{"stand":"29.10.2026","quelle":"BSI Grundschutz++ (Anwenderkatalog), Stand 29.10.2026, © BSI-Bund, CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/); bearbeitet (Auswahl, Spalten) von grundschutz-docs.de; Original: https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek","lizenz":{"stand":"29.10.2026","urheber":"Bundesamt für Sicherheit in der Informationstechnik (BSI-Bund)","werk":"Grundschutz++ (Anwenderkatalog), OSCAL-Katalog","original":"https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek","lizenz":"Creative Commons Attribution-ShareAlike 4.0 International (CC BY-SA 4.0)","lizenz_url":"https://creativecommons.org/licenses/by-sa/4.0/","aenderungen":"Diese Dateien sind eine Bearbeitung des Originals und keine Datei des BSI. Sie wurden von grundschutz-docs.de aus dem Katalog erzeugt: Auswahl der Felder, Texte ohne Formatierung, Parameter als [Platzhalter], Zielobjektkategorien, Ergebnis, Dokument, Gefährdungen und die ID der Vorgänger-Anforderung aus dem Mapping ergänzt, Spalten für die eigene Arbeit angehängt. Der Inhalt der Anforderungen ist nicht verändert.","dokumente":"Das Excel-Blatt \"Dokumente\" fasst zusammen, in welchen Dokumenten der Katalog Ergebnisse festhalten lässt. Beschreibung, Kategorie und Zielgruppe eines Dokumenttyps stammen aus documentation_guidelines.csv des BSI (ebenfalls CC BY-SA 4.0). Sie werden einem Dokumenttyp nur zugeordnet, wenn der Name dort exakt vorkommt oder sich nur in Groß-/Kleinschreibung, Leerzeichen und Bindestrichen unterscheidet; die Spalte \"Hinweis zur Beschreibung\" sagt, wie es zustande kam. Bei allen anderen Dokumenttypen bleibt die Beschreibung leer.","eigene_werte":"Umsetzungsstatus: Erfüllt, Nicht erfüllt und Nicht anwendbar sind die Statuswerte des BSI-Standards 300-1 (4.1.1). \"In Umsetzung\" ergänzt grundschutz-docs.de, weil der Standard Anforderungen kennt, die noch nicht erfüllt, aber schon in der Umsetzungsplanung sind. Die Liste \"Vorhanden\" (Ja, Teilweise, Nein) ist eine Wahl von grundschutz-docs.de und stammt nicht aus dem Katalog oder dem Standard des BSI.","weitergabe":"Die Bearbeitung steht ebenfalls unter CC BY-SA 4.0. Wer sie weitergibt, nennt das BSI als Urheber, verweist auf die Lizenz und gibt eigene Änderungen an.","nicht_enthalten":"Text des IT-Grundschutz-Kompendiums 2023 und des BSI-Standards 300-1. Für diese gelten die Nutzungsbedingungen des BSI, nicht CC BY-SA. In der Spalte \"Vorgänger im Kompendium 2023\" stehen nur die IDs der alten Anforderungen.","hinweis":"Diese Dateien sind kein offizielles Angebot des BSI und keine Rechtsberatung."},"spalten":["ID","Titel","Praktik","Anforderung","Pflichtgrad","Sicherheitsstufe","Aufwand","Zielobjektkategorien","Gilt auch für Unterkategorien","Ergebnis","Dokumentiert in","Gefährdungen","Vorgänger im Kompendium 2023","Seite"],"arbeitsspalten":["Umsetzungsstatus","Verantwortlich","Frist","Bemerkung"],"praktiken":[{"id":"GC","titel":"Governance und Compliance"},{"id":"STM","titel":"Strukturmodellierung"},{"id":"UMS","titel":"Umsetzung"},{"id":"VRB","titel":"Verbesserung"},{"id":"PERF","titel":"Monitoring-Evaluation"},{"id":"RISK","titel":"Risikomanagement"},{"id":"ASST","titel":"Informationen und Assets"},{"id":"PERS","titel":"Personal"},{"id":"BES","titel":"Beschaffungsmanagement"},{"id":"DLS","titel":"Dienstleistersteuerung"},{"id":"TEST","titel":"Änderungen und Tests"},{"id":"GEB","titel":"Gebäudemanagement"},{"id":"SENS","titel":"Sensibilisierung"},{"id":"ARCH","titel":"Architektur"},{"id":"BER","titel":"Berechtigung"},{"id":"NOT","titel":"Notfallplanung"},{"id":"DET","titel":"Detektion"},{"id":"REA","titel":"Sicherheitsvorfallsbehandlung"},{"id":"KONF","titel":"Konfiguration"},{"id":"DEV","titel":"Entwicklung"}],"anforderungen":[{"id":"GC.1.1","titel":"Errichtung und Aufrechterhaltung eines ISMS","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS Verfahren und Regelungen zur Errichtung und Aufrechterhaltung eines ISMS nach [BSI Grundschutz++] verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Errichtung und Aufrechterhaltung eines ISMS","dokument":"ISMS-Regelwerk","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.1.1"},{"id":"GC.1.2","titel":"Freigabe des ISMS","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS alle festgelegten Verfahren für das ISMS durch die Institutionsleitung autorisieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle festgelegten Verfahren für das ISMS","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.1.2"},{"id":"GC.2.1","titel":"Festlegung des externen Kontextes der Institution","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS alle für das Informationssicherheitsmanagement relevanten externen Rahmenbedingungen analysieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle für das Informationssicherheitsmanagement relevanten externen Rahmenbedingungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.2.1"},{"id":"GC.2.2","titel":"Festlegung des internen Kontextes der Institution","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS alle für das Informationssicherheitsmanagement relevanten internen Rahmenbedingungen analysieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle für das Informationssicherheitsmanagement relevanten internen Rahmenbedingungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.2.2"},{"id":"GC.3.1","titel":"Verfahren und Regelungen","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS ein Verfahren zur systematischen Erfassung und Verwaltung von Compliance-Verpflichtungen unter Einbezug der jeweiligen Priorität für das ISMS verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur systematischen Erfassung und Verwaltung von Compliance-Verpflichtungen","dokument":"Compliance-Verpflichtungen","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.3.1"},{"id":"GC.3.1.1","titel":"Gesetzliche Verpflichtungen","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS gesetzliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, analysieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"gesetzliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen,","dokument":"Compliance-Verpflichtungen","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.3.1.1"},{"id":"GC.3.1.2","titel":"Anhörung zuständiger Stellen","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance SOLLTE für die Einhaltung gesetzlicher Verpflichtungen in der Informationsverarbeitung zuständige Stellen in der Institution anhören.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für die Einhaltung gesetzlicher Verpflichtungen in der Informationsverarbeitung zuständige Stellen in der Institution","dokument":"Compliance-Verpflichtungen","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.3.1.2"},{"id":"GC.3.1.3","titel":"Vertragliche Verpflichtungen","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance SOLLTE vertragliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, analysieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"vertragliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen,","dokument":"Compliance-Verpflichtungen","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.3.1.3"},{"id":"GC.3.1.4","titel":"Prävention von Verstößen","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance SOLLTE Verfahren zur Prävention gegen Verstöße verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren zur Prävention gegen Verstöße","dokument":"Arbeitsanweisung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.3.1.4"},{"id":"GC.4.1","titel":"Analyse der externen interessierten Parteien","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS alle externen interessierten Parteien sowie ihre Bedürfnisse und Erwartungen an das Informationssicherheitsmanagement der Institution analysieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle externen interessierten Parteien sowie ihre Bedürfnisse und Erwartungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.4.1"},{"id":"GC.4.2","titel":"Analyse der internen interessierten Parteien","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS alle internen interessierten Parteien sowie ihre Bedürfnisse und Erwartungen an das Informationssicherheitsmanagement der Institution analysieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle internen interessierten Parteien sowie ihre Bedürfnisse und Erwartungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.4.2"},{"id":"GC.5.1","titel":"Festlegung von Zielen für die Informationssicherheit","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS konkrete und messbare Ziele für die Informationssicherheit auf Basis der identifizierten Rahmenbedingungen festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"konkrete und messbare Ziele für die Informationssicherheit","dokument":"Informationssicherheitsstrategie","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.5.1"},{"id":"GC.5.1.1","titel":"Festlegung einer Sicherheitsstrategie","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS eine grundlegende Strategie zur Erreichung der Ziele für die Informationssicherheit gemeinsam mit der Institutionsleitung festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine grundlegende Strategie zur Erreichung der Ziele für die Informationssicherheit","dokument":"Informationssicherheitsstrategie","gefaehrdungen":[],"vorgaenger":["ORP.2.A3-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.5.1.1"},{"id":"GC.5.1.2","titel":"Verpflichtung der Institutionsleitung","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS die Verpflichtung der Institutionsleitung zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verpflichtung der Institutionsleitung","dokument":"Leitungsentscheidung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.5.1.2"},{"id":"GC.5.1.3","titel":"Erstellung einer Sicherheitsleitlinie","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS eine für die Institution passende Sicherheitsleitlinie festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine für die Institution passende Sicherheitsleitlinie","dokument":"Informationssicherheitsleitlinie","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.5.1.3"},{"id":"GC.5.1.4","titel":"Freigabe der Sicherheitsleitlinie","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS die festgelegte Sicherheitsleitlinie durch die Institutionsleitung autorisieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die festgelegte Sicherheitsleitlinie","dokument":"Informationssicherheitsleitlinie","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.5.1.4"},{"id":"GC.6.1","titel":"Festlegung des Geltungsbereichs","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS den nachvollziehbar abgegrenzten Geltungsbereich nach Freigabe der Institutionsleitung festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den nachvollziehbar abgegrenzten Geltungsbereich","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.6.1"},{"id":"GC.7.1","titel":"Vorgehen bei der Informationssicherheitseinstufung","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS ein Verfahren für die Festlegung von Geschäftsprozessen und die Einstufung des Schutzbedarfs dieser Geschäftsprozesse oder den hierbei verarbeiteten Informationen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren für die Festlegung von Geschäftsprozessen und die Einstufung des Schutzbedarfs","dokument":"","gefaehrdungen":[],"vorgaenger":["APP.3.2.A7-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.7.1"},{"id":"GC.7.1.1","titel":"Festlegung der Geschäftsprozesse","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS die Geschäftsprozesse oder Informationen die für den Geltungsbereich relevant sind festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Geschäftsprozesse oder Informationen","dokument":"Geschäftsprozesse","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.7.1.1"},{"id":"GC.7.1.2","titel":"Festlegung des Schutzbedarfs","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS eine Einstufung des Schutzbedarfs der relevanten Geschäftsprozesse oder Informationen unter Berücksichtigung der Geschäftsziele und in Absprache mit der Institutionsleitung festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Einstufung des Schutzbedarfs der relevanten Geschäftsprozesse oder Informationen","dokument":"Schutzbedarfsfeststellung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.7.1.2"},{"id":"GC.7.2","titel":"Geschäftsprozesse mit hohem Schutzbedarf","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS eine dedizierte Risikobetrachtung von Geschäftsprozessen oder Informationen mit hohem Schutzbedarf entsprechend der gewählten Methodik für das Informationssicherheitsrisikomanagement ausführen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine dedizierte Risikobetrachtung von Geschäftsprozessen oder Informationen mit hohem Schutzbedarf","dokument":"Risikobetrachtung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.7.2"},{"id":"GC.8.1","titel":"Verfahren zur Ressourcenplanung","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS ein Verfahren zur kontinuierlichen, wirtschaftlichen Planung von Ressourcen für das ISMS verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur kontinuierlichen, wirtschaftlichen Planung von Ressourcen für das ISMS","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.8.1"},{"id":"GC.9.1","titel":"Festlegung einer Sicherheitsorganisation","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS die Sicherheitsorganisation für das ISMS unter Einbezug von Rollen, Zuständigkeiten sowie Gremien festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Sicherheitsorganisation für das ISMS","dokument":"Sicherheitsorganisation","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1"},{"id":"GC.9.1.1","titel":"Festlegung von Rollen und Zuständigkeiten","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS die [Rollen und Zuständigkeiten] im Rahmen des ISMS inklusive ihrer Kompetenzen bzw. Befugnisse zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die {{Rollen und Zuständigkeiten}} im Rahmen des ISMS","dokument":"Tätigkeits- & Rollenbeschreibung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1"},{"id":"GC.9.1.1.1","titel":"Informationssicherheitsbeauftragter","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS die Zuständigkeit für Informationssicherheit [einer unabhängigen Person] , welche unmittelbar der Institutionsleitung unterstellt ist, zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Zuständigkeit für Informationssicherheit {{einer unabhängigen Person}}","dokument":"Sicherheitsorganisation","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1.1"},{"id":"GC.9.1.1.1.1","titel":"Ressourcen für den Informationssicherheitsbeauftragten","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS dem Informationssicherheitsbeauftragten hinreichende Ressourcen zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"dem Informationssicherheitsbeauftragten hinreichende Ressourcen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1.1.1"},{"id":"GC.9.1.1.1.2","titel":"Vorspracherecht","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS das direkte Vorspracherecht des Informationssicherheitsbeauftragten bei der Institutionsleitung verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"das direkte Vorspracherecht des Informationssicherheitsbeauftragten bei der Institutionsleitung","dokument":"Tätigkeits- & Rollenbeschreibung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1.1.2"},{"id":"GC.9.1.1.2","titel":"Stellvertreterregelungen","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS Stellvertreterregelungen für alle relevanten Rollen und Zuständigkeiten im ISMS zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Stellvertreterregelungen für alle relevanten Rollen und Zuständigkeiten im ISMS","dokument":"Geschäftsverteilungsplan","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1.2"},{"id":"GC.9.1.1.3","titel":"Vermeidung von Interessenkonflikten","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS Maßnahmen zur Vermeidung von Interessenkonflikten bei der Festlegung von Rollen und Zuständigkeiten des ISMS festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Maßnahmen zur Vermeidung von Interessenkonflikten bei der Festlegung von Rollen und Zuständigkeiten des ISMS","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1.3"},{"id":"GC.9.1.1.4","titel":"Sicherstellung der Qualifikation","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS für jeden Rollen- und Verantwortungsträger die erforderlichen Anforderungen und Fähigkeiten festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für jeden Rollen- und Verantwortungsträger die erforderlichen Anforderungen und Fähigkeiten","dokument":"Tätigkeits- & Rollenbeschreibung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.9.1.1.4"},{"id":"GC.10.1","titel":"Festlegung eines Verfahrens zum Kommunikationsmanagement","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS ein Verfahren zum Kommunikationsmanagement hinsichtlich der internen und externen Kommunikation verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zum Kommunikationsmanagement","dokument":"Übersicht der Kommunikationspartner","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.10.1"},{"id":"GC.10.1.1","titel":"Externer Austausch zur Informationssicherheit","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance SOLLTE einen externen Austausch zur Informationssicherheit verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen externen Austausch zur Informationssicherheit","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.10.1.1"},{"id":"GC.10.1.2","titel":"Kommunikation im Projektmanagement","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS bei sicherheitsrelevanten Projekten die Beteiligung [der relevanten Sicherheitsorgane] zu festgelegten Zeitpunkten im Projektverlauf verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bei sicherheitsrelevanten Projekten die Beteiligung {{der relevanten Sicherheitsorgane}}","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.10.1.2"},{"id":"GC.11.1","titel":"Dokumentenlenkung","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS ein Verfahren zur Lenkung der Dokumente im Rahmen des ISMS über ihren kompletten Lebenszyklus hinweg verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Lenkung der Dokumente im Rahmen des ISMS","dokument":"Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.11.1"},{"id":"GC.12.1","titel":"Methodik für das Risikomanagement","praktik_id":"GC","praktik":"GC Governance und Compliance","anforderung":"Governance und Compliance MUSS [eine einheitliche Methodik] für das Informationssicherheitsrisikomanagement unter Berücksichtigungen von Kontext, Geschäftsprozessanalyse und interessierten Parteien verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"{{eine einheitliche Methodik}} für das Informationssicherheitsrisikomanagement","dokument":"Risikobetrachtung","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/gc/#GC.12.1"},{"id":"STM.1.1","titel":"Definition und Abgrenzung des Informationsverbunds","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS den nachvollziehbar abgegrenzten Informationsverbund auf Basis des Geltungsbereichs festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den nachvollziehbar abgegrenzten Informationsverbund","dokument":"Informationsverbund","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.1.1"},{"id":"STM.1.2","titel":"Dokumentation der externen Schnittstellen","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS Schnittstellen des Informationsverbunds zu externen Prozessen festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Schnittstellen des Informationsverbunds","dokument":"Informationsverbund","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.1.2"},{"id":"STM.2.1","titel":"Erstellung eines Anforderungspakets","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS ein Anforderungspaket für den betrachteten Informationsverbund modellieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Anforderungspaket","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1"},{"id":"STM.2.1.1","titel":"ISMS-Anforderungen","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS alle Anforderungen der ISMS-Praktiken auf den vorliegenden Informationsverbund modellieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle Anforderungen der ISMS-Praktiken","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.1"},{"id":"STM.2.1.2","titel":"Erfassung relevanter Assets","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS alle relevanten Assets für die betrachteten Geschäftsprozesse festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle relevanten Assets für die betrachteten Geschäftsprozesse","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.2"},{"id":"STM.2.1.3","titel":"Mapping der Assets auf Zielobjektkategorien","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS allen relevanten Assets eine oder mehrere Zielobjektkategorien zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"allen relevanten Assets eine oder mehrere Zielobjektkategorien","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.3"},{"id":"STM.2.1.4","titel":"Modellierung der Anforderungen mit Zielobjektkategorie","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS die den Zielobjektkategorien zugehörigen Anforderungen auf die zugewiesenen Assets modellieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die den Zielobjektkategorien zugehörigen Anforderungen auf die zugewiesenen Assets","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.4"},{"id":"STM.2.1.4.1","titel":"Vererbung von Zielobjektkategorien","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS die in der Hierarchie übergeordneten Zielobjektkategorien ebenfalls dem jeweiligen Asset die in der Zielobjekthierarchie übergeordnet sind zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die in der Hierarchie übergeordneten Zielobjektkategorien ebenfalls dem jeweiligen Asset","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.4.1"},{"id":"STM.2.1.4.2","titel":"Konsolidierung und Redundanzprüfung","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS eine Konsolidierung und Redundanzprüfung des Anforderungspakets ausführen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Konsolidierung und Redundanzprüfung des Anforderungspakets","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.4.2"},{"id":"STM.2.1.5","titel":"Modellierung der Anforderungen ohne Zielobjektkategorie","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS alle weiteren Anforderungen denen keine Zielobjektkategorie zugeordnet ist modellieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle weiteren Anforderungen","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.5"},{"id":"STM.2.1.6","titel":"Aufgrund anforderungsloser Assets","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS für Assets, für die es noch keine passenden GS++-Anforderungen gibt, zusätzliche Anforderungen dem Anforderungspaket zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für Assets, für die es noch keine passenden GS++-Anforderungen gibt, zusätzliche Anforderungen","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.6"},{"id":"STM.2.1.7","titel":"Aufgrund externer Verpflichtungen","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS für das individuelle Compliance-Umfeld der Institution zusätzliche Anforderungen dem Anforderungspaket zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für das individuelle Compliance-Umfeld der Institution zusätzliche Anforderungen","dokument":"Anforderungspaket","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.2.1.7"},{"id":"STM.3.1","titel":"Überprüfung des gesetzten Sicherheitsniveaus","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung SOLLTE die initiale Einstufung der Sicherheitsniveaus der Anforderungen im Anforderungspaket bei Abweichungen des Kontextes der Institution überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die initiale Einstufung der Sicherheitsniveaus der Anforderungen im Anforderungspaket","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.3.1"},{"id":"STM.4.1","titel":"Durchführung der Risikobetrachtung","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS eine Risikobetrachtung bei durch die GS++-Methodik festgeleger Notwendigkeit ausführen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Risikobetrachtung","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.4.1"},{"id":"STM.5.1","titel":"Setzen von Parametern","praktik_id":"STM","praktik":"STM Strukturmodellierung","anforderung":"Strukturmodellierung MUSS bei Anforderungen mit Parametern konkrete Werte zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bei Anforderungen mit Parametern","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/stm/#STM.5.1"},{"id":"UMS.1.1","titel":"Ermittlung des Umsetzungsstatus","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS den Umsetzungsstatus der Anforderungen im Anforderungspaket vollständig [regelmäßig] überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Umsetzungsstatus der Anforderungen","dokument":"","gefaehrdungen":[],"vorgaenger":["APP.4.3.A1-UA.6 (Teilbereich von)","DER.2.3.A7-UA.6 (Teilbereich von)","DER.3.1.A4-UA.1 (identisch mit)","DER.3.2.A14-UA.2 (Teilbereich von)","DER.3.2.A19-UA.2 (Teilbereich von)","DER.3.2.A22-UA.3 (Teilbereich von)","INF.13.A6-UA.4 (Teilbereich von)","ISMS.1.A10-UA.7 (überschneidet sich mit)","ISMS.1.A2-UA.5 (überschneidet sich mit)","ISMS.1.A6-UA.8 (überschneidet sich mit)","NET.1.1.A14-UA.2 (überschneidet sich mit)","NET.1.1.A15-UA.2 (Teilbereich von)","NET.2.1.A14-UA.1 (Teilbereich von)","NET.2.2.A1-UA.7 (Teilbereich von)","NET.3.2.A1-UA.5 (Teilbereich von)","OPS.1.1.5.A1-UA.8 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.1.1"},{"id":"UMS.1.2","titel":"Bewertung des Restrisikos","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung SOLLTE das bestehende Restrisiko durch die nicht umgesetzten Anforderungen festlegen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"das bestehende Restrisiko durch die nicht umgesetzten Anforderungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.1.2"},{"id":"UMS.2.1","titel":"Umsetzungsplanung","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS Maßnahmen für die Umsetzung der bisher nicht umgesetzten Anforderungen des Anforderungspakets gemäß einer strukturierten Vorgehensweise festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Maßnahmen für die Umsetzung der bisher nicht umgesetzten Anforderungen des Anforderungspakets","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":["DER.3.1.A19-UA.1 (Teilbereich von)","DER.3.2.A14-UA.2 (überschneidet sich mit)","DER.3.2.A19-UA.1 (identisch mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.2.1"},{"id":"UMS.2.2","titel":"Priorisierung von Maßnahmen","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS eine Priorisierung der festgelegten Maßnahmen auf Basis der Risikobewertung, Abhängigkeiten und Ressourcenverfügbarkeit festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Priorisierung der festgelegten Maßnahmen","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.2.2"},{"id":"UMS.3.1","titel":"Benennung von Umsetzungszuständigen","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS Zuständige für die Umsetzung der bisher nicht erfüllten Anforderungen eindeutig zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Zuständige für die Umsetzung der bisher nicht erfüllten Anforderungen","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":["DER.2.3.A7-UA.5 (Teilbereich von)","DER.3.1.A4-UA.1 (überschneidet sich mit)","DER.3.1.A6-UA.2 (überschneidet sich mit)","ISMS.1.A10-UA.5 (überschneidet sich mit)","ISMS.1.A10-UA.6 (Teilbereich von)","ISMS.1.A7-UA.1 (überschneidet sich mit)","NET.1.1.A13-UA.1 (Teilbereich von)","OPS.1.1.7.A2-UA.2 (umfasst)","OPS.1.1.7.A9-UA.1 (überschneidet sich mit)","ORP.5.A2-UA.4 (umfasst)","ORP.5.A4-UA.5 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.3.1"},{"id":"UMS.4.1","titel":"Festlegung von Umsetzungsfristen","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS ein realistisches Zieldatum für die Umsetzung der bisher nicht umgesetzten Anforderungen festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein realistisches Zieldatum für die Umsetzung der bisher nicht umgesetzten Anforderungen","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":["APP.6.A1-UA.3 (umfasst)","IND.2.7.A5-UA.2 (überschneidet sich mit)","OPS.1.1.1.A1-UA.2 (umfasst)","ORP.1.A2-UA.1 (umfasst)","ORP.1.A2-UA.2 (überschneidet sich mit)","ORP.2.A3-UA.1 (überschneidet sich mit)","ORP.5.A2-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.4.1"},{"id":"UMS.5.1","titel":"Autorisierung von Ausnahmen","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS Ausnahmegenehmigungen für Verpflichtungen durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Ausnahmegenehmigungen für Verpflichtungen","dokument":"","gefaehrdungen":[],"vorgaenger":["CON.11.1.A5-UA.4 (überschneidet sich mit)","IND.3.2.A3-UA.2 (Teilbereich von)","ORP.5.A5-UA.1 (Teilbereich von)","ORP.5.A5-UA.2 (Teilbereich von)","ORP.5.A5-UA.3 (überschneidet sich mit)","ORP.5.A5-UA.5 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.5.1"},{"id":"UMS.5.2","titel":"Dokumentation von Ausnahmen","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS Ausnahmegenehmigungen mit Begründung dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Ausnahmegenehmigungen","dokument":"Freigegebene Ausnahmegenehmigung","gefaehrdungen":[],"vorgaenger":["APP.2.2.A3-UA.3 (Teilbereich von)","APP.4.6.A6-UA.3 (Teilbereich von)","ISMS.1.A12-UA.6 (überschneidet sich mit)","ISMS.1.A13-UA.2 (überschneidet sich mit)","ORP.5.A5-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.5.2"},{"id":"UMS.6.1","titel":"Nachverfolgung des Umsetzungsfortschritts","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS ein Verfahren für die Nachverfolgung der Umsetzung von Maßnahmen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren für die Nachverfolgung der Umsetzung von Maßnahmen","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":["APP.4.3.A1-UA.6 (überschneidet sich mit)","CON.7.A1-UA.5 (Teilbereich von)","DER.3.1.A4-UA.1 (überschneidet sich mit)","DER.3.1.A6-UA.2 (überschneidet sich mit)","DER.3.2.A22-UA.2 (Teilbereich von)","DER.3.2.A22-UA.3 (Teilbereich von)","DER.4.A14-UA.6 (umfasst)","IND.1.A11-UA.7 (überschneidet sich mit)","ISMS.1.A10-UA.7 (Teilbereich von)","ISMS.1.A2-UA.5 (überschneidet sich mit)","NET.3.2.A1-UA.5 (überschneidet sich mit)","OPS.1.1.1.A12-UA.1 (überschneidet sich mit)","OPS.1.1.1.A12-UA.5 (Teilbereich von)","OPS.1.1.1.A12-UA.6 (Teilbereich von)","OPS.1.1.1.A12-UA.7 (Teilbereich von)","OPS.1.1.5.A1-UA.8 (überschneidet sich mit)","ORP.5.A4-UA.5 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.6.1"},{"id":"UMS.6.2","titel":"Fortschreibung des Umsetzungsplans","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS ein Verfahren zur Fortschreibung des Umsetzungsplans verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Fortschreibung des Umsetzungsplans","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":["CON.11.1.A2-UA.4 (Teilbereich von)","DER.3.2.A1-UA.2 (überschneidet sich mit)","DER.3.2.A22-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.6.2"},{"id":"UMS.7.1","titel":"Wahrung von Compliance in der Umsetzung","praktik_id":"UMS","praktik":"UMS Umsetzung","anforderung":"Umsetzung MUSS ein Verfahren zur Überprüfung von Compliance im Umsetzungsprozess verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Überprüfung von Compliance im Umsetzungsprozess","dokument":"Compliance-Verpflichtungen","gefaehrdungen":[],"vorgaenger":["CON.11.1.A2-UA.4 (überschneidet sich mit)","DER.3.1.A4-UA.1 (überschneidet sich mit)","DER.3.1.A5-UA.2 (überschneidet sich mit)","ISMS.1.A11-UA.2 (überschneidet sich mit)","ISMS.1.A2-UA.5 (überschneidet sich mit)","ORP.5.A4-UA.5 (umfasst)","ORP.5.A8-UA.1 (umfasst)","ORP.5.A8-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ums/#UMS.7.1"},{"id":"VRB.1.1","titel":"Verfahren zur kontinuierlichen Verbesserung","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS ein Verfahren zur kontinuierlichen Verbesserung des ISMS verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur kontinuierlichen Verbesserung des ISMS","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.3.1.A1-UA.3 (Teilbereich von)","DER.3.1.A5-UA.3 (Teilbereich von)","DER.3.1.A7-UA.4 (Teilbereich von)","DER.3.2.A1-UA.2 (überschneidet sich mit)","DER.3.2.A9-UA.2 (Teilbereich von)","DER.3.2.A9-UA.3 (Teilbereich von)","ISMS.1.A11-UA.1 (umfasst)","ISMS.1.A2-UA.5 (entspricht)","ISMS.1.A6-UA.8 (Teilbereich von)","ISMS.1.A9-UA.2 (überschneidet sich mit)","OPS.1.1.5.A1-UA.8 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.1.1"},{"id":"VRB.2.1","titel":"Umgang mit Nicht-Konformitäten","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS eine Methode zur Überprüfung von Nicht-Konformitäten hinsichtlich Ursachen und Wiederauftreten festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Methode zur Überprüfung von Nicht-Konformitäten","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.3.2.A9-UA.3 (Teilbereich von)","DER.4.A14-UA.4 (Teilbereich von)","DER.4.A15-UA.4 (Teilbereich von)","IND.3.2.A3-UA.2 (überschneidet sich mit)","NET.2.1.A10-UA.5 (Teilbereich von)","NET.3.2.A1-UA.5 (Teilbereich von)","OPS.1.1.4.A2-UA.3 (Teilbereich von)","OPS.1.1.5.A1-UA.8 (Teilbereich von)","ORP.5.A2-UA.5 (Teilbereich von)","SYS.3.2.2.A20-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.2.1"},{"id":"VRB.2.2","titel":"Anpassung des ISMS","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS die Notwendigkeit zur Anpassung des ISMS hinsichtlich der Nicht-Konformitäten [regelmäßig] überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Notwendigkeit zur Anpassung des ISMS hinsichtlich der Nicht-Konformitäten","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.2.1.A22-UA.1 (umfasst)","DER.3.1.A5-UA.3 (umfasst)","DER.3.2.A14-UA.2 (überschneidet sich mit)","DER.3.2.A22-UA.4 (Teilbereich von)","DER.3.2.A9-UA.2 (überschneidet sich mit)","ISMS.1.A11-UA.1 (umfasst)","ISMS.1.A11-UA.2 (entspricht)","ISMS.1.A11-UA.8 (überschneidet sich mit)","ISMS.1.A3-UA.6 (umfasst)","ISMS.1.A6-UA.8 (Teilbereich von)","OPS.1.1.7.A18-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.2.2"},{"id":"VRB.3.1","titel":"Identifikation von Verbesserungspotenzialen","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS eine Methode zur Überprüfung und Bewertung von Verbesserungspotentialen unter Berücksichtigung der damit verbundenen Vor- und Nachteile festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Methode zur Überprüfung und Bewertung von Verbesserungspotentialen","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.2.1.A17-UA.4 (Teilbereich von)","DER.2.1.A18-UA.1 (Teilbereich von)","DER.3.1.A15-UA.1 (entspricht)","DER.3.1.A21-UA.1 (Teilbereich von)","DER.3.1.A24-UA.5 (Teilbereich von)","DER.3.1.A5-UA.3 (Teilbereich von)","DER.3.1.A5-UA.5 (umfasst)","DER.3.1.A6-UA.1 (Teilbereich von)","DER.3.1.A6-UA.2 (Teilbereich von)","DER.3.1.A7-UA.4 (entspricht)","DER.3.2.A15-UA.1 (entspricht)","DER.3.2.A9-UA.1 (umfasst)","DER.4.A15-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.3.1"},{"id":"VRB.4.1","titel":"Korrekturmaßnahmen","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.3.1.A4-UA.2 (entspricht)","ISMS.1.A11-UA.8 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.4.1"},{"id":"VRB.4.2","titel":"Verbesserungsmaßnahmen","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS angemessene Maßnahmen zur Nutzung von Verbesserungspotentialen unter Berücksichtigung der damit verbundenen Vor- und Nachteile festlegen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"angemessene Maßnahmen zur Nutzung von Verbesserungspotentialen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.4.2"},{"id":"VRB.5.1","titel":"Priorisierung von Maßnahmen","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS den Maßnahmen zur Korrektur und Verbesserung Prioritäten zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Maßnahmen zur Korrektur und Verbesserung Prioritäten","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.5.1"},{"id":"VRB.6.1","titel":"Überprüfung der erreichten Verbesserung","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung MUSS die Wirksamkeit der umgesetzten Korrektur- und Verbesserungsmaßnahmen [regelmäßig] testen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Wirksamkeit der umgesetzten Korrektur- und Verbesserungsmaßnahmen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.6.1"},{"id":"VRB.6.2","titel":"Bewertung der erreichten Verbesserung","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung SOLLTE ein Verfahren zur Bewertung der erreichten Verbesserung unter Berücksichtigung der damit verbundenen Vor- und Nachteile verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Bewertung der erreichten Verbesserung","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.6.2"},{"id":"VRB.7.1","titel":"Behandlung von Compliance-Verstößen","praktik_id":"VRB","praktik":"VRB Verbesserung","anforderung":"Verbesserung SOLLTE ein Verfahren zur Behandlung von Verstößen unter Berücksichtigung der Betroffenenrechte verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Behandlung von Verstößen","dokument":"Compliance-Verpflichtungen","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/vrb/#VRB.7.1"},{"id":"PERF.1.1","titel":"Verfahren und Regelungen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS Verfahren und Regelungen zur Messung und Bewertung der Leistung des ISMS verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Messung und Bewertung der Leistung des ISMS","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.1.1"},{"id":"PERF.1.2","titel":"Evaluation des Umsetzungsplans","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS die [regelmäßige] Überprüfung und Fortschreibung des Umsetzungsplans in Bezug auf Fortschritt, Fristeinhaltung und inhaltlicher Korrektheit verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die {{regelmäßige}} Überprüfung und Fortschreibung des Umsetzungsplans","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.1.2"},{"id":"PERF.1.3","titel":"Aktualität der Anforderungen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS die Aktualität der Anforderungen [regelmäßig] überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Aktualität der Anforderungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.1.3"},{"id":"PERF.2.1","titel":"Überprüfung der Einhaltung von Verpflichtungen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE die Einhaltung von Verpflichtungen [regelmäßig] sowie anlassbezogen überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Einhaltung von Verpflichtungen","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.2.1"},{"id":"PERF.3.1","titel":"Aufbau und Pflege eines Auditprogramms","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS ein Verfahren zum Aufbau und zur Pflege eines oder mehrerer Auditprogramme verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zum Aufbau und zur Pflege eines oder mehrerer Auditprogramme","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.3.1.A2-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.1"},{"id":"PERF.3.1.1","titel":"Erstellen eines Auditsplans","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE für jedes durchzuführende Audit einen Auditplan festlegen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für jedes durchzuführende Audit einen Auditplan","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.1.1"},{"id":"PERF.3.1.2","titel":"Planen von internen Audits","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS die Planung der internen Audits im Auditprogramm risikoorientiert ausführen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Planung der internen Audits im Auditprogramm","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.1.2"},{"id":"PERF.3.1.3","titel":"Auswahl des Auditteams","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS fachlich geeignete und unabhängige Auditoren zur Gewährleistung der Objektivität und Qualität der Audits anweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"fachlich geeignete und unabhängige Auditoren","dokument":"","gefaehrdungen":[],"vorgaenger":["DER.3.1.A1-UA.1 (überschneidet sich mit)","DER.3.2.A5-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.1.3"},{"id":"PERF.3.1.4","titel":"Umfang von Audits","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS in angemessenem Umfang Audits ausführen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"in angemessenem Umfang Audits","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.1.4"},{"id":"PERF.3.2","titel":"Dokumentation von Auditergebnissen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS ein Verfahren zur Erstellung aussagekräftiger Auditberichte verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Erstellung aussagekräftiger Auditberichte","dokument":"Auditbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.2"},{"id":"PERF.3.2.1","titel":"Einheitliches Bewertungsschema","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE für Feststellungen in Audits ein einheitliches Bewertungsschema festlegen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für Feststellungen in Audits ein einheitliches Bewertungsschema","dokument":"Auditbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.2.1"},{"id":"PERF.3.2.2","titel":"Kommunikation an Stakeholder","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS alle relevanten Stakeholder über die Auditergebnisse informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle relevanten Stakeholder über die Auditergebnisse","dokument":"Auditbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.3.2.2"},{"id":"PERF.4.1","titel":"Eignungsprüfung","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS Ergebnisse der Überprüfungen der Eignung, Angemessenheit und Wirksamkeit des ISMS der Institution [regelmäßig] sowie anlassbezogen in einem Managementbericht dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Ergebnisse der Überprüfungen der Eignung, Angemessenheit und Wirksamkeit des ISMS der Institution","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":["DER.3.1.A22-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1"},{"id":"PERF.4.1.1","titel":"Ergebnisse von Folgemaßnahmen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE den Status von Folgemaßnahmen vorangegangener Managementbewertungen als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Status von Folgemaßnahmen vorangegangener Managementbewertungen","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.1"},{"id":"PERF.4.1.2","titel":"Geänderte Rahmenbedingungen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE veränderte Rahmenbedingungen mit Auswirkungen auf das Informationssicherheitsmanagement als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"veränderte Rahmenbedingungen mit Auswirkungen auf das Informationssicherheitsmanagement","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.2"},{"id":"PERF.4.1.3","titel":"Erfolge und Probleme","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE bisherige Erfolge und Probleme (z. B. Sicherheitsvorfälle) beim Informationssicherheitsprozess als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bisherige Erfolge und Probleme (z. B. Sicherheitsvorfälle) beim Informationssicherheitsprozess","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.3"},{"id":"PERF.4.1.4","titel":"Interne Überprüfungen und Audits","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE Auditberichte als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Auditberichte","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.4"},{"id":"PERF.4.1.5","titel":"Eignungsprüfung bisheriger Sicherheitsmaßnahmen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE eine Evaluation der Eignung umgesetzter Sicherheitsmaßnahmen zur Erreichung der Sicherheitsziele oder ob Maßnahmen geändert oder ergänzt werden müssen als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Evaluation der Eignung umgesetzter Sicherheitsmaßnahmen zur Erreichung der Sicherheitsziele oder ob Maßnahmen geändert oder ergänzt werden müssen","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.5"},{"id":"PERF.4.1.6","titel":"Rückmeldung von Stakeholdern","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE die Bewertung von Rückmeldungen von Kunden, Geschäftspartnern, Mitarbeitern oder der Öffentlichkeit zu Sicherheitsaspekten als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Bewertung von Rückmeldungen von Kunden, Geschäftspartnern, Mitarbeitern oder der Öffentlichkeit zu Sicherheitsaspekten","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.6"},{"id":"PERF.4.1.7","titel":"Status des Realisierungsplans","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE die erfolgreiche Umsetzung von Maßnahmen und des damit verringerten Risikos (Status des Umsetzungsplans) als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die erfolgreiche Umsetzung von Maßnahmen und des damit verringerten Risikos (Status des Umsetzungsplans)","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.7"},{"id":"PERF.4.1.8","titel":"Verbesserungen","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation SOLLTE die aufgrund der Überprüfung abgeleitete Verbesserungen des ISMS als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die aufgrund der Überprüfung abgeleitete Verbesserungen des ISMS","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.8"},{"id":"PERF.4.1.9","titel":"Maßnahmenvorschläge","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS priorisierte Maßnahmenvorschläge mit realistischen Abschätzungen zum erwarteten Umsetzungsaufwand als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"priorisierte Maßnahmenvorschläge mit realistischen Abschätzungen zum erwarteten Umsetzungsaufwand","dokument":"Managementbericht","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.1.9"},{"id":"PERF.4.2","titel":"Bericht an die Institutionsleitung","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS die Institutionsleitung über den Stand des Managementsystems [regelmäßig] anhand des Managementberichtes informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Institutionsleitung über den Stand des Managementsystems","dokument":"","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.4.2"},{"id":"PERF.5.1","titel":"Methoden und Tools","praktik_id":"PERF","praktik":"PERF Monitoring-Evaluation","anforderung":"Monitoring-Evaluation MUSS effektive Monitoring-Methoden und -tools zur [regelmäßigen] Überwachung der Informationssicherheit verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"effektive Monitoring-Methoden und -tools","dokument":"","gefaehrdungen":[],"vorgaenger":["ISMS.1.A11-UA.5 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/perf/#PERF.5.1"},{"id":"RISK.1.1","titel":"Methodik für das Risikomanagement","praktik_id":"RISK","praktik":"RISK Risikomanagement","anforderung":"Risikomanagement MUSS einheitliche Methoden nach [einem anerkannten Standard] verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einheitliche Methoden","dokument":"Richtlinie zur Risikoanalyse","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/risk/#RISK.1.1"},{"id":"RISK.1.3","titel":"Risikoeigentümer","praktik_id":"RISK","praktik":"RISK Risikomanagement","anforderung":"Risikomanagement MUSS die Rolle des Risikoeigentümers mit den notwendigen Aufgaben und Befugnissen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Rolle des Risikoeigentümers","dokument":"Richtlinie zur Risikoanalyse","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/risk/#RISK.1.3"},{"id":"RISK.1.5","titel":"Freigabe des Risikomanagements","praktik_id":"RISK","praktik":"RISK Risikomanagement","anforderung":"Risikomanagement MUSS Verfahren, Rollendefinitionen und Kriterien durch die Institutionsleitung autorisieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren, Rollendefinitionen und Kriterien","dokument":"Richtlinie zur Risikoanalyse","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/risk/#RISK.1.5"},{"id":"RISK.1.10","titel":"Freigabe der Umsetzungsplanung","praktik_id":"RISK","praktik":"RISK Risikomanagement","anforderung":"Risikomanagement MUSS die Umsetzungsplanung durch die Risikoeigentümer autorisieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Umsetzungsplanung","dokument":"Umsetzungsplan","gefaehrdungen":[],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/risk/#RISK.1.10"},{"id":"ASST.1.1","titel":"Verfahren und Regelungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets MUSS Verfahren und Regelungen zum Management von Informationen und damit verbundener Assets verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zum Management von Informationen und damit verbundener Assets","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.1.1"},{"id":"ASST.1.1.1","titel":"Dokumentation","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.1.1.1"},{"id":"ASST.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.1.1.2"},{"id":"ASST.1.1.3","titel":"Bekanntgabe","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.1.1.3"},{"id":"ASST.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.1.2"},{"id":"ASST.2.1","titel":"Inventar der Informationen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE ein Inventar der Informationen und damit verbundener Assets dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Inventar der Informationen und damit verbundener Assets","dokument":"Inventar Informationen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.1"},{"id":"ASST.2.1.1","titel":"Informationsverantwortung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE die Zuständigkeit für deren Verarbeitung [einer zuständigen Person oder Rolle] zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Zuständigkeit für deren Verarbeitung","dokument":"Inventar Informationen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.1.1"},{"id":"ASST.2.2","titel":"Inventar der Systeme","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE ein Inventar der IT-Systeme einschließlich Identifikationsbezeichnung und letztem bekannten Verbleib dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Inventar der IT-Systeme","dokument":"Inventar IT-Systeme","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":["IND.1.A4-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.2"},{"id":"ASST.2.2.1","titel":"Aufdecken unautorisierter IT-Systeme","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Netze SOLLTE das Aufdecken unautorisierter IT-Systeme verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"das Aufdecken unautorisierter IT-Systeme","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.2.1"},{"id":"ASST.2.3","titel":"Inventar der Anwendungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE ein Inventar der Anwendungen einschließlich Produktname, Versionsstand, Herkunft und Lizenzierung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Inventar der Anwendungen","dokument":"Inventar Anwendungen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":["IND.1.A4-UA.2 (überschneidet sich mit)","IND.1.A4-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.3"},{"id":"ASST.2.3.1","titel":"Autorisierung von Anwendungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE die Nutzung von Anwendungen auf diesen durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Nutzung von Anwendungen auf diesen","dokument":"Inventar Anwendungen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.3.1"},{"id":"ASST.2.3.2","titel":"Software Bill of Materials (SBOM)","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Anwendungen SOLLTE die Software Bill of Materials (SBOM) dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Software Bill of Materials (SBOM)","dokument":"Inventar Anwendungen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.3.2"},{"id":"ASST.2.3.2.1","titel":"Software Discovery","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets KANN die Aktualität des Inventars der Anwendungen durch ein automatisiertes Verfahren [regelmäßig oder bei Änderungen] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Aktualität des Inventars der Anwendungen durch ein automatisiertes Verfahren","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.3.2.1"},{"id":"ASST.2.4","titel":"Klassifizierung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE diese einer Schutzbedarfsklasse zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"diese einer Schutzbedarfsklasse","dokument":"Inventar Informationen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.19 – Offenlegung schützenswerter Informationen","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.2.4"},{"id":"ASST.3.1","titel":"Nutzungsvereinbarungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Nutzende SOLLTE diese zu den Regelungen der Nutzung von Informationen und anderen Assets anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"diese zu den Regelungen der Nutzung von Informationen und anderen Assets","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.1"},{"id":"ASST.3.1.1","titel":"Weitergabe nur bei Erforderlichkeit","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Nutzende SOLLTE zur Weitergabe von Informationen nur bei Erforderlichkeit anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Weitergabe von Informationen nur bei Erforderlichkeit","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.1.1"},{"id":"ASST.3.2","titel":"Entfernung nicht erforderlicher Rest- oder Zusatzdaten","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE die Entfernung nicht erforderlicher Rest- oder Zusatzdaten verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Entfernung nicht erforderlicher Rest- oder Zusatzdaten","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.2"},{"id":"ASST.3.3","titel":"Kennzeichnung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE die Kennzeichnung von Informationen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Kennzeichnung von Informationen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.3"},{"id":"ASST.3.4","titel":"Kennzeichnung ohne vertrauliche Daten","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE Kennzeichnung ohne vertrauliche Daten verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Kennzeichnung ohne vertrauliche Daten","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.4"},{"id":"ASST.3.5","titel":"Tainting","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN eine Markierung durch eingebettete Daten oder Funktionen zur Wiedererkennung zuweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"eine Markierung durch eingebettete Daten oder Funktionen zur Wiedererkennung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.5"},{"id":"ASST.3.6","titel":"Verifikation","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Informationen KANN die Korrektheit anhand anderer Informationsquellen testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Informationen"],"unterkategorien":["Daten"],"ergebnis":"die Korrektheit","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.6"},{"id":"ASST.3.7","titel":"Pseudonymisierung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Informationen KANN die Pseudonymisierung vor der Weitergabe verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Informationen"],"unterkategorien":["Daten"],"ergebnis":"die Pseudonymisierung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.7"},{"id":"ASST.3.8","titel":"Anonymisierung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Informationen KANN die Anonymisierung vor der Weitergabe verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Informationen"],"unterkategorien":["Daten"],"ergebnis":"die Anonymisierung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.8"},{"id":"ASST.3.9","titel":"Aktualisierung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN deren Aktualisierung verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"deren Aktualisierung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.9"},{"id":"ASST.3.10","titel":"Autorisierung von Datenlokationen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE Datenlokationen durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"Datenlokationen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.10"},{"id":"ASST.3.11","titel":"Autorisierung von Systemen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE für die Informationsverarbeitung verwendete Systeme durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"für die Informationsverarbeitung verwendete Systeme","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.11"},{"id":"ASST.3.11.1","titel":"Autorisierung von Peripheriegeräten","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE auch Peripheriegeräte autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"auch Peripheriegeräte","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.11.1"},{"id":"ASST.3.12","titel":"Autorisierung von Personen oder Institutionen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE den Zugriff von Personen oder Institutionen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"den Zugriff von Personen oder Institutionen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.12"},{"id":"ASST.3.13","titel":"Lagerung physischer Assets","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Administrierende SOLLTE zur Lagerung physischer Assets in einem dazu vorgesehenen Lager anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"zur Lagerung physischer Assets","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.13"},{"id":"ASST.3.14","titel":"Reserve physischer Assets","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE eine Reserve physischer Assets verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Reserve physischer Assets","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.14"},{"id":"ASST.3.15","titel":"Ausleihe physischer Assets","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets KANN einen ausreichenden Ausleihbestand verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen ausreichenden Ausleihbestand","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.3.15"},{"id":"ASST.4.1","titel":"Autorisierung von Schnittstellen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN Schnittstellen, über die Informationen ausgetauscht werden, durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"Schnittstellen, über die Informationen ausgetauscht werden,","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.4.1"},{"id":"ASST.4.2","titel":"Vertraulichkeit und Integrität beim Transport","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE Vertraulichkeit und Integrität beim Transport verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"Vertraulichkeit und Integrität beim Transport","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":["CON.10.A7-UA.1 (überschneidet sich mit)","IND.2.1.A2-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.4.2"},{"id":"ASST.4.3","titel":"Autorisierung von Veröffentlichungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE Veröffentlichungen durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Veröffentlichungen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.4.3"},{"id":"ASST.4.4","titel":"Nachweis des Zugangs","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN einen Nachweis des Zugangs protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"einen Nachweis des Zugangs","dokument":"Audit Log","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.4.4"},{"id":"ASST.4.5","titel":"Vereinbarungen zum Austausch","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE Regelungen zum Transfer verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"Regelungen zum Transfer","dokument":"Verträge","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.4.5"},{"id":"ASST.5.1","titel":"Wartungsbedarf dokumentieren","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE den Wartungsbedarf für Systemkomponenten und die zum Betrieb erforderliche Infrastruktur dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Wartungsbedarf","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.21 – Manipulation von Hard- oder Software","G 0.25 – Ausfall von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.1"},{"id":"ASST.5.2","titel":"Geregelte Wartungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE die Wartung [regelmäßig oder prädiktiv] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Wartung","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.25 – Ausfall von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":["OPS.1.1.1.A19-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.2"},{"id":"ASST.5.3","titel":"Autorisierung von Wartungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme KANN Wartungen durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Wartungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.25 – Ausfall von Geräten oder Systemen","G 0.21 – Manipulation von Hard- oder Software","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.3"},{"id":"ASST.5.4","titel":"Behandlung als Änderungen und Tests","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE zur Wartung erforderliche Änderungen im Einklang mit den Verfahren und Regelungen zum Management von Änderungen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"zur Wartung erforderliche Änderungen","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.4"},{"id":"ASST.5.5","titel":"Wartungsfenster","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE bei voraussichtlichen Verfügbarkeiteinschränkungen durch bevorstehende Wartungen die Nutzenden über Dauer und Umfang der Einschränkungen informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"bei voraussichtlichen Verfügbarkeiteinschränkungen durch bevorstehende Wartungen die Nutzenden","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.25 – Ausfall von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.5"},{"id":"ASST.5.6","titel":"Wartung durch Externe","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Mitarbeitende KANN bei Wartungen, die von Externen ohne Sicherheitsüberprüfung vorgenommen werden, zur Beaufsichtigung durch internes Personal anweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"bei Wartungen, die von Externen ohne Sicherheitsüberprüfung vorgenommen werden,","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.25 – Ausfall von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.6"},{"id":"ASST.5.7","titel":"Dokumentation von Wartungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE Wartungen mit Asset, Anlass, Zeitpunkt, Beteiligten, durchgefürten Maßnahmen und Ergebnissen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Wartungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.37 – Abstreiten von Handlungen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["OPS.1.1.1.A19-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.5.7"},{"id":"ASST.6.1","titel":"Abhandenkommen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE eine Vorgehensweise beim Abhandenkommen von Assets verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise beim Abhandenkommen von Assets","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.6.1"},{"id":"ASST.6.2","titel":"Rückkehr abhandengekommener Assets","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE eine Vorgehensweise bei Rückkehr von abhandengekommenen Assets verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise bei Rückkehr von abhandengekommenen Assets","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.6.2"},{"id":"ASST.6.3","titel":"Konformitätsprüfung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme KANN bei Rücknahme die Konformität mit den einschlägigen Anforderungen testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"bei Rücknahme die Konformität mit den einschlägigen Anforderungen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.6.3"},{"id":"ASST.6.4","titel":"Zurücksetzen auf Ausgangszustand","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für IT-Systeme SOLLTE bei Rücknahme das Zurücksetzen in einen definierten Ausgangszustand ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"bei Rücknahme das Zurücksetzen in einen definierten Ausgangszustand","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.10.A9-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.6.4"},{"id":"ASST.7.1","titel":"Nicht mehr benötigte Anwendungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Anwendungen SOLLTE eine Deinstallation nicht mehr benötigter Anwendungsinstanzen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Deinstallation nicht mehr benötigter Anwendungsinstanzen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.45 – Datenverlust","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.1"},{"id":"ASST.7.2","titel":"Aufbewahrungs- und Löschfristen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE die Aufbewahrung für [eine bestimmte Frist] verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Aufbewahrung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.45 – Datenverlust","G 0.38 – Missbrauch personenbezogener Daten","G 0.19 – Offenlegung schützenswerter Informationen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.2"},{"id":"ASST.7.2.1","titel":"Langfristige Archivierung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN die langfristige Archivierung mindestens für [eine bestimmte Frist] verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die langfristige Archivierung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.45 – Datenverlust","G 0.19 – Offenlegung schützenswerter Informationen","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.2.1"},{"id":"ASST.7.3","titel":"Geregeltes Löschen oder Vernichten","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE diese bei Erreichen der Aufbewahrungs- und Löschfrist durch [kryptografisches löschen, überschreiben oder vernichten des Speichermediums] löschen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"diese bei Erreichen der Aufbewahrungs- und Löschfrist","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.3"},{"id":"ASST.7.3.1","titel":"Standardisierte Vernichtung","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE ein standardisiertes Verfahren zur Vernichtung bei Veräußerung nach [einem anerkannten Standard] gemäß [einer Sicherheitsstufe] verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"ein standardisiertes Verfahren zur Vernichtung bei Veräußerung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.45 – Datenverlust","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.3.1"},{"id":"ASST.7.3.2","titel":"Löschverfahren","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten SOLLTE ein Verfahren zur endgültigen Löschung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"ein Verfahren zur endgültigen Löschung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.19 – Offenlegung schützenswerter Informationen","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":["APP.1.4.A12-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.3.2"},{"id":"ASST.7.3.3","titel":"Zugelassene Löschanwendungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN die Daten durch [eine vom BSI zugelassene Löschanwendung] löschen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Daten durch {{eine vom BSI zugelassene Löschanwendung}}","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.45 – Datenverlust","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.3.3"},{"id":"ASST.7.4","titel":"Wiederherstelltest","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Daten KANN den Erfolg des Löschvorgangs testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"den Erfolg des Löschvorgangs","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.45 – Datenverlust","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.4"},{"id":"ASST.7.5","titel":"Vernichtungseinrichtungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets für Standorte KANN an allen Standorten, an denen körperliche Dokumente verarbeitet werden, Vernichtungseinrichtungen vor dem Zugriff unbefugter geschützt installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"an allen Standorten, an denen körperliche Dokumente verarbeitet werden, Vernichtungseinrichtungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.45 – Datenverlust","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.5"},{"id":"ASST.7.6","titel":"Autorisierung von Veräußerungen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE Veräußerungen von Assets durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Veräußerungen von Assets","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.45 – Datenverlust","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.6"},{"id":"ASST.7.7","titel":"Beschriftungen entfernen","praktik_id":"ASST","praktik":"ASST Informationen und Assets","anforderung":"Informationen und Assets SOLLTE alle der Institution zuzuordnenden Beschriftungen vor der Veräußerung von Assets löschen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alle der Institution zuzuordnenden Beschriftungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.45 – Datenverlust","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.38 – Missbrauch personenbezogener Daten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/asst/#ASST.7.7"},{"id":"PERS.1.1","titel":"Verfahren und Regelungen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal MUSS Verfahren und Regelungen zum Personalmanagement verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zum Personalmanagement","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.2.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.1.1"},{"id":"PERS.1.1.1","titel":"Dokumentation","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.1.1.1"},{"id":"PERS.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.1.1.2"},{"id":"PERS.1.1.3","titel":"Bekanntgabe","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["ORP.2.A1-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.1.1.3"},{"id":"PERS.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.1.2"},{"id":"PERS.2.1","titel":"Aufgaben","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE für alle Tätigkeiten im Geltungsbereich Aufgaben mit Abgrenzungen und Schnittstellen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für alle Tätigkeiten im Geltungsbereich Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.1"},{"id":"PERS.2.2","titel":"Rollen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE für alle Tätigkeiten im Geltungsbereich Rollen mit Zielen, Aufgaben, erforderlichen Kompetenzen und Qualifikationen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für alle Tätigkeiten im Geltungsbereich Rollen","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.2"},{"id":"PERS.2.3","titel":"Rollentrennung","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE für unvereinbare Aufgaben eine Rollentrennung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für unvereinbare Aufgaben eine Rollentrennung","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.3"},{"id":"PERS.2.3.1","titel":"Rollentrennung - Verzeichnisdienst","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE zwischen Administration von Verzeichnisdiensten und Pflege der verwalteten Daten eine Rollentrennung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zwischen Administration von Verzeichnisdiensten und Pflege der verwalteten Daten eine Rollentrennung","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.3.1"},{"id":"PERS.2.3.2","titel":"Rollentrennung - Virtualisierung","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE zwischen Administration von virtuellen Systemen und Virtualisierungslösungen eine Rollentrennung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zwischen Administration von virtuellen Systemen und Virtualisierungslösungen eine Rollentrennung","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.3.2"},{"id":"PERS.2.3.3","titel":"Rollentrennung - Audits","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE zwischen Implementierung von Sicherheitsanforderungen und deren Überprüfung eine Rollentrennung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zwischen Implementierung von Sicherheitsanforderungen und deren Überprüfung eine Rollentrennung","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.3.3"},{"id":"PERS.2.3.4","titel":"Rollentrennung - Änderungen und Tests","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE zwischen Implementierung und Test eine Rollentrennung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zwischen Implementierung und Test eine Rollentrennung","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.33 – Personalausfall","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.3.4"},{"id":"PERS.2.4","titel":"Zuständigkeiten","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE Zuständigkeiten für die Rollen zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Zuständigkeiten für die Rollen","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.2.4"},{"id":"PERS.3.1","titel":"Dienst- oder Arbeitsvertrag","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Mitarbeitende SOLLTE die vertrauliche Behandlung von Betriebs- und Geschäftsgeheimnissen vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"die vertrauliche Behandlung von Betriebs- und Geschäftsgeheimnissen","dokument":"Arbeitsvertrag","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.1"},{"id":"PERS.3.2","titel":"Verfahrensanweisungen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Mitarbeitende SOLLTE explizit zur Einhaltung von Verfahrensanweisungen bei Neuzugang anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"explizit zur Einhaltung von Verfahrensanweisungen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.2"},{"id":"PERS.3.3","titel":"Betriebs- und Geschäftsgeheimnisse","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Mitarbeitende SOLLTE zum Umgang mit definierten Betriebs- und Geschäftsgeheimnissen bei Neuzugang anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"zum Umgang mit definierten Betriebs- und Geschäftsgeheimnissen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.3"},{"id":"PERS.3.4","titel":"Stellenbeschreibungen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE Stellenbeschreibungen vor Ausschreibung zu besetzender Stellen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Stellenbeschreibungen","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.4"},{"id":"PERS.3.5","titel":"Prüfung der Bewerbungsunterlagen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE die Qualifikation von Bewerbenden anhand der Bewerbungsunterlagen vor der Besetzung von Stellen testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Qualifikation von Bewerbenden anhand der Bewerbungsunterlagen","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.5"},{"id":"PERS.3.6","titel":"Vertrauenswürdigkeit von Bewerbenden","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE die Vertrauenswürdigkeit von Bewerbenden vor der Besetzung von Stellen testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Vertrauenswürdigkeit von Bewerbenden","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.6"},{"id":"PERS.3.6.1","titel":"Sicherheitsüberprüfung (intern)","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal KANN eine Sicherheitsüberprüfung vor der Besetzung von sicherheitsrelevanten Stellen ausführen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Sicherheitsüberprüfung","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":["ORP.2.A13-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.6.1"},{"id":"PERS.3.7","titel":"Einarbeitung","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Mitarbeitende SOLLTE eine Einarbeitung bei Neuzugang ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"eine Einarbeitung","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.33 – Personalausfall","G 0.32 – Missbrauch von Berechtigungen","G 0.35 – Nötigung, Erpressung oder Korruption"],"vorgaenger":["ORP.2.A1-UA.1 (überschneidet sich mit)","ORP.2.A1-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.3.7"},{"id":"PERS.4.1","titel":"Qualifikationsbedarf","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Mitarbeitende SOLLTE den Bedarf an Qualifikationsmaßnahmen anhand der Aufgaben [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"den Bedarf an Qualifikationsmaßnahmen anhand der Aufgaben","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.4.1"},{"id":"PERS.4.2","titel":"Rollenspezifische Schulungen und Sensibilisierungen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Nutzende SOLLTE rollenspezifische Schulungen und Sensibilisierungen im Einklang mit den Anforderungen der Praktik Sensibilisierung bei Neuzugang und [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"rollenspezifische Schulungen und Sensibilisierungen","dokument":"Schulungsplan","gefaehrdungen":["G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.4.2"},{"id":"PERS.4.2.1","titel":"Produktspezifische Schulungen und Sensibilisierungen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Administrierende SOLLTE produktspezifische Schulungen zum Umgang mit administrativen Werkzeugen bei Neuzugang und dem Einsatz neuer IT-Produkte ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"produktspezifische Schulungen zum Umgang mit administrativen Werkzeugen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.4.A12-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.4.2.1"},{"id":"PERS.5.1","titel":"Maßregelung","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE ein Verfahren zur Maßregelung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Maßregelung","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.5.1"},{"id":"PERS.5.2","titel":"Innentäter","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE ein interdisziplinäres Verfahren zum Umgang mit potenziellen Innentätern verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein interdisziplinäres Verfahren zum Umgang mit potenziellen Innentätern","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.5.2"},{"id":"PERS.5.3","titel":"Vertrauens-Check sicherheitskritischer Rollen","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal SOLLTE die Vertrauenswürdigkeit für [definierte sicherheitskritische Rollen] [regelmäßig] und anlassbezogen überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Vertrauenswürdigkeit für {{definierte sicherheitskritische Rollen}}","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.5.3"},{"id":"PERS.6.1","titel":"Vorgehensweise für den Weggang","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Nutzende SOLLTE eine Vorgehensweise für den Weggang verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"eine Vorgehensweise für den Weggang","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.2.A2-UA.10 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.6.1"},{"id":"PERS.6.1.1","titel":"Entzug von Berechtigungen gemäß BER","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Nutzende SOLLTE bei Weggang den unverzüglichen Entzug aller Zugriffsrechte im Einklang mit den Regelungen und Verfahren zum Berechtigungs- und Identitätsmanagement verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"bei Weggang den unverzüglichen Entzug aller Zugriffsrechte","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.2.A2-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.6.1.1"},{"id":"PERS.6.1.2","titel":"Neubesetzung","praktik_id":"PERS","praktik":"PERS Personal","anforderung":"Personal für Mitarbeitende SOLLTE bei Weggang frei gewordene Zuständigkeiten zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"bei Weggang frei gewordene Zuständigkeiten","dokument":"Prozess Personalmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.2.A2-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/pers/#PERS.6.1.2"},{"id":"BES.1.1","titel":"Verfahren und Regelungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement MUSS Verfahren und Regelungen zur Beschaffung von IT-Produkten und Dienstleistungen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Beschaffung von IT-Produkten und Dienstleistungen","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.1"},{"id":"BES.1.1.1","titel":"Dokumentation","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.1.1"},{"id":"BES.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.1.2"},{"id":"BES.1.1.3","titel":"Bekanntgabe","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.1.3"},{"id":"BES.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.2"},{"id":"BES.1.3","titel":"Lieferanten- und Dienstleisterverzeichnis","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE alle direkten Zulieferer und Dienstleister inklusive der jeweiligen Kontaktdaten und den bezogenen Lieferungen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"alle direkten Zulieferer und Dienstleister","dokument":"Liste der Hersteller und Dienstleister","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.3"},{"id":"BES.1.3.1","titel":"Gesamte Lieferkette","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN die gesamte Lieferkette inklusive der jeweiligen Unterauftragnehmer und deren Kontaktdaten dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die gesamte Lieferkette","dokument":"Liste der Hersteller und Dienstleister","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.3.1"},{"id":"BES.1.4","titel":"Outsourcing-Strategie","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE eine Strategie mit Zielen, Chancen und Risiken des Outsourcings verankern.","pflichtgrad":"SOLLTE","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"eine Strategie","dokument":"Outsourcing Strategie","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.4"},{"id":"BES.1.4.1","titel":"Freigabe der Strategie","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE die Strategie durch die Institutionsleitung autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Strategie","dokument":"Outsourcing Strategie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.4.1"},{"id":"BES.1.5","titel":"Autorisierung des Bereitstellungsmodells","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst das Bereitstellungsmodell durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"für jeden Cloud-Dienst das Bereitstellungsmodell","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.5"},{"id":"BES.1.6","titel":"Dokumentation des Bereitstellungsmodells","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst das gewünschte Bereitstellungsmodell mit Ausführung der geteilten Verantwortlichkeiten dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"für jeden Cloud-Dienst das gewünschte Bereitstellungsmodell","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.6"},{"id":"BES.1.7","titel":"Vereinbarung der geteilten Verantwortung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst mit dem Anbieter die geteilte Verantwortung vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"für jeden Cloud-Dienst mit dem Anbieter die geteilte Verantwortung","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.1.7"},{"id":"BES.2.1","titel":"Erfassung des Bedarfes","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf anhand einer Leistungsbeschreibung oder einer Umsetzungsstrategie dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"den Bedarf","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1"},{"id":"BES.2.1.1","titel":"Verwendungszweck","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE den Verwendungszweck dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"den Verwendungszweck","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.1"},{"id":"BES.2.1.2","titel":"Geschäftsprozessprofile","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE Geschäftsprozessprofile für (Teil-)Prozesse, die ausgelagert werden, mit Funktion, verarbeiteten Informationen, einzuhaltenden rechtlichen und organisatorischen Rahmenbedingungen, prozessualen Schnittstellen, Abhängigkeiten zwischen Prozessen, sowie ihren Schutzbedarfen und Kritikalitäten dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"Geschäftsprozessprofile für (Teil-)Prozesse, die ausgelagert werden,","dokument":"Geschäftsprozesse","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.2"},{"id":"BES.2.1.3","titel":"Systemvoraussetzungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE Systemvoraussetzungen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"Systemvoraussetzungen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.3"},{"id":"BES.2.1.4","titel":"Kompatibilität","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität mit der bestehenden Infrastruktur dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"den Bedarf für die Kompatibilität mit der bestehenden Infrastruktur","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.4"},{"id":"BES.2.1.4.1","titel":"Kompatibilität der Schnittstellen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf Schnittstellen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"den Bedarf für die Kompatibilität","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.4.1"},{"id":"BES.2.1.4.2","titel":"Kompatibilität der Netzanbindung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf die Netzanbindung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"den Bedarf für die Kompatibilität","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.4.2"},{"id":"BES.2.1.4.3","titel":"Kompatibilität des Administrationsmodells","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf das Administrationsmodell dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"den Bedarf für die Kompatibilität","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.4.3"},{"id":"BES.2.1.4.4","titel":"Kompatibilität des Datenmanagementmodells","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf das Datenmanagementmodell dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"den Bedarf für die Kompatibilität","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.4.4"},{"id":"BES.2.1.5","titel":"Lizenzierung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE für den geplanten Einsatzzeitraum erforderliche Lizenzen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"für den geplanten Einsatzzeitraum erforderliche Lizenzen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.5"},{"id":"BES.2.1.6","titel":"Support- und Wartungsverträge","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE den Bedarf an Support- und Wartungsverträgen basierend auf dem Schutzbedarf für Verfügbarkeit dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"den Bedarf an Support- und Wartungsverträgen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.1.6"},{"id":"BES.2.2","titel":"Dokumentation des Rechtsraums und der Datenlokation","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste SOLLTE Rechtsraum und Datenlokation dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"Rechtsraum und Datenlokation","dokument":"Geschäftsprozesse","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.2"},{"id":"BES.2.3","titel":"Vereinbarung des Rechtsraums und der Datenlokation","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste KANN Rechtsraum und Datenlokation mit dem Anbieter vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"Rechtsraum und Datenlokation mit dem Anbieter","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.3"},{"id":"BES.2.4","titel":"Anhörung Nutzender","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Nutzende bei der Bedarfserfassung anhören.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Nutzende","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.4"},{"id":"BES.2.5","titel":"Anhörung Administrierender","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Administrierende bei der Bedarfserfassung anhören.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Administrierende","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.5"},{"id":"BES.2.6","titel":"Outsourcing auf Grundlage der Geschäftsprozessprofile","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN Outsourcingverträge auf Grundlage der Geschäftsprozessprofile durch die Leitung autorisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"Outsourcingverträge auf Grundlage der Geschäftsprozessprofile","dokument":"Geschäftsprozesse","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.2.6"},{"id":"BES.3.1","titel":"Klassifizierung von Lieferantenbeziehungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Lieferantenbeziehungen einer Klasse zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Lieferantenbeziehungen einer Klasse","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.3.1"},{"id":"BES.3.2","titel":"Auswahlkriterien","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE die Auswahl von Lieferanten anhand von Kriterien zu ihrer Verlässlichkeit verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Auswahl von Lieferanten","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.3.2"},{"id":"BES.3.2.1","titel":"Zertifizierte Lieferanten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN die Auswahl von Lieferanten anhand von Zertifikaten, Testaten oder Vergleichbarem verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Auswahl von Lieferanten","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.3.2.1"},{"id":"BES.3.2.2","titel":"Quellendiversifikation","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN die Auswahl von Lieferanten anhand ihrer Fähigkeit, ihre Bezugsquellen zu diversifizieren und die Bindung an bestimmte Lieferanten zu begrenzen, verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Auswahl von Lieferanten","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.3.2.2"},{"id":"BES.3.3","titel":"Unzuverlässige Lieferanten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE die Beschaffung aus einer unbekannten oder unzuverlässigen Quelle untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Beschaffung aus einer unbekannten oder unzuverlässigen Quelle","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.6.A3-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.3.3"},{"id":"BES.4.1","titel":"Klassifizierung von Beschaffungsvorhaben","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE dem Beschaffungsvorhaben eine Klasse zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"dem Beschaffungsvorhaben eine Klasse","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.1"},{"id":"BES.4.2","titel":"Dokumentation der Beschaffungskriterien","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE [Kriterien] für die Beschaffung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"{{Kriterien}} für die Beschaffung","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.2"},{"id":"BES.4.3","titel":"Beschaffung anhand der Kriterien","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE die Beschaffung anhand der festgelegten Kriterien verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Beschaffung","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["APP.6.A3-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.3"},{"id":"BES.4.4","titel":"Vertragsvorlage für Outsourcing","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE Kriterien für Outsourcing-Dienstleistungen in einer standardisierten Richtlinie für Verträge dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"Kriterien für Outsourcing-Dienstleistungen in einer standardisierten Richtlinie für Verträge","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.4"},{"id":"BES.4.5","titel":"Security by Design","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Security by Design vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Security by Design","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.5"},{"id":"BES.4.5.1","titel":"Entwicklung nach einem Sicherheitslebenszyklus","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte KANN Nachweise zur Entwicklung nach einem Sicherheitslebenszyklus vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"Nachweise zur Entwicklung nach einem Sicherheitslebenszyklus","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.5.1"},{"id":"BES.4.5.2","titel":"Mandantentrennung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN eine festgelegte Mandantentrennung vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"eine festgelegte Mandantentrennung","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.19 – Offenlegung schützenswerter Informationen","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["APP.4.6.A20-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.5.2"},{"id":"BES.4.6","titel":"Security by Default","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Security by Default vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Security by Default","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.22 – Manipulation von Informationen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.6"},{"id":"BES.4.6.1","titel":"Authentifizierung des Kunden","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE eine Authentifizierung vor dem Zugriff auf schützenswerte Informationen oder Dienste vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"eine Authentifizierung","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.6.1"},{"id":"BES.4.6.2","titel":"Verschlüsselung durch den Anbieter","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE die Verschlüsselung schützenswerter Informationen durch den Anbieter vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Verschlüsselung schützenswerter Informationen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.6.2"},{"id":"BES.4.6.3","titel":"Manipulationsschutz","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte KANN Schutzmechanismen gegen Manipulationen auf dem Lieferweg vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"Schutzmechanismen gegen Manipulationen auf dem Lieferweg","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.6.3"},{"id":"BES.4.7","titel":"ISMS beim Dienstleister","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE ein Managementsystem für Informationssicherheit (ISMS) vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"ein Managementsystem für Informationssicherheit (ISMS)","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.7"},{"id":"BES.4.8","titel":"Konformitätsnachweise","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Nachweise des Lieferanten zur Erfüllung der Sicherheitskriterien vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Nachweise des Lieferanten zur Erfüllung der Sicherheitskriterien","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.8"},{"id":"BES.4.8.1","titel":"Zertifizierung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN ein Zertifikat oder Testat nach [einem passenden Sicherheitsstandard] vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"ein Zertifikat oder Testat","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.8.1"},{"id":"BES.4.8.2","titel":"Cloud-Konformität","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste SOLLTE einen Konformitätsnachweis durch Dritte vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"einen Konformitätsnachweis durch Dritte","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.8.2"},{"id":"BES.4.8.3","titel":"IT-Grundschutz-Analyse der Infrastruktur","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN eine IT-Grundschutz-Analyse der potenziell zu nutzenden Infrastruktur des Dienstleisters vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"eine IT-Grundschutz-Analyse der potenziell zu nutzenden Infrastruktur des Dienstleisters","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.8.3"},{"id":"BES.4.8.4","titel":"Offenlegung der Risikoanalyse","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN eine Offenlegung der Risikoanalyse aus dem ISMS des Dienstleisters, soweit eine Risikoanalyse nach IT-Grundschutz-Vorgehensweise notwendig ist, vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"eine Offenlegung der Risikoanalyse aus dem ISMS des Dienstleisters, soweit eine Risikoanalyse nach IT-Grundschutz-Vorgehensweise notwendig ist,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.8.4"},{"id":"BES.4.9","titel":"Sicherheitsüberprüfung (extern)","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN Sicherheitsüberprüfungen für Personen, die vom Lieferanten mit der Vertragsdurchführung beauftragt werden, vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Sicherheitsüberprüfungen für Personen, die vom Lieferanten mit der Vertragsdurchführung beauftragt werden,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.4.9"},{"id":"BES.5.1","titel":"Kompetenzen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE Kompetenzen in Informationssicherheit, die von den Mitarbeitern des Lieferanten verlangt werden, vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"Kompetenzen in Informationssicherheit, die von den Mitarbeitern des Lieferanten verlangt werden,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.1"},{"id":"BES.5.2","titel":"Service Level Agreement","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE die Einhaltung einer bestimmten Dienstgüte anhand von [Kriterien] vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Einhaltung einer bestimmten Dienstgüte","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.2"},{"id":"BES.5.3","titel":"Compliance-Verpflichtungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE die Übereinstimmung mit Compliance-Verpflichtungen vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Übereinstimmung mit Compliance-Verpflichtungen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.3"},{"id":"BES.5.4","titel":"Informationssicherheitskontrollmechanismen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Informationssicherheitskontrollmechanismen vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Informationssicherheitskontrollmechanismen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.4"},{"id":"BES.5.5","titel":"Nutzungsregelungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE Regelungen zur Nutzung der Daten und damit verbundenen Assets vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"Regelungen zur Nutzung der Daten und damit verbundenen Assets","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.5"},{"id":"BES.5.5.1","titel":"Datenlokationen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen KANN die Verarbeitung von Daten ausschließlich an von der Institution erlaubten Datenlokationen vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Verarbeitung von Daten ausschließlich an von der Institution erlaubten Datenlokationen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.5.1"},{"id":"BES.5.5.2","titel":"Autorisierung der Zugriffsberechtigung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE Regelungen zur Autorisierung der Zugriffsberechtigung für Personal des Lieferanten anhand von [Kriterien] vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"Regelungen zur Autorisierung der Zugriffsberechtigung für Personal des Lieferanten","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.5.2"},{"id":"BES.5.6","titel":"Vergabe von Unteraufträgen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Regelungen für die Vergabe von Unteraufträgen vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Regelungen für die Vergabe von Unteraufträgen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.6"},{"id":"BES.5.6.1","titel":"Weitergabe der Beschaffungskriterien","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE die Weitergabe der Beschaffungskriterien an Unterauftragnehmer vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Weitergabe der Beschaffungskriterien an Unterauftragnehmer","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.6.1"},{"id":"BES.5.6.2","titel":"Autorisierung von Unterauftragnehmern","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN die Autorisierung von Unterauftragnehmern durch den Auftraggeber vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Autorisierung von Unterauftragnehmern durch den Auftraggeber","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.6.2"},{"id":"BES.5.6.3","titel":"Nachverfolgbarkeit der Lieferkette","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte KANN die Nachverfolgbarkeit der gesamten Lieferkette bis zum Hersteller für [kritische Komponenten] vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"die Nachverfolgbarkeit der gesamten Lieferkette bis zum Hersteller","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.6.3"},{"id":"BES.5.7","titel":"Schulung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN eine Schulung zur Nutzung gelieferter Sicherheitsmechanismen vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"eine Schulung zur Nutzung gelieferter Sicherheitsmechanismen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.7"},{"id":"BES.5.8","titel":"Rechte für geistges Eigentum","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE für geistiges Eigentum, das während der Vertragslaufzeit entwickelt wird, die Eigentumsrechte vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"für geistiges Eigentum, das während der Vertragslaufzeit entwickelt wird, die Eigentumsrechte","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.8"},{"id":"BES.5.9","titel":"Umgang mit Änderungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE Regelungen für den Umgang mit Änderungen vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"Regelungen für den Umgang mit Änderungen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.9"},{"id":"BES.5.9.1","titel":"Autorisierung von Änderungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen KANN die Autorisierung von Änderungen durch den Auftraggeber vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Autorisierung von Änderungen durch den Auftraggeber","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.9.1"},{"id":"BES.5.10","titel":"Behandlung von Vorfällen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Regelungen für die Behandlung von Vorfällen vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Regelungen für die Behandlung von Vorfällen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10"},{"id":"BES.5.10.1","titel":"Erreichbarkeit über Meldewege","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE die Erreichbarkeit des Lieferanten über bestimmte Meldewege vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Erreichbarkeit des Lieferanten über bestimmte Meldewege","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10.1"},{"id":"BES.5.10.2","titel":"Melden von Vorfällen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE eine Verpflichtung zur unverzüglichen Information des Auftraggebers über ihn betreffende Vorfälle vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"eine Verpflichtung zur unverzüglichen Information des Auftraggebers über ihn betreffende Vorfälle","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10.2"},{"id":"BES.5.10.3","titel":"Schwachstellenbehebung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE eine Verpflichtung für Lieferanten, die den Auftraggeber betreffende Schwachstelle zeitnah zu beheben, vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"eine Verpflichtung für Lieferanten, die den Auftraggeber betreffende Schwachstelle zeitnah zu beheben,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10.3"},{"id":"BES.5.10.3.1","titel":"Schwachstellenmeldeprozess","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte KANN einen Schwachstellenmeldeprozess nach [einem anerkannten Standard] vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"einen Schwachstellenmeldeprozess","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10.3.1"},{"id":"BES.5.10.4","titel":"Konfliktlösungsprozesse","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN Prozesse zur Lösung von Konflikten zwischen den Vertragsparteien vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Prozesse zur Lösung von Konflikten zwischen den Vertragsparteien","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10.4"},{"id":"BES.5.10.5","titel":"Konsequenzen bei Verstößen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN Abhilfemaßnahmen für den Fall von Verstößen durch den Lieferanten vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Abhilfemaßnahmen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.10.5"},{"id":"BES.5.11","titel":"Recht auf Audit","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE ein Recht des Auftraggebers zur Überprüfung der Sicherheitsprozesse und -maßnahmen, die im Zusammenhang mit dem Vertrag stehen, vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"ein Recht des Auftraggebers zur Überprüfung der Sicherheitsprozesse und -maßnahmen,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.11"},{"id":"BES.5.12","titel":"Informationspflichten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE eine Pflicht des Lieferanten, den Auftraggeber regelmäßig über die Wirksamkeit der Sicherheitsmaßnahmen zu informieren, vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"eine Pflicht des Lieferanten, den Auftraggeber regelmäßig über die Wirksamkeit der Sicherheitsmaßnahmen zu informieren,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.12"},{"id":"BES.5.13","titel":"Bereitstellung von Datensicherungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE eine Verpflichtung des Lieferanten, Sicherungskopien regelmäßig bereitzustellen, vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"eine Verpflichtung des Lieferanten, Sicherungskopien regelmäßig bereitzustellen,","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.13"},{"id":"BES.5.13.1","titel":"Datenbereitstellung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN die Bereitstellung der beim Dienstleister verarbeiteten Daten in einem standardisierten Format vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Bereitstellung der beim Dienstleister verarbeiteten Daten in einem standardisierten Format","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.13.1"},{"id":"BES.5.14","titel":"Löschregeln","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE die Löschung von Daten während der Vertragslaufzeit im Einklang mit den Compliance-Verpflichtungen der Institution vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Löschung von Daten während der Vertragslaufzeit im Einklang mit den Compliance-Verpflichtungen der Institution","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.5.14"},{"id":"BES.6.1","titel":"Entziehung der Zugangsberechtigungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die Entziehung der für den Vertrag relevanten Zugangsberechtigungen für den Fall einer Kündigung vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Entziehung der für den Vertrag relevanten Zugangsberechtigungen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.1"},{"id":"BES.6.2","titel":"Löschung von Daten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die Löschung aller beim Dienstleister vorhandenen Daten für den Fall einer Kündigung vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Löschung aller beim Dienstleister vorhandenen Daten","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.2"},{"id":"BES.6.2.1","titel":"Löschverfahren","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen KANN ein Verfahren zur nicht wiederherstellbaren Löschung für den Fall einer Kündigung vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"ein Verfahren zur nicht wiederherstellbaren Löschung","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.2.1"},{"id":"BES.6.3","titel":"Übertragbarkeit von Daten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die Übertragbarkeit von Daten, Konfigurationen und der Funktionalität für den Fall einer Kündigung vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Übertragbarkeit von Daten, Konfigurationen und der Funktionalität","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.3"},{"id":"BES.6.4","titel":"Übertragung von Supportdienstleistungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen KANN die Übergabe der Supportdienstleistungen für den Fall einer Kündigung vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Übergabe der Supportdienstleistungen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.4"},{"id":"BES.6.5","titel":"Behandlung aufzubewahrender Aufzeichnungen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE Kontrollmechanismen zur Behandlung aufzubewahrender Aufzeichnungen für den Fall einer Kündigung vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"Kontrollmechanismen zur Behandlung aufzubewahrender Aufzeichnungen","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.5"},{"id":"BES.6.6","titel":"Rückgewähr von Assets","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die Rückgewähr von Assets für den Fall einer Kündigung vereinbaren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Rückgewähr von Assets","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.6.6"},{"id":"BES.7.1","titel":"Eingangskontrolle","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE erbrachte oder gelieferte Leistungen anhand von [Kriterien zur Akzeptanz] vor der ersten Verwendung testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"erbrachte oder gelieferte Leistungen","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.1"},{"id":"BES.7.1.1","titel":"Test der Kompatibilität","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE die Kompatibilität des Dienstes mit dem Informationsverbund im Hinblick auf die Schnittstellen, die Netzanbindung, das Administrationsmodell und das Datenmanagementmodell testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Kompatibilität des Dienstes mit dem Informationsverbund","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.1.1"},{"id":"BES.7.1.2","titel":"Netzcheck","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE die Umsetzung der geforderten Beschaffungskriterien für die Netzanbindung vor der Netzanbindung testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Umsetzung der geforderten Beschaffungskriterien für die Netzanbindung","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.1.2"},{"id":"BES.7.2","titel":"Prozesse vor Netzanbindung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE vor Anbindung des Datennetzes der Nutzenden an das Datennetz der Anbietenden alle sicherheitsrelevanten Maßnahmen im Einklang mit den Regelungen und Verfahren des Managementsystems verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"vor Anbindung des Datennetzes der Nutzenden an das Datennetz der Anbietenden alle sicherheitsrelevanten Maßnahmen","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.2"},{"id":"BES.7.3","titel":"Anhörung Prozessbeteiligter","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE alle am ausgelagerten Prozess beteiligten Mitarbeiter oder Rollen anhören.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"alle am ausgelagerten Prozess beteiligten Mitarbeiter oder Rollen","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.3"},{"id":"BES.7.4","titel":"Vollständigkeit der Unterlagen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE Informationen, die für eine bestimmungsgemäße Verwendung im Informationsverbund erforderlich sind, dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"Informationen, die für eine bestimmungsgemäße Verwendung im Informationsverbund erforderlich sind,","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4"},{"id":"BES.7.4.1","titel":"Beschreibung der Sicherheitsarchitektur","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE eine Beschreibung der Sicherheitsarchitektur dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"eine Beschreibung der Sicherheitsarchitektur","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.1"},{"id":"BES.7.4.2","titel":"Beschreibung von Sicherheitsmechanismen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE eine Beschreibung der gelieferten Sicherheitsmechanismen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"eine Beschreibung der gelieferten Sicherheitsmechanismen","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.2"},{"id":"BES.7.4.3","titel":"Empfohlene Konfiguration","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE eine vom Hersteller oder Lieferanten für den sicheren Betrieb empfohlene Konfiguration dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"eine vom Hersteller oder Lieferanten für den sicheren Betrieb empfohlene Konfiguration","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.3"},{"id":"BES.7.4.4","titel":"Dokumentation der Komponenten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe SOLLTE eine Beschreibung der verwendeten Hardware- und Softwarekomponenten dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"eine Beschreibung der verwendeten Hardware- und Softwarekomponenten","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["IND.1.A4-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.4"},{"id":"BES.7.4.4.1","titel":"Software Bill of Materials (SBOM)","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte KANN für jede gelieferte Software die entsprechende Software Bill of Materials (SBOM) nach [einem anerkannten Standard] dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"für jede gelieferte Software die entsprechende Software Bill of Materials (SBOM)","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.4.1"},{"id":"BES.7.4.5","titel":"Netzverbindungen ab Werk","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte SOLLTE eine Liste der Internetserver, mit denen das IT-Produkt von sich aus Verbindung aufnimmt, mit Zweck der Verbindung, Zieladresse(n), Port-Nummern dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"eine Liste der Internetserver, mit denen das IT-Produkt von sich aus Verbindung aufnimmt,","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.5"},{"id":"BES.7.4.6","titel":"Shared Responsibility","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die Verteilung der Zuständigkeiten und deren Abgrenzung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Verteilung der Zuständigkeiten und deren Abgrenzung","dokument":"Auslagerungsregister","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.6"},{"id":"BES.7.4.7","titel":"Organisatorische Schnittstellen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die organisatorischen Schnittstellen des Dienstleisters dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die organisatorischen Schnittstellen des Dienstleisters","dokument":"Auslagerungsregister","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.7"},{"id":"BES.7.4.8","titel":"Technische Schnittstellen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen SOLLTE die vom Dienstleister bereitgestellten technischen Schnittstellen und deren Sicherheitsfunktionalität dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die vom Dienstleister bereitgestellten technischen Schnittstellen und deren Sicherheitsfunktionalität","dokument":"Auslagerungsregister","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.8"},{"id":"BES.7.4.9","titel":"Auslagerungsregister","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing SOLLTE Informationen über den Dienstleister, die Kritikalität des Prozesses, abgeschlossene Verträge und Vereinbarungen sowie Zeitpunkt und Inhalt von Änderungen an den Vereinbarungen nach Vertragsschluss dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"Informationen über den Dienstleister, die Kritikalität des Prozesses, abgeschlossene Verträge und Vereinbarungen sowie Zeitpunkt und Inhalt von Änderungen an den Vereinbarungen","dokument":"Auslagerungsregister","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.9"},{"id":"BES.7.4.10","titel":"Serviceprofil","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden geplanten oder genutzten Cloud-Dienst ein Serviceprofil mit dem Namen des Services und des Anbieters dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"für jeden geplanten oder genutzten Cloud-Dienst ein Serviceprofil","dokument":"Auslagerungsregister","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.10"},{"id":"BES.7.4.11","titel":"Dokumentierte Mandantentrennung","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN die beim Dienstleister implementierten Maßnahmen zur Mandantentrennung nach Vertragsschluss dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die beim Dienstleister implementierten Maßnahmen zur Mandantentrennung","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.11"},{"id":"BES.7.4.12","titel":"Software Bill of Materials (SBOM) - Cloud","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Cloud-Dienste KANN für jede gelieferte Software-as-a-Service (SaaS) die entsprechende Software Bill of Materials (SBOM) nach [einem anerkannten Standard] dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"für jede gelieferte Software-as-a-Service (SaaS) die entsprechende Software Bill of Materials (SBOM)","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.7.4.12"},{"id":"BES.8.1","titel":"Bereithaltung alternativer Lieferanten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Einkäufe KANN die Bereithaltung alternativer Lieferanten verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Einkäufe"],"unterkategorien":["Cloud-Dienste","Dienstleistungen","IT-Produkte","Outsourcing"],"ergebnis":"die Bereithaltung alternativer Lieferanten","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.8.1"},{"id":"BES.8.2","titel":"Verfahren zur Übertragung von Geschäftsprozessen","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN Verfahren zur Übertragung von Geschäftsprozessen für den Fall einer geplanten oder ungeplanten Beendigung des Vertrages verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"Verfahren zur Übertragung von Geschäftsprozessen","dokument":"Geschäftsprozesse","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.8.2"},{"id":"BES.8.3","titel":"Ressourcensouveränität","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Outsourcing KANN ausreichende interne Ressourcen für den Fall einer geplanten oder ungeplanten Beendigung des Vertrages zuweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"ausreichende interne Ressourcen","dokument":"Geschäftsprozesse","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.8.3"},{"id":"BES.8.4","titel":"Individuelle Implementierung kritischer Komponenten","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für IT-Produkte KANN eine eigens für die Institution entwickelte Implementierung kritischer Komponenten vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Produkte"],"unterkategorien":[],"ergebnis":"eine eigens für die Institution entwickelte Implementierung kritischer Komponenten","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.8.4"},{"id":"BES.8.5","titel":"Treuhand","praktik_id":"BES","praktik":"BES Beschaffungsmanagement","anforderung":"Beschaffungsmanagement für Dienstleistungen KANN ESCROW- bzw. Treuhandverträge vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"ESCROW- bzw. Treuhandverträge","dokument":"Beschaffungskriterien","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/bes/#BES.8.5"},{"id":"DLS.1.1","titel":"Verfahren und Regelungen","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen MUSS ein Verfahren zur Steuerung und geordneten Beendigung von Dienstleistungsverträgen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"ein Verfahren zur Steuerung und geordneten Beendigung von Dienstleistungsverträgen","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.1.1"},{"id":"DLS.1.1.1","titel":"Dokumentation","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.1.1.1"},{"id":"DLS.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.1.1.2"},{"id":"DLS.1.1.3","titel":"Bekanntgabe","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.1.1.3"},{"id":"DLS.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.1.2"},{"id":"DLS.2.1","titel":"Mehr-Faktor-Authentifizierung","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen SOLLTE Mehr-Faktor-Authentifizierung bei Login in Online-Dienste aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"Mehr-Faktor-Authentifizierung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.2.1"},{"id":"DLS.2.2","titel":"Transportverschlüsselung","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Daten SOLLTE den Transport bei der Übertragung zum Anbieter nach [einem anerkannten Standard] verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"den Transport","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.2.2"},{"id":"DLS.2.3","titel":"Vollverschlüsselung","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Daten KANN diese, wenn der Anbieter deren Inhalt zur Vertragserbringung nicht kennen muss, für diesen nicht entschlüsselbar vor der Übertragung zum Dienstleister verschlüsseln.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"diese, wenn der Anbieter deren Inhalt zur Vertragserbringung nicht kennen muss, für diesen nicht entschlüsselbar","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.2.3"},{"id":"DLS.3.1","titel":"Einhaltung der Sicherheitsvorgaben","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen SOLLTE die Einhaltung der Sicherheitsvorgaben durch den Dienstleister [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"die Einhaltung der Sicherheitsvorgaben durch den Dienstleister","dokument":"Liste der Hersteller und Dienstleister","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.1"},{"id":"DLS.3.1.1","titel":"Audit oder Zertifikat","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Outsourcing SOLLTE die Einhaltung der Sicherheitsvorgaben anhand eines [Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises] [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Einhaltung der Sicherheitsvorgaben anhand eines {{Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises}}","dokument":"Auslagerungsregister","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.1.1"},{"id":"DLS.3.2","titel":"Checkup","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Outsourcing KANN die risikoorientierte Entscheidung über Outsourcing auf Grundlage der Geschäftsprozessprofile auf Änderungen der Gefährdungslage oder Prozessinhalte [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die risikoorientierte Entscheidung über Outsourcing auf Grundlage der Geschäftsprozessprofile","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["OPS.2.3.A2-UA.4 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.2"},{"id":"DLS.3.3","titel":"Strategie-Check","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Outsourcing KANN die Strategie auf Vollständigkeit und Korrektheit in Bezug auf die betrachteten Geschäftsprozesse bei Änderungen der Geschäftsprozessprofile überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Strategie auf Vollständigkeit und Korrektheit in Bezug auf die betrachteten Geschäftsprozesse","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.3"},{"id":"DLS.3.4","titel":"Anhörung","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Outsourcing SOLLTE den Dienstleister zu Sicherheitsmaßnahmen für betroffene Zielobjekte anhören.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"den Dienstleister zu Sicherheitsmaßnahmen für betroffene Zielobjekte","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.4"},{"id":"DLS.3.5","titel":"Blockierung unzuverlässiger Dienstleister","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen SOLLTE unzuverlässige Dienstleister oder Subdienstleister blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"unzuverlässige Dienstleister oder Subdienstleister","dokument":"Prozess Beschaffung","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.5"},{"id":"DLS.3.6","titel":"Portabilität","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Outsourcing KANN die Portabilität des ausgelagerten Prozesses [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Portabilität des ausgelagerten Prozesses","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.3.6"},{"id":"DLS.4.1","titel":"Dekomissionierung","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen SOLLTE eine Vorgehensweise zur Dekommissionierung vor Vertragsende verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"eine Vorgehensweise zur Dekommissionierung","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.4.1"},{"id":"DLS.4.1.1","titel":"Unabhängigkeit","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Outsourcing SOLLTE die Unabhängigkeit der Verarbeitung schützenswerter Informationen vor der Außerbetriebnahme testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Unabhängigkeit der Verarbeitung schützenswerter Informationen","dokument":"Ergebnisprotokoll","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.4.1.1"},{"id":"DLS.4.1.2","titel":"Berechtigungen deaktivieren","praktik_id":"DLS","praktik":"DLS Dienstleistersteuerung","anforderung":"Dienstleistersteuerung für Dienstleistungen SOLLTE für den Vertrag benötigte Berechtigungen bei Vertragsende unverzüglich deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dienstleistungen"],"unterkategorien":["Cloud-Dienste","Outsourcing"],"ergebnis":"für den Vertrag benötigte Berechtigungen","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dls/#DLS.4.1.2"},{"id":"TEST.1.1","titel":"Verfahren und Regelungen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests MUSS Verfahren und Regelungen zum Management von Neueinführungen, Änderungen oder der Entfernung von Komponenten [für den Informationsverbund, pro Geschäftsprozess oder pro IT-System] verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zum Management von Neueinführungen, Änderungen oder der Entfernung von Komponenten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["IND.1.A6-UA.1 (Teilbereich von)","INF.13.A16-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.1.1"},{"id":"TEST.1.1.1","titel":"Dokumentation","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.11.1.A2-UA.3 (überschneidet sich mit)","OPS.1.1.2.A11-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.1.1.1"},{"id":"TEST.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.1.A1-UA.2 (überschneidet sich mit)","OPS.1.1.2.A7-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.1.1.2"},{"id":"TEST.1.1.3","titel":"Bekanntgabe","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["ISMS.1.A8-UA.6 (umfasst)","ORP.1.A1-UA.4 (umfasst)","ORP.2.A1-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.1.1.3"},{"id":"TEST.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.1.A1-UA.3 (identisch mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.1.2"},{"id":"TEST.1.3","titel":"Einschränkung von Änderungen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Durchführung von Änderungen auf Administrierende einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Durchführung von Änderungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.4.4.A3-UA.6 (Teilbereich von)","APP.5.3.A1-UA.3 (Teilbereich von)","IND.1.A8-UA.2 (Teilbereich von)","IND.2.7.A6-UA.1 (Teilbereich von)","OPS.1.1.2.A23-UA.1 (umfasst)","OPS.1.1.2.A5-UA.4 (überschneidet sich mit)","SYS.2.1.A8-UA.4 (Teilbereich von)","SYS.2.3.A1-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.1.3"},{"id":"TEST.2.1","titel":"Versionshistorie","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE eine Versionshistorie wesentlicher Änderungen protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Versionshistorie","dokument":"Audit Log","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.8.A10-UA.3 (entspricht)","IND.1.A20-UA.3 (Teilbereich von)","INF.13.A21-UA.4 (Teilbereich von)","SYS.1.6.A20-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.2.1"},{"id":"TEST.2.2","titel":"Folgenabschätzung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests für Administrierende SOLLTE zu einer strukturierten Folgenabschätzung vor wesentlichen Änderungen anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"zu einer strukturierten Folgenabschätzung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.2.A24-UA.4 (umfasst)","OPS.1.1.3.A1-UA.6 (überschneidet sich mit)","OPS.1.1.3.A7-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.2.2"},{"id":"TEST.2.2.1","titel":"Kategorisierung von Änderungen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE Änderungsvorhaben einer Kategorie zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Änderungsvorhaben einer Kategorie","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.13.A16-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.2.2.1"},{"id":"TEST.2.2.2","titel":"Anpassung der Dokumentation","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die geplanten Änderungen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die geplanten Änderungen","dokument":"Ergebnisprotokoll","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.12.A10-UA.5 (Teilbereich von)","NET.3.4.A18-UA.5 (Teilbereich von)","OPS.1.1.3.A11-UA.1 (überschneidet sich mit)","OPS.1.2.2.A16-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.2.2.2"},{"id":"TEST.2.2.3","titel":"Dokumentation der Abhängigkeiten","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE von der Änderung betroffene Abhängigkeiten dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"von der Änderung betroffene Abhängigkeiten","dokument":"Systemdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["CON.10.A11-UA.1 (überschneidet sich mit)","INF.13.A17-UA.4 (überschneidet sich mit)","NET.3.4.A18-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.2.2.3"},{"id":"TEST.3.1","titel":"Sicherheitstest","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE vor wesentlichen Änderungen die Einhaltung der Sicherheitsanforderungen testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"vor wesentlichen Änderungen die Einhaltung der Sicherheitsanforderungen","dokument":"Freigabeplan","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.27 – Ressourcenmangel"],"vorgaenger":["INF.13.A16-UA.4 (Teilbereich von)","INF.13.A22-UA.3 (entspricht)","OPS.1.1.1.A7-UA.6 (überschneidet sich mit)","OPS.1.1.3.A1-UA.4 (umfasst)","OPS.1.1.6.A5-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1"},{"id":"TEST.3.1.1","titel":"Dokumentation von Testergebnissen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE Tests einschließlich Prüfschritte, Ergebnissen und ggf. vorgenommenen Korrekturen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Tests","dokument":"Freigabeplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":["INF.13.A22-UA.5 (Teilbereich von)","OPS.1.1.1.A12-UA.6 (überschneidet sich mit)","OPS.1.1.3.A13-UA.3 (entspricht)","OPS.1.1.6.A12-UA.4 (Teilbereich von)","OPS.1.1.6.A5-UA.3 (umfasst)","OPS.1.2.2.A16-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.1"},{"id":"TEST.3.1.2","titel":"Verwendung externer Software","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Einbindung externer Softwareartefakte und -Schnittstellen aus unzuverlässigen oder unbekannten Quellen untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Einbindung externer Softwareartefakte und -Schnittstellen aus unzuverlässigen oder unbekannten Quellen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.46 – Integritätsverlust schützenswerter Informationen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["APP.6.A4-UA.7 (umfasst)","APP.6.A8-UA.2 (umfasst)","IND.2.7.A12-UA.2 (überschneidet sich mit)","IND.2.7.A12-UA.3 (überschneidet sich mit)","OPS.1.1.3.A10-UA.3 (umfasst)","SYS.4.5.A11-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.2"},{"id":"TEST.3.1.3","titel":"Integritätstest","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Integrität von Softwareartefakten testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Integrität von Softwareartefakten","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["CON.8.A7-UA.6 (überschneidet sich mit)","OPS.1.1.6.A1-UA.1 (umfasst)","OPS.1.1.6.A11-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.3"},{"id":"TEST.3.1.4","titel":"Testdaten","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Testfälle abdeckende, aber unkritische Testdaten verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Testfälle abdeckende, aber unkritische Testdaten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["APP.5.2.A7-UA.4 (Teilbereich von)","CON.8.A7-UA.8 (entspricht)","IND.2.1.A11-UA.3 (Teilbereich von)","INF.13.A25-UA.1 (Teilbereich von)","OPS.1.1.3.A9-UA.3 (Teilbereich von)","OPS.1.1.6.A13-UA.1 (Teilbereich von)","OPS.1.1.6.A13-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.4"},{"id":"TEST.3.1.5","titel":"Testumgebung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE eine dedizierte Testumgebung installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine dedizierte Testumgebung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.4.4.A2-UA.2 (umfasst)","IND.1.A17-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.5"},{"id":"TEST.3.1.6","titel":"Kontinuierliche Tests","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN die Auswirkungen bei jeder Änderung automatisch testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Auswirkungen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.8.A7-UA.4 (Teilbereich von)","SYS.1.8.A20-UA.5 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.6"},{"id":"TEST.3.1.7","titel":"Chaos Engineering","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN die Resilienz bei Simulation verschiedenartiger Störungen testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Resilienz bei Simulation verschiedenartiger Störungen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.7"},{"id":"TEST.3.1.8","titel":"Analyse der Zusammensetzung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN die Zusammensetzung der Änderungen testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Zusammensetzung der Änderungen","dokument":"Freigabeplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["CON.8.A7-UA.5 (Teilbereich von)","OPS.1.1.1.A22-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.8"},{"id":"TEST.3.1.9","titel":"Fuzzing","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN die Stabilität gegen Fehlerzustände oder Abstürze bei der Eingabe großer Mengen an Zufallsdaten testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Stabilität gegen Fehlerzustände oder Abstürze bei der Eingabe großer Mengen an Zufallsdaten","dokument":"Freigabeplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["CON.8.A7-UA.9 (Teilbereich von)","INF.13.A16-UA.4 (umfasst)","INF.13.A22-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.9"},{"id":"TEST.3.1.10","titel":"Lasttest","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN die Belastbarkeit bei hoher Auslastung testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Belastbarkeit bei hoher Auslastung","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.4.A15-UA.1 (Teilbereich von)","APP.1.4.A15-UA.3 (Teilbereich von)","INF.13.A30-UA.1 (Teilbereich von)","INF.13.A30-UA.2 (Teilbereich von)","NET.3.2.A24-UA.2 (umfasst)","OPS.1.1.1.A23-UA.1 (entspricht)","OPS.1.1.6.A14-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.10"},{"id":"TEST.3.1.11","titel":"Penetrationstest bei Änderungen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN bekannte Schwachstellen bei kritischen Änderungen testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bekannte Schwachstellen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.1.11"},{"id":"TEST.3.2","titel":"Testabdeckung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Testabdeckung [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Testabdeckung","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.27 – Ressourcenmangel"],"vorgaenger":["INF.13.A22-UA.6 (überschneidet sich mit)","OPS.1.1.1.A20-UA.3 (umfasst)","OPS.1.1.1.A7-UA.8 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.3.2"},{"id":"TEST.4.1","titel":"Autorisierung von Änderungen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE kritische Änderungen anhand von Kriterien einschließlich der Sicherheitsanforderungen autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"kritische Änderungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.3.A1-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.1"},{"id":"TEST.4.1.1","titel":"Unabhängigkeit der Autorisierung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN kritische Änderungen auch durch eine von der Implementierung unabhängige Person autorisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"kritische Änderungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ISMS.1.A11-UA.6 (umfasst)","OPS.1.1.2.A17-UA.1 (überschneidet sich mit)","OPS.1.1.6.A4-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.1.1"},{"id":"TEST.4.1.2","titel":"Staging","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die freizugebenden Änderungen in einer von der Produktumgebung getrennten Staging-Umgebung, deren Komponenten so weit wie möglich der Produktivumgebung entsprechen, testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die freizugebenden Änderungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.3.A1-UA.3 (umfasst)","OPS.1.1.3.A9-UA.4 (umfasst)","OPS.1.1.6.A4-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.1.2"},{"id":"TEST.4.1.3","titel":"Dokumentation der Freigabe","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Freigabe einschließlich Zeitpunkt, Vorhaben, Freigabekriterien und freigebender Personen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Freigabe","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.1.3"},{"id":"TEST.4.2","titel":"Signatur","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN eine Signatur der Freigabeerklärung ausführen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Signatur der Freigabeerklärung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["OPS.1.1.3.A9-UA.4 (Teilbereich von)","OPS.1.1.3.A9-UA.5 (Teilbereich von)","OPS.1.1.6.A4-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.2"},{"id":"TEST.4.3","titel":"Rückfallösung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE eine Rückfallösung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Rückfallösung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.2.A24-UA.5 (umfasst)","OPS.1.1.3.A1-UA.5 (umfasst)","OPS.1.1.7.A18-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.3"},{"id":"TEST.4.4","titel":"Geregelte Notfalländerungen","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE Regelungen für Notfalländerungen einschließlich Vorgehensweise, Zuständigkeiten, erforderlicher Ressourcen und minimaler Prüfschritte verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Regelungen für Notfalländerungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.27 – Ressourcenmangel"],"vorgaenger":["APP.4.3.A22-UA.4 (Teilbereich von)","DER.4.A1-UA.1 (überschneidet sich mit)","OPS.1.2.5.A21-UA.2 (Teilbereich von)","SYS.1.8.A20-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.4.4"},{"id":"TEST.5.1","titel":"Information betroffener Kreise","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE von der Änderung betroffene Kreise informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"von der Änderung betroffene Kreise","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["APP.6.A12-UA.2 (Teilbereich von)","INF.13.A12-UA.8 (umfasst)","OPS.1.1.3.A1-UA.6 (umfasst)","OPS.1.1.3.A6-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.5.1"},{"id":"TEST.5.2","titel":"Verschlüsselte Bereitstellung","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Bereitstellung verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Bereitstellung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.41 – Sabotage","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":["CON.9.A8-UA.2 (umfasst)","IND.2.7.A12-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.5.2"},{"id":"TEST.5.3","titel":"Schrittweiser Rollout","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests KANN die Inbetriebnahme stufenweise ausführen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Inbetriebnahme","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["SYS.2.1.A11-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.5.3"},{"id":"TEST.5.4","titel":"Persistenz","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Persistenz nach wesentlichen Änderungen testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Persistenz","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.22 – Manipulation von Informationen","G 0.43 – Einspielen von Nachrichten","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.13.A12-UA.3 (überschneidet sich mit)","NET.3.1.A25-UA.1 (Teilbereich von)","NET.3.2.A25-UA.1 (Teilbereich von)","NET.3.2.A25-UA.2 (Teilbereich von)","OPS.1.1.3.A1-UA.8 (umfasst)","OPS.1.1.6.A12-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.5.4"},{"id":"TEST.5.5","titel":"Rückblick","praktik_id":"TEST","praktik":"TEST Änderungen und Tests","anforderung":"Änderungen und Tests SOLLTE die Erreichung der Bereitstellungsziele [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Erreichung der Bereitstellungsziele","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.11.1.A17-UA.5 (Teilbereich von)","OPS.1.1.3.A1-UA.7 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/test/#TEST.5.5"},{"id":"GEB.1.1","titel":"Verfahren und Regelungen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte MUSS Verfahren und Regelungen zum physischen Schutz von Standorten, an denen schützenswerte Informationen verarbeitet oder gespeichert werden, verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Verfahren und Regelungen zum physischen Schutz von Standorten, an denen schützenswerte Informationen verarbeitet oder gespeichert werden,","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.1"},{"id":"GEB.1.1.1","titel":"Dokumentation","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.1.1"},{"id":"GEB.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.1.2"},{"id":"GEB.1.1.3","titel":"Bekanntgabe","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.1.3"},{"id":"GEB.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.2"},{"id":"GEB.1.3","titel":"Autorisierung von Standorten","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Standorte für die Stationierung von Assets autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Standorte für die Stationierung von Assets","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.3"},{"id":"GEB.1.3.1","titel":"Abnahme von Standorten","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Standorte vor Autorisierung anhand von [Kriterien] testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Standorte","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.3.1"},{"id":"GEB.1.4","titel":"Exponierte Bereiche","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE schützenswerte Assets oder zugehörige Infrastrukturen nur außerhalb exponierter oder besonders gefährdeter Bereiche platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"schützenswerte Assets oder zugehörige Infrastrukturen nur außerhalb exponierter oder besonders gefährdeter Bereiche","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.5 – Naturkatastrophen","G 0.6 – Katastrophen im Umfeld","G 0.7 – Großereignisse im Umfeld","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.4"},{"id":"GEB.1.5","titel":"Strukturpläne","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Strukturpläne dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Strukturpläne","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.1.5"},{"id":"GEB.2.1","titel":"Installation von Perimetern","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Sicherheitsperimeter installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Sicherheitsperimeter","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.34 – Anschlag","G 0.41 – Sabotage"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.2.1"},{"id":"GEB.2.2","titel":"Dokumentation öffentlicher Bereiche","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Gebäude SOLLTE Bereiche, die ohne Authentifizierung zugänglich sind, mit Begründung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Gebäude"],"unterkategorien":[],"ergebnis":"Bereiche, die ohne Authentifizierung zugänglich sind,","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.2.2"},{"id":"GEB.2.3","titel":"Erkundung aus dem öffentlichen Raum","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Hör- und Sehschutz gegen den öffentlichen Raum testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Hör- und Sehschutz gegen den öffentlichen Raum","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.2.3"},{"id":"GEB.2.4","titel":"Elektromagnetische Abschirmung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN die Elektromagnetische Abschirmung testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Elektromagnetische Abschirmung","dokument":"Abnahmeprotokoll","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.13 – Abfangen kompromittierender Strahlung","G 0.12 – Elektromagnetische Störstrahlung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.2.4"},{"id":"GEB.3.1","titel":"Überwachung von Zutrittspunkten","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Zutrittspunkte auf unbefugte Zutritte überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Zutrittspunkte auf unbefugte Zutritte","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.34 – Anschlag"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.1"},{"id":"GEB.3.1.1","titel":"Videoüberwachung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Zutritte per Video überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Zutritte","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.1.1"},{"id":"GEB.3.1.2","titel":"Überprüfung mitgeführter Gegenstände","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN das Mitführen von Gegenständen überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"das Mitführen von Gegenständen","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.34 – Anschlag","G 0.41 – Sabotage"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.1.2"},{"id":"GEB.3.2","titel":"Anmelde- und Empfangsbereiche","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Anmelde- und Empfangsbereiche installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Anmelde- und Empfangsbereiche","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.34 – Anschlag"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.2"},{"id":"GEB.3.3","titel":"Authentifizierung vor Zutritt","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Zutritte im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Zutritte","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.34 – Anschlag","G 0.41 – Sabotage"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.3"},{"id":"GEB.3.3.1","titel":"Zugangskontrollanlage","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Zutritte durch [einen automatiserten Mechanismus] im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements authentifizieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Zutritte durch {{einen automatiserten Mechanismus}}","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.3.1"},{"id":"GEB.3.3.2","titel":"Dokumentation von Zutritten","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Zutritte und Austritte mit Identität und Zeitpunkt dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Zutritte und Austritte","dokument":"Audit Log","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.3.2"},{"id":"GEB.3.3.3","titel":"Besucheranmeldung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Besuche durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Besuche","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.3.3"},{"id":"GEB.3.4","titel":"Berechtigungsmarkierung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Nutzende von Standorten KANN zum Tragen von gut sichtbaren Berechtigungsmarkierungen innerhalb des Sicherheitsperimeters anweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende","Standorte"],"unterkategorien":["Administrierende","Archiv","Führungskräfte","Gebäude","Institutionsleitung","Mitarbeitende","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zum Tragen von gut sichtbaren Berechtigungsmarkierungen innerhalb des Sicherheitsperimeters","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.4"},{"id":"GEB.3.5","titel":"Einbruchhemmung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN einbruchhemmende Bauteile nach [einer entsprechenden Norm] installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"einbruchhemmende Bauteile","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.34 – Anschlag","G 0.41 – Sabotage"],"vorgaenger":["INF.10.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.5"},{"id":"GEB.3.6","titel":"Einbruchmeldeanlagen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Einbrüche nach [einer entsprechenden Norm] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Einbrüche","dokument":"Prozess Gebäudemanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.41 – Sabotage"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.6"},{"id":"GEB.3.7","titel":"Kontrolle der Zutrittskontrolle","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE die angewendeten Zutrittskontrollmaßnahmen [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die angewendeten Zutrittskontrollmaßnahmen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.34 – Anschlag"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.3.7"},{"id":"GEB.4.1","titel":"Einrichtung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN geschlossene Sicherheitsbereiche installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"geschlossene Sicherheitsbereiche","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.34 – Anschlag","G 0.41 – Sabotage"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.4.1"},{"id":"GEB.4.2","titel":"Gesonderte Autorisierung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN die Zutrittsberechtigung zu diesem Sicherheitsbereich durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Zutrittsberechtigung zu diesem Sicherheitsbereich","dokument":"Prozess Identitäts- und Berechtigungsmanagement","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.4.2"},{"id":"GEB.4.3","titel":"Schleusen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Schleusen an Zugangspunkten installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Schleusen an Zugangspunkten","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.4.3"},{"id":"GEB.4.4","titel":"Vereinzelungsanlage","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Vereinzelungsanlagen an Zugangspunkten installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Vereinzelungsanlagen an Zugangspunkten","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.24 – Zerstörung von Geräten oder Datenträgern","G 0.19 – Offenlegung schützenswerter Informationen","G 0.34 – Anschlag"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.4.4"},{"id":"GEB.5.1","titel":"Lieferzugang","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE einen Zugang für die Abwicklung von Lieferungen ohne unbefugten Zugang zum restlichen Standort installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"einen Zugang für die Abwicklung von Lieferungen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.19 – Offenlegung schützenswerter Informationen","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":["INF.8.A1-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.5.1"},{"id":"GEB.5.2","titel":"Schutz gegen Manipulation","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für IT-Systeme KANN Manipulationsschutzvorkehrungen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Manipulationsschutzvorkehrungen","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.19 – Offenlegung schützenswerter Informationen","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.5.2"},{"id":"GEB.5.3","titel":"Physische Mikrosegmentierung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für IT-Systeme KANN eine physische Mikrosegmentierung installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine physische Mikrosegmentierung","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.5.3"},{"id":"GEB.6.1","titel":"Zugang zu Ausgabesystemen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für IT-Systeme SOLLTE den Zugang zu nicht-öffentlichen Ausgabesystemen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Zugang zu nicht-öffentlichen Ausgabesystemen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.6.1"},{"id":"GEB.6.2","titel":"Geschützte Aufstellung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für IT-Systeme SOLLTE diese geschützt vor dem Zugriff von Unbefugten platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"diese geschützt vor dem Zugriff von Unbefugten","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.6.2"},{"id":"GEB.6.2.1","titel":"Hostsysteme","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Hostsysteme SOLLTE diese ausschließlich in Serverräumen platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Hostsysteme"],"unterkategorien":[],"ergebnis":"diese ausschließlich in Serverräumen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.6.2.1"},{"id":"GEB.6.3","titel":"Netzkomponenten","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Netze SOLLTE für die Funktionsfähigkeit des Netzes erforderliche Systeme ausschließlich in Räumen für technische Infrastruktur platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"für die Funktionsfähigkeit des Netzes erforderliche Systeme ausschließlich in Räumen für technische Infrastruktur","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.6.3"},{"id":"GEB.6.4","titel":"Normgerechte Rechenzentren","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Serverräume KANN diese ausschließlich in Rechenzentren nach [einer anerkannten Norm] platzieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Serverräume"],"unterkategorien":[],"ergebnis":"diese ausschließlich in Rechenzentren","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.2 – Ungünstige klimatische Bedingungen","G 0.1 – Feuer"],"vorgaenger":["INF.2.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.6.4"},{"id":"GEB.7.1","titel":"Schlüsselbeauftragte","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE die Verwaltung von Schlüsseln [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Verwaltung von Schlüsseln","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.7.1"},{"id":"GEB.7.2","titel":"Verwahrung von Schlüsseln","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Nutzende von Standorten SOLLTE zur Verwahrung von Schlüsseln anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Standorte"],"unterkategorien":["Administrierende","Archiv","Führungskräfte","Gebäude","Institutionsleitung","Mitarbeitende","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zur Verwahrung von Schlüsseln","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.7.2"},{"id":"GEB.7.3","titel":"Schlüsselaudit","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE die vorhandenen Schlüssel [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die vorhandenen Schlüssel","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.7.3"},{"id":"GEB.8.1","titel":"Gesonderte Aufbewahrung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE geschäftskritische Speichermedien in verschließbaren Schutzeinrichtungen platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"geschäftskritische Speichermedien in verschließbaren Schutzeinrichtungen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":["INF.10.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.8.1"},{"id":"GEB.8.1.1","titel":"Archiv","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN geschäftskritische Speichermedien in Datenträgerarchiven platzieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"geschäftskritische Speichermedien in Datenträgerarchiven","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.8.1.1"},{"id":"GEB.8.2","titel":"Staub und Schmutz","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Archiv KANN Maßnahmen zum Schutz der Datenträger vor Staub und Schmutz verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Archiv"],"unterkategorien":[],"ergebnis":"Maßnahmen zum Schutz der Datenträger vor Staub und Schmutz","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.2 – Ungünstige klimatische Bedingungen","G 0.4 – Verschmutzung, Staub, Korrosion"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.8.2"},{"id":"GEB.8.3","titel":"Schutz der Datenträger vor Brandschäden","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN feuerfeste Behältnisse nach [einem anerkannten Standard] installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"feuerfeste Behältnisse","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.8.3"},{"id":"GEB.8.4","titel":"Überwachung schonender Klimatisierung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Archiv KANN für die Datenträger schonende Temperatur und Luftfeuchtigkeit anhand von [Schwellwerten] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Archiv"],"unterkategorien":[],"ergebnis":"für die Datenträger schonende Temperatur und Luftfeuchtigkeit","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.2 – Ungünstige klimatische Bedingungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.8.4"},{"id":"GEB.9.1","titel":"Normgerechte Stromversorgung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE eine norm- und bedarfsgerechte Stromversorgung und -verkabelung installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine norm- und bedarfsgerechte Stromversorgung und -verkabelung","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.8 – Ausfall oder Störung der Stromversorgung","G 0.10 – Ausfall oder Störung von Versorgungsnetzen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.1"},{"id":"GEB.9.1.1","titel":"Vorausschauende Lastanalyse","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN die bedarfsgerechte Stromversorgung [regelmäßig] vorausschauend überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die bedarfsgerechte Stromversorgung","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.1.1"},{"id":"GEB.9.1.2","titel":"Dedizierte Elektrounterverteilung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN eine ausschließlich für diesen Standort bestimmte Elektrounterverteilung die direkt von der Niederspannungshauptverteilung (NSHV) versorgt wird installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine ausschließlich für diesen Standort bestimmte Elektrounterverteilung","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.1.2"},{"id":"GEB.9.1.3","titel":"Redundante Stromversorgung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN eine redundante Stromversorgung für [eine Stützzeit] installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine redundante Stromversorgung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.8 – Ausfall oder Störung der Stromversorgung","G 0.25 – Ausfall von Geräten oder Systemen","G 0.10 – Ausfall oder Störung von Versorgungsnetzen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.1.3"},{"id":"GEB.9.1.4","titel":"Langanhaltende Sekundärversorgung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN eine redundante Stromversorgung für [eine längere Stützzeit] installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine redundante Stromversorgung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.1.4"},{"id":"GEB.9.2","titel":"Lasttest","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN die Belastbarkeit der Stromversorgung [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Belastbarkeit der Stromversorgung","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.8 – Ausfall oder Störung der Stromversorgung","G 0.25 – Ausfall von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.2"},{"id":"GEB.9.3","titel":"Notaus","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN eine Notausschaltung für die Versorgungseinrichtungen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine Notausschaltung für die Versorgungseinrichtungen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.8 – Ausfall oder Störung der Stromversorgung","G 0.10 – Ausfall oder Störung von Versorgungsnetzen","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.3"},{"id":"GEB.9.4","titel":"Überspannungsschutz","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Überspannungsschutzeinrichtungen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Überspannungsschutzeinrichtungen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.8 – Ausfall oder Störung der Stromversorgung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.4"},{"id":"GEB.9.5","titel":"Strukturierte Datenverkabelung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE eine norm- und bedarfsgerechte Datenverkabelung installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine norm- und bedarfsgerechte Datenverkabelung","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.5"},{"id":"GEB.9.5.1","titel":"Physisch geschützte Verlegung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE eine geschützte Kabelverlegung installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine geschützte Kabelverlegung","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.5.1"},{"id":"GEB.9.6","titel":"Zugang zu Räumen für technische Infrastruktur","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume für technische Infrastruktur SOLLTE den Zugang zu Räumen für technische Infrastruktur auf [für den Betrieb zuständige Personen oder Rollen] einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Räume für technische Infrastruktur"],"unterkategorien":["Serverräume"],"ergebnis":"den Zugang zu Räumen für technische Infrastruktur","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.6"},{"id":"GEB.9.7","titel":"Zweckentfremdung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume für technische Infrastruktur SOLLTE die Verwendung der Räume zu anderen Zwecken untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Räume für technische Infrastruktur"],"unterkategorien":["Serverräume"],"ergebnis":"die Verwendung der Räume zu anderen Zwecken","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.9.7"},{"id":"GEB.10.1","titel":"Klimatisierung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE eine ausreichende Klimatisierung von Räumlichkeiten anhand von [Schwellwerten] installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"eine ausreichende Klimatisierung von Räumlichkeiten","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.2 – Ungünstige klimatische Bedingungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.1"},{"id":"GEB.10.1.1","titel":"Luftstrom-Analyse","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Serverräume KANN den Klimatisierungsbedarf anhand einer Luftstrom-Analyse [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Serverräume"],"unterkategorien":[],"ergebnis":"den Klimatisierungsbedarf anhand einer Luftstrom-Analyse","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.1.1"},{"id":"GEB.10.1.2","titel":"Klimamessung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Serverräume SOLLTE Lufttemperatur und Luftfeuchtigkeit anhand von [Schwellwerten] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Serverräume"],"unterkategorien":[],"ergebnis":"Lufttemperatur und Luftfeuchtigkeit","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.2 – Ungünstige klimatische Bedingungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.1.2"},{"id":"GEB.10.1.3","titel":"Redundante Klimatisierung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN redundante Klimasysteme installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"redundante Klimasysteme","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.1.3"},{"id":"GEB.10.2","titel":"Brandschutz","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Brandschutz nach den entsprechenden Normen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Brandschutz","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.1 – Feuer"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2"},{"id":"GEB.10.2.1","titel":"Baulicher Brandschutz","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume SOLLTE bauliche Brandschutzeinrichtungen nach den entsprechenden Normen installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Räume"],"unterkategorien":["Archiv","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"bauliche Brandschutzeinrichtungen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.1"},{"id":"GEB.10.2.2","titel":"Brandabschnitte","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume SOLLTE Brandabschnitte nach den entsprechenden Normen installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Räume"],"unterkategorien":["Archiv","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Brandabschnitte","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.2.A2-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.2"},{"id":"GEB.10.2.3","titel":"Rauchdichtheit","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume KANN alle raumbildende Teile rauchdicht installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Räume"],"unterkategorien":["Archiv","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"alle raumbildende Teile rauchdicht","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.2.A2-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.3"},{"id":"GEB.10.2.4","titel":"Brandwiderstandsklassen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume KANN feuerfeste Materialen für alle raumbildenden Teile , sodass sie Feuern für [eine bestimmte Frist] standhalten, installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Räume"],"unterkategorien":["Archiv","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"feuerfeste Materialen für alle raumbildenden Teile","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.4"},{"id":"GEB.10.2.5","titel":"Brandmeldeanlagen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE das Entstehen von Bränden überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"das Entstehen von Bränden","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.5"},{"id":"GEB.10.2.6","titel":"Brandunterdrückung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Serverräume KANN Brandunterdrückungssysteme installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Serverräume"],"unterkategorien":[],"ergebnis":"Brandunterdrückungssysteme","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.6"},{"id":"GEB.10.2.7","titel":"Brandschutzprüfung","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE die Wirksamkeit der Brandschutzmaßnahmen [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"die Wirksamkeit der Brandschutzmaßnahmen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.2.7"},{"id":"GEB.10.3","titel":"Wasserschutz","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE zwischen Assets und Witterungs- sowie Wassergefahrenstellen mindestens eine physische Schutzmaßnahme vor Wasser nach den entsprechenden Normen installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zwischen Assets und Witterungs- sowie Wassergefahrenstellen mindestens eine physische Schutzmaßnahme vor Wasser","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.3 – Wasser","G 0.5 – Naturkatastrophen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.3"},{"id":"GEB.10.3.1","titel":"Doppelter baulicher Wasserschutz","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN zwischen Wassergefahrenstellen und Assets mindestens zwei bauliche Schutzmaßnahmen vor Wasser nach den entsprechenden Normen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zwischen Wassergefahrenstellen und Assets mindestens zwei bauliche Schutzmaßnahmen vor Wasser","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.3 – Wasser"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.3.1"},{"id":"GEB.10.3.2","titel":"Leckagesensor","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Wassereinbrüche überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Wassereinbrüche","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.3 – Wasser","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.3.2"},{"id":"GEB.10.4","titel":"Blitzschutzeinrichtungen","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte SOLLTE Blitzschutzeinrichtungen nach [einem anerkannten Standard] installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Blitzschutzeinrichtungen","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.4"},{"id":"GEB.10.4.1","titel":"Niederohmigkeit","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Standorte KANN Blitzschutzeinrichtungen [regelmäßig] auf Niederohmigkeit überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Standorte"],"unterkategorien":["Archiv","Gebäude","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"Blitzschutzeinrichtungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.4.1"},{"id":"GEB.10.5","titel":"Ableitfähiger Fußbodenbelag","praktik_id":"GEB","praktik":"GEB Gebäudemanagement","anforderung":"Gebäudemanagement für Räume für technische Infrastruktur KANN im Nahfeld von Systemen einen ableitfähigen Fußbodenbelag installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Räume für technische Infrastruktur"],"unterkategorien":["Serverräume"],"ergebnis":"im Nahfeld von Systemen einen ableitfähigen Fußbodenbelag","dokument":"Gebäudedokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/geb/#GEB.10.5"},{"id":"SENS.1.1","titel":"Verfahren und Regelungen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung MUSS Verfahren und Regelungen zur rollenspezifischen Schulung und Sensibilisierung verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur rollenspezifischen Schulung und Sensibilisierung","dokument":"","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.3.A9-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.1.1"},{"id":"SENS.1.1.1","titel":"Dokumentation","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.1.1.1"},{"id":"SENS.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.1.1.2"},{"id":"SENS.1.1.3","titel":"Bekanntgabe","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.1.1.3"},{"id":"SENS.1.2","titel":"Erfolgsmessung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung SOLLTE den Erfolg der Sensibilisierung anhand [objektivierter Kriterien] [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Erfolg der Sensibilisierung anhand {{objektivierter Kriterien}}","dokument":"Übungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.1.2"},{"id":"SENS.2.1","titel":"Schutzziele","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zu den Schutzzielen Verfügbarkeit, Vertraulichkeit und Integrität sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zu den Schutzzielen Verfügbarkeit, Vertraulichkeit und Integrität","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.1"},{"id":"SENS.2.2","titel":"Meldewege","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zu den Meldewegen und Informationsquellen bei Fragen informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zu den Meldewegen und Informationsquellen bei Fragen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.2"},{"id":"SENS.2.3","titel":"Verschlüsselung und Signatur","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Anwendungen SOLLTE zur Bedienung von Verschlüsselungs- und Signaturfunktionen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende","Anwendungen"],"unterkategorien":["Administrierende","DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Führungskräfte","Institutionsleitung","Interpersonelle Kommunikation","Mitarbeitende","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"zur Bedienung von Verschlüsselungs- und Signaturfunktionen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":["APP.1.1.A17-UA.5 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.3"},{"id":"SENS.2.4","titel":"Nutzung unautorisierter Assets","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE die Nutzung unautorisierter Assets untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Nutzung unautorisierter Assets","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.4"},{"id":"SENS.2.4.1","titel":"Verbindung unautorisierter IT-Systeme","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE die Verbindung unautorisierter IT-Systeme mit internen Netzen oder Schnittstellen untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Verbindung unautorisierter IT-Systeme mit internen Netzen oder Schnittstellen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.4.1"},{"id":"SENS.2.5","titel":"Zuständigkeitsbereiche","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zu Schutzbedarf und Schnittstellen in ihrem Zuständigkeitssbereich sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zu Schutzbedarf und Schnittstellen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.5"},{"id":"SENS.2.6","titel":"Umgehung von Sicherheitsfunktionen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die Umgehung von Sicherheitsfunktionen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Umgehung von Sicherheitsfunktionen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":["APP.1.1.A17-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.6"},{"id":"SENS.2.7","titel":"Änderung von Konfigurationen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die unautorisierte Änderung sicherheitsrelevanter Konfigurationen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die unautorisierte Änderung sicherheitsrelevanter Konfigurationen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.7"},{"id":"SENS.2.8","titel":"Melden von Ereignissen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Melden von sicherheitsrelevanten Ereignissen anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Melden von sicherheitsrelevanten Ereignissen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.8"},{"id":"SENS.2.8.1","titel":"Melden von Fehler- und Warnmeldungen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Melden von Fehler- und Warnmeldungen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Melden von Fehler- und Warnmeldungen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.2.8.1"},{"id":"SENS.3.1","titel":"Schadprogramme","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die Risiken von Schadprogrammen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Risiken von Schadprogrammen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.3.1"},{"id":"SENS.3.2","titel":"Öffnen in der Sandbox","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende KANN zum Öffnen verdächtiger Dateien ausschließlich auf einem isolierten IT-System (Sandbox) sensibilisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Öffnen verdächtiger Dateien ausschließlich auf einem isolierten IT-System (Sandbox)","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.3.2"},{"id":"SENS.3.3","titel":"Umwandeln verdächtiger Dateien","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende KANN zum Umwandeln verdächtiger Dateien in ein nicht-ausführbares Format vor der weiteren Verwendung sensibilisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Umwandeln verdächtiger Dateien in ein nicht-ausführbares Format","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.3.3"},{"id":"SENS.4.1","titel":"Personengebundene Authentisierungsmittel","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Umgang mit Authentisierungsmitteln im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Umgang mit Authentisierungsmitteln","dokument":"Schulungsplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1"},{"id":"SENS.4.1.1","titel":"Verdeckte Eingabe","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zur verdeckten Eingabe von Zugangsdaten sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur verdeckten Eingabe von Zugangsdaten","dokument":"Schulungsplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1.1"},{"id":"SENS.4.1.2","titel":"Untersagung von Passwort Recycling","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE die Wiederverwendung von Passwörtern untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Wiederverwendung von Passwörtern","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1.2"},{"id":"SENS.4.1.3","titel":"Wahl von Passwörtern","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zur Wahl ausreichend komplexer Passwörter sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Wahl ausreichend komplexer Passwörter","dokument":"Schulungsplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1.3"},{"id":"SENS.4.1.4","titel":"Passwörter nur im Passwortmanager","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE das Speichern oder Aufschreiben von Passwörtern außerhalb von Passwort-Managern untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"das Speichern oder Aufschreiben von Passwörtern außerhalb von Passwort-Managern","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1.4"},{"id":"SENS.4.1.5","titel":"Biometrische Authentifikation","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die Fälschbarkeit von biometrischen Authentifizierungsmerkmalen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Fälschbarkeit von biometrischen Authentifizierungsmerkmalen","dokument":"Schulungsplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.4.A14-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1.5"},{"id":"SENS.4.1.6","titel":"Keine Weitergabe personengebundener Authentisierungsmittel","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE die Weitergabe von personengebundenen Authentisierungsmitteln untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Weitergabe von personengebundenen Authentisierungsmitteln","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.1.6"},{"id":"SENS.4.2","titel":"Mehrfachnutzung von Zugängen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die Nutzung eines Zugangskontos durch mehrere Personen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Nutzung eines Zugangskontos durch mehrere Personen","dokument":"Schulungsplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.2"},{"id":"SENS.4.3","titel":"Abmelden nach Nutzung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Abmelden nach Nutzung sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Abmelden","dokument":"Schulungsplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.4.3"},{"id":"SENS.5.1","titel":"Datenablage","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Einhalten einer strukturierten Datenablage sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Einhalten einer strukturierten Datenablage","dokument":"Schulungsplan","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.38 – Missbrauch personenbezogener Daten","G 0.22 – Manipulation von Informationen","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.5.1"},{"id":"SENS.5.2","titel":"Weitergabe von Informationen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Informationen SOLLTE zu den Voraussetzungen der Weitergabe von Informationen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Informationen"],"unterkategorien":["Administrierende","Daten","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zu den Voraussetzungen der Weitergabe von Informationen","dokument":"Schulungsplan","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.38 – Missbrauch personenbezogener Daten","G 0.22 – Manipulation von Informationen","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.5.2"},{"id":"SENS.5.3","titel":"Weitergabe von Erreichbarkeiten","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende KANN die Veröffentlichung oder Weitergabe von Erreichbarkeiten an unbefugte Dritte untersagen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Veröffentlichung oder Weitergabe von Erreichbarkeiten an unbefugte Dritte","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.38 – Missbrauch personenbezogener Daten","G 0.22 – Manipulation von Informationen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.5.3"},{"id":"SENS.5.4","titel":"Rest- und Zusatzdaten","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zur Vermeidung oder Entfernung von Rest- und Zusatzdaten vor dem Versand sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Vermeidung oder Entfernung von Rest- und Zusatzdaten","dokument":"Schulungsplan","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.38 – Missbrauch personenbezogener Daten","G 0.22 – Manipulation von Informationen","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.5.4"},{"id":"SENS.5.5","titel":"Löschfristen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Löschen oder Vernichten nach Ablauf der festgelegten Löschfristen anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Löschen oder Vernichten","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.38 – Missbrauch personenbezogener Daten","G 0.45 – Datenverlust","G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.5.5"},{"id":"SENS.5.6","titel":"Papiervernichtung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Vernichten vertraulicher Dokumente nach Ablauf der Löschfrist sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Vernichten vertraulicher Dokumente","dokument":"Schulungsplan","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.38 – Missbrauch personenbezogener Daten","G 0.22 – Manipulation von Informationen","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.5.6"},{"id":"SENS.6.1","titel":"Scan angenommener Wechseldatenträger","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Virenscan angenommener Wechseldatenträger anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Virenscan angenommener Wechseldatenträger","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.6.1"},{"id":"SENS.6.2","titel":"Verschlüsselung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Verschlüsseln von Wechseldatenträgern anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Verschlüsseln von Wechseldatenträgern","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.6.2"},{"id":"SENS.7.1","titel":"Spezifische Sensibilisierung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zu zielobjektspezifischen Schutzmaßnahmen zielgruppengerecht sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zu zielobjektspezifischen Schutzmaßnahmen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.1.A17-UA.4 (überschneidet sich mit)","ORP.3.A9-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.1"},{"id":"SENS.7.2","titel":"Virenscan","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE zum Virenscan von Dateien aus externen Quellen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende","Interpersonelle Kommunikation"],"unterkategorien":["Administrierende","E-Mail","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Virenscan von Dateien aus externen Quellen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.1.A17-UA.2 (überschneidet sich mit)","APP.1.1.A3-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.2"},{"id":"SENS.7.3","titel":"Automatische Antworten","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE gegen die Ausgabe vertraulicher Daten durch AutoReply-Funktionen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Interpersonelle Kommunikation"],"unterkategorien":["Administrierende","E-Mail","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Ausgabe vertraulicher Daten durch AutoReply-Funktionen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.3"},{"id":"SENS.7.4","titel":"SPAM - Löschen oder Melden","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE zum Löschen oder Melden von SPAM sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Interpersonelle Kommunikation"],"unterkategorien":["Administrierende","E-Mail","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Löschen oder Melden von SPAM","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.4"},{"id":"SENS.7.5","titel":"SPAM - Nichtbeantwortung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE zum Nichtbeantworten von SPAM sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","Interpersonelle Kommunikation"],"unterkategorien":["Administrierende","E-Mail","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Nichtbeantworten von SPAM","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.5"},{"id":"SENS.7.6","titel":"SPAM - Links","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE gegen das Öffnen von Links in SPAM sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","Interpersonelle Kommunikation"],"unterkategorien":["Administrierende","E-Mail","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen das Öffnen von Links in SPAM","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.6"},{"id":"SENS.7.7","titel":"SPAM - Anhänge","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE gegen das Öffnen von Anhängen in SPAM sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","Interpersonelle Kommunikation"],"unterkategorien":["Administrierende","E-Mail","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen das Öffnen von Anhängen in SPAM","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.7"},{"id":"SENS.7.8","titel":"Gefälschte E-Mails","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von E-Mailn SOLLTE zum Erkennen von gefälschten E-Mails sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","E-Mail"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Erkennen von gefälschten E-Mails","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.8"},{"id":"SENS.7.9","titel":"Aktive Inhalte","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Office-Anwendungen SOLLTE zur Überprüfung aktiver Inhalte vor der Aktivierung sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Office-Anwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Überprüfung aktiver Inhalte vor der Aktivierung","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.1.A17-UA.1 (überschneidet sich mit)","APP.1.1.A2-UA.2 (überschneidet sich mit)","APP.1.1.A2-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.9"},{"id":"SENS.7.10","titel":"Trennen nicht benötigter Anschlüsse","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Virtualisierungslösungen SOLLTE zum Trennen nicht benötigter Verbindungen zwischen Host und virtuellem Gast sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Nutzende","Virtualisierungslösungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Trennen nicht benötigter Verbindungen zwischen Host und virtuellem Gast","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.10"},{"id":"SENS.7.11","titel":"Heimliche Aufzeichnung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von VK-Anwendungen SOLLTE gegen die heimliche Bild- oder Tonaufzeichnung bei einer Videokonferenz sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","VK-Anwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die heimliche Bild- oder Tonaufzeichnung","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.11"},{"id":"SENS.7.12","titel":"Öffentliche WLANs","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten SOLLTE gegen die Risiken der Nutzung öffentlicher WLANs sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Risiken der Nutzung öffentlicher WLANs","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.12"},{"id":"SENS.7.13","titel":"Unverschlüsselte WLANs","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten SOLLTE gegen die Risiken der Nutzung unverschlüsselter WLANs sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Risiken der Nutzung unverschlüsselter WLANs","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.13"},{"id":"SENS.7.14","titel":"Unautorisierte WLANs","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten KANN die Nutzung unautorisierter WLANs untersagen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Nutzung unautorisierter WLANs","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.14"},{"id":"SENS.7.15","titel":"Social Engineering Anrufe","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von TK-Anwendungen SOLLTE gegen Social Engineering Anrufe sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","TK-Anwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende","VK-Anwendungen"],"ergebnis":"gegen Social Engineering Anrufe","dokument":"Schulungsplan","gefaehrdungen":["G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.15"},{"id":"SENS.7.16","titel":"Mailbox-PIN und Co.","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von TK-Anwendungen SOLLTE zur Vergabe eigener Zugangsdaten zum Zugriff auf Aufzeichnungen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","TK-Anwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende","VK-Anwendungen"],"ergebnis":"zur Vergabe eigener Zugangsdaten zum Zugriff auf Aufzeichnungen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.16"},{"id":"SENS.7.17","titel":"Unverschlüsseltes Telefonieren","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von TK-Anwendungen SOLLTE gegen die Kommunikation über unverschlüsselte Telekommunikationsverbindungen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","TK-Anwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende","VK-Anwendungen"],"ergebnis":"gegen die Kommunikation über unverschlüsselte Telekommunikationsverbindungen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.17"},{"id":"SENS.7.18","titel":"Mobile Endgeräte in Sicherheitsbereichen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten KANN das Mitführen von Endgeräten in Sicherheitsbereichen untersagen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"das Mitführen von Endgeräten in Sicherheitsbereichen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.18"},{"id":"SENS.7.19","titel":"Unverschlüsselte SMS oder MMS","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten KANN die Kommunikation über SMS oder MMS untersagen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Kommunikation über SMS oder MMS","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.19"},{"id":"SENS.7.20","titel":"Authentifzierung von Gesprächspartnern","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Informationen SOLLTE zur Authentifizierung von Gesprächspartnern vor der Weitergabe von Informationen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","Informationen"],"unterkategorien":["Administrierende","Daten","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Authentifizierung von Gesprächspartnern vor der Weitergabe von Informationen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.42 – Social Engineering","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.20"},{"id":"SENS.7.21","titel":"Rechtsunsicherheit von Faxen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Faxanwendungen SOLLTE gegen die Rechtsunsicherheit bei Empfang oder Versand von Faxen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Faxanwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Rechtsunsicherheit bei Empfang oder Versand von Faxen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.21"},{"id":"SENS.7.22","titel":"Unverschlüsselte Faxleitungen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Faxanwendungen SOLLTE gegen die Risiken der unauthentisierten und unverschlüsselten Faxnutzung sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Nutzende","Faxanwendungen"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Risiken der unauthentisierten und unverschlüsselten Faxnutzung","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.22"},{"id":"SENS.7.23","titel":"Geolokation","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten SOLLTE über Standortbestimmungsfunktionen von mobilen Endgeräten sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"über Standortbestimmungsfunktionen von mobilen Endgeräten","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.23"},{"id":"SENS.7.24","titel":"Zertifikatswarnungen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Webbrowsern SOLLTE gegen das unautorisierte Übergehen einer Zertifikatswarnung bei der Webnutzung sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Webbrowser"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen das unautorisierte Übergehen einer Zertifikatswarnung bei der Webnutzung","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.2.A11-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.7.24"},{"id":"SENS.8.1","titel":"Screen Lock","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Sperren von IT-System vor dem Verlassen des Arbeitsplatzes anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Sperren von IT-System","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.4.A1-UA.1 (überschneidet sich mit)","SYS.3.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.1"},{"id":"SENS.8.2","titel":"Clean Desk","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zum Aufräumen von vertraulichen Dokumenten und Datenträgern vor dem Verlassen des Arbeitsplatzes anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Aufräumen von vertraulichen Dokumenten und Datenträgern","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.2"},{"id":"SENS.8.3","titel":"Risiken der Nutzung von mobilen Endgeräten","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Mobilen Endgeräten SOLLTE gegen Risiken der Nutzung von mobilen Endgeräten sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Nutzende","Mobile Endgeräte"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen Risiken der Nutzung von mobilen Endgeräten","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.3"},{"id":"SENS.8.4","titel":"Schließen von Türen und Fenstern","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Gebäuden SOLLTE zum Verschließen von Fenstern und Türen beim Verlassen von Räumlichkeiten anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Gebäude"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zum Verschließen von Fenstern und Türen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.44 – Unbefugtes Eindringen in Räumlichkeiten","G 0.2 – Ungünstige klimatische Bedingungen","G 0.3 – Wasser"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.4"},{"id":"SENS.8.5","titel":"Mitbringen von IT-Systemen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende KANN das Mitbringen unautorisierter IT-Systeme untersagen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"das Mitbringen unautorisierter IT-Systeme","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.5"},{"id":"SENS.8.6","titel":"Begleitung Externer","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Mitarbeitende von Standorten KANN zur Begleitung von Externen anweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Mitarbeitende","Standorte"],"unterkategorien":["Administrierende","Archiv","Führungskräfte","Gebäude","Institutionsleitung","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zur Begleitung von Externen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.6"},{"id":"SENS.8.7","titel":"Beaufsichtigung Externer","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Mitarbeitende von Standorten SOLLTE zur Beaufsichtigung von Externen in sensiblen Bereichen anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Mitarbeitende","Standorte"],"unterkategorien":["Administrierende","Archiv","Führungskräfte","Gebäude","Institutionsleitung","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zur Beaufsichtigung von Externen in sensiblen Bereichen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.7"},{"id":"SENS.8.8","titel":"Verwahrung Intern","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Räumen SOLLTE zur sicheren Verwahrung von IT-Systemen und Datenträgern sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende","Räume"],"unterkategorien":["Administrierende","Archiv","Führungskräfte","Institutionsleitung","Mitarbeitende","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"zur sicheren Verwahrung von IT-Systemen und Datenträgern","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.8"},{"id":"SENS.8.9","titel":"Rückgabe nicht mehr benötigter Assets","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zur Rückgabe nicht mehr benötigter Assets anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Rückgabe nicht mehr benötigter Assets","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.9"},{"id":"SENS.8.10","titel":"Vermeidung von Brandlasten","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende von Standorten SOLLTE das ungesicherte Hinterlassen von Brandlasten untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende","Standorte"],"unterkategorien":["Administrierende","Archiv","Führungskräfte","Gebäude","Institutionsleitung","Mitarbeitende","Räume","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"das ungesicherte Hinterlassen von Brandlasten","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.10"},{"id":"SENS.8.11","titel":"Verwendung von Brandschutmitteln","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Mitarbeitende SOLLTE zur korrekten Verwendung bereitgestellter Brandschutz-Hilfsmittel sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"zur korrekten Verwendung bereitgestellter Brandschutz-Hilfsmittel","dokument":"Schulungsplan","gefaehrdungen":["G 0.1 – Feuer","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.11"},{"id":"SENS.8.12","titel":"Verwendung von Wasserschutzmitteln","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Mitarbeitende KANN zur korrekten Verwendung bereitgestellter Wasserschutz-Hilfsmittel sensibilisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Mitarbeitende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung"],"ergebnis":"zur korrekten Verwendung bereitgestellter Wasserschutz-Hilfsmittel","dokument":"Schulungsplan","gefaehrdungen":["G 0.3 – Wasser"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.8.12"},{"id":"SENS.9.1","titel":"Verarbeitung in der Öffentlichkeit","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die Verarbeitung von vertraulichen Informationen in der Öffentlichkeit sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Verarbeitung von vertraulichen Informationen in der Öffentlichkeit","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.1"},{"id":"SENS.9.2","titel":"Vorsicht vor Mithören","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen das Abhören von Gesprächen beim mobilen Arbeiten sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen das Abhören von Gesprächen","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.2"},{"id":"SENS.9.3","titel":"Verwahrung außer Haus","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zur Verwahrung von IT-Systemen und Datenträgern beim mobilen Arbeiten anweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Verwahrung von IT-Systemen und Datenträgern","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.8.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.3"},{"id":"SENS.9.4","titel":"Mobile Arbeit mit Dokumenten","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE über den sicheren Umgang mit analogen Dokumenten beim mobilen Arbeiten sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"über den sicheren Umgang mit analogen Dokumenten","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.4"},{"id":"SENS.9.5","titel":"Mitnahme zur mobilen Arbeit","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE gegen die Mitnahme nicht erforderlicher IT-Systeme und Datenträger sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die Mitnahme nicht erforderlicher IT-Systeme und Datenträger","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.5"},{"id":"SENS.9.6","titel":"Mitnahme ins Ausland","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende KANN die Mitnahme nicht erforderlicher IT-Systeme und Datenträger bei Auslandsreisen untersagen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Mitnahme nicht erforderlicher IT-Systeme und Datenträger","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.6"},{"id":"SENS.9.7","titel":"Reise- und Sicherheitshinweise","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende SOLLTE zu Reise- und Sicherheitshinweisen des Auswärtigen Amtes bei Auslandsreisen ins außereuropäische Ausland sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zu Reise- und Sicherheitshinweisen des Auswärtigen Amtes","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.5 – Naturkatastrophen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.9.7"},{"id":"SENS.10.1","titel":"Grundprinzipien der Systemadministration","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Administrierende SOLLTE zu den Grundprinzipien der sicheren Administration sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"zu den Grundprinzipien der sicheren Administration","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.10.1"},{"id":"SENS.10.2","titel":"Umgang mit privilegierten Berechtigungen","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Administrierende SOLLTE zum Umgang mit privilegierten Berechtigungen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"zum Umgang mit privilegierten Berechtigungen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.10.2"},{"id":"SENS.10.3","titel":"Systemadministration - Sicherheitsvorfälle","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Administrierende SOLLTE zu Verfahren und Regelungen bei Sicherheitsvorfällen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"zu Verfahren und Regelungen bei Sicherheitsvorfällen","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.10.3"},{"id":"SENS.10.4","titel":"Systemadministration - Strukturierte Verkabelung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Administrierende von Netzen SOLLTE zur strukturierten Verkabelung sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Administrierende","Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"zur strukturierten Verkabelung","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.10.4"},{"id":"SENS.10.5","titel":"Systemadministration - Internetnutzung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Administrierende SOLLTE gegen den Internetzugriff über ein Administrationskonto sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"gegen den Internetzugriff über ein Administrationskonto","dokument":"Schulungsplan","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.10.5"},{"id":"SENS.11.1","titel":"Sensibilisierung der Institutionsleitung","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Institutionsleitung SOLLTE zur Bedeutung der Informationssicherheit für den Schutz der Geschäftsprozesse sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Institutionsleitung"],"unterkategorien":[],"ergebnis":"zur Bedeutung der Informationssicherheit für den Schutz der Geschäftsprozesse","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.3.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.11.1"},{"id":"SENS.11.2","titel":"Führen als Vorbild","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Führungskräfte SOLLTE zu ihrer Vorbildfunktion bei der Informationssicherheit sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Führungskräfte"],"unterkategorien":["Institutionsleitung"],"ergebnis":"zu ihrer Vorbildfunktion bei der Informationssicherheit","dokument":"Schulungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["ORP.3.A1-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.11.2"},{"id":"SENS.11.3","titel":"Whaling","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Führungskräfte SOLLTE gegen gezielte Angriffe auf Führungskräfte sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Führungskräfte"],"unterkategorien":["Institutionsleitung"],"ergebnis":"gegen gezielte Angriffe auf Führungskräfte","dokument":"Schulungsplan","gefaehrdungen":["G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.11.3"},{"id":"SENS.12.1","titel":"Hohe Risiken","praktik_id":"SENS","praktik":"SENS Sensibilisierung","anforderung":"Sensibilisierung für Nutzende KANN gegen die in der Risikoanalyse festgestellten hohen Risiken sensibilisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"gegen die in der Risikoanalyse festgestellten hohen Risiken","dokument":"Schulungsplan","gefaehrdungen":["G 0.42 – Social Engineering"],"vorgaenger":["ORP.3.A9-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/sens/#SENS.12.1"},{"id":"ARCH.1.1","titel":"Verfahren und Regelungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur MUSS Verfahren und Regelungen zur Architektur des Netzes und damit verbundener Infrastrukturen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Architektur des Netzes und damit verbundener Infrastrukturen","dokument":"","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["APP.3.6.A1-UA.2 (Teilbereich von)","INF.14.A13-UA.2 (Teilbereich von)","NET.1.1.A1-UA.1 (Teilbereich von)","NET.1.1.A13-UA.1 (Teilbereich von)","NET.1.1.A16-UA.1 (Teilbereich von)","NET.1.1.A17-UA.1 (Teilbereich von)","NET.1.1.A2-UA.4 (Teilbereich von)","NET.1.1.A2-UA.5 (Teilbereich von)","NET.1.1.A25-UA.1 (Teilbereich von)","NET.1.1.A3-UA.1 (Teilbereich von)","NET.1.1.A3-UA.3 (Teilbereich von)","NET.1.2.A1-UA.1 (Teilbereich von)","NET.1.2.A11-UA.1 (Teilbereich von)","NET.1.2.A11-UA.9 (Teilbereich von)","NET.1.2.A12-UA.1 (Teilbereich von)","NET.1.2.A14-UA.2 (Teilbereich von)","NET.1.2.A15-UA.1 (Teilbereich von)","OPS.1.1.1.A15-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.1.1"},{"id":"ARCH.1.1.1","titel":"Dokumentation","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["CON.8.A12-UA.4 (Teilbereich von)","INF.12.A10-UA.1 (Teilbereich von)","INF.12.A10-UA.2 (Teilbereich von)","INF.12.A10-UA.6 (Teilbereich von)","INF.12.A10-UA.8 (Teilbereich von)","INF.13.A3-UA.4 (Teilbereich von)","ISMS.1.A12-UA.6 (Teilbereich von)","NET.1.1.A2-UA.1 (entspricht)","NET.1.1.A2-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.1.1.1"},{"id":"ARCH.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["ISMS.1.A6-UA.7 (überschneidet sich mit)","OPS.1.1.1.A1-UA.1 (entspricht)","OPS.1.1.1.A1-UA.2 (überschneidet sich mit)","OPS.1.1.1.A19-UA.3 (Teilbereich von)","ORP.1.A1-UA.1 (überschneidet sich mit)","ORP.1.A2-UA.1 (überschneidet sich mit)","ORP.1.A4-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.1.1.2"},{"id":"ARCH.1.1.3","titel":"Bekanntgabe","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["ISMS.1.A8-UA.6 (Teilbereich von)","NET.1.2.A11-UA.2 (entspricht)","NET.3.2.A1-UA.3 (Teilbereich von)","ORP.1.A1-UA.4 (entspricht)","ORP.2.A1-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.1.1.3"},{"id":"ARCH.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["INF.11.A4-UA.4 (überschneidet sich mit)","INF.13.A4-UA.4 (überschneidet sich mit)","ISMS.1.A11-UA.2 (überschneidet sich mit)","ISMS.1.A7-UA.3 (überschneidet sich mit)","NET.2.2.A1-UA.7 (Teilbereich von)","NET.3.2.A1-UA.5 (Teilbereich von)","ORP.1.A1-UA.3 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.1.2"},{"id":"ARCH.2.1","titel":"Netzsegmente","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE eine Unterteilung des internen Netzes in Netzsegmente unter Berücksichtigung der Anforderungen der Institution und des Schutzbedarfes verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"eine Unterteilung des internen Netzes in Netzsegmente","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["APP.4.4.A7-UA.1 (Teilbereich von)","INF.14.A13-UA.1 (Teilbereich von)","INF.14.A6-UA.1 (Teilbereich von)","NET.1.1.A19-UA.1 (Teilbereich von)","NET.1.1.A22-UA.1 (überschneidet sich mit)","NET.1.1.A23-UA.1 (entspricht)","NET.1.1.A23-UA.3 (Teilbereich von)","NET.1.1.A31-UA.1 (Teilbereich von)","NET.1.1.A33-UA.1 (Teilbereich von)","NET.1.1.A34-UA.1 (Teilbereich von)","NET.1.1.A4-UA.1 (umfasst)","NET.1.1.A5-UA.1 (Teilbereich von)","NET.1.1.A5-UA.4 (Teilbereich von)","NET.1.1.A6-UA.1 (Teilbereich von)","NET.1.2.A33-UA.1 (umfasst)","OPS.1.1.1.A15-UA.3 (Teilbereich von)","OPS.1.1.2.A16-UA.2 (Teilbereich von)","SYS.1.5.A9-UA.3 (entspricht)","SYS.1.5.A9-UA.4 (Teilbereich von)","SYS.1.5.A9-UA.5 (Teilbereich von)","SYS.2.5.A2-UA.3 (Teilbereich von)","SYS.2.6.A4-UA.2 (Teilbereich von)","SYS.2.6.A4-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.1"},{"id":"ARCH.2.2","titel":"Einschränkung von Verbindungen zwischen Segmenten","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen Netzsegmenten anhand von [Kriterien] einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen Netzsegmenten","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["APP.4.4.A18-UA.3 (Teilbereich von)","INF.10.A6-UA.1 (Teilbereich von)","INF.10.A6-UA.3 (Teilbereich von)","INF.10.A6-UA.6 (Teilbereich von)","INF.14.A11-UA.3 (Teilbereich von)","INF.14.A11-UA.5 (Teilbereich von)","INF.14.A13-UA.2 (Teilbereich von)","NET.1.1.A10-UA.2 (Teilbereich von)","NET.1.1.A22-UA.6 (umfasst)","NET.1.1.A23-UA.2 (überschneidet sich mit)","NET.1.1.A24-UA.1 (Teilbereich von)","NET.1.1.A4-UA.4 (überschneidet sich mit)","NET.1.1.A5-UA.4 (Teilbereich von)","NET.1.2.A11-UA.8 (umfasst)","NET.3.2.A2-UA.3 (entspricht)","NET.3.4.A14-UA.2 (überschneidet sich mit)","NET.3.4.A9-UA.2 (Teilbereich von)","OPS.1.1.7.A17-UA.1 (überschneidet sich mit)","SYS.1.5.A15-UA.2 (Teilbereich von)","SYS.1.5.A9-UA.4 (entspricht)","SYS.4.1.A11-UA.2 (überschneidet sich mit)","SYS.4.4.A5-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2"},{"id":"ARCH.2.2.1","titel":"Externe Netzanschlüsse","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen über externe Netzanschlüsse einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen über externe Netzanschlüsse","dokument":"Netzplan","gefaehrdungen":["G 0.14 – Ausspähen von Informationen (Spionage)","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.40 – Verhinderung von Diensten (Denial of Service)","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["CON.7.A7-UA.1 (Teilbereich von)","IND.2.1.A16-UA.1 (Teilbereich von)","INF.10.A6-UA.1 (Teilbereich von)","INF.10.A6-UA.3 (Teilbereich von)","INF.10.A6-UA.4 (überschneidet sich mit)","INF.10.A6-UA.5 (Teilbereich von)","INF.10.A6-UA.6 (Teilbereich von)","INF.14.A11-UA.1 (Teilbereich von)","INF.14.A11-UA.3 (Teilbereich von)","INF.14.A28-UA.2 (Teilbereich von)","NET.1.1.A18-UA.1 (umfasst)","NET.3.1.A18-UA.2 (Teilbereich von)","NET.3.2.A19-UA.1 (Teilbereich von)","NET.3.2.A2-UA.3 (Teilbereich von)","NET.3.3.A11-UA.1 (Teilbereich von)","NET.3.4.A14-UA.2 (umfasst)","NET.3.4.A9-UA.2 (Teilbereich von)","NET.4.2.A4-UA.2 (Teilbereich von)","OPS.1.2.5.A8-UA.4 (Teilbereich von)","SYS.1.5.A9-UA.4 (umfasst)","SYS.3.2.1.A28-UA.2 (Teilbereich von)","SYS.4.1.A11-UA.2 (überschneidet sich mit)","SYS.4.4.A5-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.1"},{"id":"ARCH.2.2.2","titel":"Gastnetz","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen Gastnetz und internem Netz einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen Gastnetz und internem Netz","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["INF.10.A1-UA.4 (Teilbereich von)","INF.10.A6-UA.1 (entspricht)","INF.10.A6-UA.3 (identisch mit)","INF.10.A6-UA.4 (überschneidet sich mit)","INF.10.A6-UA.6 (Teilbereich von)","NET.1.1.A22-UA.6 (umfasst)","NET.1.1.A5-UA.4 (umfasst)","NET.3.2.A2-UA.2 (überschneidet sich mit)","NET.3.4.A14-UA.2 (überschneidet sich mit)","NET.3.4.A9-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.2"},{"id":"ARCH.2.2.3","titel":"Segmentierung von Servern und Clients","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen Hostsystemen und Clients einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen Hostsystemen und Clients","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["NET.1.1.A19-UA.1 (entspricht)","NET.1.1.A5-UA.1 (entspricht)","NET.1.1.A5-UA.2 (entspricht)","NET.1.1.A5-UA.3 (überschneidet sich mit)","NET.3.4.A9-UA.2 (Teilbereich von)","SYS.1.5.A9-UA.4 (entspricht)","SYS.2.1.A23-UA.1 (überschneidet sich mit)","SYS.2.5.A2-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.3"},{"id":"ARCH.2.2.4","titel":"VoIP-Netz","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze KANN Verbindungen zwischen Daten- und VoIP-Systemen einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen Daten- und VoIP-Systemen","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["INF.10.A6-UA.6 (überschneidet sich mit)","NET.4.2.A1-UA.5 (überschneidet sich mit)","NET.4.2.A16-UA.1 (identisch mit)","NET.4.2.A16-UA.2 (überschneidet sich mit)","NET.4.2.A16-UA.3 (entspricht)","NET.4.2.A4-UA.2 (überschneidet sich mit)","NET.4.2.A4-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.4"},{"id":"ARCH.2.2.5","titel":"OT-Systeme","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen OT-Systemen und anderen IT-Systemen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen OT-Systemen und anderen IT-Systemen","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["IND.1.A8-UA.1 (Teilbereich von)","IND.2.4.A1-UA.5 (Teilbereich von)","IND.3.2.A12-UA.1 (überschneidet sich mit)","IND.3.2.A5-UA.1 (überschneidet sich mit)","IND.3.2.A7-UA.1 (Teilbereich von)","IND.3.2.A7-UA.2 (Teilbereich von)","IND.3.2.A7-UA.4 (Teilbereich von)","IND.3.2.A8-UA.5 (überschneidet sich mit)","INF.14.A18-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.5"},{"id":"ARCH.2.2.6","titel":"Demilitarisierte Zone","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE eine demilitarisierte Zone installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"eine demilitarisierte Zone","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["APP.3.6.A16-UA.2 (Teilbereich von)","IND.1.A16-UA.2 (überschneidet sich mit)","NET.1.1.A10-UA.1 (Teilbereich von)","NET.1.1.A10-UA.2 (Teilbereich von)","NET.1.1.A10-UA.3 (Teilbereich von)","NET.1.1.A4-UA.1 (identisch mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.6"},{"id":"ARCH.2.2.7","titel":"Management-Netz","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE ein oder mehrere Management-Netze installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"ein oder mehrere Management-Netze","dokument":"Netzplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.32 – Missbrauch von Berechtigungen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["NET.1.1.A21-UA.5 (entspricht)","NET.1.2.A28-UA.2 (überschneidet sich mit)","NET.1.2.A29-UA.1 (Teilbereich von)","NET.1.2.A33-UA.1 (Teilbereich von)","NET.3.1.A13-UA.1 (Teilbereich von)","NET.3.1.A4-UA.4 (Teilbereich von)","NET.3.1.A4-UA.5 (überschneidet sich mit)","NET.3.2.A18-UA.1 (Teilbereich von)","NET.3.2.A18-UA.3 (überschneidet sich mit)","OPS.1.1.2.A16-UA.2 (entspricht)","SYS.1.5.A11-UA.1 (Teilbereich von)","SYS.1.5.A5-UA.1 (überschneidet sich mit)","SYS.1.5.A9-UA.3 (umfasst)","SYS.1.6.A5-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.7"},{"id":"ARCH.2.2.8","titel":"Segmentierung von Test und Betrieb","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen Testumgebungen und Betrieb einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen Testumgebungen und Betrieb","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["CON.8.A7-UA.8 (Teilbereich von)","NET.3.4.A9-UA.2 (überschneidet sich mit)","OPS.1.1.3.A9-UA.3 (Teilbereich von)","OPS.1.1.6.A13-UA.1 (Teilbereich von)","OPS.1.1.6.A13-UA.2 (identisch mit)","SYS.1.5.A9-UA.4 (umfasst)","SYS.1.7.A33-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.8"},{"id":"ARCH.2.2.9","titel":"Segmentierung von IPv4 und IPv6","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen IPv4 und IPv6 einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen IPv4 und IPv6","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.39 – Schadprogramme"],"vorgaenger":["NET.1.1.A20-UA.1 (entspricht)","NET.3.2.A17-UA.1 (Teilbereich von)","NET.3.4.A9-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.9"},{"id":"ARCH.2.2.10","titel":"Drucker-Netz","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen Druckern und anderen Systemen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen Druckern und anderen Systemen","dokument":"Netzplan","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.39 – Schadprogramme"],"vorgaenger":["NET.3.4.A9-UA.2 (überschneidet sich mit)","SYS.1.5.A9-UA.4 (umfasst)","SYS.4.1.A11-UA.1 (Teilbereich von)","SYS.4.1.A11-UA.3 (Teilbereich von)","SYS.4.1.A18-UA.3 (Teilbereich von)","SYS.4.1.A4-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.10"},{"id":"ARCH.2.2.11","titel":"Physische Segmentierung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze KANN den physischen Zugang auf diese einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"den physischen Zugang auf diese","dokument":"Netzplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen"],"vorgaenger":["NET.1.1.A23-UA.4 (überschneidet sich mit)","NET.1.1.A31-UA.1 (Teilbereich von)","NET.1.1.A32-UA.1 (Teilbereich von)","NET.1.1.A4-UA.1 (umfasst)","NET.1.2.A32-UA.1 (Teilbereich von)","OPS.1.1.7.A21-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.11"},{"id":"ARCH.2.2.12","titel":"Sprungserver","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur KANN Sprungserver installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Sprungserver","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.15 – Abhören"],"vorgaenger":["IND.3.2.A7-UA.4 (umfasst)","NET.1.2.A21-UA.3 (überschneidet sich mit)","OPS.1.1.7.A26-UA.1 (entspricht)","OPS.1.2.5.A25-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.2.12"},{"id":"ARCH.2.3","titel":"Mikrosegmentierung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für IT-Systeme KANN Verbindungen zu allen anderen IT-Systemen einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Verbindungen zu allen anderen IT-Systemen","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.15 – Abhören"],"vorgaenger":["NET.1.1.A4-UA.3 (Teilbereich von)","NET.3.4.A9-UA.2 (entspricht)","SYS.1.5.A4-UA.2 (Teilbereich von)","SYS.1.5.A9-UA.4 (Teilbereich von)","SYS.1.6.A5-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.3"},{"id":"ARCH.2.4","titel":"Inventar der Netze","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur SOLLTE ein Inventar der Netze einschließlich interner Segmente, externer Netzanschlüsse und deren Verwendungszweck dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Inventar der Netze","dokument":"Netzplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["IND.1.A4-UA.6 (Teilbereich von)","INF.12.A10-UA.1 (Teilbereich von)","NET.1.1.A16-UA.2 (umfasst)","NET.1.1.A17-UA.2 (umfasst)","NET.1.1.A2-UA.5 (entspricht)","NET.1.1.A22-UA.4 (umfasst)","NET.1.1.A25-UA.1 (überschneidet sich mit)","NET.1.2.A12-UA.6 (Teilbereich von)","NET.1.2.A13-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.4"},{"id":"ARCH.2.5","titel":"Netzplan","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE einen Netzplan dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"einen Netzplan","dokument":"Netzplan","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["IND.1.A4-UA.6 (Teilbereich von)","NET.1.1.A13-UA.3 (überschneidet sich mit)","NET.1.1.A2-UA.2 (identisch mit)","NET.1.1.A2-UA.5 (Teilbereich von)","NET.1.1.A25-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.5"},{"id":"ARCH.2.6","titel":"Topologieüberwachung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE die Einhaltung der Netzarchitektur [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"die Einhaltung der Netzarchitektur","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.22 – Manipulation von Informationen","G 0.41 – Sabotage"],"vorgaenger":["NET.1.1.A1-UA.7 (umfasst)","NET.1.1.A15-UA.3 (entspricht)","NET.1.2.A11-UA.4 (umfasst)","NET.2.1.A13-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.2.6"},{"id":"ARCH.3.1","titel":"Netzabdeckung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für WLANs SOLLTE die Netzabdeckung testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["WLANs"],"unterkategorien":[],"ergebnis":"die Netzabdeckung","dokument":"Netzplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["NET.2.1.A13-UA.3 (Teilbereich von)","NET.2.1.A4-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.3.1"},{"id":"ARCH.3.2","titel":"Einschränkung in Sicherheitsbereichen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für WLANs KANN in Sicherheitsbereichen die Ausstrahlung einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["WLANs"],"unterkategorien":[],"ergebnis":"in Sicherheitsbereichen die Ausstrahlung","dokument":"Netzplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":["NET.2.1.A1-UA.3 (entspricht)","NET.2.1.A4-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.3.2"},{"id":"ARCH.3.3","titel":"SSIDs","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für WLANs SOLLTE institutionsspezifische SSIDs aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["WLANs"],"unterkategorien":[],"ergebnis":"institutionsspezifische SSIDs","dokument":"Netzplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["NET.2.1.A5-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.3.3"},{"id":"ARCH.3.4","titel":"Verschlüsselte Netzanbindung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für WLANs SOLLTE die Netzanbindung [nach einem anerkannten Standard] verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["WLANs"],"unterkategorien":[],"ergebnis":"die Netzanbindung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.15 – Abhören","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["INF.10.A6-UA.4 (umfasst)","NET.1.1.A34-UA.3 (umfasst)","NET.2.1.A17-UA.1 (Teilbereich von)","NET.2.1.A3-UA.1 (entspricht)","NET.2.2.A3-UA.3 (umfasst)","SYS.2.1.A18-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.3.4"},{"id":"ARCH.4.1","titel":"Netzzugangskontrolle","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Interne Netzsegmente SOLLTE den Zugriff von IT-Systemen auf das Netzsegment im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Interne Netzsegmente"],"unterkategorien":["WLANs"],"ergebnis":"den Zugriff von IT-Systemen auf das Netzsegment","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["INF.10.A6-UA.2 (entspricht)","INF.14.A11-UA.4 (Teilbereich von)","NET.3.4.A14-UA.2 (überschneidet sich mit)","NET.3.4.A23-UA.4 (überschneidet sich mit)","NET.3.4.A7-UA.2 (identisch mit)","NET.3.4.A9-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.4.1"},{"id":"ARCH.4.1.1","titel":"Dynamische Netzzugangskontrolle","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Interne Netzsegmente SOLLTE den Zugriff von IT-Systemen auf das Netzsegment anhand [dynamischer Kriterien] im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Interne Netzsegmente"],"unterkategorien":["WLANs"],"ergebnis":"den Zugriff von IT-Systemen auf das Netzsegment","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.36 – Identitätsdiebstahl"],"vorgaenger":["NET.3.1.A21-UA.1 (Teilbereich von)","NET.3.4.A19-UA.1 (Teilbereich von)","NET.3.4.A9-UA.3 (Teilbereich von)","NET.3.4.A9-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.4.1.1"},{"id":"ARCH.4.1.2","titel":"Quarantäne","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Interne Netzsegmente KANN ein Quarantänenetz für nicht authentifizierte IT-Systeme installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Interne Netzsegmente"],"unterkategorien":["WLANs"],"ergebnis":"ein Quarantänenetz","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["NET.1.1.A4-UA.4 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.4.1.2"},{"id":"ARCH.4.2","titel":"Autorisiertes Routing","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Routing-Verbindungen durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Routing-Verbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.22 – Manipulation von Informationen"],"vorgaenger":["APP.5.4.A13-UA.1 (Teilbereich von)","NET.3.1.A1-UA.2 (überschneidet sich mit)","NET.3.1.A10-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.4.2"},{"id":"ARCH.4.3","titel":"Authentifizierung von Routingprotokollen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Änderungen an Routing-Tabellen im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Änderungen an Routing-Tabellen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["NET.3.1.A20-UA.1 (identisch mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.4.3"},{"id":"ARCH.5.1","titel":"Einschränkung und Inspektion von Verbindungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE Verbindungen zwischen IT-Systemen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen IT-Systemen","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["IND.1.A8-UA.2 (Teilbereich von)","IND.2.4.A1-UA.5 (Teilbereich von)","INF.10.A6-UA.1 (Teilbereich von)","INF.10.A6-UA.6 (Teilbereich von)","INF.14.A11-UA.1 (Teilbereich von)","NET.1.1.A19-UA.2 (Teilbereich von)","NET.3.2.A2-UA.2 (Teilbereich von)","NET.3.2.A2-UA.3 (Teilbereich von)","NET.3.4.A9-UA.2 (Teilbereich von)","OPS.1.1.7.A17-UA.1 (Teilbereich von)","SYS.1.5.A4-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1"},{"id":"ARCH.5.1.1","titel":"Blockieren anfälliger Netzprotokolle","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE anfällige Netzwerkprotokolle blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"anfällige Netzwerkprotokolle","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["NET.3.4.A24-UA.1 (entspricht)","OPS.1.2.5.A8-UA.1 (identisch mit)","SYS.1.9.A17-UA.2 (entspricht)","SYS.2.2.3.A9-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.1"},{"id":"ARCH.5.1.2","titel":"Netzbasierte Angriffe","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE bekannte netzbasierte Angriffsmethoden blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"bekannte netzbasierte Angriffsmethoden","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["NET.1.1.A8-UA.2 (Teilbereich von)","NET.3.1.A15-UA.1 (Teilbereich von)","NET.3.1.A16-UA.1 (Teilbereich von)","NET.3.1.A19-UA.1 (Teilbereich von)","NET.3.1.A5-UA.1 (Teilbereich von)","NET.3.2.A10-UA.1 (Teilbereich von)","NET.3.2.A19-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.2"},{"id":"ARCH.5.1.3","titel":"TCP-basierte Angriffe","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE bekannte TCP-basierte Angriffsmethoden blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"bekannte TCP-basierte Angriffsmethoden","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["APP.3.2.A18-UA.2 (umfasst)","NET.3.1.A17-UA.1 (Teilbereich von)","NET.3.2.A19-UA.1 (Teilbereich von)","NET.3.2.A19-UA.3 (Teilbereich von)","NET.3.2.A3-UA.2 (Teilbereich von)","OPS.1.2.5.A20-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.3"},{"id":"ARCH.5.1.4","titel":"UDP-basierte Angriffe","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE bekannte UDP-basierte Angriffsmethoden blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"bekannte UDP-basierte Angriffsmethoden","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["APP.3.2.A18-UA.2 (überschneidet sich mit)","NET.1.1.A8-UA.2 (umfasst)","NET.3.1.A17-UA.1 (überschneidet sich mit)","NET.3.2.A19-UA.1 (Teilbereich von)","NET.3.2.A19-UA.2 (Teilbereich von)","NET.3.2.A3-UA.4 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.4"},{"id":"ARCH.5.1.5","titel":"Deaktivierung von Split Tunneling","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE Split Tunneling blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"Split Tunneling","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["INF.10.A6-UA.6 (Teilbereich von)","NET.3.3.A10-UA.1 (überschneidet sich mit)","NET.3.3.A11-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.5"},{"id":"ARCH.5.1.6","titel":"Blockieren direkter Management-Verbindungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE Verbindungen zu Management-Schnittstellen blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"Verbindungen zu Management-Schnittstellen","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["NET.1.1.A11-UA.6 (umfasst)","NET.1.1.A21-UA.4 (umfasst)","NET.1.2.A21-UA.1 (Teilbereich von)","NET.3.1.A13-UA.2 (Teilbereich von)","NET.3.1.A4-UA.1 (umfasst)","NET.3.1.A4-UA.2 (entspricht)","NET.3.1.A4-UA.5 (umfasst)","NET.3.2.A18-UA.2 (Teilbereich von)","NET.3.2.A2-UA.2 (umfasst)","NET.3.2.A6-UA.1 (umfasst)","OPS.1.1.2.A16-UA.1 (überschneidet sich mit)","OPS.1.2.5.A25-UA.1 (Teilbereich von)","SYS.1.5.A5-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.6"},{"id":"ARCH.5.1.7","titel":"Edge-Routing","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE dynamische Routingprotokolle blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"dynamische Routingprotokolle","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["NET.3.1.A20-UA.3 (überschneidet sich mit)","NET.3.1.A20-UA.5 (Teilbereich von)","NET.3.2.A2-UA.2 (überschneidet sich mit)","NET.3.2.A2-UA.3 (überschneidet sich mit)","NET.3.2.A8-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.7"},{"id":"ARCH.5.1.8","titel":"Inspektion verschlüsselter Verbindungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE den Inhalt unverschlüsselter und verschlüsselter Verbindungen basierend auf der Art des Inhalts einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"den Inhalt unverschlüsselter und verschlüsselter Verbindungen","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["DER.1.A10-UA.1 (Teilbereich von)","NET.1.1.A12-UA.1 (überschneidet sich mit)","NET.3.2.A16-UA.3 (Teilbereich von)","NET.3.2.A16-UA.4 (Teilbereich von)","NET.3.2.A20-UA.1 (Teilbereich von)","NET.3.2.A21-UA.1 (Teilbereich von)","NET.3.2.A28-UA.2 (Teilbereich von)","NET.3.2.A28-UA.3 (überschneidet sich mit)","OPS.1.1.7.A17-UA.1 (überschneidet sich mit)","SYS.1.7.A6-UA.5 (überschneidet sich mit)","SYS.3.2.1.A28-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.8"},{"id":"ARCH.5.1.9","titel":"Filterung von DNS","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE unerwünschte Inhalte in DNS-Verbindungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"unerwünschte Inhalte in DNS-Verbindungen","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.39 – Schadprogramme"],"vorgaenger":["APP.1.2.A11-UA.3 (überschneidet sich mit)","NET.3.2.A2-UA.3 (überschneidet sich mit)","NET.3.2.A2-UA.5 (überschneidet sich mit)","NET.3.2.A28-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.9"},{"id":"ARCH.5.1.10","titel":"Webfilterung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE den Zugriff auf Webinhalte anhand von [Kriterien] einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"den Zugriff auf Webinhalte","dokument":"Firewallregeln","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.2.A7-UA.1 (überschneidet sich mit)","NET.3.2.A28-UA.1 (Teilbereich von)","NET.3.2.A28-UA.3 (Teilbereich von)","SYS.3.2.1.A28-UA.1 (Teilbereich von)","SYS.3.2.1.A28-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.10"},{"id":"ARCH.5.1.10.1","titel":"Bekannte schädliche Inhalte","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE bekannte schädliche Inhalte einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"bekannte schädliche Inhalte","dokument":"Firewallregeln","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.2.A11-UA.1 (Teilbereich von)","APP.1.2.A11-UA.3 (identisch mit)","IND.2.1.A16-UA.1 (umfasst)","NET.3.2.A28-UA.3 (Teilbereich von)","NET.3.4.A15-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.10.1"},{"id":"ARCH.5.1.10.2","titel":"Bekannte illegale Inhalte","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE bekannte illegale Inhalte einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"bekannte illegale Inhalte","dokument":"Firewallregeln","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.2.A11-UA.1 (überschneidet sich mit)","APP.1.2.A11-UA.3 (umfasst)","NET.3.2.A28-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.10.2"},{"id":"ARCH.5.1.10.3","titel":"Speicherdienste","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE Speicherdienste einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"Speicherdienste","dokument":"Firewallregeln","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["NET.3.4.A14-UA.2 (überschneidet sich mit)","SYS.2.1.A24-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.10.3"},{"id":"ARCH.5.1.11","titel":"P-A-P-Struktur","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE eine P-A-P-Struktur für eingehende und ausgehende Verbindungen installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"eine P-A-P-Struktur","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["APP.3.6.A16-UA.1 (Teilbereich von)","NET.1.1.A18-UA.1 (umfasst)","NET.1.1.A18-UA.10 (Teilbereich von)","NET.1.1.A18-UA.2 (Teilbereich von)","NET.1.1.A4-UA.7 (umfasst)","NET.3.2.A16-UA.1 (identisch mit)","NET.3.2.A16-UA.3 (Teilbereich von)","NET.3.2.A16-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.11"},{"id":"ARCH.5.1.12","titel":"Software-definierte Verbindungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze KANN Verbindungen zwischen IT-Systemen anhand dynamischer Kriterien einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Verbindungen zwischen IT-Systemen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["NET.3.2.A2-UA.4 (überschneidet sich mit)","NET.3.4.A9-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.12"},{"id":"ARCH.5.1.13","titel":"Produktdiversität","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse KANN für die Filterung diverse Produkte unterschiedlicher Hersteller für eingehende und ausgehende Verbindungen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"für die Filterung diverse Produkte unterschiedlicher Hersteller","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["NET.3.2.A27-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.1.13"},{"id":"ARCH.5.2","titel":"Blockieren direkter öffentlicher Verbindungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für IT-Systeme SOLLTE direkte Verbindungen von diesen ins öffentliche Netz blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"direkte Verbindungen von diesen ins öffentliche Netz","dokument":"Firewallregeln","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["CON.11.1.A16-UA.6 (Teilbereich von)","INF.10.A6-UA.6 (überschneidet sich mit)","NET.1.1.A8-UA.2 (entspricht)","NET.3.2.A2-UA.2 (überschneidet sich mit)","NET.3.2.A2-UA.3 (identisch mit)","NET.3.2.A2-UA.5 (entspricht)","SYS.2.1.A31-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.5.2"},{"id":"ARCH.6.1","titel":"Kontrollierte Verbindungsführung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse KANN eine [physisch oder logisch] kontrollierte Verbindungsführung für Weitverkehrsverbindungen aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"eine {{physisch oder logisch}} kontrollierte Verbindungsführung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["INF.14.A28-UA.2 (Teilbereich von)","NET.3.1.A4-UA.5 (Teilbereich von)","NET.3.2.A2-UA.2 (Teilbereich von)","NET.3.2.A2-UA.3 (Teilbereich von)","NET.3.3.A11-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.6.1"},{"id":"ARCH.6.2","titel":"Verschlüsselung von Weiterverkehrsverbindungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse SOLLTE Verbindungen ins Weitverkehrsnetz nach [einem anerkannten Standard] verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"Verbindungen ins Weitverkehrsnetz","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.15 – Abhören","G 0.14 – Ausspähen von Informationen (Spionage)","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.1.A11-UA.2 (entspricht)","APP.3.2.A11-UA.1 (umfasst)","NET.1.1.A34-UA.3 (umfasst)","OPS.1.2.5.A3-UA.4 (Teilbereich von)","OPS.1.2.5.A3-UA.5 (Teilbereich von)","OPS.1.2.5.A8-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.6.2"},{"id":"ARCH.7.1","titel":"Dedizierte Hostsysteme für Server","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Anwendungen SOLLTE Serverdienste ausschließlich auf für die Anwendung dedizierten [virtuellen oder physischen] Hostsystemen platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Serverdienste ausschließlich auf für die Anwendung dedizierten {{virtuellen oder physischen}} Hostsystemen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.2.A1-UA.4 (entspricht)","APP.3.6.A11-UA.2 (Teilbereich von)","APP.4.4.A15-UA.1 (Teilbereich von)","NET.3.4.A23-UA.3 (Teilbereich von)","SYS.1.1.A16-UA.3 (Teilbereich von)","SYS.1.1.A30-UA.1 (Teilbereich von)","SYS.1.6.A11-UA.1 (Teilbereich von)","SYS.2.1.A23-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.7.1"},{"id":"ARCH.7.2","titel":"Dedizierte Hardware","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Hostsysteme KANN diese auf dedizierter Hardware platzieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Hostsysteme"],"unterkategorien":[],"ergebnis":"diese auf dedizierter Hardware","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.6.A11-UA.2 (Teilbereich von)","SYS.2.5.A4-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.7.2"},{"id":"ARCH.7.3","titel":"Entwicklungs- und Testumgebungen","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Virtualisierungslösungen SOLLTE Entwicklungs- und Testumgebungen nicht auf produktiven Hostsystemen platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Virtualisierungslösungen"],"unterkategorien":[],"ergebnis":"Entwicklungs- und Testumgebungen nicht auf produktiven Hostsystemen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.46 – Integritätsverlust schützenswerter Informationen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["APP.4.4.A1-UA.1 (überschneidet sich mit)","CON.8.A7-UA.8 (Teilbereich von)","OPS.1.1.6.A13-UA.1 (entspricht)","OPS.1.1.6.A13-UA.2 (entspricht)","SYS.1.5.A10-UA.4 (identisch mit)","SYS.1.7.A33-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.7.3"},{"id":"ARCH.8.1","titel":"Redundanz im Kernnetz","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE für das Kernnetz redundante Netzkomponenten installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"für das Kernnetz redundante Netzkomponenten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["NET.1.1.A16-UA.2 (umfasst)","NET.1.1.A17-UA.2 (umfasst)","NET.1.1.A29-UA.1 (entspricht)","NET.1.1.A29-UA.3 (umfasst)","NET.3.1.A26-UA.2 (identisch mit)","SYS.1.1.A28-UA.3 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.8.1"},{"id":"ARCH.8.2","titel":"Redundante TK-Anbindung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Externe Netzanschlüsse KANN redundante TK-Anbindungen für eingehende und ausgehende Verbindungen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"redundante TK-Anbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.27 – Ressourcenmangel","G 0.25 – Ausfall von Geräten oder Systemen","G 0.11 – Ausfall oder Störung von Dienstleistern"],"vorgaenger":["APP.5.4.A11-UA.3 (umfasst)","NET.1.1.A29-UA.1 (umfasst)","NET.4.1.A19-UA.1 (identisch mit)","NET.4.1.A19-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.8.2"},{"id":"ARCH.8.3","titel":"Redundante Server","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Anwendungen KANN für die Funktionsfähigkeit der Anwendung erforderliche Hostsysteme redundant installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"für die Funktionsfähigkeit der Anwendung erforderliche Hostsysteme redundant","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.9 – Ausfall oder Störung von Kommunikationsnetzen","G 0.40 – Verhinderung von Diensten (Denial of Service)","G 0.27 – Ressourcenmangel"],"vorgaenger":["APP.3.2.A15-UA.1 (Teilbereich von)","APP.3.2.A15-UA.2 (Teilbereich von)","APP.3.6.A2-UA.1 (Teilbereich von)","APP.3.6.A2-UA.2 (Teilbereich von)","APP.5.3.A11-UA.1 (Teilbereich von)","NET.1.1.A28-UA.2 (umfasst)","NET.1.1.A29-UA.1 (Teilbereich von)","NET.1.2.A30-UA.2 (Teilbereich von)","OPS.1.1.7.A20-UA.2 (Teilbereich von)","SYS.1.1.A15-UA.1 (überschneidet sich mit)","SYS.1.1.A25-UA.3 (Teilbereich von)","SYS.1.1.A28-UA.1 (überschneidet sich mit)","SYS.1.1.A28-UA.3 (überschneidet sich mit)","SYS.1.9.A21-UA.2 (Teilbereich von)","SYS.2.5.A18-UA.3 (Teilbereich von)","SYS.2.6.A15-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.8.3"},{"id":"ARCH.9.1","titel":"Dimensionierung der Netzanbindung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze SOLLTE eine bedarfsgerechte Netzanbindung installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"eine bedarfsgerechte Netzanbindung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.27 – Ressourcenmangel"],"vorgaenger":["INF.12.A17-UA.3 (umfasst)","INF.12.A5-UA.1 (umfasst)","NET.4.2.A1-UA.6 (entspricht)","SYS.1.9.A6-UA.2 (Teilbereich von)","SYS.2.5.A2-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.9.1"},{"id":"ARCH.9.2","titel":"Lastverteilung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Anwendungen KANN eine [netzbasierte oder serverbasierte] automatische Lastverteilung aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine {{netzbasierte oder serverbasierte}} automatische Lastverteilung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.27 – Ressourcenmangel"],"vorgaenger":["SYS.1.1.A28-UA.1 (umfasst)","SYS.2.6.A12-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.9.2"},{"id":"ARCH.9.3","titel":"Automatische Skalierung","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Anwendungen KANN eine automatische Skalierung der von der Anwendung verwendeten Computerinstanzen anhand von [Schwellwerten] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine automatische Skalierung der von der Anwendung verwendeten Computerinstanzen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel"],"vorgaenger":["APP.4.3.A11-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.9.3"},{"id":"ARCH.9.4","titel":"Content Delivery Network","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Anwendungen KANN ein Content Delivery Network installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"ein Content Delivery Network","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.27 – Ressourcenmangel","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["NET.3.1.A17-UA.1 (überschneidet sich mit)","SYS.1.1.A25-UA.3 (umfasst)","SYS.1.1.A28-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.9.4"},{"id":"ARCH.9.5","titel":"Schutz gegen volumetrische DoS-Angriffe","praktik_id":"ARCH","praktik":"ARCH Architektur","anforderung":"Architektur für Netze KANN Schutzmaßnahmen gegen volumetrische DoS-Angriffe aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Schutzmaßnahmen gegen volumetrische DoS-Angriffe","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["APP.3.2.A18-UA.2 (Teilbereich von)","APP.5.3.A2-UA.7 (entspricht)","CON.10.A17-UA.1 (überschneidet sich mit)","NET.1.1.A30-UA.1 (Teilbereich von)","NET.1.1.A30-UA.2 (Teilbereich von)","NET.3.1.A17-UA.1 (Teilbereich von)","OPS.1.2.5.A20-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/arch/#ARCH.9.5"},{"id":"BER.1.1","titel":"Verfahren und Regelungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung MUSS Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.2.2.A1-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.1"},{"id":"BER.1.1.1","titel":"Dokumentation","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Prozess Identitäts- und Berechtigungsmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.1.1"},{"id":"BER.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.1.2"},{"id":"BER.1.1.3","titel":"Bekanntgabe","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"Prozess Identitäts- und Berechtigungsmanagement","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.1.3"},{"id":"BER.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.2"},{"id":"BER.1.3","titel":"Inventar Authentifizierungs- und Autorisierungssysteme","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE ein Inventar der Systeme zur Authentifizierung und Autorisierung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Inventar der Systeme zur Authentifizierung und Autorisierung","dokument":"Inventar Berechtigungssysteme","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.3"},{"id":"BER.1.4","titel":"Inventar der Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE ein Inventar der Berechtigungen mit Personen, Identitäten, Zugangskonten, Berechtigungen und deren jeweiliger Zuordnung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Inventar der Berechtigungen","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.1.4"},{"id":"BER.2.1","titel":"Person-Identität","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE eine eindeutige Identität zu genau einer natürlichen Person oder einem IT-System zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine eindeutige Identität zu genau einer natürlichen Person oder einem IT-System","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.2.1"},{"id":"BER.2.2","titel":"Einschränkung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Einrichtung, Änderung oder Löschung einer Identität einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Einrichtung, Änderung oder Löschung einer Identität","dokument":"Prozess Identitäts- und Berechtigungsmanagement","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.2.2"},{"id":"BER.2.3","titel":"Stammdatenprüfung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Stammdaten einer Identität anhand allgemeiner Stammdaten [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Stammdaten einer Identität anhand allgemeiner Stammdaten","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.2.3"},{"id":"BER.2.4","titel":"Protokollierung von Stammdatenänderungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Änderungen von Identitäts-Stammdaten protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Änderungen von Identitäts-Stammdaten","dokument":"Audit Log","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.2.4"},{"id":"BER.2.5","titel":"Deaktivierung bei Weggang","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die zugeordnete Identität bei Weggang von Nutzenden deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zugeordnete Identität","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["ORP.2.A2-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.2.5"},{"id":"BER.2.6","titel":"Löschen nach Fristablauf","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE nicht mehr benötigte Identitäten nach Ablauf der Löschfristen löschen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"nicht mehr benötigte Identitäten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.2.6"},{"id":"BER.3.1","titel":"Zentrales Management","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE ein zentrales Managementsystem für Zugangskonten installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein zentrales Managementsystem für Zugangskonten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.1"},{"id":"BER.3.2","titel":"Autorisierung neuer Zugangskonten","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Einrichtung von Zugangskonten durch [bestimmte Personen oder Rollen] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Einrichtung von Zugangskonten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.2"},{"id":"BER.3.3","titel":"Einschränkung des Managements","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE das Management von Zugangskonten auf Administrierende einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"das Management von Zugangskonten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.3"},{"id":"BER.3.4","titel":"Protokollierung von Änderungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Aktionen an Zugangskonten revisionsfähig protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Aktionen an Zugangskonten","dokument":"Audit Log","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.4"},{"id":"BER.3.5","titel":"Identität-Zugangskonto","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE ein Zugangskonto zu genau einer Identität zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Zugangskonto zu genau einer Identität","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["APP.2.2.A22-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.5"},{"id":"BER.3.6","titel":"Privilegierte Zugangskonten","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Administrierende SOLLTE separate Zugangskonten für administrative Tätigkeiten (Administrationskonten) verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Administrierende"],"unterkategorien":[],"ergebnis":"separate Zugangskonten für administrative Tätigkeiten (Administrationskonten)","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.6"},{"id":"BER.3.7","titel":"Single-Sign-On","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE die Anmeldung über einen zentralen Identitätsprovider aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Anmeldung über einen zentralen Identitätsprovider","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.7"},{"id":"BER.3.8","titel":"Hinweise bei Anmeldefehlern","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE Hinweise darauf, ob ein Zugangskonto existiert bei erfolglosen Anmeldeversuchen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Hinweise darauf, ob ein Zugangskonto existiert","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.8"},{"id":"BER.3.9","titel":"Ereignisgesteuerte Deaktivierung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Zugangskonten ereignisgesteuert deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Zugangskonten","dokument":"Ergebnisprotokoll","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["APP.3.1.A1-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.9"},{"id":"BER.3.10","titel":"Anmeldeversuchsgrenze am System","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE weitere Anmeldeversuche nach Erreichen von [einem maximalen Schwellwert an] fehlgeschlagenen Versuchen vorübergehend blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"weitere Anmeldeversuche nach Erreichen von {{einem maximalen Schwellwert an}} fehlgeschlagenen Versuchen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["APP.3.1.A1-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.10"},{"id":"BER.3.11","titel":"Anmeldeversuchsgrenze an der Anwendung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE weitere Anmeldeversuche nach Erreichen von [einem maximalen Schwellwert an] fehlgeschlagenen Versuchen vorübergehend blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"weitere Anmeldeversuche nach Erreichen von {{einem maximalen Schwellwert an}} fehlgeschlagenen Versuchen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["SYS.2.1.A1-UA.2 (überschneidet sich mit)","SYS.2.1.A1-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.11"},{"id":"BER.3.12","titel":"Systemsperre bei Inaktivität","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE eine Sperre bei Inaktivität nach [einer Frist] aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine Sperre bei Inaktivität","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.12"},{"id":"BER.3.13","titel":"Sperre der Anwendung bei Inaktivität","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE eine Sperre bei Inaktivität nach [einer Frist] aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Sperre bei Inaktivität","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.13"},{"id":"BER.3.14","titel":"Kein Recycling von Zugängen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Wiederverwendung von Zugangskonten für [einen bestimmten Zeitraum] blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Wiederverwendung von Zugangskonten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.14"},{"id":"BER.3.15","titel":"Zugang löschen nach Fristablauf","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE nicht mehr benötigte Zugangskonten nach Ablauf der Löschfristen löschen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"nicht mehr benötigte Zugangskonten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.15"},{"id":"BER.3.16","titel":"Keine Gruppenkonten","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Gruppenkonten im Regelbetrieb untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Gruppenkonten im Regelbetrieb","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.16"},{"id":"BER.3.17","titel":"Gruppenkonten - MFA","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE für Gruppenkonten die Mehr-Faktor-Authentisierung aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für Gruppenkonten die Mehr-Faktor-Authentisierung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.17"},{"id":"BER.3.18","titel":"Gruppenkonten - Wechsel dokumentieren","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE für Gruppenkonten die Identitäten, welche die Möglichkeit zum Zugriff haben, zum Wechselzeitpunkt dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für Gruppenkonten die Identitäten, welche die Möglichkeit zum Zugriff haben,","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.18"},{"id":"BER.3.19","titel":"Gruppenkonten - Passwortwechsel bei Weggang","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE für Gruppenkonten die Änderung von Zugangsdaten bei Weggang von Nutzenden ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"für Gruppenkonten die Änderung von Zugangsdaten","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.19"},{"id":"BER.3.20","titel":"Zwischenspeicherung von Zugangsdaten","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE die Zwischenspeicherung der Zugangsdaten von Nutzern deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Zwischenspeicherung der Zugangsdaten","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.20"},{"id":"BER.3.21","titel":"Dienstekonten","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Hostsysteme SOLLTE eine automatische Verwaltung der Zugangsdaten von Dienste-Konten aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Hostsysteme"],"unterkategorien":[],"ergebnis":"eine automatische Verwaltung der Zugangsdaten","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.21"},{"id":"BER.3.22","titel":"Notfallzugang","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung KANN Notfallzugangskonten installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Notfallzugangskonten","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.22"},{"id":"BER.3.23","titel":"Notfallzugang Verzeichnisdienst","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Verzeichnisdienste SOLLTE ein Notfallzugangskonto installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["Verzeichnisdienste"],"unterkategorien":[],"ergebnis":"ein Notfallzugangskonto","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.23"},{"id":"BER.3.24","titel":"Alternative Authentifizierung am IT-System","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme KANN ein ebenso vertrauenswürdiges, alternatives Verfahren zur Authentifizierung verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"ein ebenso vertrauenswürdiges, alternatives Verfahren zur Authentifizierung","dokument":"Anwendungsdokumentation","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.24"},{"id":"BER.3.25","titel":"Alternative Authentifizierung an der Anwendung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen KANN ein ebenso vertrauenswürdiges, alternatives Verfahren zur Authentifizierung verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"ein ebenso vertrauenswürdiges, alternatives Verfahren zur Authentifizierung","dokument":"Anwendungsdokumentation","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.3.25"},{"id":"BER.4.1","titel":"Prinzip der geringsten Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Vergabe von Berechtigungen nach dem Prinzip der geringsten Berechtigungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Vergabe von Berechtigungen nach dem Prinzip der geringsten Berechtigungen","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.1"},{"id":"BER.4.1.1","titel":"Rollenbasierte Berechtigung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Berechtigungen rollenbasiert zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Berechtigungen rollenbasiert","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.1.1"},{"id":"BER.4.1.2","titel":"JIT‑/JEA‑Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung KANN die Berechtigung zum Zeitpunkt des Zugriffs für [besonders kritische Ressourcen oder Zugänge] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Berechtigung zum Zeitpunkt des Zugriffs","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.1.2"},{"id":"BER.4.2","titel":"Autorisierung von Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Zuweisung von Berechtigungen durch [bestimmte Personen oder Rollen] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Zuweisung von Berechtigungen","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.2"},{"id":"BER.4.3","titel":"Begründung von Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Vergabe von Berechtigungen und Änderungen an Berechtigungen mit einer Begründung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Vergabe von Berechtigungen und Änderungen an Berechtigungen","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.3"},{"id":"BER.4.4","titel":"Überprüfung von Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE vergebene Berechtigungen [regelmäßig] auf Erforderlichkeit überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"vergebene Berechtigungen","dokument":"Prüfplan","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.4"},{"id":"BER.4.4.1","titel":"Überprüfung tatsächlicher Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE dokumentierte und tatsächlich vergebene Berechtigungen [regelmäßig] auf Übereinstimmung überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"dokumentierte und tatsächlich vergebene Berechtigungen","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.4.1"},{"id":"BER.4.5","titel":"Systemfunktionen ohne Authentifizierung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann, dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann,","dokument":"Systemdokumentation","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.5"},{"id":"BER.4.6","titel":"Anwendungsfunktionen ohne Authentifizierung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann, dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann,","dokument":"Anwendungsdokumentation","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.6"},{"id":"BER.4.7","titel":"IT-System-Zugangskonto","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme KANN diese genau einem Zugangskonto zuweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"diese genau einem Zugangskonto","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.7"},{"id":"BER.4.8","titel":"Entzug von Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE eine Vorgehensweise zum Entzug von Berechtigungen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zum Entzug von Berechtigungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.4.8"},{"id":"BER.5.1","titel":"Ausgabe, Registrierung und Zuordnung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE eine Vorgehensweise zur initialen Ausgabe oder Registrierung von Authentifizierungsmitteln und ihrer Zuordnung zu den vorgesehenen Zugangskonten oder Berechtigungsumfängen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zur initialen Ausgabe oder Registrierung von Authentifizierungsmitteln und ihrer Zuordnung zu den vorgesehenen Zugangskonten oder Berechtigungsumfängen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":["APP.4.2.A14-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.1"},{"id":"BER.5.1.1","titel":"Identität der vorgesehenen Empfänger","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE vor der Verteilung von Authentifizierungsmitteln die Identität der vorgesehenen Personen oder technischen Instanzen authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"vor der Verteilung von Authentifizierungsmitteln die Identität der vorgesehenen Personen oder technischen Instanzen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.1.1"},{"id":"BER.5.2","titel":"Zurücksetzung und Ersetzung von Authentifizierungsmitteln","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE eine Vorgehensweise zur Zurücksetzung oder Ersetzung von Authentifizierungsmitteln verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zur Zurücksetzung oder Ersetzung von Authentifizierungsmitteln","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.2"},{"id":"BER.5.3","titel":"Vorgehensweise zum Widerruf","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE eine Vorgehensweise zum Widerruf von Authentifizierungsmitteln verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zum Widerruf von Authentifizierungsmitteln","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":["APP.2.2.A23-UA.1 (überschneidet sich mit)","APP.4.2.A14-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.3"},{"id":"BER.5.4","titel":"Nur etablierte Kryptographie","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE bei kryptografischen Authentifizierungsmitteln die ausschließliche Verwendung etablierter kryptografischer Algorithmen nach [einem oder mehreren anerkannten Standards] verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bei kryptografischen Authentifizierungsmitteln die ausschließliche Verwendung etablierter kryptografischer Algorithmen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.4"},{"id":"BER.5.5","titel":"Deaktivierung einfacher Biometrie auf IT-Systemen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE die Authentifizierung nur anhand von Biometrie deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Authentifizierung nur anhand von Biometrie","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.5"},{"id":"BER.5.6","titel":"Vorkonfigurierte Authentisierungsmittel von IT-Systemen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE vorkonfigurierte Authentisierungsmittel deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"vorkonfigurierte Authentisierungsmittel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.6"},{"id":"BER.5.7","titel":"Vorkonfigurierte Authentisierungsmittel von Anwendungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE vorkonfigurierte Authentisierungsmittel deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"vorkonfigurierte Authentisierungsmittel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.7"},{"id":"BER.5.8","titel":"Mehr-Faktor-Authentisierung am Perimeter","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen von Externe Netzanschlüssen SOLLTE Phishing-resistente Mehr-Faktor-Authentisierung für alle Schnittstellen, auf die von Extern zugegriffen werden könnte, aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen","Externe Netzanschlüsse"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Phishing-resistente Mehr-Faktor-Authentisierung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.8"},{"id":"BER.5.9","titel":"Mehr-Faktor-Authentisierung für weitreichende Berechtigungen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Mehr-Faktor-Authentisierung für weitreichende Berechtigungen aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Mehr-Faktor-Authentisierung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.9"},{"id":"BER.5.10","titel":"Zugriffsbeschränkung pro IT-System","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für IT-Systeme SOLLTE den lesenden und schreibenden Zugriff auf Authentifizierungsmittel einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den lesenden und schreibenden Zugriff auf Authentifizierungsmittel","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.10"},{"id":"BER.5.11","titel":"Zugriffsbeschränkung pro Anwendung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Anwendungen SOLLTE den lesenden und schreibenden Zugriff auf Authentifizierungsmittel einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"den lesenden und schreibenden Zugriff auf Authentifizierungsmittel","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.11"},{"id":"BER.5.12","titel":"Zugang nur durch zwei Personen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung KANN die Aufteilung von Authentisierungsmitteln auf mehrere Personen verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Aufteilung von Authentisierungsmitteln auf mehrere Personen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.12"},{"id":"BER.5.13","titel":"Identität vor Zurücksetzung und Ersetzung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE vor der Zurücksetzung oder Ersetzung von Authentifizierungsmitteln eine Überprüfung der Identität der anfragenden Person oder technischen Instanz verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"vor der Zurücksetzung oder Ersetzung von Authentifizierungsmitteln eine Überprüfung der Identität der anfragenden Person oder technischen Instanz","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.13"},{"id":"BER.5.14","titel":"Kompromittierte Authentifizierungsmittel","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Sperrung kompromittierter Authentifizierungsmittel verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Sperrung kompromittierter Authentifizierungsmittel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.5.14"},{"id":"BER.6.1","titel":"Passwortmanager","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Nutzende SOLLTE einen Passwortmanager installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"einen Passwortmanager","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.6.1"},{"id":"BER.6.2","titel":"Blockieren von Passwort Recycling","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Nutzende SOLLTE die Wiederverwendung von Passwörtern blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Wiederverwendung von Passwörtern","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.6.2"},{"id":"BER.6.3","titel":"Trivialpasswörter","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung für Nutzende SOLLTE die Verwendung von Trivialpassworten blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"die Verwendung von Trivialpassworten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.6.3"},{"id":"BER.6.4","titel":"Kriterien für die Qualität von Passwörtern","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Kriterien für die Qualität von Passwörtern anhand von Lebensdauer und Angriffsmöglichkeiten verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Kriterien für die Qualität von Passwörtern","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.6.4"},{"id":"BER.6.5","titel":"Anlassbezogene Passwortwechsel","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE einen Passwortwechsel ausschließlich anlassbezogen ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen Passwortwechsel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.6.5"},{"id":"BER.6.6","titel":"Monitoring von Zugangsdaten","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Zugangsdaten auf Kompromittierung durch [einen automatisierten Mechanismus] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Zugangsdaten auf Kompromittierung","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.6.6"},{"id":"BER.7.1","titel":"Etablierte Algorithmen bei der Schlüsselerzeugung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die ausschließliche Verwendung etablierter kryptografischer Algorithmen bei der Schlüsselerzeugung nach [einem anerkannten Standard] verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die ausschließliche Verwendung etablierter kryptografischer Algorithmen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":["CON.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.1"},{"id":"BER.7.2","titel":"Schlüssellänge","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Schlüssellängen nach [einem anerkannten Standard] bei der Schlüsselerzeugung zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Schlüssellängen","dokument":"Verzeichnis öffentlicher Schlüssel","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.2"},{"id":"BER.7.3","titel":"Verzeichnis öffentlicher Schlüssel","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE zu jedem öffentlichen Schlüssel die dazugehörige Identität, das Ablaufdatum, den Nutzungszweck, die Schlüsselart und den Algorithmus bei der Schlüsselbeglaubigung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zu jedem öffentlichen Schlüssel die dazugehörige Identität, das Ablaufdatum, den Nutzungszweck, die Schlüsselart und den Algorithmus","dokument":"Verzeichnis öffentlicher Schlüssel","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.3"},{"id":"BER.7.4","titel":"Erzeugung auf sicheren IT-Systemen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Verwendung eines IT-Systems, welches mindestens dasselbe Schutzniveau bietet, für das der Schlüssel eingesetzt werden soll, bei der Schlüsselerzeugung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verwendung eines IT-Systems, welches mindestens dasselbe Schutzniveau bietet, für das der Schlüssel eingesetzt werden soll,","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.4"},{"id":"BER.7.5","titel":"Kriterien für die Qualität von Zufallszahlen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE [Kriterien] für die Qualität von Zufallszahlen bei der Schlüsselerzeugung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"{{Kriterien}} für die Qualität von Zufallszahlen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.5"},{"id":"BER.7.6","titel":"Etablierte Algorithmen beim Transport","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die ausschließliche Verwendung etablierter kryptografischer Algorithmen beim Transport geheimer Schlüssel verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die ausschließliche Verwendung etablierter kryptografischer Algorithmen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.6"},{"id":"BER.7.7","titel":"Kein Transport privater Schlüssel","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung KANN den Export privater Schlüssel durch [eine zuständige Person oder Rolle] autorisieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Export privater Schlüssel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.7"},{"id":"BER.7.8","titel":"Etablierte Algorithmen bei der Schlüsselnutzung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die ausschließliche Verwendung etablierter Algorithmen bei der Schlüsselnutzung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die ausschließliche Verwendung etablierter Algorithmen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":["CON.1.A1-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.8"},{"id":"BER.7.9","titel":"Zweckbindung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Verstöße gegen die Zweckbindung bei der Schlüsselnutzung untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verstöße gegen die Zweckbindung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.9"},{"id":"BER.7.10","titel":"Abgelaufene Schlüssel","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Nutzung des Schlüssels zur Verschlüsselung oder Signierung nach Ablauf der Nutzungszeit untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Nutzung des Schlüssels zur Verschlüsselung oder Signierung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.10"},{"id":"BER.7.11","titel":"Integrität","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Verifikation der Integrität geheimer Schlüssel vor jeder Nutzung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verifikation der Integrität geheimer Schlüssel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.11"},{"id":"BER.7.12","titel":"Authentizität","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Verifikation der Authentizität öffentlicher Schlüssel vor jeder Nutzung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verifikation der Authentizität öffentlicher Schlüssel","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.12"},{"id":"BER.7.13","titel":"Gültigkeit","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Verifikation der Gültigkeit des Schlüssels vor jeder Nutzung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verifikation der Gültigkeit des Schlüssels","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.13"},{"id":"BER.7.14","titel":"Schlüssel vor Ablauf prüfen","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Schlüssel auf das baldige Auslaufen der Nutzungszeit [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Schlüssel auf das baldige Auslaufen der Nutzungszeit","dokument":"Verzeichnis öffentlicher Schlüssel","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.14"},{"id":"BER.7.15","titel":"Vorgehensweise nach Nutzung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE eine Vorgehensweise zur Außerbetriebnahme geheimer Schlüssel , sobald sie nicht mehr benötigt werden, verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zur Außerbetriebnahme geheimer Schlüssel","dokument":"Verzeichnis öffentlicher Schlüssel","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.15"},{"id":"BER.7.16","titel":"Vorgaben für die Schlüsselbeglaubigung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE Vorgaben für die Schlüsselbeglaubigung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Vorgaben für die Schlüsselbeglaubigung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16"},{"id":"BER.7.16.1","titel":"Zertifizierungsstelle","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE die Beglaubigung von Schlüsseln [einer zuständigen Person oder Rolle] zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Beglaubigung von Schlüsseln","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16.1"},{"id":"BER.7.16.2","titel":"Beglaubigung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung bei Beantragung einer Beglaubigung testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16.2"},{"id":"BER.7.16.3","titel":"Erneuerung","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung bei Erneuerung einer Beglaubigung testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16.3"},{"id":"BER.7.16.4","titel":"Revocation","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung bei Revocation einer Beglaubigung testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16.4"},{"id":"BER.7.16.5","titel":"Beglaubigungsstatus","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE den Beglaubigungsstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Beglaubigungsstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel","dokument":"Verzeichnis öffentlicher Schlüssel","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16.5"},{"id":"BER.7.16.6","titel":"Revocationstatus","praktik_id":"BER","praktik":"BER Berechtigung","anforderung":"Berechtigung SOLLTE den Revocationstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Revocationstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel","dokument":"Verzeichnis öffentlicher Schlüssel","gefaehrdungen":["G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/ber/#BER.7.16.6"},{"id":"NOT.1.1","titel":"Verfahren und Regelungen","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung MUSS Verfahren und Regelungen zur Vorsorge für Notfälle der Informationssicherheit verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Vorsorge für Notfälle der Informationssicherheit","dokument":"BC-Leitlinie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.4.2.A28-UA.3 (überschneidet sich mit)","IND.1.A13-UA.1 (Teilbereich von)","OPS.1.1.1.A17-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.1.1"},{"id":"NOT.1.1.1","titel":"Dokumentation","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["DER.4.A12-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.1.1.1"},{"id":"NOT.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.1.1.2"},{"id":"NOT.1.1.3","titel":"Bekanntgabe","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.1.1.3"},{"id":"NOT.1.1.4","titel":"Business Continuity Management System","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung KANN ein [Reaktiv-, Aufbau- oder Standard-]BCMS nach [BSI-Standard 200-4] verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein {{Reaktiv-, Aufbau- oder Standard-}}BCMS nach {{einem anerkannten BCM-Standard}}","dokument":"BC-Leitlinie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.1.1.4"},{"id":"NOT.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["DER.4.A13-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.1.2"},{"id":"NOT.2.1","titel":"Verfahren und Regelungen zur BAO","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE Verfahren und Regelungen für eine Besondere Aufbauorganisation (BAO) zur Behandlung von Notfällen und Krisen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen für eine Besondere Aufbauorganisation (BAO) zur Behandlung von Notfällen und Krisen","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.2.1"},{"id":"NOT.2.1.1","titel":"Rollen","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE Aufgaben für die BAO einschließlich BAO-Stab und Notfallteams [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Aufgaben für die BAO","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.2.1.1"},{"id":"NOT.2.1.2","titel":"Alarmierung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE die Alarmierung der BAO verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Alarmierung der BAO","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.2.1.2"},{"id":"NOT.2.1.3","titel":"Stabsraum","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung KANN einen Stabsraum für den Stab installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen Stabsraum für den Stab","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.2.1.3"},{"id":"NOT.2.1.4","titel":"Stabsübung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung KANN die Funktionsfähigkeit der BAO [regelmäßig] durch Stabsübungen überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Funktionsfähigkeit der BAO","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.1 – Feuer"],"vorgaenger":["IND.1.A13-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.2.1.4"},{"id":"NOT.3.1","titel":"Wiederanlaufplan","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE einen Wiederanlaufplan für zeitkritische Systeme und Anwendungen dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen Wiederanlaufplan für zeitkritische Systeme und Anwendungen","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.3.1"},{"id":"NOT.3.2","titel":"Geschäftsfortführungsplan","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung KANN einen Geschäftsfortführungsplan für zeitkritische Geschäftsprozesse dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen Geschäftsfortführungsplan für zeitkritische Geschäftsprozesse","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.3.2"},{"id":"NOT.3.3","titel":"Sensibilisierung zum Vorgehen im Notfall","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Nutzende SOLLTE zur Vorgehensweise in Notfällen und Krisen sensibilisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Nutzende"],"unterkategorien":["Administrierende","Führungskräfte","Institutionsleitung","Mitarbeitende"],"ergebnis":"zur Vorgehensweise in Notfällen und Krisen","dokument":"Schulungsplan","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.3.3"},{"id":"NOT.3.4","titel":"Funktionstest","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung KANN die tatsächliche Funktionstüchtigkeit von Notfallplänen [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die tatsächliche Funktionstüchtigkeit von Notfallplänen","dokument":"Übungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["IND.1.A13-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.3.4"},{"id":"NOT.3.5","titel":"Ausweich-Telekommunikation","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE Ausweich-Telekommunikationsdienste verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Ausweich-Telekommunikationsdienste","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["IND.1.A24-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.3.5"},{"id":"NOT.3.6","titel":"Sicherheitsmechanismen","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE alternative Sicherheitsmechanismen , die in Notfällen greifen, verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"alternative Sicherheitsmechanismen","dokument":"Notfallhandbuch","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.2.A12-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.3.6"},{"id":"NOT.4.1","titel":"Dokumentation der Quellen","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE die zu sichernden Daten dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zu sichernden Daten","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.1"},{"id":"NOT.4.2","titel":"Sicherung des Systems","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für IT-Systeme SOLLTE deren Datensicherung [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"deren Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.2"},{"id":"NOT.4.3","titel":"Sicherung der Anwendung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Anwendungen SOLLTE deren Datensicherung [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"deren Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.3"},{"id":"NOT.4.4","titel":"Automatische Datensicherung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE die Datensicherung durch [einen automatisierten Mechanismus] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.4"},{"id":"NOT.4.5","titel":"Archivierung langfristig benötigter Daten","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE die Archivierung langfristig benötigter Daten [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Archivierung langfristig benötigter Daten","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.5"},{"id":"NOT.4.5.1","titel":"Zum Archiv gehörende Assets","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE die Archivierung von Assets, die zur Verwendung von archivierten Daten erforderlich sind, [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Archivierung von Assets, die zur Verwendung von archivierten Daten erforderlich sind,","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.5.1"},{"id":"NOT.4.5.2","titel":"Zum Archiv gehörende Dokumentation","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE die Archivierung von Dokumentationen, die zur Verwendung von archivierten Daten erforderlich sind, [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Archivierung von Dokumentationen, die zur Verwendung von archivierten Daten erforderlich sind,","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.5.2"},{"id":"NOT.4.6","titel":"Geschützte Aufbewahrung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE eine geschützte Aufbewahrung von Datensicherungen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine geschützte Aufbewahrung von Datensicherungen","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen","G 0.1 – Feuer","G 0.3 – Wasser"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.6"},{"id":"NOT.4.7","titel":"Versionierte Datensicherung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE eine Versionierung der Datensicherung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Versionierung der Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.7"},{"id":"NOT.4.8","titel":"Verschlüsselte Datensicherung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE die Datensicherung durch [einen anerkannten kryptographischen Algorithmus] verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.8"},{"id":"NOT.4.9","titel":"Speichermedien","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE dedizierte Speichermedien, die für den festgelegten Aufbewahrungszeitraum geeignet sind, installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"dedizierte Speichermedien,","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.9"},{"id":"NOT.4.10","titel":"Getrennte Aufbewahrung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE die Datensicherung getrennt von den Originaldaten platzieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Datensicherung getrennt von den Originaldaten","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.1 – Feuer","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.10"},{"id":"NOT.4.11","titel":"Datenträgerarchiv","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE ein Datenträgerarchiv installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Datenträgerarchiv","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.1 – Feuer"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.11"},{"id":"NOT.4.12","titel":"Georedundanz","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung KANN die georedundante Aufbewahrung mindestens einer Kopie der Datensicherung verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die georedundante Aufbewahrung mindestens einer Kopie der Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.5 – Naturkatastrophen","G 0.6 – Katastrophen im Umfeld","G 0.7 – Großereignisse im Umfeld","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.12"},{"id":"NOT.4.13","titel":"Datensouveränität","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Outsourcing SOLLTE die Datensicherung von Daten, die bei einem Dienstleister verarbeitet werden, nach [einem anerkannten Standard] [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Outsourcing"],"unterkategorien":["Cloud-Dienste"],"ergebnis":"die Datensicherung von Daten, die bei einem Dienstleister verarbeitet werden,","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.13"},{"id":"NOT.4.14","titel":"Offline-Kopie","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE eine Offline-Kopie [regelmäßig] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"eine Offline-Kopie","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen","G 0.1 – Feuer"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.14"},{"id":"NOT.4.15","titel":"Vorgehen zur Wiederherstellung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung SOLLTE die Vorgehensweise zur Wiederherstellung dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Vorgehensweise zur Wiederherstellung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.15"},{"id":"NOT.4.16","titel":"Test der Datensicherung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE den Erfolg der Datensicherung [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"den Erfolg der Datensicherung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.16"},{"id":"NOT.4.16.1","titel":"Test der Wiederherstellung","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Daten SOLLTE die Wiederherstellung mindestens anhand von repräsentativen Stichproben [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Wiederherstellung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.16.1"},{"id":"NOT.4.17","titel":"Anwendungstest","praktik_id":"NOT","praktik":"NOT Notfallplanung","anforderung":"Notfallplanung für Anwendungen KANN deren Funktionsfähigkeit nach Wiederherstellung [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"deren Funktionsfähigkeit nach Wiederherstellung","dokument":"Datensicherungskonzept","gefaehrdungen":["G 0.45 – Datenverlust","G 0.39 – Schadprogramme","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/not/#NOT.4.17"},{"id":"DET.1.1","titel":"Verfahren und Regelungen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion MUSS Verfahren und Regelungen zur Detektion von Sicherheitsvorfällen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Detektion von Sicherheitsvorfällen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["DER.1.A1-UA.1 (überschneidet sich mit)","DER.1.A1-UA.2 (Teilbereich von)","IND.1.A10-UA.6 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.1.1"},{"id":"DET.1.1.1","titel":"Dokumentation","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.1.1.1"},{"id":"DET.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.1.1.2"},{"id":"DET.1.1.3","titel":"Bekanntgabe","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["DER.1.A1-UA.3 (umfasst)","SYS.4.3.A1-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.1.1.3"},{"id":"DET.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.27 – Ressourcenmangel","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["DER.1.A1-UA.5 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.1.2"},{"id":"DET.2.1","titel":"Meldeverfahren","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE ein Meldeverfahren verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Meldeverfahren","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["DER.1.A3-UA.1 (überschneidet sich mit)","DER.2.1.A9-UA.2 (Teilbereich von)","DER.2.1.A9-UA.5 (entspricht)","IND.1.A10-UA.6 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.2.1"},{"id":"DET.2.1.1","titel":"Sofortmaßnahmen Nutzender","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Regelungen für Sofortmaßnahmen durch Nutzende verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Regelungen für Sofortmaßnahmen durch Nutzende","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.41 – Sabotage","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["IND.1.A10-UA.6 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.2.1.1"},{"id":"DET.2.1.2","titel":"Meldeformulare","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Meldeformulare für Vorfallsmeldungen installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Meldeformulare","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.41 – Sabotage","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["APP.3.2.A20-UA.3 (überschneidet sich mit)","DER.2.1.A20-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.2.1.2"},{"id":"DET.2.1.3","titel":"Rückmeldungen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE ein Verfahren für Rückmeldungen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren für Rückmeldungen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["DER.2.1.A9-UA.5 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.2.1.3"},{"id":"DET.2.2","titel":"Security Operations Center","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN die Erkennung, Beurteilung und initiale Behandlung von Vorfällen [dediziertem Personal] zuweisen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Erkennung, Beurteilung und initiale Behandlung von Vorfällen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.33 – Personalausfall","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["DER.2.1.A20-UA.1 (Teilbereich von)","DER.2.1.A20-UA.4 (überschneidet sich mit)","DER.2.1.A21-UA.6 (Teilbereich von)","DER.2.1.A21-UA.8 (Teilbereich von)","DER.2.1.A21-UA.9 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.2.2"},{"id":"DET.2.3","titel":"Ständiger Bereitschaftsdienst","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN einen ständigen Bereitschaftsdienst verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"einen ständigen Bereitschaftsdienst","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.41 – Sabotage","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["DER.1.A6-UA.4 (umfasst)","DER.2.1.A20-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.2.3"},{"id":"DET.3.1","titel":"Protokollierung sicherheitsrelevanter Ereignisse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen SOLLTE Sicherheitsrelevante Ereignisse mindestens für [eine bestimmte Frist] protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Sicherheitsrelevante Ereignisse","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.32 – Missbrauch von Berechtigungen","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["DER.1.A5-UA.1 (überschneidet sich mit)","IND.1.A10-UA.1 (Teilbereich von)","IND.1.A10-UA.2 (umfasst)","IND.1.A10-UA.3 (überschneidet sich mit)","INF.13.A21-UA.1 (Teilbereich von)","INF.13.A21-UA.2 (identisch mit)","NET.1.2.A26-UA.1 (Teilbereich von)","NET.1.2.A7-UA.1 (Teilbereich von)","NET.3.4.A16-UA.2 (Teilbereich von)","OPS.1.1.5.A3-UA.1 (umfasst)","SYS.1.1.A10-UA.1 (umfasst)","SYS.4.4.A18-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1"},{"id":"DET.3.1.1","titel":"Authentifizierungen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme SOLLTE Authentifizierungen bei Erfolg und Fehlschlag protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Authentifizierungen","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.27 – Ressourcenmangel","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.2.A4-UA.1 (überschneidet sich mit)","NET.1.2.A7-UA.1 (umfasst)","SYS.1.1.A10-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.1"},{"id":"DET.3.1.2","titel":"Ausgeführte Kommandozeilenbefehle","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme SOLLTE ausgeführte Kommandozeilenbefehle protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"ausgeführte Kommandozeilenbefehle","dokument":"Audit Log","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["SYS.1.2.3.A7-UA.1 (Teilbereich von)","SYS.2.2.3.A22-UA.2 (Teilbereich von)","SYS.2.3.A1-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.2"},{"id":"DET.3.1.3","titel":"Anbindung von Peripheriegeräten","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme SOLLTE das Anschließen von Peripheriegeräten protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"das Anschließen von Peripheriegeräten","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["IND.1.A10-UA.3 (umfasst)","OPS.1.1.5.A3-UA.1 (umfasst)","OPS.1.1.5.A6-UA.3 (umfasst)","SYS.1.1.A10-UA.1 (umfasst)","SYS.1.9.A13-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.3"},{"id":"DET.3.1.4","titel":"Systemfehler","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme SOLLTE Fehlermeldungen des Systems protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Fehlermeldungen des Systems","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.2.A4-UA.1 (umfasst)","APP.3.3.A14-UA.1 (überschneidet sich mit)","NET.1.2.A26-UA.3 (überschneidet sich mit)","NET.3.1.A7-UA.1 (überschneidet sich mit)","OPS.1.1.7.A15-UA.5 (umfasst)","SYS.1.1.A10-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.4"},{"id":"DET.3.1.5","titel":"Störungen der Netzerreichbarkeit","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme KANN Störungen der Netzerreichbarkeit protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Störungen der Netzerreichbarkeit","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["NET.1.2.A26-UA.3 (überschneidet sich mit)","NET.1.2.A7-UA.1 (umfasst)","NET.3.1.A7-UA.1 (überschneidet sich mit)","OPS.1.1.5.A3-UA.1 (überschneidet sich mit)","SYS.1.1.A10-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.5"},{"id":"DET.3.1.6","titel":"Systemspezifische Ereignisse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme KANN [bestimmte systemspezifische Ereignisse] protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"{{bestimmte systemspezifische Ereignisse}}","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["DER.1.A15-UA.3 (umfasst)","OPS.1.1.5.A11-UA.1 (entspricht)","SYS.1.9.A13-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.6"},{"id":"DET.3.1.7","titel":"Was, Wann, Wo","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen SOLLTE zu jedem sicherheitsrelevanten Ereignis mindestens Zeitpunkt, die Quelle und das Zielobjekt protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"zu jedem sicherheitsrelevanten Ereignis","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.13.A21-UA.4 (Teilbereich von)","NET.3.2.A9-UA.3 (Teilbereich von)","OPS.1.1.5.A1-UA.3 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.7"},{"id":"DET.3.1.8","titel":"Privilegierte Ereignisse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen SOLLTE privilegierte Ereignisse einschließlich der Aktivierung, Deaktivierung oder Blockierung privilegierter Funktionen protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"privilegierte Ereignisse","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["IND.1.A15-UA.3 (entspricht)","SYS.1.1.A10-UA.1 (umfasst)","SYS.1.9.A13-UA.2 (überschneidet sich mit)","SYS.2.5.A16-UA.2 (überschneidet sich mit)","SYS.4.3.A3-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.8"},{"id":"DET.3.1.9","titel":"Fehler der Anwendung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen SOLLTE Fehlermeldungen der Anwendung protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Fehlermeldungen der Anwendung","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["APP.3.2.A4-UA.1 (umfasst)","CON.10.A13-UA.2 (überschneidet sich mit)","DER.1.A5-UA.1 (umfasst)","NET.1.2.A7-UA.1 (umfasst)","SYS.1.1.A10-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.9"},{"id":"DET.3.1.10","titel":"Nutzungsstatistik","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen KANN eine Nutzungsstatistik protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Nutzungsstatistik","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.27 – Ressourcenmangel"],"vorgaenger":["APP.3.2.A4-UA.1 (Teilbereich von)","APP.3.6.A15-UA.3 (Teilbereich von)","DER.1.A13-UA.2 (Teilbereich von)","OPS.1.1.5.A11-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.10"},{"id":"DET.3.1.11","titel":"Anwendungsspezifische Ereignisse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen KANN [bestimmte anwendungsspezifische Ereignisse] protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"{{bestimmte anwendungsspezifische Ereignisse}}","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.32 – Missbrauch von Berechtigungen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["OPS.1.1.2.A18-UA.1 (Teilbereich von)","OPS.1.1.5.A1-UA.4 (überschneidet sich mit)","OPS.1.1.5.A11-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.11"},{"id":"DET.3.1.12","titel":"Datenverarbeitungen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Daten KANN die Verarbeitung von Daten protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"die Verarbeitung von Daten","dokument":"Audit Log","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["APP.3.2.A4-UA.1 (überschneidet sich mit)","IND.1.A10-UA.3 (umfasst)","INF.13.A21-UA.4 (überschneidet sich mit)","NET.4.1.A5-UA.2 (umfasst)","OPS.1.1.5.A11-UA.1 (umfasst)","SYS.1.1.A10-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.1.12"},{"id":"DET.3.2","titel":"Integration von Cloud-Diensten","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Cloud-Dienste KANN Ereignisse in der Cloud im Audit Log der Institution protokollieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Cloud-Dienste"],"unterkategorien":[],"ergebnis":"Ereignisse in der Cloud","dokument":"Audit Log","gefaehrdungen":["G 0.14 – Ausspähen von Informationen (Spionage)","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.4.A8-UA.3 (Teilbereich von)","APP.5.4.A4-UA.5 (überschneidet sich mit)","DER.2.2.A9-UA.1 (überschneidet sich mit)","OPS.1.1.5.A9-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.2"},{"id":"DET.3.3","titel":"Filterung nicht benötigter Inhalte","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN die Protokollierung nicht benötigter Inhalte anhand von [Kriterien] einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Protokollierung nicht benötigter Inhalte","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["APP.3.3.A14-UA.2 (überschneidet sich mit)","OPS.1.2.2.A8-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.3"},{"id":"DET.3.4","titel":"Speicherkapazität","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE den für die Protokollierung zur Verfügung stehenden Speicherplatz [bei Erreichen eines bestimmten Schwellwertes oder regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den für die Protokollierung zur Verfügung stehenden Speicherplatz","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.32 – Missbrauch von Berechtigungen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["IND.1.A15-UA.4 (Teilbereich von)","NET.1.2.A35-UA.1 (entspricht)","OPS.1.1.2.A28-UA.3 (Teilbereich von)","OPS.1.1.5.A10-UA.1 (Teilbereich von)","OPS.1.1.5.A5-UA.5 (entspricht)","OPS.1.1.5.A9-UA.6 (Teilbereich von)","SYS.4.5.A11-UA.1 (Teilbereich von)","SYS.4.5.A11-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.4"},{"id":"DET.3.5","titel":"Revisionssicherheit","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Änderungen am Audit Log revisionssicher dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Änderungen am Audit Log","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["DER.2.2.A14-UA.1 (überschneidet sich mit)","DER.2.2.A5-UA.1 (Teilbereich von)","NET.1.2.A35-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.5"},{"id":"DET.3.6","titel":"Unbestreitbarkeit","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Daten KANN Nachweise für den Zusammenhang [bestimter Ereignisse] mit [einer bestimmten Person oder Rolle] dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Daten"],"unterkategorien":[],"ergebnis":"Nachweise für den Zusammenhang {{bestimter Ereignisse}} mit {{einer bestimmten Person oder Rolle}}","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.32 – Missbrauch von Berechtigungen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.3.6"},{"id":"DET.4.1","titel":"Überwachung der Protokollierung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE die Funktionsfähigkeit der Protokollierung überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Funktionsfähigkeit der Protokollierung","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.37 – Abstreiten von Handlungen","G 0.27 – Ressourcenmangel"],"vorgaenger":["APP.4.2.A32-UA.1 (Teilbereich von)","DER.1.A14-UA.2 (überschneidet sich mit)","DER.1.A6-UA.1 (umfasst)","IND.1.A10-UA.2 (umfasst)","OPS.1.1.5.A3-UA.4 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.1"},{"id":"DET.4.2","titel":"Automatische Angriffserkennung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme SOLLTE diese auf Anzeichen für Angriffe durch [einen automatisierten Mechanismus] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"diese auf Anzeichen für Angriffe","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["DER.1.A17-UA.1 (umfasst)","DER.1.A17-UA.2 (entspricht)","SYS.1.1.A27-UA.1 (Teilbereich von)","SYS.1.9.A19-UA.3 (umfasst)","SYS.2.5.A17-UA.3 (umfasst)","SYS.4.4.A17-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.2"},{"id":"DET.4.3","titel":"Überwachung der Angriffserkennung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE die Funktionsfähigkeit der automatisierten Angriffserkennung überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Funktionsfähigkeit der automatisierten Angriffserkennung","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.32 – Missbrauch von Berechtigungen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["NET.3.2.A23-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.3"},{"id":"DET.4.4","titel":"Änderungen an Sicherheitsrichtlinien","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Änderungen an Sicherheitsrichtlinien einschließlich deren Aktivierung oder Deaktivierung überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Änderungen an Sicherheitsrichtlinien","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.32 – Missbrauch von Berechtigungen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["APP.4.2.A30-UA.1 (Teilbereich von)","NET.3.2.A23-UA.2 (Teilbereich von)","NET.3.4.A12-UA.5 (überschneidet sich mit)","SYS.1.1.A10-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.4"},{"id":"DET.4.5","titel":"Unerwünschte Datenabflüsse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN unerwünschte Datenabflüsse überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"unerwünschte Datenabflüsse","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["NET.1.1.A35-UA.1 (Teilbereich von)","SYS.1.1.A10-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.5"},{"id":"DET.4.6","titel":"Anomale Nutzung der Anwendung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen KANN die Nutzung der Anwendung auf Anomalien überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Nutzung der Anwendung auf Anomalien","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.4.3.A20-UA.5 (Teilbereich von)","CON.10.A6-UA.1 (überschneidet sich mit)","OPS.1.1.7.A25-UA.3 (Teilbereich von)","SYS.1.6.A24-UA.2 (überschneidet sich mit)","SYS.2.5.A17-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.6"},{"id":"DET.4.6.1","titel":"Verhaltensanalyse von Zugangskonten","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Verzeichnisdienste KANN das Verhalten von Zugangskonten überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Verzeichnisdienste"],"unterkategorien":[],"ergebnis":"das Verhalten von Zugangskonten","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.39 – Schadprogramme","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["OPS.1.1.7.A25-UA.3 (Teilbereich von)","SYS.2.1.A45-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.6.1"},{"id":"DET.4.7","titel":"Auslaufen von Domains","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Webserver KANN das Auslaufen von Domains überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Webserver"],"unterkategorien":["Webanwendungen"],"ergebnis":"das Auslaufen von Domains","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.27 – Ressourcenmangel"],"vorgaenger":["APP.3.6.A7-UA.1 (umfasst)","APP.3.6.A8-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.7"},{"id":"DET.4.8","titel":"Ausstellung neuer HTTPS-Zertifikate","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Webserver KANN die rechtzeitige Ausstellung neuer HTTPS-Zertifikate für Hostsysteme, die im Internet erreichbar sind, überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Webserver"],"unterkategorien":["Webanwendungen"],"ergebnis":"die rechtzeitige Ausstellung neuer HTTPS-Zertifikate für Hostsysteme, die im Internet erreichbar sind,","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.8"},{"id":"DET.4.9","titel":"Manipulations-Checkup","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme KANN das System auf Manipulationsversuche [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"das System auf Manipulationsversuche","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.32 – Missbrauch von Berechtigungen","G 0.41 – Sabotage"],"vorgaenger":["CON.1.A20-UA.1 (Teilbereich von)","IND.1.A17-UA.2 (überschneidet sich mit)","SYS.1.1.A27-UA.4 (überschneidet sich mit)","SYS.4.3.A16-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.9"},{"id":"DET.4.10","titel":"Host-basierte Köder","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme KANN Host-basierte Köder installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Host-basierte Köder","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.21 – Manipulation von Hard- oder Software","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["SYS.1.1.A27-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.10"},{"id":"DET.4.11","titel":"Anomalien in Netzen und am Perimeter","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Netze SOLLTE den Netzwerkverkehr auf Anomalien überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"den Netzwerkverkehr auf Anomalien","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["DER.1.A9-UA.1 (überschneidet sich mit)","DER.1.A9-UA.4 (Teilbereich von)","NET.2.1.A13-UA.5 (Teilbereich von)","NET.3.1.A15-UA.1 (Teilbereich von)","SYS.2.5.A17-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.11"},{"id":"DET.4.11.1","titel":"Authentifizierungsversuche an externen Schnittstellen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Externe Netzanschlüsse KANN Authentifizierungsversuche auf unauthorisierte Verbindungen [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Externe Netzanschlüsse"],"unterkategorien":[],"ergebnis":"Authentifizierungsversuche auf unauthorisierte Verbindungen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["NET.1.2.A7-UA.1 (umfasst)","NET.3.2.A2-UA.2 (umfasst)","NET.3.3.A5-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.11.1"},{"id":"DET.4.11.2","titel":"Netzwerk-Honeypots","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Netze KANN Netzwerk-Honeypots installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"Netzwerk-Honeypots","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme"],"vorgaenger":["DER.1.A9-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.11.2"},{"id":"DET.4.11.3","titel":"Netzverkehrsfluss","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Netze KANN auf kritische Netzverkehrsflüsse anhand von [Kriterien] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"auf kritische Netzverkehrsflüsse","dokument":"Audit Log","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["DER.1.A9-UA.1 (überschneidet sich mit)","NET.3.2.A9-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.11.3"},{"id":"DET.4.12","titel":"Monitoring der Netzverfügbarkeit","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Netze SOLLTE die Verfügbarkeit des Netzes anhand von [Schwellwerten] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"die Verfügbarkeit des Netzes","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.27 – Ressourcenmangel"],"vorgaenger":["NET.1.2.A25-UA.1 (entspricht)","NET.1.2.A26-UA.3 (umfasst)","OPS.1.1.1.A9-UA.4 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.12"},{"id":"DET.4.12.1","titel":"Auslastung des Netzes","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Netze SOLLTE die Auslastung des Netzes anhand von [Schwellwerten] überwachen.","pflichtgrad":"SOLLTE","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Netze"],"unterkategorien":["Externe Netzanschlüsse","Interne Netzsegmente","WLANs"],"ergebnis":"die Auslastung des Netzes","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen","G 0.27 – Ressourcenmangel","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["NET.1.2.A25-UA.1 (entspricht)","NET.1.2.A25-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.12.1"},{"id":"DET.4.13","titel":"Verfügbarkeit des Hostsystems","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Hostsysteme SOLLTE die Netzerreichbarkeit anhand von [Schwellwerten] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Hostsysteme"],"unterkategorien":[],"ergebnis":"die Netzerreichbarkeit","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.27 – Ressourcenmangel","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.2.A18-UA.1 (überschneidet sich mit)","APP.4.2.A9-UA.3 (überschneidet sich mit)","OPS.1.1.7.A15-UA.2 (überschneidet sich mit)","SYS.1.1.A23-UA.2 (entspricht)","SYS.1.5.A17-UA.1 (überschneidet sich mit)","SYS.1.9.A14-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.13"},{"id":"DET.4.14","titel":"Verfügbarkeit der Anwendung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen SOLLTE die Netzerreichbarkeit anhand von [Schwellwerten] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Netzerreichbarkeit","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.27 – Ressourcenmangel","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.2.A18-UA.1 (Teilbereich von)","APP.4.2.A9-UA.3 (Teilbereich von)","APP.5.4.A11-UA.4 (überschneidet sich mit)","OPS.1.1.7.A15-UA.2 (umfasst)","SYS.1.1.A23-UA.1 (überschneidet sich mit)","SYS.1.9.A14-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.14"},{"id":"DET.4.15","titel":"Ressourcenauslastung von Hostsystemen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Hostsysteme SOLLTE die Ressourcenauslastung anhand von [Schwellwerten] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Hostsysteme"],"unterkategorien":[],"ergebnis":"die Ressourcenauslastung","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.27 – Ressourcenmangel","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.6.A7-UA.2 (Teilbereich von)","OPS.1.1.7.A15-UA.2 (umfasst)","OPS.1.2.2.A12-UA.1 (Teilbereich von)","SYS.1.5.A17-UA.2 (Teilbereich von)","SYS.1.7.A16-UA.2 (überschneidet sich mit)","SYS.1.9.A14-UA.2 (Teilbereich von)","SYS.2.5.A15-UA.2 (Teilbereich von)","SYS.2.6.A10-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.15"},{"id":"DET.4.16","titel":"Ressourcenauslastung der Server-Dienste","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen KANN die Ressourcenauslastung der für die Anwendung verwendeten Server-Dienste anhand von [Schwellwerten] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Ressourcenauslastung der für die Anwendung verwendeten Server-Dienste","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.25 – Ausfall von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.6.A7-UA.2 (Teilbereich von)","SYS.1.1.A23-UA.1 (umfasst)","SYS.1.1.A23-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.16"},{"id":"DET.4.17","titel":"Anwendungsbasiertes Kapazitätsmanagement","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen KANN die Ressourcenauslastung systemübergreifend anhand von [Schwellwerten] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Ressourcenauslastung systemübergreifend","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.25 – Ausfall von Geräten oder Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.7.A15-UA.2 (überschneidet sich mit)","OPS.3.2.A14-UA.1 (überschneidet sich mit)","SYS.1.1.A23-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.17"},{"id":"DET.4.18","titel":"Öffentliche Blocklisten","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für E-Mail KANN öffentliche Blocklisten auf Einträge für eigene E-Mail-Server [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"öffentliche Blocklisten auf Einträge für eigene E-Mail-Server","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["APP.5.3.A12-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.18"},{"id":"DET.4.19","titel":"Unautorisierte Sendeanlagen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Räume KANN diesen nach unautorisierten Sendeanlagen durch [einen automatisierten Mechanismus] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Räume"],"unterkategorien":["Archiv","Räume für technische Infrastruktur","Serverräume"],"ergebnis":"diesen nach unautorisierten Sendeanlagen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.43 – Einspielen von Nachrichten","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":["NET.2.1.A13-UA.2 (Teilbereich von)","NET.2.1.A18-UA.1 (entspricht)","SYS.3.3.A15-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.4.19"},{"id":"DET.5.1","titel":"Zeitnahes Schwachstellenmanagement","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Verfahren und Regelungen zur Erkennung und Behandlung von Schwachstellen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Erkennung und Behandlung von Schwachstellen","dokument":"Schwachstellenregister","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.1.A15-UA.2 (überschneidet sich mit)","IND.1.A12-UA.2 (Teilbereich von)","INF.13.A23-UA.4 (Teilbereich von)","OPS.1.1.1.A10-UA.1 (Teilbereich von)","OPS.1.1.1.A10-UA.2 (Teilbereich von)","OPS.1.1.1.A10-UA.3 (umfasst)","OPS.1.1.1.A20-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.1"},{"id":"DET.5.1.1","titel":"Risikobasierte Priorisierung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN erkannte Schwachstellen anhand von [risikobasierten Kriterien] innerhalb [einer Frist] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"erkannte Schwachstellen","dokument":"Schwachstellenregister","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.1.A10-UA.4 (überschneidet sich mit)","OPS.1.1.1.A22-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.1.1"},{"id":"DET.5.2","titel":"Schwachstellenregister","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Schwachstellen bei Entdeckung inklusive betroffener Komponenten, Kritikalität und Status dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Schwachstellen bei Entdeckung","dokument":"Schwachstellenregister","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["IND.1.A12-UA.2 (überschneidet sich mit)","OPS.1.1.1.A10-UA.1 (entspricht)","OPS.1.1.1.A20-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.2"},{"id":"DET.5.3","titel":"Schwachstellenscans","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE eine Vorgehensweise zum Scan nach Schwachstellen einschließlich deren Auswertung und Behandlung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zum Scan nach Schwachstellen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["IND.1.A12-UA.2 (umfasst)","INF.13.A23-UA.4 (Teilbereich von)","INF.13.A23-UA.5 (Teilbereich von)","OPS.1.1.1.A20-UA.2 (entspricht)","OPS.1.1.1.A22-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.3"},{"id":"DET.5.3.1","titel":"Autorisierung kritischer Scans","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE kritische Scans durch [zuständige Personen oder Rollen] autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"kritische Scans","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["INF.13.A23-UA.4 (überschneidet sich mit)","INF.13.A23-UA.5 (überschneidet sich mit)","INF.13.A23-UA.6 (überschneidet sich mit)","INF.13.A23-UA.8 (Teilbereich von)","ORP.5.A5-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.3.1"},{"id":"DET.5.3.2","titel":"Korrelation komplexer Angriffswege","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN Schwachstellen anhand eines Abgleichs mehrerer Scans miteinander überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Schwachstellen anhand eines Abgleichs mehrerer Scans miteinander","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["INF.13.A23-UA.4 (überschneidet sich mit)","INF.13.A23-UA.5 (überschneidet sich mit)","SYS.1.1.A24-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.3.2"},{"id":"DET.5.3.3","titel":"Historische Analyse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN Schwachstellen in öffentlich erreichbaren Systemen oder Anwendungen anhand bekannter Anzeichen im Audit Log testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Schwachstellen in öffentlich erreichbaren Systemen oder Anwendungen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.4.3.A20-UA.5 (Teilbereich von)","IND.1.A12-UA.2 (umfasst)","IND.1.A12-UA.5 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.3.3"},{"id":"DET.5.4","titel":"Regelmäßige Penetrationstests","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme KANN die tatsächliche Abwehrfähigkeit nach [einer anerkannten Vorgehensweise] [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die tatsächliche Abwehrfähigkeit","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.4.A15-UA.3 (Teilbereich von)","NET.3.2.A24-UA.2 (überschneidet sich mit)","OPS.1.1.1.A20-UA.2 (umfasst)","OPS.1.1.1.A23-UA.1 (entspricht)","OPS.1.1.6.A14-UA.1 (umfasst)","SYS.1.1.A24-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.4"},{"id":"DET.5.5","titel":"Red Teaming","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme KANN die tatsächliche Abwehrfähigkeit [regelmäßig] durch unabhängig agierende Sicherheitsexperten überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die tatsächliche Abwehrfähigkeit","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.5"},{"id":"DET.5.6","titel":"Threat Hunting","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN den Informationsverbund durch Sicherheitsexperten auf Anzeichen für Angriffe [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Informationsverbund durch Sicherheitsexperten auf Anzeichen für Angriffe","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme"],"vorgaenger":["APP.4.3.A20-UA.5 (Teilbereich von)","DER.2.1.A21-UA.7 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.6"},{"id":"DET.5.7","titel":"Analyse verdeckter Kanäle","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN den Informationsverbund auf verdeckte Kommunikationskanäle [bei Sicherheitsvorfällen mit verdeckten Kanälen und regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Informationsverbund auf verdeckte Kommunikationskanäle","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme"],"vorgaenger":["SYS.2.1.A45-UA.1 (Teilbereich von)","SYS.4.3.A18-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.7"},{"id":"DET.5.8","titel":"Bedrohungsanalyse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE verfügbare Informationen zu Bedrohungen, die für den Informationsverbund relevant sind, [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"verfügbare Informationen zu Bedrohungen, die für den Informationsverbund relevant sind,","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.8.A21-UA.2 (Teilbereich von)","DER.1.A12-UA.1 (Teilbereich von)","DER.1.A12-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.8"},{"id":"DET.5.8.1","titel":"Auswertung öffentlicher Quellen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN öffentliche Quellen auf Hinweise zu eigenen Schwachstellen anhand von [Kriterien zur Suche] [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"öffentliche Quellen auf Hinweise zu eigenen Schwachstellen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["DER.1.A12-UA.1 (entspricht)","DER.1.A12-UA.3 (Teilbereich von)","IND.1.A12-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.8.1"},{"id":"DET.5.8.1.1","titel":"Unautorisierte Publikation","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN öffentliche Quellen automatisiert auf Hinweise zur unautorisierten Veröffentlichung vertraulicher Daten überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"öffentliche Quellen automatisiert auf Hinweise zur unautorisierten Veröffentlichung vertraulicher Daten","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.8.1.1"},{"id":"DET.5.9","titel":"Externe Schwachstellenmeldungen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE eine Vorgehensweise zur Entgegennahme und Behandlung von externen Schwachstellenmeldungen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zur Entgegennahme und Behandlung von externen Schwachstellenmeldungen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.2.A20-UA.3 (Teilbereich von)","APP.3.2.A20-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.9"},{"id":"DET.5.9.1","titel":"Bonusprogramm","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN ein Bonusprogramm für externe Schwachstellenmeldungen verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Bonusprogramm für externe Schwachstellenmeldungen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.2.A20-UA.4 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.9.1"},{"id":"DET.5.10","titel":"Zeitnahes Patchmanagement","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE ein zeitnahes Patchmanagement verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein zeitnahes Patchmanagement","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.4.2.A30-UA.2 (Teilbereich von)","CON.8.A8-UA.1 (Teilbereich von)","OPS.1.1.3.A1-UA.2 (umfasst)","OPS.1.1.3.A15-UA.2 (umfasst)","SYS.2.1.A3-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.10"},{"id":"DET.5.10.1","titel":"Autorisierte Bezugsquellen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE zuverlässige Bezugsquellen für Patches autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zuverlässige Bezugsquellen für Patches","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["APP.6.A3-UA.3 (Teilbereich von)","OPS.1.1.3.A10-UA.5 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.10.1"},{"id":"DET.5.10.2","titel":"Automatisierte Überwachung von Systemupdates","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für IT-Systeme SOLLTE den Patchstatus durch [einen automatisierten Mechanismus] überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Patchstatus","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.21 – Manipulation von Hard- oder Software","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme"],"vorgaenger":["APP.4.2.A30-UA.2 (entspricht)","OPS.1.1.7.A22-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.10.2"},{"id":"DET.5.10.3","titel":"Automatisierte Überwachung von Anwendungsupdates","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion für Anwendungen KANN den Patchstatus durch [einen automatisierten Mechanismus] überwachen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"den Patchstatus","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme"],"vorgaenger":["APP.4.2.A30-UA.2 (umfasst)","OPS.1.1.3.A15-UA.6 (umfasst)","OPS.1.1.7.A22-UA.4 (überschneidet sich mit)","SYS.2.1.A3-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.10.3"},{"id":"DET.5.10.4","titel":"Integritätsprüfung von Patches","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE Patches vor der Installation auf Integrität testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Patches vor der Installation auf Integrität","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["APP.6.A4-UA.7 (umfasst)","IND.2.1.A20-UA.1 (Teilbereich von)","IND.2.7.A12-UA.1 (überschneidet sich mit)","OPS.1.1.3.A10-UA.3 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.10.4"},{"id":"DET.5.10.5","titel":"Test gemäß Änderungsmanagement","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN Patches entsprechend der Anforderungen der Praktik „Änderungen und Tests“ ausführen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Patches entsprechend der Anforderungen der Praktik „Änderungen und Tests“","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["OPS.1.1.3.A1-UA.4 (umfasst)","OPS.1.1.3.A13-UA.1 (Teilbereich von)","OPS.1.1.3.A14-UA.1 (überschneidet sich mit)","OPS.1.1.3.A15-UA.3 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.5.10.5"},{"id":"DET.6.1","titel":"Beurteilung von Ereignissen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE ein Verfahren zur Beurteilung von sicherheitsrelevanten Ereignissen anhand von [Kriterien] verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Beurteilung von sicherheitsrelevanten Ereignissen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["DER.2.1.A11-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.1"},{"id":"DET.6.1.1","titel":"Automatisierte Feststellung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE kritische Vorfälle anhand von [Kriterien] durch [einen automatisierten Mechanismus] protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"kritische Vorfälle","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["DER.1.A15-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.1.1"},{"id":"DET.6.1.2","titel":"Automatische Alarmierung","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE bei sicherheitskritischen Ereignissen eine Alarmierung von [für die Vorfallsbehandlung zuständigen Personen oder Rollen] durch [einen automatisierten Mechanismus] ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bei sicherheitskritischen Ereignissen eine Alarmierung von {{für die Vorfallsbehandlung zuständigen Personen oder Rollen}}","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.25 – Ausfall von Geräten oder Systemen","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.27 – Ressourcenmangel"],"vorgaenger":["DER.1.A15-UA.7 (Teilbereich von)","DER.1.A17-UA.1 (überschneidet sich mit)","NET.3.2.A23-UA.3 (Teilbereich von)","NET.3.2.A23-UA.4 (Teilbereich von)","OPS.1.1.7.A25-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.1.2"},{"id":"DET.6.1.3","titel":"Dokumentation von Ergebnissen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN Analyseergebnisse dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Analyseergebnisse","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":["IND.1.A10-UA.6 (umfasst)","ISMS.1.A13-UA.2 (umfasst)","NET.2.2.A4-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.1.3"},{"id":"DET.6.2","titel":"Beurteilung von Eingängen","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion SOLLTE ein Verfahren zur Beurteilung von Datei-Eingängen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"ein Verfahren zur Beurteilung von Datei-Eingängen","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.1.A3-UA.4 (entspricht)","OPS.1.1.4.A13-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.2"},{"id":"DET.6.2.1","titel":"Dynamische Sandbox-Analyse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN verdächtige Dateien in einer isolierten Umgebung mindestens anhand von aufgebauten Netzverbindungen, Systemaufrufen und Dateizugriffen testen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"verdächtige Dateien in einer isolierten Umgebung","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.22 – Manipulation von Informationen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["OPS.1.1.4.A10-UA.1 (entspricht)","OPS.1.1.4.A13-UA.1 (entspricht)","OPS.2.3.A25-UA.1 (Teilbereich von)","OPS.2.3.A25-UA.2 (Teilbereich von)","OPS.2.3.A25-UA.3 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.2.1"},{"id":"DET.6.2.2","titel":"Datenträgerschleuse","praktik_id":"DET","praktik":"DET Detektion","anforderung":"Detektion KANN Datenträgerschleusen installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Datenträgerschleusen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.21 – Manipulation von Hard- oder Software","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["OPS.1.1.4.A12-UA.1 (entspricht)","SYS.2.1.A24-UA.3 (überschneidet sich mit)","SYS.4.5.A16-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/det/#DET.6.2.2"},{"id":"REA.1.1","titel":"Verfahren und Regelungen","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung MUSS Verfahren und Regelungen zur Behandlung von Sicherheitsvorfällen verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Behandlung von Sicherheitsvorfällen","dokument":"Prozess Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.2.A20-UA.2 (umfasst)","DER.2.1.A1-UA.1 (überschneidet sich mit)","DER.2.1.A2-UA.1 (entspricht)","DER.2.1.A7-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.1.1"},{"id":"REA.1.1.1","titel":"Dokumentation","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.1.1.1"},{"id":"REA.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["APP.3.2.A20-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.1.1.2"},{"id":"REA.1.1.3","titel":"Bekanntgabe","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.1.1.3"},{"id":"REA.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["DER.2.1.A2-UA.8 (entspricht)","DER.2.1.A7-UA.4 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.1.2"},{"id":"REA.1.3","titel":"Übungen zur Vorfallsbehandlung","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung KANN die Abwehrfähigkeit durch Übungen [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Abwehrfähigkeit durch Übungen","dokument":"Übungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.1.3"},{"id":"REA.2.1","titel":"Triage und Erstreaktion","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE Meldungen einer Priorität zuweisen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Meldungen einer Priorität","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.1"},{"id":"REA.2.2","titel":"Automatische Erstreaktion","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung KANN eine automatische Erstreaktion aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine automatische Erstreaktion","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.2"},{"id":"REA.2.3","titel":"Dokumentation von Vorfällen","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE den Vorfall dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Vorfall","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["DER.2.1.A16-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.3"},{"id":"REA.2.4","titel":"Diagnosedaten","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE Diagnosemethoden für den Fall, dass der Vorfall sich mit den standardisiert erfassten Informationen nicht ausreichend analysieren lässt, verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Diagnosemethoden","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.4"},{"id":"REA.2.5","titel":"IT-Forensik","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE eine forensische Analyse bei Vorfällen, die [bestimmte Kriterien] erfüllen, ausführen.","pflichtgrad":"SOLLTE","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine forensische Analyse","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.5"},{"id":"REA.2.5.1","titel":"Rechtssichere Beweissicherung","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE rechtlich relevante Beweise rechtssicher dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"rechtlich relevante Beweise","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["DER.2.2.A11-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.5.1"},{"id":"REA.2.5.2","titel":"Vier-Augen-Prinzip","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung KANN zur Forensik ein Vier-Augen-Prinzip verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"zur Forensik ein Vier-Augen-Prinzip","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.5.2"},{"id":"REA.2.5.3","titel":"Forensik-Dienstleister","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung KANN die Bereitschaft eines Forensik-Dienstleisters binnen [einer Frist] vereinbaren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Bereitschaft eines Forensik-Dienstleisters","dokument":"Liste der Hersteller und Dienstleister","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.5.3"},{"id":"REA.2.6","titel":"Ursachenanalyse und Behandlung","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE eine Vorgehensweise zur Ursachenanalyse und Behandlung verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zur Ursachenanalyse und Behandlung","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["DER.2.1.A5-UA.4 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6"},{"id":"REA.2.6.1","titel":"Dokumentation des Vorgehens","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE die zur Behandlung durchgeführten Tätigkeiten dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zur Behandlung durchgeführten Tätigkeiten","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6.1"},{"id":"REA.2.6.2","titel":"Kommunikation bei Vorfällen","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE eine Vorgehensweise zur Kommunikation bei Vorfällen unter Berücksichtigung von Compliance-Verpflichtungen, Bedürfnissen der interessierten Parteien und der Geschäftsziele verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Vorgehensweise zur Kommunikation bei Vorfällen","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":["DER.2.1.A9-UA.4 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6.2"},{"id":"REA.2.6.2.1","titel":"Information zuständiger Behörden","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE bei Vorfällen die zuständigen Behörden im Einklang mit den Compliance-Verpflichtungen informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bei Vorfällen die zuständigen Behörden","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6.2.1"},{"id":"REA.2.6.3","titel":"Koordinierung","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE die Koordinierung bei Vorfällen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Koordinierung bei Vorfällen","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["APP.3.2.A20-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6.3"},{"id":"REA.2.6.4","titel":"Service Level","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung KANN Service Level verankern.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Service Level","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6.4"},{"id":"REA.2.6.5","titel":"Eskalation","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE eine Eskalationsleiter verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"eine Eskalationsleiter","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.47 – Schädliche Seiteneffekte IT-gestützter Angriffe","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.2.6.5"},{"id":"REA.3.1","titel":"Verbesserung durch Erkenntnisse","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE bisherige Maßnahmen anhand von Erkenntnissen aus Informationssicherheitsvorfällen [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"bisherige Maßnahmen anhand von Erkenntnissen aus Informationssicherheitsvorfällen","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.3.1"},{"id":"REA.3.1.1","titel":"Quantitative Analyse","praktik_id":"REA","praktik":"REA Sicherheitsvorfallsbehandlung","anforderung":"Sicherheitsvorfallsbehandlung SOLLTE Erkenntnisse einschließlich Art, Umfang und Schäden des Vorfalls dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Erkenntnisse","dokument":"Behandlung von Sicherheitsvorfällen","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/rea/#REA.3.1.1"},{"id":"KONF.1.1","titel":"Verfahren und Regelungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration MUSS Verfahren und Regelungen zum Konfigurationsmanagement verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zum Konfigurationsmanagement","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["NET.3.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.1"},{"id":"KONF.1.1.1","titel":"Dokumentation","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.1.1"},{"id":"KONF.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.1.2"},{"id":"KONF.1.1.3","titel":"Bekanntgabe","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.1.3"},{"id":"KONF.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["APP.4.3.A1-UA.6 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.2"},{"id":"KONF.1.3","titel":"Management von Werkzeugen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration SOLLTE verwendete Konfigurationswerkzeuge einschließlich Verwendungszweck und Herkunft dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"verwendete Konfigurationswerkzeuge","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.3"},{"id":"KONF.1.4","titel":"Einschränkung des Zugriffs auf Dokumentation","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration SOLLTE den Zugriff auf dokumentierte Konfigurationen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den Zugriff auf dokumentierte Konfigurationen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.4"},{"id":"KONF.1.5","titel":"Verschlüsselung von Konfigurationsgeheimnissen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration SOLLTE Konfigurationsgeheimnisse verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Konfigurationsgeheimnisse","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.1.5"},{"id":"KONF.2.1","titel":"Grundkonfiguration für Systeme","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE eine Grundkonfiguration dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine Grundkonfiguration","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.2.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.1"},{"id":"KONF.2.1.1","titel":"Versionierung der Systemkonfiguration","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE eine Versionierung vorheriger Konfigurationen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine Versionierung vorheriger Konfigurationen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.1.1"},{"id":"KONF.2.2","titel":"Kryptographische Verfahren in IT-Systemen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE kryptographische Verfahren nach [anerkannten Standards] im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"kryptographische Verfahren","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["CON.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.2"},{"id":"KONF.2.3","titel":"Default-Zugangsdaten in IT-Systemen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Änderung von Default-Zugangsdaten ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Änderung von Default-Zugangsdaten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["IND.2.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.3"},{"id":"KONF.2.4","titel":"Deaktivierung nicht benötigter Systemfunktionen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE nicht benötigte Systemfunktionen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"nicht benötigte Systemfunktionen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["APP.3.2.A1-UA.6 (überschneidet sich mit)","SYS.3.2.4.A2-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.4"},{"id":"KONF.2.4.1","titel":"Nicht benötigte Zertifikate","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE nicht benötigte Zertifikate deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"nicht benötigte Zertifikate","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.4.1"},{"id":"KONF.2.4.2","titel":"Externe Cloud-Anbindungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE nicht benötigte Cloud-Anbindungen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"nicht benötigte Cloud-Anbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.1.A12-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.4.2"},{"id":"KONF.2.5","titel":"Überprüfung der Systemkonfiguration","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.21 – Manipulation von Hard- oder Software","G 0.46 – Integritätsverlust schützenswerter Informationen","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["INF.13.A6-UA.4 (Teilbereich von)","OPS.1.1.1.A5-UA.6 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.5"},{"id":"KONF.2.5.1","titel":"Automatische Konfigurationsverwaltung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN die Überprüfung der Konfiguration durch [einen automatisierten Mechanismus] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Überprüfung der Konfiguration durch {{einen automatisierten Mechanismus}}","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.5.1"},{"id":"KONF.2.6","titel":"Mobile Device Management","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte SOLLTE die Verwaltung durch ein Mobile Device Management (MDM) aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"die Verwaltung durch ein Mobile Device Management (MDM)","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.6"},{"id":"KONF.2.7","titel":"Souveräne Werkzeuge","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN Souveräne Werkzeuge installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Souveräne Werkzeuge","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.11 – Ausfall oder Störung von Dienstleistern","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.7"},{"id":"KONF.2.8","titel":"Alternative Administrationszugänge","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN alternative Administrationszugänge installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"alternative Administrationszugänge","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["SYS.2.1.A36-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.8"},{"id":"KONF.2.9","titel":"Abgesicherter und authentisierter Bootprozess","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN einen abgesicherten und authentisierten Bootprozess aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"einen abgesicherten und authentisierten Bootprozess","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.21 – Manipulation von Hard- oder Software","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.2.9"},{"id":"KONF.3.1","titel":"Kryptographischer Hardwarespeicher","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE einen kryptographischen Hardwarespeicher aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"einen kryptographischen Hardwarespeicher","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.1"},{"id":"KONF.3.2","titel":"Speicherverschlüsselung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE integrierte Festspeichermedien verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"integrierte Festspeichermedien","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["APP.3.3.A12-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.2"},{"id":"KONF.3.3","titel":"SIM-PIN","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE bei Mobilfunkanschluss eine SIM-PIN aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"bei Mobilfunkanschluss eine SIM-PIN","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.3"},{"id":"KONF.3.4","titel":"Physischer Diebstahlschutz","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte KANN einen physischen Diebstahlschutz installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"einen physischen Diebstahlschutz","dokument":"Betriebshandbuch","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":["INF.10.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.4"},{"id":"KONF.3.5","titel":"Standortbestimmung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN eine Funktion zur Bestimmung des Standortes aus der Ferne [durch einen automatisierten Mechanismus] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine Funktion zur Bestimmung des Standortes aus der Ferne","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.5"},{"id":"KONF.3.6","titel":"Fernlöschung oder -sperre","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte KANN eine Funktion zur Fernlöschung oder -sperre aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"eine Funktion zur Fernlöschung oder -sperre","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.6"},{"id":"KONF.3.6.1","titel":"Automatische Fernlöschung oder -sperre","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte KANN eine automatische Fernlöschung oder -sperre bei Inaktivität nach [einer längeren Frist] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"eine automatische Fernlöschung oder -sperre","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.16 – Diebstahl von Geräten, Datenträgern oder Dokumenten","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.19 – Offenlegung schützenswerter Informationen","G 0.17 – Verlust von Geräten, Datenträgern oder Dokumenten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.6.1"},{"id":"KONF.3.7","titel":"Einschränkung angeschlossener Peripherie","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE angeschlossene Peripherie einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"angeschlossene Peripherie","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.39 – Schadprogramme","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.7"},{"id":"KONF.3.8","titel":"Einschränkung von Wechselmedien","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE das automatische Einbinden von Wechselmedien einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"das automatische Einbinden von Wechselmedien","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.3.8"},{"id":"KONF.4.1","titel":"Anbindung an Verzeichnisdienst","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Anbindung an einen Verzeichnisdienst aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Anbindung an einen Verzeichnisdienst","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.1"},{"id":"KONF.4.1.1","titel":"Weiterleitung von Anmeldeinformationen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Weiterleitung mehrfach verwendbarer Anmeldeinformationen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Weiterleitung mehrfach verwendbarer Anmeldeinformationen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.1.1"},{"id":"KONF.4.2","titel":"DNS-Anbindung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die vom System verwendeten DNS-Server autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die vom System verwendeten DNS-Server","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.2"},{"id":"KONF.4.2.1","titel":"DNS-Verschlüsselung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE DNS-Verbindungen durch [einen anerkannten kryptographischen Algorithmus] verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"DNS-Verbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.19 – Offenlegung schützenswerter Informationen","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.2.1"},{"id":"KONF.4.3","titel":"Authentifizierung von Fernwartungsfunktionen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE Fernwartungsfunktionen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Fernwartungsfunktionen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.3"},{"id":"KONF.4.4","titel":"Einschränkung von Fernwartungsfunktionen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE Fernwartungsfunktionen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Fernwartungsfunktionen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":["IND.2.4.A1-UA.5 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.4"},{"id":"KONF.4.5","titel":"Zeitquellen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE Zeitquellen autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Zeitquellen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["OPS.1.2.6.A1-UA.5 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.4.5"},{"id":"KONF.5.1","titel":"Authentifizierung am System","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE den Zugriff auf das System im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Zugriff auf das System","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["SYS.2.1.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.5.1"},{"id":"KONF.5.1.1","titel":"Authentifizierung an der Firmware","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE den Zugriff auf die Firmware im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Zugriff auf die Firmware","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":["SYS.2.1.A36-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.5.1.1"},{"id":"KONF.5.1.2","titel":"Pre-Boot-Authentifizierung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte KANN den Zugriff vor dem Start des Betriebssystems authentifizieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"den Zugriff vor dem Start des Betriebssystems","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.5.1.2"},{"id":"KONF.5.2","titel":"Keine Mehrfachanmeldung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die gleichzeitige Anmeldung mehrerer Zugangskonten deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die gleichzeitige Anmeldung mehrerer Zugangskonten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.5.2"},{"id":"KONF.6.1","titel":"Minimal erforderliche Berechtigungen für Anwendungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE erforderliche Berechtigungen für Anwendungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"erforderliche Berechtigungen für Anwendungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.1"},{"id":"KONF.6.1.1","titel":"Datenkapselung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN Datenkapselung aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Datenkapselung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.1.1"},{"id":"KONF.6.1.2","titel":"Isolierung von Anwendungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN die Isolierung von [bestimmten Anwendungen] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Isolierung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.4.4.A15-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.1.2"},{"id":"KONF.6.1.3","titel":"Isolierte Arbeitsumgebungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte KANN die Isolation verschiedener Arbeitsumgebungen für verschiedene Verwendungen aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"die Isolation verschiedener Arbeitsumgebungen für verschiedene Verwendungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.1.3"},{"id":"KONF.6.2","titel":"Gemeinsam genutzte Verzeichnisse","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Dateiserver SOLLTE die Zugriffsrechte gemeinsam verwendeter Verzeichnisse einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Dateiserver"],"unterkategorien":[],"ergebnis":"die Zugriffsrechte gemeinsam verwendeter Verzeichnisse","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.2"},{"id":"KONF.6.3","titel":"Kiosk-Modus","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Mobile Endgeräte KANN das automatische Zurücksetzen auf einen definierten Zustand nach der Nutzung aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Mobile Endgeräte"],"unterkategorien":[],"ergebnis":"das automatische Zurücksetzen auf einen definierten Zustand","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.3"},{"id":"KONF.6.4","titel":"Privilegierte Systemfunktionen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE privilegierte Funktionen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"privilegierte Funktionen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.4"},{"id":"KONF.6.4.1","titel":"Rollenbasierte Privilegierung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN rollenbasiertes Berechtigungsmanagement aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"rollenbasiertes Berechtigungsmanagement","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.32 – Missbrauch von Berechtigungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.4.1"},{"id":"KONF.6.5","titel":"Dynamische Zugriffskontrolle im System","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN dynamische Zugriffskontrolle im System aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"dynamische Zugriffskontrolle","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.5"},{"id":"KONF.6.6","titel":"Getrennte Datenhaltung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE Zugriffe eines Zugangskontos auf Daten anderer Zugangskonten einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Zugriffe eines Zugangskontos auf Daten anderer Zugangskonten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.6"},{"id":"KONF.6.6.1","titel":"Mandantenfähigkeit","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE wenn die Anwendung mehrere Mandaten bedient, für jeden Mandanten eine eigene Berechtigungskonfiguration aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"wenn die Anwendung mehrere Mandaten bedient, für jeden Mandanten eine eigene Berechtigungskonfiguration","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":["APP.4.6.A20-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.6.1"},{"id":"KONF.6.7","titel":"Privilegierte Funktionen der Anwendung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE privilegierte Funktionen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"privilegierte Funktionen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.7"},{"id":"KONF.6.8","titel":"Berechtigungen des Webserver-Prozesses","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webserver SOLLTE die Berechtigungen des Webserver-Prozesses einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Webserver"],"unterkategorien":["Webanwendungen"],"ergebnis":"die Berechtigungen des Webserver-Prozesses","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["APP.3.2.A1-UA.1 (überschneidet sich mit)","APP.3.2.A1-UA.2 (überschneidet sich mit)","APP.3.2.A1-UA.5 (überschneidet sich mit)","APP.3.2.A2-UA.1 (überschneidet sich mit)","APP.3.2.A2-UA.3 (überschneidet sich mit)","SYS.4.4.A24-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.8"},{"id":"KONF.6.9","titel":"Zugriff auf Code","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webserver SOLLTE den Zugriff auf Quelldateien einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Webserver"],"unterkategorien":["Webanwendungen"],"ergebnis":"den Zugriff auf Quelldateien","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.22 – Manipulation von Informationen"],"vorgaenger":["APP.3.1.A14-UA.3 (überschneidet sich mit)","APP.3.2.A2-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.9"},{"id":"KONF.6.10","titel":"Auflistung von Verzeichnisinhalten","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webserver SOLLTE die Auflistung von Verzeichnisinhalten einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Webserver"],"unterkategorien":["Webanwendungen"],"ergebnis":"die Auflistung von Verzeichnisinhalten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["APP.3.2.A2-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.10"},{"id":"KONF.6.11","titel":"Einschränkung von Uploads","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webserver SOLLTE Uploads einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Webserver"],"unterkategorien":["Webanwendungen"],"ergebnis":"Uploads","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":["APP.3.1.A4-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.11"},{"id":"KONF.6.12","titel":"Konferenzmoderation","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für VK-Anwendungen SOLLTE bei öffentlichen Konferenzschaltungen eine Konferenzmoderation aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["VK-Anwendungen"],"unterkategorien":[],"ergebnis":"bei öffentlichen Konferenzschaltungen eine Konferenzmoderation","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.12"},{"id":"KONF.6.13","titel":"Dynamische Zugriffskontrolle in der Anwendung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen KANN dynamische Zugriffskontrolle in der Anwendung aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"dynamische Zugriffskontrolle","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.32 – Missbrauch von Berechtigungen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.13"},{"id":"KONF.6.14","titel":"Browser Sandboxing","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE Browser Sandboxing aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"Browser Sandboxing","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.2.A1-UA.1 (überschneidet sich mit)","APP.1.2.A1-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.14"},{"id":"KONF.6.15","titel":"Virtualisierte Browser-Umgebung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser KANN Virtualisierte Browser-Umgebung aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"Virtualisierte Browser-Umgebung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.2.A9-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.15"},{"id":"KONF.6.16","titel":"Datenaustausch in der Virtualisierung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Virtualisierungslösungen KANN den Datenaustausch zwischen virtualisierten Client einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Virtualisierungslösungen"],"unterkategorien":[],"ergebnis":"den Datenaustausch zwischen virtualisierten Client","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.6.16"},{"id":"KONF.7.1","titel":"Echtzeitscanner","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE eine automatische Prüfung auf Schadcode bei Installation oder Öffnung von Dateien aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine automatische Prüfung auf Schadcode","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.1.A3-UA.1 (überschneidet sich mit)","APP.1.1.A3-UA.4 (überschneidet sich mit)","APP.3.3.A14-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.1"},{"id":"KONF.7.2","titel":"Regelmäßige Scans","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE einen regelmäßigen Scan von Dateien auf dem System nach potenziellem Schadcode aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"einen regelmäßigen Scan von Dateien auf dem System nach potenziellem Schadcode","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.2"},{"id":"KONF.7.3","titel":"Host-basierte Angriffserkennung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN Host-basierte Angriffserkennung aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Host-basierte Angriffserkennung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.3"},{"id":"KONF.7.4","titel":"Angriffserkennung anhand von Netzverkehr","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN Angriffserkennung anhand von Netzverkehr aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Angriffserkennung anhand von Netzverkehr","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.4"},{"id":"KONF.7.5","titel":"Alarmierung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE eine Benachrichtigung bei potenziellem Schadcode aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"eine Benachrichtigung bei potenziellem Schadcode","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.5"},{"id":"KONF.7.6","titel":"Automatische Updates","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE Automatische Updates der Mechanismen zur Schadcodeerkennung aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Automatische Updates der Mechanismen zur Schadcodeerkennung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.6"},{"id":"KONF.7.7","titel":"Regelmäßiger Funktionstest","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN die Funktionsfähigkeit des Schadcodeschutzes [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Funktionsfähigkeit des Schadcodeschutzes","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.7"},{"id":"KONF.7.8","titel":"Dual-Engine-Strategie","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN für die Erkennung von Schadcode unterschiedliche Scan-Engines aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"für die Erkennung von Schadcode unterschiedliche Scan-Engines","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.8"},{"id":"KONF.7.9","titel":"Einschränkung der Installation","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Installation von Anwendungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Installation von Anwendungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["APP.6.A5-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.9"},{"id":"KONF.7.10","titel":"Einschränkung der Ausführung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Ausführung nicht autorisierter Anwendungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Ausführung nicht autorisierter Anwendungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.10"},{"id":"KONF.7.11","titel":"Einschränkung von Softwarebibliotheken","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN die Ausführung nicht autorisierter Softwarebibliotheken einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Ausführung nicht autorisierter Softwarebibliotheken","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.11"},{"id":"KONF.7.12","titel":"Einschränkung von Skripten","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN die Ausführung nicht autorisierter Skripte einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Ausführung nicht autorisierter Skripte","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.39 – Schadprogramme"],"vorgaenger":["SYS.1.2.3.A7-UA.5 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.12"},{"id":"KONF.7.13","titel":"Einschränkung von Systemaufrufen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN Systemaufrufe pro Anwendung einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Systemaufrufe","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.39 – Schadprogramme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.13"},{"id":"KONF.7.14","titel":"Code-Signierung im Betriebssystemkern","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE die Signaturprüfung für nachladbaren Code im Kernelmodus aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"die Signaturprüfung für nachladbaren Code im Kernelmodus","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.14"},{"id":"KONF.7.15","titel":"Lokale Firewall","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE ein- und ausgehende Netzverbindungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"ein- und ausgehende Netzverbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["CON.7.A7-UA.6 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.15"},{"id":"KONF.7.16","titel":"Anti-Exploit","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE Systemfunktionen zum Schutz des Systems vor der Ausnutzung bekannter Sicherheitslücken aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Systemfunktionen zum Schutz des Systems vor der Ausnutzung bekannter Sicherheitslücken","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.16"},{"id":"KONF.7.16.1","titel":"Anti-Exploit für den Arbeitsspeicher","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE den Schutz des Arbeitsspeichers vor der Ausnutzung bekannter Sicherheitslücken aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Schutz des Arbeitsspeichers vor der Ausnutzung bekannter Sicherheitslücken","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.7.16.1"},{"id":"KONF.8.1","titel":"Automatische Überprüfung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE das Vorliegen von Sicherheitsupdates überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"das Vorliegen von Sicherheitsupdates","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["SYS.4.4.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.8.1"},{"id":"KONF.8.1.1","titel":"Automatische Sicherheitsupdates","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE Sicherheitsupdates automatisch installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"Sicherheitsupdates","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["SYS.2.1.A3-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.8.1.1"},{"id":"KONF.8.2","titel":"Automatische Updates der Anwendung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE die automatische Installation von Sicherheitsupdates aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die automatische Installation von Sicherheitsupdates","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.8.2"},{"id":"KONF.9.1","titel":"Speicherplatzbegrenzung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme SOLLTE den Speicherplatz für die Nutzerumgebung einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"den Speicherplatz für die Nutzerumgebung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.9.1"},{"id":"KONF.9.2","titel":"Begrenzung der Hostleistung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Hostsysteme KANN die zur Verfügung stehende Rechenleistung anhand von [Schwellwerten] einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Hostsysteme"],"unterkategorien":[],"ergebnis":"die zur Verfügung stehende Rechenleistung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.9.2"},{"id":"KONF.9.3","titel":"Alternative Komponenten für kritische Funktionen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für IT-Systeme KANN alternative Komponenten für [bestimmte kritische Funktionen] installieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["IT-Systeme"],"unterkategorien":["Hostsysteme","Mobile Endgeräte"],"ergebnis":"alternative Komponenten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.9.3"},{"id":"KONF.10.1","titel":"Grundkonfiguration für Anwendungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE eine Grundkonfiguration dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Grundkonfiguration","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.1"},{"id":"KONF.10.1.1","titel":"Versionierung der Anwendungskonfiguration","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE eine Versionierung vorheriger Konfigurationen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Versionierung vorheriger Konfigurationen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.1.1"},{"id":"KONF.10.2","titel":"Kryptographische Verfahren in Anwendungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE kryptographische Verfahren nach [anerkannten Standards] im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"kryptographische Verfahren","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":["APP.1.1.A16-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.2"},{"id":"KONF.10.3","titel":"Default-Zugangsdaten in Anwendungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE die Änderung von Default-Zugangsdaten ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Änderung von Default-Zugangsdaten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.3"},{"id":"KONF.10.4","titel":"Deaktivierung nicht benötigter Anwendungsfunktionen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE nicht benötigte Anwendungsfunktionen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"nicht benötigte Anwendungsfunktionen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.1.A12-UA.1 (überschneidet sich mit)","APP.3.1.A12-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.4"},{"id":"KONF.10.5","titel":"Überprüfung der Konfiguration","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand [regelmäßig] überprüfen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen"],"vorgaenger":["APP.4.3.A3-UA.4 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.5"},{"id":"KONF.10.5.1","titel":"Automatisierte Überprüfung der Konfiguration","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen KANN die Überprüfung der Konfiguration durch [einen automatisierten Mechanismus] aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Überprüfung der Konfiguration durch {{einen automatisierten Mechanismus}}","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen","G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.10.5.1"},{"id":"KONF.11.1","titel":"Authentifizierung vor dem Zugriff","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE Zugriffe auf schützenswerte Daten im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Zugriffe auf schützenswerte Daten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["APP.3.1.A1-UA.1 (entspricht)","CON.10.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.1"},{"id":"KONF.11.1.1","titel":"Authentifizierung von geplanten Konversationen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für TK-Anwendungen SOLLTE den Zugriff auf geplante Konversationen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["TK-Anwendungen"],"unterkategorien":["VK-Anwendungen"],"ergebnis":"den Zugriff auf geplante Konversationen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.1.1"},{"id":"KONF.11.1.2","titel":"Authentifizierung von Netzverbindungen - clientseitig","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE die Gegenstelle vor dem Datenaustausch im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Gegenstelle vor dem Datenaustausch","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.36 – Identitätsdiebstahl"],"vorgaenger":["APP.3.1.A1-UA.2 (überschneidet sich mit)","APP.3.1.A11-UA.2 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.1.2"},{"id":"KONF.11.2","titel":"Warteraum","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für VK-Anwendungen SOLLTE bei Konferenzschaltungen alle Teilnehmenden authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["VK-Anwendungen"],"unterkategorien":[],"ergebnis":"bei Konferenzschaltungen alle Teilnehmenden","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.2"},{"id":"KONF.11.3","titel":"Veröffentlichung von Domain-Infomationen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für DNS-Server SOLLTE die Veröffentlichung von Domain-Infomationen anhand von [Kriterien] einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["DNS-Server"],"unterkategorien":[],"ergebnis":"die Veröffentlichung von Domain-Infomationen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.3"},{"id":"KONF.11.4","titel":"Erraten von Zugriffslinks","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webanwendungen SOLLTE das Durchprobieren von Zugriffslinks durch [einen automatisierten Mechanismus] blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Webanwendungen"],"unterkategorien":[],"ergebnis":"das Durchprobieren von Zugriffslinks","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.4"},{"id":"KONF.11.5","titel":"Einschränkung unauthentifizierter Anschlüsse","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für TK-Anwendungen SOLLTE von unauthentifizierten Anschlüssen erreichbare Gegenstellen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["TK-Anwendungen"],"unterkategorien":["VK-Anwendungen"],"ergebnis":"von unauthentifizierten Anschlüssen erreichbare Gegenstellen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.5"},{"id":"KONF.11.6","titel":"Übersicht angemeldeter Verbindungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen KANN eine Übersicht angemeldeter Verbindungen aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Übersicht angemeldeter Verbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.6"},{"id":"KONF.11.7","titel":"Einschränkung von Schnittstellen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE aktivierte Schnittstellen einschließlich denen zu anderen Anwendungen, Cloud-Funktionen oder Erweiterungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"aktivierte Schnittstellen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.7"},{"id":"KONF.11.7.1","titel":"Einschränkung von Zonentransfers","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für DNS-Server SOLLTE Zonentransfers einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["DNS-Server"],"unterkategorien":[],"ergebnis":"Zonentransfers","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.7.1"},{"id":"KONF.11.7.2","titel":"Einschränkung von TK-Verbindungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für TK-Anwendungen SOLLTE unerwünschte TK-Verbindungen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["TK-Anwendungen"],"unterkategorien":["VK-Anwendungen"],"ergebnis":"unerwünschte TK-Verbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.7.2"},{"id":"KONF.11.7.2.1","titel":"Einschränkung der TK-Gegenstellen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für TK-Anwendungen SOLLTE Verbindungen mit externen Gegenstellen einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["TK-Anwendungen"],"unterkategorien":["VK-Anwendungen"],"ergebnis":"Verbindungen mit externen Gegenstellen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.23 – Unbefugtes Eindringen in IT-Systeme","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.7.2.1"},{"id":"KONF.11.8","titel":"Verschlüsselung schützenswerter Daten (at-rest)","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen KANN schützenswerte Daten bei der Speicherung (at-rest) verschlüsseln.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"schützenswerte Daten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["APP.1.4.A8-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.11.8"},{"id":"KONF.12.1","titel":"Eingabevalidierung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE die Validierung von Eingabedaten durch [einen automatisierten Mechanismus] aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Validierung von Eingabedaten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1"},{"id":"KONF.12.1.1","titel":"Zertifikatsprüfung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE die automatische Validierung des Zertifikates einschließlich der vollständigen Zertifikatskette aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"die automatische Validierung des Zertifikates","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["APP.1.2.A3-UA.6 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.1"},{"id":"KONF.12.1.2","titel":"Content Security Policy (CSP)","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten Content Security Policy einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"aufgerufene Inhalte anhand der von der Webseite bereitgestellten Content Security Policy","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.2.A1-UA.4 (überschneidet sich mit)","APP.1.2.A11-UA.2 (überschneidet sich mit)","APP.3.1.A21-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.2"},{"id":"KONF.12.1.3","titel":"Same-Origin-Policy","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten Same-Origin-Policy einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"aufgerufene Inhalte anhand der von der Webseite bereitgestellten Same-Origin-Policy","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["APP.1.2.A1-UA.6 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.3"},{"id":"KONF.12.1.4","titel":"Subresource Integrity-Prüfung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten Subresource Integrity-Prüfung einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"aufgerufene Inhalte anhand der von der Webseite bereitgestellten Subresource Integrity-Prüfung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["APP.1.2.A1-UA.6 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.4"},{"id":"KONF.12.1.5","titel":"HTTP Strict Transport Security (HSTS)","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten HTTP Strict Transport Security (HSTS) Richtlinie einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"aufgerufene Inhalte anhand der von der Webseite bereitgestellten HTTP Strict Transport Security (HSTS) Richtlinie","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.15 – Abhören","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["APP.1.2.A2-UA.4 (überschneidet sich mit)","APP.3.1.A21-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.5"},{"id":"KONF.12.1.6","titel":"JavaScript","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser KANN JavaScript einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"JavaScript","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.6"},{"id":"KONF.12.1.7","titel":"Filtern schädlicher Webinhalte","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webanwendungen SOLLTE eine Filterung schädlicher Webinhalte aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Webanwendungen"],"unterkategorien":[],"ergebnis":"eine Filterung schädlicher Webinhalte","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["APP.1.2.A11-UA.1 (überschneidet sich mit)","APP.1.2.A11-UA.2 (überschneidet sich mit)","CON.10.A8-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.7"},{"id":"KONF.12.1.8","titel":"Duplikate im Verzeichnisbaum","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Verzeichnisdienste SOLLTE Duplikate im Verzeichnisbaum blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Verzeichnisdienste"],"unterkategorien":[],"ergebnis":"Duplikate im Verzeichnisbaum","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.8"},{"id":"KONF.12.1.9","titel":"Journaling","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Dateiserver SOLLTE Dateisystem-Journaling aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Dateiserver"],"unterkategorien":[],"ergebnis":"Dateisystem-Journaling","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.46 – Integritätsverlust schützenswerter Informationen","G 0.45 – Datenverlust"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.9"},{"id":"KONF.12.1.10","titel":"HTTP-Response-Header","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webanwendungen SOLLTE HTTP-Response-Header aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Webanwendungen"],"unterkategorien":[],"ergebnis":"HTTP-Response-Header","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.3.1.A21-UA.1 (überschneidet sich mit)","APP.3.1.A21-UA.2 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.10"},{"id":"KONF.12.1.11","titel":"Aktive Dateiinhalte","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Office-Anwendungen SOLLTE aktive Inhalte in Office-Dateien deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Office-Anwendungen"],"unterkategorien":[],"ergebnis":"aktive Inhalte in Office-Dateien","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.1.A2-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.1.11"},{"id":"KONF.12.2","titel":"Verschlüsselungsstatus der aktuellen Verbindung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE eine Anzeige der Verschlüsselung der aktuellen Verbindung aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"eine Anzeige der Verschlüsselung der aktuellen Verbindung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.15 – Abhören","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":["APP.1.2.A3-UA.7 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.2"},{"id":"KONF.12.3","titel":"Cookies","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE Cookies einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"Cookies","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":["APP.1.2.A7-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.3"},{"id":"KONF.12.4","titel":"Speicherung von Zugangsdaten","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE die Speicherung von Zugangsdaten [in einem dedizierten Passwort-Manager mit Browser-Integration oder direkt im Browser durch ein Master-Passwort geschützt] aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"die Speicherung von Zugangsdaten {{in einem dedizierten Passwort-Manager mit Browser-Integration oder direkt im Browser durch ein Master-Passwort geschützt}}","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["APP.1.2.A6-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.4"},{"id":"KONF.12.5","titel":"Auto-Vervollständigung von Daten","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser SOLLTE die Auto-Vervollständigung von Daten einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"die Auto-Vervollständigung von Daten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.5"},{"id":"KONF.12.6","titel":"Browser-Historie","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webbrowser KANN die dauerhafte Browser-Historie deaktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Webbrowser"],"unterkategorien":[],"ergebnis":"die dauerhafte Browser-Historie","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.6"},{"id":"KONF.12.7","titel":"Erweiterte Attribute","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Dateiserver SOLLTE erweiterte Attribute aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Dateiserver"],"unterkategorien":[],"ergebnis":"erweiterte Attribute","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.7"},{"id":"KONF.12.8","titel":"Teilnahme per Default ohne Bild und Ton","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für VK-Anwendungen SOLLTE beim Beitritt zu Konferenzschaltungen Bild und Ton per Default deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["VK-Anwendungen"],"unterkategorien":[],"ergebnis":"beim Beitritt zu Konferenzschaltungen Bild und Ton per Default","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.8"},{"id":"KONF.12.9","titel":"Keine heimliche Aufzeichnung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für VK-Anwendungen SOLLTE heimliche Aufzeichnungen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["VK-Anwendungen"],"unterkategorien":[],"ergebnis":"heimliche Aufzeichnungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.9"},{"id":"KONF.12.10","titel":"Cookie-Attribute","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Webanwendungen SOLLTE Cookie-Attribute aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Webanwendungen"],"unterkategorien":[],"ergebnis":"Cookie-Attribute","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.10"},{"id":"KONF.12.11","titel":"Anonyme oder Pseudonyme Kommunikation","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für TK-Anwendungen KANN die Übermittlung [eines Pseudonyms oder gar keiner Anzeigekennung] zur Gegenstelle aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["TK-Anwendungen"],"unterkategorien":["VK-Anwendungen"],"ergebnis":"die Übermittlung {{eines Pseudonyms oder gar keiner Anzeigekennung}}","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.14 – Ausspähen von Informationen (Spionage)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.11"},{"id":"KONF.12.12","titel":"Verbindungsprotokoll","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für TK-Anwendungen SOLLTE ein für Nutzende verfügbares Verbindungsprotokoll protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["TK-Anwendungen"],"unterkategorien":["VK-Anwendungen"],"ergebnis":"ein für Nutzende verfügbares Verbindungsprotokoll","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.12"},{"id":"KONF.12.13","titel":"Sendebericht","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Faxanwendungen SOLLTE einen Sendebericht protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Faxanwendungen"],"unterkategorien":[],"ergebnis":"einen Sendebericht","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.13"},{"id":"KONF.12.14","titel":"DNS-Falschinformationen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für DNS-Server SOLLTE DNS-Antworten, die falsche Domain-Informationen liefern, deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["DNS-Server"],"unterkategorien":[],"ergebnis":"DNS-Antworten, die falsche Domain-Informationen liefern,","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.22 – Manipulation von Informationen"],"vorgaenger":["APP.3.6.A4-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.12.14"},{"id":"KONF.13.1","titel":"Filtern schädlicher Nachrichten","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Interpersonelle Kommunikation SOLLTE eine Filterung schädlicher Nachrichteninhalte aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Interpersonelle Kommunikation"],"unterkategorien":["E-Mail"],"ergebnis":"eine Filterung schädlicher Nachrichteninhalte","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.1"},{"id":"KONF.13.1.1","titel":"SPAM-Filter","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Interpersonelle Kommunikation SOLLTE die Zustellung unerwünschter Nachrichten blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Interpersonelle Kommunikation"],"unterkategorien":["E-Mail"],"ergebnis":"die Zustellung unerwünschter Nachrichten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.1.1"},{"id":"KONF.13.1.2","titel":"Interpretation aktiver Inhalte","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Interpersonelle Kommunikation SOLLTE die automatische Interpretation aktiver Inhalte deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Interpersonelle Kommunikation"],"unterkategorien":["E-Mail"],"ergebnis":"die automatische Interpretation aktiver Inhalte","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.39 – Schadprogramme","G 0.23 – Unbefugtes Eindringen in IT-Systeme"],"vorgaenger":["APP.1.1.A2-UA.1 (überschneidet sich mit)","APP.5.3.A1-UA.8 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.1.2"},{"id":"KONF.13.2","titel":"Authentizität von Nachrichten","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Interpersonelle Kommunikation SOLLTE eine automatische Verifikation der Authentizität von Nachrichten aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Interpersonelle Kommunikation"],"unterkategorien":["E-Mail"],"ergebnis":"eine automatische Verifikation der Authentizität von Nachrichten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.2"},{"id":"KONF.13.2.1","titel":"Verifikation der Sendeberechtigung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE eine automatische Verifikation der Sendeberechtigung aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"eine automatische Verifikation der Sendeberechtigung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.36 – Identitätsdiebstahl"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.2.1"},{"id":"KONF.13.2.2","titel":"Verifikation der Serversignatur","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE die Serversignatur eingehender E-Mails automatisch authentifizieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die Serversignatur eingehender E-Mails","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.2.2"},{"id":"KONF.13.3","titel":"Kryptographische Signatur des Mailservers","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE die Kryptographische Signatur des Mailservers aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die Kryptographische Signatur des Mailservers","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.3"},{"id":"KONF.13.4","titel":"Kryptographische Signatur durch Nutzende","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail KANN die kryptographische Signatur durch Nutzende aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die kryptographische Signatur durch Nutzende","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.37 – Abstreiten von Handlungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.4"},{"id":"KONF.13.5","titel":"Publikation der Sendeberechtigung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE die Publikation der eigenen Sendeberechtigung im DNS aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die Publikation der eigenen Sendeberechtigung im DNS","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.5"},{"id":"KONF.13.5.1","titel":"Strenge Senderpolicy","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE eine strenge Senderpolicy aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"eine strenge Senderpolicy","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.42 – Social Engineering"],"vorgaenger":["APP.5.3.A9-UA.4 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.5.1"},{"id":"KONF.13.6","titel":"Publikation der Serversignatur","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE die Publikation der Serversignatur im DNS aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die Publikation der Serversignatur","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.6"},{"id":"KONF.13.7","titel":"TLS-Reports","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail KANN TLS-Reports [regelmäßig] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"TLS-Reports","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.7"},{"id":"KONF.13.8","titel":"DMARC-Reports","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail KANN DMARC-Reports [regelmäßig oder bei Eingang] überprüfen.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"DMARC-Reports","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.8"},{"id":"KONF.13.9","titel":"Publikation der DMARC-Richtlinie","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE die Publikation der DMARC-Richtlinie aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die Publikation der DMARC-Richtlinie","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.42 – Social Engineering"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.9"},{"id":"KONF.13.10","titel":"Authentifizierung der Server-Zertifikate über DNS","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE die Authentifizierung der Server-Zertifikate über das DNS aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"die Authentifizierung der Server-Zertifikate über das DNS","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.36 – Identitätsdiebstahl"],"vorgaenger":["APP.3.6.A1-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.10"},{"id":"KONF.13.11","titel":"MTA-STS","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für E-Mail SOLLTE MTA-STS aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["E-Mail"],"unterkategorien":[],"ergebnis":"MTA-STS","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.13.11"},{"id":"KONF.14.1","titel":"Verschlüsselung beim Transport","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE Kommunikation beim Transport über Netze nach [einem anerkannten Standard] verschlüsseln.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Kommunikation beim Transport","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":["APP.1.1.A15-UA.1 (überschneidet sich mit)","APP.1.2.A2-UA.2 (überschneidet sich mit)","APP.3.4.A15-UA.1 (Teilbereich von)","IND.2.1.A2-UA.2 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.1"},{"id":"KONF.14.1.1","titel":"Obligatorische Verschlüsselung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE unverschlüsselte und anfällige Verbindungen über Netze deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"unverschlüsselte und anfällige Verbindungen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.1.1"},{"id":"KONF.14.1.2","titel":"Ende-zu-Ende-Verschlüsselung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen KANN die Kommunikation Ende-zu-Ende über Netze verschlüsseln.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Kommunikation Ende-zu-Ende","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.19 – Offenlegung schützenswerter Informationen","G 0.15 – Abhören"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.1.2"},{"id":"KONF.14.2","titel":"Source Port Randomisierung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für DNS-Server SOLLTE Source Port Randomisierung aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["DNS-Server"],"unterkategorien":[],"ergebnis":"Source Port Randomisierung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten","G 0.22 – Manipulation von Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.2"},{"id":"KONF.14.3","titel":"Iterative Beantwortung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für DNS-Server SOLLTE die iterative Beantwortung von DNS-Anfragen aus dem Internet aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["DNS-Server"],"unterkategorien":[],"ergebnis":"die iterative Beantwortung von DNS-Anfragen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.40 – Verhinderung von Diensten (Denial of Service)","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.3"},{"id":"KONF.14.4","titel":"Caching","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen von Mobilen Endgeräten KANN eine Zwischenspeicherung häufig verwendeter Daten aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen","Mobile Endgeräte"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Zwischenspeicherung häufig verwendeter Daten","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.4"},{"id":"KONF.14.5","titel":"Zeitüberschreitung von Netzverbindungen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen SOLLTE Netzverbindungen bei Zeitüberschreitung blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Netzverbindungen bei Zeitüberschreitung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.14.5"},{"id":"KONF.15.1","titel":"Begrenzung des Speicherplatzes","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen von Hostsystemen KANN in der Anwendung zur Verfügung stehenden Speicherplatz pro [Zugangskonto oder Mandant] anhand von [Schwellwerten] einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen","Hostsysteme"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"in der Anwendung zur Verfügung stehenden Speicherplatz pro {{Zugangskonto oder Mandant}}","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.15.1"},{"id":"KONF.15.2","titel":"Begrenzung der Rechenleistung","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen von Hostsystemen KANN die Rechenleistung pro [Zugangskonto oder Mandant] einschränken.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen","Hostsysteme"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Rechenleistung","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.15.2"},{"id":"KONF.15.3","titel":"Schutz gegen Denial of Service","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Anwendungen von Hostsystemen KANN Schutzmaßnahmen gegen Denial of Service aktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen","Hostsysteme"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Schutzmaßnahmen gegen Denial of Service","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.15.3"},{"id":"KONF.15.4","titel":"Überbuchung von virtualisierten Ressourcen","praktik_id":"KONF","praktik":"KONF Konfiguration","anforderung":"Konfiguration für Virtualisierungslösungen KANN die Überbuchung von virtualisierten Ressourcen deaktivieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Virtualisierungslösungen"],"unterkategorien":[],"ergebnis":"die Überbuchung von virtualisierten Ressourcen","dokument":"Konfigurationshistorie","gefaehrdungen":["G 0.27 – Ressourcenmangel","G 0.40 – Verhinderung von Diensten (Denial of Service)"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/konf/#KONF.15.4"},{"id":"DEV.1.1","titel":"Verfahren und Regelungen","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung MUSS Verfahren und Regelungen zur Entwicklung von IT-Produkten verankern.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"Verfahren und Regelungen zur Entwicklung von IT-Produkten","dokument":"","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.7.A2-UA.1 (Teilbereich von)","APP.7.A2-UA.2 (Teilbereich von)","APP.7.A3-UA.1 (Teilbereich von)","APP.7.A4-UA.1 (Teilbereich von)","CON.8.A2-UA.1 (Teilbereich von)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.1.1"},{"id":"DEV.1.1.1","titel":"Dokumentation","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung MUSS die Verfahren und Regelungen dokumentieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.37 – Abstreiten von Handlungen","G 0.29 – Verstoß gegen Gesetze oder Regelungen","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.1.1.1"},{"id":"DEV.1.1.2","titel":"Zuweisung der Aufgaben","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben [zuständigen Personen oder Rollen] zuweisen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die mit den Verfahren und Regelungen verbundenen Aufgaben","dokument":"Geschäftsverteilungsplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.31 – Fehlerhafte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.1.1.2"},{"id":"DEV.1.1.3","titel":"Bekanntgabe","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die zuständigen Personen oder Rollen über die Verfahren und Regelungen","dokument":"IT-Betriebskonzept","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.1.1.3"},{"id":"DEV.1.2","titel":"Regelmäßige Überprüfung","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung MUSS die Verfahren und Regelungen [regelmäßig] und anlassbezogen auf Aktualität überprüfen.","pflichtgrad":"MUSS","stufe":"Standard-Sicherheitsstufe","aufwand":"0","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Verfahren und Regelungen","dokument":"Übungs- und Prüfplan","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.1.2"},{"id":"DEV.2.1","titel":"Security by Design Architektur","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung SOLLTE die Architektur nach dem Prinzip \"Security by Design\" verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Architektur nach dem Prinzip \"Security by Design\"","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.46 – Integritätsverlust schützenswerter Informationen","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.3.1.A8-UA.1 (überschneidet sich mit)","APP.6.A6-UA.1 (Teilbereich von)","CON.8.A21-UA.1 (Teilbereich von)","CON.8.A22-UA.1 (Teilbereich von)","CON.8.A22-UA.2 (Teilbereich von)","CON.8.A22-UA.3 (Teilbereich von)","CON.8.A5-UA.1 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.1"},{"id":"DEV.2.2","titel":"Dokumentation der (Software-)Architektur","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Architektur dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Architektur","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":["APP.1.1.A10-UA.6 (überschneidet sich mit)","APP.3.1.A8-UA.2 (überschneidet sich mit)","APP.7.A6-UA.1 (überschneidet sich mit)","CON.10.A11-UA.1 (Teilbereich von)","CON.10.A11-UA.2 (überschneidet sich mit)","CON.10.A11-UA.3 (überschneidet sich mit)","CON.10.A11-UA.4 (überschneidet sich mit)","CON.8.A12-UA.1 (überschneidet sich mit)","CON.8.A12-UA.3 (überschneidet sich mit)","CON.8.A12-UA.4 (umfasst)","CON.8.A12-UA.5 (überschneidet sich mit)","CON.8.A22-UA.2 (überschneidet sich mit)","IND.1.A20-UA.1 (überschneidet sich mit)","IND.1.A4-UA.2 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.2"},{"id":"DEV.2.3","titel":"Ausführbarkeit mit minimalen Rechten","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die fehlerfreie Ausführung mit den geringst möglichen Berechtigungen verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die fehlerfreie Ausführung mit den geringst möglichen Berechtigungen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.32 – Missbrauch von Berechtigungen","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.3"},{"id":"DEV.2.4","titel":"Einschränkung Zugriffs auf Quellcode","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung SOLLTE den schreibenden Zugriff auf Quellcode einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"den schreibenden Zugriff auf Quellcode","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.4"},{"id":"DEV.2.5","titel":"Einschränkung des Zugriffs auf Zugangsdaten","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE den lesenden und schreibenden Zugriff auf Zugangsdaten einschränken.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"den lesenden und schreibenden Zugriff auf Zugangsdaten","dokument":"Inventar Berechtigungen","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["APP.4.2.A13-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.5"},{"id":"DEV.2.6","titel":"Widerstandsfähigkeit gegen gängige Angriffsmuster","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Schutzfunktionen gegen gängige Angriffsmuster installieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Schutzfunktionen gegen gängige Angriffsmuster","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.21 – Manipulation von Hard- oder Software","G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.6"},{"id":"DEV.2.6.1","titel":"Eingabevalidierung","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Eingabedaten auf eingeschleuste Befehle testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Eingabedaten","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["CON.10.A8-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.6.1"},{"id":"DEV.2.6.2","titel":"Ausgabekodierung","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE eine Ausgabekodierung ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine Ausgabekodierung","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["CON.10.A8-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.2.6.2"},{"id":"DEV.3.1","titel":"Replay-Angriffe","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Replay-Angriffe blockieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Replay-Angriffe","dokument":"Freigabeplan","gefaehrdungen":["G 0.43 – Einspielen von Nachrichten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.3.1"},{"id":"DEV.3.2","titel":"Routinen zur Fehlerbehandlung","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE spezifische und allgemeine Routinen zur Fehlerbehandlung ausführen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"spezifische und allgemeine Routinen zur Fehlerbehandlung","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.21 – Manipulation von Hard- oder Software"],"vorgaenger":["APP.3.2.A12-UA.5 (entspricht)","APP.3.3.A14-UA.1 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.3.2"},{"id":"DEV.3.3","titel":"Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Ausgabe schützenswerter Daten durch Fehlermeldungen deaktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Ausgabe schützenswerter Daten durch Fehlermeldungen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.3.3"},{"id":"DEV.3.4","titel":"Passwort-Hashing","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE das Hashing von Passwörtern, die zur Authentifizierung an der Anwendung verwendet werden vor der Verarbeitung oder Speicherung aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"das Hashing von Passwörtern, die zur Authentifizierung an der Anwendung verwendet werden","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.19 – Offenlegung schützenswerter Informationen"],"vorgaenger":["APP.3.1.A14-UA.2 (überschneidet sich mit)","CON.8.A5-UA.9 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.3.4"},{"id":"DEV.4.1","titel":"Nutzerinformation bei kritischen Ereignissen","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE bei sicherheitskritischen Ereignissen die betroffenen Nutzenden informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"bei sicherheitskritischen Ereignissen die betroffenen Nutzenden","dokument":"Freigabeplan","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.1"},{"id":"DEV.4.2","titel":"Einbindung externer Software","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Einbindung externer Softwareartefakte und -Schnittstellen aus unzuverlässigen oder unbekannten Quellen untersagen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Einbindung externer Softwareartefakte und -Schnittstellen aus unzuverlässigen oder unbekannten Quellen","dokument":"Arbeitsanweisung","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.46 – Integritätsverlust schützenswerter Informationen","G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle"],"vorgaenger":["CON.8.A6-UA.1 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.2"},{"id":"DEV.4.3","titel":"Softwarebestandteile (SBOM)","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Bestandteile mit Hilfe einer Software Bill of Materials (SBOM) vor dem Release dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Bestandteile mit Hilfe einer Software Bill of Materials (SBOM)","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":["APP.1.1.A10-UA.6 (umfasst)","CON.8.A12-UA.3 (überschneidet sich mit)","CON.8.A12-UA.5 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.3"},{"id":"DEV.4.4","titel":"Integrität externer Software","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Integrität externer Softwareartefakte und -Schnittstellen vor dem Release testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Integrität externer Softwareartefakte und -Schnittstellen","dokument":"Freigabeplan","gefaehrdungen":["G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["APP.6.A3-UA.3 (überschneidet sich mit)","CON.8.A20-UA.1 (überschneidet sich mit)","CON.8.A20-UA.3 (umfasst)","CON.8.A6-UA.1 (entspricht)","CON.8.A6-UA.2 (umfasst)","OPS.1.1.3.A10-UA.3 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.4"},{"id":"DEV.4.5","titel":"Updates externer Software","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE externe Softwareartefakte auf Sicherheitsupdates vor dem Release testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"externe Softwareartefakte auf Sicherheitsupdates","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.5"},{"id":"DEV.4.6","titel":"Compileroptionen","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Compileroptionen für Sicherheitsfunktionen vor dem Release aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Compileroptionen für Sicherheitsfunktionen","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.6"},{"id":"DEV.4.7","titel":"Deterministischer Binärcode","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen KANN eine reproduzierbare Vorgehensweise zur Erstellung eines bestimmten Binärcodes aus dem Quellcode dokumentieren.","pflichtgrad":"KANN","stufe":"Erhöhte Sicherheitsstufe","aufwand":"5","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"eine reproduzierbare Vorgehensweise zur Erstellung eines bestimmten Binärcodes aus dem Quellcode","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.7"},{"id":"DEV.4.8","titel":"Default-Zugangsdaten","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Default-Zugangsdaten vor dem Release dokumentieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Default-Zugangsdaten","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.8"},{"id":"DEV.4.9","titel":"Voreinstellungen nach dem Prinzip \"Security by Default\"","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Voreinstellungen nach dem Prinzip \"Security by Default\" aktivieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Voreinstellungen nach dem Prinzip \"Security by Default\"","dokument":"Codehistorie","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.30 – Unberechtigte Nutzung oder Administration von Geräten und Systemen"],"vorgaenger":["APP.3.4.A3-UA.5 (Teilbereich von)","SYS.1.1.A16-UA.7 (umfasst)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.9"},{"id":"DEV.4.10","titel":"Protokollierung von Codeänderungen","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Änderungen am Quellcode einschließlich Zeitpunkt, Inhalt der Änderung, ändernder Person und der Begründung der Änderung protokollieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"1","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Änderungen am Quellcode","dokument":"Codehistorie","gefaehrdungen":["G 0.37 – Abstreiten von Handlungen","G 0.22 – Manipulation von Informationen"],"vorgaenger":["CON.8.A10-UA.3 (entspricht)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.10"},{"id":"DEV.4.11","titel":"Test bei Änderungen am Quellcode","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Änderungen am Quellcode im Einklang mit den Verfahren und Regelungen für Änderungen und Tests testen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"4","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Änderungen am Quellcode","dokument":"Freigabeplan","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.4.11"},{"id":"DEV.5.1","titel":"Verankerung des Zeitraums für Updates","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Bereitstellung von Sicherheitsupdates mindestens für [einen bestimmten Zeitraum] verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Bereitstellung von Sicherheitsupdates mindestens für {{einen bestimmten Zeitraum}}","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.28 – Software-Schwachstellen oder -Fehler","G 0.18 – Fehlplanung oder fehlende Anpassung"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.5.1"},{"id":"DEV.5.2","titel":"Information über Zeitraum für Updates","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Auftraggeber über den festgelegten Zeitraum für Sicherheitsupdates informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Auftraggeber über den festgelegten Zeitraum für Sicherheitsupdates","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.29 – Verstoß gegen Gesetze oder Regelungen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.5.2"},{"id":"DEV.5.3","titel":"Integritätsprüfung","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE Nutzende über Möglichkeiten zur Verifikation der Integrität von Installations-, Update- und Patchdateien informieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"Nutzende über Möglichkeiten zur Verifikation der Integrität von Installations-, Update- und Patchdateien","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.20 – Informationen oder Produkte aus unzuverlässiger Quelle","G 0.22 – Manipulation von Informationen","G 0.46 – Integritätsverlust schützenswerter Informationen"],"vorgaenger":["APP.1.1.A16-UA.1 (überschneidet sich mit)","APP.6.A3-UA.3 (überschneidet sich mit)"],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.5.3"},{"id":"DEV.6.1","titel":"Freigabe nach Änderungen und Tests","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung SOLLTE die Freigabe zur Nutzung im Einklang mit den entsprechenden Verfahren und Regelungen für Änderungen und Tests autorisieren.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Freigabe zur Nutzung","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.6.1"},{"id":"DEV.7.1","titel":"Sichere Bereitstellung","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung SOLLTE die Bereitstellung im Einklang mit den entsprechenden Verfahren und Regelungen für Änderungen und Tests verankern.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"3","zielobjekte":["Ohne Zielobjektkategorie"],"unterkategorien":[],"ergebnis":"die Bereitstellung","dokument":"Entwicklungsdokumentation","gefaehrdungen":["G 0.18 – Fehlplanung oder fehlende Anpassung","G 0.25 – Ausfall von Geräten oder Systemen","G 0.26 – Fehlfunktion von Geräten oder Systemen"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.7.1"},{"id":"DEV.7.2","titel":"Zertifikatsmonitoring","praktik_id":"DEV","praktik":"DEV Entwicklung","anforderung":"Entwicklung für Anwendungen SOLLTE die Ausstellung neuer Zertifikate für die von der Anwendung verwendeten Domains überwachen.","pflichtgrad":"SOLLTE","stufe":"Standard-Sicherheitsstufe","aufwand":"2","zielobjekte":["Anwendungen"],"unterkategorien":["DNS-Server","Dateiserver","E-Mail","Faxanwendungen","Interpersonelle Kommunikation","Office-Anwendungen","TK-Anwendungen","VK-Anwendungen","Verzeichnisdienste","Virtualisierungslösungen","Webanwendungen","Webbrowser","Webserver"],"ergebnis":"die Ausstellung neuer Zertifikate","dokument":"Detektions-Konzept","gefaehrdungen":["G 0.36 – Identitätsdiebstahl","G 0.43 – Einspielen von Nachrichten"],"vorgaenger":[],"seite":"https://grundschutz-docs.de/grundschutzpp/dev/#DEV.7.2"}],"dokumente":[{"dokument":"Konfigurationshistorie","anzahl":183,"muss":0,"praktiken":["ASST","DLS","TEST","ARCH","BER","REA","KONF"],"beschreibung":"Die Konfigurationshistorie dokumentiert lückenlos die Änderungen an der Konfiguration von IT-Systemen, Anwendungen und Netzwerkkomponenten. Sie erfasst nicht nur den aktuellen Zustand, sondern auch vorherige Versionen, inklusive des Zeitpunkts der Änderung, der verantwortlichen Person und des Grundes für die Anpassung. Das Ziel ist die vollständige Nachvollziehbarkeit aller Eingriffe, um im Fehlerfall eine schnelle Ursachenanalyse zu ermöglichen und eine gezielte Wiederherstellung eines funktionsfähigen Zustands zu gewährleisten. Dies kann in einem automatisierten Versionskontrollsystem als Infrastructure-as-Code (IaC) geschehen.","kategorie":"Technisches Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Konfigurationshistorie"},{"dokument":"IT-Betriebskonzept","anzahl":116,"muss":29,"praktiken":["ASST","PERS","BES","DLS","TEST","GEB","SENS","ARCH","BER","NOT","DET","REA","KONF","DEV"],"beschreibung":"Das IT-Betriebskonzept beschreibt die grundlegenden Prinzipien, Verfahren und organisatorischen Regelungen für den sicheren und zuverlässigen Betrieb der IT-Infrastruktur. Es dient als Leitlinie, um die Stabilität, Verfügbarkeit und Sicherheit von IT-Diensten zu gewährleisten und die Einhaltung regulatorischer Anforderungen sicherzustellen. Nicht enthalten sind spezifische technische Handbücher oder detaillierte Konfigurationsanleitungen einzelner Systeme. Der Schwerpunkt liegt auf den Rahmenbedingungen, Verantwortlichkeiten und Vorgehensweisen, die den ordnungsgemäßen Betrieb der IT unterstützen und die Informationssicherheit fest im Betriebsalltag verankern.","kategorie":"Betrieb & Prozesse","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"IT-Betriebskonzept"},{"dokument":"Beschaffungskriterien","anzahl":70,"muss":0,"praktiken":["BES"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Detektions-Konzept","anzahl":61,"muss":1,"praktiken":["BER","DET","KONF","DEV"],"beschreibung":"Das Detektionskonzept legt die strategische und technische Vorgehensweise fest, um Sicherheitsvorfälle und verdächtige Aktivitäten in der IT-Infrastruktur proaktiv zu erkennen. Es beschreibt, welche Datenquellen (z.B. Log-Dateien, Netzwerkverkehr, Systemmetriken) überwacht, welche Werkzeuge (z.B. SIEM, IDS/IPS) eingesetzt und welche Methoden zur Analyse und Korrelation von Ereignissen verwendet werden. Das primäre Ziel ist es, Angriffe, Kompromittierungen oder Richtlinienverstöße so früh wie möglich zu identifizieren, um den potenziellen Schaden zu begrenzen. Im Gegensatz zu einem Notfall- oder Wiederanlaufplan, der regelt, wie auf einen bereits eingetretenen und erkannten Vorfall reagiert wird, setzt das Detektionskonzept früher an. Es konzentriert sich auf die Phase vor und während eines Angriffs und beantwortet die Frage: \"Wie stellen wir sicher, dass wir einen relevanten Vorfall überhaupt bemerken?\". Es bildet somit die Grundlage für einen effektiven Incident-Response-Prozess, denn nur was erkannt wird, kann auch bewältigt werden.","kategorie":"Sicherheitsmanagement","zielgruppe":"Prozessverantwortliche","zuordnung":"schreibweise","bsi_name":"Detektionskonzept"},{"dokument":"Arbeitsanweisung","anzahl":60,"muss":0,"praktiken":["GC","ASST","PERS","GEB","SENS","DET","REA","DEV"],"beschreibung":"Eine Arbeitsanweisung ist ein verbindliches Dokument oder eine mündliche Vorgabe, die den Mitarbeitenden einer Institution eine bestimmte Aktivität vorschreibt.","kategorie":"Information & Sensibilisierung","zielgruppe":"Mitarbeitende","zuordnung":"exakt","bsi_name":"Arbeitsanweisung"},{"dokument":"Schulungsplan","anzahl":60,"muss":0,"praktiken":["PERS","SENS","NOT"],"beschreibung":"Das Bewusstsein und die Kompetenz der Mitarbeitenden sind entscheidende Faktoren für die Wirksamkeit von Informationssicherheitsmaßnahmen, denn der Mensch ist oft die erste Verteidigungslinie. Eine systematische Planung von Schulungs- und Sensibilisierungsmaßnahmen ist daher unerlässlich, um sicherzustellen, dass alle Mitarbeitenden über das notwendige Wissen verfügen, um ihre Aufgaben sicher zu erfüllen und Sicherheitsrisiken zu erkennen und zu vermeiden. Der Plan definiert die Ziele, Inhalte und Zielgruppen für alle Schulungsaktivitäten im Bereich der Informationssicherheit. Er legt fest, welche Themen (z.B. Phishing, Passwortsicherheit, Datenschutz) in welchen Formaten (z.B. Online-Training, Präsenzschulung) und in welchen Intervallen vermittelt werden. Zudem werden Verantwortlichkeiten für die Durchführung und Methoden zur Messung des Schulungserfolgs festgelegt, um die Wirksamkeit der Maßnahmen kontinuierlich zu überprüfen und zu verbessern.","kategorie":"Information & Sensibilisierung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Schulungsplan"},{"dokument":"Gebäudedokumentation","anzahl":38,"muss":0,"praktiken":["GEB"],"beschreibung":"Die Gebäudedokumentation bietet einen detaillierten und aktuellen Überblick über die baulichen und sicherheitstechnischen Gegebenheiten der Unternehmensstandorte. Sie enthält wesentliche Informationen wie Grundrisse, die Lage von Sicherheitsbereichen wie Serverräumen oder Archiven sowie die Verortung kritischer Infrastrukturkomponenten wie Leitungswege, Brandmeldeanlagen und Zutrittskontrollsysteme. Ziel ist die Schaffung einer verlässlichen Informationsgrundlage für Sicherheits-, Notfall- und Betriebsplanungen. Im Gegensatz zu reinen Bauplänen ist diese Dokumentation gezielt auf die Anforderungen der Informationssicherheit und des Business Continuity Managements ausgerichtet. Sie dient als essenzielle Referenz für Risikoanalysen, die Planung von Sicherheitsmaßnahmen und als schnelle Orientierungshilfe im Störungs- oder Notfall. Dadurch wird sichergestellt, dass relevante physische Gegebenheiten bei allen sicherheitsrelevanten Entscheidungen berücksichtigt werden können.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Gebäudedokumentation"},{"dokument":"Geschäftsverteilungsplan","anzahl":24,"muss":15,"praktiken":["GC","ASST","PERS","BES","DLS","TEST","GEB","SENS","ARCH","BER","NOT","DET","REA","KONF","DEV"],"beschreibung":"Organigramm mit Aufgaben, Befugnissen und Verantwortlichkeiten (ABV): Definiert und visualisiert die Aufbauorganisation des Unternehmens. Es wird klar geregelt, welche Organisationseinheit und welche Rolle für welche Aufgabenbereiche (insbesondere sicherheitsrelevante) zuständig ist und welche Befugnisse damit verbunden sind. Dies ist die Basis für das Berechtigungsmanagement.","kategorie":"Betrieb & Prozesse","zielgruppe":"Mitarbeitende","zuordnung":"exakt","bsi_name":"Geschäftsverteilungsplan"},{"dokument":"Übungs- und Prüfplan","anzahl":24,"muss":12,"praktiken":["ASST","PERS","BES","DLS","TEST","GEB","ARCH","NOT","DET","REA","KONF","DEV"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Freigabeplan","anzahl":23,"muss":0,"praktiken":["TEST","DEV"],"beschreibung":"Der Freigabeplan stellt sicher, dass Änderungen an IT-Systemen, Anwendungen und Prozessen kontrolliert und nachvollziehbar in den Betrieb überführt werden. Er beschreibt die einzelnen Schritte von der Planung über die Tests bis hin zur Abnahme und der finalen Freigabe. Ziel ist es, Risiken bei der Umsetzung zu minimieren, Abhängigkeiten transparent zu machen und die Qualität der Änderungen zu gewährleisten. Der Schwerpunkt liegt auf der Definition von Rollen, Verantwortlichkeiten und Prüfschritten, die notwendig sind, um einen sicheren und geordneten Übergang in den produktiven Betrieb zu gewährleisten.","kategorie":"Änderungen und Tests","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Freigabeplan"},{"dokument":"Inventar Berechtigungen","anzahl":21,"muss":1,"praktiken":["GEB","BER","DEV"],"beschreibung":"Enthält Identitäten mit den zugewiesenen Nutzendenkonten und Berechtigungen. Zweckmäßig ist es das Inventar digitalisiert zu führen, z.B. mit einem Identity Management System oder Verzeichnisdienst.","kategorie":"Inventarisierung & Asset Management","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Inventar Berechtigungen"},{"dokument":"Datensicherungskonzept","anzahl":20,"muss":0,"praktiken":["NOT"],"beschreibung":"Konzept zur Datenverfügbarkeit und -wiederherstellung: Legt verbindlich fest, welche Daten wie oft (Backup-Frequenz), mit welcher Methode (z.B. voll, differentiell, inkrementell) und wohin gesichert werden. Es definiert zudem die Aufbewahrungsfristen und die Prozesse für die Datenwiederherstellung. Wichtige Kennzahlen sind hier das Recovery Time Objective (RTO – maximale Ausfallzeit) und das Recovery Point Objective (RPO – maximaler Datenverlust).","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Datensicherungskonzept"},{"dokument":"Netzplan","anzahl":20,"muss":0,"praktiken":["ARCH"],"beschreibung":"Architektur des Netzwerks: Eine visuelle und technische Darstellung des Netzwerks, inklusive der logischen Gliederung in Zonen (z.B. Produktion, Entwicklung, DMZ), Segmente und Subnetze. Er zeigt, wo wichtige Komponenten wie Firewalls, Router, Switches und Server platziert sind und wie die Datenflüsse zwischen den Zonen kontrolliert werden.","kategorie":"Technisches Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Netzplan"},{"dokument":"Audit Log","anzahl":19,"muss":0,"praktiken":["ASST","TEST","GEB","BER","DET"],"beschreibung":"Automatische Protokollierung sicherheitsrelevanter Ereignisse. Dient bei Sicherheitsvorfällen zur Erkennung und Behandlung, sowie als Nachweis.","kategorie":"Sicherheitsmanagement","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Audit Log"},{"dokument":"Betriebshandbuch","anzahl":16,"muss":0,"praktiken":["ASST","BES","DLS","GEB","KONF"],"beschreibung":"Das Betriebshandbuch enthät die produktspezifische Dokumentation eines bestimmten IT-Systems oder einer Anwendung. Sie kann vom Hersteller bereitgestellt oder für eine spezifische Eigenentwicklung von der Institution selbst erstellte sein. Zum Inhalt gehören technische Details zur Installation, Konfiguration und den Funktionalitäten. Das Betriebshandbuch ist eine wichtige Informationsquelle für das IT-Betriebskonzept und das Notfallhandbuch.","kategorie":"Betrieb & Prozesse","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Betriebshandbuch"},{"dokument":"Firewallregeln","anzahl":15,"muss":0,"praktiken":["ARCH"],"beschreibung":"Regelwerk für die Netzwerkfilterung: Enthält die vollständige Liste aller erlaubten und blockierten Netzwerkverbindungen zwischen verschiedenen Netzzonen (z.B. Internet, DMZ, internes Netz). Jede Regel sollte einen Besitzer, einen Zweck und ein Überprüfungsdatum haben, um veraltete oder zu weitreichende Freischaltungen (\"\"any/any\"\") zu vermeiden.","kategorie":"Technisches Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Firewallregeln"},{"dokument":"Behandlung von Sicherheitsvorfällen","anzahl":14,"muss":0,"praktiken":["REA"],"beschreibung":"Incident Response Plan: Konkreter Plan, der festlegt, wie auf Sicherheitsvorfälle reagiert wird. Er definiert die Phasen eines Vorfalls (Erkennung, Eindämmung, Beseitigung, Wiederherstellung, Lessons Learned), die Rollen und Verantwortlichkeiten im Incident Response Team (IRT/CSIRT) sowie die Meldeketten an das Management und ggf. an Behörden.","kategorie":"Sicherheitsmanagement","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Behandlung von Sicherheitsvorfällen"},{"dokument":"Prozess Personalmanagement","anzahl":12,"muss":1,"praktiken":["PERS"],"beschreibung":"Dieser Prozess stellt sicher, dass die Informationssicherheit über den gesamten Lebenszyklus von Mitarbeitenden im Unternehmen fest verankert ist. Er definiert die sicherheitsrelevanten Maßnahmen und Verantwortlichkeiten, beginnend bei der sorgfältigen Überprüfung von Bewerbern, über die Verpflichtung zur Vertraulichkeit bei der Einstellung, die regelmäßigen Sensibilisierungs- und Schulungsmaßnahmen während des Anstellungsverhältnisses bis hin zu einem geordneten Austrittsprozess, der die Rückgabe aller Werte und den Entzug von Berechtigungen regelt. Ziel ist es, die Risiken, die von Personen ausgehen können – ob unbeabsichtigt oder böswillig – systematisch zu minimieren.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Prozess Personalmanagement"},{"dokument":"Managementbericht","anzahl":11,"muss":3,"praktiken":["GC","PERF"],"beschreibung":"Der Managementbericht wird für die Institutionsleitung verfasst und dieser zur Freigabe vorgelegt. Zum Beispiel legen die Sicherheitsorgane der Institution die Informationssicherheitsstrategie in einem Managementbericht vor.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Managementbericht"},{"dokument":"Anforderungspaket","anzahl":10,"muss":10,"praktiken":["STM"],"beschreibung":"Ein Anforderungspaket ist eine Zusammenstellung von Anforderungen, die auf einen konkreten Informationsverbund oder ein Einsatzszenario modelliert werden können.","kategorie":"","zielgruppe":"","zuordnung":"exakt","bsi_name":"Anforderungspaket"},{"dokument":"Entwicklungsdokumentation","anzahl":10,"muss":0,"praktiken":["DEV"],"beschreibung":"Enthält für eine selbst entwickelte Software die Architektur, User Stories, Bedienführung, etc.","kategorie":"Entwicklung & Beschaffung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Entwicklungsdokumentation"},{"dokument":"Prozess Gebäudemanagement","anzahl":10,"muss":1,"praktiken":["GEB"],"beschreibung":"Dieser Prozess stellt sicher, dass die physische Umgebung, in der Informationswerte verarbeitet und gespeichert werden, angemessen geschützt ist. Er umfasst alle organisatorischen und technischen Maßnahmen, die erforderlich sind, um unbefugten Zutritt, Beschädigung und Störungen der Geschäftstätigkeit zu verhindern. Dazu gehören die Planung, Umsetzung und Überwachung von physischen Sicherheitskontrollen wie Zutrittsbeschränkungen, Videoüberwachung und Umweltsensorik.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Prozess Gebäudemanagement"},{"dokument":"Notfallhandbuch","anzahl":9,"muss":0,"praktiken":["NOT"],"beschreibung":"Das Notfallhandbuch beschreibt die Vorgehensweise zur strukturierten Reaktion auf schwerwiegende Störungen, Sicherheitsvorfälle oder Ausfälle (z.B. Ransomware-Angriff, Ausfall eines Rechenzentrums). Es bietet klare Handlungsanweisungen, um Schäden zu begrenzen, die Verfügbarkeit kritischer Prozesse sicherzustellen und den Geschäftsbetrieb schnellstmöglich wiederherzustellen. Nicht enthalten sind präventive Maßnahmen oder organisatorische Regelungen des Normalbetriebs. Der Fokus liegt auf den Abläufen, Zuständigkeiten und Kommunikationswegen, die im Ernstfall verbindlich einzuhalten sind, damit auch für nicht-Spezialisten oder externe Vertreter unter Zeitdruck ein koordiniertes und wirksames Handeln gewährleistet ist.","kategorie":"Betrieb & Prozesse","zielgruppe":"Mitarbeitende","zuordnung":"exakt","bsi_name":"Notfallhandbuch"},{"dokument":"Prozess Beschaffung","anzahl":9,"muss":2,"praktiken":["BES","DLS"],"beschreibung":"Dieser Prozess stellt sicher, dass Informationssicherheit ein integraler Bestandteil bei der Anschaffung von Produkten, der Beauftragung von Dienstleistungen und der Auswahl von Lieferanten ist. Er definiert klare Sicherheitsanforderungen, die bereits in der Ausschreibungs- und Auswahlphase berücksichtigt werden müssen, um Risiken durch unsichere Hard- oder Software sowie durch unzuverlässige Partner zu minimieren. Die Einhaltung dieser Vorgaben ist eine verbindliche Voraussetzung für den Abschluss von Verträgen.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Prozess Beschaffung"},{"dokument":"Abnahmeprotokoll","anzahl":8,"muss":0,"praktiken":["BES","GEB"],"beschreibung":"Die Integration von externen Dienstleistungen oder Produkten birgt spezifische Risiken, die sorgfältig gesteuert werden müssen, bevor eine produktive Nutzung erfolgt. Eine formale Abnahme ist daher ein entscheidender Schritt, um zu überprüfen und zu bestätigen, dass die von einem externen Lieferanten erbrachte Leistung den vertraglich vereinbarten Anforderungen, insbesondere den Informationssicherheitsanforderungen, vollumfänglich entspricht. So wird ein qualitätsgesicherter und sicherer Übergang der externen Leistung in die eigene Organisation gewährleistet. Dieses Protokoll dokumentiert die Ergebnisse der Abnahmeprüfung und dient als formaler Nachweis für die Erfüllung der vertraglichen Pflichten durch den Lieferanten. Es listet die durchgeführten Tests, die erzielten Ergebnisse sowie eventuell festgestellte Mängel oder Abweichungen von der Beauftragung auf. Mit der Unterzeichnung durch die verantwortlichen Parteien wird die Leistung des externen Partners formell angenommen und die damit verbundene Verantwortung geht auf die eigene Institution über.","kategorie":"Entwicklung & Beschaffung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Abnahmeprotokoll"},{"dokument":"Umsetzungsplan","anzahl":8,"muss":8,"praktiken":["UMS","VRB","RISK"],"beschreibung":"Der Umsetzungsplan ist ein zentrales Dokument zur Planung, Umsetzung und Kontrolle von Sicherheitsmaßnahmen.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Umsetzungsplan"},{"dokument":"Auslagerungsregister","anzahl":6,"muss":0,"praktiken":["BES","DLS"],"beschreibung":"Enthält für alle outgesourcten Prozesse den jeweiligen Anbieter, Verträge, letzte Prüfzeitpunkte und Ergebnisse der Prüfungen.","kategorie":"Entwicklung & Beschaffung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Auslagerungsregister"},{"dokument":"Compliance-Verpflichtungen","anzahl":6,"muss":3,"praktiken":["GC","UMS","VRB"],"beschreibung":"Compliance-Verpflichtungen sind Dokumente, die im Rahmen des Compliance-Management erstellt werden und Vorgaben, deren Einhaltung bzw. deren Zuwiderhandeln dokumentieren.","kategorie":"Sicherheitsmanagement","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Compliance-Verpflichtungen"},{"dokument":"Geschäftsprozesse","anzahl":6,"muss":1,"praktiken":["GC","BES"],"beschreibung":"Enthält die Geschäftsprozesse, sowie deren Abhängigkeiten und Definitionen. Die Geschäftsprozesse bilden die Grundlage für das Verständnis, wie Wertschöpfung im Unternehmen entsteht und wie Informationen dabei verarbeitet werden. Ihre Beschreibung dient dazu, Abläufe transparent darzustellen, Verantwortlichkeiten zu klären und Schnittstellen sowie Abhängigkeiten sichtbar zu machen. Dadurch entsteht eine Basis, um Risiken systematisch zu identifizieren und geeignete Sicherheitsmaßnahmen abzuleiten.","kategorie":"Betrieb & Prozesse","zielgruppe":"Mitarbeitende","zuordnung":"exakt","bsi_name":"Geschäftsprozesse"},{"dokument":"Verzeichnis öffentlicher Schlüssel","anzahl":6,"muss":0,"praktiken":["BER"],"beschreibung":"Dieses Verzeichnis dient als zentrale und vertrauenswürdige Inventarliste für alle im Unternehmen eingesetzten öffentlichen kryptografischen Schlüssel und digitalen Zertifikate. Es enthält detaillierte Informationen zu jedem Eintrag, wie den Verwendungszweck, den zugehörigen Algorithmus, die Schlüssellänge, den Eigentümer und vor allem das Gültigkeitsdatum. Der primäre Zweck ist die Sicherstellung eines proaktiven Managements des Lebenszyklus dieser kritischen Sicherheitskomponenten, um den rechtzeitigen Austausch vor Ablauf der Gültigkeit zu überwachen. Durch die zentrale Pflege wird das Risiko von Dienstausfällen durch abgelaufene Zertifikate oder die Verwendung unsicherer kryptografischer Verfahren minimiert. Anders als bei der reinen Speicherung der Schlüssel in den jeweiligen Anwendungen bietet dieses Verzeichnis einen übergreifenden Überblick und eine einheitliche Verwaltungsgrundlage. Es ermöglicht eine effiziente Überwachung der eingesetzten Kryptografie, unterstützt bei der Planung von Migrationen auf neue Standards und stellt sicher, dass die Vertrauenswürdigkeit der digitalen Kommunikation jederzeit gewährleistet ist.","kategorie":"Technisches Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Verzeichnis öffentlicher Schlüssel"},{"dokument":"Liste der Hersteller und Dienstleister","anzahl":4,"muss":0,"praktiken":["BES","DLS","REA"],"beschreibung":"Diese Liste enthält alle für das ISMS relevanten Vertragspartner der Institution für IT-Produkte und Dienstleistungen.","kategorie":"Entwicklung & Beschaffung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Liste der Hersteller und Dienstleister"},{"dokument":"Prozess Identitäts- und Berechtigungsmanagement","anzahl":4,"muss":2,"praktiken":["GEB","BER"],"beschreibung":"Dieser Prozess regelt den gesamten Lebenszyklus digitaler Identitäten und deren Zugriffsrechte auf IT-Systeme, Anwendungen und Daten. Er stellt sicher, dass jeder Benutzer und jedes technische Konto eindeutig identifizierbar ist und nur die Berechtigungen erhält, die zur Erfüllung der jeweiligen Aufgaben zwingend erforderlich sind (Prinzip der geringsten Rechte). Die Abläufe umfassen die kontrollierte Einrichtung, Änderung und Deaktivierung von Identitäten sowie die regelmäßige Überprüfung der zugewiesenen Rechte.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Prozess Identitäts- und Berechtigungsmanagement"},{"dokument":"Anwendungsdokumentation","anzahl":3,"muss":0,"praktiken":["BER"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Auditbericht","anzahl":3,"muss":2,"praktiken":["PERF"],"beschreibung":"Ein Auditbericht sammelt alle Ergebnisse eines Audits. Diese Ergebnisse können sowohl Mängel sein als auch positive Aspekte sein.","kategorie":"Sicherheitsmanagement","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Auditbericht"},{"dokument":"Ergebnisprotokoll","anzahl":3,"muss":0,"praktiken":["DLS","TEST","BER"],"beschreibung":"Das Ergebnisprotokoll hält die wesentlichen Inhalte, Entscheidungen und Maßnahmen aus Besprechungen, Tests oder Audits fest. Es schafft Transparenz über den Verlauf, dokumentiert verbindlich die vereinbarten Schritte und dient als Nachweis für die Nachverfolgung. Dadurch wird sichergestellt, dass Beschlüsse nachvollziehbar bleiben und Verantwortlichkeiten klar zugeordnet werden können. Es enthält die Rahmenbedingungen (wer, was, wann), die durchgeführten Testfälle, die festgestellten Probleme, Schwachstellen oder Abweichungen (inkl. Schweregrad) und die schlussendliche Bewertung.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Ergebnisprotokoll"},{"dokument":"Inventar Anwendungen","anzahl":3,"muss":0,"praktiken":["ASST"],"beschreibung":"Liste aller Software mit Lieferant, Hersteller und Zuordnung des Schutzbedarfes.","kategorie":"Inventarisierung & Asset Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Inventar Anwendungen"},{"dokument":"Inventar Informationen","anzahl":3,"muss":0,"praktiken":["ASST"],"beschreibung":"Liste aller Kategorien von schützenswerten Informationen mit Zuordnung des Schutzbedarfes","kategorie":"Inventarisierung & Asset Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Inventar Informationen"},{"dokument":"Richtlinie zur Risikoanalyse","anzahl":3,"muss":3,"praktiken":["RISK"],"beschreibung":"Diese Richtlinie etabliert einen systematischen und wiederholbaren Ansatz zur Identifizierung, Bewertung und Behandlung von Informationssicherheitsrisiken. Sie legt die verbindliche Methodik fest, nach der potenzielle Bedrohungen für Unternehmenswerte analysiert und die daraus resultierenden möglichen Schäden bewertet werden. Des Weiteren werden klare Kriterien für die Akzeptanz von Risiken definiert, um eine konsistente und nachvollziehbare Grundlage für alle risikobasierten Entscheidungen zu schaffen.","kategorie":"Risikomanagement","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Richtlinie zur Risikoanalyse"},{"dokument":"Schwachstellenregister","anzahl":3,"muss":0,"praktiken":["DET"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Tätigkeits- & Rollenbeschreibung","anzahl":3,"muss":3,"praktiken":["GC"],"beschreibung":"Die Tätigkeits- und Rollenbeschreibung definiert die Aufgaben, Kompetenzen und Verantwortlichkeiten einzelner Rollen im Unternehmen. Sie schafft Klarheit darüber, wie Verantwortlichkeiten im Rahmen des Informationssicherheits-Managementsystems verteilt sind, und unterstützt die eindeutige Zuweisung von Pflichten und die Ausschreibung von Stellen. Nicht berücksichtigt werden übergeordnete Organisationsstrukturen oder strategische Unternehmensziele. Der Fokus liegt auf der konkreten Darstellung einzelner Rollen und ihrer Tätigkeiten, um Transparenz und Verbindlichkeit bei Zuständigkeiten zu schaffen und die Handlungsfähigkeit in der Praxis sicherzustellen.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Tätigkeits- & Rollenbeschreibung"},{"dokument":"Übungsplan","anzahl":3,"muss":0,"praktiken":["SENS","NOT","REA"],"beschreibung":"Die theoretische Planung von Notfallmaßnahmen und die Erstellung von Sicherheitskonzepten sind wichtige Grundlagen, aber erst durch regelmäßige praktische Übungen kann deren Wirksamkeit überprüft und verbessert werden. Der Übungsplan ist die Basis, um die Handlungsfähigkeit in sicherheitsrelevanten Szenarien, wie z.B. bei einem IT-Sicherheitsvorfall oder einem Systemausfall, systematisch zu trainieren und zu optimieren. Ziel ist es, die Reaktionsfähigkeit der Institution kontinuierlich zu stärken. Praktischerweise kann der Übungsplan direkt in einem digitalen Kalender gepflegt werden, damit die regelmäßigen Übungen für alle Beteiligten stets sichtbar sind und in die Terminplanung konsequent einbezogen werden.","kategorie":"Information & Sensibilisierung","zielgruppe":"Nutzende","zuordnung":"exakt","bsi_name":"Übungsplan"},{"dokument":"BC-Leitlinie","anzahl":2,"muss":1,"praktiken":["NOT"],"beschreibung":"Die BC-Leitlinie (Business Continuity Leitlinie) legt die Grundsätze und Rahmenbedingungen für das Business Continuity Management fest. Sie definiert die Zielsetzung, Verantwortlichkeiten und die wesentlichen Verfahren und Regelungen der Vorsorge und Reaktionsfähigkeit des Unternehmens bei Unterbrechungen. Nicht enthalten sind detaillierte Notfallpläne oder operative Wiederanlaufmaßnahmen. Der Schwerpunkt liegt auf den übergeordneten Vorgaben, die sicherstellen, dass Kontinuität systematisch geplant, gesteuert und regelmäßig überprüft wird.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"BC-Leitlinie"},{"dokument":"Codehistorie","anzahl":2,"muss":0,"praktiken":["DEV"],"beschreibung":"Die Codehistorie dokumentiert die Entwicklung und Änderungen von Quellcode über den gesamten Lebenszyklus einer Anwendung hinweg. Sie ermöglicht die Nachvollziehbarkeit von Versionen, erleichtert die Rückverfolgung von Fehlern und stellt sicher, dass alle Anpassungen revisionssicher dokumentiert werden. Damit trägt sie maßgeblich zur Integrität und Qualität von Software bei. Nicht betrachtet werden dabei begleitende Projektdokumentationen oder organisatorische Abläufe der Entwicklung. Der Schwerpunkt liegt ausschließlich auf der strukturierten Nachverfolgung technischer Änderungen am Code selbst. Durch diese Abgrenzung wird gewährleistet, dass die Codebasis zuverlässig verwaltet und jederzeit in einen definierten Zustand zurückgesetzt werden kann.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Codehistorie"},{"dokument":"Informationssicherheitsleitlinie","anzahl":2,"muss":2,"praktiken":["GC"],"beschreibung":"Die Sicherheitsleitlinie ist ein zentrales Dokument, welches an alle Mitarbeitenden kommuniziert werden muss. Sie dient als Orientierung für alle sicherheitsrelevanten Entscheidungen und Aktivitäten und fördert ein gemeinsames Verständnis der Bedeutung und Ausrichtung der Informationssicherheit in der Institution. Die Leitlinie für Informationssicherheit enthält insbesondere die Gesamtverantwortung und Verpflichtung der Institutionsleitung, Informationssicherheitsziele, die Benennung der Rollen und Zuständigkeiten sowie die Verpflichtung zur kontinuierlichen Verbesserung.","kategorie":"","zielgruppe":"","zuordnung":"exakt","bsi_name":"Informationssicherheitsleitlinie"},{"dokument":"Informationssicherheitsstrategie","anzahl":2,"muss":2,"praktiken":["GC"],"beschreibung":"Eine grundlegende Strategie zur Erreichung der definierten Ziele für die Informationssicherheit beschreibt den übergeordneten Ansatz und die Prinzipien. Die Sicherheitsstrategie legt fest wie die Organisation die Ziele erreichen möchte. Aus der Informationssicherheitsstrategie wird die Informationssicherheitsleitlinie abgeleitet.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Informationssicherheitsstrategie"},{"dokument":"Informationsverbund","anzahl":2,"muss":2,"praktiken":["STM"],"beschreibung":"Der Informationsverbund beschreibt die Gesamtheit aller relevanten Informationswerte, technischen Systeme, Anwendungen, Prozesse und Standorte, die im Rahmen des Managementsystems für Informationssicherheit betrachtet werden. Er dient dazu, den Geltungsbereich eindeutig abzugrenzen und sicherzustellen, dass alle sicherheitsrelevanten Komponenten systematisch erfasst und bewertet werden. Durch die klare Festlegung des Informationsverbundes wird Transparenz geschaffen, welche Assets geschützt werden müssen, und es entsteht die Grundlage für Risikoanalysen, Schutzbedarfsfeststellungen und die Auswahl geeigneter Sicherheitsmaßnahmen.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Informationsverbund"},{"dokument":"Outsourcing Strategie","anzahl":2,"muss":0,"praktiken":["BES"],"beschreibung":"Informationssicherheitsstrategie: Ein übergeordnetes Dokument, das die langfristige Vision, die Ziele und die Leitprinzipien der Informationssicherheit festlegt, abgeleitet aus den Unternehmenszielen. Es beantwortet die Frage \"Wo wollen wir hin?\" und setzt den Rahmen für alle anderen Sicherheitsdokumente, z.B. durch Vorgaben zu Cloud-Nutzung, Outsourcing oder dem angestrebten Sicherheitsniveau.","kategorie":"Strategie & Governance","zielgruppe":"Führungskräfte","zuordnung":"schreibweise","bsi_name":"Outsourcing-Strategie"},{"dokument":"Prüfplan","anzahl":2,"muss":1,"praktiken":["BER"],"beschreibung":"Mit dem Prüfplan wird nachgewiesen, dass die Erfüllung der Anforderung regelmäßig geprüft wird. Hier reicht z. B. bereits ein wiederkehrender Kalendereintrag.","kategorie":"Information & Sensibilisierung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Prüfplan"},{"dokument":"Risikobetrachtung","anzahl":2,"muss":2,"praktiken":["GC"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Sicherheitsorganisation","anzahl":2,"muss":2,"praktiken":["GC"],"beschreibung":"Dieses Dokument verankert die offizielle Governance-Struktur für das Informationssicherheits-Managementsystem (ISMS). Es legt verbindlich die Rollen, Zuständigkeiten und Befugnisse aller beteiligten Personen und Gremien fest und definiert deren Zusammenwirken. Ziel ist die Schaffung einer klaren und belastbaren Organisationsstruktur, die sicherstellt, dass die strategischen Vorgaben der Leitungsebene wirksam in den operativen Betrieb überführt und alle Compliance-Anforderungen erfüllt werden. Es ist die formale Grundlage, die sicherstellt, dass Informationssicherheit systematisch gesteuert und verantwortet wird. Der Geltungsbereich umfasst dabei nicht nur die Kernbereiche des ISMS, sondern bildet auch gezielt die relevanten Schnittstellen zu angrenzenden Managementdisziplinen wie dem Datenschutz, der physischen Sicherheit oder dem Arbeitsschutz ab. Während die Leitungsentscheidung den Gründungsakt des ISMS darstellt und die grundsätzliche Autorität verleiht, übersetzt die Sicherheitsorganisation diesen Auftrag in eine konkrete, funktionierende Struktur. Anders als ein allgemeiner Prozess wie das Personalmanagement, der operative Tätigkeiten regelt, definiert dieses Dokument die übergeordnete Steuerungs- und Kontrollinstanz für alle sicherheitsrelevanten Aktivitäten in der Institution.","kategorie":"Betrieb & Prozesse","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Sicherheitsorganisation"},{"dokument":"Systemdokumentation","anzahl":2,"muss":0,"praktiken":["TEST","BER"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Arbeitsvertrag","anzahl":1,"muss":0,"praktiken":["PERS"],"beschreibung":"Die Grundlage für eine sichere Institution sind loyale und vertrauenswürdige Mitarbeitende, die ihre Verantwortung für den Schutz von Informationen verstehen und wahrnehmen. Die rechtliche und formale Etablierung des Arbeitsverhältnisses ist der erste und entscheidende Schritt, um die Weichen für eine sicherheitsbewusste Zusammenarbeit zu stellen. Hier werden die gegenseitigen Rechte und Pflichten klar definiert und die Einhaltung der internen Sicherheitsvorgaben als fundamentaler Bestandteil der täglichen Arbeit verankert. Neben den allgemeinen arbeitsrechtlichen Regelungen werden hier die wesentlichen Verpflichtungen zur Informationssicherheit rechtsverbindlich festgelegt. Dies umfasst insbesondere die Wahrung der Vertraulichkeit von Betriebs- und Geschäftsgeheimnissen, die Anerkennung und Einhaltung der geltenden Sicherheitsrichtlinien sowie die Pflichten im Umgang mit Daten. Damit wird von Beginn an eine klare und durchsetzbare Grundlage für sicherheitskonformes Verhalten geschaffen.","kategorie":"Information & Sensibilisierung","zielgruppe":"Mitarbeitende","zuordnung":"exakt","bsi_name":"Arbeitsvertrag"},{"dokument":"Freigegebene Ausnahmegenehmigung","anzahl":1,"muss":1,"praktiken":["UMS"],"beschreibung":"Die Handhabung von Ausnahmen von den etablierten Informationssicherheitsrichtlinien und -standards ist ein entscheidendes Verfahren, um die betriebliche Flexibilität zu gewährleisten, ohne die Sicherheit unkontrolliert zu gefährden. Eine systematische Vorgehensweise stellt sicher, dass jede Abweichung bewusst, bewertet und nur von autorisierten Stellen genehmigt wird. So wird ein nachvollziehbarer und transparenter Umgang mit Risiken ermöglicht, der die Integrität des gesamten Managementsystems für Informationssicherheit aufrechterhält.","kategorie":"Strategie & Governance","zielgruppe":"Mitarbeitende","zuordnung":"exakt","bsi_name":"Freigegebene Ausnahmegenehmigung"},{"dokument":"ISMS-Regelwerk","anzahl":1,"muss":1,"praktiken":["GC"],"beschreibung":"Das ISMS-Regelwerk meint alle Dokumente zu Regelungen und Verfahren in ihrer Gesamtheit, kein einzelnes Dokument.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"ISMS-Regelwerk"},{"dokument":"Inventar Berechtigungssysteme","anzahl":1,"muss":0,"praktiken":["BER"],"beschreibung":"Das Inventar der Berechtigungssysteme gibt einen Überblick über die eingesetzten Systeme und Verfahren zur Verwaltung von Zugriffsrechten. Es dokumentiert die relevanten Plattformen, ihre Funktionen und die organisatorischen Zuständigkeiten. Ziel ist es, Transparenz über die eingesetzte Berechtigungsstruktur zu schaffen und deren sichere Handhabung nachvollziehbar zu gestalten. Nicht enthalten sind die individuellen Berechtigungen einzelner Zugangskonten. Der Schwerpunkt liegt auf der Erfassung und Beschreibung der Systeme, mit denen Berechtigungen gesteuert, überwacht und regelmäßig überprüft werden, um Missbrauch und unbefugten Zugriff wirksam zu verhindern.","kategorie":"Technisches Management","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Inventar Berechtigungssysteme"},{"dokument":"Inventar IT-Systeme","anzahl":1,"muss":0,"praktiken":["ASST"],"beschreibung":"Liste aller Hardware mit Lieferant, Hersteller und Zuordnung des Schutzbedarfes","kategorie":"Inventarisierung & Asset Management","zielgruppe":"Administrierende","zuordnung":"exakt","bsi_name":"Inventar IT-Systeme"},{"dokument":"Leitungsentscheidung","anzahl":1,"muss":1,"praktiken":["GC"],"beschreibung":"Die Leitungsentscheidung ist das formale und offizielle Bekenntnis der obersten Führungsebene zur Einführung, Umsetzung, Aufrechterhaltung und fortlaufenden Verbesserung eines Managementsystems für Informationssicherheit. Sie legitimiert das Vorhaben, stellt die notwendigen Ressourcen bereit und überträgt die erforderlichen Befugnisse an die benannten Rollen, wie die Informationssicherheitsbeauftragte (ISB). Dieses Dokument bildet die unmissverständliche Grundlage, die dem gesamten Sicherheitsprogramm das nötige Gewicht und die erforderliche Durchsetzungskraft im Unternehmen verleiht.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Leitungsentscheidung"},{"dokument":"Prozess Behandlung von Sicherheitsvorfällen","anzahl":1,"muss":1,"praktiken":["REA"],"beschreibung":"","kategorie":"","zielgruppe":"","zuordnung":"","bsi_name":""},{"dokument":"Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen","anzahl":1,"muss":1,"praktiken":["GC"],"beschreibung":"Ein Verfahren zur Lenkung mindestens aller für das ISMS direkt und indirekt relevanten Dokumente muss eingerichtet und verankert werden. Ziel dieses Verfahrens ist die Sicherstellung der Nachvollziehbarkeit über den gesamten Lebenszyklus eines Dokuments. Dies beinhaltet die Erstellung bzw. Übernahme der Dokumente mit Titel, Autor, Dokumenteneigentümer, Sicherheitsklassifikation, Erstelldatum sowie einheitlichen Formaten. Weiterhin umfasst es die Steuerung mit einem Änderungsmanagement (Versionierung), einer einheitlichen Veröffentlichung, einer angemessen geschützten Ablage und ggf. auch Archivierung sowie einer kontrollierten Rücknahme veralteter Dokumente.","kategorie":"","zielgruppe":"","zuordnung":"exakt","bsi_name":"Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen"},{"dokument":"Schutzbedarfsfeststellung","anzahl":1,"muss":1,"praktiken":["GC"],"beschreibung":"Die Schutzbedarfsfestellung beinhaltet die prozessorientierte Zuordnung von Schutzbedarfen zu Geschäftsprozessen und den dabei verarbeiteten Informationen.","kategorie":"Strategie & Governance","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Schutzbedarfsfeststellung"},{"dokument":"Verträge","anzahl":1,"muss":0,"praktiken":["ASST"],"beschreibung":"Die Sicherstellung der Informationssicherheit erstreckt sich über die eigenen Unternehmensgrenzen hinaus und schließt alle externen Parteien ein, die an der Verarbeitung, Speicherung oder Übertragung von Informationen beteiligt sind. Eine klare und rechtlich verbindliche Regelung der Sicherheitsanforderungen in Verträgen ist unerlässlich, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in der gesamten Lieferkette zu gewährleisten. Dies schafft eine solide Grundlage für eine sichere Zusammenarbeit und minimiert die Risiken, die durch Dritte entstehen können. Die vertraglichen Vereinbarungen legen die Informationssicherheitsanforderungen und -pflichten für Lieferanten, Dienstleister und Partner eindeutig fest. Dies umfasst unter anderem Vertraulichkeitsverpflichtungen, die Einhaltung von Datenschutzbestimmungen, die Vereinbarung von Service Level Agreements (SLAs) für sicherheitsrelevante Dienste, Regelungen zu Zutritts- und Zugriffsrechten sowie Audit- und Kontrollrechte. Dadurch wird eine durchgängige und nachweisbare Einhaltung der Sicherheitsstandards sichergestellt.","kategorie":"Entwicklung & Beschaffung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Verträge"},{"dokument":"Übersicht der Kommunikationspartner","anzahl":1,"muss":1,"praktiken":["GC"],"beschreibung":"Diese Übersicht stellt alle Kommunikationspartner dar mit denen sich die Institution über Informationssicherheit austauscht.","kategorie":"Information & Sensibilisierung","zielgruppe":"Prozessverantwortliche","zuordnung":"exakt","bsi_name":"Übersicht der Kommunikationspartner"}]}