Ein dringend benötigtes Ersatzteil wird elektronisch bestellt. Nach einer Woche reklamiert der Einkauf das Ausbleiben der Lieferung — inzwischen sind durch den Produktionsstillstand hohe Kosten entstanden. Der Lieferant bestreitet, jemals eine Bestellung erhalten zu haben. Ohne Empfangsbestätigung oder digitale Signatur steht Aussage gegen Aussage.
Das Abstreiten von Handlungen (G 0.37) betrifft ein Schutzziel, das oft hinter Vertraulichkeit, Integrität und Verfügbarkeit zurücksteht: die Verbindlichkeit. Im englischen Sprachraum heißt das Prinzip Non-Repudiation — die Nichtabstreitbarkeit von Handlungen.
Was steckt dahinter?
Personen können aus unterschiedlichen Gründen abstreiten, bestimmte Handlungen begangen zu haben — weil die Handlungen gegen Anweisungen verstoßen, weil Fehler vertuscht werden sollen oder weil bewusst vertragliche Pflichten geleugnet werden. Ohne technische und organisatorische Mechanismen zur Sicherstellung der Nichtabstreitbarkeit gibt es keinen belastbaren Nachweis.
Formen der Abstreitbarkeit
- Abstreiten des Nachrichtenversands (Repudiation of Origin) — Eine Person leugnet, eine Bestellung, Anweisung oder Freigabe gesendet zu haben.
- Abstreiten des Nachrichtenempfangs (Repudiation of Receipt) — Eine Person behauptet, eine Rechnung, Mahnung oder Benachrichtigung nie erhalten zu haben.
- Abstreiten einer Systemhandlung — Eine Person leugnet, eine bestimmte Transaktion ausgeführt, ein Dokument geändert oder eine Konfiguration vorgenommen zu haben.
Schadensausmass
Die Folgen betreffen vor allem geschäftliche und rechtliche Beziehungen. Wenn eine Bestellung nicht nachweisbar ist, können Lieferanten Lieferungen verweigern oder verzögern. Wenn eine Freigabe nicht belegbar ist, stockt der Genehmigungsprozess. Bei finanziellen Transaktionen kann das Abstreiten zu Vermögensschäden führen. In Rechtsstreitigkeiten hängt der Ausgang oft davon ab, ob eine Handlung einer bestimmten Person nachweisbar zugeordnet werden kann.
Praxisbeispiele
Bestellung ohne Empfangsbestätigung. Ein Unternehmen bestellt elektronisch ein Bauteil bei einem Zulieferer. Die Bestellung erfolgt per E-Mail ohne digitale Signatur und ohne Empfangsbestätigung. Als die Lieferung ausbleibt, bestreitet der Zulieferer den Eingang der Bestellung. Der Produktionsstillstand verursacht Kosten, die auf keiner Seite vertraglich abgesichert sind.
Stornierte Freigabe in einem Genehmigungsworkflow. In einem Beschaffungssystem gibt ein Abteilungsleiter eine Investition frei. Als die Kosten die geplante Höhe überschreiten, behauptet er, die Freigabe nie erteilt zu haben. Da das System keine digitale Signatur, sondern nur ein einfaches Benutzer-Login als Nachweis speichert, lässt sich die Handlung nicht zweifelsfrei seiner Person zuordnen — das Login könnte von einem Kollegen mit Kenntnis des Passworts durchgeführt worden sein.
Manipulierter Audit-Trail. Ein Systemadministrator nimmt eine unerlaubte Konfigurationsänderung vor und löscht anschließend die betreffenden Einträge aus dem lokalen Protokoll. Da die Protokolle nur lokal gespeichert werden und der Administrator Schreibrechte auf die Log-Dateien hat, kann seine Handlung nicht nachgewiesen werden.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 37 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.8.15 — Protokollierung: Zentrale, manipulationssichere Protokollierung aller sicherheitsrelevanten Handlungen.
- A.5.37 — Dokumentierte Betriebsverfahren: Klare Prozesse für Freigaben, Genehmigungen und Transaktionen mit nachvollziehbarem Audit-Trail.
- A.8.17 — Uhrensynchronisation: Synchronisierte Zeitstempel ermöglichen die eindeutige zeitliche Zuordnung von Handlungen.
- A.5.3 — Aufgabentrennung: Funktionstrennung verhindert, dass eine Person Handlungen durchführen und deren Protokollierung manipulieren kann.
Erkennung:
- A.8.16 — Überwachungsaktivitäten: Monitoring erkennt Löschung oder Manipulation von Protokolldaten.
- A.7.4 — Physische Sicherheitsüberwachung: Videoüberwachung als ergänzender Nachweis für physische Handlungen.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Forensische Sicherung von Beweismitteln bei Verdacht auf abgestrittene Handlungen.
- A.6.4 — Maßregelungsverfahren: Konsequenzen bei nachgewiesenem Abstreiten sicherheitsrelevanter Handlungen.
BSI IT-Grundschutz
G 0.37 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- OPS.1.1.5 (Protokollierung) — Anforderungen an lückenlose, manipulationssichere Protokollierung.
- OPS.1.1.2 (Ordnungsgemäße IT-Administration) — Nachvollziehbarkeit administrativer Handlungen.
- DER.1 (Detektion von sicherheitsrelevanten Ereignissen) — Erkennung von Manipulationsversuchen an Protokolldaten.
- ORP.4 (Identitäts- und Berechtigungsmanagement) — Personalisierte Konten als Grundlage für die Zuordnung von Handlungen.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Bezug zu Nachweispflichten und Protokollierung
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.37 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.15 — Umsetzungshinweise zur Protokollierung