Checkliste Technische und organisatorische Maßnahmen (Anlage zu § 9 Satz 1 BDSG)

Die nachfolgende Übersicht beruht auf der Checkliste zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage, die anhand von Prüflisten der Datenschutzaufsichtsbehörden erstellt und angepasst wurde. Als Quellen dienten die Regierung von Mittelfranken, die Bayerische Datenschutz-Aufsichtsbehörde für den nicht-öffentlichen Bereich (Stand: 7/2005) sowie der Hamburgische Datenschutzbeauftragte (Stand: 5/2007). Die Checkliste erschien erstmals 2006 in der Fachzeitschrift Recht der Datenverarbeitung (RDV 2006, 272, 280) und wird regelmäßig im GDD-Jahrbuch veröffentlicht. Ihr Autor, Dr. Münch, stellte sie dem Datenschutz-Wiki dankenswerterweise zur Verfügung. Des Umfangs halber wurden die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierung beachten.

Zugangskontrolle (Anlage Nr.2) 
"zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können"

Nr. | Vorgabe | erfüllt | nicht erfüllt | nicht erforderlich | Bemerkungen
3.1 | Passwortverfahren | | | |
3.1.1 | Forderung einer unterschiedlichen Zeichenzusammensetzung | | | | Groß- und Kleinschreibung, Zahlen, Sonderzeichen
3.1.2 | Mindestlänge 8 Zeichen | | | | besser: länger als 16 Zeichen (z.B. ein einfach zu merkender Satz)
3.1.3 | Regelmäßiger Wechsel | | | |
3.1.4 | Erstanmeldeprozedur | | | | Vergabe des ersten Passwortes durch wen? Aufforderung/Prüfung der Änderung
3.1.5 | Bildschirmsperre bei Pausen mit Passwort-Aktivierung | | | |
3.1.6 | Zugangssperre bei mehr als 3 Anmeldeversuchen | | | | Protokollierung fehlerhafter Anmeldeversuche? Auswertung wann durch wen?
3.1.7 | Passworthistorie | | | |
3.1.8 | Verwendung Gruppen-Passwörter | | | | Sollte aufgrund der Nachvollziehbarkeit von Zugriffen unbedingt vermieden werden
3.1.9 | Richtlinie, Merkblatt | | | |
3.1.10 | Aufbewahrung Administrator-Passwörter | | | | Zugriffsregelungen?
3.1.11 | Einmal-Passwörter | | | | Software-/Hardware-Token?
3.1.12 | BIOS-Passwörter | | | |
3.1.13 | Boot-Passwörter | | | |
3.1.14 | Single-Sign-On (SSO)? | | | |
3.2 | Andere Verfahren | | | |
3.2.1 | Biometrische Verfahren (one-to-one) | | | |
3.2.2 | Biometrische Verfahren (one-to-many) | | | |
3.2.3 | Elektronische Signatur | | | |
3.2.4 | Chipkarten | | | | PIN-Vergabe und -Änderung?
3.2.5 | Magnetkarten | | | |
3.2.6 | Transponderkarten | | | |
3.3 | Protokollierung des Zugangs (An-/Abmeldung) | | | |
3.4 | Verschlüsselung mobiler Datenträger/Festplatten | | | |
3.5 | Zugang von außerhalb des Intranets | | | |
3.6 | Wie erfolgt der Zugang ins Internet? | | | |
3.6.1 | Kommunikationsserver | | | |
3.6.2 | Proxy-Server | | | |
3.6.2.1 | Vergabe der Accounts? | | | |
3.6.2.2 | Verwaltung der Passwörter? | | | |
3.6.3 | Wechsel des Betriebssystems | | | |
3.6.4 | Wechsel zu einem Live-Betriebssystem (read only) | | | |
3.6.5 | Stand-alone-PC | | | |
3.6.6 | Ohne Schließen der aktiven Anwendung | | | |
3.7 | Welcher Internet-Provider wird genutzt? | | | |
3.7.1 | Corporate Network | | | | Wer?
3.7.2 | Internet-Provider (direkt) | | | | Wer?
3.7.3 | Dienstleister (Hosting) | | | | Wer?
3.8 | Verwendete Technik | | | |
3.8.1 | ISDN | | | |
3.8.1.1 | Karte | | | |
3.8.1.2 | Modem | | | |
3.8.1.3 | Router | | | |
3.8.2 | DSL | | | |
3.8.2.1 | Karte | | | |
3.8.2.2 | Modem | | | |
3.8.2.3 | Router | | | |
3.9 | Firewall | | | |
3.9.1 | Betreuung durch Dienstleister | | | | ADV Vereinbarung? SLA?
3.9.2 | Zugriffsberechtigungskonzept | | | |
3.9.3 | Verantwortlich für Regelwerk | | | | Wer darf Änderungen veranlassen?
3.9.3.1 | Änderungsberechtigungen | | | | Wodurch gewährleistet?
3.9.3.2 | Nachvollziehbarkeit von Regeländerungen | | | | Durch wen, wie oft?
3.9.3.3 | Prüfung des Regelwerks | | | |
3.9.4 | Proxy-Server mit Software-Firewall | | | |
3.9.5 | Software-Firewall | | | |
3.9.6 | Hardware-Firewall (Appliance) | | | |
3.9.7 | Hersteller | | | |
3.9.7.1 | Support und Wartung (Fernwartung?) | | | | Handhabung Support-Fall?
3.9.8 | Wie oft werden Updates installiert? | | | | Richtlinie/Vorgaben?

3.9.8.1

Laufend, automatisiertes Verfahren

Betriebssystem: 

... 

Firewall: 

...

3.9.8.2

Laufend, manuell

Betriebssystem: 

... 

Firewall: 

...

3.9.9 | Wie werden Sicherheitslücken gehandhabt? | | | | Vorgaben/Richtlinie?
3.9.9.1 | Benachrichtigung durch wen? | | | | z.B. CERT
3.9.9.1.1 | Regelmäßig, automatisiertes Verfahren | | | |
3.9.9.1.2 | Regelmäßig, manuell | | | | In welchen Fällen?
3.9.9.1.3 | Manuell | | | | In welchen Fällen?
3.9.9.2 | Einspielung Sicherheitspatches | | | |
3.9.9.2.1 | Laufend, automatisiertes Verfahren | | | |
3.9.9.2.2 | Laufend, manuell | | | |
3.9.10 | Getrennte Administration der Komponenten? | | | | Betriebssystem, Proxy, Firewall
3.10 | Welcher Browser wird genutzt? | | | | Hersteller
3.10.1 | Wie oft werden Sicherheitspatches und/oder Updates installiert? | | | |
3.10.1.1 | Laufend, automatisiertes Verfahren | | | |
3.10.1.2 | Laufend, manuell | | | |
3.10.2 | Verwaltung der Konfiguration? | | | |
3.10.2.1 | Durch Administration | | | |
3.10.2.2 | Durch Nutzer | | | |
3.11 | Werden Sicherheitseinstellungen durch Penetrationstests regelmäßig überprüft? | | | | Wenn „Ja“, durch wen und wie häufig?
3.12 | Systemadministration | | | |
3.12.1 | Administrationsrichtlinie | | | |
3.12.2 | Administratoren sind tätig: | | | |
3.12.2.1 | hauptamtlich | | | |
3.12.2.2 | nebenamtlich | | | |
3.12.2.3 | extern | | | | ADV Vereinbarung?
3.12.3 | Aufgabenbezogene systemtechnische Trennung bei mehreren Administratoren | | | |
3.12.4 | Spezielle Passwortkonventionen zur Administration (abweichend von Nutzer-Passwörter) | | | |
3.12.5 | Getrennte Benutzerkonten für Systemadministration, Sachbearbeitung, persönlichen Nutzungen | | | |
3.12.6 | Anwendung des 4-Augen-Prinzips | | | |
3.12.7 | Protokollierung der Administrationsarbeit | | | |
3.12.7.1 | Protokoll-Server | | | | Zugriffsregelungen?
3.12.7.2 | Eigener Protokoll-Bereich | | | | Wo?
3.12.7.3 | Vorkehrungen gegen Protokollmanipulation | | | |
3.12.7.4 | Wer wertet Protokolle ggf. aus? | | | | Anlassbezogen, regelmäßige Prüfung?
3.12.8 | Sind Notfallpasswörter hinterlegt? | | | | Wo? Zugriffsregelungen?