TR 03126-4 - Bundesamt für Sicherheit in der Informationstechnik ...

Kurzbezeichnung der Gefährdung
ten
GV7 Unerlaubtes
Schreiben / Manipulieren
der
Verkaufs- und
Abrechnungsdaten
GV8 Unerlaubtes
Auslesen der
personenbezogenen
Daten
GV9 Unerlaubtes
Schreiben / Manipulieren
der
personenbezogenen
Daten
GV10 Fälschung von
Identifikationsdaten
GV11 Unberechtigtes
Sammeln und
Speichern von
Daten
GV12 Unerlaubtes
Verknüpfen von
Daten
Bedrohte
Sicherheitsziele
TR 03126-4: Einsatzgebiet „Handelslogistik“
Beschreibung der Gefährdung
SI1, SP1 Unerlaubtes Schreiben von Abrechnungsdaten
das Kundendatensystems zum Zwecke der
Manipulation bzw. Kompromittierung.
SI1, SP1 Offenlegung von Kundendaten
SI1, SP1 Manipulieren von Kundendaten
SI1, SP1 Beim Zusenden oder Abholen eines Objektes
ist ggf. eine Identifizierung der Person erforderlich.
Das Vortäuschen einer falschen Identität
erlaubt z. B. den Erhalt von Produkten und
Dienstleistungen auf Kosten anderer Kunden
oder des Einzelhändlers.
SP2 Verstoß gegen das Gebot zur Datensparsamkeit
durch ungerechtfertigtes Sammeln und
Speichern von Daten
SP2 Unerlaubtes Verknüpfen von personenbezogenen
Daten mit Abrechnungsdaten und/oder
Logistikdaten
Tabelle 8–19 Gefährdungen der Kundendatensysteme
8.4 Maßnahmen
In diesem Kapitel werden Maßnahmen benannt, die den in Kapitel 8.3 benannten Gefährdungen
entgegen gestellt werden können. Dabei werden die Maßnahmen so definiert, dass
sie aufeinander aufbauend stufenweise höhere Sicherheit bringen, sofern eine Abstufung
möglich ist. Stufe 1 stellt dabei die niedrigste Sicherheitsstufe dar, Stufe 3 die höchste.
Als 3+ werden zusätzlich mögliche Maßnahmen eingestuft, die die Sicherheit des Systems
zwar steigern, jedoch den Aufwand im Vergleich zum zusätzlichen Sicherheitsgewinn unverhältnismäßig
steigern können.
Die Sicherheitsstufen orientieren sich dabei an den Schutzbedarfsklassen des Systems. Einer
Gefährdung eines Sicherheitsziels, welches in Schutzbedarfsklasse 3 eingestuft wurde,
soll dabei durch Maßnahmen der Sicherheitsstufe 3 begegnet werden.
Bundesamt für Sicherheit in der Informationstechnik 93