Advertisement

Übertragbarkeit existierender DuD-Konzepte und -Maßnahmen großer Betriebe auf die kleinen und mittleren Betriebe

  • Harry Mucksch

Zusammenfassung

In diesem Kapitel werden die bereits seit Jahren existierenden und in großen Betrieben eingesetzten DuD-Maßnahmen bezüglich ihrer Eignung für den Einsatz in der Datenverarbeitung kleiner und mittlerer Betriebe untersucht. Dabei ist es wenig sinnvoll, sich an der im vorangestellten Kapitel beschriebenen Grundeinteilung der Maßnahmen bzw. den zehn, im BDSG aufgeführten, Kontrollbereichen auszurichten. Im ersten Fall würde es sich lediglich um eine Auflistung der möglichen Sicherungsempfehlungen handeln. Erfolgte die Ausrichtung an den Kontrollbereichen des BDSG, müßten einzelne Maßnahmen, die nicht nur in einem Kontrollbereich einsetzbar sind, mehrfach betrachtet werden.

Preview

Unable to display preview. Download preview PDF.

Unable to display preview. Download preview PDF.

Literatur

  1. 1.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, Gliederung Teil B, S. VIII–X.Google Scholar
  2. 2.
    Vgl. LINDEMANN, P.: Datenschutz und Datensicherheit, in: HÜLCK, K., MRACHACZ, H.-P., SOLF, H., (Hrsg.): EDV-Leiter-Handbuch, München 1976, S. 649–675, hier S. 665.Google Scholar
  3. 3.
    Vgl. HERRMANN, G., LINDEMANN, P., NAGEL, K.: Datenschutz und Datensicherheit, in: HÜLCK, K., MRACHACZ, H.-P., SOLF, H., (Hrsg.): EDV-Leiter-Handbuch, München 1976, S. 837.Google Scholar
  4. 4.
    Vgl. HAHNE, B., KASSEL, H.: Datensicherung, Berlin/Müncher 1983, S. 116.Google Scholar
  5. 5.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, Abb. 15, S. 58.Google Scholar
  6. 6.
    Die eingesetzte Technik und die Organisation der Datenverarbeitung können allerdings auch Gefährdungen ausgesetzt sein. Vgl. dazu die Ausführungen in Kapitel 4.Google Scholar
  7. 7.
    Vgl. HERRMANN, G., LINDEMANN, P., NAGEL, K.: Datenschutz und Datensicherheit, in: HÜLCK, K., MRACHACZ, H.-P., SOLF, H., (Hrsg.): EDV-Leiter-Handbuch, München 1976, Folie 1.Google Scholar
  8. 8.
    Vgl. WEYER, H., PÜTTER, P. S.: a.a.O., S. 7.Google Scholar
  9. 9.
    Vgl. FUTH, H.: a.a.O., S. 34–36.Google Scholar
  10. 10.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 62ff.Google Scholar
  11. 11.
    Je nach Größe der EDVA werden große (z.B. Magnetplattenstapel, Magnetbänder) und/oder kleinere Datenträger (z.B. Magnetbandkassetten, Disketten) eingesetzt. Allein deren Größe birgt unterschiedliche Risiken der Gefährdung. Kleine Datenträger sind im Gegensatz zu großen bspw. leichter zu entwenden und ggf. auf privaten DV-Anlagen zu manipulieren. Vgl. dazu die Ausführungen in Kapitel 4.Google Scholar
  12. 12.
    Hierzu zählen Fördermittel (Rohrpost- oder Förderbandanlagen, Botenwagen, spezielle Taschen, etc.), Identifizierungsgeräte (Personen- oder Raumüberwachung) und Hilfsmittel, die auch in der manuellen Datenverarbeitung eingesetzt werden (Karteikästen, -schränke). Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, Abb. 15, S. 73/74.Google Scholar
  13. 13.
    Auf diese Weise realisierte Kontrollen sind durch ihre permanente Präsenz effektiv. Sie sind nur dann zu unterlaufen, wenn ihre Funktion bekannt ist, d.h. wenn Benutzer über detaillierte Systemkenntnisse verfügen und dadurch entsprechende Manipulationen vornehmen können. Vgl. zu dieser Thematik die Ausführungen in Kapitel 6. 4. 1.Google Scholar
  14. 14.
    Zentralisation ist als Zusammenfassung von Aufgaben, Kompetenzen (Verrichtungszentralisation) und/oder Geräten (Objektzentralisation) nach einem bestimmten Kriterium zu verstehen. Vgl. GROCHLA, E.: Organisation, Sp. 2848.Google Scholar
  15. 15.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, Abb. 15, S. 82.Google Scholar
  16. 16.
    Eine rein organisatorische Zentralisierung liegt bspw. vor, wenn die DV-Aufgaben einer bestimmten Abteilung zugeordnet sind, die einzelnen Arbeitsplätze dabei aber nicht auch räumlich zusammengefaßt sind.Google Scholar
  17. 17.
    Faßt man Aufgaben gleichen Ranges wie z.B. die Fakturierung, die Debitoren- und/oder Lagerbuchhaltung zu einer Aufgabenlösung zusammen, liegt eine horizontale DV-Integration vor. Integriert man in diese Lösung bspw. noch die Bereiche der Fertigungs- und Absatzplanung, dies wäre als eine Zusammenfassung von Aufgaben verschiedenen Ranges anzusehen, so spricht man von einer vertikalen DV-Integration. Vgl. KELLERWESSEL, P.: Probleme, a.a.O., S. 229.Google Scholar
  18. 18.
    Vgl. STADLER, N.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 92,Google Scholar
  19. 18a.
    GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 408ff.Google Scholar
  20. 18b.
    GROCHLA, E., SCHACKERT, H. R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 95.Google Scholar
  21. 19.
    Vgl. FEHLHABER, R. F. G.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 238–240, hier S. 238.Google Scholar
  22. 20.
    Vgl. dazu die Ausführungen in Kapitel 3.5.Google Scholar
  23. 21.
    Vgl. FEHLHABER, R. F. G.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987/1987, S. 238–240, S. 239.Google Scholar
  24. 22.
    Vgl. PEEZ, L.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987/1987, S. 31.Google Scholar
  25. 23.
    Vgl. SIMITIS, S. et al.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 831–840.Google Scholar
  26. 24.
    Die Unabhängigkeit eines externen bDSB ist unter anderem dadurch gegeben, daß er i.d.R. noch weitere Kunden hat.Google Scholar
  27. 25.
    Die Liste weiterer möglicher Gründe, einen Bewerber für den Einsatz im DV-Bereich abzulehnen, ist zu umfangreich, um sie an dieser Stelle zu diskutieren. Vgl. dazu die Ausführungen und besonders Tabelle 9.3 in: COMER, M. J.: Betrug im Unternehmen, Hamburg/New York 1987, S. 385–396.Google Scholar
  28. 26.
    Vgl. SIMITIS, S. et al.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 297.Google Scholar
  29. 27.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 156.Google Scholar
  30. 28.
    Vgl. SIMITIS, S. et al.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 902.Google Scholar
  31. 29.
    Beispielhaft sei an dieser Stelle die Installation “logischer Bomben” genannt. Denkbar sind jedoch alle Handlungen der ausscheidenden Mitarbeiter, die zu den in Kapitel 4 aufgeführten Gefährdungen der DV führen können.Google Scholar
  32. 30.
    Vgl. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 204ff.Google Scholar
  33. 31.
    Die konkrete Umsetzung, Realisation und Kontrolle der Berechtigungen wird an geeigneter Stelle in den nachfolgenden Abschnitten und Kapiteln behandelt.Google Scholar
  34. 32.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 111.Google Scholar
  35. 33.
    Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 205. Detailierte Ausführungen zu den diversen Berechtigungen folgen in den nachfolgenden Abschnitten und Kapiteln.Google Scholar
  36. 34.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 117ff.Google Scholar
  37. 35.
    Vgl. STEINBUCH, P. A.: Organisation, 6. Aufl., Ludwigshafen 1987, Kap. 5. 1.Google Scholar
  38. 36.
    Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 38 und Kapitel 8. 3. 4. 1.36Google Scholar
  39. 36a.
    Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 38 und Kapitel 8. 3. 4. 1.Google Scholar
  40. 37.
    Ein Erinnerungswert oder gedanklicher Schlüssel ist ein Merkmal, das nur der Benutzer kennt und im Gedächtnis behält.Google Scholar
  41. 38.
    Die in der Abbildung aufgeführten Identifikationsmöglichkeiten sind detailliert beschrieben in GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 157–165.Google Scholar
  42. 39.
    Bei Erinnerungswerten kann es sich um feste oder variable gedankliche Schlüssel, programmierte Fragen oder die Transformation von Vorgabegrößen handeln.Google Scholar
  43. 40.
    Unter Sachmitteln werden in dieser Arbeit Schlüssel, Ausweise mit offener oder verdeckter Codierung, Codesender und Chipkarten verstanden. Bei Ausweisen mit offener Codierung ist das Identifizierungsmerkmal visuell erkennbar. Verwendet werden dazu die Strich-, Loch- Präge- und Gravurcodierung. Verdeckte Codierung kann bspw. als Magnetstreifen-, Induktions- oder Interferenzcodierung erfolgen.Google Scholar
  44. 41.
    Die Identifizierung einer Person durch physiologische Merkmale kann mittels einer Stimmanalyse, einer Fingerabdruckprüfung, der Extremitätenvermessung sowie der Analyse der Augennetzhaut, der sogenannten Eye-Identifikation, erfolgen.Google Scholar
  45. 42.
    Vgl. dazu die Ausführungen in Kapitel 3.Google Scholar
  46. 43.
    Es sei an dieser Stelle lediglich auf die Möglichkeit der direkten Dateneingabe und die indirekte Erfassung auf Datenträgern hingewiesen.Google Scholar
  47. 44.
    Vgl. a.a.O., S. 99/100.Google Scholar
  48. 45.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 123–125.Google Scholar
  49. 46.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 35.Google Scholar
  50. 47.
    Ein drahtgebundenes Volumenüberwachungssystem baut mit der Luft eine bestimmte Kapazität zwischen Sende- und Empfangsdrähten eines Zaunes als Dielektrikum auf, welches durch die von der Luft abweichende Dielektrizitätskonstante eines Eindringlings verändert wird und Alarm auslöst.Google Scholar
  51. 48.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 36.Google Scholar
  52. 49.
    Als Flächenschutzeinrichtungen kommen Alarmdrahttapeten, Folienstreifen oder kupferkaschierte Platten in Betracht.Google Scholar
  53. 50.
    Diese Norm unterscheidet die Widerstandsklassen A bis E, wobei die einzelnen Klassen weiter untergliedert sind. Die Wirkung des Spezialglases reicht von einer DurchwurfDurchbruch-, Durchschuß- bis hin zu einer Sprengstoffhemmung. Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 37.Google Scholar
  54. 51.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 126–128; DuD Checklist: Sicherung durch bauliche Maßnahmen, in: DuD: 3/1981, S. 215–222, hier S. 217.Google Scholar
  55. 52.
    Vielfach werden diese Öffnungen, dazu gehören Licht- und Klimaschächte, Müll- und Kellerschächte, Dachluken und Glaseinsätze zur Tageslichtbeleuchtung, in ein Schutz-und Sicherungskonzept nicht einbezogen. Vgl. DuD Checklist: Sicherung durch bauliche Maßnahmen, a.a.O., S. 215.Google Scholar
  56. 53.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 38.Google Scholar
  57. 54.
    Als Ausweiskarten werden häufig Magnetstreifenausweise und Induktivkarten verwendet. Vgl. auch Fußnote 40 auf S. 131.Google Scholar
  58. 55.
    Betrachtet wird in diesem Abschnitt sowohl die Organisation einer DV-Abteilung, als auch das Konzept der abteilungsorientierten Datenverarbeitung. Vgl. dazu Kapitel 3. 3. 1 und 3. 3. 2.Google Scholar
  59. 56.
    Auf eine detaillierte Darstellung der Klimatisierung von DV-Anlagen wird verzichtet, da diese in Abhängigkeit vom Anlagentyp herstellerseitig verlangt wird. Vgl. zu dieser Thematik bspw. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 75f.Google Scholar
  60. 56a.
    GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 420ff.Google Scholar
  61. 57.
    Vgl. GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 408/409.Google Scholar
  62. 58.
    Das in Rechenzentren praktizierte offene Tragen von Sichtausweisen oder das Anbringen von Photos der Berechtigten sind in den kleinen und mittleren Betrieben wohl über das Ziel hinausgehende Maßnahmen. Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 139f.Google Scholar
  63. 59.
    Für PC’s existieren auch bereits Schließsysteme, die den Ausbau von Erweiterungskarten durch Unbefugte verhindern sollen. Nur durch die Benutzung von Werkzeugen ist ein gewaltsamer Ausbau möglich. Als Beispiel sei das Produkt PC-Lok der Firma MISCO genannt. Vgl. MISCO-KATALO G.: Mörfelden-Walldorf, Oktober/November 1987, S. 15.Google Scholar
  64. 60.
    Vgl. SCHOLL, G.: Hardware-Schutz für EDV-Systeme, in: Markt&Technik: Nr. 35 vom 28. 8. 1987, S. 22–26, hier S. 22.Google Scholar
  65. 61.
    Vgl. GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 416.Google Scholar
  66. 62.
    Statistisch betrachtet tritt ca. sechsmal im Jahr ein Stromausfall auf. Die Ausfallhäufigkeit in Industriebetrieben liegt jedoch weit höher. Vgl. SCHOLL, G.: Hardware-Schutz für EDV-Systeme, in: Markt&Technik: Nr. 35 vom 28. 8. 1987, S. 22.Google Scholar
  67. 63.
    Man unterscheidet dynamische und statische USV’s. Die statischen USV-Anlagen laufen meist im Dauerbetrieb, ihre Überbrückungsdauer richtet sich nach der Batteriekapazität. Vgl. GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 419/420.Google Scholar
  68. 64.
    USV-Anlagen gibt es für Rechner aller Größenklassen, auch für Personal Computer.Google Scholar
  69. 65.
    Als Verursacher von Störimpulsen sind beispielsweise elektrische Schreibmaschinen und Kopiergeräte zu nennen. Nicht selten führt deren Benutzung zum Systemabsturz.Google Scholar
  70. 66.
    Selbst wenn sie in einiger Entfernung einschlagen, erzeugen Blitzeinschläge auf dem Wege der elektromagnetischen Induktion Spannungen von mehreren tausend Volt im Netz, die sich mehrere hundert Meter weit ausbreiten können. Vgl. KRÖGER, S.: a.a.O., S. 66.Google Scholar
  71. 67.
    Vgl. SCHOLL, G.: Hardware-Schutz für EDV-Systeme, in: Markt&Technik: Nr. 35 vom 28. 8. 1987, S. 24.Google Scholar
  72. 68.
    Vgl. o.V.: Gefährlicher Funkenschlag, a.a.O., S. 202.Google Scholar
  73. 69.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 312.Google Scholar
  74. 70.
    Dies sind mit dem Tempest-Zertifikat (CESG) der Zentralstelle für das Chiffrierwesen (ZfCH) in Bonn versehene DV-Geräte.Google Scholar
  75. 71.
    Vgl. BRAUNISCH, L.: Lauschangriff auf unbekannte Schwachstelle, in: COMPUTERWOCHE: 13. Jg., Nr. 34 vom 22. 8. 1986, S. 27.Google Scholar
  76. 72.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 307.Google Scholar
  77. 73.
    Fensterscheiben aus “Aachener Glas” sind nicht nur feuer-und beschußfest, sie schirmen auch hochfrequent ab. Detailliertere Beschreibungen zur Geräte- und Raumabschirmung findet man in ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 312–314;Google Scholar
  78. 73a.
    BRAUNISCH, L.: Lauschangriff auf unbekannte Schwachstelle, in: COMPUTERWOCHE: 13. Jg., Nr. 34 vom 22. 8. 1986, S. 27Google Scholar
  79. 73b.
    NACHTMANN, L.: Gegen den Datenklau, in: CHIP: 12/1986, S. 84–87, hier S. 85f.Google Scholar
  80. 74.
    Im weiteren Sinne können auch die Benutzer- und Übermittlungskontrolle mit Hilfe von Betriebssystemroutinen durchgeführt werden. Diese beiden Mindestforderungen des BDSG betreffen die Kontrolle der Übermittlung personenbezogener Daten aus oder in Datenverarbeitungssysteme durch selbsttätige Einrichtungen. Vgl. auch die Ausführungen in Kapitel 5. 4. 1.Google Scholar
  81. 75.
    An dieser Stelle muß auf die offensichtliche Schwachstelle aller im Betriebssystem verfügbaren Schutz- und Sicherungsmaßnahmen hingewiesen werden. Der Systemverwalter, der neben seinen anderen Aufgaben jedem Benutzer seine individuellen Rechte zuteilt und somit Zugang zu allen Betriebssystemfunktionen besitzen muß, ist aufgrund seiner Kenntnisse in der Lage, Aktivitäten im DV-System mit Hilfe der Systemverwaltungsprogramme vorzunehmen, die im nachhinein nicht mehr überprüfbar und nachvollziehbar sind. Die Position des Systemverwalters ist daher eine absolute Vertrauensstellung. Vgl. dazu auch ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 56.Google Scholar
  82. 76.
    Gegebenenfalls muß der Benutzer an dieser Stelle der Anmeldung noch die von ihm benötigten Betriebsmittel (Massenspeicher, Drucker, etc.) angeben.Google Scholar
  83. 77.
    Zur Problematik der Paßworte siehe auch Kapitel 6. 4. 2Google Scholar
  84. 78.
    Bei Stapelbetrieb mittels Jobsteuerkarten ist der Einsatz eines persönlichen Kennwortes unsinnig, da die Geheimhaltung nicht gewährleistet ist.Google Scholar
  85. 79.
    Ebenfalls zum Benutzerprofil gehört die Festschreibung, welche Betriebsmittel der Einzelne im Rahmen seiner Verarbeitung in welchem Umfang nutzen darf. Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 65 undGoogle Scholar
  86. 79a.
    WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 166ff.Google Scholar
  87. 80.
    Im Betriebssystem UNIX beispielsweise werden die Zugriffsrechte nur noch für “Eigentümer”, “alle Benutzer derselben Benutzergruppe” wie dieser und die “sonstigen Benutzer” unterschieden. Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 206.Google Scholar
  88. 81.
    Eine detaillierte Beschreibung aller Verfahren, einschließlich der Diskussion ihrer Vor- und Nachteile, würde den Rahmen dieser Arbeit sprengen. Als Beispiel wird daher der Aufbau von Benutzertabellen zur Verwaltung von Zugriffsrechten beschrieben. Vgl. zu den diversen weiteren Verfahren WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 198–215.Google Scholar
  89. 82.
    Das Recht “Own” besagt, daß der Benutzer als Eigentümer des betreffenden Datenobjektes auftritt. Nur dieser kann mit dem Datenobjekt Operationen durchführen, die zu Änderungen des Schutzzustandes, z.B. dem Entzug des Zugriffsrechts “Update” für einen zweiten Benutzer führen. Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 205.Google Scholar
  90. 83.
    Einige Objekte müssen allen Benutzern zugänglich sein. Die meisten haben jedoch privaten Charakter, so daß in der entsprechenden Martrixspalte nur ein Eintrag erfolgt. In der Praxis sind die Zugriffsmatrizen daher nur dünn besetzt.Google Scholar
  91. 84.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 57–72;Google Scholar
  92. 84a.
    GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 137/138;Google Scholar
  93. 84b.
    WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 139f.Google Scholar
  94. 85.
    Systemseitig dienen Paßworte nur der Identifikation. Erst in Verbindung mit anderen Identifikationsmitteln, z.B. Chip-Karten oder der Spracherkennung, ist eine Authentifikation möglich. Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 78.Google Scholar
  95. 86.
    Vgl. DIERSTEIN, R.: Sichere Paßwortverfahren, in KES: 3/1986, S. 115–118, hier S. 115 (im folgenden zitiert als DIERSTEIN, R.: Paßwort).Google Scholar
  96. 87.
    Nicht selten wird als Paßwort der Name eines nahestehenden Angehörigen, ein Geburtstag, das Kfz-Kennzeichen oder der Name eines Haustieres gewählt. Allein durch unverfängliche Gespräche kann ein solches Paßwort ausspioniert werden.Google Scholar
  97. 88.
    Aufbewahrungsorte für derartige Merkzettel sind Schreibunterlagen bzw. teils unverschlossene Schubladen. Manchmal werden Paßworte sogar unter die Tastatur oder unmittelbar neben dem Terminal an die Wand geklebt. Vgl. HEIDINGER, J. L., ANDRICH, R.: a.a.O., S. 183.Google Scholar
  98. 89.
    Vgl. zum Thema Verschlüsselung auch Kapitel 6. 5. 2Google Scholar
  99. 90.
    Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 202.Google Scholar
  100. 91.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 81.Google Scholar
  101. 92.
    Auf die Darstellung dieser offensichtlichen Anforderungen wird in dieser Arbeit verzichtet.Google Scholar
  102. 93.
    Vgl. DIERSTEIN, R.: Sichere Paßwortverfahren, in KES: 3/1986, S. 116–118.Google Scholar
  103. 94.
    Vgl. auch GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 160.Google Scholar
  104. 95.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 160.Google Scholar
  105. 96.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 80.Google Scholar
  106. 97.
    Vgl. MEYER, W.: Auch UNIX ist nicht gegen Hacker gefeit, in: COMPUTERWOCHE: 14. Jg., Nr. 40 vom 2. 10. 1987, S. 11–14, hier S. 11.Google Scholar
  107. 98.
    Vgl. FILIPSKI, A., HANKO, J.: Making UNIX Secure, in: BYTE: Vol. 11, 4/1986, S. 113–128, hier S. 113.Google Scholar
  108. 99.
    Vgl. MEYER, W.: Auch UNIX ist nicht gegen Hacker gefeit, in: COMPUTERWOCHE: 14. Jg., Nr. 40 vom 2. 10. 1987, S. 11.Google Scholar
  109. 100.
    In UNIX wird keine Unterscheidung zwischen Programmen und zugehörigem Datenbestand vorgenommen, beides wird als Datei angesehen.Google Scholar
  110. 101.
    Vgl. zum Aufbau der UNIX file permission Abbildung 1 in: FILIPSKI, A., HANKO, J.: Making UNIX Secure, in: BYTE: Vol. 11, 4/1986, S. 114.Google Scholar
  111. 102.
    Die zweite bis vierte Gruppe der file permission beinhalten die Zugriffsrechte für den Owner, die Gruppe und sonstige Benutzer.Google Scholar
  112. 103.
    Vgl. FILIPSKI, A., HANKO, J.: Making UNIX Secure, in: BYTE: Vol. 11, 4/1986, S. 114.Google Scholar
  113. 104.
    MEYER, W.: Auch UNIX ist nicht gegen Hacker gefeit, in: COMPUTERWOCHE: 14. Jg., Nr. 40 vom 2. 10. 1987, S. 14.Google Scholar
  114. 105.
    Vgl. MEYER, W.: Auch UNIX ist nicht gegen Hacker gefeit, in: COMPUTERWOCHE: 14. Jg., Nr. 40 vom 2. 10. 1987, S. 14.Google Scholar
  115. 106.
    Selbst der Superuser hat keine Möglichkeit, ein von einem Benutzer vergessenes Paßwort zu entschlüsseln. Er muß diesem Benutzer ein neues Paßwort zuteilen. Vgl. FILIPSKI, A., HANKO, J.: Making UNIX Secure, in: BYTE: Vol. 11, 4/1986, S. 120.Google Scholar
  116. 107.
    Vgl. FILIPSKI, A., HANKO, J.: Making UNIX Secure, in: BYTE: Vol. 11, 4/1986, S. 120Google Scholar
  117. 107a.
    und MEYER, W.: Auch UNIX ist nicht gegen Hacker gefeit, in: COMPUTERWOCHE: 14. Jg., Nr. 40 vom 2. 10. 1987, S. 12.Google Scholar
  118. 108.
    Vgl. SCHLENZ, H.: UNIX — quo vadis?, in: MARKT&TECHNIK: Nr. 39 vom 25. 9.1987, S. 88.Google Scholar
  119. 109.
    Für einen periodischen Stellenwechsel (job-rotation) sprechen aus Datenschutz- und -sicherungsgründen zwei Argumente: Kein Stelleninhaber kann in kurzer Zeit so viel Spezialwissen in seinem Aufgabenbereich erwerben, um dieses für Manipulationen zu nutzen. Ein mißbräuchliches Handeln eines Stelleninhabers würde mit großer Wahrscheinlichkeit von seinem Nachfolger erkannt und aufgedeckt werden. Vgl. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 204.Google Scholar
  120. 110.
    Das Prinzip “need-to-know” steht dem der “ job-rotation” entgegen. Der einzelne Funktionsträger erhält nur die Informationen, die er zur unmittelbaren Erfüllung seiner Aufgabe benötigt. Ein Gesamtüberblick, den der Mitarbeiter bei periodischem Stellenwechsel zwangsläufig bekommt, fehlt ihm und erschwert ihm somit das Vornehmen mißbräuchlicher Eingriffe in die Datenverarbeitung. Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 134.Google Scholar
  121. 111.
    Vgl. SCHLAGETER, G., STUCKY, W.: Datensicherung, Berlin/Müncher 1983, S. 288f.Google Scholar
  122. 112.
    Das Anbringen von Bestätigungsvermerken auf den Urbelegen oder die Verpflichtung zur Eintragung eines jeden Eingabevorgangs in ein Eingabebuch ist bei nur geringem Datenvolumen durchführbar.Google Scholar
  123. 113.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 173–178.Google Scholar
  124. 114.
    Nach diesem Prinzip wird jede Aufgabe durch einen zweiten Mitarbeiter überprüft. Es sollte unbedingt bei der Verarbeitung sensibler Daten angewendet werden. Das Vier-Augen-Prinzip beinhaltet ein gleichzeitiges Verbot, Aufgaben zu Hause zu erledigen. Vgl. HEIDINGER, J. L., ANDRICH, R.: a.a.O., S. 125 und DREWS, H.-L., KASSEL, H., STRNAD, P.: a.a.O., S. 259.Google Scholar
  125. 115.
    Vgl. zu den Ausführungen über die Druckausgabe: GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 135/136 und S. 150/151.Google Scholar
  126. 116.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 197.Google Scholar
  127. 117.
    Die jeweils älteste Generation der Sicherungskopie wird mit dem aktuellen Datenbestand überschrieben. Vgl. ALEANAKIAN, G., KÜHNAU, W.: a.a.O., S. 54.Google Scholar
  128. 118.
    Vgl. zu dieser Thematik auch die Ausführungen in Kapitel 7. 5.Google Scholar
  129. 119.
    Kryptographische Verfahren (Kryptosysteme, Kryptoverfahren bzw. -systeme, Chiffresysteme) bestehen aus einem Ver-/Entschlüsselungsalgorithmus, der durch einen Schlüssel, für jede Kommunikationsbeziehung, parametrisiert ist. Verschlüsselung (Chiffrierung) und Entschlüsselung (Dechiffrierung) sind grundsätzlich informationsumformende Prozesse. Durch die Verschlüsselung wird ein Klartext (Nachricht, plaintext) in einen Chiffretext (Geheimtext, Chiffrat, Schlüsseltext, Kryptogramm, ciphertext) transformiert. Der dazu inverse Vorgang wird als Entschlüsselung bezeichnet. Vgl. HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 13f.Google Scholar
  130. 119a.
    nd RIHACZEK, K.: Datenverschlüsselung in Kommunikationssystemen, Braunschweig/-Wiesbaden 1984, S. 17 (im folgenden zitiert als RIHACZEK, K.: Datenverschlüsselung).Google Scholar
  131. 120.
    RIHACZEK, K.: Verschlüsselung ohne Vorurteile, in: DuD: 3/1981, S. 169–173, hier S. 169 (im folgenden zitiert als RIHACZEK, K.: Vorurteile).Google Scholar
  132. 121.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 37ff.;CrossRefGoogle Scholar
  133. 121a.
    HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 18ff.Google Scholar
  134. 121b.
    und HEIDER, F.-P., KRAUS, D., WELSCHENBACH, M.: Mathematische Methoden der Kryptoanalyse, Braunschweig/Wiesbaden 1985, S. 1f.Google Scholar
  135. 122.
    HENZE, E.: Kryptographie und Nachrichtenübertragung, in: ENDRES, A., SCHÜNEMANN, C., (Hrsg.): Informationsverarbeitung und Kommunikation, Bad Neuenahr 1979, S. 73–91, hier S. 77.Google Scholar
  136. 123.
    Die eindeutige Invertierbarkeit ist im Hinblick auf neue Kryptoverfahren nicht mehr zwingend notwendig. Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980; S. 39 u. S. 180.CrossRefGoogle Scholar
  137. 124.
    DIFFIE, W., HELLMAN, M. E.: Privacy and Authentication: An Introduction to Cryptography, in: Proceedings of the IEEE: Vol. 67, 3/1979, S. 397–427, hier S. 397 (im folgenden zitiert als DIFFIE, W., HELLMAN, M. E.: Privacy).Google Scholar
  138. 125.
    Vgl. RIHACZEK, K.: Datenverschlüsselung in Kommunikationssystemen, Braunschweig/-Wiesbaden 1984, S. 12f.Google Scholar
  139. 126.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 10/11.CrossRefGoogle Scholar
  140. 127.
    Substitutionsverfahren können ohne weiteres als Weiterentwicklungen des Codeverfahrens angesehen werden, bei dem Zeichenketten variabler Länge mit Hilfe eines Codebuches durch andere ersetzt und somit verschlüsselt werden. Im Codebuch wird jedes Zeichen oder jede Zeichenkette des Klartextes durch ein Zeichen oder eine Zeichenkette des Codetextes ersetzt. Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 7.CrossRefGoogle Scholar
  141. 128.
    Vgl. dazu DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 402.; HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 73;Google Scholar
  142. 128a.
    RAUCH, W.: Datensicherung in der Datenfernübertragung durch Verschlüsselung, in: DuD: 4/1979, S. 242–247, hier S. 245Google Scholar
  143. 128b.
    und RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 52f.CrossRefGoogle Scholar
  144. 129.
    Zunächst werden mit einem Bit-Strom-Generator binäre Ziffern erzeugt. Diese Zeichenfolge wird danach zur Ver/Entschlüsselung mit dem Klar-/Schlüsseltext kombiniert. Als Verknüpfung verwendet die Vernam-Chiffre die mod-2-Addition der generierten Bitfolge zum Schlüssel- oder Klartext. Diese Operation ist besonders unproblematisch, da zur Entschlüsselung keine Umkehrfunktion gebildet werden muß, sondern lediglich die gleiche Operation ausgeführt zu werden braucht. Vgl. BETH, T., HEß, P., WIRL, K.: Kryptographie, Stuttgart 1983, S. 25f.Google Scholar
  145. 130.
    Bit-Ströme können durch natürliche Phänomene wie Impulse zufällig oder durch Zufallszahlengeneratoren, die auf deterministischen Prozessen basieren, erzeugt werden. Die Zufälligkeit der Bitfolgen, die sich aus den deterministischen Prozessen ergeben, müssen jedoch statistisch belegt sein. Durch die Verwendung des gleichen Schlüssels als Startwert des Zufallszahlengenerators erzeugen die Kommunikationspartner die gleiche Bitfolge. Vgl. BETH, T., HEß, P., WIRL, K.: Kryptographie, Stuttgart 1983, S. 186Google Scholar
  146. 130a.
    und MEYER, C. H.: Block Chipher and Stream Chipher — Two different Encryption Concepts, in: DuD: 3/1982, S. 181–188, hier S. 185f.Google Scholar
  147. 131.
    Eine ausführliche Darstellung ist zu finden bei RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 86.CrossRefGoogle Scholar
  148. 132.
    Der DES ging aus dem von IBM entwickelten Lucifer-Algorithmus hervor. Vgl. SORKIN, A.: Lucifer, A Cryptographic Algorithm, in: CRYPTOLOGIA: Vol. 8, 1/1984, S. 22–35.Google Scholar
  149. 133.
    Vgl. NATIONAL BUREAU OF STANDARDS U.S. DEPARTMENT OF COMMERCE: Federal Information Processing Standard (FIPS), Publication 46, Washington D.C., Januar 1977.Google Scholar
  150. 134.
    RIHACZEK, K.: Der Data-Encryption-Standard, in: DuD: 3/1979, S. 196–201, hier S. 196 (im folgenden zitiert als RIHACZEK, K.: Data-Encryption-Standard).Google Scholar
  151. 135.
    Eine ausführliche Darstellung des DES ist zu entnehmen aus DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 408ff.Google Scholar
  152. 136.
    Über den Standardalgorithmus hinaus werden in der Literatur verschiedene Anwendungsmodi des DES vorgeschlagen, die Zeichenblöcke mit weniger als 64 Bit zulassen und auch eine Verkettung der Verschlüsselungsblöcke ermöglichen. Es werden unterschieden: Electronic Code Book Mode (ECB), Cipher Block Chaining Mode (CBC) und Cipher Feedback Mode (CFB). Vgl. DAVIES, D. W., PRICE, W. L.: Security for Computer Networks. An introduction to Data Security in Teleprocessing an Electronic Funds Transfer, Chichester/New York/Brisbane/Toronto/Singapore 1984, S. 88ff.Google Scholar
  153. 137.
    Vgl. RIHACZEK, K.: Datenverschlüsselung in Kommunikationssystemen, Braunschweig/-Wiesbaden 1984, S. 196.Google Scholar
  154. 138.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 71ff und o.V.: Der DES-Algorithmus, in: Datenschutz-Berater: 6/1985, S. 1–8.CrossRefGoogle Scholar
  155. 139.
    Die Abbildung wurde entnommen aus HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 115ff.Google Scholar
  156. 140.
    Vgl. RIHACZEK, K.: Datenverschlüsselung, 1985, S. 13.Google Scholar
  157. 141.
    Einwegfunktionen wurden für Daten entwickelt, die nur ver- aber nicht mehr entschlüsselt zu werden brauchen, wie z.B. zur Sicherung von Paßwortlisten bei der One-Way-Authentikation (einseitige Authentikation).Vgl. DIFFIE, W., HELLMAN, M. E.: New Directions in Cryptography, in: IEEE Transactions on Information Theory: Vol. 22, 6/1976, S. 644–654, hier S. 649ff. (im folgenden zitiert als DIFFIE, W., HELLMAN, M. E.: New Directions).Google Scholar
  158. 142.
    Vgl. BETH, T., HEß, P., WIRL, K.: Kryptographie, Stuttgart 1983, S. 31ff. Die Begriffe “leicht” und “praktisch nicht berechenbar” sind unscharfe Größen, die in der Literatur unterschiedlich quantifiziert werden. Beispielsweise halten Diffie und Hellman die Inverse einer Funktion für “praktisch unberechenbar”, wenn mindestens 1030 Instruktionen zu ihrer Bestimmung notwendig sind.Google Scholar
  159. 142a.
    Vgl. DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 650.Google Scholar
  160. 143.
    Vgl. PURDY, G. B.: A High Security Log-in Procedure, in: CACM: Vol. 17, 8/1974, S. 442–445.Google Scholar
  161. 144.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 111.CrossRefGoogle Scholar
  162. 145.
    Als “trap-door”-Einwegfunktionen werden solche Funktionen bezeichnet, deren als “praktisch unberechenbar” erscheinende Umkehrung durch Kenntnis eines zusätzlichen geheimzuhaltenden Algorithmus mit zugehörigen Schlüsselparametern (“trap-door”-Information) “praktisch leicht” wird. Vgl. RIHACZEK, K.: Datenverschlüsselung in Kommunikationssystemen, Braunschweig/-Wiesbaden 1984, S. 13f. sowieGoogle Scholar
  163. 145a.
    BETH, T.: Kryptographie als Instrument des Datenschutzes, in: INFORMATIK SPEKTRUM: 7/1982, S. 82–96, hier S. 91.Google Scholar
  164. 146.
    Bei n Kommunikationsteilnehmern müssen n(n-1)/2 Schlüssel vereinbart werden, bei asymmetrischen Verfahren nur n Schlüsselpaare. Dadurch wird das Schlüsselmanagement für große Teilnehmerzahlen wesentlich vereinfacht.Google Scholar
  165. 147.
    Vgl. HEIDER, F.-P.: Asymmetrische Verschlüsselung in Datennetzen, in: COMPUTERWOCHE: 12.Jg., Nr. 25 vom 21. 6. 1985, S. 34–36, hier S. 34.Google Scholar
  166. 148.
    Vgl. DIFFIE, W.; HELLMAN, M. E.: Privacy, a.a.O., S. 644–654.Google Scholar
  167. 149.
    Ein Kommunikationsprozeß stellt sich folgendermaßen dar: Möchte A an B eine Nachricht M senden, so bildet A mit B’s öffentlichem Schlüssel e(B) die Verschlüsselungsfunktion E(B) und verschlüsselt M durch E(B) (M). B entschlüsselt das Chiffrat mit seiner privaten Entschlüsselungsfunktion D(B) und erhält die Nachricht im Klartext. Ein sicherer Kanal ist somit nicht mehr notwendig, da der Schlüsseltausch entfällt.Google Scholar
  168. 150.
    Möchte A an B eine signierte Nachricht M übermitteln, erzeugt A einen Schlüsseltext S = D(A) (M). B entschlüsselt den Text S durch den ihm zugänglichen öffentlichen Verschlüsselungsalgorithmus E(A). Entsteht dabei die Nachricht M, die z.B. am Textende A’s Namen enthält, so kann nur A, unter der Voraussetzung, daß kein Unbefugter A’s privaten Schlüssel kennt, der Sender gewesen sein. Bei dieser Form der Übermittlung kann die Nachricht durch den öffentlichen Schlüssel von A allerdings von Unbefugten entschlüsselt werden. Um dem zu begegnen, verschlüsselt A den Schlüsseltext S zusätzlich mit B’s öffentlichem Verschlüsselungsalgorithmus E(B). Vgl. RIHACZEK, K.: Datenschutz und Kommunikationssysteme, Braunschweig/Wiesbaden 1981, S. 127Google Scholar
  169. 150a.
    (im folgenden zitiert als RIHACZEK, K.: Datenschutz) und DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 401.Google Scholar
  170. 151.
    Vgl. RIVEST, R. L., SHAMIR, A., ADLEMAN, L.: A Method for Obtaining Digital Signatures and Public-Key Cryptosystems, in: CACM: Vol. 21, 2/1978, S. 120–126, hier S. 120f.Google Scholar
  171. 152.
    Vgl. RIVEST, R. L., SHAMIR, A., ADLEMAN, L.: A Method for Obtaining Digital Signatures and Public-Key Cryptosystems, in: CACM: Vol. 21, 2/1978, S. 122ff.Google Scholar
  172. 153.
    Rivest, Shamir und Adleman empfehlen eine 200-stellige Zahl n. Die Faktorisierung von n dauert auch mit dem Einsatz modernster Computer mehrere billionen Jahre.Google Scholar
  173. 154.
    Die zugrundeliegende Mathematik nutzt die speziellen Eigenschaften der Euler’schen Funktion, die hier mit f(n) bezeichnet wird.Google Scholar
  174. 155.
    Vgl. DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 413f. sowie HEIDER, F.-P.: a.a.O., S. 36.Google Scholar
  175. 156.
    Die Knapsack-Probleme werden ausführlich dargestellt in HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 211ff.Google Scholar
  176. 157.
    Vgl. ODLYZKO, A. M.: Cryptanalytic Attacks on the Multiplicative Knapsack Cryptosystem and on Shamir’s Fast Signature Scheme, in: IEEE Transactions on Information Theory: Vol. 30, 4/1984, S. 594–600Google Scholar
  177. 157a.
    und DESMEDT, Y. G., VANDEWALLE, J. P., GOVAERTS, R. J. M.: A Critical Analysis of the Security of Knapsack Public-Key Algorithms, in: IEEE Transactions on Information Theory: Vol. 30, 4/1984, S. 601–611.Google Scholar
  178. 158.
    Vgl. BETH, T.: Kryptographie als Instrument des Datenschutzes, in: INFORMATIK SPEKTRUM: 7/1982, S. 93f.Google Scholar
  179. 159.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 172f.CrossRefGoogle Scholar
  180. 160.
    Vgl. HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 83f.Google Scholar
  181. 161.
    Vgl. DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 646.Google Scholar
  182. 162.
    Da die Analysemethoden trotz unterschiedlicher Zweckorientierung gleich sind, wird die Kryptoanalyse im folgenden der Kryptoanalysis zugeordnet. Vgl. DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 14.Google Scholar
  183. 163.
    Kritische Anmerkungen bezüglich der Bestimmung des “Work Factors” sind zu finden in: RIHACZEK, K.: Die Verwendung kryptographischer Verfahren, in: DuD: 2/1980, S. 99–102, hier S. 99 (im folgenden zitiert als RIHACZEK, K.: Verwendung).Google Scholar
  184. 164.
    Vgl. MEYER, C. H.: Criteria for Designing a Cryptographic Algorithm, in: DuD: 2/1982, S. 104–108, hier S. 106.Google Scholar
  185. 165.
    Vgl. GROLLMANN, J.: Anwendungen und Verfahren der Kryptographie, in: Online: 5/1983, S. 54–58, hier S. 56Google Scholar
  186. 165a.
    und MEYER, C. H., MATYAS, S. M.: Cryptography: A New Dimension in Computer Data Security, New York/Chichester/Brisbane/Toronto/Singapore 1982, S. 21ff.Google Scholar
  187. 166.
    Die Einflüsse von Textqualität und Textquantität auf die Anwendbarkeit kryptoanalytischer Methoden werden untersucht in: RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 136ff.CrossRefGoogle Scholar
  188. 167.
    Prämissen für die Wirksamkeit und die Einsatzmöglichkeiten der kryptoanalytischen Verfahren werden aufgestellt von: RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 138ff.CrossRefGoogle Scholar
  189. 168.
    RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 164ff.CrossRefGoogle Scholar
  190. 169.
    Vgl. RAUCH, W.: Datensicherung in der Datenfernübertragung durch Verschlüsselung, in: DuD: 4/1979, S. 246.Google Scholar
  191. 170.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 157f.CrossRefGoogle Scholar
  192. 171.
    Vgl. WIESNER, B.: Der Schutz von Daten in Computersystemen ist durch Kryptographie allein nicht gewährleistet, in: DuD: 4/1981, S. 265–268, hier S. 268.Google Scholar
  193. 172.
    Vgl. HEIDER, F.-P., KRAUS, D., WELSCHENBACH, M.: Mathematische Methoden der Kryptoanalyse, Braunschweig/Wiesbaden 1985, S. 293ff.Google Scholar
  194. 173.
    vgl. HELLMAN, M. E.: An Extension of the Shannon Approach to Cryptography, in: IEEE Transactions on Information Theory: Vol. 23, 3/1977, S. 289–294;Google Scholar
  195. 173a.
    HELLMAN, M. E.: A Cryptographic Time-Memory Trade off, in: IEEE Transactions on Information Theory: Vol. 26, 4/1980, S. 401–406Google Scholar
  196. 173b.
    und MERKLE, R. C., HELLMAN, M. E.: On the Security of Multiple Encryption, in: CACM: Vol. 24, 7/1981, S. 465–467.Google Scholar
  197. 174.
    Vgl. DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 74–84.Google Scholar
  198. 175.
    Das Public-Key-Distribution-System wurde von Diffie und Hellman entwickelt, um die Schlüsselverteilung bzw. den Schlüsseltausch auf einem unsicheren Kanal für symmetrische Kryptoverfahren zu ermöglichen. Vgl. DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 413.Google Scholar
  199. 176.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 166.CrossRefGoogle Scholar
  200. 177.
    Eine Darstellung des komplexitätstheoretischen Hintergrundes ist zu finden in: KONHEIM, A. G.: Cryptography: A primer, New York/Chichester/Brisbane/Toronto 1981, S. 249ff.Google Scholar
  201. 178.
    Vgl. HELLMAN, M. E.: The Mathematics of Public-Key Cryptography, in: SCIENTIFIC AMERICAN: Vol. 241, 2/1979, S. 103–146, hier S. 132ff. u.Google Scholar
  202. 178a.
    DIFFIE, W., HELLMAN, M. E.: Exhaustive Cryptoanalysis of the NBS Data Encryption Standard, in: Computer: 6/1977, S. 653.Google Scholar
  203. 179.
    RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 168f.CrossRefGoogle Scholar
  204. 180.
    Vgl. SATTLER, J., SCHNORR, C. P.: Ein Effizienzvergleich der Faktorisierungsverfahren von Morrison-Brillhart und Schroeppel, in: COMPUTING: Vol. 30, 7/1983, S. 91–110, hier S. 92.Google Scholar
  205. 181.
    Vgl. bspw. HORSTER, P.: Kryptologie, Mannheim/Wien/Zürich 1985, S. 189 und S. 193.Google Scholar
  206. 182.
    Vgl. RIVEST, R. L.: Critical Remarks on “Critical Remarks on Some Public-Key Cryptosystems” by T. Herlestam, in: BIT: Vol. 19, 4/1979, S. 274–275.Google Scholar
  207. 183.
    HEIDER, F.-P., KRAUS, D., WELSCHENBACH, M.: Mathematische Methoden der Kryptoanalyse, Braunschweig/Wiesbaden 1985, S. 416.Google Scholar
  208. 184.
    Vgl. STADLER, N.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 99.Google Scholar
  209. 185.
    Bezüglich des Einsatzes der Kryptographie im Rahmen der Authentifizierung und der Datenübertragung vgl. die Ausführungen in Kapitel 8. 3.Google Scholar
  210. 186.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 191.Google Scholar
  211. 187.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 202ff.CrossRefGoogle Scholar
  212. 188.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 192ff.CrossRefGoogle Scholar
  213. 189.
    Bei einer systemseitigen Verschlüsselung erfolgt der Aufruf des Steuerprogramms durch ein Systemprogramm, bei einer benutzerseitigen durch ein Anwendungsprogramm.Google Scholar
  214. 190.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 195.CrossRefGoogle Scholar
  215. 191.
    Vgl. MEYER, C. H., MATYAS, S. M.: The Role of Cryptography in electronic Data Processing, in: DuD: 3/1981, S. 174–180, hier S. 178 (im folgenden zitiert als MEYER, C. H., MATYAS, S. M.: The Role).Google Scholar
  216. 192.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 224f.CrossRefGoogle Scholar
  217. 193.
    Vgl. MEYER, C. H., MATYAS, S. M.: The Role of Cryptography in electronic Data Processing, in: DuD: 3/1981, S. 126–137.Google Scholar
  218. 194.
    Schlüssel, die über einen langen Zeitraum verwendet werden und den Angriffen Unbefugter deshalb verstärkt ausgesetzt sind, wie beispielsweise statische, zeitunabhängige Schlüssel, müssen besonders sicher sein. Dieser hohe Sicherheitsbedarf erfordert in der Regel eine Schlüsselgenerierung über nichtdeterministische Verfahren.Google Scholar
  219. 195.
    Aufgrund der sich daraus ergebenden Notwendigkeit der Zwischenspeicherung der Zahlenfolgen, gestaltet sich diese Methode jedoch aufwendiger als deterministische Generierungsverfahren. Vgl. CELLER, W.: Mehr Datensicherheit durch Kryptographie, in: IBM Nachrichten: Jg. 34/1984, Nr. 270, S. 31–35, hier S. 33.Google Scholar
  220. 196.
    Vgl. WONG, K.: The Hackers and Computer Crime, in: DuD: 3/1986, S. 192–195, hier S. 195 und WIESNER, B.: a.a.O., S. 268.Google Scholar
  221. 197.
    Vgl. CELLER, W.: Mehr Datensicherheit durch Kryptographie, in: IBM Nachrichten: Jg. 34/1984, S. 33 undGoogle Scholar
  222. 197a.
    RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 238ff.CrossRefGoogle Scholar
  223. 198.
    Darüber hinaus gelten die Aussagen hinsichtlich des Schlüsselmanagements und der Schnittstellenbetrachtungen auch weitgehend für andere mögliche DV-Anwendungen, in denen Daten gespeichert werden, wie beispielsweise Dateiverwaltungssysteme oder integrierte Anwendungssoftware, die häufig in kleinen und mittleren Unternehmen eingesetzt werden. Die Kryptographie sollte in diesen kleineren Systemen, die als Ein- oder Mehrplatzsysteme gegebenenfalls vernetzt eingesetzt werden, in Zukunft verstärkt zur Anwendung kommen, da der Zugriffsschutz durch das Betriebssystem oder die Anwendungssoftware häufig nur ungenügend realisiert ist.Google Scholar
  224. 199.
    Vgl. SCHLAGETER, G., STUCKY, W.: Datensicherung, Berlin/Müncher 1983, S. 335.Google Scholar
  225. 200.
    Vgl. DITTRICH, K. R., LOCKEMANN, P. C.: Datenbanken und Datenschutz, in: DuD: 2/1983, S. 90–95.Google Scholar
  226. 201.
    Vgl. SCHEUERNSTUHL, G.: Data Dictionary, in: SCHNEIDER, H.-J., (Hrsg.): Lexikon der Informatik und Datenarverbeitung, München 1983, S. 117f.Google Scholar
  227. 202.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 265ff.CrossRefGoogle Scholar
  228. 203.
    Vgl. RIHACZEK, K.: Datenverschlüsselung in Kommunikationssystemen, Braunschweig/-Wiesbaden 1984, S. 128.Google Scholar
  229. 204.
    Vgl. BAYER, R., ELHARDT, K., KIEßLING, W., KILLAR, D.: Verteilte Datenbanken, in: INFORMATIK SPEKTRUM: 7/1984, S. 1–19.Google Scholar
  230. 205.
    Vgl. DITTRICH, K. R., LOCKEMANN, P. C.: Datenbanken und Datenschutz, in: DuD: 2/1983, S. 94 und SCHLAGETER, G., STUCKY, W.: Datensicherung, Berlin/Müncher 1983, S. 344.Google Scholar
  231. 206.
    Statt systemseitiges/benutzerseitiges Schlüsselmanagement werden häufig auch die Begriffe geregeltes/ungeregeltes Schlüsselmanagement verwendet.Google Scholar
  232. 207.
    Diese Ansätze werden ausgeführt bei RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 305ff.CrossRefGoogle Scholar
  233. 208.
    Vgl. NIEDEREICHHOLZ, J.: a.a.O., S. 208ff.Google Scholar
  234. 209.
    Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 313–319.CrossRefGoogle Scholar
  235. 210.
    Eine detaillierte Beurteilung der Installationsmöglichkeiten soll in dieser Arbeit nicht erfolgen. Vgl. RYSKA, N., HERDA, S.: Kryptographische Verfahren in der Datenverarbeitung, Berlin/Heidelberg/New York 1980, S. 313–319.CrossRefGoogle Scholar
  236. 211.
    Vgl. BASTIAN, M.: Datenbanksysteme, Königstein 1982, S. 8ff.Google Scholar
  237. 212.
    Die Autorisierung und Zugriffskontrolle kann durch die Definition einer durch Chiffrierung geschützten Zugriffsmatrix erfolgen. Vgl. dazu auch die Ausführungen in Kapitel 6. 2. 2. 2.Google Scholar
  238. 213.
    Die Gefahr der unbefugten Einsichtnahme betrifft alle visuell lesbaren Datenträger, z.B. Drucklisten.Google Scholar
  239. 214.
    Vgl. GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 181.Google Scholar
  240. 215.
    Die alarmtechnische Sicherung umfaßt neben der Zugangssicherung auch die Sicherung gegen Feuer. Papier, das Plastikmaterial der Magnetbänder und die Gehäuse der Magnetplatten sind leicht brennbar und entwickeln zum Teil giftige Dämpfe. Schwelbrände werden aufgrund der Abgeschlossenheit des Raumes u.U. erst sehr spät entdeckt und sind dann nur schwer unter Kontrolle zu bringen. Vgl. WECK, G.: Organisation, 6. Aufl., Ludwigshafen 1987, S. 80.Google Scholar
  241. 216.
    Je nach der Organisationsform der Datenverarbeitung kann die Lagerung bzw. Archivierung zentral oder dezentral erfolgen. Vgl. zu diesen Ausführungen u.a.: ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 49/50;Google Scholar
  242. 216a.
    DROUX, R.: a.a.O., S. 298–302; GRAEF, M., GREILLER, R.: Datensicherung durch Organisation: Voraussetzung des Datenschutzes, 2. Aufl., Freiburg 1980, S. 413;Google Scholar
  243. 216b.
    GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 191/192.Google Scholar
  244. 217.
    Diese Karten werden am Datenträger angebracht. Anderenfalls ist der Datenträger zu beschriften.Google Scholar
  245. 218.
    Die Beschriftung eines archivierten Datenträgers über die fortlaufende Archivnummer hinaus birgt die Gefahr, daß unnötig viele Personen Kenntnis vom gespeicherten Inhalt erlangen. Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 190.Google Scholar
  246. 219.
    Bei sehr großen Datenbeständen kann eine Auslagerung in Abhängigkeit von gebildeten Risikoklassen an unterschiedlich stark gesicherten Orten sinnvoll sein. Vgl. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 212.Google Scholar
  247. 220.
    Vgl. BREUER, R.:BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S.221Google Scholar
  248. 221.
    Für Datenträgertransporte sollten spezielle Transportkoffer verwendet werden, deren Schlüssel sich lediglich in den Händen des Absenders und des Empfängers befinden. Vgl. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 222.Google Scholar
  249. 222.
    Vgl. dazu auch die Ausführungen in Kapitel 7.6.1.Google Scholar
  250. 223.
    Ab Schutzstufe B gelten alle Daten als schutzbedürftig. Für ihre Vernichtung legt die DIN 32575 Grenzwerte fest, die ab Schutzstufe C derart hoch angesetzt sind, daß selbst ein leistungsfähiger Aktenvernichter nicht mehr eingesetzt werden dürfte. Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 382.Google Scholar
  251. 224.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 196 und S. 200f.Google Scholar
  252. 225.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 386.Google Scholar
  253. 226.
    Vgl. ABEL, H., SCHMÖLZ, W.: Datensicherung, Berlin/Müncher 1983, S. 377.Google Scholar
  254. 227.
    Vgl. SIMITIS, S. et al.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 48.Google Scholar
  255. 228.
    Vgl. GROCHLA, E., SCHACKERT, H. R.: Datensicherung, Berlin/Müncher 1983, S. 131/132.Google Scholar
  256. 229.
    Vgl. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 275.Google Scholar
  257. 230.
    Zu nennen sind bspw. die Feuer-, Leitungswasser-, Einbruchdiebstahl- und Maschinenversicherung sowie die Haftpflicht- und die Betriebsunterbrechungsversicherung.Google Scholar
  258. 231.
    Einen Vergleich herkömmlicher Versicherungen mit der Schwachstromanlagenversicherung bezüglich der versicherten Gefahren macht dies deutlich. Vgl. o.V.: Hilfe für den Ernstfall, in: CHIP: 11/1984, S. 304–309, hier S. 306.Google Scholar
  259. 232.
    Vgl. HEIDINGER, J. L.: EDV-Versicherungen, in: KES: 6/1986, S. 310–317, hier S. 312 (im folgenden zitiert als HEIDINGER, J. L.: EDV-Versicherungen) und HEIDINGER, J. L., ANDRICH, R.: a.a.O., S. 143ff.Google Scholar
  260. 233.
    Grundlage des Versicherungsschutzes sind die “Allgemeinen Versicherungsbedingungen für Fernmelde- und sonstige elektrotechnische Anlagen” (AVFE 76).Google Scholar
  261. 234.
    Für die Datenträgerversicherung gilt neben den AVFE 76 zusätzlich die Klausel 638.Google Scholar
  262. 235.
    Vgl. BREUER, R.: Datenschutzbeauftragte — extern oder intern?, in: DuD: 5/1987, S. 285Google Scholar
  263. 235a.
    HEIDINGER, J. L.: EDV-Versicherungen, in: KES: 6/1986., S. 314–316.Google Scholar
  264. 236.
    Die Elektronik-Betriebsunterbrechungs-Versicherung kann nur dann in Anspruch genommen werden, wenn ein Ausfall als Folge eines Sachschadens an der EDV-Anlage vorliegt. Vgl. BREUER, R.: RZ-Sicherung durch Versicherung, in: Online: 12/1986, S. 30–33, hier S. 32 (im folgenden zitiert als BREUER, R.: RZ-Sicherung).Google Scholar
  265. 237.
    Vgl. o.V.: Versicherungen: Risikopuffer der Computerkriminalität, in: COMPUTERWOCHE: 12.Jg., Nr. 43 vom 25. 10. 1985, S. 31/32, hier S. 31.Google Scholar
  266. 238.
    Zu den Tatbeständen der Computerkriminalität vgl. die Ausführungen in Kapitel 4 sowie die Abbildung 10.Google Scholar
  267. 239.
    Als Vertrauenspersonen werden die Mitarbeiter des Betriebes und betriebsfremde Personen, die durch einen Vertrag in diesem beschäftigt sind, bezeichnet. ie CMV deckt nicht nur Vermögensschäden im eigenen Betrieb, sondern auch die durch seine Mitarbeiter bei Kunden verursachten Schäden ab. Vgl. HEIDINGER, J. L., ANDRICH, R.: a.a.O., S. 154/155 und HEIDINGER, J. L.: EDV-Versicherungen, in: KES: 6/1986, S. 316/317.Google Scholar
  268. 240.
    HEIDINGER, J. L.: EDV-Versicherungen, in: KES: 6/1986, S. 316.Google Scholar
  269. 241.
    Beispielsweise wird ein Teil der Risiken im Zusammenhang mit Datenträgern bereits durch eine Datenträgerversicherung gedeckt. Vgl. BREUER, R.: RZ-Sicherung durch Versicherung, in: Online: 12/1986, S. 33.Google Scholar
  270. 242.
    Darüber hinaus wehrt sie unberechtigte Schadenersatzansprüche, die von Betroffenen nach dem BDSG geltend gemacht werden, ab.Google Scholar

Copyright information

© Springer Fachmedien Wiesbaden 1988

Authors and Affiliations

  • Harry Mucksch

There are no affiliations available

Personalised recommendations