Source: https://www.compliance-net.de/content/psd-2-herausforderungen-fuer-die-interne-revision
Timestamp: 2020-06-05 12:21:44+00:00

Document:
compliance-net | PSD2 – Herausforderungen für die Interne Revision
StartseitePSD2 – Herausforderungen für die Interne Revision und Hinweise zur Prüfungsplanung
Die Umsetzung der Anforderungen aus der PSD2 prägt derzeit die Projektlandschaft der Zahlungsdienstleister. Während das Zivilrecht (größtenteils) Anfang 2018 zur Anwendung kommt, haben sich die Institute aufgrund von Fristverschiebungen und der Abhängigkeit von EBA-Veröffentlichungen etwas Zeit in der Umsetzung von einzelnen Teilen des Aufsichtsrechts verschafft.Dennoch: Obwohl einige Zieltermine für umfangreiche Themen in der Zukunft liegen, empfiehlt es sich, sich für die Interne Revision bereits jetzt mit der Thematik zu befassen, die Änderungen im Zahlungsverkehr einzuplanen und ggf. mit Prüfungen zu starten oder in Form von Projektberatung zu unterstützen. Z.B. kann die Umsetzung der MaSI (Mindestanforderungen an die Sicherheit von Internetzahlungen) geprüft werden, da diese sich als Vorbote der PSD2 darin in Teilen wiederfindet. Zeitnah kann auch die Umsetzung des (PSD2-)Meldeprozesses an die Aufsicht oder die Umsetzung des Zivilrechts (u.a. Durchführung von Zahlungen, Entgelte, Haftungsfragen) überprüft werden, da die Änderungen Anpassungen in den Prozessen erfordern (vgl. z.B. BGB §675y Absatz 3-5 – verspätete Ausführung und Nachforschung bei Angabe falscher IBAN).Der Umfang der PSD2 ist dabei nicht zu unterschätzen. Schließlich regelt diese auf oberster Ebene die Zulassung eines Dienstleisters und endet in den Untiefen der Durchführung eines einzelnen Zahlungsvorgangs. Daneben stehen Anforderungen an die Sicherheit von Zahlungsdiensten und natürlich die Implementierung der Schnittstelle („Access to account-XS2A“) auf der Agenda. Steht man als Interne Revision vor der Detailplanung, wird schnell erkannt, wie komplex es überhaupt ist, sich einen Überblick über relevante Themen zu verschaffen und die Grundlagen zu erheben, gegen die geprüft werden soll. Relevant sind das Zahlungsdiensteaufsichtsgesetz und die Änderungen im BGB, z.B. §675. Detailregelungen werden von der EBA in Form von RTS (Regulatory Technical Standards) und Leitlinien herausgegeben, welche davon teilweise von der BaFin als Rundschreiben erscheinen.Ist der „Paragrafen- und Artikeldschungel“ einmal durchdrungen, gilt es, die korrekten Prüfungsfelder bzw. Prüfobjekte zu identifizieren (Aufteilung ist generisch und nicht vollständig, sie kann weiter unterteilt werden):Zivilrecht – Haftungsregelungen und prozessuale Umsetzung, Autorisierung und Durchführung von Zahlungsvorgängen, Prozesse im Fachbereich rund um Drittdienstleister („Third Party Providers“)…Sicherheit im Zahlungsverkehr – u.a. starke Kundenauthentifizierung, Transaktionsüberwachung, Umgang mit sensiblen Zahlungsdaten, MaSI 2.0Meldung und StreitbeilegungGovernance – Risikomanagement im Zahlungsverkehr, Rolle IT-Security, IKS im ZahlungsverkehrFraud ReportingOutsourcing im Zahlungsverkehr – u.a. Prüfung von Verträgen hinsichtlich PSD2-KonformitätSchnittstelle zu Drittdienstleisternübergreifende Anforderungen an ZahlungsdienstleisterProduktlandschaft (sind alle betroffenen Produkte identifiziert?)Die Themenfelder betreffen die Revision sowie IT-Revision. Neben Prozessoptimierungen (speziell für die Umsetzung des Zivilrechts) und der Erstellung von diversen Dokumentationen sind auch technische Sicherheitsmaßnahmen hinsichtlich der Funktionsfähigkeit zu überprüfen. Es gilt auch zu prüfen, inwieweit das Risikomanagement die verschärften Anforderungen an Risiken und Kontrollen im Zahlungsverkehr aufgegriffen hat. Z.B. fordert die EBA Guideline (security measures for operational and security risks) die Erstellung eines Inventars (Systeme, Key Persons und sonstige Assets) als Basis für das Risikomanagement. Eine eigene Richtline widmet die EBA auch dem Thema "Meldung von Sicherheitsvorfällen". Hier gilt es zu prüfen, ob alle relevanten Sicherheitsvorfälle erfasst und rechtzeitig gemäß den Anforderungen an die Aufsicht übermittelt und im Anschluss überwacht werden. Herausfordernd ist sicherlich auch die Prüfung der starken Kundenauthentifizierung in Verbindung mit der Transaktionsüberwachung und einer ggf. durchzuführenden Transaktionsrisikoanalyse (geregelt in der RTS). Hier sind Mechanismen zu implementieren, die den Einsatz der starken Kundenauthentifizierung von Ergebnissen der Transaktionsrisikoanalyse abhängig machen.Sind Zahlungsprozesse ausgelagert, so müssen die bestehenden Verträge dahingehend kritisch überprüft werden, ob die neuen Anforderungen auch mit dem Dienstleister hinreichend geregelt sind. Dies kann z.B. die rechtzeitige Meldung (oder Mitmeldung) betreffen, kann aber auch bedeuten, dass im Ergebnis festgestellt wird, dass erforderliche Services hinzu gebucht oder angepasst werden müssen (im Verhältnis Zahlungsdienstleister und Zahlungsabwicklungsanbieter).Einer Prüfung sollte auch das „PSD2-Scoping“ unterzogen werden. Abhängig von den angebotenen Zahlungsdienstleistungen enthält die PSD2 Ausnahmen, sodass die Anforderungen auf bestimmte Zahlungsdienstleistungen keine Anwendung finden. Hierbei kann der Fall eintreten, dass je nach Komplexität des Instituts bestimmte Produkte falsch eingestuft oder versehentlich vergessen wurden.In komplexen Unternehmensstrukturen können zudem laufende Zahlungsdiensteprojekte, neue Fintechs etc. eine Rolle spielen. Interessant aus Revisionssicht ist sicherlich die Überprüfung, ob diese Projekte und Fintechs PSD2-konform agieren. Gerade Fintechs haben den Fokus auf der Kerndienstleistung (was für ein Startup natürlich ist). Da bleibt wenig Zeit, sich z.B. mit „lästigen“ Anforderungen an Governance zu beschäftigen. Vorbereitung auf die Prüfung und WissensaufbauDas Selbststudium ist aufwendig, jedoch möglich. Empfehlenswert sind hierbei kommentierte (EG-) BGB-Synopsen und ZAG-Werke, in denen die Änderungen markiert sind. Darüber hinaus sollte in den Browserfavoriten die Seite der EBA zu PSD2 abgelegt werden. Gegen die darin aufgeführten Dokumente kann geprüft werden (auf den Status der Dokumente ist dabei zu achten). Auf der BaFin-Seite sind ebenfalls viele wertvolle Information zu finden. Unternehmen, die an BdB/vbo-Fachtagungen teilgenommen haben, können auf eine umfangreiche Sammlung an Informationen zugreifen.Für Prüferinnen und Prüfer, die darüber hinaus ein Seminar besuchen möchten, empfehlen wir die Veranstaltung "PSD 2 - Prüfungsleitfaden für die Interne Revision und rechtliche Rahmenbedingungen" der compliance-net-akademie, bei der die Teilnehmer u.a. einen Prüfungsleitfaden erhalten.AKTUALISIERUNG: Weitere Veranstaltungen sind in der Planung. Die compliance-net akademie führt auch Inhouse-Veranstaltungen durch. Bei Interesse oder wenn Sie weitere Informationenen (z.B. Prüfprogramme) wünschen, schreiben Sie gerne eine Nachricht an info@compliance-net-akademie.de
Abhängig vom gewählten Implementierungsmodell ergibt sich beim Einsatz von Cloud-Computing ein Kontrollverlust. Sicherheitsmaßnahmen des Internen Kontrollsystems liegen zumindest teilweise im Hoheitsbereich des Dienstleisters1. Aus diesem Grund lassen sich aus Anwendersicht innerhalb eines IKS nicht oder nur sehr schwierig alle Risikobereiche einer Cloud-Umgebung abdecken.Abbildung 1: Einflussbereiche nach Cloud-ModellQuelle: Eigene Darstellung in Anlehnung Loczewski, Thomas, General, Jan, Schwald, Daniel, IT-Governance 16, 2013, S.5.Empfehlungen und prozessunabhängige Kontrollen für Cloud-RisikenIm folgenden Abschnitt wird auf die zuvor identifizierten Risiken eingegangen. Es werden Handlungsempfehlungen gegeben, die in Form von Maßnahmen die jeweiligen Risiken mindern sollen. Um in Zuge eines Internen Kontrollsystems die Einhaltung dieser Maßnahmen zu überprüfen, werden darüber hinaus Kontrollen definiert.Bei diesen Kontrollen handelt es sich um Beispiele und Anregungen in Bezug auf die zuvor identifizierten prozessunabhängigen Risiken. Die aufgeführten Maßnahmen und Kontrollen stellen kein vollständiges IKS dar.Die Darstellung erfolgt in tabellarischer Form. Der Typ der Kontrolle wird unterschieden nach präventiven (p), also vorbeugenden, und detektiven (d), aufdeckenden, sowie manuellen (m) und automatischen (a) Kontrollen. Im unteren Abschnitt der Tabelle wird dargestellt, in wessen Zuständigkeit die Umsetzung der Maßnahme fällt. Diese kann entweder den Anbieter oder den Anwender betreffen. In manchen Fällen sind von einer Maßnahme gegebenenfalls sowohl der Anbieter als auch der Anwender direkt betroffen.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ Nr.Ziel der KontrolleMaßnahmenempfehlungAktivität zur Überprüfung der Einhaltung der Maßnahmep, d, m, aZuständigkeit:AnbieterAnwender xxTabelle 1: Darstellungsform KontrollenQuelle: Eigene DarstellungNutzt ein Unternehmen eine IT-gestützte Rechnungslegung innerhalb einer Cloud, so sind in diesem Zusammenhang auch die Sicherheits- und Ordnungsmäßigkeitsanforderungen des IDW RS FAIT 1 zu beachten. Die Sicherheitsanforderungen umfassen: Vertraulichkeit, Integrität, Verfügbarkeit, Autorisierung, Authentizität und Verbindlichkeit2.Darüber hinaus müssen die Grundsätze ordnungsgemäßer Buchführung bei IT-gestützter Rechnungslegung erfüllt werden, indem die Einhaltung der folgenden Ordnungsmäßigkeitskriterien bei der Erfassung, Verarbeitung, Ausgabe und Aufbewahrung der rechnungslegungsrelevanten Daten sichergestellt wird3: - Vollständigkeit nach § 239 Abs. 2 HGB - Richtigkeit nach § 239 Abs. 2 HGB - Zeitgerechtheit § 239 Abs. 2 HGB - Ordnung § 239 Abs. 2 HGB - Nachvollziehbarkeit nach § 238 Abs. 1 Satz 2 HGB - Unveränderbarkeit nach § 239 Abs. 3 HGB Erstellung einer Cloud-Nutzungs-Strategie und SicherheitsrichtlinieDie Nutzung von Cloud-Dienstleistungen bringt immer eine strategische Komponente mit sich. Aus diesem Grund ist eine ausführliche Betrachtung der wirtschaftlichen, technischen und organisatorischen Rahmenbedingungen sowie der sicherheitsrelevanten Aspekte zwingend vonnöten4.Die Maßnahme muss dann umgesetzt werden, wenn sich ein Unternehmen für die Nutzung von Cloud-Dienstleistungen entschieden hat und konkrete Vorstellungen hat, welche Dienste genutzt werden sollen5.Das BSI empfiehlt, die folgenden Gesichtspunkte bei der Erstellung einer Cloud-Nutzungs-Strategie zu beachten und zu dokumentieren: - Einbindung in die Unternehmensstrategie - Machbarkeitsstudie unter Berücksichtigung aller Rahmenbedingungen - erste Kosten-Nutzen-Abschätzung - Auswahl der Services und des Bereitstellungsmodells - Berücksichtigung von Sicherheitsaspekten - Erstellen einer Sicherheitsanalyse - Erstellung einer Roadmap6Daraus ergibt sich der erste Kontrollaspekt, der in einer Cloud-Umgebung beachtet werden sollte:Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 1Es existiert eine angemessene und aktuelle Cloud-Nutzungs-Strategie.Erstellung einer Cloud-Nutzungs-StrategieÜberprüfung, ob eine Cloud-Nutzungs-Strategie vorliegt und vollständig sowie aktuell istm, pZuständigkeit:AnbieterAnwender xTabelle 2: Kontrolle 1 Cloud-Nutzungs-StrategieQuelle: Eigene DarstellungNeben der Cloud-Nutzungs-Strategie, in der sich gegebenenfalls bereits Sicherheitsvorgaben für die Nutzung von Cloud-Diensten befinden, müssen diese in einer zusätzlichen Sicherheitsrichtlinie konkretisiert werden7. Gemäß BSI sollte diese insbesondere die folgenden Aspekte behandeln: - Sicherheitsanforderungen an den Cloud-Diensteanbieter und die eigene Institution - Sicherheitsanforderungen in Abhängigkeit vom Bereitstellungsmodell - Sicherheitsanforderungen aus relevanten Gesetzen und Vorschriften8 Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 2Es existiert eine angemessene und aktuelle Sicherheitsrichtlinie für die Cloud-Nutzung.Erstellung einer SicherheitsrichtlinieÜberprüfung, ob eine Sicherheitsrichtlinie vorliegt und vollständig sowie aktuell istm, pZuständigkeit:AnbieterAnwender xTabelle 3: Kontrolle 2 SicherheitsrichtlinieQuelle: Eigene Darstellung Allgemeine RisikenVersehentlich oder vorsätzlich falsches HandelnVersehentlichem oder vorsätzlichem falschen Handeln kann niemals vollständig entgegengewirkt werden. Es gibt jedoch Möglichkeiten, dieses Risiko zu minimieren. Falsches Handeln kann z.B. dadurch vorkommen, dass Personen Zugriff auf Daten und Funktionen in einem IT-System haben, zu deren Einsicht, Bearbeitung oder Nutzung sie nicht berechtigt und nicht qualifiziert sind. Aus diesem Grund sollten die Zugriffe auf die Funktion der Mitarbeiter abgestimmt sein. Grundlage dafür ist ein funktionierendes Zugriffsmanagement, auch Access Management genannt, sowohl innerhalb des auslagernden Unternehmens als auch auf Seiten des Cloud-Anbieters. Die eingesetzten Berechtigungen sollten dabei in einem Berechtigungskonzept dokumentiert werden. Darüber hinaus ist die Durchführung regelmäßiger Benutzerreviews sinnvoll. In diesen werden alle Benutzer im Hinblick auf die vergebenen Benutzerberechtigungen überprüft.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 3Es haben nur Personen Zugriff auf Daten, die diesen auch benötigen und dazu berechtigt sind.Einrichtung eines Zugriffsmanagements mit dokumentiertem Berechtigungskonzept1. Überprüfung, ob ein aktuelles Berechtigungskonzept existiert2. Durchführung eines regelmäßigen Benutzerreviews zur Überprüfung der Notwendigkeit und Richtigkeit aller vergebenen Benutzerberechtigungenm, p m, dZuständigkeit:AnbieterAnwender xxTabelle 4: Kontrolle 3 ZugriffsmanagementQuelle: Eigene DarstellungDarüber hinaus kann eine verschlüsselte Speicherung der ausgelagerten Daten den Zugriff von Administratoren und weiteren Mitarbeitern des Cloud-Anbieters verhindern9. Eine Verschlüsselung sollte vertraglich mit dem Cloud-Anbieter vereinbart werden.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 4Die ausgelagerten Daten sind beim Provider vor unberechtigtem Zugriff geschützt.Ausschließlich verschlüsselte Speicherung von Daten1. Sichtung der Vertragsinhalte im Hinblick auf die Vereinbarung verschlüsselter Speicherung von Daten2. Beurteilung der Vertragsinhalte hinsichtlich der Verwendung einer als sicher bezeichneten Verschlüsselungm, p m, pZuständigkeit:AnbieterAnwender x Tabelle 5: Kontrolle 4 Verschlüsselte SpeicherungQuelle: Eigene DarstellungBesonders bei sicherheitskritischen Bereichen und privilegierten Benutzern ist es sinnvoll, auf eine Multifaktor-Authentisierung zurückzugreifen. Generell sollte jedoch jeder Zugriff auf das IT-System durch eine Authentisierung geschützt sein. Für eine erfolgreiche Authentisierung sind im Fall einer Multifaktor-Authentisierung mindestens zwei Faktoren vonnöten. Häufig findet eine Kombination aus Wissen (z.B. Passwort) und Besitz (z.B. Chipkarte, USB-Stick) Anwendung10. Der Einsatz ist sowohl bei Anmeldung an die genutzten Cloud-Dienste denkbar, als auch bereits auf Seiten des auslagernden Unternehmens.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 5Es existiert eine Multifaktor- Authentisierung für den Cloud-Benutzerzugriff.Einrichtung einer Benutzeranmeldungen mittels Multifaktor- Authentisierung Überprüfung, ob eine Multifaktor-Authenti-sierung in einer Richtlinie vorgesehen und technisch eingerichtet ist (z.B. Überprüfung der Systemeinstellungen und Screenshots)m, pZuständigkeit:AnbieterAnwender xxTabelle 6: Kontrolle 5 Multifaktor-AuthentisierungQuelle: Eigene DarstellungDamit Cloud-Anwender nicht unberechtigt Informationen anderer Kunden des Cloud-Anbieters einsehen können, muss eine Mandantentrennung eingerichtet werden. Dies geschieht auf Seiten des Anbieters bei verschiedenen Komponenten der Infrastruktur11.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 6Die eigenen Unternehmensdaten sind nicht für andere Kunden des Cloud Anbieters einsehbar.Einrichtung einer durchgängigen MandantentrennungSichtung der Vertragsinhalte im Hinblick auf die Einrichtung einer durchgängigen Mandantentrennung auf Seiten des Providersm, pZuständigkeit:AnbieterAnwender x Tabelle 7: Kontrolle 6 MandantentrennungQuelle: Eigene DarstellungEine Gefahr stellen auch die Administratorrechte dar. Ein Missbrauch von Administratorrechten kann dann vorliegen, wenn rechtmäßige oder auch unrechtmäßig erworbene Super-User-Rechte ausgenutzt werden, um einem System oder den Benutzern zu schaden. Zum Beispiel unterliegt root auf Unix-Anlagen keinerlei Beschränkungen. Ein Administrator mit root-Rechten kann dadurch unabhängig von seinen Zugriffsrechten alle Dateien lesen, ändern oder löschen12.Ein Missbrauch von Administratorrechten kann in Cloud-Umgebungen ein Risiko des vorsätzlichen Datendiebstahls oder Datenmanipulation durch den Anbieter mit sich bringen13.In vielen Systemen ist es möglich, die Administratorrollen aufzuteilen und somit Administrationstätigkeiten auf verschiedene Benutzer aufzuteilen. Das Risiko der zu hohen Machtbefugnis von Administratoren kann somit durch eine Aufgabenaufteilung vermindert werden. Gibt es dennoch in einem System, z.B. durch automatische Generierung, einen Administrator-Benutzer, der keinen Einschränkungen unterliegt, so muss darauf geachtet werden, dass das Passwort nur einem beschränken Personenkreis bekannt ist und sicher hinterlegt wird. Darüber hinaus kann es durch die Nutzung eines Vier-Augen-Prinzips zusätzlich geschützt werden14.Dies muss vertraglich mit dem Cloud-Anbieter vereinbart werden. Darüber hinaus ist es, sofern die Möglichkeit vom Anbieter eingeräumt wird, sinnvoll, regelmäßige Reviews zu den vergebenen Administratorrechten durchzuführen.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 7Das System ist gegen vorsätzlichen Datendiebstahl oder Datenmanipulation durch den Missbrauch von Administratorrechten geschützt. Aufteilung von Administratorrechten auf Seiten des Anbieters. Liegt eine Administratorrolle ohne Beschränkungen vor, so ist das Passwort nur einem eingeschränkten Personenkreis zugänglich.1. Sichtung der Vertragsinhalte im Hinblick auf die Trennung von Administrationstätigkeiten auf Seiten des Providers2. Durchführung von Reviews der vergebenen Berechtigungenm, p m, dZuständigkeit:AnbieterAnwender x Tabelle 8: Kontrolle 7 Aufteilung AdministrationstätigkeitenQuelle: Eigene DarstellungUm potentielle Angriffe und technische Probleme frühzeitig erkennen und darauf reagieren zu können, muss eine angemessene Protokollierung eingerichtet werden. Eine solche Protokollierung kann auch zur Nachvollziehbarkeit von kritischen Administrationstätigkeiten dienen. So kann durch den Cloud-Anbieter jederzeit eingesehen werden, wer zu welchem Zeitpunkt welche Änderung vorgenommen hat. Existiert hierzu ein angemessenes Monitoring, können falsche Handlungen frühzeitig erkannt und nachvollzogen werden15.Der Umfang der Protokollierung und des zugehörigen Monitorings sollten vertraglich vereinbart werden. Auch geregelt werden sollte, ob und in welchem Umfang dem auslagernden Unternehmen Protokolle zur Verfügung gestellt werden.Aus Sicht des Cloud-Managements müssen laut BSI mindestens die folgenden Aspekte protokolliert werden: - „Netzlast und Verbindungsunterbrechungen, - Verbindungszeiten (Cloud-Management-Prozess SLA), - Ab- und Anmeldungen der Cloud-Benutzer, insbesondere fehlerhafte Anmeldeversuche, - Änderungen an Rollen und Berechtigungen, - kritische Transaktionen der Cloud-Administratoren und ggf. der privilegierten Benutzer des Cloud-Anwenders (Protokollierung privilegierter Benutzer auf Anwendungsebene obliegt bei SaaS dem Cloud-Diensteanbieter, bei IaaS- oder PaaS-Systemen den Cloud-Anwendern), - Aufzeichnung der Konfigurationsänderungen an Cloud-Diensteprofilen, um eine Fehleranalyse zu vereinfachen, - Auslastung der Cloud-Ressourcen (CPU, Netz, Speicher), - Versuch von unberechtigten Zugriffen oder Manipulationsversuche. - Eine Mandantentrennung sollte auch für den Zugriff auf die Protokolldaten durchgeführt werden, damit diese den Cloud-Anwendern zur Verfügung gestellt werden können, ohne die Vertraulichkeit der Protokolldaten der anderen Mandanten zu verletzen, und um die Benutzung in Gerichtsverfahren zu ermöglichen16.“ Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 8Potentielle Angriffe oder technische Probleme werden frühzeitig erkannt.Protokollierung kritischer Aspekte in der Cloud-Umgebung und Einrichtung eines angemessenen Monitorings. 1. Sichtung der Vertragsinhalte im Hinblick auf die Protokollierung und das Monitoring von Ereignissen auf Seiten des Anbieters.2. Überprüfung von Protokollen, die dem Anwender durch den Anbieter bereitgestellt werden.m, p m, dZuständigkeit:AnbieterAnwender x Tabelle 9: Kontrolle 8 Protokollierung und Monitoring von EreignissenQuelle: Eigene DarstellungDie Sicherheitsanforderungen sind generell in der Sicherheitsrichtlinie zu definieren (siehe Kontroll-ID 2).Auch Änderungen bergen das Risiko falschen Handelns. Zum einen besteht eine Gefahr, dass Änderungen von Personen beantragt werden oder auf Seiten des Anbieters von Personen durchgeführt werden, die zu diesen Handlungen nicht berechtigt sind. Zum anderen können sich nicht durchdachte Änderungen gegebenenfalls ungewollt auf andere genutzte Dienste auswirken. Aus diesem Grund ist die Existenz eines geregelten Änderungsmanagements oder auch Change Management notwendig. Aufgabe dessen ist es, Veränderungen an Anwendungen, Infrastruktur, Dokumentationen, Prozessen und Verfahren sowohl steuer- als auch kontrollierbar zu machen17.Regelungen zum Änderungsmanagement und zu Testverfahren sind vertraglich zu vereinbaren.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 9Es existieren einheitliche Vorgaben zu der Durchführung von Änderungen.Einrichtung eines Change Managements1. Sichtung der Vertragsinhalte bezüglich Regelungen zum Änderungsmanagement2. Überprüfung, ob das Änderungsmanagement korrekt erfolgt oder Nachweis über eine Zertifizierungm, p m/a, d Zuständigkeit:AnbieterAnwender x Tabelle 10: Kontrolle 9 Change ManagementQuelle: Eigene Darstellung Nutzung von Sicherheitslücken beim Provider durch Angreifer und Missbrauch der Plattform des ProvidersDer Nutzung von Sicherheitslücken oder dem Missbrauch der Plattform beim Provider durch Angreifer kann dadurch entgegen gewirkt werden, dass zunächst sichergestellt wird, dass der Ursprungszustand der Daten auch im Falle einer Manipulation oder Löschung wieder hergestellt werden kann. Zu diesem Zweck ist es notwendig, eine Datensicherung durchzuführen. Diese erfolgt in der Regel auf Seiten des Anbieters und sollte vertraglich vereinbart werden. Neben der Kontrolle der Vertragsinhalte ist es sinnvoll, in Form eigener Kontrollen zu überprüfen, ob die vereinbarten Datensicherungen auch tatsächlich regelmäßig und vollständig erfolgen. Mittels Recovery-Tests ist sicherzustellen, dass diese Daten im Notfall wiederherstellbar sind. Ein Nachweis darüber kann auch in Form einer Zertifizierung erfolgen.Darüber hinaus kann ein Unternehmen sich vertraglich das Recht auf eine eigene Datensicherung einräumen lassen, wenn dies als notwendig erachtet wird. Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 10Daten sind im Falle einer Manipulation oder Löschung im ursprünglichen Zustand wiederherstellbar.Durchführung einer Datensicherung in einem definierten Backup- und Recovery-Prozess1. Sichtung der Vertragsinhalte bezüglich Regelungen zum Backup- und Recovery-Prozess2. Überprüfung, ob die Datensicherung regelmäßig und erfolgreich erfolgt oder Nachweis über eine Zertifizierung3. Durchführung von Recovery-Tests oder Nachweis über eine Zertifizierungm, p m/a, d a, dZuständigkeit:AnbieterAnwender x Tabelle 11: Kontrolle 10 Backup und RecoveryQuelle: Eigene DarstellungTritt der Fall einer Nutzung von Sicherheitslücken ein, so ist es wichtig, dass es ein Notfallkonzept gibt, in dem sowohl organisatorische als auch technische Aspekte thematisiert sind. Dies ist eine wichtige Maßnahme zur Notfallvorsorge18.Organisatorisch sollten Zuständigkeiten und Ansprechpartner enthalten sein und die vorgesehenen Abläufe müssen klar definiert und dokumentiert sein. Auch detaillierte Vorgaben zur Datensicherung (siehe Kontroll-ID 9) sollten in einem Notfallkonzept enthalten sein. Ein weiterer wichtiger Bestandteil sind klare Arbeitsanweisungen für bestimmte Fehlersituationen19.Neben diesen organisatorischen Aspekten sind auch technische Anforderungen in einem Notfallkonzept zu definieren. Regelungen zur redundanten Auslegung der Verfügbarkeit von Management-Tools sowie Schnittstellen haben eine zentrale Bedeutung. Auch eine ausfallsichere Anbindung an den Cloud-Dienstleister hat im Rahmen der Nutzung von Cloud Computing einen hohen Stellenwert20.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 11Im Falle eines Notfalls gibt es klare Zuständigkeiten, Ansprechpartner und klare Handlungsanweisungen.Erstellung eines Notfallkonzeptes1. Sichtung des Notfallkonzepts im Hinblick auf Vollständigkeit und Aktualität2. Durchführung von Notfallübungen3. Sichtung der Vertragsinhalte im Hinblick auf Notfallvorsorge beim Anbieterm, p m, pm, pZuständigkeit:AnbieterAnwender xxTabelle 12: Kontrolle 11 NotfallkonzeptQuelle: Eigene DarstellungEine verschlüsselte Speicherung der Daten schützt diese ebenfalls vor Missbrauch (siehe Kontroll-ID 3).Zusätzlich stellt eine Mandantentrennung einen Schutz gegen Missbrauch durch andere Kunden des Cloud-Anbieters oder aus deren Netzwerk dar. Durch diese Trennung kann auch ein unberechtigter Zugriff auf Daten anderer Kunden des Cloud-Anbieters verhindert werden (siehe Kontroll-ID 5).Die Protokollierung und das Monitoring von Ereignissen ermöglichen es darüber hinaus, Angriffe auf das System frühzeitig zu erkennen und Maßnahmen einzuleiten (siehe Kontroll-ID 8).Speziell im Falle von Brute-Force-Attacken auf Passwörter stellt eine Passwortrichtlinie eine grundlegende Schutzmaßnahme dar. Passwörter sollten ein Mindestmaß an Komplexität aufweisen.Gemäß BSI sollten die folgenden Regeln zu Passwörtern beachtet werden: - „Das Passwort darf nicht leicht zu erraten sein. Namen, Kfz-Kennzeichen, Geburtsdatum usw. dürfen deshalb nicht als Passwörter gewählt werden. - Ein Passwort sollte aus Großbuchstaben, Kleinbuchstaben, Sonderzeichen und Zahlen bestehen. Es sollten mindestens zwei dieser Anforderungen umgesetzt sein. - Wenn für das Passwort alphanumerische Zeichen gewählt werden können, sollte es mindestens acht Zeichen lang sein. - Wenn für das Passwort nur Ziffern zur Verfügung stehen, sollte es mindestens sechs Zeichen lang sein und das Authentisierungssystem sollte den Zugang nach wenigen Fehlversuchen sperren (für eine bestimmte Zeitspanne oder dauerhaft). - Es muss getestet werden, wie viele Stellen des Passwortes vom Rechner wirklich überprüft werden. - Voreingestellte Passwörter (bzw. des Herstellers bei Auslieferung von Systemen) müssen durch individuelle Passwörter ersetzt werden. - Passwörter dürfen nicht auf programmierbaren Funktionstasten gespeichert werden. - Passwörter müssen geheim gehalten werden und sollten nur dem Benutzer persönlich bekannt sein. - Das Passwort sollte allenfalls für die Hinterlegung schriftlich fixiert werden, wobei es in diesem Fall in einem verschlossenen Umschlag sicher aufbewahrt werden muss. Wird es darüber hinaus aufgeschrieben, ist das Passwort zumindest so sicher wie eine Scheckkarte oder ein Geldschein aufzubewahren. - Das Passwort muss regelmäßig gewechselt werden, z. B. alle 90 Tage. - Ein Passwortwechsel ist durchzuführen, wenn das Passwort unautorisierten Personen bekannt geworden ist oder der Verdacht besteht. - Alte Passwörter sollten nach einem Passwortwechsel nicht mehr gebraucht werden. - Die Eingabe des Passwortes sollte unbeobachtet stattfinden21.“ Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 12Passwörter weisen eine angemessene Komplexität auf und sind nicht leicht zu erraten.Erstellung einer Passwortrichtlinie und Umsetzung im System1. Sichtung der Passwortrichtlinie im Hinblick auf Vollständigkeit und Aktualität2. Überprüfung, ob die Anforderungen der Passwortrichtlinie im System angemessen umgesetzt sind, gegebenenfalls über Nachweise der Systemeinstellungen oder Zertifizierungenm, p m, dZuständigkeit:AnbieterAnwender xxTabelle 13: Kontrolle 12 PasswortrichtlinieQuelle: Eigene DarstellungDie Sicherheitsanforderungen an den Anbieter sollten darüber hinaus in einer Sicherheitsrichtlinie definiert werden (siehe Kontroll-ID 2). Nutzung von Sicherheitslücken auf den ÜbertragungswegenAuch Sicherheitslücken auf den Übertragungswegen stellen im Cloud-Umfeld ein erhebliches Risiko dar. Um das Abfangen oder Abhören der Daten zu verhindern, sollten Daten grundsätzlich nur verschlüsselt übertragen werden. Eine Bereitstellung verschlüsselter Transportwege kann vertraglich mit dem Anbieter vereinbart werden.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 13Daten können aufgrund Verschlüsselung bei der Übertragung nicht abgehört werden.Einrichtung einer Verschlüsselung bei der DatenübertragungÜberprüfung der Einrichtung einer verschlüsselten Datenübertragung (z.B. vertragliche Regelungen)m, pZuständigkeit:AnbieterAnwender x Tabelle 14: Kontrolle 13 Verschlüsselte ÜbertragungQuelle: Eigene Darstellung Sicherheitsmängel der technischen InfrastrukturDie Sicherheit der technischen Infrastruktur liegt auf Seiten des Cloud-Anbieters. An dieser Stelle hat der Anwender nur wenige Möglichkeiten, diese zu kontrollieren. Daher sollten Aspekte zur Sicherheit der Infrastruktur vertraglich geregelt werden.Gegebenenfalls kann ein Nachweis in Form einer Zertifizierung erfolgen22. Die relevanten Zertifizierungen werden im nächsten Teil dieser Reihe näher erläutert.Kontroll-ID Kontrollziel Maßnahme Kontrollaktivität Typ 14Die Sicherheit der technischen Infrastruktur ist gewährleistet.Vertragliche Regelungen zur technischen InfrastrukturSichtung der vertraglichen Regelungen zur Sicherheit der technischen Infrastruktur und Kontrolle eines Zertifizierungsnachweisesm, pZuständigkeit:AnbieterAnwender xxTabelle 15: Kontrolle 14 Sicherheit der technischen InfrastrukturQuelle: Eigene DarstellungDie Sicherheitsanforderungen an den Anbieter sollten darüber hinaus in einer Sicherheitsrichtlinie definiert werden (siehe Kontroll-ID 2). Zu Teil 5b unserer Reihe: "Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil B – Cloud-spezifische Risiken"Zurück zu Teil 4: "Welche Risiken bringt die Nutzung von Cloud Computing für Unternehmen mit sich?"Zurück zu Teil 3: "Rechtliche Aspekte beim Cloud Computing"Zurück zu Teil 2: "Welche Vorteile kann die Nutzung von Cloud Computing für Unternehmen mit sich bringen?"Zurück zu Teil 1: "Cloud Computing, seine Betriebsformen und Servicemodelle – eine Einführung"Fußnotenindex:1 Vgl. Loczewski, Thomas, General, Jan, Schwald, Daniel, IT-Governance 16, 2013, S.5.2 Vgl. Institut der Wirtschaftsprüfer in Deutschland e.V., IDW RS FAIT 1, 2002, Tz. 23.3 Vgl. Institut der Wirtschaftsprüfer in Deutschland e.V., IDW RS FAIT 1, 2002, Tz. 25.4 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 2.534.5 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 2.534.6 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 2.534.7 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 2.535.8 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 2.535.9 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Management, 2014, M 4.440.10 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Management, 2014, M 4.441.11 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Management, 2014, M 4.445.12 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, G 5.20.13 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, G 5.20.14 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Management, 2014, M 2.38.15 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Management, 2014, M 4.443.16 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Management, 2014, M 4.443.17 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Patch- und Änderungsmanagement, 2009.18 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 6.155.19 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 6.155.20 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 6.155.21 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Regelung des Passwortgebrauchs, o.J., M 2.11.22 Vgl. Bundesamt für Sicherheit in der Informationstechnik, Cloud-Nutzung, 2014, M 2.541.Quellen:[1] Bundesamt für Sicherheit in der Informationstechnik, (Cloud-Management) B 5.23 Cloud-Management, 2014, online in: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Download/IT-GS-Bausteine/Cloud_Management/Baustein-Cloud-Management-B5_23.pdf?__blob=publicationFile&v=1[2] Bundesamt für Sicherheit in der Informationstechnik, (Cloud-Nutzung) B 1.17 Cloud-Nutzung, 2014, online in: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Download/IT-GS-Bausteine/Cloud_Nutzung/Baustein-Cloud-Nutzung-B1_17.pdf?__blob=publicationFile&v=1[3] Bundesamt für Sicherheit in der Informationstechnik, (Patch- und Änderungsmanagement) B 1.14 Patch- und Änderungsmanagement, 2009, online in: https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/baust/b01/b01014.html[4] Bundesamt für Sicherheit in der Informationstechnik, (Regelungen des Passwortgebrauchs)M 2.11 Regelungen des Passwortgebrauchs, o.J., online in: https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m02/m02011.html[5] Institut der Wirtschaftsprüfer in Deutschland e.V., (IDW RS FAIT 1) IDW Stellungnahme zur Rechnungslegung: Grundsätze ordnungsgemäßer Buchführung beim Einsatz von Informationstechnologie (IDW RS FAIT 1), Stand 24.09.2002.[6] Loczewski, Thomas, General, Jan, Schwald, Daniel, (IT-Governance 16) Systemprüfung von Cloud-Computing-Dienstleistungen, in: IT-Governance.Zeitschrift des ISACA Germany Chapter e.V., Heft 16, Heidelberg, 2013.
Napokmoj (Hrsg), Risikominimierung durch Corporate Compliance (2010)Das Handbuch „Risikominimierung durch Corporate Compliance“ des Autorenteams der Rechtsanwaltskanzlei bpv Hügel Rechtsanwälte OG, Wien, ist vornehmlich auf den österreichischen Rechtskreis ausgerichtet, allerdings werden immer wieder Parallelen und Vergleiche mit der Situation in Deutschland bzw. Europa gezogen.Das Buch gliedert sich in eine Einführung zum Thema „Compliance“ einschließlich einer Darstellung der Rechtsgrundlagen und Grundelemente, grenzt diese von anderen Unternehmensfunktionen ab und zeigt exemplarische Regelungen und Hintergründe aus dem angelsächsischen Raum auf.Im Anschluss folgt eine Darstellung des Aufbaus einer Compliance-Organisation.Sicherlich lassen sich zu einzelnen Fragen auch andere als die gegebenen Ansätze und Definitionen diskutieren. Auch in den beschriebenen Profilen der zu besetzenden Positionen ist Raum für Diskussion. Jedoch kann der erfahrene Leser diese in seine eigenen Überlegungen einfließen lassen.Im Anschluss werden verschiedene Rechtsgebiete diskutiert und deren wesentliche Anforderungen dargestellt:Zivil-, Gesellschafts- und UnternehmensrechtKartellrechtKapitalmarktrechtCompliance in der arbeitsrechtlichen PraxisImmaterialgüterrechtliche Aspekte der ComplianceCompliance in der InformationstechnologieCompliance im öffentlichen RechtDatenschutzrechtWirtschaftsstrafrechtOb und inwieweit diese Themenfelder relevant sind oder ob andere Schwerpunkte (wie beispielsweise Korruptionsvermeidung oder branchenspezifische Themen) zu behandeln wären, möge der Leser selbst entscheiden.Die obigen Gebiete werden in einem ausführlichen Überblick dargestellt und sind teilweise mit Praxistipps versehen. Es ist zu beachten, dass ein starker Fokus auf die österreichische Rechtslage gelegt wurde.Leider fehlen durchgängige und konsistent strukturierte Hinweise zur praktischen Umsetzung der Anforderungen in einer Compliance-Organisation bzw. in einem Compliance-Management-System. Die Texte sind umfangreich mit Literaturhinweisen versehen und ermöglichen so ein weiterführendes Literaturstudium.Das Buch eignet sich für den erfahrenen Leser zur Anreicherung seiner Kenntnisse und verschafft einen guten Einblick in die Grundzüge der einzelnen Rechtsgebiete. Es eignet sich gut dazu, die eigene Organisation auf wesentliche Lücken in den dargestellten Rechtsgebieten zu untersuchen.Wer vor der Aufgabe steht, ein Compliance-Management-System von Grund auf aufzubauen oder sich Grundkenntnisse zu erarbeiten, wird ergänzende Informationsquellen benötigen.

References: §675
 §675
 § 239
 § 239
 § 239
 § 239
 § 238
 § 239