Sicherheit in der elektronischen Geschäftsabwicklung

Zusammenfassung

Informations- und Kommunikationssysteme werden zunehmend zu zentralen Komponenten einer Gesellschaft. Praktisch alle Industrie-, Handels- und Dienstleistungsunternehmen sowie staatliche Organisationen betreiben zur eflizienten Verarbeitung immer komplexer werdender Aufgaben Systeme der Informationstechnik (IT-Systeme). Informationen über Geschäftsergebnisse, Strategiepläne, Logistikinformationen und Kundendaten stellen einen erheblichen Wert dar. Daher werden sie vielfach als Produktionsfaktor verstanden, ähnlich wie Vermögenswerte, deren Schutz essentiell ist. Dies hat insbesondere für Kreditinstitute eine herausragende Bedeutung. Ein umfassendes Sicherheitsbewußtsein und eine entsprechende Sicherheitspolitik sind daher unabdingbare Voraussetzungen für einen dem Stellenwert gerechten Umgang mit Informationen. Bei der Absicherung von Informations- und Kommunikationssystemen sind insbesondere die folgenden Grundwerte zu betrachten:

• Verfügbarkeit: Es ist sicherzustellen, daß Daten dann verfügbar sind, wenn sie benötigt werden. Aber auch Kommunikationsverbindungen müssen verfügbar sein. Beispielsweise kann es für einen Kunden oder einen Finanzdienstleister wesentlich sein, innerhalb bestimmter Fristen auf Informationen des Unternehmens zugreifen oder bestimmte Aktionen (z.B. Wertpapieran- und verkäufe) auslösen zu können. Die Verfügbarkeit läßt sich nicht durch Sicherheitsfunktionen (wie z.B. kryptographische Verfahren), sondern nur durch infrastrukturelle oder organisatorische Maßnahmen (z.B. redundante Auslegung von Netzverbindungen, Back-up-Server) erreichen.

• Integrität: Sensitive Daten sind so zu schützen, daß sie nicht unbemerkt verändert werden können (z.B. Kontoangaben, Beträge, Aufträge). Ebenso sind Kommunikationsverbindungen so abzusichern, daß Daten bei der Übertragung nicht unbemerkt verändert werden können. Ein typisches Beispiel sind Aufträge im Zahlungsverkehr, bei denen z.B. sowohl Änderungen an den angegebenen Beträgen als auch an den Kontoangaben verhindert bzw. zuverlässig erkannt werden müssen.

• Vertraulichkeit: Sensitive Daten sind so zu schützen, daß sie nicht Unbefugten zugänglich gemacht werden können. Ebenso ist für Kommunikationsverbindungen sicherzustellen, daß die übertragenen Daten vertraulich bleiben.

• Authentizität (Verbindlichkeit): Bei sensitiven Daten ist wie bei ihren handschriftlichen Entsprechungen die Urheberschaft der Daten und damit ihre Echtheit zu sichern. Dies kann zum Beispiel dann nötig werden, wenn die Verbindlichkeit eines Kundenauftrags oder einer Verfügung gewährleistet und später überprüft werden soil. Kommunikationsverbindungen sind so zu schützen, daß die Identität der beteiligten Kommunikationspartner stets bekannt und sichergestellt ist. So ist es beispielsweise für Kunden wichtig, sicher zu wissen, daß sie mit dem gewünschten Unternehmen oder Kreditinstitut verbunden sind, wenn sie dem Unternehmen vertrauliche Informationen übergeben. Umgekehrt ist es in bestimmten Fällen auch für das Kreditinstitut wichtig, die Identität des Kommunikationspartners sicher zu kennen, da diese beispielsweise Grundlage für die Berechtigung zu bestimmten Aktionen (z.B. Verfügungsberechtigung) oder auch zum Empfang bestimmter Informationen (bei Kunden z.B. Kontooder Depotstand, bei Mitarbeitern z.B. Zugriff auf bankinterne Informationen) ist.