LF4 · Informieren und analysieren · 5 h
LF4.2 – Rechtliche und betriebliche Sicherheitsvorgaben einordnen
Primärrecht, offizielle Fachquellen und betriebliche Sicherheitsvorgaben für den abgegrenzten Arbeitsbereich unterscheiden und nachvollziehbar dokumentieren.
Lernfeld 4 · Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen
Curriculum-Faden
Diese Teilkompetenz bauen Sie hier auf
Handlungsphase: Informieren und analysieren
Konkrete rechtliche Regelungen und betriebliche Vorgaben für den betrachteten Arbeitsbereich unterscheiden, belegbar zuordnen und ihren Sicherheitsbezug dokumentieren.
LF4.1 hat Informationssicherheit, Arbeitsbereich, Sicherheitsleitlinie und Schutzziele eingeordnet.
LF4.3 erfasst zu schützende Informationen, Anwendungen und Systeme strukturiert.
Bewusste Abgrenzung dieser Lektion
Keine allgemeine Rechtskunde; nur konkrete Regelungen mit Bezug zum Lernfall.
Curriculumquelle: KMK-Rahmenlehrplan Fachinformatiker, Lernfeld 4
Berufliche Ausgangssituation
Im fiktiven K-27 Medienbüro ist der Arbeitsbereich aus LF4.1 abgegrenzt. Für einen Teil dieses Bereichs wird eine Benutzerverwaltung eingesetzt.
Der Lernfall behandelt dort ausdrücklich personenbezogene Daten: Name, dienstliche E-Mail-Adresse, Benutzerkennung, Rollen- und Berechtigungszuordnung sowie den Kontostatus von Mitarbeitenden.
Bevor Schutzobjekte und Schutzbedarf strukturiert betrachtet werden, muss geklärt werden, welche Vorgaben für diesen konkreten Teilbereich relevant sind.
LF4.2 fragt zuerst: „Welche belegte Vorgabe gilt hier – und aus welcher Quellenebene stammt sie?“
Drei Quellenebenen sauber trennen
Primärrecht
Eine konkrete Rechtsaussage wird mit der maßgeblichen Rechtsquelle belegt. Im personenbezogenen K-27-Teilfall ist das hier die Datenschutz-Grundverordnung.
Offizielle Fachquelle
BSI-Standards können fachliche Begriffe und Methoden der Informationssicherheit unterstützen. Sie werden in SemaTrain nicht als Gesetz dargestellt.
Betriebliche Vorgabe
Die K-27-Sicherheitsleitlinie und die ergänzenden K-27-Regeln sind fiktive interne Vorgaben des Lernfalls.
Warum besteht hier ein Datenschutzbezug?
Für LF4.2 ist der Personenbezug keine Vermutung: Der Lernfall legt ausdrücklich fest, dass die Benutzerverwaltung personenbezogene Daten von Mitarbeitenden enthält.
Dadurch können konkrete Sicherheitsanforderungen der DSGVO für diesen Teilfall relevant werden. Das bedeutet jedoch nicht, dass jede Aufgabe der Informationssicherheit automatisch eine Datenschutzaufgabe ist.
Artikel 5 Absatz 1 Buchstabe f DSGVO: Integrität und Vertraulichkeit
Für personenbezogene Daten verlangt dieser Grundsatz eine Verarbeitung, bei der eine angemessene Sicherheit gewährleistet wird. Dazu gehört insbesondere Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung durch geeignete technische oder organisatorische Maßnahmen.
Für LF4.2 ist entscheidend: Die Rechtsquelle beschreibt einen Sicherheitsgrundsatz. Sie legt keine BSI-Schutzbedarfskategorie für den K-27-Arbeitsbereich fest.
Artikel 32 DSGVO: Sicherheit der Verarbeitung
Artikel 32 konkretisiert für personenbezogene Daten einen risikobezogenen Sicherheitsansatz. Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen einsetzen, um ein dem Risiko angemessenes Schutzniveau zu erreichen.
Bei der Einordnung spielen unter anderem der Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung, ihre Umstände und Zwecke sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken eine Rolle.
Welche konkrete Maßnahme im K-27-Fall sinnvoll und im eigenen Verantwortungsbereich umsetzbar ist, wird in LF4.2 noch nicht entschieden.
Was BSI-Standards in LF4 leisten
Die BSI-Standards 200-1 und 200-2 bleiben offizielle Fachquellen für Informationssicherheits- und Grundschutzmethodik.
Sie helfen dabei, Begriffe und Vorgehensweisen fachlich einzuordnen. Daraus folgt jedoch nicht, dass jede fachmethodische Empfehlung automatisch eine gesetzliche Einzelvorgabe ist.
Fiktive K-27-Vorgaben für den Arbeitsbereich
- Benutzerkonten werden einzelnen Mitarbeitenden zugeordnet.
- Rollen- und Berechtigungszuordnungen werden dokumentiert.
- Zugangsdaten dürfen nicht zwischen Mitarbeitenden geteilt werden.
- Änderungen an Berechtigungen erfolgen innerhalb definierter Zuständigkeiten.
- Nicht mehr benötigte Konten werden zur Deaktivierung an die zuständige Stelle gemeldet.
- Sicherheitsauffälligkeiten werden dokumentiert und an die zuständige betriebliche Stelle weitergegeben.
Diese Regeln sind eigenständig entwickelte, fiktive betriebliche Vorgaben des K-27-Lernfalls. Sie werden nicht als wörtliche gesetzliche Einzelanforderungen ausgegeben.
Die Vorgabenmatrix als Arbeitsergebnis
| Aussage / Vorgabe | Quellenebene | Gilt hier? | Begründung | Sicherheitsbezug | Nachweis / Fundstelle | Offener Punkt |
|---|---|---|---|---|---|---|
| Personenbezogene Daten angemessen absichern | Primärrecht | Ja | Der Lernfall enthält personenbezogene Mitarbeiterdaten. | Integrität und Vertraulichkeit; Sicherheit der Verarbeitung | Art. 5 Abs. 1 lit. f und Art. 32 DSGVO | Konkrete Maßnahmen erst später bewerten. |
| Rollen- und Berechtigungszuordnungen dokumentieren | fiktive betriebliche Vorgabe | Ja | Bestandteil der K-27-Regeln für den betrachteten Bereich. | Nachvollziehbarkeit des vorgesehenen Zugriffs | K-27-Vorgaben | Schutzbedarf noch nicht festlegen. |
| BSI-Methodik zur späteren Schutzbedarfsanalyse verwenden | offizielle Fachquelle | Methodisch relevant | LF4 führt schrittweise zur Schutzbedarfsanalyse. | methodische Vorbereitung | BSI-Standard 200-2 | Konkrete Schutzobjekte folgen in LF4.3. |
| „Jedes Konto benötigt zwingend Produkt X“ | ungeklärte Aussage | Nicht belegt | Für diese pauschale Einzelvorgabe liegt keine passende Quelle vor. | noch offen | keine | Quelle oder betriebliche Entscheidung erforderlich. |
Typische Fehlentscheidungen vermeiden
- Eine Fachquelle als Gesetz bezeichnen.
- Eine interne K-27-Regel als allgemeine gesetzliche Pflicht ausgeben.
- Aus Artikel 32 unmittelbar eine konkrete Produktentscheidung ableiten.
- Datenschutz auf Bereiche ohne personenbezogene Daten ausdehnen.
- Eine ungeprüfte Aussage nur wegen plausibler Formulierung übernehmen.
- Bereits jetzt eine finale Schutzbedarfskategorie vergeben.
PRAXISAUFGABE
Praktische Lernaufgabe
Ordnen Sie die folgenden Aussagen jeweils einer Quellenebene zu und entscheiden Sie, ob sie im K-27-Arbeitsbereich belegt gelten, nur fachliche Orientierung liefern oder noch offen sind:
- Personenbezogene Daten müssen im Lernfall angemessen gegen Sicherheitsbeeinträchtigungen geschützt werden.
- Benutzerkonten werden einzelnen Mitarbeitenden zugeordnet.
- Eine BSI-Publikation beschreibt eine fachliche Methode.
- „Für jedes Konto ist zwingend genau ein bestimmtes Produkt vorgeschrieben.“
- Änderungen an Berechtigungen erfolgen innerhalb definierter Zuständigkeiten.
Dokumentieren Sie zu jeder Aussage Quellenebene, Geltungsbezug, Begründung, Sicherheitsbezug, Fundstelle und gegebenenfalls offenen Prüfpunkt.
Selbsttest LF4.2 – Rechtliche und betriebliche Sicherheitsvorgaben
Prüfen Sie, ob Sie Primärrecht, offizielle Fachquellen und betriebliche Vorgaben im abgegrenzten K-27-Arbeitsbereich unterscheiden und ihren Sicherheitsbezug nachvollziehbar dokumentieren können.
Alle Fragen und Antwortmöglichkeiten dieses Selbsttests wurden für SemaTrain eigenständig entwickelt.
Praxisauftrag
Selbsttraining – keine Abgabe erforderlich.
Erstellen Sie für einen vollständig fiktiven Arbeitsbereich eine Vorgabenmatrix mit mindestens sechs Einträgen.
- mindestens eine belegte Rechtsquelle mit konkretem Bezug zum Lernfall,
- mindestens eine offizielle Fachquelle,
- mindestens drei klar als intern/fiktiv gekennzeichnete betriebliche Vorgaben,
- mindestens einen offenen Prüfpunkt ohne vorgetäuschten Beleg,
- zu jedem Eintrag Geltungsbereich, Begründung und Sicherheitsbezug.
Bestimmen Sie noch keine finale Schutzbedarfskategorie. Klassifizieren Sie noch keine Schadensszenarien, gewichten Sie noch keine Bedrohungen und setzen Sie noch keine technische Maßnahme um.
SELBSTKONTROLLE
Selbstkontrolle
- Kann ich Primärrecht, Fachquelle und betriebliche Vorgabe unterscheiden?
- Kann ich erklären, warum im K-27-Teilfall ein konkreter Datenschutzbezug besteht?
- Kann ich den Sicherheitsbezug von Art. 5 Abs. 1 lit. f DSGVO einordnen?
- Kann ich den risikobezogenen Ansatz von Art. 32 DSGVO erklären?
- Vermeide ich konkrete technische Rechtsvorgaben, die die Quelle nicht enthält?
- Kennzeichne ich ungeprüfte Aussagen als offen?
- Bleibt die Schutzbedarfsfeststellung für die folgenden LF4-Schritte offen?
REFLEXION
Reflexion
- Warum darf eine offizielle Fachquelle nicht automatisch als Gesetz behandelt werden?
- Warum muss eine Rechtsaussage auf den konkreten Lernfall bezogen werden?
- Warum ist eine interne Vorgabe trotz fehlenden Gesetzesstatus für den Arbeitsbereich relevant?
- Welche Gefahr entsteht, wenn ungeprüfte Aussagen als Pflicht übernommen werden?
- Welche Informationen braucht LF4.3 aus der Vorgabenmatrix?
Quellen & Einordnung
Curriculum-Grundlage:
KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4.
Primärrecht:
Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung. Für diese Lektion werden insbesondere Artikel 5 Absatz 1 Buchstabe f und Artikel 32 verwendet.
Offizielle Fachquellen:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-1 und BSI-Standard 200-2, Version 1.0, Oktober 2017.
BSI-Standard 200-1 öffnen · BSI-Standard 200-2 öffnen
Clean Room:
K-27-Fall, Vorgabenmatrix, Beispiele, Aufgaben, Quizfragen, Antwortoptionen und Lösungen wurden eigenständig für SemaTrain entwickelt. Externe Quellen dienen als Curriculum-, Rechts- beziehungsweise Fachreferenz und werden nicht als Aufgaben- oder Textvorlage übernommen.
Curriculare Abgrenzung:
LF4.2 klärt Vorgaben und Fundstellen. Schutzobjektstruktur, Schutzbedarf, Schadensklassifikation, Bedrohungsgewichtung und Maßnahmenumsetzung folgen erst in den nächsten Lernetappen.