Maßnahmen zur Umsetzung der Anforderungen des Bundesdatenschutzgesetzes (BDSG)
Version / Stand: 06/2017
Vorwort
Die Einhaltung datenschutzrechtlicher Vorschriften liegt uns sehr am Herzen. Wir sind kontinuierlich bestrebt, geeignete Maßnahmen zu implementieren, um dies zu gewährleisten.
Sofern keine gesetzlichen Normen entgegenstehen, verfolgen wir das Prinzip der Datensparsamkeit und beachten bei der Erhebung, Speicherung, Verarbeitung, Veränderung oder Übermittlung personenbezogener Daten die Zulässigkeitsvoraussetzungen und Interessensabwägungen des § 28 BDSG. Bei der Planung und Konzeption informationstechnischer Sicherungseinrichtungen orientieren wir uns an den Empfehlungen des BSI.
Bei der Beschreibung organisatorischer Maßnahmen, kennzeichnen die Begriffe „dürfen“ und „können“ optionale Mitarbeiterverhaltensweisen. Begriffe wie „sollen“ oder „sind aufgefordert“ kennzeichnen empfohlene Mitarbeiterverhaltensweisen, von denen nur nach einer Interessensabwägung abgewichen werden darf. Begriffe wie „müssen“ oder „dürfen nicht“ stellen verbindliche Anweisungen an unsere Mitarbeiter dar.
Das vorliegende Dokument beschreibt den aktuellen Zustand der implementierten technischen und organisatorischen Maßnahmen sowie interne Verhaltensrichtlinien und Mitarbeiteranweisungen. Technische Details entsprechen einem garantierten Mindestschutzumfang. Ein höheres Schutzniveau kann umgesetzt/implementiert sein, aus Sicherheitsgründen jedoch der Geheimhaltung unterliegen.
Die in diesem Dokument enthaltenen Informationen, wie organisatorische Abläufe und technische Maßnahmen zum Schutz unserer Systeme und Anlagen, sind nicht für die Öffentlichkeit bestimmt und unterliegen der Geheimhaltung. Die Weitergabe dieses Dokuments sowie die Preisgabe des Inhalts sind nicht gestattet!
Zutrittskontrolle
Wir unterhalten keine öffentlich zugänglichen Räume oder Ladenflächen.
Der Zutritt von betriebsfremden Personen (z.B. Gäste) ist nur in Begleitung eines autorisierten Mitarbeiters gestattet.
Der Aufenthalt externer Dienstleister in unseren Räumlichkeiten ist nicht unbeaufsichtigt gestattet.
Unsere Räumlichkeiten verfügen über ein elektronisches Schließsystem des Herstellers DOM Sicherheitstechnik und sind nur über numerierte und auf einzelne Mitarbeiter ausgestellte Zutrittskarten bzw. -chips (RFID) zugänglich, wobei jeder Öffnen-/Schließen-Vorgang protokolliert wird. Die Protokollierung dient der Gefahrenabwehr, nicht der Zeiterfassung oder Mitarbeiterkontrolle. Zutrittskarten bzw. -chips können einzeln gesperrt oder im Zugangsumfang – zeitlich und/oder räumlich – eingeschränkt werden. Die Ausgabe von Zutrittskarten bzw. -chips an einzelne Mitarbeiter wird dokumentiert. Gleiches gilt für die Rückgabe und den Verlust. Verloren gegangene Zutrittskarten werden unverzüglich gesperrt.
Die Zugänge zu unseren Räumlichkeiten, sowie der Bereich vor dem Serverraum werden von einem Videoüberwachungssystem des Herstellers Axis 24 Stunden am Tag überwacht. Mit mindestens Full-HD-Auflösung (1920x1080px) und 15 Bildern pro Sekunde werden alle Bewegungen aufgezeichnet. Bei Dunkelheit wird automatisch eine Infrarotbeleuchtung aktiviert. Nächtliche Bewegungen lösen einen Alarm aus. Die Aufzeichnungen werden sowohl lokal, für die Dauer von vier Tagen, als auch an einem externen Standort, für eine Dauer von mindestens 30 Tagen aufbewahrt. Die Aufzeichnungen dienen der Gefahrenabwehr, nicht der Zeiterfassung oder Mitarbeiterkontrolle.
Zugangskontrolle
Unsere Server-, Speicher- und Netzwerksysteme befinden sich in einem separaten, abschließbaren Raum ohne Fenster (Serverraum), der sich örtlich zentral (Gebäudemitte) in unseren Räumlichkeiten befindet.
Unsere Server- und Speichersysteme des Herstellers HP verfügen über mechanisch abschließbare Blenden, die den physikalischen Zugriff auf Festplatten einschränken. Die Systeme befinden sich in einem Serverschrank mit seitlich verschraubten Wänden und abschließbaren Türen an Vorder- und Rückseite.
Die Mehrscheiben-Isolierglas-Fenster des Erdgeschosses sind mit zusätzlichen Fensterriegeln/-schlössern gegen Aufstemmen gesichert.
Zugriffskontrolle
Für die Zugriffssteuerung setzen wir ein differenziertes Berechtigungskonzept ein, das auf der Mitgliedschaft einzelner Mitarbeiter in verschiedenen Berechtigungsgruppen beruht (Role-Based Access Control (RBAC); Active Directory Benutzer und Gruppen). Die Standardrechte unterliegen hierbei maximalen Einschränkungen und werden nur bei Bedarf erweitert. Die Entscheidung über Vergabe und Entzug von Rechten obliegt der Geschäftsführung. Sofern Mitarbeiter das Unternehmen verlassen, werden unverzüglich alle Rechte entzogen – der zugehörige Active Directory Benutzer wird gesperrt.
Für jeden Kunden – und bei Bedarf auch für einzelne Projekte – wird eine eigene Active Directory Sicherheitsgruppe erstellt. Der Zugriff auf die Daten eines Kunden wird auf Mitarbeiter eingeschränkt, die Mitglied in dieser Sicherheitsgruppe sind.
Bei der Implementierung neuer Datenverarbeitungssysteme wird darauf geachtet, dass diese das zentralisierte Berechtigungskonzept unmittelbar für die jeweiligen Systemrechte umsetzen (Active Directory Anbindung) und Zugriffe protokolliert werden.
Für die Active Directory Benutzer-Authentifizierung werden individuelle Benutzerpasswörter mit mindestens 11 Zeichen verwendet, die Groß-/Kleinbuchstaben und Zahlen enthalten müssen. Die Verwendung von Sonderzeichen ist optional. Mitarbeiter sind aufgefordert, ihre individuellen Benutzerpasswörter nicht mehrfach zu verwenden. Für besonders sensible Bereiche werden Benutzerzertifikate und/oder DATEV mIDentity USB-Sticks des Herstellers KOBIL Systems zur Authentifizierung verwendet (Zwei-Faktor Authentifizierung). Die Umsetzung dieser Anforderungen wird per Active Directory Gruppenrichtlinie durchgesetzt.
Für mobile Geräte und Arbeitsplatz-PCs (Client-Systeme) zugelassene Hersteller sind: HP, Microsoft, Lenovo, Apple. Die Geräte müssen über ein Trusted Platform Module (TPM) zur Speicherung sensibler Schlüssel und Gewährleistung der Systemintegrität verfügen. Alle Windows Systeme müssen UEFI Secure Boot verwenden.
Client-Systeme sollen bei der Inbetriebnahme neu installiert werden. Hierfür soll ein Fluxpunkt-Basis-Image verwendet werden. Ziel ist ein sauberes System ohne Backdoors.
Client-Systeme müssen mit einer Laufwerksverschlüsselung (BitLocker oder FileVault) gesichert sein.
Client-Geräte müssen bei Verlassen des Arbeitsplatzes gesperrt werden. Eine automatische Sperrung muß nach längerer Inaktivität erfolgen.
Zugangsdaten für Fremdsysteme (Kundensysteme, Online-Portale, Lieferantenshops, etc.) werden in einem zentralen multi-plattform und multi-user Passwortserver des Herstellers Pleasant Solutions (zertifiziert nach FIPS, FOIP, FISMA, PCI DSS, HIPAA) gespeichert. Verbindungen zum Passwortserver sind SSL-verschlüsselt. Der Zugriff erfolgt entweder über eine interne Website oder über eine Client-Anwendung (KeePass). Zugangsdaten werden nur in der Serverdatenbank, FIPS 140-2 compliant (AES256-verschlüsselt), gespeichert – eine lokale Speicherung findet nicht statt. Das System verschlüsselt Passwörter im Arbeitsspeicher und löscht nach wenigen Sekunden automatisch die Zwischenablage, falls diese für eine Kennwortübergabe verwendet wurde. Der Passwortserver setzt die Rechtesteuerung des Active Directory um und erlaubt die gezielte Freigabe bestimmter Zugangsdaten mit Zeitsteuerung, Proxy-Funktionalität für Web und SSH (so dass Zugangsdaten ohne deren Preisgabe verwendet werden können), Protokollierung und Zugriffs-Reporting, Zwei-Faktor Authentifizierung, Lockout bei mehrfachen Authentifizierungsfehlern und automatischem Zeitablauf für Kennwörter. Je nach Benutzerrecht, dürfen einzelne Zugangsdaten verwendet (ohne Preisgabe), gelesen, verändert oder neu angelegt werden.
Die Erstellung von Zugangsdaten für Fremdsysteme unterliegt den folgenden Richtlinien:
Passwörter müssen zufallsgeneriert werden. Für die Erstellung soll der Passwort Generator des Passwortservers verwendet werden. Für die Verwaltung und Speicherung muß der Passwortserver verwendet werden. Passwörter sollen, wenn möglich, mit einem Verfallsdatum versehen werden.
Passwörter dürfen nicht mehrfach für verschiedene Dienste verwendet werden.
Falls der jeweilige Dienst dies unterstützt, sollen Passwörter mit mindestens 20 Zeichen, bestehend aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen generiert werden.
Zugriffsrechte müssen unmittelbar bei der Erstellung explizit gesetzt werden.
Die Anbindung unseres internen Netzwerks (vertrauenswürdiges Netz) an öffentliche Netzwerke (nicht-vertrauenswürdige Netze) erfolgt durch einen Multi-WAN-VPN-Router mit Paketfilter des Herstellers Viprinet in Kombination mit zweifach-redundant ausgelegten UTM Next Generation Firewall-Appliances des Herstellers Rohde & Schwarz. Jeder Host unseres internen Netzes ist darüberhinaus mit einem weiteren Paketfilter (z.B. Windows Firewall, Linux iptables,...) versehen, so dass – in Anlehnung an die Empfehlung des BSI – ein dreistufiger Aufbau aus Paketfilter, Application-Level-Gateway und Paketfilter (P-A-P) entsteht.
Die Basis der Firewall-Regelwerke sieht zunächst ein vollständiges Blockieren der gesamten Netzwerkkommunikation vor. Notwendige Kommunikation wird explizit freigegeben. Hierbei muß auf eine möglichst genaue Spezifikation der Kommunikationseigenschaften geachtet werden. Gewährende Firewall-Regeln sollen auf die zu erwartenden Nutzungszeiten eingeschränkt werden.
Unser internes Netzwerk ist durch VLAN-Separierung in mindestens die folgenden Segmente unterteilt:
Client-/Arbeitsplatznetzwerk
Scanner und Drucker
Voice
Videoüberwachung und Gebäudeautomatisierung
Server und IT-Infrastruktur
DMZ
Die Netzwerkkommunikation von Geräten über eine VLAN-Grenze hinweg muß explizit in den UTM-Firewalls freigegeben werden. An dieser Stelle erfolgen inhaltliche Analysen des Traffics zur Angriffserkennung und -vermeidung. Freigaben erfolgen entweder für definierte Protokolle bestimmer Hosts und/oder aufgrund eines Identitätsnachweises durch Anmeldung eines Benutzers an einem Portal oder einer Client-Applikation der Firewall (auch im Rahmen eines Single-Sign-On-Prozesses bei der Anmeldung).
Serverdienste wie zum Beispiel Webservices oder Datenbanken müssen – je nachdem ob eine Nutzung von intern, extern oder intern/extern erfolgen soll – auf unterschiedlichen Container-Hosts (Docker) ausgeführt werden. Container-Hosts sind eigenständige virtuelle Maschinen, auf denen ein minimales Linux-System zur Container-Virtualisierung ausgeführt wird. Diese Trennung ermöglicht die Durchsetzung von Zugriffsbeschränkungen auf Netzwerkebene und verhindert Zugriffe auf interne Systeme durch Rechteeskalation eines öffentlich zugänglichen Systems.
Kundennetze, mobile Mitarbeiter und Home Offices werden per VPN angebunden. Für die Transportsicherung kommen IPsec oder TLS (SSL-VPN) zum Einsatz. VPN-Verbindungen mobiler Mitarbeiter und Home Offices müssen Perfect Forward Secrecy (PFS) sowie gegenseitige X.509-zertifikatsbasierte Authentifizierung verwenden. Für die Anbindung von Kundennetzen soll PFS sowie zertifikatsbasierte Authentifizierung, vor dem Einsatz von Preshared-Keys, verwendet werden. Beim Einsatz von Preshared-Keys gelten die Richtlinien für die Erstellung von Zugangsdaten für Fremdsysteme sinngemäß für die Erstellung des Preshared-Key. Konkrete Verschlüsselungsalgorithmen und Hashfunktionen werden unter Abwägung eines zu erreichenden Sicherheitslevels und des benötigten Rechenaufwands ausgewählt.
Kundennetze werden als nicht-vertrauenswürdige Netze betrachtet und entsprechend behandelt.
Weitergabekontrolle
Systeme, die zur Übertragung personenbezogener oder vertraulicher Daten eingesetzt werden, müssen mindestens eine Transportverschlüsselung einsetzen. Die damit zwingend einhergehenden Fehlererkennungs- und -korrekturverfahren sichern die Integrität der zu übermittelnden Daten. Mitarbeiter sollen Übertragungsweisen bevorzugen, die eine Ende-zu-Ende-Verschlüsselung unterstützen (z.B. Bereitstellung von Daten per Download über unsere flux.cloud-Plattform).
Protokolle ohne Transportsicherung dürfen nicht verwendet werden, wenn ein alternatives Protokoll mit Transportsicherung verfügbar ist (z.B für FTP, HTTP).
Für die Sicherung der Emailübertragung (IMAP und SMTP) setzen wir TLS ein. Für die Ende-zu-Ende-Sicherung von Übertragungen per flux.cloud setzen wir HTTPS (SSL) ein. Unsere Identität weisen wir dabei über ein, von einem vertrauenswürdigen Drittanbieter signiertes, RSA-Webserverzertifikat nach. Die Identität des Empfängers wird über die Kenntnis einer Zufallszeichenfolge innerhalb einer bereitgestellten URL sichergestellt. Bei der Bereitstellung soll ein Zeitablauf sowie ein zusätzliches Kennwort vergeben werden. Beim Zugriff auf unser öffentliches Wiki, sowie Dokumentations- und Ticketsystem, werden HTTP-Anfragen gezielt auf HTTPS umgeleitet (vorgeschalteter SSL-Reverse-Proxy).
Für die Übermittlung besonders sensibler oder vertraulicher Daten soll eine persönliche oder telefonische Kontaktaufnahme zur Verifikation der Empfängeridentität und Übermittlung einer Bereitstellungs-URL der zu übermittelnden Daten stattfinden. Bei telefonischer Übermittlung sensibler oder vertraulicher Daten muß die Telefonieverbindung mindestens bis zum Telefonieprovider verschlüsselt erfolgen (SIP-TLS/SRTP). Für verschlüsselte Telefonieverbindungen stehen uns die Provider STARFACE Connect und QSC zur Verfügung, die für ausgehende Gespräche explizit ausgewählt werden können. Für die Übermittlung besonders sensibler oder vertraulicher Daten sind Mitarbeiter außerdem angewiesen, für die per flux.cloud zum Download bereitgestellten Daten, eine Dokumentenverschlüsselung (verschlüsseltes PDF) zu verwenden. Das Dokumentenkennwort soll dabei im Rahmen der persönlichen oder telefonischen Kontaktaufnahme übermittelt werden.
Daten, bei denen ein Betroffener einen Löschungsanspruch hat und bei denen gesetzliche Aufzeichnungspflichten nicht entgegenstehen, müssen von Mitarbeitern per flux.cloud-Plattform übertragen werden, da nur so eine revisionssichere Email-Archivierung ausgeschlossen wird und einem Löschungsanspruch nachgekommen werden kann.
Die Übermittlung von Daten per Email oder flux.cloud-Plattform wird protokolliert. Im Falle von geschäftlichen Emails, erfolgt eine revisionssichere Speicherung (Archivierung) der Emails für eine Dauer von 10 Jahren (zur Erfüllung gesetzlicher Anforderungen der GoBD aus HGB und AO).
Die Verwendung mobiler Datenträger (USB-Sticks, CDs/DVDs, mobile Festplatte, etc.) zum Transport personenbezogener Daten ist Mitarbeitern nicht gestattet. Die Annahme fremder mobiler Datenträger und deren Verwendung an unseren Datenverarbeitungssystemen ist Mitarbeitern ebenfalls untersagt.
Für Remote-Unterstützung/-Support beim Kunden setzen wir die Software TeamViewer, der TeamViewer GmbH aus Göppingen ein. Übertragungen sind hierbei durch Public-Key-Kryptographie (RSA 2048-Bit; Authentifizierung) und symmetrischer AES 256 Bit-Verschlüsselung (Transportsicherung) geschützt. Details unter: https://www.teamviewer.com/de/security/ und https://dl.tvcdn.de/docs/de/TeamViewer-Security-Statement-de.pdf.
Mitarbeiter sind im Rahmen ihres Arbeitsvertrags zur Geheimhaltung verpflichtet. Diese Verpflichtung überdauert das Arbeitsverhältnis und besteht auch nach dessen Beendigung fort.
Eingabekontrolle
Die von uns eingesetzten Systeme zur Erhebung, Verarbeitung, Speicherung und Nutzung von Daten bestehen hauptsächlich aus unserem Ticketsystem (Jira) und Wiki (Confluence) des Herstellers Atlassian sowie unserem Dokumentenmanagement- bzw. Enterprise Content Management System des Herstellers bitfarm Informationssysteme GmbH. Die Systeme protokollieren vollumfänglich jede Änderung an Daten sowie administrative Tätigkeiten inklusive des durchführenden Benutzers.
Daten (wie Dokumente, Emails oder allgemein Dateien), die im Dokumentenmanagementsystem abgelegt werden, werden mit Hilfe von Subversion (SVN) versioniert und mit Prüfsummen versehen. Eine Veränderung der Daten setzt voraus, dass ein berechtigter Mitarbeiter ein Dokument zur Bearbeitung auscheckt bzw. in einen Bearbeitungsmodus überführt und nach der Bearbeitung eincheckt bzw. die Änderung speichert und den Bearbeitungsmodus dadurch verlässt. Übergänge in den oder aus dem Bearbeitungsmodus werden protokolliert. Außerdem ist gewährleistet, dass ein Dokument zeitgleich nur durch einen Mitarbeiter verändert werden kann – im Bearbeitungsmodus ist das Dokument für andere Mitarbeiter gesperrt.
Die zur Erhebung, Verarbeitung, Speicherung und Nutzung von Daten verwendeten System werden mindestens zwei Mal pro Tag im Rahmen eines Backups gesichert und mindestens einmal am Tag an einen weiteren externen Ort zur Sicherung übermittelt, wodurch eine Sicherung der Protokolle gegen Verlust oder Veränderung umgesetzt wird. Hierfür verwenden wir eine Software des Herstellers Veeam. Für die Übermittlung und Speicherung der extern gesicherten Daten wird neben einer Transportverschlüsselung auch eine Datenverschlüsselung eingesetzt.
Auftragskontrolle
Wir setzen derzeit keine externen Auftragsnehmer für die Verarbeitung von Auftragsdaten oder die Betreuung unserer Datenverarbeitungsanlagen ein. Alle von uns eingesetzten Dienste und System werden – mit Ausnahme eines externen Mailservers – auf unseren eigenen Servern an unserem Hauptstandort in Nürtingen betrieben. An einem weiteren eigenen Standort in Nürtingen, werden verschlüsselte Offsite-Backups aufbewahrt.
Unser externer Mailserver wird vom Provider HostEurope am Standort Köln betrieben. Das dortige Rechenzentrum wurde vom TÜV Süd ISO 27001 zertifiziert. Außerdem liegt eine Zertifizierung nach PCI-DSS vor. Die Datenschutzvereinbarung befindet sich abrufbar unter: https://www.hosteurope.de/download/2017-05-22_Datenschutzerklarung.pdf
Wie unter Punkt 5.8. beschrieben, fallen beim Anbieter TeamViewer GmbH Verkehrsdaten an. Darüberhinaus hätte der Anbieter die Möglichkeit eines Man-in-the-Middle-Angriffs auf TeamViewer-Sitzungen. TeamViewer wurde einer sicherheitstechnischen Prüfung der FIDUCIA IT AG sowie einem BISG-Gutachten unterzogen. Darüberhinaus ist TeamViewer SOC 2 zertifiziert.
Weitere Kommunikationsverkehrsdaten fallen bei den Anbietern QSC, STARFACE Connect, HFO Telecom und sipgate an. Die Anbieter erbringen öffentlich zugängliche Telekommunikationsdieste und Telefondienste im Sinne des Telekommunikationsgesetzes (TKG) und unterliegen den besonderen Datenschutzanforderungen und dem Fernmeldegeheimnis des TKG.
Verfügbarkeitskontrolle
Unsere Datenverarbeitungsanlagen sind vollständig mindestens zweifach-redundant ausgelegt. Jeweils zwei Online-USVs versorgen die redundanten Netzteile eines Servers oder PoE-Switches und sichern diese gegen Überspannung ab. Netzwerkverbindungen zu Servern sind durch Link-Aggregationen mindestens vierfach-redundant. Betriebssystemspeicher sind RAID-1 datengespiegelt. Alle weiteren Datenspeicher befinden sich auf RAID-5 Volumes mit einem Hotspare-Laufwerk oder auf RAID-6 Volumes.
Daten werden nach dem „3-2-1-0“-Prinzip gesichert: Mindestens 3 Kopien, auf mindestens zwei verschiedenen Medientypen, an mindestens einem weiteren Standort.
Das Backupkonzept sieht mindestens zwei Sicherungen pro Tag aller produktiven VMs vor und erlaubt die Wiederherstellung selbst einzelner Dateien innerhalb von VMs. Einmal pro Woche findet eine Vollsicherung statt. Die täglichen Differenzabbilder werden rückwärts-inkrementell erstellt um eine schnellstmöglich Wiederherstellung eines aktuellen Backups zu garantieren. Datenbanken auf Windows-Hosts unterstützen VSS und damit die Erstellung konsistenter Snapshots. Für Linux-basierte Datenbanken setzen wir individuelle pre-freeze- und post-thaw-Skripte ein, die die Konsistenz der Datenbank durch Anlegen eines Datenbanklocks vor dem Snapshot und Aufheben des Locks nach dem Snapshot sicherstellen.
Das Virenschutzkonzept sieht eine Perimetersicherung durch die UTM-Firewalls vor und setzt auf den in Windows integrierten Windows Defender. Die Mitarbeiter sind darüberhinaus sensibilisiert und geschult, auf den Umgang mit Daten unbekannter Herkunft, die Verifizierung von Datei-Prüfsummen und die Verwendung von Plattformen wie VirusTotal zur Prüfung fremder Dateien.
Windows-Updates und Updates der Firewall (Firm-/Software, Signaturdateien, etc.) werden regelmäßig durchgeführt. Diverse Quellen für Zero-Day-Exploit-Informationen (Mailinglisten, Twitter, Websites) werden von uns überwacht, um schnellstmöglich auf mögliche Sicherheitslücken reagieren zu können.
Die externe Netzwerkanbindung wird über einen Multi-WAN-Router realisiert, der einen Kabelnetzanschluss, DSL und zwei LTE-Verbindungen bündelt.
Umsetzung des Trennungsgebots
Wie unter Punkt 4.15. beschrieben, setzen wir auf eine hostbasierte Dienstetrennung (Trennung nach internen und externen Daten). Darüberhinaus sind einzelne Dienste innerhalb der Hosts jeweils containervirtualisiert (Docker) und ermöglichen so eine sehr differenzierte Trennung der Dienste (wie Ticketsystem, Wiki, Buchhaltung/Warenwirtschaft, Dokumentenmanagement, etc.).
Die containervirtualisierten Dienste bekommen individuellen Zugriff auf datenhaltende Docker-Volumes. Der Dienste-Container selbst enthält keine Daten und kann so leicht ausgetauscht, aktualisiert oder zurückgesetzt werden.
Mitarbeiter sind in Rechtegruppen unterteilt (z.B. Buchhaltung, Service/Support, Geschäftsführung, etc.), die mit unterschiedlichen Zugriffsrechten unterschiedlichem Funktionsumfang innerhalb einzelner Dienste einhergehen.
Zukunftsplanung
Wir planen die Einführung von 802.1x Authentifizierung und Autorisierung von Netzwerkgeräten zur Verbesserung der Zugriffskontrolle. Unsere Netzwerkhardware ist hierfür bereits vorbereitet.
Wir planen die Implementierung einer Datenschleuse auf Basis von JANUS zur Verbesserung der Zugriffs- und Verfügbarkeitskontrolle.