Freitagnacht, ein Einbruch in ein Bundesamt. Die Täter kommen durch ein ungesichertes Fenster, das bereits in der Vergangenheit als Schwachstelle bekannt war. Neben Bargeld und Elektronik verschwinden mobile IT-Systeme. Ob Akten kopiert oder manipuliert wurden, lässt sich im Nachhinein nicht zweifelsfrei klären.
Der Diebstahl von Geräten, Datenträgern und Dokumenten verursacht doppelten Schaden: Wiederbeschaffungskosten und Verfügbarkeitsverlust auf der einen Seite, die unkontrollierte Offenlegung vertraulicher Daten auf der anderen. Das BSI führt diese Gefährdung als G 0.16.
Was steckt dahinter?
Gestohlen wird, was wertvoll, unauffällig und leicht zu transportieren ist. Notebooks, Smartphones und USB-Sticks erfüllen alle drei Kriterien. In vielen Fällen ist der Dieb gar nicht an der Hardware interessiert — die gespeicherten Daten sind das eigentliche Ziel.
Diebstahlformen
- Opportunistischer Diebstahl — Unbeaufsichtigte Geräte in öffentlichen Räumen, Fahrzeugen oder Hotelzimmern. Mobile Geräte sind besonders gefährdet, weil sie klein, wertvoll und leicht weiterverkäuflich sind.
- Gezielter Diebstahl — Ein Angreifer zielt bewusst auf bestimmte Geräte oder Datenträger ab, die vertrauliche Informationen enthalten. Solche Angriffe werden oft durch Insider-Wissen ermöglicht.
- Innentäter — Mitarbeiter mit legitimem Zugang kopieren kurz vor ihrem Ausscheiden große Mengen vertraulicher Daten auf private Datenträger und nehmen diese mit. Technisch kein klassischer Diebstahl, in der Wirkung identisch.
- Einbruch — Gezielte Einbrüche in Bürogebäude oder Rechenzentren, bei denen Server, Festplatten oder Akten entwendet werden.
Schadensausmass
Der unmittelbare Schaden umfasst Wiederbeschaffungskosten und Betriebsunterbrechungen. Der schwerwiegendere Schaden entsteht durch die Offenlegung vertraulicher Daten: Kundendaten, Geschäftsgeheimnisse, personenbezogene Informationen, Zugangsdaten. Bei Verlust personenbezogener Daten ohne Verschlüsselung besteht eine Meldepflicht nach DSGVO — inklusive möglicher Bußgelder.
Praxisbeispiele
Notebook-Diebstahl aus dem Fahrzeug. Eine Vertriebsmitarbeiterin lässt ihr Firmen-Notebook über Nacht im Kofferraum des Dienstwagens. Das Fahrzeug wird aufgebrochen, das Gerät gestohlen. Auf der unverschlüsselten Festplatte befinden sich Kundenlisten, Preiskalkulationen und Vertragsdetails. Die DSGVO-Meldung wird notwendig, die Kunden müssen informiert werden.
USB-Stick mit Kundendaten in der Schublade. Ein Call-Center-Mitarbeiter kopiert kurz vor seiner Kündigung große Mengen vertraulicher Kundendaten auf einen privaten USB-Stick. Nach dem Ausscheiden verkauft er die Daten an einen Wettbewerber. Das Call-Center verliert in der Folge mehrere Großkunden, weil der Vorfall öffentlich wird.
Einbruch mit Festplattendiebstahl. In einem mittelständischen Unternehmen brechen Täter nachts in den Serverraum ein und entwenden mehrere Festplatten aus einem Speichersystem. Die Daten enthalten Konstruktionspläne und Patentunterlagen. Da keine Backups an einem separaten Standort vorhanden sind, ist auch die Verfügbarkeit betroffen.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 18 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.7.1 — Physische Sicherheitsperimeter: Zugangskontrollen und bauliche Maßnahmen verhindern unbefugten Zutritt.
- A.7.9 — Sicherheit von Geräten und Werten außerhalb der Betriebsräume: Regeln für den Schutz mobiler Geräte unterwegs und im Homeoffice.
- A.8.1 — Endbenutzergeräte: Verschlüsselung, Bildschirmsperre und sichere Konfiguration aller Endgeräte.
- A.7.10 — Speichermedien: Regeln für den sicheren Umgang mit und die Entsorgung von Datenträgern.
- A.7.4 — Physische Sicherheitsüberwachung: Kameraüberwachung und Alarmanlagen als Abschreckung und zur Aufklärung.
Erkennung:
- A.6.6 — Vertraulichkeits- oder Geheimhaltungsvereinbarungen: Vertragliche Verpflichtungen, die im Fall eines Innentäters rechtliche Handhabe bieten.
- A.8.10 — Löschung von Informationen: Sicherstellung, dass Daten auf zurückgegebenen oder ausgemusterten Geräten vollständig gelöscht sind.
Reaktion:
- A.5.29 — Informationssicherheit während einer Unterbrechung: Notfallpläne für den Fall, dass kritische Geräte durch Diebstahl nicht verfügbar sind.
- A.8.13 — Sicherung von Informationen: Aktuelle Backups stellen die Verfügbarkeit der gestohlenen Daten sicher.
BSI IT-Grundschutz
G 0.16 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- INF.7 (Büroarbeitsplatz) — Sicherheitsanforderungen an Büroräume, einschließlich Zugangsschutz und Aufbewahrung.
- INF.8 (Häuslicher Arbeitsplatz) — Schutz von Geräten und Dokumenten im Homeoffice.
- SYS.3.1 (Laptops) — Spezifische Anforderungen an die Sicherung mobiler Rechner.
- CON.6 (Löschen und Vernichten) — Sichere Entsorgung von Datenträgern und Dokumenten.
Quellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.16 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 7.9 — Umsetzungshinweise zum Schutz von Geräten außerhalb gesicherter Bereiche
- BSI: Mobile Sicherheit — Empfehlungen zur Sicherung mobiler Geräte