Leitfragen zur Basis-IT-Sicherheit für öffentliche Stellen, z.B. Kommunen oder Landesbehörden

 

  1. Sicherheitsupdates zügig einspielen. Software, für die keine Sicherheitsupdates mehr verfügbar sind, nicht nutzen.

  • Stellen sie sicher, dass Sicherheitsupdates zeitnah, spätestens innerhalb weniger Tage, eingespielt werden? Das gilt für alle verwendeten Betriebssysteme, Anwendungen Server und Geräte.
  • Verfügen Sie über ein Patchmanagement?
  • Haben Sie einen Überblick über alle installierten Betriebssysteme und Anwendungen?
  • Haben Sie einen Überblick über alle Geräte, die Updates benötigen (bspw. Firewall, VPN, Router, Netzwerkdrucker o.ä.)?
  • Haben Sie einen Überblick über alle genutzten Online- und Clouddienste?
  • Werden alle eingesetzten Betriebssysteme, Anwendungen, Geräte, Online- und Clouddienste vom jeweiligen Hersteller unterstützt und erhalten sie Sicherheitsupdates?
  • Wird, sofern möglich, eine Auto-Update-Funktion genutzt?

  1. Ausschließliche sichere und individuelle Passwörter und Zwei-Faktor-Authentifizierung (2FA) mit einem Passwortmanager verwenden. Sensible Daten müssen darüber hinaus mit Phishing-resistenten Anmeldeverfahren wie Passkeys/FIDO2 geschützt sein.

  • Nutzen Sie Passkeys/FIDO2 wo immer möglich?
  • Achten Sie bei der Beschaffung darauf, dass eingesetzte Anwendungen oder Online-Dienste 2FA oder besser Passkeys/FIDO2 unterstützen?
  • Verfügen Sie über eine Passwortrichtlinie?
  • Stimmt diese mit den Empfehlungen des LfDI überein oder geht darüber hinaus: https://www.baden-wuerttemberg.datenschutz.de/hinweise-zum-umgang-mit-passwoertern/
  • Stellen Sie sicher, dass Passwörter nicht mehrfach verwendet werden?
  • Verwenden Sie einen Passwortmanager und stellen sicher, dass dieser verwendet wird?
  • Haben Sie die Beschäftigten im Umgang mit Zugangsdaten und Passwortmanagern geschult?
  • War Teil dieser Schulung das generieren von Passwörtern mittels einem Passwortmanager sowie die Pflicht alte, unsichere Passwörter zu ersetzen?
  • Untersagen Sie das Speichern von Passwörtern in Word-, Excel-Dateien oder ähnlichen ungeschützten Formaten und haben Sie die Umsetzung geprüft?
  • Nutzen Sie Zwei-Faktor- Authentifizierung (2FA) wo immer möglich?
  • Die dienstlichen Geräte (Standrechner, Laptop, Smartphone, Tablet etc.) der Mitarbeiter_innen werden bei Abwesenheit zeitnah automatisch gesperrt (Bildschirmsperre) und müssen über einen ausreichend sicheres Passwort oder Entsperrcode verfügen.

  1. Interne Systeme oder Adminoberflächen/Fernwartungssysteme dürfen nicht direkt aus dem Internet erreichbar sein, sondern nur im lokalen Netz oder via VPN.

Passwörter und Zwei-Faktor-Authentifizierung (2FA) reichen oft nicht aus: Interne Systeme wie Dateiserver, Fachverfahren und ähnliches sollten in aller Regel nicht direkt über das Internet erreichbar sein. Dies gilt auch für Administrations-Oberflächen von Firewalls und VPN-Servern oder andere Software, die in der Vergangenheit immer wieder Sicherheitslücken hatte. Fernwartungssysteme sind gut gut abzusichern.

  • Sind alle internen Dienste nur aus dem internen Netz (vor Ort oder via VPN) und nicht aus dem Internet erreichbar?
    • Gilt dies auch für alle Webdienste wie Outlook Web Access (OWA)?
    • Gilt dies auch für alle Administrationsoberflächen von Firewalls, VPN-Servern, Routern oder ähnlichen Geräten?
    • Gilt dies auch für alle Server und ähnliche Systeme, die z.B. per RDP oder SSH gesteuert werden?
  • Wurden etwaige Fernwartungssysteme gut abgesichert?
    • Ist ein Zugang zum lokalen Netz (z.B. mittels VPN) Voraussetzung für den Zugriff auf administrative Konten?
    • Gibt es für mehrere administrative Konten, die für unterschiedliche Aufgaben zugeschnitten sind anstatt eines oder mehrere Super-Admin-Konten?
    • Ist ein Login an den Fernwartungskonten nur per Zertifikat oder Passkeys/FIDO2 möglich?
    • Zur Verbindung in das lokale Netzwerk (VPN) sowie zur Fernwartung werden sichere Protokolle in ihrer aktuellen Version eingesetzt (z.B.: Wireguard, OpenVPN, SSH).
  • Ihr VPN verfügt über 2FA oder eine zertifikatsbasierte Anmeldung?
  • Eine WLAN-Verbindung für Privatgeräte von Beschäftigten und Besuchern ist strikt von dem Institutionsnetzwerk abgetrennt?

  1. Clouddienste mit sensiblen Daten müssen an vertrauenswürdiger Hardware und IP-Adressbereichen oder interne Netze gebunden werden. Ein Zugriff ist so nur von erlaubter Hardware aus möglich.

  • Ist der Zugriff auf Cloud-Dienste (einschließlich E-Mails) an Geräte und IP-Adressen oder interne Netze gebunden?
  • Ein Zugriff mittels Privatgeräten auf das interne Netzwerk, E-Mails oder Dateien, insbesondere bei Nutzung entsprechender Cloud-Dienste, ist nicht möglich.
  • Das Hinzufügen von Geräten (bspw. IoT-Geräte) zum E-Mail-/Cloudspeicher-Konto mittels einem gerätegenerierten Code (Device Code Login) wird unterbunden?

  1. Nur digital signierte Powershell-Skripte und Makros in Office-Anwendungen erlauben. Der Zugriff auf die Kommandozeile durch normale Nutzer_innen muss unterbunden werden.

  • Das Ausführen von Befehlen auf der Kommandozeile/Powershell wird für nicht-administrative Nutzer_innen unterbunden.
  • Die Verwendung von Makros in Office-Anwendungen ist deaktiviert oder es werden nur signierte Makros erlaubt.
  • Eine Anti-Virensoftware wird eingesetzt. Es wird sichergestellt, dass diese keine Daten zu Analysezwecken an die Betreiberfirma ausleitet, so wie auch ansonsten durch technische Maßnahmen sichergestellt wird, dass keine Daten entgegen § 25 TDDDG und der no-spy-Klausel der EVB-IT ausgeleitet werden.
  • Nutzer_innen können nur zuvor erlaubte Anwendungen installieren und ausführen. Eine Installation oder das Ausführen von Drittsoftware ist nicht möglich.

  1. Ein Rechte- und Rollenkonzept regelt die Zugriffsmöglichkeiten auf Infrastruktur und Daten, nach den jeweiligen fachlichen Erfordnernissen. Unauthentifizierte Benutzer_innen haben keinen Zugriff. Konten mit Adminrechten dürfen nur für administrative und nicht für alltägliche Arbeiten genutzt werden.

  • Sie verfügen über ein Rechte- und Rollen-Konzept.
  • Konten mit Adminrechten werden nur für administrative Zwecke verwendet. Für alltägliche Arbeiten (Internet, E-Mail etc.) werden Konten mit nicht-privilegierten Rechten genutzt.
  • Der Zugriff auf sensible Daten und Dienste (z.B. Domain Controller) ist auf das absolut notwendige Minimum zu beschränken.
  • Aktivitäten der Administrator_innen werden protokolliert.

  1. Datenträger, insbesondere von mobilen Geräten, verschlüsseln.

  • Die Datenträger Ihrer Clients (Standrechner, Laptops etc) wurden verschlüsselt (bspw. mit Bitlocker (Windows), FileVault (Mac) oder DM-Crypt/LUKS (Linux))?
  • Die Datenträger Ihrer Server wurden verschlüsselt (bspw. mit Bitlocker (Windows), FileVault (Mac) oder DM-Crypt/LUKS (Linux))?
  • Die Speicher von mobilen Geräten wie Smartphones oder Tablets sind verschlüsselt?
  • Die Verwendung von mobilen Speichergeräten (wie USB-Sticks) wird unterbunden oder nur mit einer Verschlüsselung erlaubt?

  1. Daten, die nicht benötigt werden, löschen. Die Löschung erfolgt möglichst automatisiert.

  • Sie verfügen über ein Löschkonzept mit Löschfristen und setzen dieses um?
  • Das Löschkonzept berücksichtigt gesetzlich vorgeschriebene Archivierungspflichten und sorgt für eine Aussonderung, wenn diese abgelaufen sind?
  • Die Datenlöschung von speziellen Ordnern (bspw. Speicher-Ziel des Scanners) findet automatisiert statt?
  • Sie verfügen üben ein Offboarding von Angestellten, in dessen Rahmen die verwendeten Konten der Mitarbeiter_innen erfasst und gelöscht werden.

  1. Backups werden getrennt von restlichen Systemen vorgehalten. Ein Probelauf zur Wiederherstellung von Backups wird durchgeführt.

  • Sie verfügen über ein abgetrenntes Backup, dass aus dem produktiven Netz nicht zu erreichen ist?
  • Sie sichern regelmäßig alle Daten und rotieren die Backups nach einem anerkannten System (z.B. 3-2-1-Regel)?
  • Die Backups werden sicher verschlüsselt aufbewahrt?
  • Die Backups werden an einem physisch gesicherten Ort aufbewahrt?
  • Die Übertragung der Backups findet sicher verschlüsselt statt?
  • Ein Probelauf der Wiederherstellung des Backups wurde durchgeführt?

  1. Die Systeme kontinuierlich betreuen. Beschäftigte sensibilisieren.

  • Es gibt klare Verantwortlichkeiten für die Betreuung der Systeme.
  • Es gibt klare Vertretungsregelungen (bspw. im Krankheits- oder Urlaubsfall).
  • Es findet regelmäßige Schulungen zur Sensibilisierung der Mitarbeiter_innen zum Thema Datenschutz und IT-Sicherheit statt.