P ROF. D R. B ERNHARD K ULLA Regensburg Datendiebstahl aus Sicht des betrieblichen Datenschutzes Forum Datenschutz 10. Februar 2009 Professor für Wirtschaftsinformatik an der Hochschule Regensburg Von der IHK-Regensburg ö.b.u.v. Sachverständiger für Informationsverarbeitung

P ROF. D R. B ERNHARD K ULLA Regensburg Aktuelle Lage 1.Von den Job-Portalen monster.com bzw. monster.co.uk sind laut Meldung vom erneut ca. 4,5 Millionen personenbezogene Datensätze gestohlen worden (Quelle: Independent Press) 2.Bei Heartland Payment Systems wurden via Trojaner zahlreiche Kreditkartendaten von Hackern entwendet (Quelle: USATODAY vom ) 3.Von 21 Millionen Bundesbürgern sind persönliche Bankdaten im Umlauf (Quelle: Wirtschaftswoche; dort angeboten mit 0,57 € pro Datensatz)

P ROF. D R. B ERNHARD K ULLA Regensburg Aktuelle Lage 4.Utimaco.com prognostiziert für 2009 wegen der Wirtschaftskrise eine erhöhte Gefahr des Datendiebstahls durch Mitarbeiter wegen Kündigung, Verschuldung, Rache, etc. 5.Studie von Steria Mummert Consulting 2008: n 45 % der Sicherheitsverstöße in Unternehmen gehen zurück auf „menschliches Versehen“ n Gegenüber dem Vorjahr stieg die Zahl der „unbeabsichtigten Fehlkonfigurationen“ um 24 %

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 1.Wechselmedien DVDs, USB-Sticks, Speicherkarten, etc. sollen durch Zugriffskontrollen und Verschlüsselungen geschützt werden, z.B. Smartcard und Passwort oder USB-Token und Passwort schützen den Datentransfer zum Notebook Nicht benötigte USB-Ports deaktivieren

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 2.Notebooks a)Notebooks mit automatischer Verschlüsselung ausstatten b)Machen Sie eine Bestandsaufnahme aller Firmen- Notebooks c)Führen Sie eine Active White List (z.B. nur Vorstand darf vertrauliche Daten im Klartext lesen) d)Trennen Sie Notebook und Nutzdaten (z.B. auf USB- Stick) e)Fragen Sie Passwörter vor dem Booten bzw. vor Rückkehr in den Arbeitsmodus ab f)Lassen Sie Notebooks nicht zurück (z.B. Raucherinsel)

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 3.PDAs Schützen Sie PDAs n durch Authentisierung (auch biometrisch) n durch Datenverschlüsselung n durch ActiveSync-Verbindungen, um firmenfremde Verbindungen zu verhindern n durch Verwendung spezieller SIM-Karten

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 4.Entsorgung Alte Festplatten, Disketten, Drucker von Kopierern und Fax nur total gelöscht entsorgen Verschlüsselung von Festplatten z.B. mit TrueCrypt (Open Source kostenlos im Internet)

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 5.Webanwendungen Missbrauch von Daten vor allem auf Web 2.0 Plattformen (insbesondere Online-Werbungen, Nachrichtenportale, kopierte Internetauftritte namhafter Firmen): mittels verschlüsselter Skripte werden Links hergestellt, noch bestehende Schwachstellen der User ausgeforscht und Schadsoftware wird nachgeladen

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 6.Internet n Evtl. Standard IP-Bereiche, z.B x.x oder x.x verändern n Nichtverwendete Ports deaktivieren n Kritische Unternehmenssysteme nicht im Standard-Netzbereich etablieren

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 7.E-Commerce n Geschäfte nur mit vertrauten Seiten n Möglichst regionale Firmen bevorzugen n Persönliche Daten nur im eindeutigen Bedarfsfall mitteilen

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 8.Data Leakage Produkte Datenexport-Kontrolle mittels DLP prüfen 9.Anzeigepflicht bei Datendiebstahl Da eine Haftungsregelung für Softwarehersteller wohl nicht kommen wird (s. Grafik mit Software- Lücken nach Herstellern), sollte über eine allgemeine Anzeigepflicht bei Datendiebstahl nachgedacht werden

P ROF. D R. B ERNHARD K ULLA Regensburg Zehn Empfehlungen gegen Datendiebstahl 10.Mitarbeitersensibilisierung Wichtigste Abwehrmaßnahme in Unternehmen ist die Mitarbeitersensibilisierung: n Welche Daten müssen geschützt werden? n Wo liegen mögliche Gefahren? n Wie erkennt man Schwachstellen? n Kennen alle Mitarbeiter die eingesetzten Sicherheitswerkzeuge?