Themen im Katalog

Das BSI versieht einen Teil der Anforderungen mit Themen-Tags. Diese Seite sammelt sie: je Thema die zugeordneten Anforderungen mit Pflichtgrad. Dieselben Tags stehen als Pillen an den Anforderungen und als Filter in der Suche.

Vollständig ist das nicht. Nur 470 von 1000 Anforderungen tragen überhaupt einen Tag, und sehr ungleich verteilt: der Anteil je Praktik reicht von 0 % (RISK, STM, VRB) bis 96 % (BES). Dass eine Anforderung bei einem Thema fehlt, heißt deshalb nicht, dass sie es nicht betrifft. Für eine vollständige Suche nach einem Begriff ist die Suche oben besser.

• Advanced Persistent Threats (APT)31
• Archivierung3
• Auslandsreisen2
• Authentication and Authorization4
• Automatic Session Locking2
• BCM2
• Bring Your Own Device3
• Brute-Force-Attacke8
• Change Management4
• Command & Control4
• Compliance-Management7
• Credential Stuffing11
• Cryptography40
• Data Exfiltration2
• Data Leak9
• DDoS3
• Denial of Service3
• Error Handling4
• Exit-Strategie19
• Failover3
• Führungsverantwortung2
• Hochverfügbarkeit13
• Honeypot2
• Insider Threat21
• Inspektion2
• Internet Exposure4
• Inventories5
• Kompetenzmanagement12
• Kontakt mit Behörden2
• Langzeitarchivierung4
• Lateral Movement19
• Lieferketten125
• Living off the land5
• MFA2
• Network Access Control3
• Password Policy12
• Pentest3
• Phishing6
• Physical Access Control9
• Privilege Escalation6
• Privilegierte Rechte4
• PSTN2
• Recon2
• Replay Attacks2
• Rogue Access Point5
• Secure Compiling Practices5
• Security by Default3
• Security by Design11
• Separation of Concerns12
• Session Hijacking2
• Shadow IT3
• Shared Responsibility Model4
• Shoulder Surfing2

Advanced Persistent Threats (APT)

31 Anforderungen · verwandte Begriffe: gezielter Angriff, staatlich gesteuerter Angreifer

Komplexe, gezielte und langfristige Cyberangriffe, bei denen Angreifer unbemerkt in einer Umgebung verbleiben, um Informationen auszuspähen oder Systeme zu manipulieren.

Anforderung	Pflicht
ARCH.2.3 Mikrosegmentierung	KANN
ARCH.5.1.13 Produktdiversität	KANN
BER.5.6 Vorkonfigurierte Authentisierungsmittel von IT-Systemen	SOLLTE
BER.5.7 Vorkonfigurierte Authentisierungsmittel von Anwendungen	SOLLTE
BES.3.2 Auswahlkriterien	SOLLTE
BES.3.3 Unzuverlässige Lieferanten	SOLLTE
BES.4.6.3 Manipulationsschutz	KANN
BES.4.8 Konformitätsnachweise	SOLLTE
DET.4.10 Host-basierte Köder	KANN
DET.4.11.1 Authentifizierungsversuche an externen Schnittstellen	KANN
DET.4.11.2 Netzwerk-Honeypots	KANN
DET.4.6.1 Verhaltensanalyse von Zugangskonten	KANN
DET.5.1 Zeitnahes Schwachstellenmanagement	SOLLTE
DET.5.1.1 Risikobasierte Priorisierung	KANN
DET.5.4 Regelmäßige Penetrationstests	KANN
DET.5.5 Red Teaming	KANN
DET.5.6 Threat Hunting	KANN
DET.5.7 Analyse verdeckter Kanäle	KANN
DLS.2.1 Mehr-Faktor-Authentifizierung	SOLLTE
REA.2.5 IT-Forensik	SOLLTE
SENS.1.1 Verfahren und Regelungen	MUSS
SENS.10.1 Grundprinzipien der Systemadministration	SOLLTE
SENS.11.3 Whaling	SOLLTE
SENS.3.1 Schadprogramme	SOLLTE
SENS.4.1 Personengebundene Authentisierungsmittel	SOLLTE
SENS.5.2 Weitergabe von Informationen	SOLLTE
SENS.7.15 Social Engineering Anrufe	SOLLTE
SENS.7.20 Authentifzierung von Gesprächspartnern	SOLLTE
SENS.7.4 SPAM - Löschen oder Melden	SOLLTE
SENS.8.6 Begleitung Externer	KANN
SENS.9.7 Reise- und Sicherheitshinweise	SOLLTE

Archivierung

3 Anforderungen

Geordnete und langfristige Aufbewahrung von Informationen oder Dokumenten, damit sie nachvollziehbar, verfügbar und bei Bedarf wiederauffindbar bleiben.

Anforderung	Pflicht
ASST.3.3 Kennzeichnung	SOLLTE
ASST.7.2 Aufbewahrungs- und Löschfristen	SOLLTE
ASST.7.2.1 Langfristige Archivierung	KANN

Auslandsreisen

2 Anforderungen

Aufenthalte außerhalb des Heimat- bzw. Wohnsitzlandes der beschäftigten Person, bei denen Informationen und Assets aus dem Informationsverbund verwendet werden. Dazu zählen sowohl vorübergehende Arbeitsaufenthalte an Standorten der eigenen Institution oder bei Geschäftspartnern als auch die Erbringung mobiler Arbeit von beliebigen Orten im Ausland. Wesentlich ist dabei, dass die Tätigkeit grenzüberschreitend ausgeübt wird und dadurch rechtliche, steuerliche sowie arbeits- und sozialversicherungsrechtliche Rahmenbedingungen anderer Staaten berührt werden könnten.

Anforderung	Pflicht
SENS.9.6 Mitnahme ins Ausland	KANN
SENS.9.7 Reise- und Sicherheitshinweise	SOLLTE

Authentication and Authorization

4 Anforderungen

Sicherheitsprozesse zur Prüfung von Identitäten und zur Festlegung, auf welche Systeme, Daten oder Funktionen ein Benutzer oder Dienst zugreifen darf.

Anforderung	Pflicht
DEV.3.1 Replay-Angriffe	SOLLTE
SENS.4.1 Personengebundene Authentisierungsmittel	SOLLTE
SENS.4.1.3 Wahl von Passwörtern	SOLLTE
SENS.4.1.6 Keine Weitergabe personengebundener Authentisierungsmittel	SOLLTE

Automatic Session Locking

2 Anforderungen

Sicherheitsfunktion, die eine Benutzersitzung nach einer festgelegten Inaktivitätszeit automatisch sperrt, um unbefugten Zugriff zu verhindern.

Anforderung	Pflicht
BER.3.12 Systemsperre bei Inaktivität	SOLLTE
BER.3.13 Sperre der Anwendung bei Inaktivität	SOLLTE

BCM

2 Anforderungen

Business Continuity Management, ein Rahmenwerk von Prozessen zur Identifizierung potenzieller Bedrohungen und deren Auswirkungen auf den Geschäftsbetrieb, um Resilienz und Wiederherstellungsfähigkeit zu gewährleisten.

Anforderung	Pflicht
BER.3.22 Notfallzugang	KANN
BER.3.23 Notfallzugang Verzeichnisdienst	SOLLTE

Bring Your Own Device

3 Anforderungen · verwandte Begriffe: BYOD, private Geräte, eigene Geräte

Unternehmensrichtlinie, die es Mitarbeitern erlaubt, persönliche Geräte (Smartphones, Laptops) für Arbeitszwecke zu nutzen, was besondere Sicherheitsherausforderungen mit sich bringt.

Anforderung	Pflicht
SENS.2.4 Nutzung unautorisierter Assets	SOLLTE
SENS.2.4.1 Verbindung unautorisierter IT-Systeme	SOLLTE
SENS.8.5 Mitbringen von IT-Systemen	KANN

Brute-Force-Attacke

8 Anforderungen

Angriff, bei dem Zugangsdaten oder kryptografische Schlüssel automatisiert durch massenhaftes Ausprobieren möglicher Werte ermittelt werden sollen.

Anforderung	Pflicht
BER.3.10 Anmeldeversuchsgrenze am System	SOLLTE
BER.3.11 Anmeldeversuchsgrenze an der Anwendung	SOLLTE
BER.3.15 Zugang löschen nach Fristablauf	SOLLTE
BER.3.8 Hinweise bei Anmeldefehlern	SOLLTE
BER.5.8 Mehr-Faktor-Authentisierung am Perimeter	SOLLTE
BER.5.9 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen	SOLLTE
BER.6.4 Kriterien für die Qualität von Passwörtern	SOLLTE
KONF.11.4 Erraten von Zugriffslinks	SOLLTE

Change Management

4 Anforderungen

Strukturierter Ansatz zur Durchführung von Änderungen an IT-Systemen, der die Auswirkungen auf den Betrieb und die Sicherheit minimiert und dokumentiert.

Anforderung	Pflicht
BER.3.2 Autorisierung neuer Zugangskonten	SOLLTE
BER.3.3 Einschränkung des Managements	SOLLTE
DEV.4.10 Protokollierung von Codeänderungen	SOLLTE
DEV.4.11 Test bei Änderungen am Quellcode	SOLLTE

Command & Control

4 Anforderungen

Die Infrastruktur und Kommunikationskanäle, die von Angreifern verwendet werden, um mit kompromittierten Systemen zu kommunizieren und diese fernzusteuern.

Anforderung	Pflicht
ARCH.2.2.1 Externe Netzanschlüsse	SOLLTE
DET.4.11 Anomalien in Netzen und am Perimeter	SOLLTE
DET.4.11.1 Authentifizierungsversuche an externen Schnittstellen	KANN
DET.4.6.1 Verhaltensanalyse von Zugangskonten	KANN

Compliance-Management

7 Anforderungen · verwandte Begriffe: Regelkonformität, Vorschrifteneinhaltung

Organisatorische und prozessuale Maßnahmen zur Sicherstellung, Dokumentation und Überwachung der Einhaltung relevanter Anforderungen und Richtlinien.

Anforderung	Pflicht
GC.3.1 Verfahren und Regelungen	MUSS
GC.3.1.1 Gesetzliche Verpflichtungen	MUSS
GC.3.1.2 Anhörung zuständiger Stellen	SOLLTE
GC.3.1.3 Vertragliche Verpflichtungen	SOLLTE
GC.3.1.4 Prävention von Verstößen	SOLLTE
PERF.2.1 Überprüfung der Einhaltung von Verpflichtungen	SOLLTE
UMS.7.1 Wahrung von Compliance in der Umsetzung	MUSS

Credential Stuffing

11 Anforderungen

Cyberangriff, bei dem automatisiert gestohlene Benutzernamen und Passwörter auf verschiedenen Websites ausprobiert werden, um von Passwortwiederverwendung zu profitieren.

Anforderung	Pflicht
BER.3.10 Anmeldeversuchsgrenze am System	SOLLTE
BER.3.11 Anmeldeversuchsgrenze an der Anwendung	SOLLTE
BER.3.15 Zugang löschen nach Fristablauf	SOLLTE
BER.3.8 Hinweise bei Anmeldefehlern	SOLLTE
BER.5.8 Mehr-Faktor-Authentisierung am Perimeter	SOLLTE
BER.5.9 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen	SOLLTE
BER.6.2 Blockieren von Passwort Recycling	SOLLTE
BER.6.3 Trivialpasswörter	SOLLTE
BER.6.4 Kriterien für die Qualität von Passwörtern	SOLLTE
BER.6.6 Monitoring von Zugangsdaten	SOLLTE
SENS.4.1.2 Untersagung von Passwort Recycling	SOLLTE

Cryptography

40 Anforderungen

Wissenschaft der Verschlüsselung von Informationen, um sie vor unbefugtem Zugriff zu schützen und sichere Kommunikation zu ermöglichen.

Anforderung	Pflicht
BER.5.4 Nur etablierte Kryptographie	SOLLTE
BER.6.4 Kriterien für die Qualität von Passwörtern	SOLLTE
BER.7.1 Etablierte Algorithmen bei der Schlüsselerzeugung	SOLLTE
BER.7.10 Abgelaufene Schlüssel	SOLLTE
BER.7.11 Integrität	SOLLTE
BER.7.12 Authentizität	SOLLTE
BER.7.13 Gültigkeit	SOLLTE
BER.7.14 Schlüssel vor Ablauf prüfen	SOLLTE
BER.7.15 Vorgehensweise nach Nutzung	SOLLTE
BER.7.16 Vorgaben für die Schlüsselbeglaubigung	SOLLTE
BER.7.16.1 Zertifizierungsstelle	SOLLTE
BER.7.16.2 Beglaubigung	SOLLTE
BER.7.16.3 Erneuerung	SOLLTE
BER.7.16.4 Revocation	SOLLTE
BER.7.16.5 Beglaubigungsstatus	SOLLTE
BER.7.16.6 Revocationstatus	SOLLTE
BER.7.2 Schlüssellänge	SOLLTE
BER.7.3 Verzeichnis öffentlicher Schlüssel	SOLLTE
BER.7.4 Erzeugung auf sicheren IT-Systemen	SOLLTE
BER.7.5 Kriterien für die Qualität von Zufallszahlen	SOLLTE
BER.7.6 Etablierte Algorithmen beim Transport	SOLLTE
BER.7.7 Kein Transport privater Schlüssel	KANN
BER.7.8 Etablierte Algorithmen bei der Schlüsselnutzung	SOLLTE
BER.7.9 Zweckbindung	SOLLTE
BES.4.6.3 Manipulationsschutz	KANN
DEV.3.4 Passwort-Hashing	SOLLTE
KONF.1.5 Verschlüsselung von Konfigurationsgeheimnissen	SOLLTE
KONF.11.8 Verschlüsselung schützenswerter Daten (at-rest)	KANN
KONF.12.4 Speicherung von Zugangsdaten	SOLLTE
KONF.13.3 Kryptographische Signatur des Mailservers	SOLLTE
KONF.13.4 Kryptographische Signatur durch Nutzende	KANN
KONF.14.1 Verschlüsselung beim Transport	SOLLTE
KONF.14.1.2 Ende-zu-Ende-Verschlüsselung	KANN
KONF.2.2 Kryptographische Verfahren in IT-Systemen	SOLLTE
KONF.2.9 Abgesicherter und authentisierter Bootprozess	KANN
KONF.3.1 Kryptographischer Hardwarespeicher	SOLLTE
KONF.3.2 Speicherverschlüsselung	SOLLTE
KONF.4.2.1 DNS-Verschlüsselung	SOLLTE
NOT.4.8 Verschlüsselte Datensicherung	SOLLTE
TEST.5.2 Verschlüsselte Bereitstellung	SOLLTE

Data Exfiltration

2 Anforderungen

Unbefugter Abfluss sensibler Daten aus einem System oder Netzwerk, etwa durch Angreifer, Schadsoftware oder missbräuchliche interne Zugriffe.

Anforderung	Pflicht
DET.4.11 Anomalien in Netzen und am Perimeter	SOLLTE
DET.4.6.1 Verhaltensanalyse von Zugangskonten	KANN

Data Leak

9 Anforderungen

Unbeabsichtigte oder unbefugte Offenlegung sensibler Informationen, die zu Datenverlust, Reputationsschäden oder rechtlichen Konsequenzen führen kann.

Anforderung	Pflicht
ASST.3.11 Autorisierung von Systemen	SOLLTE
ASST.3.11.1 Autorisierung von Peripheriegeräten	SOLLTE
DET.4.5 Unerwünschte Datenabflüsse	KANN
DET.5.8.1 Auswertung öffentlicher Quellen	KANN
DET.5.8.1.1 Unautorisierte Publikation	KANN
KONF.11.3 Veröffentlichung von Domain-Infomationen	SOLLTE
KONF.12.5 Auto-Vervollständigung von Daten	SOLLTE
KONF.2.4.2 Externe Cloud-Anbindungen	SOLLTE
KONF.6.10 Auflistung von Verzeichnisinhalten	SOLLTE

DDoS

3 Anforderungen

Distributed Denial of Service, ein Angriff, bei dem mehrere kompromittierte Systeme einen gezielten Server, Dienst oder eine Infrastruktur mit Anfragen überfluten, um ihn zu überlasten und nicht mehr verfügbar zu machen.

Anforderung	Pflicht
ARCH.9.3 Automatische Skalierung	KANN
ARCH.9.4 Content Delivery Network	KANN
ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe	KANN

Denial of Service

3 Anforderungen

Angriff, der darauf abzielt, ein System, einen Dienst oder eine Ressource für legitime Benutzer unzugänglich zu machen, indem Ressourcen erschöpft oder Kommunikationswege blockiert werden.

Anforderung	Pflicht
KONF.15.1 Begrenzung des Speicherplatzes	KANN
KONF.15.2 Begrenzung der Rechenleistung	KANN
KONF.15.3 Denial of Service	KANN

Error Handling

4 Anforderungen

Prozesse zur Identifizierung, Protokollierung und Behebung von Fehlern in Softwareanwendungen, ohne sensible Informationen preiszugeben oder Systemstabilität zu gefährden.

Anforderung	Pflicht
DEV.3.2 Routinen zur Fehlerbehandlung	SOLLTE
DEV.3.3 Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen	SOLLTE
SENS.2.8.1 Melden von Fehler- und Warnmeldungen	SOLLTE
TEST.3.1.9 Fuzzing	KANN

Exit-Strategie

19 Anforderungen · verwandte Begriffe: Anbieterwechsel, Vendor Lock-in, Vertragsende Dienstleister

Geplanter Ansatz für den geordneten Ausstieg aus einem Dienstleister-, Produkt- oder Vertragsverhältnis, um Betrieb, Daten und Sicherheit kontrolliert zu überführen.

Anforderung	Pflicht
BES.5.10.4 Konfliktlösungsprozesse	KANN
BES.5.10.5 Konsequenzen bei Verstößen	KANN
BES.6.1 Entziehung der Zugangsberechtigungen	SOLLTE
BES.6.2 Löschung von Daten	SOLLTE
BES.6.2.1 Löschverfahren	KANN
BES.6.3 Übertragbarkeit von Daten	SOLLTE
BES.6.4 Übertragung von Supportdienstleistungen	KANN
BES.6.5 Behandlung aufzubewahrender Aufzeichnungen	SOLLTE
BES.6.6 Rückgewähr von Assets	SOLLTE
BES.8.1 Bereithaltung alternativer Lieferanten	KANN
BES.8.2 Verfahren zur Übertragung von Geschäftsprozessen	KANN
BES.8.3 Ressourcensouveränität	KANN
BES.8.5 Treuhand	KANN
DLS.1.1 Verfahren und Regelungen	MUSS
DLS.3.5 Blockierung unzuverlässiger Dienstleister	SOLLTE
DLS.3.6 Portabilität	KANN
DLS.4.1 Dekomissionierung	SOLLTE
DLS.4.1.1 Unabhängigkeit	SOLLTE
DLS.4.1.2 Berechtigungen deaktivieren	SOLLTE

Failover

3 Anforderungen

Automatischer Prozess, bei dem ein System bei Ausfall auf ein Backup- oder redundantes System umschaltet, um die Kontinuität des Betriebs zu gewährleisten.

Anforderung	Pflicht
ARCH.8.1 Redundanz im Kernnetz	SOLLTE
ARCH.8.2 Redundante TK-Anbindung	KANN
ARCH.8.3 Redundante Server	KANN

Führungsverantwortung

2 Anforderungen

Verantwortung von Leitungs- und Führungskräften, Sicherheitsziele festzulegen, Maßnahmen zu unterstützen und deren Umsetzung wirksam zu steuern.

Anforderung	Pflicht
GC.5.1.2 Verpflichtung der Institutionsleitung	MUSS
GC.5.1.4 Freigabe der Sicherheitsleitlinie	MUSS

Hochverfügbarkeit

13 Anforderungen · verwandte Begriffe: Ausfallsicherheit, Redundanz

Systemeigenschaft, die sicherstellt, dass ein Dienst kontinuierlich verfügbar ist, mit minimalen oder keinen Ausfallzeiten, oft durch Redundanz und Failover-Mechanismen erreicht.

Anforderung	Pflicht
ARCH.8.1 Redundanz im Kernnetz	SOLLTE
ARCH.8.2 Redundante TK-Anbindung	KANN
ARCH.8.3 Redundante Server	KANN
ARCH.9.2 Lastverteilung	KANN
ARCH.9.3 Automatische Skalierung	KANN
ARCH.9.4 Content Delivery Network	KANN
ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe	KANN
GEB.9.1.2 Dedizierte Elektrounterverteilung	KANN
GEB.9.1.3 Redundante Stromversorgung	KANN
GEB.9.1.4 Langanhaltende Sekundärversorgung	KANN
KONF.15.4 Überbuchung von virtualisierten Ressourcen	KANN
KONF.2.7 Souveräne Werkzeuge	KANN
KONF.2.8 Alternative Administrationszugänge	KANN

Honeypot

2 Anforderungen

Absichtlich bereitgestelltes Scheinziel in einem IT-System, das Angreifer anlocken, deren Verhalten beobachten und echte Systeme entlasten oder schützen soll.

Anforderung	Pflicht
DET.4.10 Host-basierte Köder	KANN
DET.4.11.2 Netzwerk-Honeypots	KANN

Insider Threat

21 Anforderungen · verwandte Begriffe: interne Bedrohung, Innentäter

Sicherheitsrisiko, das von Personen innerhalb einer Organisation ausgeht, die aufgrund ihres legitimen Zugriffs sensible Informationen missbrauchen oder Systeme schädigen können.

Anforderung	Pflicht
BER.3.16 Keine Gruppenkonten	SOLLTE
BER.3.17 Gruppenkonten - MFA	SOLLTE
BER.3.6 Privilegierte Zugangskonten	SOLLTE
DET.3.5 Revisionssicherheit	SOLLTE
DET.3.6 Unbestreitbarkeit	KANN
DET.4.6.1 Verhaltensanalyse von Zugangskonten	KANN
PERS.2.3 Rollentrennung	SOLLTE
PERS.2.3.1 Rollentrennung - Verzeichnisdienst	SOLLTE
PERS.2.3.2 Rollentrennung - Virtualisierung	SOLLTE
PERS.2.3.3 Rollentrennung - Audits	SOLLTE
PERS.3.3 Betriebs- und Geschäftsgeheimnisse	SOLLTE
PERS.3.6 Vertrauenswürdigkeit von Bewerbenden	SOLLTE
PERS.3.6.1 Sicherheitsüberprüfung (intern)	KANN
PERS.5.1 Maßregelung	SOLLTE
PERS.5.2 Innentäter	SOLLTE
PERS.5.3 Vertrauens-Check sicherheitskritischer Rollen	SOLLTE
PERS.6.1 Vorgehensweise für den Weggang	SOLLTE
SENS.10.5 Systemadministration - Internetnutzung	SOLLTE
SENS.2.4 Nutzung unautorisierter Assets	SOLLTE
SENS.2.4.1 Verbindung unautorisierter IT-Systeme	SOLLTE
SENS.2.8 Melden von Ereignissen	SOLLTE

Inspektion

2 Anforderungen

Geplante Prüfung von Systemen, Prozessen oder Zuständen, um Konformität, Sicherheit, Qualität oder ordnungsgemäße Umsetzung festzustellen.

Anforderung	Pflicht
GEB.10.2.7 Brandschutzprüfung	SOLLTE
GEB.10.4.1 Niederohmigkeit	KANN

Internet Exposure

4 Anforderungen

Das Ausmaß, in dem Systeme, Dienste oder Informationen über das Internet zugänglich sind und potenziell Angriffsfläche für Bedrohungen bieten.

Anforderung	Pflicht
ARCH.2.2.1 Externe Netzanschlüsse	SOLLTE
ARCH.5.1.5 Deaktivierung von Split Tunneling	SOLLTE
ARCH.5.1.6 Blockieren direkter Management-Verbindungen	SOLLTE
ARCH.5.1.7 Edge-Routing	SOLLTE

Inventories

5 Anforderungen

Systematische Verzeichnisse aller IT-Assets (Hardware, Software, Daten) einer Organisation, die für effektives Risikomanagement und Sicherheitskontrolle unerlässlich sind.

Anforderung	Pflicht
ARCH.2.4 Inventar der Netze	SOLLTE
ASST.2.1 Inventar der Informationen	SOLLTE
ASST.2.2 Inventar der Systeme	SOLLTE
ASST.2.3 Inventar der Anwendungen	SOLLTE
GC.3.1.1 Gesetzliche Verpflichtungen	MUSS

Kompetenzmanagement

12 Anforderungen · verwandte Begriffe: Schulung, Weiterbildung, Qualifikation

Inhalte, bei denen Kompetenzen gefordert werden. Kompetenz ist die Fähigkeit, Wissen und Fertigkeiten effektiv einzusetzen, um bestimmte Aufgaben zu erfüllen, oft mit einer nachweisbaren Befähigung verbunden.

Anforderung	Pflicht
BES.5.1 Kompetenzen	SOLLTE
BES.5.7 Schulung	KANN
DET.2.1.1 Sofortmaßnahmen Nutzender	SOLLTE
NOT.3.3 Sensibilisierung zum Vorgehen im Notfall	SOLLTE
PERS.1.1 Verfahren und Regelungen	MUSS
PERS.3.5 Prüfung der Bewerbungsunterlagen	SOLLTE
PERS.3.7 Einarbeitung	SOLLTE
PERS.4.1 Qualifikationsbedarf	SOLLTE
PERS.4.2 Rollenspezifische Schulungen und Sensibilisierungen	SOLLTE
PERS.6.1 Vorgehensweise für den Weggang	SOLLTE
REA.1.3 Übungen zur Vorfallsbehandlung	KANN
REA.3.1 Verbesserung durch Erkenntnisse	SOLLTE

Kontakt mit Behörden

2 Anforderungen

Abstimmung und Kommunikation mit zuständigen Behörden, etwa bei Sicherheitsvorfällen, Meldepflichten, Prüfungen oder regulatorischen Anforderungen.

Anforderung	Pflicht
REA.2.6.2 Kommunikation bei Vorfällen	SOLLTE
REA.2.6.2.1 Information zuständiger Behörden	SOLLTE

Langzeitarchivierung

4 Anforderungen

Dauerhafte, unveränderbare und nachvollziehbare Aufbewahrung von Informationen über lange Zeiträume unter Berücksichtigung von Verfügbarkeit und Lesbarkeit.

Anforderung	Pflicht
GEB.8.1.1 Archiv	KANN
GEB.8.2 Staub und Schmutz	KANN
GEB.8.3 Schutz der Datenträger vor Brandschäden	KANN
GEB.8.4 Überwachung schonender Klimatisierung	KANN

Lateral Movement

19 Anforderungen

Die Technik, mit der sich Angreifer nach dem ersten Zugriff innerhalb eines Netzwerks horizontal bewegen, um weitere Systeme zu kompromittieren und höhere Zugriffsrechte zu erlangen.

Anforderung	Pflicht
ARCH.2.1 Netzsegmente	SOLLTE
ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten	SOLLTE
ARCH.2.2.10 Drucker-Netz	SOLLTE
ARCH.2.2.11 Physische Segmentierung	KANN
ARCH.2.2.12 Sprungserver	KANN
ARCH.2.2.2 Gastnetz	SOLLTE
ARCH.2.2.3 Segmentierung von Servern und Clients	SOLLTE
ARCH.2.2.4 VoIP-Netz	KANN
ARCH.2.2.5 OT-Systeme	SOLLTE
ARCH.2.2.6 Demilitarisierte Zone	SOLLTE
ARCH.2.2.7 Management-Netz	SOLLTE
ARCH.2.2.8 Segmentierung von Test und Betrieb	SOLLTE
ARCH.2.2.9 Segmentierung von IPv4 und IPv6	SOLLTE
ARCH.2.3 Mikrosegmentierung	KANN
DET.4.11 Anomalien in Netzen und am Perimeter	SOLLTE
DET.4.11.3 Netzverkehrsfluss	KANN
KONF.4.1.1 Weiterleitung von Anmeldeinformationen	SOLLTE
KONF.7.2 Regelmäßige Scans	SOLLTE
KONF.7.3 Host-basierte Angriffserkennung	KANN

Lieferketten

125 Anforderungen · verwandte Begriffe: Lieferanten, Zulieferer, Dienstleister, Supply Chain

Netzwerk von Organisationen, Menschen und Prozessen, die an der Produktion und Bereitstellung von Produkten oder Dienstleistungen beteiligt sind, einschließlich der damit verbundenen Sicherheitsrisiken.

Anforderung	Pflicht
ASST.3.10 Autorisierung von Datenlokationen	SOLLTE
ASST.4.1 Autorisierung von Schnittstellen	KANN
ASST.4.5 Vereinbarungen zum Austausch	SOLLTE
BES.1.1 Verfahren und Regelungen	MUSS
BES.1.3 Lieferanten- und Dienstleisterverzeichnis	SOLLTE
BES.1.3.1 Gesamte Lieferkette	KANN
BES.1.4 Outsourcing-Strategie	SOLLTE
BES.1.4.1 Freigabe der Strategie	SOLLTE
BES.1.5 Autorisierung des Bereitstellungsmodells	SOLLTE
BES.1.6 Dokumentation des Bereitstellungsmodells	SOLLTE
BES.1.7 Vereinbarung der geteilten Verantwortung	SOLLTE
BES.2.1 Erfassung des Bedarfes	SOLLTE
BES.2.1.1 Verwendungszweck	SOLLTE
BES.2.1.2 Geschäftsprozessprofile	SOLLTE
BES.2.1.3 Systemvoraussetzungen	SOLLTE
BES.2.1.4 Kompatibilität	SOLLTE
BES.2.1.4.1 Kompatibilität der Schnittstellen	SOLLTE
BES.2.1.4.2 Kompatibilität der Netzanbindung	SOLLTE
BES.2.1.4.3 Kompatibilität des Administrationsmodells	SOLLTE
BES.2.1.4.4 Kompatibilität des Datenmanagementmodells	SOLLTE
BES.2.1.5 Lizenzierung	SOLLTE
BES.2.1.6 Support- und Wartungsverträge	SOLLTE
BES.2.2 Dokumentation des Rechtsraums und der Datenlokation	SOLLTE
BES.2.3 Vereinbarung des Rechtsraums und der Datenlokation	KANN
BES.2.4 Anhörung Nutzender	SOLLTE
BES.2.5 Anhörung Administrierender	SOLLTE
BES.2.6 Outsourcing auf Grundlage der Geschäftsprozessprofile	KANN
BES.3.1 Klassifizierung von Lieferantenbeziehungen	SOLLTE
BES.3.2 Auswahlkriterien	SOLLTE
BES.3.2.1 Zertifizierte Lieferanten	KANN
BES.3.2.2 Quellendiversifikation	KANN
BES.3.3 Unzuverlässige Lieferanten	SOLLTE
BES.4.1 Klassifizierung von Beschaffungsvorhaben	SOLLTE
BES.4.2 Dokumentation der Beschaffungskriterien	SOLLTE
BES.4.3 Beschaffung anhand der Kriterien	SOLLTE
BES.4.4 Vertragsvorlage für Outsourcing	SOLLTE
BES.4.5 Security by Design	SOLLTE
BES.4.5.1 Entwicklung nach einem Sicherheitslebenszyklus	KANN
BES.4.5.2 Mandantentrennung	KANN
BES.4.6 Security by Default	SOLLTE
BES.4.6.1 Authentifizierung des Kunden	SOLLTE
BES.4.6.2 Verschlüsselung durch den Anbieter	SOLLTE
BES.4.6.3 Manipulationsschutz	KANN
BES.4.7 ISMS beim Dienstleister	SOLLTE
BES.4.8 Konformitätsnachweise	SOLLTE
BES.4.8.1 Zertifizierung	KANN
BES.4.8.2 Cloud-Konformität	SOLLTE
BES.4.8.3 IT-Grundschutz-Analyse der Infrastruktur	KANN
BES.4.8.4 Offenlegung der Risikoanalyse	KANN
BES.4.9 Sicherheitsüberprüfung (extern)	KANN
BES.5.1 Kompetenzen	SOLLTE
BES.5.10 Behandlung von Vorfällen	SOLLTE
BES.5.10.1 Erreichbarkeit über Meldewege	SOLLTE
BES.5.10.2 Melden von Vorfällen	SOLLTE
BES.5.10.3 Schwachstellenbehebung	SOLLTE
BES.5.10.3.1 Schwachstellenmeldeprozess	KANN
BES.5.10.4 Konfliktlösungsprozesse	KANN
BES.5.10.5 Konsequenzen bei Verstößen	KANN
BES.5.11 Recht auf Audit	SOLLTE
BES.5.12 Informationspflichten	SOLLTE
BES.5.13 Bereitstellung von Datensicherungen	SOLLTE
BES.5.13.1 Datenbereitstellung	KANN
BES.5.14 Löschregeln	SOLLTE
BES.5.2 Service Level Agreement	SOLLTE
BES.5.3 Compliance-Verpflichtungen	SOLLTE
BES.5.4 Informationssicherheitskontrollmechanismen	SOLLTE
BES.5.5 Nutzungsregelungen	SOLLTE
BES.5.5.1 Datenlokationen	KANN
BES.5.5.2 Autorisierung der Zugriffsberechtigung	SOLLTE
BES.5.6 Vergabe von Unteraufträgen	SOLLTE
BES.5.6.1 Weitergabe der Beschaffungskriterien	SOLLTE
BES.5.6.2 Autorisierung von Unterauftragnehmern	KANN
BES.5.6.3 Nachverfolgbarkeit der Lieferkette	KANN
BES.5.7 Schulung	KANN
BES.5.8 Rechte für geistges Eigentum	SOLLTE
BES.5.9 Umgang mit Änderungen	SOLLTE
BES.5.9.1 Autorisierung von Änderungen	KANN
BES.6.1 Entziehung der Zugangsberechtigungen	SOLLTE
BES.6.2 Löschung von Daten	SOLLTE
BES.6.2.1 Löschverfahren	KANN
BES.6.3 Übertragbarkeit von Daten	SOLLTE
BES.6.4 Übertragung von Supportdienstleistungen	KANN
BES.6.5 Behandlung aufzubewahrender Aufzeichnungen	SOLLTE
BES.6.6 Rückgewähr von Assets	SOLLTE
BES.7.1 Eingangskontrolle	SOLLTE
BES.7.1.1 Test der Kompatibilität	SOLLTE
BES.7.1.2 Netzcheck	SOLLTE
BES.7.2 Prozesse vor Netzanbindung	SOLLTE
BES.7.3 Anhörung Prozessbeteiligter	SOLLTE
BES.7.4 Vollständigkeit der Unterlagen	SOLLTE
BES.7.4.1 Beschreibung der Sicherheitsarchitektur	SOLLTE
BES.7.4.10 Serviceprofil	SOLLTE
BES.7.4.11 Dokumentierte Mandantentrennung	KANN
BES.7.4.12 Software Bill of Materials (SBOM) - Cloud	KANN
BES.7.4.2 Beschreibung von Sicherheitsmechanismen	SOLLTE
BES.7.4.3 Empfohlene Konfiguration	SOLLTE
BES.7.4.4 Dokumentation der Komponenten	SOLLTE
BES.7.4.4.1 Software Bill of Materials (SBOM)	KANN
BES.7.4.5 Netzverbindungen ab Werk	SOLLTE
BES.7.4.6 Shared Responsibility	SOLLTE
BES.7.4.7 Organisatorische Schnittstellen	SOLLTE
BES.7.4.8 Technische Schnittstellen	SOLLTE
BES.7.4.9 Auslagerungsregister	SOLLTE
BES.8.1 Bereithaltung alternativer Lieferanten	KANN
BES.8.2 Verfahren zur Übertragung von Geschäftsprozessen	KANN
BES.8.3 Ressourcensouveränität	KANN
BES.8.4 Individuelle Implementierung kritischer Komponenten	KANN
DEV.4.2 Einbindung externer Software	SOLLTE
DEV.4.3 Softwarebestandteile (SBOM)	SOLLTE
DEV.4.5 Updates externer Software	SOLLTE
DLS.2.2 Transportverschlüsselung	SOLLTE
DLS.2.3 Vollverschlüsselung	KANN
DLS.3.1 Einhaltung der Sicherheitsvorgaben	SOLLTE
DLS.3.1.1 Audit oder Zertifikat	SOLLTE
DLS.3.2 Checkup	KANN
DLS.3.3 Strategie-Check	KANN
DLS.3.4 Anhörung	SOLLTE
DLS.3.5 Blockierung unzuverlässiger Dienstleister	SOLLTE
DLS.3.6 Portabilität	KANN
DLS.4.1 Dekomissionierung	SOLLTE
DLS.4.1.1 Unabhängigkeit	SOLLTE
DLS.4.1.2 Berechtigungen deaktivieren	SOLLTE
KONF.7.11 Einschränkung von Softwarebibliotheken	KANN
TEST.3.1.2 Verwendung externer Software	SOLLTE
TEST.3.1.3 Integritätstest	SOLLTE

Living off the land

5 Anforderungen

Angriffstechnik, bei der legitime, bereits im System vorhandene Tools und Prozesse für böswillige Zwecke genutzt werden, um Erkennung zu erschweren.

Anforderung	Pflicht
BER.5.9 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen	SOLLTE
DET.3.1.2 Ausgeführte Kommandozeilenbefehle	SOLLTE
DET.4.6.1 Verhaltensanalyse von Zugangskonten	KANN
KONF.6.4 Privilegierte Systemfunktionen	SOLLTE
KONF.7.10 Einschränkung der Ausführung	SOLLTE

MFA

2 Anforderungen

Multi-Faktor-Authentifizierung, ein Sicherheitsverfahren, das mindestens zwei unterschiedliche Authentifizierungsfaktoren (Wissen, Besitz, Inhärenz) erfordert, um Identitäten zuverlässiger zu verifizieren.

Anforderung	Pflicht
BER.5.8 Mehr-Faktor-Authentisierung am Perimeter	SOLLTE
BER.5.9 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen	SOLLTE

Network Access Control

3 Anforderungen

Sicherheitslösung, die reguliert, welche Geräte Zugriff auf ein Netzwerk erhalten, basierend auf Authentifizierung, Autorisierung und Gerätekonformität.

Anforderung	Pflicht
ARCH.4.1 Netzzugangskontrolle	SOLLTE
ARCH.4.1.1 Dynamische Netzzugangskontrolle	SOLLTE
ARCH.4.1.2 Quarantäne	KANN

Password Policy

12 Anforderungen · verwandte Begriffe: Passwortrichtlinie, Passwortregeln

Vorgaben für Erstellung, Nutzung, Änderung und Schutz von Passwörtern, um die Sicherheit von Benutzerkonten zu erhöhen.

Anforderung	Pflicht
BER.3.19 Gruppenkonten - Passwortwechsel bei Weggang	SOLLTE
BER.6.1 Passwortmanager	SOLLTE
BER.6.2 Blockieren von Passwort Recycling	SOLLTE
BER.6.3 Trivialpasswörter	SOLLTE
BER.6.4 Kriterien für die Qualität von Passwörtern	SOLLTE
BER.6.5 Anlassbezogene Passwortwechsel	SOLLTE
BER.6.6 Monitoring von Zugangsdaten	SOLLTE
SENS.4.1.2 Untersagung von Passwort Recycling	SOLLTE
SENS.4.1.3 Wahl von Passwörtern	SOLLTE
SENS.4.1.4 Passwörter nur im Passwortmanager	SOLLTE
SENS.4.1.6 Keine Weitergabe personengebundener Authentisierungsmittel	SOLLTE
SENS.5.5 Löschfristen	SOLLTE

Pentest

3 Anforderungen

Penetrationstest, eine autorisierte Simulation eines Cyberangriffs auf ein Computersystem, um Sicherheitslücken zu identifizieren und zu beheben, bevor sie ausgenutzt werden können.

Anforderung	Pflicht
DET.5.4 Regelmäßige Penetrationstests	KANN
DET.5.5 Red Teaming	KANN
DET.5.7 Analyse verdeckter Kanäle	KANN

Phishing

6 Anforderungen

Betrugsversuch, bei dem Angreifer durch täuschend echte Nachrichten oder Webseiten vertrauliche Informationen wie Passwörter oder Zahlungsdaten erlangen wollen.

Anforderung	Pflicht
KONF.12.1.1 Zertifikatsprüfung	SOLLTE
KONF.12.5 Auto-Vervollständigung von Daten	SOLLTE
KONF.13.1 Filtern schädlicher Nachrichten	SOLLTE
KONF.14.5 Zeitüberschreitung von Netzverbindungen	SOLLTE
KONF.15.2 Begrenzung der Rechenleistung	KANN
KONF.15.3 Denial of Service	KANN

Physical Access Control

9 Anforderungen · verwandte Begriffe: Zutrittskontrolle, Gebäudesicherheit

Maßnahmen und Systeme zur Kontrolle des physischen Zugangs zu Gebäuden, Räumlichkeiten oder IT-Ressourcen, um unbefugten Zugriff zu verhindern.

Anforderung	Pflicht
SENS.6.2 Verschlüsselung	SOLLTE
SENS.8.4 Schließen von Türen und Fenstern	SOLLTE
SENS.8.6 Begleitung Externer	KANN
SENS.8.7 Beaufsichtigung Externer	SOLLTE
SENS.8.8 Verwahrung Intern	SOLLTE
SENS.9.1 Verarbeitung in der Öffentlichkeit	SOLLTE
SENS.9.3 Verwahrung außer Haus	SOLLTE
SENS.9.4 Mobile Arbeit mit Dokumenten	SOLLTE
SENS.9.5 Mitnahme zur mobilen Arbeit	SOLLTE

Privilege Escalation

6 Anforderungen

Ausweitung von Berechtigungen durch einen Angreifer oder Benutzer, um höhere Rechte zu erlangen als ursprünglich vorgesehen.

Anforderung	Pflicht
BER.3.6 Privilegierte Zugangskonten	SOLLTE
BER.5.9 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen	SOLLTE
BER.6.2 Blockieren von Passwort Recycling	SOLLTE
BER.6.4 Kriterien für die Qualität von Passwörtern	SOLLTE
SENS.10.5 Systemadministration - Internetnutzung	SOLLTE
SENS.4.1.2 Untersagung von Passwort Recycling	SOLLTE

Privilegierte Rechte

4 Anforderungen

Erweiterte Zugriffs- und Administrationsrechte, mit denen besonders weitreichende Änderungen an Systemen, Diensten oder Daten vorgenommen werden können.

Anforderung	Pflicht
BER.3.22 Notfallzugang	KANN
BER.3.6 Privilegierte Zugangskonten	SOLLTE
BER.4.1 Prinzip der geringsten Berechtigungen	SOLLTE
SENS.10.5 Systemadministration - Internetnutzung	SOLLTE

PSTN

2 Anforderungen

Public Switched Telephone Network, das traditionelle Telefonnetz, das aus Kupferkabeln besteht und Sprachkommunikation durch Schaltkreise vermittelt.

Anforderung	Pflicht
ARCH.8.2 Redundante TK-Anbindung	KANN
KONF.11.7.2.1 Einschränkung der TK-Gegenstellen	SOLLTE

Recon

2 Anforderungen

Abkürzung für Reconnaissance, die Phase eines Cyberangriffs, in der Informationen über potenzielle Ziele gesammelt werden, um Schwachstellen zu identifizieren.

Anforderung	Pflicht
GEB.2.3 Erkundung aus dem öffentlichen Raum	SOLLTE
KONF.11.3 Veröffentlichung von Domain-Infomationen	SOLLTE

Replay Attacks

2 Anforderungen

Angriffsmethode, bei der gültige Datenübertragungen abgefangen und wiederholt werden, um sich unbefugten Zugriff zu verschaffen oder Transaktionen zu duplizieren.

Anforderung	Pflicht
DEV.3.1 Replay-Angriffe	SOLLTE
KONF.14.5 Zeitüberschreitung von Netzverbindungen	SOLLTE

Rogue Access Point

5 Anforderungen

Ein nicht autorisierter WLAN-Zugangspunkt, der an ein Unternehmensnetzwerk angeschlossen ist und ein Sicherheitsrisiko darstellt, da er den Umgehung von Sicherheitsmaßnahmen ermöglichen kann.

Anforderung	Pflicht
ARCH.4.1 Netzzugangskontrolle	SOLLTE
ARCH.4.1.1 Dynamische Netzzugangskontrolle	SOLLTE
ARCH.4.1.2 Quarantäne	KANN
ASST.2.2.1 Aufdecken unautorisierter IT-Systeme	SOLLTE
DET.4.19 Unautorisierte Sendeanlagen	KANN

Secure Compiling Practices

5 Anforderungen

Methoden und Richtlinien zur Erstellung von Software unter Berücksichtigung von Sicherheitsaspekten während des Kompilierungsprozesses, um Schwachstellen im Binärcode zu vermeiden.

Anforderung	Pflicht
DEV.4.2 Einbindung externer Software	SOLLTE
DEV.4.4 Integrität externer Software	SOLLTE
DEV.4.5 Updates externer Software	SOLLTE
DEV.4.6 Compileroptionen	SOLLTE
DEV.4.7 Deterministischer Binärcode	KANN

Security by Default

3 Anforderungen

Prinzip, bei dem die sichersten Einstellungen als Standardkonfiguration verwendet werden, sodass Benutzer keine zusätzlichen Maßnahmen ergreifen müssen, um Sicherheit zu gewährleisten.

Anforderung	Pflicht
BER.4.1 Prinzip der geringsten Berechtigungen	SOLLTE
DEV.4.8 Default-Zugangsdaten	SOLLTE
DEV.4.9 Voreinstellungen nach dem Prinzip “Security by Default”	SOLLTE

Security by Design

11 Anforderungen

Ansatz in der Softwareentwicklung und Systemarchitektur, bei dem Sicherheitsaspekte von Beginn des Entwicklungsprozesses an integriert werden, anstatt sie nachträglich hinzuzufügen.

Anforderung	Pflicht
DEV.1.1 Verfahren und Regelungen	MUSS
DEV.2.1 Security by Design Architektur	SOLLTE
DEV.2.2 Dokumentation der (Software-)Architektur	SOLLTE
DEV.2.3 Ausführbarkeit mit minimalen Rechten	SOLLTE
DEV.2.4 Einschränkung Zugriffs auf Quellcode	SOLLTE
DEV.2.5 Einschränkung des Zugriffs auf Zugangsdaten	SOLLTE
DEV.2.6 Widerstandsfähigkeit gegen gängige Angriffsmuster	SOLLTE
DEV.2.6.1 Eingabevalidierung	SOLLTE
DEV.2.6.2 Ausgabekodierung	SOLLTE
DEV.3.2 Routinen zur Fehlerbehandlung	SOLLTE
DEV.3.3 Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen	SOLLTE

Separation of Concerns

12 Anforderungen

Designprinzip in der Softwareentwicklung und IT-Architektur, bei dem verschiedene Funktionen oder Verantwortlichkeiten voneinander getrennt werden, um Komplexität zu reduzieren und Sicherheit zu erhöhen.

Anforderung	Pflicht
ARCH.2.1 Netzsegmente	SOLLTE
ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten	SOLLTE
ARCH.2.2.10 Drucker-Netz	SOLLTE
ARCH.2.2.11 Physische Segmentierung	KANN
ARCH.2.2.12 Sprungserver	KANN
ARCH.2.2.2 Gastnetz	SOLLTE
ARCH.2.2.3 Segmentierung von Servern und Clients	SOLLTE
ARCH.2.2.4 VoIP-Netz	KANN
ARCH.2.2.5 OT-Systeme	SOLLTE
ARCH.2.2.7 Management-Netz	SOLLTE
ARCH.2.2.8 Segmentierung von Test und Betrieb	SOLLTE
ARCH.2.2.9 Segmentierung von IPv4 und IPv6	SOLLTE

Session Hijacking

2 Anforderungen

Attacke, bei der ein Angreifer eine aktive Computersitzung übernimmt, indem er die eindeutige Sitzungs-ID abfängt, um sich als der authentifizierte Benutzer auszugeben.

Anforderung	Pflicht
DEV.3.1 Replay-Angriffe	SOLLTE
KONF.14.5 Zeitüberschreitung von Netzverbindungen	SOLLTE

Shadow IT

3 Anforderungen

IT-Systeme, -Geräte, -Software oder -Dienste, die ohne explizite Genehmigung der IT-Abteilung in einem Unternehmen verwendet werden und potenzielle Sicherheitsrisiken darstellen.

Anforderung	Pflicht
ASST.3.10 Autorisierung von Datenlokationen	SOLLTE
ASST.3.11 Autorisierung von Systemen	SOLLTE
ASST.3.11.1 Autorisierung von Peripheriegeräten	SOLLTE

Shared Responsibility Model

4 Anforderungen

Modell zur Aufteilung von Sicherheits- und Betriebsverantwortung zwischen mehreren Parteien, zum Beispiel zwischen Cloud-Anbieter und Kunde.

Anforderung	Pflicht
BES.1.4 Outsourcing-Strategie	SOLLTE
BES.1.5 Autorisierung des Bereitstellungsmodells	SOLLTE
BES.1.6 Dokumentation des Bereitstellungsmodells	SOLLTE
BES.1.7 Vereinbarung der geteilten Verantwortung	SOLLTE

Shoulder Surfing

2 Anforderungen

Eine physische Angriffsmethode, bei der ein Angreifer durch Beobachten über die Schulter Informationen wie Passwörter oder PINs ausspäht.

Anforderung	Pflicht
SENS.4.1.1 Verdeckte Eingabe	SOLLTE
SENS.9.1 Verarbeitung in der Öffentlichkeit	SOLLTE

Kein Thema im engeren Sinn

Dieser Tag beschreibt keinen Sachverhalt, sondern markiert, welche Anforderungen in eine Produktbeschreibung gehören. Er steht hier, weil die Pillen an den Anforderungen auf diese Seite verlinken.

Produktbeschreibung

144 Anforderungen

Anforderungen mit diesem Tag sind sinnvolle Bestandteile einer dokumentierten Beschreibung eines IT-Produktes. Die vom Produkt implementierten Anforderungen können (durch Herstellers, Dienstleister oder Lieferanten) als OSCAL component-definition bereitgestellt werden um einen schnellen Abgleich zwischen Grundschutz++ und der Implementierung zu ermöglichen.

Anforderung	Pflicht
BER.3.24 Alternative Authentifizierung am IT-System	KANN
BER.3.25 Alternative Authentifizierung an der Anwendung	KANN
DEV.2.6.1 Eingabevalidierung	SOLLTE
DEV.2.6.2 Ausgabekodierung	SOLLTE
DEV.3.1 Replay-Angriffe	SOLLTE
DEV.3.2 Routinen zur Fehlerbehandlung	SOLLTE
DEV.3.3 Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen	SOLLTE
DEV.3.4 Passwort-Hashing	SOLLTE
DEV.4.3 Softwarebestandteile (SBOM)	SOLLTE
DEV.4.8 Default-Zugangsdaten	SOLLTE
DEV.4.9 Voreinstellungen nach dem Prinzip “Security by Default”	SOLLTE
DEV.5.1 Verankerung des Zeitraums für Updates	SOLLTE
DEV.5.3 Integritätsprüfung	SOLLTE
KONF.10.2 Kryptographische Verfahren in Anwendungen	SOLLTE
KONF.11.1 Authentifizierung vor dem Zugriff	SOLLTE
KONF.11.1.1 Authentifizierung von geplanten Konversationen	SOLLTE
KONF.11.1.2 Authentifizierung von Netzverbindungen - clientseitig	SOLLTE
KONF.11.2 Warteraum	SOLLTE
KONF.11.3 Veröffentlichung von Domain-Infomationen	SOLLTE
KONF.11.4 Erraten von Zugriffslinks	SOLLTE
KONF.11.5 Einschränkung unauthentifizierter Anschlüsse	SOLLTE
KONF.11.6 Übersicht angemeldeter Verbindungen	KANN
KONF.11.7 Einschränkung von Schnittstellen	SOLLTE
KONF.11.7.1 Einschränkung von Zonentransfers	SOLLTE
KONF.11.7.2 Einschränkung von TK-Verbindungen	SOLLTE
KONF.11.7.2.1 Einschränkung der TK-Gegenstellen	SOLLTE
KONF.11.8 Verschlüsselung schützenswerter Daten (at-rest)	KANN
KONF.12.1 Eingabevalidierung	SOLLTE
KONF.12.1.1 Zertifikatsprüfung	SOLLTE
KONF.12.1.10 HTTP-Response-Header	SOLLTE
KONF.12.1.11 Aktive Dateiinhalte	SOLLTE
KONF.12.1.2 Content Security Policy (CSP)	SOLLTE
KONF.12.1.3 Same-Origin-Policy	SOLLTE
KONF.12.1.4 Subresource Integrity-Prüfung	SOLLTE
KONF.12.1.5 HTTP Strict Transport Security (HSTS)	SOLLTE
KONF.12.1.6 JavaScript	KANN
KONF.12.1.7 Filtern schädlicher Webinhalte	SOLLTE
KONF.12.1.8 Duplikate im Verzeichnisbaum	SOLLTE
KONF.12.1.9 Journaling	SOLLTE
KONF.12.10 Cookie-Attribute	SOLLTE
KONF.12.11 Anonyme oder Pseudonyme Kommunikation	KANN
KONF.12.12 Verbindungsprotokoll	SOLLTE
KONF.12.13 Sendebericht	SOLLTE
KONF.12.14 DNS-Falschinformationen	SOLLTE
KONF.12.2 Verschlüsselungsstatus der aktuellen Verbindung	SOLLTE
KONF.12.3 Cookies	SOLLTE
KONF.12.4 Speicherung von Zugangsdaten	SOLLTE
KONF.12.5 Auto-Vervollständigung von Daten	SOLLTE
KONF.12.6 Browser-Historie	KANN
KONF.12.7 Erweiterte Attribute	SOLLTE
KONF.12.8 Teilnahme per Default ohne Bild und Ton	SOLLTE
KONF.12.9 Keine heimliche Aufzeichnung	SOLLTE
KONF.13.1 Filtern schädlicher Nachrichten	SOLLTE
KONF.13.1.1 SPAM-Filter	SOLLTE
KONF.13.1.2 Interpretation aktiver Inhalte	SOLLTE
KONF.13.10 Authentifizierung der Server-Zertifikate über DNS	SOLLTE
KONF.13.11 MTA-STS	SOLLTE
KONF.13.2 Authentizität von Nachrichten	SOLLTE
KONF.13.2.1 Verifikation der Sendeberechtigung	SOLLTE
KONF.13.2.2 Verifikation der Serversignatur	SOLLTE
KONF.13.3 Kryptographische Signatur des Mailservers	SOLLTE
KONF.13.4 Kryptographische Signatur durch Nutzende	KANN
KONF.13.5 Publikation der Sendeberechtigung	SOLLTE
KONF.13.5.1 Strenge Senderpolicy	SOLLTE
KONF.13.6 Publikation der Serversignatur	SOLLTE
KONF.13.7 TLS-Reports	KANN
KONF.13.8 DMARC-Reports	KANN
KONF.13.9 Publikation der DMARC-Richtlinie	SOLLTE
KONF.14.1 Verschlüsselung beim Transport	SOLLTE
KONF.14.1.1 Obligatorische Verschlüsselung	SOLLTE
KONF.14.1.2 Ende-zu-Ende-Verschlüsselung	KANN
KONF.14.2 Source Port Randomisierung	SOLLTE
KONF.14.3 Iterative Beantwortung	SOLLTE
KONF.14.4 Caching	KANN
KONF.14.5 Zeitüberschreitung von Netzverbindungen	SOLLTE
KONF.15.1 Begrenzung des Speicherplatzes	KANN
KONF.15.2 Begrenzung der Rechenleistung	KANN
KONF.15.3 Denial of Service	KANN
KONF.15.4 Überbuchung von virtualisierten Ressourcen	KANN
KONF.2.9 Abgesicherter und authentisierter Bootprozess	KANN
KONF.3.1 Kryptographischer Hardwarespeicher	SOLLTE
KONF.3.2 Speicherverschlüsselung	SOLLTE
KONF.3.3 SIM-PIN	SOLLTE
KONF.3.4 Physischer Diebstahlschutz	KANN
KONF.3.5 Standortbestimmung	KANN
KONF.3.6 Fernlöschung oder -sperre	KANN
KONF.3.6.1 Automatische Fernlöschung oder -sperre	KANN
KONF.3.7 Einschränkung angeschlossener Peripherie	SOLLTE
KONF.3.8 Einschränkung von Wechselmedien	SOLLTE
KONF.4.1 Anbindung an Verzeichnisdienst	SOLLTE
KONF.4.1.1 Weiterleitung von Anmeldeinformationen	SOLLTE
KONF.4.2 DNS-Anbindung	SOLLTE
KONF.4.2.1 DNS-Verschlüsselung	SOLLTE
KONF.4.3 Authentifizierung von Fernwartungsfunktionen	SOLLTE
KONF.4.4 Einschränkung von Fernwartungsfunktionen	SOLLTE
KONF.4.5 Zeitquellen	SOLLTE
KONF.5.1 Authentifizierung am System	SOLLTE
KONF.5.1.1 Authentifizierung an der Firmware	SOLLTE
KONF.5.1.2 Pre-Boot-Authentifizierung	KANN
KONF.5.2 Keine Mehrfachanmeldung	SOLLTE
KONF.6.1 Minimal erforderliche Berechtigungen für Anwendungen	SOLLTE
KONF.6.1.1 Datenkapselung	KANN
KONF.6.1.2 Isolierung von Anwendungen	KANN
KONF.6.1.3 Isolierte Arbeitsumgebungen	KANN
KONF.6.10 Auflistung von Verzeichnisinhalten	SOLLTE
KONF.6.11 Einschränkung von Uploads	SOLLTE
KONF.6.12 Konferenzmoderation	SOLLTE
KONF.6.13 Dynamische Zugriffskontrolle in der Anwendung	KANN
KONF.6.14 Browser Sandboxing	SOLLTE
KONF.6.15 Virtualisierte Browser-Umgebung	KANN
KONF.6.16 Datenaustausch in der Virtualisierung	KANN
KONF.6.2 Gemeinsam genutzte Verzeichnisse	SOLLTE
KONF.6.3 Kiosk-Modus	KANN
KONF.6.4 Privilegierte Systemfunktionen	SOLLTE
KONF.6.4.1 Rollenbasierte Privilegierung	KANN
KONF.6.5 Dynamische Zugriffskontrolle im System	KANN
KONF.6.6 Getrennte Datenhaltung	SOLLTE
KONF.6.6.1 Mandantenfähigkeit	SOLLTE
KONF.6.7 Privilegierte Funktionen der Anwendung	SOLLTE
KONF.6.8 Berechtigungen des Webserver-Prozesses	SOLLTE
KONF.6.9 Zugriff auf Code	SOLLTE
KONF.7.1 Echtzeitscanner	SOLLTE
KONF.7.10 Einschränkung der Ausführung	SOLLTE
KONF.7.11 Einschränkung von Softwarebibliotheken	KANN
KONF.7.12 Einschränkung von Skripten	KANN
KONF.7.13 Einschränkung von Systemaufrufen	KANN
KONF.7.14 Code-Signierung im Betriebssystemkern	SOLLTE
KONF.7.15 Lokale Firewall	SOLLTE
KONF.7.16 Anti-Exploit	SOLLTE
KONF.7.16.1 Anti-Exploit für den Arbeitsspeicher	SOLLTE
KONF.7.2 Regelmäßige Scans	SOLLTE
KONF.7.3 Host-basierte Angriffserkennung	KANN
KONF.7.4 Angriffserkennung anhand von Netzverkehr	KANN
KONF.7.5 Alarmierung	SOLLTE
KONF.7.6 Automatische Updates	SOLLTE
KONF.7.7 Regelmäßiger Funktionstest	KANN
KONF.7.8 Dual-Engine-Strategie	KANN
KONF.7.9 Einschränkung der Installation	SOLLTE
KONF.8.1 Automatische Überprüfung	SOLLTE
KONF.8.1.1 Automatische Sicherheitsupdates	SOLLTE
KONF.8.2 Automatische Updates der Anwendung	SOLLTE
KONF.9.1 Speicherplatzbegrenzung	SOLLTE
KONF.9.2 Begrenzung der Rechenleistung	KANN
KONF.9.3 Alternative Komponenten für kritische Funktionen	KANN