FTAPI Glossar.

BSI steht für das “Bundesamt für Sicherheit in der Informationstechnik” und ist eine Bundesbehörde in Deutschland, die für die Sicherheit von IT-Systemen und -Infrastrukturen zuständig ist. Es ist Teil des Bundesministeriums des Innern, für Bau und Heimat und hat seinen Hauptsitz in Bonn.

Das BSI ist verantwortlich für die Erstellung von IT-Sicherheitsstandards, Richtlinien und Empfehlungen für die öffentliche Verwaltung sowie für Unternehmen und Bürger. Es arbeitet eng mit anderen nationalen und internationalen Organisationen zusammen, um IT-Sicherheitsfragen zu koordinieren bzw zu analysieren und geeignete Schutzmaßnahmen zu entwickeln. Das Ziel des BSI ist es, die IT-Sicherheit in Deutschland zu erhöhen und die Informationssicherheit zu schützen. Zudem ist es Ansprechpartner bei IT-Sicherheitsvorfällen.

Der Kriterienkatalog C5 ist ein umfassender Leitfaden für die Informationssicherheit in der Cloud, der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland entwickelt wurde. Der Name „C5“ steht für „Cloud Computing Compliance Controls Catalogue“ und bezieht sich auf die fünf Bereiche, die in der Zertifizierung abgedeckt werden: Governance, Risikomanagement, Compliance, Technik und Betrieb.

C5 definiert eine Reihe von Anforderungen, die ein Cloud-Provider erfüllen muss, um eine Zertifizierung zu erhalten. Dazu gehören unter anderem:

• Aufbau eines Informationssicherheitsmanagementsystems (ISMS) für die Cloud-Dienste
• Umsetzung von Maßnahmen zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit der Daten in der Cloud
• Einhaltung von gesetzlichen und regulatorischen Anforderungen, z.B. im Hinblick auf Datenschutz und IT-Sicherheit
• Überwachung der Cloud-Services sowie regelmäßige Prüfung und Aktualisierung der Sicherheitsmaßnahmen
• Gewährleistung einer klaren und transparenten Kommunikation mit Kunden und Behörden im Hinblick auf die Sicherheit der Cloud-Services.

Der Kriterienkatalog C5 soll Unternehmen dabei helfen, sichere Cloud-Services auszuwählen und Cloud-Provider bei der Umsetzung von hohen Sicherheitsstandards unterstützen. Durch eine C5-Zertifizierung können Cloud-Provider ihre Kompetenz und Vertrauenswürdigkeit unter Beweis stellen und Kunden die Gewissheit geben, dass ihre Daten in der Cloud sicher sind.

Ein „Client“ ist eine Anwendung oder ein Gerät, das auf eine Serverressource zugreift und diese nutzt. In der Regel handelt es sich dabei um eine Softwareanwendung, die auf einem Endgerät wie einem Computer oder einem Mobilgerät installiert ist und mit einem Server über das Internet oder ein Netzwerk kommuniziert.

Beispiele für Client-Anwendungen sind Webbrowser, E-Mail-Clients, FTP-Clients, Instant-Messaging-Clients und Remote-Desktop-Clients. Diese Programme ermöglichen es Benutzern, auf Serverressourcen zuzugreifen oder mit anderen Benutzern über ein Netzwerk zu kommunizieren.

Der Client ist somit ein wichtiger Bestandteil der Client-Server-Architektur, die für viele Anwendungen und Dienste im Internet verwendet wird. In diesem Modell kommuniziert der Client mit dem Server, um Daten abzurufen oder Anfragen zu stellen, während der Server die Anfrage des Clients empfängt und entsprechende Ressourcen oder Daten bereitstellt.

CVE steht für „Common Vulnerabilities and Exposures“ und bezieht sich auf eine öffentlich zugängliche Liste von Sicherheitsanfälligkeiten, die in verschiedenen Software- und Hardwareprodukten gefunden wurden. Jeder Eintrag in der CVE-Datenbank enthält eine eindeutige Kennung, eine Beschreibung der Schwachstelle, Informationen darüber, welche Produkte betroffen sind und welche Auswirkungen die Schwachstelle haben kann.

Schwachstellen werden von Einrichtungen aus der ganzen Welt, die eine Partnerschaft mit dem CVE-Programm eingegangen sind, entdeckt, zugewiesen und veröffentlicht. Ziel ist es, eine einheitliche Beschreibungen von Schwachstellen zu kommunizieren. Experten für Informationstechnologie und Cybersicherheit verwenden CVE-Datensätze, um sicherzustellen, dass sie über dasselbe Problem sprechen, und um ihre Maßnahmen zur Priorisierung und Behebung der Schwachstellen zu koordinieren.

Die CVE-Einträge werden von einer Organisation namens „MITRE Corporation“ verwaltet. Genutzt wird CVE von vielen Sicherheitsunternehmen und Forschern weltweit, um Schwachstellen zu verfolgen und zu melden, sowie um ihre Kunden zu informieren und zu schützen.

Als Cloud bezeichnet man in der IT eine Infrastruktur, in der Ressourcen wie Computerleistung, Speicherplatz, Server und Anwendungssoftware über das Internet zur Verfügung gestellt werden.

Statt dass Unternehmen ihre eigenen Rechenzentren betreiben und warten, können sie auf die Dienste von Cloud-Anbietern zugreifen, die die Ressourcen in ihren eigenen Rechenzentren hosten und verwalten. Dies ermöglicht es Unternehmen, schnell und einfach auf die Ressourcen zuzugreifen, die sie benötigen, ohne dass sie teure Hardware und Software kaufen und warten müssen.

Die Cloud-Technologie ermöglicht es auch, dass Anwendungen und Daten von überall aus zugänglich sind, solange eine Internetverbindung verfügbar ist. Cloud-basierte Lösungen bieten oft auch Skalierbarkeit, Flexibilität und Kosteneffizienz, da Unternehmen nur für die Ressourcen bezahlen, die sie tatsächlich nutzen, und sie schnell auf veränderte Geschäftsanforderungen reagieren können.

Cybersicherheit bezieht sich auf den Schutz von Computernetzwerken, Computersystemen, mobilen Geräten, elektronischen Daten und sensiblen Informationen vor unautorisiertem Zugriff, Missbrauch, Diebstahl oder Schäden. Es umfasst die Praktiken, Technologien und Verfahren, die eingesetzt werden, um die Vertraulichkeit, Integrität und Verfügbarkeit von digitalen Systemen und Daten zu gewährleisten.

In der heutigen vernetzten Welt ist die Cybersicherheit von entscheidender Bedeutung, da Unternehmen, Organisationen und Einzelpersonen immer mehr auf digitale Systeme und Technologien angewiesen sind. Ein erfolgreicher Cyberangriff kann schwerwiegende Konsequenzen haben, wie z.B. den Verlust von wichtigen Daten oder Informationen, Reputationsschäden, finanzielle Verluste oder sogar die Beeinträchtigung der physischen Sicherheit.

Daher ist es wichtig, dass Unternehmen und Organisationen proaktive Maßnahmen ergreifen, um ihre Cybersicherheit zu verbessern. Dies kann durch die Implementierung von Firewalls, Antivirensoftware, Verschlüsselungstechnologien, Authentifizierungsmechanismen und anderen Sicherheitsmaßnahmen erreicht werden. Eine regelmäßige Überwachung und Aktualisierung dieser Maßnahmen sind ebenfalls von großer Bedeutung, um sicherzustellen, dass sie immer auf dem neuesten Stand sind und den sich ständig verändernden Bedrohungen standhalten können.

Insgesamt ist Cybersicherheit ein wesentlicher Bestandteil jeder Organisation oder jedes Unternehmens, das digital arbeitet. Durch eine solide Cybersicherheitsstrategie und regelmäßige Überwachung und Aktualisierung können Unternehmen und Organisationen die Vertraulichkeit, Integrität und Verfügbarkeit ihrer digitalen Systeme und Daten gewährleisten und sich vor den zunehmenden Bedrohungen aus dem Cyberspace schützen.

Datenaustausch bezeichnet den Prozess des Übertragens von Daten von einem Computer oder System auf ein anderes. Dabei können verschiedene Arten von Daten ausgetauscht werden, wie zum Beispiel Text, Bilder, Audio- oder Videodateien, Tabellen, Datenbanken und mehr.

Der Datenaustausch kann auf verschiedene Arten erfolgen, wie zum Beispiel über lokale Netzwerke, drahtlose Verbindungen wie Bluetooth oder WLAN, oder das Internet. Dabei kann der Datenaustausch sowohl manuell als auch automatisiert erfolgen, zum Beispiel über spezielle Schnittstellen, Protokolle oder APIs.

Datenaustausch ist ein grundlegender Aspekt der Informations- und Kommunikationstechnologie und ermöglicht es, Daten zwischen verschiedenen Systemen, Anwendungen und Plattformen auszutauschen und zu teilen, um eine nahtlose Zusammenarbeit und Interoperabilität zu gewährleisten.

Beim Datenaustausch können verschiedene Gefahren und Risiken auftreten, die die Sicherheit und Vertraulichkeit von Daten gefährden können. Hier sind einige der häufigsten Gefahren:

• Datenverlust: Beim Datenaustausch können Daten aufgrund von Übertragungsfehlern, technischen Störungen oder Hardwarefehlern verloren gehen.
• Datendiebstahl: Datendiebstahl ist eine der größten Gefahren beim Datenaustausch. Unbefugte können versuchen, auf Daten zuzugreifen, um sie zu stehlen oder zu missbrauchen.
• Malware und Viren: Malware und Viren können beim Datenaustausch übertragen werden und infizierte Dateien können unerwünschte Aktivitäten auf dem Zielcomputer ausführen.
• Phishing: Phishing-Angriffe können beim Datenaustausch durch gefälschte E-Mails, Websites oder Links erfolgen, die dazu führen können, dass Benutzer ihre persönlichen Daten oder Passwörter preisgeben.
• Unverschlüsselte Verbindungen: Unverschlüsselte Verbindungen können dazu führen, dass Daten während der Übertragung abgefangen oder abgehört werden können.

Um diese Gefahren zu minimieren, ist es wichtig, sichere Verbindungen und Protokolle zu verwenden, regelmäßige Backups von Daten durchzuführen und starke Passwörter und Sicherheitsmaßnahmen zu implementieren.

Digitale Datenräume sind sichere Online-Speicherplattformen, die verwendet werden, um vertrauliche Daten und Informationen auszutauschen und zu speichern. Sie werden oft von Unternehmen, Behörden, im Gesundheitswesen und der Industrie genutzt, um Informationen sicher zu teilen.

Datenräume bieten verschiedene Sicherheitsfunktionen, wie z.B. die Verschlüsselung von Daten und die Kontrolle des Zugriffs auf Informationen durch Benutzerrollen und -berechtigungen. Dadurch wird eingehalten, dass nur autorisierte Benutzer auf die Informationen zugreifen und sie bearbeiten können.

Neben digitalen Datenräumen gibt es auch physische Datenräume, in denen Dokumente aufbewahrt werden. Dabei überwiegen die Vorteile digitaler Datenräume eindeutig:

• Zugriff: Ein digitaler Datenraum ist jederzeit und von überall auf der Welt zugänglich, solange man eine Internetverbindung hat. Im Gegensatz dazu erfordert ein physischer Datenraum, dass man physisch anwesend ist, um auf die Dokumente zuzugreifen.
• Sicherheit: Ein digitaler Datenraum bietet eine höhere Sicherheit als ein physischer Datenraum. Alle Daten werden verschlüsselt und es gibt mehrere Schichten von Sicherheitsmaßnahmen, die den Zugriff auf die Daten beschränken. Im Gegensatz dazu ist ein physischer Datenraum anfälliger für Diebstahl oder Verlust.
• Einfache Zusammenarbeit: In einem digitalen Datenraum können mehrere Nutzer gleichzeitig auf Dokumente zugreifen und zusammenarbeiten, ohne sich am selben physischen Ort befinden zu müssen. Ein physischer Datenraum erfordert hingegen, dass alle beteiligten Personen am selben Ort zusammenkommen, was zeitaufwändig und teuer sein kann.
• Zeit- und Kostenersparnis: Ein digitaler Datenraum kann Zeit und Kosten sparen, da keine physischen Kopien der Dokumente erstellt werden müssen und auch keine Anreisekosten für Beteiligte anfallen. Auch die Suche nach Dokumenten ist einfacher und schneller, da sie digital indiziert und durchsuchbar sind.
• Umweltfreundlichkeit: Ein digitaler Datenraum ist umweltfreundlicher als ein physischer Datenraum, da keine Papierdokumente erstellt werden müssen. Auch die Anreise der Beteiligten kann durch die Nutzung eines digitalen Datenraums reduziert werden, was zur Reduzierung von CO2-Emissionen beitragen kann.

Unter digitaler Souveränität versteht man die Fähigkeit eines Landes, einer Organisation oder eines Individuums, ihre digitalen Angelegenheiten und Daten unabhängig von anderen Ländern oder Organisationen zu kontrollieren und zu schützen.

Dies umfasst unter anderem die Kontrolle über digitale Infrastruktur, wie zum Beispiel Cloud-Dienste, Netzwerke oder Datenzentren, die Sicherheit von Daten und die Gewährleistung der Datenschutz-Grundsätze, die Sicherheit von Kommunikationsnetzen sowie die digitale Identität. Digitale Souveränität soll dabei sicherstellen, dass digitale Daten und Dienste nicht von anderen Ländern oder Organisationen missbraucht oder ausgenutzt werden können.

Im Allgemeinen geht es bei digitaler Souveränität also darum, dass eine Person, Organisation oder Land in der Lage ist, ihre digitalen Angelegenheiten ohne die Abhängigkeit von anderen Parteien zu kontrollieren und zu verwalten. Dazu zählen neben der bereits erwähnten Unabhängigkeit von anderen Ländern und Organisationen auch die Unabhängigkeit von einzelnen Anbietern und Produkten.

Digitale Souveränität kann auf verschiedenen Ebenen erreicht werden. Dazu zählen:

• Eigenständige digitale Infrastruktur: Ein Land oder eine Organisation kann eine eigene digitale Infrastruktur aufbauen, die unabhängig von anderen Ländern oder Organisationen betrieben wird. Dies kann die Kontrolle über die digitale Infrastruktur, die Nutzung von Open-Source-Software und die eigene Datenverarbeitung und -speicherung beinhalten.
• Investitionen in digitale Kompetenzen: Ein Land oder eine Organisation kann in die Ausbildung und Schulung von Fachleuten investieren, um die notwendigen Fähigkeiten zu erwerben, um digitale Angelegenheiten und Sicherheit unabhängig zu verwalten.
• Datenschutz und Cybersecurity: Ein Land oder eine Organisation kann strenge Datenschutz- und Cybersecurity-Maßnahmen umsetzen, um die Sicherheit der digitalen Infrastruktur und der Daten zu gewährleisten. Dies kann auch den Einsatz von Verschlüsselungstechnologien und die Verwendung von Authentifizierungsmethoden zur Überprüfung der Identität der Benutzer einschließen.
• Gesetzliche Regelungen: Ein Land oder eine Organisation kann gesetzliche Regelungen erlassen, die die digitale Souveränität und den Schutz der digitalen Infrastruktur und der Daten sicherstellen. Hierzu gehören auch Bestimmungen zum Datenschutz und zur Cybersicherheit, zur Netzneutralität und zur digitalen Identität.
• Internationale Zusammenarbeit: Um digitale Souveränität zu erreichen, können Länder und Organisationen auf internationaler Ebene zusammenarbeiten, um gemeinsame Standards und Normen für den Schutz digitaler Angelegenheiten und Daten zu setzen.

DSVGO steht für Datenschutz-Grundverordnung. Es handelt sich dabei um eine europäische Datenschutzverordnung, die am 25. Mai 2018 in Kraft getreten ist. Die DSGVO wurde entwickelt, um den Datenschutz und die Datensicherheit für Bürgerinnen und Bürger der Europäischen Union zu stärken und einheitliche Standards für den Umgang mit personenbezogenen Daten in der EU zu schaffen.

Die DSGVO legt fest, wie personenbezogene Daten erhoben, verarbeitet, gespeichert und geschützt werden müssen. Sie betrifft Unternehmen, Organisationen und Behörden, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig davon, ob sich diese Unternehmen innerhalb oder außerhalb der EU befinden.

Die Verordnung beinhaltet verschiedene Grundsätze, wie beispielsweise die Erforderlichkeit der Datenverarbeitung, die Rechtmäßigkeit der Verarbeitung, die Einwilligung der betroffenen Person, das Recht auf Auskunft, das Recht auf Berichtigung und das Recht auf Löschung personenbezogener Daten. Zudem legt sie auch Maßnahmen für den Datenschutz und die Datensicherheit fest, wie beispielsweise die Pseudonymisierung und Anonymisierung von Daten sowie die Implementierung angemessener technischer und organisatorischer Maßnahmen zum Schutz der Daten.

Die DSGVO hat das Ziel, den Schutz personenbezogener Daten zu stärken und das Bewusstsein für Datenschutz zu erhöhen. Verstöße gegen die DSGVO können mit hohen Bußgeldern geahndet werden.

Eine elektronische Arbeitsunfähigkeitsbescheinigung (eAU) ist eine digitale Version einer ärztlichen Bescheinigung, die bestätigt, dass eine Person aufgrund einer Krankheit oder Verletzung arbeitsunfähig ist.

Die eAU ersetzt die bisherige papierbasierte Arbeitsunfähigkeitsbescheinigung und kann elektronisch an den Arbeitgeber übermittelt werden. Hierfür wird die eAU in der Regel von der Arztpraxis oder dem Krankenhaus direkt an die zuständige Krankenkasse gesendet, die sie dann an den Arbeitgeber weiterleitet. Seit Januar 2023 ist der Abruf von elektronischen Arbeitsunfähigkeitsbescheinigungen für den Arbeitgeber verpflichtend.

Die eAU bietet Vorteile wie eine schnellere Übermittlung, da sie direkt digital versendet werden kann, und eine höhere Datensicherheit, da sie verschlüsselt übertragen wird und nicht verloren gehen kann. Darüber hinaus können Patienten die eAU in der Regel auch selbst online an ihre Arbeitgeber senden, wenn ihre Krankenkasse diesen Service anbietet.

Eine ISO-Zertifizierung bezieht sich auf die Vergabe eines Zertifikats gemäß den internationalen Standards der International Organization for Standardization (ISO). Die ISO ist eine unabhängige Organisation, die weltweit anerkannte Normen entwickelt und veröffentlicht. Die ISO-Zertifizierung bestätigt, dass ein Unternehmen, eine Organisation oder ein Produkt die Anforderungen bestimmter ISO-Normen erfüllt.

Es gibt verschiedene ISO-Normen, die in verschiedenen Bereichen gelten, wie zum Beispiel ISO 9001 für Qualitätsmanagement, ISO 14001 für Umweltmanagement, ISO 27001 für Informationssicherheitsmanagement und viele weitere. Jede Norm definiert spezifische Anforderungen und Best Practices für das jeweilige Thema.

Die ISO-Zertifizierung erfolgt in der Regel durch eine unabhängige Zertifizierungsstelle, die das Unternehmen oder die Organisation überprüft und prüft, ob sie die Anforderungen der entsprechenden ISO-Norm erfüllen. Wenn alle Anforderungen erfüllt sind, wird ein Zertifikat ausgestellt, das für einen bestimmten Zeitraum gültig ist.

Es ist wichtig zu beachten, dass die ISO-Zertifizierung keine gesetzliche Anforderung ist, sondern ein freiwilliger Prozess, den Unternehmen oder Organisationen durchlaufen können, um ihre Konformität mit international anerkannten Standards zu dokumentieren.

„On-Premises“ bedeutet, dass Software, Anwendungen oder Systeme auf einem physischen Computer oder Server vor Ort installiert und betrieben werden. Im Gegensatz dazu stehen Cloud-basierte Lösungen, deren Software oder Anwendungen auf Servern in einer entfernten Rechenzentrumsumgebung gehostet werden und über das Internet zugänglich sind.

On-Premises-Lösungen können für Unternehmen attraktiv sein, die eine höhere Kontrolle und Sicherheit über ihre Daten und Systeme wünschen, da sie alle Aspekte der Wartung und Sicherheit selbst verwalten können. Allerdings gibt es auch einige Nachteile einer On-Premises-Lösung im Vergleich zu Cloud-basierten Lösungen, die beachtet werden sollten:

• Höhere Anfangsinvestitionen: On-Premises-Lösungen erfordern in der Regel eine erhebliche Investition in Hardware, Software, Netzwerk- und Speicherinfrastruktur sowie in IT-Personal, um die Systeme zu implementieren, zu konfigurieren und zu warten.
• Hohe Wartungskosten: Da das Unternehmen für den Betrieb und die Wartung der Systeme verantwortlich ist, fallen auch laufende Kosten für die Instandhaltung und Aktualisierung der Hardware und Software an. Dies kann langfristig teuer sein und erfordert eine entsprechende Budgetierung.
• Skalierbarkeit: Die Skalierung von On-Premises-Systemen kann schwierig und zeitaufwändig sein, da Unternehmen in der Regel zusätzliche Hardware und Infrastruktur erwerben und installieren müssen, um Kapazitätsanforderungen zu erfüllen.
• Einschränkungen bei der Mobilität: On-Premises-Lösungen können die Mobilität von Mitarbeitern einschränken, da sie normalerweise von einem bestimmten Standort aus arbeiten müssen, um auf die Systeme zuzugreifen. Gerade in Zeiten von Remote Work nicht die beste Lösung.
• Sicherheits- und Compliance-Risiken: Unternehmen sind selbst für die Sicherheit und Compliance ihrer On-Premises-Systeme verantwortlich, was bedeutet, dass sie sich auf ihre eigenen Schutzmaßnahmen verlassen müssen. Das kann ein hohes Risiko darstellen, da es aufwändig ist, alle potenziellen Angriffsvektoren zu identifizieren und abzusichern. Außerdem können gesetzliche und regulatorische Anforderungen, wie beispielsweise die DSGVO, die Einhaltung bestimmter Sicherheitsstandards erfordern, die sich als schwierig und kostspielig erweisen können.

Cloud-basierte Lösungen bieten in der Regel eine höhere Flexibilität und Skalierbarkeit sowie eine bessere Mobilität und ein höheres Maß an Sicherheit und Compliance. Unternehmen sollten daher abwägen, welche Art von Lösung für ihre spezifischen Anforderungen und Ressourcen am besten geeignet ist.

Schatten-IT bezieht sich auf IT-Ressourcen und -Systeme, die von Mitarbeitern innerhalb einer Organisation ohne die Zustimmung oder das Wissen der IT-Abteilung oder des Managements verwendet werden. Diese Ressourcen können von der IT-Abteilung nicht kontrolliert oder gewartet werden, was zu Sicherheitsrisiken, Datenverlusten und schlechter Integration führen kann.

Schatten-IT kann aus verschiedenen Gründen auftreten. Ein Grund kann sein, dass Mitarbeiter alternative Tools verwenden möchten, die von der IT-Abteilung nicht bereitgestellt werden oder zu komplex sind, um von der IT-Abteilung verwaltet zu werden. Ein anderer Grund kann sein, dass Mitarbeiter einfach nicht wissen, dass sie gegen die IT-Richtlinien verstoßen.

Um die Risiken von Schatten-IT zu minimieren, ist es wichtig, dass Unternehmen klare IT-Richtlinien und -Verfahren haben und dass die Mitarbeiter darüber informiert werden. Unternehmen sollten auch sicherstellen, dass sie sichere und zugängliche IT-Ressourcen bereitstellen, die den Anforderungen der Mitarbeiter entsprechen, um sicherzustellen, dass sie nicht auf Schatten-IT angewiesen sind. Die IT-Abteilung sollte auch regelmäßige Audits durchführen, um mögliche Schatten-IT-Risiken zu identifizieren und zu beheben.

Schatten-IT birgt verschiedene Risiken für Unternehmen, einschließlich:

• Sicherheitsrisiken: Schatten-IT-Systeme sind oft nicht von der IT-Abteilung genehmigt oder verwaltet und können daher Sicherheitslücken aufweisen, die die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Systemen gefährden.
• Compliance-Risiken: Schatten-IT-Systeme können gegen gesetzliche oder regulatorische Anforderungen verstoßen, insbesondere wenn es um Datenschutz und Datensicherheit geht.
• Verwaltungsaufwand: Schatten-IT-Systeme können für die IT-Abteilung schwer zu identifizieren, zu überwachen und zu verwalten sein, was zu einem höheren Verwaltungsaufwand führt, und die IT-Sicherheit des Unternehmens beeinträchtigt.
• Datenverlust und Dateninkonsistenz: Schatten-IT-Systeme können Daten auf verschiedene Weise speichern und verarbeiten, was zu Dateninkonsistenzen führen kann. Darüber hinaus besteht das Risiko, dass Daten verloren gehen oder nicht wiederhergestellt werden können, wenn das Schatten-IT-System nicht ordnungsgemäß gesichert und gesichert wird.
• Reduzierte Produktivität: Schatten-IT-Systeme können die Zusammenarbeit und Produktivität von Teams beeinträchtigen, wenn verschiedene Mitarbeiter unterschiedliche Tools verwenden und Daten in verschiedenen Systemen speichern, was zu einer erschwerten Zusammenarbeit und Kommunikation führt.

Es ist wichtig für Unternehmen, sich bewusst zu sein, dass Schatten-IT Risiken birgt und eine Strategie zu entwickeln, um diese Risiken zu minimieren und zu verwalten.

TLS steht für „Transport Layer Security“ und ist ein Protokoll, das verwendet wird, um eine sichere Verbindung zwischen zwei Kommunikationspartnern herzustellen, und zu verhindern, dass Dritte den Datenverkehr abfangen und unverschlüsselt lesen oder manipulieren können.

TLS 1.2 bietet verschiedene Sicherheitsfunktionen wie Verschlüsselung von Daten, Authentifizierung von Servern und Client-Authentifizierung. Es wird von den meisten modernen Webbrowsern und Servern unterstützt und wird oft verwendet, um sichere Verbindungen für Online-Transaktionen, Online-Banking und Datentransfer über Webapplikationen zu gewährleisten.

Im Vergleich zu älteren Versionen von TLS bietet TLS 1.2 eine höhere Sicherheit und verbesserte Kryptographie-Algorithmen, um die Vertraulichkeit und Integrität von Daten zu gewährleisten. TLS 1.2 ist jedoch nicht unbedingt immun gegen Angriffe und Schwachstellen, weshalb es wichtig ist, regelmäßige Updates und Sicherheitsmaßnahmen durchzuführen, um die Sicherheit der übertragenen Daten zu gewährleisten.

Die neueste Version des TLS-Protokolls ist TLS 1.3.

Das sogenannte „Whistleblower-Gesetz“ bezieht sich auf rechtliche Bestimmungen, die den Schutz von Personen regeln, die Missstände oder illegale Aktivitäten in Organisationen oder Institutionen offenlegen.

Im Oktober 2019 wurde die EU-Whistleblower-Richtlinie von der Europäischen Union verabschiedet mit dem Ziel Hinweisgeber auf Unternehmens-interne Missstände zu schützen. Für Deutschland hat der Bundesrat das Hinweisgeberschutzgesetz am 12. Mai 2023 verabschiedet.

Das Whistleblower-Gesetz dient der Förderung von Transparenz und Verantwortlichkeit. Whistleblower spielen eine wichtige Rolle bei der Aufdeckung von Korruption, Betrug, Missmanagement und anderen gesetzeswidrigen Praktiken. Das Gesetz fördert die Offenlegung solcher Missstände und trägt zur Schaffung transparenterer und verantwortungsbewussterer Institutionen bei.
Unternehmen müssen einen Workflow zum Schutz von Whistleblower einrichten, der es Hinweisgebern ermöglicht, Missstände aufzudecken, ohne Nachteile für sich befürchten zu müssen.

Two-Factor Authentication (2FA) ist ein Sicherheitsmechanismus, der entwickelt wurde, um die Zugangssicherheit zu digitalen Konten oder Systemen zu verbessern. Bei der Zwei-Faktor-Authentifizierung müssen Benutzer zwei unterschiedliche Arten von Nachweisen erbringen, um ihre Identität zu bestätigen und auf ein Konto oder System zuzugreifen.

Traditionell erfolgte die Authentifizierung nur über einen Faktor, nämlich das Wissen um ein Passwort. Dieser Ansatz erwies sich jedoch als anfällig, da gestohlene oder schwache Passwörter ein hohes Sicherheitsrisiko darstellen. 2FA wurde eingeführt, um dieses Problem zu beheben.

Bei der Zwei-Faktor-Authentifizierung muss der Benutzer neben dem Passwort einen zweiten Faktor bereitstellen. Dieser zweite Faktor kann einer von drei Typen sein:

Etwas, das der Benutzer weiß: Dies kann beispielsweise ein persönlicher Identifikationscode (PIN), eine geheime Frage oder eine Passphrase sein.

Etwas, das der Benutzer besitzt: Dies kann ein physisches Gerät sein, wie zum Beispiel ein Mobiltelefon, ein Hardware-Token oder eine Smartcard.

Etwas, das der Benutzer ist: Dies bezieht sich auf biometrische Merkmale des Benutzers, wie Fingerabdruck, Stimme, Iris oder Gesichtserkennung.

Typischerweise erfolgt die 2FA-Authentifizierung in zwei Schritten: Der Benutzer gibt zunächst seinen Benutzernamen und sein Passwort ein (erster Faktor). Anschließend wird der zweite Faktor angefordert, z. B. ein einmaliger Code, der per SMS an das Mobiltelefon des Benutzers gesendet wird. Der Benutzer gibt diesen Code ein, um seine Identität zu bestätigen und den Zugriff zu erhalten.

Die Verwendung von Two-Factor Authentication erhöht die Sicherheit erheblich, da selbst wenn ein Angreifer das Passwort eines Benutzers kennt, er immer noch den zweiten Faktor überwinden muss, um Zugang zu erhalten. Dies macht es erheblich schwieriger für Angreifer, unbefugten Zugriff auf Konten oder Systeme zu erlangen.