F.A.Q. - Frequently Asked Questions
Das Informationssicherheits-Team der Universität Paderborn
- berät Anwender*innen von Gremien und der Bereiche sowie der Informations-, Kommunikations- und Medientechnologien zu Themen der Informationssicherheit.
- entwickelt Empfehlungen zu technischen und organisatorischen sowie Awareness-Maßnahmen und arbeitet dabei intensiv mit der CIO, den IT-Betreibern, der Datenschutzbeauftragten und dem Präsidium der Universität Paderborn zusammen.
- ist die zentrale Anlaufstelle bei Informationssicherheitsvorfällen und unterstützt die verantwortlichen Stellen bei der Koordination, um Schaden für die Universität Paderborn zu begrenzen.
Weitere Informationen finden Sie hier.
Wenden Sie sich an das Datenschutzteam bei:
- Organisatorische Fragen zum Datenschutz
- Fragen zum Verzeichnis der Verarbeitungstätigkeiten
- Auskunftsersuchen nach Art. 15 DSGVO
- Fragen zu Schulungen
- Meldung von Verstößen
Wenden Sie sich an Ihre Datenschutzkoordinatorinnen und -koordinatoren bei:
- allgemeinen Fragen zum Datenschutz
- Vertrauliche Anfragen und/oder Beschwerden zum Datenschutz
- Fragen zu den Rechten der betroffenen Personen
Wenden Sie sich an das Informationssicherheitsteam bei:
- Technische Fragen
- Anlaufestelle für Informationssicherheitsvorfälle
- Entwicklung und Pflege eines IT-Sicherheitskonzeptes
- Durchführung von Risiko- und Bedrohungsanalysen
- Empfehlungen technischer und organisatorischer Maßnahmen z.B. bei Softwarebeschaffung
- Awareness-Maßnahmen und Organisation von Schulungen für Mitarbeitende
Informationssicherheitsvorfälle umfassen alle unerwarteten Ereignisse, die die Sicherheit von IT-Systemen und den darauf befindlichen Daten gefährden.
Also zum Beispiel Angriffe auf IT-Systeme wie PAUL oder Forschungsdatenbanken, der Verlust von Smartphones oder USB-Sticks, sowie das Ausspähen von Passwörtern durch Phishing-Mails.
Wie Sie auf einen solchen Informationssicherheitsvorfall reagieren sollten, können Sie hier im FAQ und in unserem Beitrag zu dem Thema hier nachlesen.
Weitere Informationen zu Informationssicherheitsvorfällen finden Sie hier.
Sollte es zu einem vermeintlichen oder tatsächlichen Informationssicherheitsvorfall − ob beabsichtigt oder unbeabsichtigt − gekommen sein, so füllen Sie bitte unverzüglich das Meldeformular mit sämtlichen bereits bekannten Fakten aus, damit binnen 72 Stunden eine Meldung an die Aufsichtsbehörde abgegeben und die Betroffenen informiert werden können.
Weitere Informationen so wie das Meldeformular finden Sie hier.
- Ruhe bewahren, keine unüberlegten Maßnahmen treffen
- Gerät vom WLAN & Netzwerk trennen (Netzwerkkabel ziehen)
- Geschehen ggf. aufzeichnen (Foto, Video, o.ä.)
- Alles so lassen, wie es ist.
- Gerät nicht ausschalten oder vom Strom trennen
→ Wichtige Daten zur Nachverfolgung könnten verlorengehen - Kurz eigene Einschätzung vom Vorfall und Schadenshöhe notieren
- Vorfall durch Meldeformular melden und dadurch Bewertung vom Vorfallteam einholen
Beachten Sie:
- Keine Informationen an Dritte weitergeben
- Auf keinen Fall Erpressungsgeld bezahlen
- Nicht versuchen, das Problem selbst zu beheben
Im Verdacht auf eine Virusinfektion ihres Computers – Ihr Antivirus-Programm schlägt Alarm oder ihr System verhält sich merkwürdig – kann Ihnen die folgende Checkliste Hilfestellung bei der Problembeseitigung geben.
- Zunächst: Ruhe bewahren. Keine Panik.
- Informieren Sie unser Informationssicherheitsteam (IST) über den Virenbefall, sodass es Ihre Netzwerkadresse sperren kann.
- Trennen Sie dann den infizierten Rechner physisch vom Netzwerk (Netzwerk-Kabel ziehen). Trennen Sie ihn NICHT von der Stromversorgung.
- Sofern der Virus schon identifiziert wurde, können Sie sich darüber informieren, ob eine „sanfte“ Reparatur ohne Neuinstallation möglich ist. Unser IST und verschiedene Virus Libraries von z.B. NAI oder Symantec können Ihnen darüber Auskunft geben.
- Entscheiden Sie in Ihrem Einzelfall, ob eine Neuinstallation notwendig ist, etwa weil der Virus schwer bzw. gar nicht zu entfernen ist oder schon zu viel Schaden angerichtet hat. Prinzipiell können Sie Neuinstallationen durchführen, ohne dass Ihre Dateien dabei verloren gehen. Achten Sie dabei jedoch auf möglicherweise infizierte Dateien.
- Führen Sie, wenn möglich, eine lokale Datensicherung auf sicheren Speichermedien wie USB-Sticks oder CDs durch. Wenn Sie versuchen Ihre Dateien auf anderen Rechnern oder Servern zu speichern, laufen Sie Gefahr diese auch mit dem Virus zu infizieren.
- Beachten Sie, dass bei einem Virenbefall alle Passwörter auf dem betroffenen System kompromittiert sein könnten. Ändern Sie alle Passwörter. Auch ein frisches System ohne neue Passwörter kann erneut befallen werden.
Auf unserer Seite Training und Weiterbildung finden Sie verschiedene Möglichkeiten der Weiterbildung im Bereich Informationssicherheit.
Um möglichst sicher an Ihrem Computer zu arbeiten, gibt es verschiedene Wege.
Wir haben Diese als Goldene Regeln der IT-Sicherheit zusammengefasst.
Ein sicheres Passwort sollte mindestens 10 Zeichen lang sein, sowie Klein- und Großbuchstaben, Ziffern und Sonderzeichen enthalten. Je länger, desto besser.
Da diese Passwörter meistens schwer zu merken sind, kann man sich Eselsbrücken zurechtlegen, wie zum Beispiel die Anfangsbuchstaben und Sonderzeichen eines Beispielsatzes verwenden.
Auch sollten Sie kein Passwort zwei- oder mehrfach verwenden. Wenn es einmal kompromittiert wurde, haben die Angreifer Zugriff auf alle anderen Zugänge, die das gleiche Passwort verwenden.
Hier können Sie einen Passwort-Manager verwenden, um diese Vielfalt an Passwörtern besser verwalten zu können.
Mehr Informationen zu Passwörtern finden Sie auf unserer Hilfe-Wiki Seite zu dem Thema.
Ein Passwortmanager ist ein Programm, das Ihnen ermöglicht, Ihre Passwörter für verschiedene Anwendungen und Online-Dienste sicher zu speichern und zu verwalten. Diese Manager können Passwörter generieren und Online-Formulare automatisch ausfüllen. Sie können in Form von Computeranwendungen, mobilen Apps oder Webbrowser-Erweiterungen auftreten.
Die Hauptfunktion eines Passwortmanagers besteht darin, das Problem der Kennwortmüdigkeit zu lösen, bei dem Endnutzer Schwierigkeiten haben können, sich für verschiedene Dienste mehrere Passwörter zu merken. Mit einem Passwortmanager müssen sie nur ein einziges "Master"-Passwort erstellen und sich dieses merken, um auf alle gespeicherten Informationen zugreifen zu können.
Passwortmanager verwenden in der Regel verschlüsselte Datenbanken, um die Sicherheit der gespeicherten Passwörter zu gewährleisten. Neben Passwörtern können auch andere Daten wie Kreditkarteninformationen, Adressen und persönliche Informationen gespeichert werden.
Die Verwendung von Multi-Faktor-Authentifizierung mit Fingerabdrücken oder Gesichtserkennung kann optional sein, ist aber nicht zwingend erforderlich. Passwortmanager können auf Computern oder mobilen Geräten als Anwendungen oder Browsererweiterungen installiert werden.
Wir bieten eine Anleitung zur Installation des Passwortmanagers KeePass in unserem Hilfe-Wiki:
https://hilfe.uni-paderborn.de/Passwortmanager
Zwei- oder Multi-Faktor-Authentifizierung (2FA; MFA) sind elektronische Authentifizierungsmethoden, bei der ein Benutzer nur dann Zugang zu einer Website oder Programm erhält, wenn er einem Authentifizierungsmechanismus zwei oder mehr Nachweise (oder Faktoren) seines Zugriffs vorlegen kann. In der Regel handelt es sich um die Eingabe eines herkömmlichen Passwortes und eines bspw. per E-Mail oder SMS verschickten Zugangscodes. Sie schützen persönliche Daten vor dem Zugriff unbefugter Dritter, die bspw. nur das Passwort herausfinden konnten.
Es ist ratsam, die Zwei-Faktor-Authentifizierung überall zu verwenden, wo es möglich ist, da sie eine weitere Ebene an Sicherheit bietet, die es Angreifern umso schwerer macht, Ihre Daten auszuspähen.
Die Nutzung von externen Cloud-Diensten (z.B. Dropbox, OneDrive), Messenger-Diensten (z.B. WhatsApp) oder Groupware-Diensten (z.B. gmail, icloud) ist aus datenschutzrechtlicher Sicht oft sehr bedenklich.
Dies liegt daran, dass oft nicht ersichtlich ist, welche Daten bei der Nutzung solcher Dienste übermittelt werden, welche davon verschlüsselt sind und ob die Anbieter den in der EU geltenden Datenschutzbestimmungen unterliegen bzw. diese einhalten.
Es sollten daher nur datenschutzkonforme Cloud-, Messenger-, und Groupware-Dienste genutzt werden. Zu diesen zählen:
Die physische Zerstörung erfolgt in der Regel durch eine mechanische Zerstörung (Schreddern) der Datenträger in kleine bis kleinste Partikel. Für ausgebaute, zu vernichtende Datenträger stehen in bestimmten Räumen der Hochschule verschlossene Sammelbehälter mit Einwurfschlitz bereit. Dort sind die zu zerstörenden Datenträger während der Bürozeiten einzuwerfen. Bis zum Zeitpunkt der Vernichtung werden die Datenträger so vor unbefugten Zugriffen Dritter geschützt aufbewahrt. In regelmäßigen Abständen werden die Behälter durch ein darauf spezialisiertes Unternehmen direkt vor Ort entleert und die Datenträger sicher und datenschutzkonform zerstört. Das genaue Verfahren ist in einem entsprechenden Merkblatt des Dezernats 5 beschrieben.
Weiter Informationen finden Sie hier.
https://www.uni-paderborn.de/universitaet/datenschutz/informationen-und-hilfsmaterialien
Die unwiederbringliche Löschung der Daten auf den Datenträgern trägt gleichzeitig dem Nachhaltigkeitsaspekt Rechnung, wenn diese Datenträger an anderer Stelle in der Universität weiterhin genutzt werden oder z.B. im Rahmen einer De-Inventarisierung verkauft werden können.
Unter nachstehendem Link sind unter den Punkten 1.4 und 1.5 der Anlage: Sicheres Löschen von Datenträgern (Richtlinie zum sicheren Löschen oder Vernichten von Informationen) die entsprechenden Löschmethoden beschrieben: https://www.upb.de/universitaet/informationssicherheit/dokumente
Sowohl bei einer beabsichtigten De-Inventarisierung als auch bei einer internen Weiterverwendung von IT-Hardware und/oder transportablen Datenträgern muss in den jeweiligen Bereichen die sichere Löschung der Daten gemäß den Punkten 1.4 und 1.5 der o. g. Anlage durchgeführt und auf dem beiliegenden Formblatt1 von dem*der zuständigen Administrator*in bestätigt werden.
Weite Informationen finden Sie hier.
https://www.uni-paderborn.de/universitaet/datenschutz/informationen-und-hilfsmaterialien
Die sogenannten Phishing-Mails sind eine Angriffsmethode, um an Benutzernamen und Passwörter zu kommen. Unter Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Ziel des Betrugs ist es, mit den erhaltenen Daten beispielsweise das Konto zu plündern und den entsprechenden Personen zu schaden.
Darunter fallen durchaus auch gezielte Angriffe, die u.U. in Gesprächsverläufe eingebettet sein können. Daher sollten Sie die unten stehende Checkliste für jede E-Mail verwenden. Mit etwas Routine reichen schon wenige Sekunden, um immensen Schanden zu verhindern.
Weite Informationen zum Thema Phishing finden Sie hier.
https://hilfe.uni-paderborn.de/Hinweise_zu_Phishing-E-Mails
https://www.uni-paderborn.de/universitaet/informationssicherheit/goldene-regeln/e-mails
Wer personenbezogene Daten verarbeitet, muss diese durch technische und organisatorische Maßnahmen schützen.
Zu den TOMs gehören:
- Zutrittskontrolle
- Zugangskontrolle Datenverarbeitungsanlage auf Netz- und Serverebene
- Zugriffskontrolle Datenverarbeitungssystem
- Weitergabe Kontrolle
- Eingabekontrolle
- Auftragskontrolle
- Verfügbarkeit
- Trennung
- Integrität
- Vertraulichkeit
Die TOMs sind entsprechend zu dokumentieren und laufend (mindestens jährlich) zu überprüfen. Gegebenenfalls ist eine Weitergabe dieser Informationen erforderlich, um die getroffenen Sicherheitsmaßnahmen nachzuweisen (z.B. bei Auftragsverarbeitung).
Auftragsverarbeiter:
Ein Auftragsverarbeiter gemäß Art. 28 DSGVO ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.
Auftragsverarbeitungsvertrag:
Ein Auftragsverarbeitungsvertrag ist ein Vertrag über eine weisungsgebundene Tätigkeit mit personenbezogenen Daten, die ein Dienstleister für ein Unternehmen ausführt. Einen Auftragsverarbeitungsvertrag muss daher jedes Unternehmen mit seinem Dienstleister abschließen, der personenbezogene Daten im Auftrag verarbeitet. Bereits bestehende Verträge müssen an die neuen Anforderungen der DSGVO angepasst werden.
Artikel 30 DSGVO verpflichtet jeden Verantwortlichen und Auftragsverarbeiter, also jeden, der über die Verarbeitung personenbezogener Daten entscheidet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen.
Darin ist unter anderem festzuhalten, welche Daten in welchen Systemen gespeichert werden und wie die weitere Verarbeitung erfolgt. Zu den Verantwortlichen zählen unter anderem auch kleine und mittlere Unternehmen, Vereine, freie Berufe sowie öffentliche Stellen.
E-Mail Signaturen sind eine zusätzliche Schutzinstanz, um die Absender-Adresse und den Inhalt der Nachricht sicherzustellen.
Dadurch werden insbesondere Phishing-E-Mails, die sich als populäre Dienste (zB die Online-Banking, Paketdienste, E-Mail-Provider, usw.) ausgeben, als solche entlarvt.
Mehr zum Thema Phishing inklusive ausführlicher Beispiele finden Sie hier: Hinweise zu Phishing-E-Mails
Erhalten Sie eine signierte E-Mail, können Sie Sich sowohl auf die angezeigte Absender-Adresse verlassen, als auch darauf, dass der Inhalt der E-Mail während der Übertragung nicht manipuliert wurde.
Achten Sie daher auf die Absender-Adresse! Dort sollte nicht benutzerberatung@upb.de.hackerparadies.com oder ähnliches stehen.
Das IMT versendet unter imt@uni-paderborn.de bzw. imt@upb.de
Wie E-Mail Signaturen zustande kommen, wer sie verwenden darf und wie sie in verschiedenen Mail-Programmen aussehen können, können Sie auf unserer Hilfe-Wiki Seite zu dem Thema nachlesen:
https://hilfe.uni-paderborn.de/Signierte_E-Mails