Anforderungen für TK-Anwendungen
Anwendungen, welche die elektronische Kommunikation zwischen Personen, Systemen oder Endgeräten über Telekommunikationsnetze ermöglichen, unterstützen oder verwalten.
Auch genannt: TK-Server.
Teil von Anwendungen.
90 Anforderungen gelten für ein Asset dieser Kategorie: 9 direkt zugeordnet, 81 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 454. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Unterkategorien: VK-Anwendungen. Deren eigene Anforderungen stehen nicht hier, sie gelten nur für die jeweilige Unterkategorie.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (9)
Abschnitt betitelt „Direkt zugeordnet (9)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| KONF.11.1.1 Authentifizierung von geplanten Konversationen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.5 Einschränkung unauthentifizierter Anschlüsse | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.7.2 Einschränkung von TK-Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.7.2.1 Einschränkung der TK-Gegenstellen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.12.12 Verbindungsprotokoll | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.15 Social Engineering Anrufe (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.16 Mailbox-PIN und Co. (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.17 Unverschlüsseltes Telefonieren (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.12.11 Anonyme oder Pseudonyme Kommunikation | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Anwendungen (81)
Abschnitt betitelt „Geerbt von Anwendungen (81)“Gilt für ein Asset dieser Kategorie, weil TK-Anwendungen unter Anwendungen steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.7.1 Dedizierte Hostsysteme für Server | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.3.2 Software Bill of Materials (SBOM) | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.7.1 Nicht mehr benötigte Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.7 Single-Sign-On | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.8 Hinweise bei Anmeldefehlern | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.11 Anmeldeversuchsgrenze an der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.13 Sperre der Anwendung bei Inaktivität | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.4.6 Anwendungsfunktionen ohne Authentifizierung | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.7 Vorkonfigurierte Authentisierungsmittel von Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.8 Mehr-Faktor-Authentisierung am Perimeter (auch für Externe Netzanschlüsse) | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.11 Zugriffsbeschränkung pro Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1 Protokollierung sicherheitsrelevanter Ereignisse | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.7 Was, Wann, Wo | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.8 Privilegierte Ereignisse | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.9 Fehler der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.14 Verfügbarkeit der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.2 Dokumentation der (Software-)Architektur | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.3 Ausführbarkeit mit minimalen Rechten | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.5 Einschränkung des Zugriffs auf Zugangsdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.6 Widerstandsfähigkeit gegen gängige Angriffsmuster | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.6.1 Eingabevalidierung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.6.2 Ausgabekodierung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.1 Replay-Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.2 Routinen zur Fehlerbehandlung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.3 Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.4 Passwort-Hashing | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.1 Nutzerinformation bei kritischen Ereignissen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.2 Einbindung externer Software | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.3 Softwarebestandteile (SBOM) | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.4 Integrität externer Software | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.5 Updates externer Software | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.6 Compileroptionen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.8 Default-Zugangsdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.9 Voreinstellungen nach dem Prinzip “Security by Default” | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.10 Protokollierung von Codeänderungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.11 Test bei Änderungen am Quellcode | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.5.1 Verankerung des Zeitraums für Updates | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.5.2 Information über Zeitraum für Updates | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.5.3 Integritätsprüfung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.7.2 Zertifikatsmonitoring | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.6 Getrennte Datenhaltung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.6.1 Mandantenfähigkeit | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.7 Privilegierte Funktionen der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.8.2 Automatische Updates der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.1 Grundkonfiguration für Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.1.1 Versionierung der Anwendungskonfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.2 Kryptographische Verfahren in Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.3 Default-Zugangsdaten in Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.4 Deaktivierung nicht benötigter Anwendungsfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.5 Überprüfung der Konfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.1 Authentifizierung vor dem Zugriff | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.1.2 Authentifizierung von Netzverbindungen - clientseitig | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.7 Einschränkung von Schnittstellen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.12.1 Eingabevalidierung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.14.1 Verschlüsselung beim Transport | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.14.1.1 Obligatorische Verschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.14.5 Zeitüberschreitung von Netzverbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.3 Sicherung der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.2.3 Verschlüsselung und Signatur (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.8.3 Redundante Server | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.2 Lastverteilung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.3 Automatische Skalierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.4 Content Delivery Network | KANN | Erhöhte SicherheitsstufeErhöht |
| BER.3.25 Alternative Authentifizierung an der Anwendung | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.10 Nutzungsstatistik | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.11 Anwendungsspezifische Ereignisse | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.6 Anomale Nutzung der Anwendung | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.16 Ressourcenauslastung der Server-Dienste | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.17 Anwendungsbasiertes Kapazitätsmanagement | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.10.3 Automatisierte Überwachung von Anwendungsupdates | KANN | Erhöhte SicherheitsstufeErhöht |
| DEV.4.7 Deterministischer Binärcode | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.13 Dynamische Zugriffskontrolle in der Anwendung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.10.5.1 Automatisierte Überprüfung der Konfiguration | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.11.6 Übersicht angemeldeter Verbindungen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.11.8 Verschlüsselung schützenswerter Daten (at-rest) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.14.1.2 Ende-zu-Ende-Verschlüsselung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.14.4 Caching (auch für Mobile Endgeräte) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.1 Begrenzung des Speicherplatzes (auch für Hostsysteme) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.2 Begrenzung der Rechenleistung (auch für Hostsysteme) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.3 Schutz gegen Denial of Service (auch für Hostsysteme) | KANN | Erhöhte SicherheitsstufeErhöht |
| NOT.4.17 Anwendungstest | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (13)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (13)“Diese Anforderungen nennen 13 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Konfigurationshistorie | 41 | 0 |
| Freigabeplan | 13 | 0 |
| Detektions-Konzept | 8 | 0 |
| Entwicklungsdokumentation | 7 | 0 |
| Audit Log | 5 | 0 |
| Schulungsplan | 4 | 0 |
| IT-Betriebskonzept | 3 | 0 |
| Anwendungsdokumentation | 2 | 0 |
| Codehistorie | 2 | 0 |
| Datensicherungskonzept | 2 | 0 |
| Arbeitsanweisung | 1 | 0 |
| Inventar Anwendungen | 1 | 0 |
| Inventar Berechtigungen | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).