Das vorliegende Buch untersucht den Zusammenhang von IT-Sicherheit und IT-Forensik in Bezug auf Wirtschaftskriminalität in Banken. Hierfür wird bei der Analyse und Beschreibung des Security Engineering der Fokus auf die Verhütung von Wirtschaftskriminalität gelegt und es findet sich der Bezug der digitalen Forensik auf die Besonderheiten der Kreditinstitute. Ein weiterer sehr interessanter Teilbereich der IT-Security ist die Erkennung und Analyse eines Einbruchs oder Einbruchsversuchs. Für diese Analyse bietet der Markt eine unzählige Anzahl an Werkzeugen, die mit ihrem Funktionsumfang die Erkennung des Angriffs und den gesamten forensischen Prozess abdecken können. Die Analyse einer kleinen Auswahl dieser Werkzeuge ist ebenfalls Zielsetzung des vorliegenden Fachbuchs.

Textprobe: Kapitel 2, Security Engineering und digitale Forensik in Kreditinstituten: Seit mehreren Jahrzehnten werden große Teile der betriebswirtschaftlichen Aktivitäten mehr und mehr durch (teil-)automatisierte Abwicklung von Rechnernetzen unterstützt, was eine immer umfassendere Datensammlung mit sich bringt. Je mehr Daten digitalisiert vorliegen, desto gravierender sind Auswirkungen der Angriffe auf diese digitalen Datenspeicher und -prozesse der Unternehmen. Insbesondere aufgrund der sensiblen Daten und der mit der Technologiestruktur zusammenhängenden Informationstiefe der Kreditinstitute ist dies eines der gefährdetsten Branchen der Wirtschaft. Es ist daher nachvollziehbar, dass auch der Bereich der IT-Sicherheit in der Wirtschaft und den Kreditinstituten immer größeren Stellenwert gewann und sowohl technische wie organisatorische Möglichkeiten gesucht wurden, die Entwicklung der Computerkriminalität einzudämmen. Als Beispiel ist der IT-Grundschutzkatalog des Bundesamtes für Sicherheit in der Informationstechnik zu nennen, das eine umfassende Liste von Bedrohungen und möglichen Gegenmaßnahmen nennt und entsprechende Handlungsanweisungen für Unternehmen formuliert. Während die Prozesse des Security Engineering primär ein technisches Umfeld schaffen sollen, in dem die Gefahr von absichtlichen und unabsichtlichen Schädigungen so weit möglich reduziert wird, sollen die forensischen Aktivitäten Auswertungen von Beweisen im Nachhinein ermöglichen. Diese Analysen werden durch die Implementierung eines durchdachten und professionellen Sicherheitskonzepts zusätzlich stark vereinfacht. 2.1, Definition und Zielsetzung des Security Engineering: Die Maßnahmen, die mit der Zielsetzung der IT-Sicherheit durchgeführt werden, werden als Security Engineering bezeichnet. Hierbei geht es um den Aufbau und den Betrieb von Securitykonzepten und –prozessen, die Gefahren erkennen und Gegenmaßnahmen etablieren. Neben ‘aktiven’ Angriffen zählen auch ‘passive’ Gefahren dazu, die aus dem Verlust oder Ausfall von Daten und Systemen resultieren, die unbeabsichtigt auftreten. Auch für den Fall von Hardwareschäden und Naturkatastrophen gibt es Sicherungskonzepte (Business Continuitiy/Desaster Recovery Plan). Dem Security Engineering liegt dabei ein Vorgehensmodell zu Grunde das eine Analyse des berücksichtigten Systems vornimmt, ein Sicherheitskonzept etabliert und die Überwachung des Konzepts sicherstellt. Die allgemeinen Konstruktionsprinzipien sind hierbei anerkannt und unterstützen bei der Definition der Berechtigungskonzepte [ECKE09, S. 168]. 2.1.1, Allgemeine Konstruktionsprinzipien: Bereits zu Beginn der elektronischen Datenverarbeitung haben sich Konstruktionsprinzipen ergeben, die bis heute die Basis des Sicherheitsmanagements darstellen [ECKE09, S. 168f.]. Die nachfolgend genannten fünf Prinzipien sind die wichtigsten und bekanntesten und sollten auch beim IT-Management von Kreditinstituten dringend Anwendung finden, um Angriffe aus dem Innern des Unternehmens zu vermeiden. Nach [MÜLL10, S. 158ff.] gibt es noch unzählige mehr, auf deren vollständige Nennung aus Platzgründen verzichtet wird. Das Erlaubnisprinzip definiert dabei die Empfehlung, dass den User grundsätzlich alles verboten sein soll, sofern er nicht explizit dafür die Erlaubnis erhalten hat. Das Vollständigkeitsprinzip fordert, dass jede Aktivität des Benutzers kontrolliert wird und gegen die aktuellen Rechte abgeglichen wird. Eine Ausnahme von der Vollständigkeit kann ‘Hintertüren’ öffnen, um die Rechteeinschränkungen zu umgehen. Das Prinzip der minimalen Rechte fordert den Umfang der Rechte so minimal wie möglich. Jeder Benutzer soll nur die Rechte erhalten, die auch dringend für seine Tätigkeiten notwendig sind. Das Prinzip der Benutzerakzeptanz fokussiert im Gegensatz zu den anderen nicht auf technische Lösungen sondern stellt die Handlungsweisen des Nutzers in den Mittelpunkt. Erst ein einfaches und verständliches System und die Sensibilität des Benutzers für den Sinn der Regelungen führt dazu, dass dieser die technischen Anforderungen nicht auszuhebeln versucht. Nur so kann bspw. vermieden werden, dass die Passwörter desktopnah frei zugänglich notiert werden, das Passwort leicht zu erraten ist oder an Kollegen weiter gegeben wird [STUB02]. Da die Sicherheit eines Systems nicht von der Geheimhaltung abhängen darf, besagt das Prinzip des offenen Entwurfs dass die Sicherheitssysteme die nötige Sicherheit bieten müssen auch wenn sie offen dargestellt werden. 2.1.2, Bedrohungsanalyse und Schutzbedarf: Nachdem die Konstruktionsprinzipien bekannt sind, ist im Rahmen eines Engineering-Prozesses eine Analyse der Bedrohungen durchzuführen, die den individuellen Schutzbedarf des Unternehmens definiert. ECKERT [ECKE09, S. 181f.] schlägt hierfür die Erstellung einer Bedrohungsmatrix oder eines Bedrohungsbaumes vor. In beiden Fällen wird die Angriffsart und die Möglichkeiten der Durchführung analysiert und entsprechende Gegenmaßnahmen ermittelt. Die hierbei ermittelten Bedrohungen können wie folgt klassifiziert werden [ECKE09, S. 181]: ? Bedrohungen durch externe Angriffe ? Datenintegrität und Informationsvertraulichkeit (Umgehen interner Kontrollen) ? Abstreiten durchgeführter Aktionen ? Spezialisten mit Insider-Wissen ? Rechtemissbrauch/Ausnutzen von Vertrauensstellungen.

• Wirtschaftskriminalität

• Intrusion Detection

• Bank

• IT Security

• Incident Response

Ralph Schimpf, M.Sc. wurde 1979 in Tettnang geboren. Er schloss 2003 sein Studium der internationalen Betriebswirtschaftslehre in Reutlingen mit einem Diplom und 2012 ein berufsbegleitendes Studium der Wirtschaftsinformatik an der Universität Duisburg-Essen mit dem Master of Science mit großem Erfolg ab. Der Autor arbeitet in der IT einer großen deutschen Privatbank als Projekt- und Produktmanager im Transaction und Corporate Banking und befasst sich dabei auch mit Themen der IT-Sicherheit. Er wohnt heute in der Eifel, ist verheiratet und hat drei Kinder.