EuraStudy
Notizen/Informatik/INF-Sec - IT-Sicherheit, Kryptografie und Datenschutz
Notizen · InformatikAT · Matura

INF-Sec - IT-Sicherheit, Kryptografie und Datenschutz

Kryptografie schützt Vertraulichkeit, Integrität und Authentizität. Datenschutzrecht (DSGVO/DSG) macht Sicherheitsanforderungen verbindlich. Beide Welten sind Prüfungspflicht.

5 Abschnitte·~15 Min Lesezeit·4 Kompetenzen·Niveau Basis 1 · Standard 3 · Vertiefung 1·Stand 06/2026

T·0666 / 12
Prüfungsprofil
INF-Sec-1 · Schutzziele (CIA-Triade) erklärenINF-Sec-2 · Symmetrische und asymmetrische Verschlüsselung unterscheidenINF-Sec-3 · Hashfunktionen und digitale Signaturen verwendenINF-Sec-4 · DSGVO-Grundpflichten kennen und anwenden
Tiefe

Lesetiefe: Vertiefung

Schrift

Schriftgröße: Standard

Inhalt · 5 Abschnitte▾
  1. INF-Sec - IT-Sicherheit, Kryptografie und Datenschutz
    • 01CIA-Triade und Schutzziele○
    • 02Symmetrische und asymmetrische Verschlüsselung◐
    • 03Hashfunktionen, MAC und digitale Signaturen●
    • 04DSGVO, DSG und Social Engineering◐
    • 05Malware-Klassen und Incident Response◐
§ 01

CIA-Triade und Schutzziele#

●○○BasisLPINF-Sec-1.1

Kernpunkte

IT-Sicherheit lässt sich auf drei Grundziele zurückführen, die CIA-Triade. Sie ist der Rahmen, in den sich jede Bedrohung und jede Schutzmaßnahme einordnen lässt () - ein Angriff zielt immer auf mindestens eines dieser Ziele.

CIA-Triade: Bedrohung und Schutz

CIA-TriadeTabelle mit 3 Spalten und 3 Zeilen, Daten: Schutzziel · Bedrohung · Maßnahme; Vertraulichkeit · Abhören, Datenleck · TLS, Zugriffskontrolle; Integrität · Manipulation · Hash, MAC, digitale Signatur; Verfügbarkeit · DDoS, Ausfall · Redundanz, LastverteilungSCHUTZZIELBEDROHUNGMASSNAHMEVertraulichkeitAbhören, DatenleckTLS, ZugriffskontrolleIntegritätManipulationHash, MAC, digitale SignaturVerfügbarkeitDDoS, AusfallRedundanz, Lastverteilung
Abb. 1Jedes Schutzziel hat charakteristische Bedrohungen und passende Gegenmaßnahmen.
Confidentiality (Vertraulichkeit) bedeutet, dass Daten nur für Berechtigte lesbar sind. Bedrohung ist das Abhören oder ein Datenleck; Mittel sind Verschlüsselung (TLS, Festplattenverschlüsselung) und Zugriffskontrolle (Berechtigungen nach dem Need-to-Know-Prinzip).
Integrity (Integrität) bedeutet, dass Daten unverändert vom Sender zum Empfänger gelangen. Bedrohung ist die (unbemerkte) Manipulation; Mittel sind Hashfunktionen, MAC und digitale Signaturen, die jede nachträgliche Änderung erkennbar machen.
Availability (Verfügbarkeit) bedeutet, dass Daten und Dienste erreichbar bleiben. Bedrohung sind Ausfälle und DDoS-Angriffe; Mittel sind Redundanz (RAID, Cluster), Backups und Lastverteilung. Die drei Ziele stehen oft im Spannungsverhältnis - mehr Verfügbarkeit (viele Kopien) kann die Vertraulichkeit erschweren.
Häufig ergänzt man die Triade um Authentizität (die Identität ist bewiesen - das Wer, abzugrenzen von Integrität als dem Was), Non-Repudiation/Nichtabstreitbarkeit (eine Handlung ist nicht abstreitbar) und Privacy (informationelle Selbstbestimmung, rechtlich über die DSGVO).
Wer dahintersteckt, reicht von Script Kiddies (Gelegenheitstäter mit fertigen Tools) über Hacktivisten und Insider bis zu organisierter Kriminalität und staatlichen Akteuren (APT) mit großen Ressourcen. Häufige Fehler: Authentizität und Integrität vermischen, ein Backup als Datenschutz- statt Verfügbarkeitsmaßnahme einordnen, oder Privacy mit Vertraulichkeit gleichsetzen.
Musterbeispiel

Maßnahmen den CIA-Schutzzielen zuordnen

Ordne TLS, RAID-1, SHA-256-Prüfsumme, biometrische Anmeldung, Off-Site-Backup und Firewall den Zielen Vertraulichkeit (C), Integrität (I) und Verfügbarkeit (A) zu.

  1. 01TLS

    Verschlüsselt die Übertragung → Vertraulichkeit (C); über das Server-Zertifikat zusätzlich Authentizität.

  2. 02RAID-1

    Spiegelt Festplatten, ein Laufwerk darf ausfallen → Verfügbarkeit (A).

  3. 03SHA-256-Prüfsumme

    Erkennt nachträgliche Veränderung der Daten → Integrität (I).

  4. 04Biometrische Anmeldung

    Beschränkt den Zugang auf Berechtigte → Vertraulichkeit (C), zugleich Authentizität.

  5. 05Off-Site-Backup

    Stellt Daten nach Ausfall oder Ransomware wieder her → Verfügbarkeit (A).

  6. 06Firewall

    Filtert unerwünschten Verkehr und wehrt u. a. DoS ab → primär Verfügbarkeit (A), mittelbar Vertraulichkeit.

Ergebnis: C: TLS, biometrische Anmeldung; I: SHA-256-Prüfsumme; A: RAID-1, Off-Site-Backup, Firewall. Viele Maßnahmen zahlen auf mehrere Ziele ein - das ist normal und kein Fehler.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    CIA ist die Grundformel der IT-Sicherheit: Vertraulichkeit, Integrität, Verfügbarkeit.

  2. 2

    Jede Sicherheitsmassnahme zahlt auf mindestens eines dieser Ziele ein.

  3. 3

    Vergiss Authentizität nicht - oft ein eigenes viertes Ziel.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die CIA-Triade der Informationssicherheit. Nenne zu jedem Schutzziel eine technische und eine organisatorische Massnahme.

Maturafokus

  • Drei Schutzziele jeweils mit einer Massnahme und einem Beispielangriff verknüpfen.
  • Authentizität von Integrität abgrenzen (wer vs. was).
  • DDoS-Beispiel als Angriff auf Verfügbarkeit einordnen.

Typische Fehler

  • Authentizität und Integrität vermischt (wer hat gesendet vs. wurde verändert).
  • Backup als Datenschutzmassnahme dargestellt (richtig: Verfügbarkeit).
  • Privacy mit Vertraulichkeit gleichgesetzt.

Aktive Wiederholung

Ordne folgende Massnahmen den Schutzzielen der CIA-Triade zu: TLS, RAID-1, Prüfsumme SHA-256, biometrische Anmeldung, Off-Site-Backup, Firewall.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: BSI IT-Grundschutz-Kompendium (BSI)

§ 02

Symmetrische und asymmetrische Verschlüsselung#

●●○StandardLPINF-Sec-2.1LPINF-Sec-2.2

Kernpunkte

Verschlüsselung macht Daten für Unbefugte unlesbar. Die Grundfrage ist, ob Sender und Empfänger denselben Schlüssel benutzen (symmetrisch) oder ein Schlüsselpaar (asymmetrisch) - daraus folgen alle weiteren Eigenschaften.
Symmetrische Verschlüsselung nutzt denselben Schlüssel zum Ver- und Entschlüsseln (z. B. AES, ChaCha20). Sie ist sehr schnell und für große Datenmengen ideal, hat aber ein Schlüsselverteilungsproblem: Wie gelangt der geheime Schlüssel sicher zum Empfänger, ohne dass ihn jemand abfängt?
Asymmetrische Verschlüsselung löst genau das mit einem Schlüsselpaar aus öffentlichem und privatem Schlüssel (z. B. RSA, ECC). Wer den frei verteilbaren Public Key hat, kann verschlüsseln; entschlüsseln kann nur der Inhaber des Private Key (). Mathematisch beruht RSA auf der Schwierigkeit, große Zahlen zu faktorisieren (n=p⋅qn=p\cdot qn=p⋅q - siehe Beispiel).

RSA - Schlüsselpaar und Verschlüsselung

Alice Bob erzeugt (n, e), d PublicKey (n, e) verschlüsselt m c = m^e mod n Chiffretext c entschlüsselt mit d m = c^d mod n n = p·q, e·d ≡ 1 mod φ(n), Sicherheit: Faktorisierung schwierig
Abb. 2Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.
In der Praxis kombiniert man beides zum Hybridverfahren: Asymmetrisch wird (einmalig, langsam) ein zufälliger symmetrischer Sitzungsschlüssel ausgetauscht, danach läuft die eigentliche Datenmenge schnell über symmetrische Verschlüsselung. So nutzt man die Stärken beider Welten - genau das macht TLS.
AES ist die Standard-Blockchiffre (Schlüssel 128/192/256 Bit) für Festplatten- und Netzwerkverschlüsselung. Diffie-Hellman erlaubt es zwei Parteien, über einen unsicheren Kanal einen gemeinsamen Schlüssel zu vereinbaren, ohne ihn je zu übertragen. Caesar und Vigenère sind nur historische Verfahren ohne moderne Sicherheit (siehe Beispiel).
Häufige Fehler: symmetrisch und asymmetrisch über die Schlüsselanzahl verwechseln; zum Verschlüsseln den Private statt den Public Key des Empfängers nehmen; oder beim RSA-Rechnen den Modul nnn mit φ(n)\varphi(n)φ(n) verwechseln.
c≡me(modn),m≡cd(modn),e⋅d≡1(modφ(n))c \equiv m^{e} \pmod{n},\qquad m \equiv c^{d} \pmod{n},\qquad e\cdot d \equiv 1 \pmod{\varphi(n)}c≡me(modn),m≡cd(modn),e⋅d≡1(modφ(n))

RSA - Ver- und Entschlüsselung mit Schlüsseln (e,n) und (d,n)

φ(n)=(p−1)(q−1)fu¨r n=p⋅q,  p,q prim\varphi(n) = (p-1)(q-1) \quad \text{für } n = p\cdot q,\; p,q \text{ prim}φ(n)=(p−1)(q−1)fu¨r n=p⋅q,p,q prim

Eulersche Phi-Funktion für RSA-Modul

Musterbeispiel

RSA an kleinen Primzahlen rechnen

Konstruiere einen RSA-Schlüssel mit p=11p=11p=11, q=13q=13q=13 und verschlüssele m=9m=9m=9.

  1. 01Modul

    n=p⋅q=11⋅13=143n = p \cdot q = 11 \cdot 13 = 143n=p⋅q=11⋅13=143.

  2. 02Phi-Funktion

    φ(n)=(11−1)(13−1)=10⋅12=120\varphi(n) = (11-1)(13-1) = 10 \cdot 12 = 120φ(n)=(11−1)(13−1)=10⋅12=120.

  3. 03Öffentlichen Exponenten wählen

    e=7e=7e=7 (teilerfremd zu 120, weil gcd⁡(7, 120)=1\gcd(7,\,120)=1gcd(7,120)=1).

  4. 04Privaten Exponenten

    d=e−1 mod 120=103d = e^{-1} \bmod 120 = 103d=e−1mod120=103 (denn 7⋅103=721=6⋅120+17 \cdot 103 = 721 = 6 \cdot 120 + 17⋅103=721=6⋅120+1).

  5. 05Verschlüsseln

    c=me mod n=97 mod 143=48c = m^{e} \bmod n = 9^{7} \bmod 143 = 48c=memodn=97mod143=48 (Berechnung via Square-and-Multiply).

  6. 06Entschlüsseln

    m=cd mod n=48103 mod 143=9m = c^{d} \bmod n = 48^{103} \bmod 143 = 9m=cdmodn=48103mod143=9.

Ergebnis: Public Key (n,e)=(143, 7)(n,e)=(143,\,7)(n,e)=(143,7), Private Key (n,d)=(143, 103)(n,d)=(143,\,103)(n,d)=(143,103). Chiffretext 48 entschlüsselt korrekt zu 9.

Musterbeispiel

Caesar-Chiffre und Brute-Force

Verschlüssele "INFO" mit Caesar-Shift 3 und zeige, wie ein Angreifer den Schlüssel findet.

  1. 01Verschlüsseln

    I+3=L, N+3=Q, F+3=I, O+3=R -> Chiffretext "LQIR".

  2. 02Brute Force

    Nur 25 sinnvolle Shifts; Angreifer probiert alle: Shift 1 -> "KPHQ", Shift 2 -> "JOGP", Shift 3 -> "INFO" -> Treffer.

  3. 03Häufigkeitsanalyse

    Bei längeren Texten findet man den Shift durch Vergleich der Buchstabenhäufigkeiten mit Sprachstatistik.

Ergebnis: Caesar bietet keine Sicherheit gegen moderne Angriffe; trotzdem ist es ein wichtiges historisches Beispiel symmetrischer Verschlüsselung.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Symmetrisch ist wie ein Tresor mit einem Schlüssel - schnell, aber wie kommt der Schlüssel sicher zum Empfänger?

  2. 2

    Asymmetrisch löst genau dieses Problem: jeder kann mit dem öffentlichen Schlüssel zumachen, nur der Besitzer des privaten kann öffnen.

    RSA - Schlüsselpaar und Verschlüsselung

    Alice Bob erzeugt (n, e), d PublicKey (n, e) verschlüsselt m c = m^e mod n Chiffretext c entschlüsselt mit d m = c^d mod n n = p·q, e·d ≡ 1 mod φ(n), Sicherheit: Faktorisierung schwierig
    Abb.Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.
  3. 3

    In der Praxis verwendet man beide: asymmetrisch für den Schlüsseltausch, symmetrisch für die Datenmenge.

SRDP-Aufgaben

SelbsttestAus der Fragenbank8 Punkte

Aufgabenstellung

Vergleiche symmetrische und asymmetrische Verschlüsselung. Berechne einen RSA-Schlüssel mit p=5p=5p=5, q=11q=11q=11 und verschlüssele die Nachricht m=3m=3m=3.

Maturafokus

  • RSA an kleinen Primzahlen rechnen können (Public/Private Key, Verschlüsselung, Entschlüsselung).
  • Caesar verschlüsseln und brechen.
  • Hybridsystem erklären (warum nicht alles asymmetrisch?).

Typische Fehler

  • Symmetrisch und asymmetrisch in Bezug auf Schlüsselanzahl verwechselt.
  • Private Key statt Public Key zum Verschlüsseln benutzt.
  • RSA-Modul nnn wird mit φ(n)\varphi(n)φ(n) verwechselt.

Aktive Wiederholung

Berechne mit p=7p=7p=7, q=11q=11q=11 einen RSA-Schlüssel. Wähle eee, bestimme ddd und verschlüssele m=4m=4m=4.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: Rivest, Shamir, Adleman: A Method for Obtaining Digital Signatures and Public-Key Cryptosystems (CACM) · NIST FIPS 197 - AES (NIST)

§ 03

Hashfunktionen, MAC und digitale Signaturen#

●●●VertiefungLPINF-Sec-3.1

Kernpunkte

Eine kryptografische Hashfunktion hhh verdichtet beliebige Daten zu einem festen „Fingerabdruck". Sie muss drei Eigenschaften erfüllen: praeimage-resistent (aus dem Hash lässt sich die Eingabe nicht rekonstruieren), zweite-praeimage-resistent (zu gegebener Eingabe keine zweite mit gleichem Hash) und kollisionsresistent (überhaupt kein Paar gleicher Hashes findbar). Eine winzige Änderung der Eingabe ändert den Hash völlig.
Bekannte Hashes sind SHA-256 (256 Bit), SHA-3 und BLAKE2/3; MD5 und SHA-1 gelten als gebrochen (praktisch erzeugbare Kollisionen) und dürfen nicht mehr für Sicherheit verwendet werden. Wichtig: Ein Hash ist eine Einwegfunktion, keine Verschlüsselung - er lässt sich nicht „entschlüsseln".
Ein MAC (Message Authentication Code) ist im Kern ein Hash mit Schlüssel (z. B. HMAC-SHA256): Wer den geheimen Schlüssel kennt, kann den MAC erzeugen und prüfen. Er garantiert damit Integrität und Authentizität zugleich - aber keine Nichtabstreitbarkeit, weil beide Seiten denselben Schlüssel besitzen ().

Hash, MAC und digitale Signatur im Vergleich

Hash, MAC, SignaturTabelle mit 5 Spalten und 3 Zeilen, Daten: Primitive · Schlüssel · Integrität · Authentizität · Nichtabstreitbar; Hash (SHA-256) · keiner · ja · nein · nein; MAC (HMAC) · symmetrisch · ja · ja · nein; Signatur (Ed25519) · asymmetrisch · ja · ja · jaPRIMITIVESCHLÜSSELINTEGRITÄTAUTHENTIZITÄTNICHTABSTREITBARHash (SHA-256)keinerjaneinneinMAC (HMAC)symmetrischjajaneinSignatur (Ed25519)asymmetrischjajaja
Abb. 3Erst die digitale Signatur leistet Nichtabstreitbarkeit, da sie auf einem asymmetrischen privaten Schlüssel beruht.
Eine digitale Signatur kombiniert Hash und asymmetrische Krypto: Man signiert den Hash mit dem Private Key und verifiziert mit dem Public Key (RSA-PSS, ECDSA, Ed25519). Da nur der Signierende den Private Key besitzt, leistet die Signatur zusätzlich Nichtabstreitbarkeit - der entscheidende Unterschied zum MAC (, siehe Beispiel).
Zertifikate (X.509) binden einen Public Key an eine Identität; eine Zertifizierungsstelle (CA) signiert sie, und der Browser prüft die Vertrauenskette bis zu einer Root-CA. In Österreich erlaubt die qualifizierte elektronische Signatur (ID Austria/Handysignatur) gemäß eIDAS sogar die rechtsgültige Unterschrift.
Beim Passwort-Hashing reicht ein schneller Hash wie SHA-256 nicht: Er ist zu schnell (Brute-Force) und anfällig für Rainbow Tables. Man braucht einen Salt (pro Passwort eindeutig, gegen vorberechnete Tabellen) und ein bewusst langsames Verfahren wie bcrypt/Argon2. Häufige Fehler: Hash mit Verschlüsselung verwechseln, zum Prüfen den Private statt den Public Key nehmen, oder den Salt geheim halten wollen (er muss nur eindeutig sein).
h:{0,1}∗→{0,1}k,h(x)≠h(y) schwer fu¨r x≠yh: \{0,1\}^{*} \to \{0,1\}^{k},\quad h(x) \neq h(y) \text{ schwer für } x \neq yh:{0,1}∗→{0,1}k,h(x)=h(y) schwer fu¨r x=y

Kryptografische Hashfunktion - Kollisionsresistenz

Musterbeispiel

Signaturprüfung Schritt für Schritt

Alice signiert das Dokument D mit ihrem Private Key; Bob will prüfen.

  1. 01Alice signiert

    σ=SigndA(h(D))\sigma = \mathrm{Sign}_{d_{A}}(h(D))σ=SigndA​​(h(D)), wobei hhh = SHA-256.

  2. 02Versand

    Alice schickt (D, σ\sigmaσ, Zertifikat) an Bob.

  3. 03Bob hasht

    Berechnet h(D)h(D)h(D) aus dem empfangenen Dokument.

  4. 04Bob verifiziert

    VerifyeA(σ)=h(D)\mathrm{Verify}_{e_{A}}(\sigma) = h(D)VerifyeA​​(σ)=h(D)? Wenn ja, Signatur gültig.

  5. 05Identität prüfen

    Zertifikat von Alice über CA-Kette validieren.

Ergebnis: Signatur stellt Integrität (Hash) und Authentizität (Public Key + Zertifikat) sicher.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Eine Hashfunktion verdichtet eine Datei zu einem Fingerabdruck - kleinste Änderung erzeugt völlig anderen Wert.

  2. 2

    Digitale Signaturen kombinieren Hash und asymmetrische Krypto: Signieren mit Private, Prüfen mit Public.

  3. 3

    Zertifikate sind der Pass des Public Keys - die CA bürgt für die Identität.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre das Konzept der digitalen Signatur. Welche kryptografischen Verfahren werden eingesetzt? Wie wird die Identität einer Signierperson nachgewiesen?

Maturafokus

  • Hash + Signatur am Beispiel "PDF mit digitaler Signatur" beschreiben.
  • Warum darf Passwort-Hashing nicht mit SHA-256 erfolgen? -> zu schnell, Rainbow Tables.
  • Zertifikatskette von Browser bis Root erklären.

Typische Fehler

  • Hash mit Verschlüsselung verwechselt (Hash ist Einwegfunktion, nicht umkehrbar).
  • Signaturprüfung mit Private Key des Signierenden (richtig: Public Key des Signierenden).
  • Salt wird nicht gespeichert oder geheim gehalten (er muss pro Passwort eindeutig, aber nicht geheim sein).

Aktive Wiederholung

Beschreibe, wie eine PDF-Datei digital signiert wird und wie der Empfänger die Signatur prüft. Welche kryptografischen Primitiven kommen zum Einsatz?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: NIST FIPS 180-4 - Secure Hash Standard (SHA) (NIST) · eIDAS-Verordnung (EU) 910/2014 (EU)

§ 04

DSGVO, DSG und Social Engineering#

●●○StandardLPINF-Sec-4.1

Kernpunkte

Während Kryptografie Daten technisch schützt, macht das Recht den Schutz verbindlich. Die DSGVO (Verordnung 2016/679) regelt seit 25.05.2018 EU-weit den Umgang mit personenbezogenen Daten - allen Informationen, die sich auf eine identifizierbare Person beziehen. In Österreich ergänzt sie das DSG (Datenschutzgesetz).
Die Grundsätze (Art. 5) sind das Herzstück: Rechtmäßigkeit, Zweckbindung (Daten nur für den angegebenen Zweck), Datenminimierung (nur das Nötige erheben), Richtigkeit, Speicherbegrenzung (nicht länger als nötig), Integrität/Vertraulichkeit und Rechenschaftspflicht (die Einhaltung muss nachweisbar sein).
Jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6): Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige bzw. öffentliche Interessen oder ein berechtigtes Interesse. Ohne eine dieser Grundlagen ist die Verarbeitung unzulässig - das gilt z. B. auch für Klassenfotos auf einer Schulwebseite (meist Einwilligung nötig).
Betroffene haben starke Rechte (): Auskunft (Art. 15), Berichtigung (16), Löschung (17, „Recht auf Vergessenwerden"), Datenübertragbarkeit (20) und Widerspruch (21). Bei einer Datenpanne muss der Verantwortliche binnen 72 Stunden die Datenschutzbehörde informieren (Art. 33). Verstöße können mit bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (je höher) sanktioniert werden.

DSGVO - Betroffenenrechte

DSGVO-BetroffenenrechteTabelle mit 3 Spalten und 5 Zeilen, Daten: Recht · Artikel · Bedeutung; Auskunft · Art. 15 · gespeicherte Daten einsehen; Berichtigung · Art. 16 · falsche Daten korrigieren; Löschung · Art. 17 · „Recht auf Vergessenwerden"; Datenübertragbarkeit · Art. 20 · Daten mitnehmen; Widerspruch · Art. 21 · Verarbeitung ablehnenRECHTARTIKELBEDEUTUNGAuskunftArt. 15gespeicherte Daten einsehenBerichtigungArt. 16falsche Daten korrigierenLöschungArt. 17„Recht auf Vergessenwerden"DatenübertragbarkeitArt. 20Daten mitnehmenWiderspruchArt. 21Verarbeitung ablehnen
Abb. 4Die zentralen Rechte natürlicher Personen nach der Datenschutz-Grundverordnung.
Social Engineering umgeht technische Schutzmaßnahmen über den Menschen als schwächstes Glied: Phishing (Massen-Mails), Spear-Phishing (gezielt), Pretexting (erfundener Vorwand), Tailgating (physisches Mitschlüpfen) und CEO-Fraud. Solche Angriffe setzen auf Zeitdruck und Autorität (siehe Beispiel).
Häufige Fehler: DSGVO mit „Cookie-Bannern" gleichsetzen (Cookies sind nur ein Teilbereich), Datenminimierung mit Datenlöschung verwechseln, oder Phishing als rein technisches Problem darstellen - hier hilft vor allem Schulung, ergänzt durch SPF/DKIM/DMARC und 2FA.
Musterbeispiel

Phishing-Mail analysieren

Eine Mail "Ihr Konto wurde gesperrt - jetzt zurücksetzen" mit Link auf `verifyy-bank.example`. Wie erkennt man den Angriff?

  1. 01Absender prüfen

    Falsche Domain, Tippfehler ("verifyy"), generische Anrede.

  2. 02Link inspizieren

    URL zeigt nicht auf die offizielle Bank-Domain; Hover offenbart Linkziel.

  3. 03Dringlichkeit erkennen

    Phishing setzt auf Zeitdruck und Angst.

  4. 04Reaktion

    Nicht klicken, Bank direkt über bekannte URL/App prüfen, Phishing-Mail an IT melden.

  5. 05Prävention

    2FA aktivieren, Passwort-Manager nutzen (fällt auf falsche Domains nicht herein).

Ergebnis: Phishing ist ein klassischer Social-Engineering-Angriff. Technische Massnahmen (SPF/DKIM/DMARC) helfen, Schulung bleibt entscheidend.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Die DSGVO ist die rechtliche Klammer über alles, was mit personenbezogenen Daten zu tun hat.

  2. 2

    Sie verlangt nicht nur Schutz, sondern auch Nachweisbarkeit (Rechenschaftspflicht).

  3. 3

    Social Engineering bleibt das Lieblingswerkzeug von Angreifern - Technik allein reicht nicht.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die wichtigsten Grundsätze der DSGVO. Welche Rechte haben Betroffene? Erläutere die Pflichten von Verantwortlichen bei einer Datenpanne.

Maturafokus

  • Drei Grundsätze der DSGVO mit Praxisbeispielen erläutern.
  • Phishing-Beispiel erkennen und Gegenmassnahmen benennen.
  • Vorschriften bei einer Datenschutzverletzung (Meldepflicht 72 h).

Typische Fehler

  • DSGVO und Cookies werden gleichgesetzt (Cookies sind nur ein Beispielfeld).
  • Datenminimierung wird mit Datenlöschung verwechselt.
  • Phishing wird als rein technisches Problem dargestellt.

Aktive Wiederholung

Eine Schule veröffentlicht Klassenfotos auf der Webseite. Welche DSGVO-Pflichten muss sie beachten? Welche Rechtsgrundlage ist heranzuziehen?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: DSGVO Volltext (EUR-Lex) (EU) · Datenschutzbehörde Österreich (Republik Österreich)

§ 05

Malware-Klassen und Incident Response#

●●○StandardLPINF-Sec-5.1

Kernpunkte

Malware (Schadsoftware) ist kein einheitliches Phänomen - die Klassen unterscheiden sich darin, wie sie sich verbreiten und welchen Schaden sie anrichten; entsprechend braucht jede eigene Gegenmaßnahmen.
Viren hängen sich an eine Wirtsdatei und verbreiten sich erst, wenn diese ausgeführt wird; Würmer dagegen verbreiten sich selbstständig über das Netz (ohne Zutun des Nutzers) und können sich daher explosionsartig ausbreiten - der wichtigste Unterschied der beiden.
Trojaner tarnen sich als nützliche Software und öffnen heimlich eine Hintertür; Rootkits verankern sich tief im System und verbergen ihre Spuren; Spyware/Keylogger sammeln unbemerkt Informationen (etwa Tastatureingaben).
Ransomware verschlüsselt die Daten des Opfers und fordert Lösegeld - heute die teuerste Bedrohung für Organisationen. Der einzige verlässliche Schutz ist ein Offline-Backup (3-2-1-Regel): Zahlen garantiert keine Entschlüsselung und finanziert die Täter.
Im Ernstfall folgt die Incident Response dem NIST-Schema (SP 800-61) als Kreislauf (): Vorbereitung → Erkennung & Analyse → Eindämmung, Beseitigung & Wiederherstellung → Nachbereitung (Lessons Learned), deren Erkenntnisse die nächste Vorbereitung verbessern. Erster Reflex bei Befall: das Gerät vom Netz trennen (siehe Beispiel).

Incident-Response-Zyklus (NIST SP 800-61)

Incident-Response-ZyklusNetzgraph, Vorbereitung → Erkennung & Analyse, Erkennung & Analyse → Eindämmung & Recovery, Eindämmung & Recovery → Nachbereitung, Nachbereitung → VorbereitungVorbereitungErkennung &AnalyseEindämmung &RecoveryNachbereitung
Abb. 5Vorfallsbehandlung ist ein Kreislauf: Erkenntnisse aus der Nachbereitung verbessern die nächste Vorbereitung.
Die wichtigsten Schutzmaßnahmen sind regelmäßige Patches, (offline) Backups, 2FA, Netzsegmentierung, EDR/Virenschutz und Mitarbeiterschulung. Häufige Fehler: Virus und Wurm gleichsetzen, ein bloßes (online) Backup für ausreichend gegen Ransomware halten, oder Incident Response auf „Antivirus" reduzieren.
Musterbeispiel

Incident-Response-Plan bei Ransomware

Eine Mitarbeiterin meldet, dass alle Dateien auf ihrem Laufwerk verschlüsselt sind.

  1. 01Identify

    Gerät vom Netz trennen (Kabel ziehen, WLAN aus). Ransom-Note sichern.

  2. 02Contain

    Weitere Geräte identifizieren, ggf. Subnetz isolieren.

  3. 03Eradicate

    Forensik: Patient Zero, Eintrittsvektor (Phishing, Schwachstelle)? Säubern.

  4. 04Recover

    Aus offline Backup wiederherstellen; KEIN Lösegeld zahlen.

  5. 05Lessons Learned

    Schwachstelle schliessen, Schulung, evtl. Meldung an Datenschutzbehörde binnen 72 h.

Ergebnis: Klare Incident-Plan-Schritte verhindern Panik und reduzieren Schaden. Offline-Backup ist der einzige verlässliche Schutz gegen Ransomware.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Malware ist kein monolithisches Phänomen - jede Klasse braucht eigene Gegenmassnahmen.

  2. 2

    Ransomware ist heute die teuerste Bedrohung; offline Backups sind die einzige verlässliche Versicherung.

  3. 3

    Incident Response ist Teamarbeit - klare Rollen verhindern Chaos im Ernstfall.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Vergleiche die Malware-Klassen Virus, Wurm, Trojaner und Ransomware. Welche Schutzmassnahmen sind in Unternehmen Standard?

Maturafokus

  • Vier Malware-Klassen mit Beispielen unterscheiden.
  • Schritte einer Incident Response benennen.
  • Präventive Massnahmen begründen.

Typische Fehler

  • Virus und Wurm werden synonym verwendet.
  • Backup wird als ausreichende Massnahme gegen Ransomware dargestellt (es muss auch offline sein).
  • Incident Response wird auf "Antivirus" reduziert.

Aktive Wiederholung

Eine Schule erleidet einen Ransomware-Angriff. Wie reagierst du in den ersten 24 Stunden? Was wäre die richtige Präventionsstrategie gewesen?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: NIST SP 800-61 - Computer Security Incident Handling Guide (NIST)

Inhalt

Abschnitt -- / 05

    • 01CIA-Triade und Schutzziele○
    • 02Symmetrische und asymmetrische Verschlüsselung◐
    • 03Hashfunktionen, MAC und digitale Signaturen●
    • 04DSGVO, DSG und Social Engineering◐
    • 05Malware-Klassen und Incident Response◐

0/5 Gelesen

Aus den Notizen ins Training

INF-Sec - IT-Sicherheit, Kryptografie und Datenschutz

Festige dieses Thema an passenden Aufgaben aus der Fragenbank.

~15
Min
4
Kompetenzen
Üben
Beispielfrage

Erkläre die CIA-Triade der Informationssicherheit. Nenne zu jedem Schutzziel eine technische und eine organisatorische Massnahme.

7 BE · 2021

Zur Fragenbank

Belege & Quellen

Quellen

BSI

  • BSI IT-Grundschutz-Kompendium

CACM

  • Rivest, Shamir, Adleman: A Method for Obtaining Digital Signatures and Public-Key Cryptosystems

NIST

  • NIST FIPS 197 - AES
  • NIST FIPS 180-4 - Secure Hash Standard (SHA)
  • NIST SP 800-61 - Computer Security Incident Handling Guide

EU

  • eIDAS-Verordnung (EU) 910/2014
  • DSGVO Volltext (EUR-Lex)

Republik Österreich

  • Datenschutzbehörde Österreich

Vorheriges Thema

INF-Net - Netzwerke und Internet

Nächstes Thema

INF-OS - Betriebssysteme und Hardware

EuraStudy·Notizen T·06·MMXXVI

Weiter mit dem nächsten Thema — der Lernpfad bleibt erhalten.