Eine Mitarbeiterin in der Buchhaltung ändert wenige Zahlen in der Monatsbilanz — aus persönlichem Frust, nach einer als ungerecht empfundenen Beförderungsentscheidung. Die Änderungen sind klein genug, um bei der üblichen Prüfung nicht aufzufallen. Im Jahresabschluss summieren sich die Abweichungen zu einem verzerrten Geschäftsergebnis, das den Aktienkurs und Investorenentscheidungen beeinflusst.
Manipulation von Informationen ist die gezielte Verfälschung von Daten — ob digital oder auf Papier. Das BSI führt diese Gefährdung als G 0.22.
Was steckt dahinter?
Integrität bedeutet: Daten sind vollständig, korrekt und unverfälscht. G 0.22 beschreibt die Gefährdung, dass ein Angreifer (oder auch ein Innentäter) diese Integrität durch gezielte Änderungen verletzt. Die Manipulation kann an jeder Stelle der Datenverarbeitung ansetzen — bei der Erfassung, während der Übertragung, in der Speicherung oder beim Abruf.
Manipulationsformen
- Eingabemanipulation — Bewusst falsche Daten werden in ein System eingegeben. Besonders kritisch bei Systemen ohne Plausibilitätsprüfung oder Vier-Augen-Prinzip.
- Datenbankmanipulation — Direkte Änderung von Feldinhalten in der Datenbank, an der Anwendungsschicht vorbei. Erfordert Datenbankzugriff, der über kompromittierte Credentials oder SQL-Injection erlangt werden kann.
- Dokumentenmanipulation — Änderung von Verträgen, Rechnungen, Zertifikaten oder Berichten — digital oder auf Papier.
- Manipulation bei der Übertragung — Man-in-the-Middle-Angriffe verändern Daten während der Übertragung. Ohne Integritätsschutz (z. B. TLS) bemerkt der Empfänger die Änderung nicht.
- Archivmanipulation — Archivierte Dokumente werden verändert. Da Archivdaten oft erst Jahre später geprüft werden, kann die Manipulation extrem lange unentdeckt bleiben.
Schadensausmass
Manipulierte Daten können Geschäftsprozesse unmittelbar stören: falsche Lagerbestände führen zu Produktionsausfällen, manipulierte Finanzdaten zu Fehlentscheidungen, gefälschte Konfigurationen zu Systemausfällen. Besonders gravierend: Wenn die Manipulation unentdeckt bleibt, werden alle nachgelagerten Entscheidungen auf der Basis falscher Informationen getroffen. Die Schadenspropagation kann enorm sein.
Praxisbeispiele
SQL-Injection gegen eine Webanwendung. Ein Angreifer entdeckt eine SQL-Injection-Schwachstelle in einem Online-Shop. Über manipulierte Eingabefelder ändert er Produktpreise in der Datenbank — zunächst nur minimal, um nicht aufzufallen. In der nächsten Bestellwelle werden Waren zu Bruchteilpreisen verkauft. Der Schaden wird erst beim Abgleich mit der Buchhaltung offensichtlich.
Manipulierte Gehaltsabrechnung. Ein Mitarbeiter in der Personalabteilung ändert seine eigenen Abrechnungsdaten im HR-System — er erhöht die variable Vergütungskomponente um einen kleinen Betrag. Da keine automatische Plausibilitätsprüfung zwischen Vereinbarung und Abrechnung stattfindet, bleibt die Manipulation über ein Jahr lang unentdeckt.
Gefälschte Lieferantendaten in der Bestellabwicklung. Ein Angreifer kompromittiert das E-Mail-Konto eines Lieferanten und sendet eine Mitteilung über eine angebliche Änderung der Bankverbindung. Die Änderung wird in die Kreditorendatenbank übernommen. Alle folgenden Zahlungen an diesen Lieferanten fließen auf das Konto des Angreifers.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 52 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.8.3 — Einschränkung des Informationszugriffs: Minimale Zugriffsrechte begrenzen den Personenkreis, der Daten ändern kann.
- A.8.5 — Sichere Authentisierung: Starke Authentisierung verhindert unbefugten Zugriff auf Daten und Systeme.
- A.8.9 — Konfigurationsmanagement: Versionierte, kontrollierte Konfigurationen erkennen unerwünschte Änderungen.
- A.8.25 — Sicherer Entwicklungslebenszyklus: Eingabevalidierung und parametrisierte Abfragen verhindern SQL-Injection.
- A.5.15 — Zugriffskontrolle: Richtlinien für die Vergabe und den Entzug von Zugriffsrechten.
Erkennung:
- A.8.15 — Protokollierung: Lückenlose Aufzeichnung aller Datenänderungen mit Zeitstempel und Benutzerkennung.
- A.8.16 — Überwachungsaktivitäten: Erkennung ungewöhnlicher Datenänderungen (Menge, Zeitpunkt, Muster).
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Vorbereitete Reaktionsprozesse für erkannte Datenmanipulationen.
- A.8.13 — Sicherung von Informationen: Backups ermöglichen die Wiederherstellung des korrekten Datenbestands.
- A.8.14 — Redundanz von informationsverarbeitenden Einrichtungen: Redundante Systeme bieten einen Vergleichspunkt zur Erkennung von Abweichungen.
BSI IT-Grundschutz
G 0.22 verknüpft der BSI-Grundschutzkatalog mit zahlreichen Bausteinen, darunter:
- APP.3.6 (DNS-Server) — Schutz vor Manipulationen an DNS-Einträgen (DNS-Spoofing, Cache Poisoning).
- OPS.1.1.5 (Protokollierung) — Anforderungen an die Aufzeichnung von Datenänderungen.
- CON.1 (Kryptokonzept) — Kryptographischer Integritätsschutz durch Signaturen und Message Authentication Codes.
- DER.2.3 (Bereinigung weitreichender Sicherheitsvorfälle) — Aufarbeitung und Datenwiederherstellung nach erkannter Manipulation.
Quellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.22 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.3 — Umsetzungshinweise zur Einschränkung des Informationszugriffs
- BSI: OWASP Top 10 und sichere Webentwicklung — Empfehlungen zur Vermeidung von Injection-Schwachstellen