Diskussion:Informationssicherheit

message: Ich stimme meinem Vorkritiker zu, dass die Auflistung der Schutzziele im
Artikel wirr ist, und keine Begriffsdefinitionen und keine Kopplung der
Ziele mit den Maßnahmen liefert. Aber genau das sollte man von einem
enzyklopädischen Artikel erwarten dürfen: Übersichtlichkeit durch
Systematizität, inhaltlich bezogene Definitionen, Bezüge zu anderen
Aspekten, Referenzen zur Vertiefung. Der unübersichtliche Artikel
liefert diesbezüglich an den meisten Stellen zu wenig, an anderen zuviel.
Zunächst gilt es, Schutzziele mit Bezug auf Datensicherheit und bezug
auf Datenschutz zu unterscheiden. Der Begriff der
"Informationssicherheit" ist dabei unpassend, ungebräuchlich, vielleicht
sogar irreführend. Inhaltlich entscheidend ist, dass Datensicherheit
Verfügbarkeit, Vertraulichkeit und Integrität in den Blick nimmt, für
Datenschutz darüberhinaus(!) Transparenz und (Nicht)-Verkettbarkeit
hinzukommen. In der akademischen Diskussion ist derzeit, aufgrund
methodischer Gründe und vor allem empirischen Drucks, als weiteres,
neues Schutzziel, das theoretisch noch unentschieden zw. Datensicherheit
und Datenschutz angesiedelt ist (formal Datensicherheit, inhaltlich
Datenschutz), "Kontingenz" eingeführt. Ich beziehe mich hierbei auf den
soeben publizierten Beitrag in: Rost, Martin / Pfitzmann, Andreas, 2009:
Datenschutz-Schutzziele - revisited; in: DuD - Datenschutz und
Datensicherheit, 33. Jahrgang, Heft 6, Juli 2009: 353-358
Sofern hier die Diskussion nicht heftig widerspricht, werde ich in der
nächsten Zeit den Artikel speziell zu Schutzzielen für Datensicherheit
und Datenschutz entsprechend umschreiben. Der aufgeführte DuD-Artikel
zeigt, wie man die Ausführungen hier straff und informationshaltig
schreiben kann. Ich bin deshalb unsicher, wie ich mit den bisherigen
Ausführungen hier umgehen sollte, die ja durchaus an vielen Stellen
Substanz haben, vielleicht für den einen oder anderen hilfreich sind und
deshalb nicht gelöscht werden sollten. Ich wäre für einen entsprechenden
Tipp dankbar. Am liebsten wäre mir, diesen Artikel zu
Informationssicherheit so zu lassen wie er ist, und einen neuen Artikel
tatsächlich unter dem Schlagwort "Schutzziele für Systeme" anzulegen,
falls möglich (dabei würde es einige Überschneidungen geben, die nicht
durch Linksetzung vermieden werden können). Systeme meint dabei nicht
nur IT-Systeme (von Hardware bis Betriebssystemen, Algorithmen und
Applikationen, Netzwerken und interoperablen Infrastrukturen), sondern
auch Organisationen und (Projekt-)Management-Konzepte, die insgesamt so
einzurichten sind, dass auch diese den Schutzzielen genügen.
Bei Widersprüchen zu meinem Vorschlag erwarte ich Bezugnahmen auf die
Argumentation des oben genannten DuD-Artikels.
--3systems 22:04, 11. Aug. 2009 (CEST)
thread_title:  Systematik und Definition der Schutzziele 

message: Die Auflistung der Schutzziele ist leider wirr und enstpricht nicht der klaren Gliederung und Begriffsdefinition des IT-Grundschutz Leitfadens zur IT-Sicherheit des BSI. Es werden Ziele mit Maßnahmen durcheinandergewirbelt... Eine Gleiderung sollte vom BSI-Dreiklang ausgehen und danach - klarer als dort - die restlichen Begriffe, unterschieden nach ergänzendem bzw. Teilziel und Maßnahme, zuordnen:
* Vertraulichkeit: Dateien dürfen nur von autorisierten Benutzern gelesen werden. 
* Verfügbarkeit: Der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens gewährleistet werden. 
* Integrität: Daten dürfen nicht unbemerkt verändert werden. 
* ...
:Meinung: Ich sehe den Kontext als weiteres Schutzziel an. Szenario: Ein Server sendet jeden Tag eine Statusmeldung - "Alles OK". Diese Meldung kann verschlüsselt und signiert sein, so das ein Angreifer sie nicht ändern oder lesen kann. Wohl aber kann er sie abfangen und zu einem späteren Zeitpunkt wiederholt abschicken. Nun schießt der Angreifer den Server ab und will eine "Alles OK" Statusmeldung vortäuschen. Dazu braucht er nur die abgefangene Meldung -ohne sie zu verändern- ab zu senden. Die drei Schutzziel wurden nicht verletzt, weil die Daten weder gelesen (entschlüsselt), geändert oder zurückgehalten wurden. Dennoch war das Vertuschen des Serverabsturzes erfolgreich. Analyse: Die Verschlüsselung war zwecklos, weil der Inhalt der Nachrricht durch die Funktion für Software einen Sinn ergab. Der Kontext als Schutzzeil kommt nun hier zum tragen, indem sicher gestellt werden muss, dass die erwartete Nachrricht eindeutig ist. Um die Kontextsicherheit gewährleisten, kann Beispielsweise die Uhrzeit mit gesendet werden "Am 2.9.08 um 1:32 war Alles OK" oder der Server darf nur auf eine Anfrage vom Überwacher seine Statusmeldung abschicken die der Antwort eindeutig zugeordnet werden kann. (Der vorstehende, unsignierte Beitrag wurde um 2008-09-02T00:49:46, von 134.130.181.16 (Beiträge) erstellt. --Saibo (Δ) 23:32, 2. Sep. 2008 (CEST)
replies: text: Meinung: Auch wenn das Beispiel des Anonymen Vorposters wenig mit Schutzziele zu tun hat, stimme ich inhaltlich zu. Die Schutzziele sollten überarbeitet werden. Ich sehe neben den 3 Hauptzielen (Vertraulich, Integrität und Verfügbarkeit) noch 2 Zusatzziele (Zurechenbarkeit und Nicht-Abstreitbarkeit). Datenschutz ist eigentlich keine direktes Ziel der Informationssicherheit, sondern kommt nur über die Compliance-Schiene in diese Strasse.
Grisutheguru 12:10, 5. Aug. 2010 (CEST)

text: Meinung: Auch ich halte die Wahl der 3 Hauptzielen (Vertraulich, Integrität und Verfügbarkeit) sowie der 2 Zusatzziele (Zurechenbarkeit und Nicht-Abstreitbarkeit) für richitg. Aber sollte man nicht bei den "Randthemen und verwandten Begriffen" auch noch für bestimmte Kontexte die "Glaubhafte Abstreitbarkeit" (plausible deniability) ergänzen? -- 81.173.168.83 16:06, 19. Sep. 2011 (CEST)

text: Meinung:
Die Attribute Zurechenbarkeit, Verbindlichkeit, Authentizität sehe ich als Untergruppen des Hauptattributs Integrität. Da das Ziel der Integrität die Korrektheit ist, muss der Prozess der Integrität sich dieser Unterattribute bedienen um dem Ziel gerecht werden zu können. Um die Korrektheit eines Objekts zu gewährleisten, muss der Zugriff auf dieses Objekt verbindlich und zurechenbar sowie die Authentizität des Subjekts gewährleistet sein. Ist dies nicht der Fall, ist die Korrektheit des Objekts nicht vollständig zu garantieren. Der Aspekt der zeitlichen Richtigkeit (s. Meinung Saibo) kommt auch als ergänzendes Attribut mit zum Tragen. Vorstellbar wäre auch ein Einbeziehen der örtlichen Richtigkeit. Eine Kopie eines Objekts oder das Objekt selber belegt u.U. eine andere Örtlichkeit und verliert dadurch seine Korrektheit. 
Somit reduzieren sich die Hauptziele konform zum BSI auf die drei Grundbausteine Verfügbarkeit, Vertraulichkeit und Integrität.
-- ThoWinter (Diskussion) 15:56, 21. Feb. 2014 (CET)

text: Meinung: 
Für mich sind die Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität, Authentizität und Zurechenbarkeit. Vertraulichkeit und Verfügbarkeit sind wohl unstrittig. Integrität bezieht sich dabei auf die nachträgliche Veränderung (vgl. Buchmann: Einführung in die Kryptographie) von Daten (Beispiel Buchhaltungssystem). Die Authentizität stellt die Identität sicher (Beispiel Benutzeranmeldung). Zurechenbarkeit bezieht sich auf die Beweiskraft (Beispiel Signaturen). 
Ein VPN-Knoten könnte Beispielsweise die Integrität des Datenstroms gewährleisten, nicht aber die Zurechenbarkeit oder Authentizität sicherstellen. 
--Irrelevant (Diskussion) 00:33, 3. Apr. 2019 (CEST)
thread_title:  Schutzziele 

message: alte Diskussionsbeiträge (<17. Juni 2006) von dieser Diskussionsseite: verschoben nach Diskussion:Informationssicherheit/Archiv.
dazu habe ich mir erlaubt, das verbliebene etwas zu strukturieren (weniger eingerückt, Überschriften) wegen der Übersichtlichkeit... 
Neue Beiträge bitte unten anfügen bzw. bei bestehenden jeweils am Ende den eigenen Beitrag (eingerückt) anfügen. Grüße, -- Andyprice 20:48, 19. Jun 2006 (CEST)
thread_title:  Archiv 

message: * Die Literaturliste ist nicht aktuell und könnte zusätzlich vervollständigt werden. Bezeichnungen sollten vereinheitlicht werden, z.B. BSI versus Bundesamt .... Beispiele für Aktualisierungs-/Ergänzungsmöglichkeiten: 
Bundesamt ...: hier sollten das IT-Grundschutz-Kompendium, Edition 2018, und die Standards des BSI zur IT-Sicherheit (200-1: Managementsysteme für Informationssicherheit, 2017; 200-2: IT-Grundschutz-Methodik, 2017; 200-3: Risikoanalyse auf der Basis von IT-Grundschutz, 2017) genannt werden. 
* - Aktualisierung: Claudia Eckert, IT-Sicherheit, 10. Auflage, De Gruyter, 2018
* - Aktualisierung: Hans-Peter Königs: IT-Risikomanagement mit System, 5. Auflage, Springer Vieweg, 2017.
* - Aktualisierung: Klaus-Rainer Müller: IT-Sicherheit mit System. 6. Auflage. Springer Vieweg, 2018.
* - Ergänzung: Zeitschrift hakin9 findet sich, die Zeitschrift <kes>, in dem das BSI publiziert und zu der es in Wikipedia eine eigene Seite gibt, jedoch nicht.
* - Neu: Zentrale Bausteine der Informationssicherheit: Das Begleitbuch zum T.I.S.P., 2011.
* - Neu: Praxisbuch ISO/IEC 27001: Management der Informationssicherheit und Vorbereitung auf die Zertifizierung, 2011.
* 
Eine Option wäre es, eine alphabetische Sortierung der Literaturliste vorzunehmen, ggf. beginnend mit dem Nachnamen des Autors. 
--Siguru (Diskussion) 12:02, 19. Dez. 2018 (CET)
thread_title:  To-Do-Liste 

message: ----
Hi,
weil ich gerade den Artikel zu Virenscannern überarbeite, fiel mir auf, dass hier eigentlich kaum was dazu steht, was zu tun ist, wenn der Rechner mal kompromittiert wurde - wäre das nicht eventuell einen Abschnitt wert? Oder soll man das zur jeweiligen Software (wie Trojaner, die hier übrigens nicht verlinkt sind?!) verschieben? --Liquidat 04:16, 20. Nov 2004 (CET)
thread_title:  offene Punkte von der Diskussionsseite von [[Computersicherheit]] 

message: Wenn ich richtig gelesen habe, behandelt dieser Artikel nur die Security. Müsste man nicht auch eine Abgrenzung zur Safety machen und z.B. einen Verweis auf die DO-178B ? Die deutsche Sprache gibt da leider keine Unterscheidung her.--195.124.114.37 13:21, 17. Jul. 2007 (CEST)
thread_title:  Safety ≠ Security 

message: Im Artikel steht, die Sicherheit bei Privathaushalten sei geringer - kein Wunder, wenn ich diesen Artikel anschaue. Ich hab zuhause ein PC, was ich will ist ein integriertes Security Paket, und zwar das beste auf dem Markt, da hilft der Artikel null und gar nichts weiter. Nachdem ein Schlaumeier auch noch Computersicherheit hierhin verschmelzt hat, wird sich so schnell nichts bei der Sicherheit verbessern. (Meiner Meinung nach, kann man diesen Artikel momentan ersatzlos löschen, er trägt überhaupt nichts zu einer höheren Sicherheit bei; oder, wer will anfangen, alle Privatanwender in der Reigistry rumwühlen zu lassen?) --Alien4 17:06, 19. Jul. 2007 (CEST)
replies: text: Ehem... verwechselt hier jemand Wikipedia mit einem PC-Ratgeber? ;-) --cromagnon ¿? 06:17, 21. Jul. 2007 (CEST)
replies: text: @Alien4 ich empfehle die Lektüre von WP:WWNI Ziffer 9 --Badenserbub Briefkasten Bewerte mich! 09:35, 25. Jul. 2007 (CEST)
replies: text:  Ach so, und ich hatte gedacht die Wikipedia sollte vielleicht ein Nachschlagewerk gewesen sein und in dieser Hinsicht vielleicht auch ein bisschen nützlich. Auch wenn nicht alle Informationen explizit drin stehen müssen gibt's ja vielleicht auch noch externe Links. Jedenfalls so wie es im Artikel steht "Der Standard an IT-Sicherheit in Privathaushalten ist geringer, ...", ohne darauf einzugehen, wieso das so ist, und wo das eigentliche Problem liegt - nicht beim Privatanwender, sondern bei der SW und Sicherheitskenntnissen -> Informationsbeschaffungsmöglichkeiten (Wikipedia!!?) - finde ich diesen Artikel ziemlich nutzlos und eines Nachschlagewerks unwürdig! --Alien4 18:16, 25. Jul. 2007 (CEST)
replies: text: Lieber Alien4, im Abschnitt Informationssicherheit#Operative_Maßnahmen sind viele Punkte aufgeführt, die auch für Privathaushalte von Belang sind. Dort sind Dutzende von Wikilinks zu weiteren Artikeln vorhanden, die wiederum Aberdutzende von Weblinks aufweisen. Insbsondere BSI für Bürger ist sehr empfehlenswert, weswegen ich es gerade bei den Weblinks des Artikels hinzugefügt habe. Viel Erfolg und Nutzen beim Recherchieren ! Bautsch 10:05, 26. Jul. 2007 (CEST)
replies: text:  Noch einer der den Marketingabteilungen, Milliardärs-Einkommen, usw. von grossen SW Häusern den Mund redet. Statt endlich (einigermassen) sichere SW zu propagieren (z.B. Auto-save, -backup, usw.; im Artikel verlangt tatsächlich einer USVs - wer (wieviele) betreibt zuhause ein Server der ständig erreichbar sein muss?), kommt ein weiterer Typ daher, der meint, Privatanwender sollten anfangen selber Airbags im Auto einzubauen/einzustellen, usw. Wenn Autos so funktionieren würden wie SW, na dann gute Nacht, und dank euren Argumenten, wird sich so schnell nichts bei der SW verbessern. --Alien4 19:37, 1. Aug. 2007 (CEST)
replies: text: Entschuldigung, aber Wikipedia ist nicht dazu da, politische Forderungen zu erheben, sondern den Stand des Wissens darzustellen. Glücklicherweise finden sich in Wikipedia auch viele recht ordentliche Artikel, mit denen solche Forderungen untermauert werden können, aber dann bitte auf einer anderen Ebene. Siehe zum Beispiel :Kategorie:Sicherheitslücke oder Programmfehler, aber auch Informationssicherheit#Sichere_Entwicklungssysteme_und_Laufzeitumgebungen_verwenden. Bautsch 08:28, 2. Aug. 2007 (CEST)
replies: text:  (Und es ist nicht Stand des Wissens, dass vielleicht sehr viel effektivere technische Massnahmen zur Erhöhung der Sicherheit möglich wären (die Komplexität von denen fernhhalten, die ein System eigentlich nur nutzen möchten, anstatt von ihnen - auch Privatanwendern - hochkomplexe organisatorische Management-Massnahmen einzufordern?), die aber vielleicht nur dem Marketing/Einkommen entgegenstehen?) --Alien4 02:43, 8. Aug. 2007 (CEST)
replies: text: Möglichkeiten technisch die Sicherheit zu erhöhen gibt es viele(z.B. Whitelistening), allerdings führt dies meist zu deutlichen Einschränkungen der Nutzbarkeit (z.B. nur Programme die vom Hersteller des Systems freigegeben wurden). Gleichzeitig sind damit aber auch nicht alle org. Maßnahmen obsolet (der allerbeste schutz vor Schadsoftware bringt nix wenn der Rechner abgefackelt wird). In der Brance wird viel Geld gemacht. Die Konzepte sind mal besser, mal schlechert, oft alter Wein in neuen Schläuchen. Absolute sicherheit gibt es nicht! (für kein Geld der Welt) --Badenserbub Briefkasten Bewerte mich! 13:39, 13. Aug. 2007 (CEST)
thread_title:  Unbrauchbar!!! 

message: Im Abschnitt "Bedrohungen" / "Ursachen oder Mittel" halte ich den Punkt "Fragmentierungen" für nicht mehr zutreffend. Dateifragmentierung ist allenfalls lästig, Datenbankenfragmentierung ist beabsichtigt und Paketfragmentierung ist auch gewollt und stellt für heutige Firewallsysteme keine größeren Probleme dar. Deshalb werde ich den Aufzählungspunkt vorerst entfernen. -- Scooty 01:18, 29. Feb. 2008 (CET)
thread_title:  Fragmentierung 

message: Hat wohl auch mit dem Thema zu tun. – Rainald62 22:56, 21. Nov. 2010 (CET)
thread_title:  Datenvernichtung 

message: Was ich im Artikel vermisse: Ein Abschnitt, der die Folgen der Unwissenheit und auch Ignoranz vieler Internetnutzer thematisiert. Personen, die keine IT-Kenntnisse besitzen und ohne jegliche Sicherheitssoftware im Netz unterwegs sind, tragen direkt (auch wenn sie nicht wollen) zu Kreditkartenbetrug u. ä. bei. --93.184.128.24 14:14, 15. Dez. 2010 (CET)
thread_title:  IT-Sicherheit betrifft alle 

message: Meines Erachtens besteht dringender, größerer Änderungsbedarf wie folgt:
Auch wenn die IT-Sicherheit ein Bestandteil der Informationssicherheit ist, so handelt es sich nicht um dasselbe. Der Artikel legt in seiner Version vom 04.07.2013 an verschiedenen Stellen explizit oder implizit einen starken Fokus auf die IT-Sicherheit. Tatsächlich macht IT-Sicherheit aber nur 20% der Informationssicherheit aus (Quelle: KPMG), wobei dies je nach Organisation/Kontext/Lesart des Betrachters natürlich variabel resp. individuell auslegbar sein mag.
Die hier diskutierte Zusammenführung der Lemma "IT-Sicherheit" und "Informationssicherheit" führt zu einer Mischwahrnehmung und ist insofern kontraproduktiv. Eher wäre eine klare Definitionsabgrenzung jew. zu Beginn zweier getrenntere Artikel sinnvoll.
Empfehlung: Der Artikel sollte auf die wesentlichen Inhalte zusammengestutzt werden, und ggf. auf die relevanten Teilaspekte (z.B. Datenschutz), Normen (z.B. ISO27xxx, BSI...) und weiterführende Themen (z.B. ISMS) verweisen, wo detailliertere Informationen sinnvoller und evtl. ohnehin bereits vorhanden sind.
Zu einer Enzyklopädie gehört auch, nicht Begriffe miteinander zu vermischen, die klar abgrenzbar sind:
IT-Sicherheit (ist nicht) Informationssicherheit (ist nicht) Informationssicherheitsmanagement. 
By the way: Das Ranum-Zitat ist in einer Enzyklopädie völlig fehl am Platz, und falls doch dann unter dem Lemma "Kristallkugel". Sinnvoller könnte z.B. ein Zitat von Bruce Schneier sein. --McSmiley 01:41, 5. Jul. 2013 (CEST)
thread_title:  Missverständliche Definition, da zu IT-lastig 

message: Siehe bitte auch Wp:Literatur: Es werden die wissenschaftlich maßgeblichen Werke sowie seriöse, möglichst aktuelle Einführungen aufgeführt. Eine beliebige oder möglichst lange Auflistung von Büchern ist nicht erwünscht. Baustein rein. --just aLuser (Diskussion) 08:56, 2. Dez. 2015 (CET)
thread_title:  Literatur überarbeiten 

message: – GiftBot (Diskussion) 02:13, 22. Dez. 2015 (CET)
replies: text: Ersatz wäre mglw. http://www.sec.in.tum.de/assets/lehre/ws1314/itsec/itsec_gezeigt.pdf --Mabschaaf 22:47, 8. Okt. 2014 (CEST)
thread_title:  {{Anker|deadurl_2015-10}} Defekte Weblinks 

message: Nutzt ein Angreifer eine Schwachstelle oder eine Verwundbarkeit zum Eindringen in ein IT-System, sind die Vertraulichkeit, Datenintegrität und Verfügbarkeit bedroht (englisch: threat).
Hier wurden die Begriffe Bedrohung und Gefährdung vertauscht BSI Glossar.
Eine Bedrohung stellt etwas abstraktes dar, für das keine Schwachstelle existieren muss, während die Gefährdung direkt auf die Schutzziele einwirken kann. --Raabeti (Diskussion) 22:15, 2. Aug. 2016 (CEST)
thread_title:  Begriffsdefinitionen / drittletzer Abschnitt: Bedrohung 

message: Also, ich hab' ff., deutschlandfunk.de, Interview, 28. Januar 2017, Andreas Dewes im Gespräch mit Stephanie Rohde: Es wird immer schwieriger, sich zu schützen (28. Januar 2017), bereits hier untergebracht, imho sollte es aber auch hier vorne seinen Platz finden: ? Danke, --Hungchaka (Diskussion) 17:17, 28. Jan. 2017 (CET)
thread_title:  Mögliche De-Anonymisierung 

message: Steht der Rechtschreibfehler "Wie lehrt man IT-Sicherheit am Besten?" wirklich so in der genannten Quelle (van der Beek)? (Siehe Duden.) Der Link ist nicht mehr abrufbar. -- Martinus KE (Diskussion) 08:52, 10. Sep. 2020 (CEST)
thread_title:  Rechtschreibung 

message: Ich bin der Meinung, dass im erstens Satz statt "technisch" und "nicht-technisch" die Begriffe "digital" und "analog" zutreffender wären, zumal es um Daten geht. Bitte um Eure Meinungen.--Obiwankinobi (Diskussion) 15:53, 15. Apr. 2021 (CEST)
thread_title:  digital / analog im ersten Satz 

message: Ich habe die Änderung zu "sehr schädliche" zwar gesichtet; aber mir ist so ein Fall nicht bekannt. Das sollte belegt werden. Es kann sein, dass das in der Anfangszeit der Virenscanner mal der Fall war, aber heute nicht mehr auftritt. Ich werde mal den Beleg-Fehle-Baustein über den Abschnitt setzen. --Hlambert63 (Diskussion) 19:40, 6. Sep. 2023 (CEST)
thread_title:  Schädlichkeit von Antivirensoftware