Organisation des Informationssicherheits-Incident-Managements, welche definierte Reaktionsprozesse und geschulte Rollen fordert.

Control A.5.28

Maßnahme der ISO/IEC 27001/27002, die Vorgaben zur rechtssicheren Erhebung, Dokumentation und Sicherung von forensischem Beweismaterial regelt.

ISMS (Information Security Management System)

Ein systematisches Management-Rahmenwerk aus definierten Verfahren, Prozessen, Rollen und Richtlinien zur dauerhaften Steuerung und Optimierung der Informationssicherheit.

Statement of Applicability (SoA)

Verbindliches Dokument im Rahmen der ISO 27001, in dem begründet festgehalten wird, welche Annex-A-Controls angewendet werden und welche sachlich begründet ausgeschlossen sind.

Organisatorische Stellung des ISB

Unabhängige Stabsstellenfunktion mit direktem Berichtsweg zur Geschäftsführung, getrennt von der operativen IT-Leitung zur Vermeidung von Selbstkontrolle und Interessenkonflikten.

RACI-Matrix

Management-Werkzeug zur eindeutigen Zuweisung von Projekt- und Prozessverantwortlichkeiten anhand von vier Rollen: Responsible (zuständig), Accountable (verantwortlich), Consulted (beraten), Informed (informiert).

Modellierung (IT-Grundschutz)

Der methodische Schritt im IT-Grundschutz, bei dem den identifizierten Zielobjekten des Informationsverbunds die passenden Grundschutz-Bausteine zugeordnet werden.

Systemorientierte Bausteingruppen

Strukturierungskategorien des IT-Grundschutzes: INF (Infrastruktur), NET (Netze), SYS (IT-Systeme), APP (Anwendungen) und IND (Industrielle IT).

R-Reihenfolge (R1, R2, R3)

Empfohlene Umsetzungsreihenfolge der Anforderungen in IT-Grundschutz-Bausteinen: R1 zuerst (Basis), gefolgt von R2 (Standard) und zuletzt R3 (erhöhte Sicherheit).

IT-Grundschutz-Check

Soll-Ist-Vergleich im IT-Grundschutz zur Feststellung des Umsetzungsgrades anhand der vier Statuswerte: „Ja“, „Nein“, „Teilweise“ oder „Entbehrlich“.

Unterstützende Werte (Sekundärwerte)

Vermögenswerte wie Hardware, Software, Netzwerke, Gebäude und Personal, welche die Verarbeitung und den Schutz der primären Geschäftsprozesse und Daten ermöglichen.

Zutritt vs. Zugang vs. Zugriff

Dreistufige Kontrollhierarchie: Zutritt regelt den physischen Raum, Zugang die logische Systemanmeldung und Zugriff die spezifische Berechtigung auf Daten.

Restore-Test

Regelmäßige Testwiederherstellung von Datensicherungen, die den Nachweis erbringt, dass gespeicherte Backups im Schadensfall funktionsfähig und fehlerfrei rücklesbar sind.

NTP-Zeitsynchronisation

Protokollbasierter Abgleich von Systemzeiten, um Log-Ereignisse systemübergreifend mit einheitlichen Zeitstempeln für Incident Response und Forensik korrelieren zu können.