Der Bayerische Landesbeauftragte für den Datenschutz; Stand: 20.03.2008

Checkliste für die Gestaltung von Arbeitsplatzrechnern (PC)

Allgemeine Feststellungen

Die folgenden Angaben über die Beschaffung, den Standort und die Betreuung des Rechners und der berechtigten Benutzer werden zur Feststellung der Verantwortlichkeiten benötigt.

• Wer war/ist für die Beschaffung verantwortlich?
• Erfolgte die Beschaffung der Software von einer zentralen Stelle (Benutzerservice) oder in Eigenregie?
• Wer führte die Installation durch?
• Wer ist für den datenschutzgerechten Einsatz verantwortlich?
• Seit wann ist das Gerät im Einsatz?
• Welche Personen benutzen den PC?
• Wo steht der Rechner?
• Welche Zutritts-, Zugangs- und Zugriffsschutzmaßnahmen wurden bisher ergriffen?
• Für welche Zwecke wird der Rechner genutzt?
• Ist der Rechner Bestandteil des lokalen Netzes?
• Besitzt der Rechner eigene Anschlussmöglichkeit an externe Netze (z. B. DSL-Modem, ISDN-Karte etc.)?
• Wie oft wird der Rechner benutzt (ständig, gelegentlich, ca. wie viele Stunden am Tag)?
• Werden auf dem Gerät sensible personenbezogene Daten gespeichert und verarbeitet?
• Wer ist für die Betreuung der Hard- und Software zuständig?
• Wurden die Benutzer in der Anwendungshandhabung und bezüglich der Gewährleistung des Datenschutzes und der Datensicherheit ausreichend geschult?
• Sind die Benutzer mit den internen Richtlinien über den Betrieb des Rechners vertraut gemacht worden?
• Darf der Rechner auch für private Zwecke benutzt werden?
• Ist der Einsatz nicht dienstlich beschaffter Software erlaubt?

Hard- und Software-Übersicht

Die anschließenden Fragen sind für die Erstellung und Pflege der Hard- und Software-Übersicht wesentlich, damit jederzeit festgestellt werden kann, welche Stellen welche Hard- und Software zur Erfüllung welcher Aufgaben einsetzen.

• Welches Rechnermodell (mit detaillierten Angaben zur Hardware) wird eingesetzt?
• Wie groß ist die Speicherkapazität der Festplatte(n)?
• Welche (externen) Laufwerke (z.B. CD- oder DVD-Laufwerke, USB-Peripherie) sind vorhanden und wozu werden sie benutzt?
• Welches Betriebssystem (Windows, Linux usw.) wird mit welcher Version eingesetzt?
• Welche sonstige Standardsoftware ist im Einsatz?
• Existieren speziell angefertigte Fremdprogramme?
• Wenn ja, ist der Zugriff auf den Quellcode dieser Programme gewährleistet?
• Findet eine Eigenentwicklung von Programmen oder Programmroutinen statt?
• Existieren darüber ausreichende Dokumentationsunterlagen?
• Ist dokumentiert,
• welche Anwendungen auf diesem Rechner ablaufen,
• wer für die Betreuung dieser Anwendungen zuständig ist,
• wie das Freigabeverfahren bei Programmneuerstellungen bzw. -änderungen geregelt ist?
• Existiert ein Datenträgerverzeichnis?

Netzanbindung

Um die Datensicherheit und den ordnungsgemäßen Einsatz von Personal Computern auch in einem vernetzten Betrieb zu gewährleisten, sollten folgende Fragen geprüft werden.

• Ist der Rechner in ein Netzwerk (LAN, WLAN, Intranet) eingebunden (als Server oder Client)?
• Welches Netzwerkbetriebssystem (incl. der Versionsangabe) wird eingesetzt?
• Über welche Sicherheitsfunktionen verfügt das Netzwerk?
• Welches Betriebssystem (Windows, Linux usw.) wird mit welcher Version eingesetzt?
• Wohin werden Daten automatisiert übertragen?
• Wer ist zur Datenübertragung berechtigt?
• Wie läuft der Verbindungsaufbau ab und welche Geräte/Leitungen sind dazu notwendig?
• Werden bei der Datenübertragung die Nutzdaten verschlüsselt?
• Existieren über die Datenübertragung revisionsfähige Unterlagen?
• Existiert eine Dokumentation der Anwendungen, auf die im Netzwerk zugegriffen werden kann?
• Sind die Daten der Server gegen Manipulationen seitens des Personal Computers besonders geschützt?

Sicherheit

Zur Überprüfung der vorhandenen Zugriffsschutzeinrichtungen sowie zur Erkennung und Beseitigung noch vorhandener Schwachstellen dient folgender Fragenkatalog:

• Sind die vorhandenen Laufwerke abschließbar?
• Handelt es sich um einen sog. "diskless"-PC?
• Über welche Sicherheitsfunktionen verfügt das Netzwerk?
• Welche Zugriffsschutzmechanismen (Bootschutz, Passwortschutz) sind vorhanden?
• Sind die Anwendungen speziell geschützt?
• Erfolgt der Zugriff auf die Anwendungen menügesteuert?
• Ist die Betriebssystemebene für den normalen Benutzer ganz oder teilweise gesperrt?
• Ist ein Zusatzhard- bzw. -softwareschutz installiert? (Angabe des Produkts und seiner Funktionen) ?
• Werden die Daten auf der Platte verschlüsselt gespeichert?
• Gibt es ein Softwareversiegelungsverfahren?
• Wird ein Prüfsummenverfahren eingesetzt? (Angabe des eingesetzten Produktes) ?
• Gelangen Viren-Scanner zum Einsatz (automatisch bei jedem Betriebssystemstart oder unregelmäßig)?
• Werden diese Scanner regelmäßig aktualisiert?
• Ist die Vorgehensweise beim Auftreten eines Virus, eines Trojanischen Pferdes, eines Wurms etc. festgelegt?
• Werden sonstige Mittel zur Bekämpfung von Schadenssoftware eingesetzt (z. B Anti-Dialer- und Anti-Spyware-Lösungen, Vorbeugung gegen und Vermeidung von Phishing und Pharming)?
• Ist auch die ständige Aktualisierung dieser Produkte gewährleistet?
• Ist dokumentiert,
• wer für die Einrichtung der Benutzerkennungen und Rechtevergabe verantwortlich ist,
• ob jeder Benutzer eine eigene Kennung und Passwort besitzt?
• Erfolgt die Passwortvergabe und -änderung durch den Benutzer selbst?
• Werden dabei die vorgegebenen Richtlinien zur Passwortgestaltung beachtet?
• Wird die Passwortänderung maschinell erzwungen?
• Erfolgt ein Passwortwechsel in bestimmten, vordefinierten Zeitabständen?
• Wird bei der Passwortänderung eine Passworthistorie durchlaufen (Angabe der Anzahl der umfassten Passworte der Historie)?
• Werden Zugriffsverletzungen aufgezeichnet und gegebenenfalls Sanktionen ergriffen?
• Erfolgt eine automatische Dunkelschaltung des Bildschirms oder eine Deaktivierung der Benutzerkonten bei längeren Pausen?
• Werden beim Mehrplatzsystem folgende Aktivitäten protokolliert:
• An- und Abmeldung?
• Aufruf eines Programms?
• Datenbankeröffnung (Art der Datenbankzugriffe)?
• Zugriffsschutzverletzungen?
• Sind diese Aufzeichnungen manipulationssicher?
• Sind bestimmte Benutzer von der Protokollierung ausgeschlossen (z. B. Systemverwalter)?
• Werden die Protokolle regelmäßig hinsichtlich Zugriffsverletzungen ausgewertet und einige Monate aufgehoben?
• Erfolgt eine Festplattenwartung ausschließlich vor Ort unter Aufsicht eines Berechtigten?
• Existiert ein Vertrag über die Entsorgung von Festplatten mit dem Hardware-Hersteller?
• Werden nicht mehr benötigte oder defekte Datenträger (Papier, CD, DVD, Streamer Tapes, Festplatte) datenschutzgerecht entsorgt?
• Werden Protokolle über die Entsorgung gefertigt und findet eine Überprüfung des Entsorgungsverfahrens statt?

Datensicherung

Die folgenden Fragen dienen der Feststellung, ob alle notwendigen Sicherungsmaßnahmen getroffen wurden, so dass die Rekonstruktion einer Datei, eines Datenverzeichnisses oder gar des gesamten Datenbestandes bzw. des Systems ohne Probleme möglich ist.

• Ist das Verfahren zur Datensicherung festgelegt und bekannt?
• Erfolgt die Sicherung
• zentral oder
• dezentral?
• Ist festgelegt,
• wer für die Datensicherung verantwortlich ist,
• auf welche Datenträger gesichert wird,
• welches Verfahren (z.B. Generationsprinzip) angewandt wird,
• wie oft die Datensicherung erfolgt (täglich, wöchentlich, bei Bedarf),
• was gesichert wird (gesamte Platte, Datenbank, Differenzialsicherung)?
• Wird eine automatische Sicherung (z. B. beim am PC) erzwungen?
• Werden mehrere Sicherungsgenerationen (Großvater, Vater, Sohn etc.) angelegt?
• Werden zusätzlich Monats- und/oder Jahressicherungen der gesamten Daten vorrätig gehalten?
• Wird die Verwendbarkeit der Sicherungen überprüft?
• Werden die Sicherungsdatenträger mit einem Schreibschutz versehen?
• Erfolgt die Lagerung der Sicherungsdatenträger an einem zugriffs- und brandsicheren Aufbewahrungsort (VDMA 24991)?
• Findet mindestens einmal jährlich eine Datenträgerinventur statt, deren Ergebnis revisionsfähig zu dokumentieren ist?

Datenträgeraustausch

Zur effektiven Kontrolle eines Datenträgeraustausches soll der folgende Fragenkatalog dienen.

• Findet ein (regelmäßiger) Datenträgeraustausch statt?
• Werden der Zweck und Empfänger dokumentiert?
• Existieren revisionsfähige Aufzeichnungen über den Datenträgeraustausch?
• Wird der Rücklauf kontrolliert?
• Wird bei der Wahl der Transportart die Sensibilität der Daten berücksichtigt?
• Werden beim Datenträgeraustausch verschlossene Behältnisse verwendet?
• Wird beim Datenträgeraustausch beachtet, dass keine Restdaten, das sind Teile früher gespeicherter Daten, übermittelt werden?
• Werden die Daten auf dem Datenträger verschlüsselt gespeichert?
• Werden beim Datenträgeraustausch wirksame Schutzmaßnahmen gegen das Einschleusen von Viren durch fremde Datenträger ergriffen (z.B. Einsatz von Virenscannern)?
• Werden auch fremde Datenträger zugriffssicher aufbewahrt?

Notfall- und Katastrophenvorsorge

Um im Ernstfall die Zeitspanne des Ausfalls von Personal Computern so niedrig wie möglich zu halten und einen möglichst reibungslosen Wiederanlauf zu gewährleisten, ist zu prüfen:

• Existiert ein Ausfallkonzept?
• Ist festgestellt worden, wie lange im Notfall auf den Rechner verzichtet werden könnte?
• Bestehen Vereinbarungen über Wartung und Neubeschaffung mit dem Hersteller oder Händler?
• Ist geregelt, wer bei Hard- bzw. Softwarestörungen verständigt werden muss?
• Ist festgehalten,
• wie häufig Defekte bzw. System(teil)ausfälle auftreten,
• welcher Art die Folgen waren?
• Existiert ein Katastrophenarchiv?
• Ist dokumentiert, welche Sicherungen dort aufbewahrt werden?
• Ist auch im Katastrophenarchiv der Zugriffs- und Brandschutz gewährleistet?
• Ist das Verfahren zum Wiederanlauf dokumentiert?
• Ist dokumentiert, welche Wiedereinspielroutinen verwendet werden?

PC-Sicherheitsbelehrung

Eine PC-Sicherheitsbelehrung zur Beachtung nachfolgender datenschutzrechtlicher Gesichtspunkte sollte von jedem Benutzer - neben einer eventuell erforderlichen Verpflichtung auf das Datengeheimnis - vor der erstmaligen Benutzung eines Personal Computers schriftlich zur Kenntnis gebracht werden. Diese Belehrung sollte auf folgende Punkte eingehen:

• Verbot des Einsatzes privater Hard- und Software
• Vorgaben, auf den vorhandenen Personal Computern nur vor- und freigegebene Software einzusetzen
• Verbot des Einsatzes von selbsterstellter Software, Public Domain Programmen, Shareware und Computerspielen
• Ausschließlicher Einsatz lizenzierter Software
• Einhaltung der Maßnahmen, unbefugten Personen den Zugang zum PC und den Zugriff auf Programme und Daten zu verwehren
• Nutzung des Personal Computers nur für die vorher festgelegten Aufgaben
• Verbot der Verfälschung oder Weitergabe von Programmen und Daten
• Einhaltung der vorgeschriebenen Datenschutz- und Datensicherheitsmaßnahmen
• Verpflichtung zur Duldung der Revision durch dazu berechtigte Personen
• Durchführung regelmäßiger Datensicherungen (bei Stand-alone-PC).

Ein Muster einer PC-Sicherheitsbelehrung ist auf der Homepage des Bayerischen Landesbeauftragten für den Datenschutz http://www.datenschutz-bayern.de/technik/orient/pc_sibe.pdf (PDF) im Bereich Technik abrufbar.

Alle Datenschutz- und Datensicherheitsmaßnahmen sollten zusätzlich in einer Dienstanweisung näher beschrieben sein.