LF4 · Entscheiden · 5 h
LF4.5 – Bedrohungen anhand der Schadensszenarien gewichten
Mögliche Bedrohungsfaktoren für Schutzobjekte nachvollziehbar gewichten, ohne numerische Risikobewertung, Pentest oder Maßnahmenauswahl vorwegzunehmen.
Lernfeld 4 · Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen
Curriculum-Faden
Diese Teilkompetenz bauen Sie hier auf
Handlungsphase: Entscheiden
Mögliche Bedrohungen beziehungsweise Bedrohungsfaktoren unter Berücksichtigung der Schadensszenarien fachlich gewichten und priorisieren.
LF4.4 hat Schadensszenarien klassifiziert und den Schutzbedarf begründet.
LF4.6 führt die geplante Schutzbedarfsanalyse durch und dokumentiert die Ergebnisse.
Bewusste Abgrenzung dieser Lektion
Gewichtung für den betrachteten Arbeitsbereich; kein Penetration Testing und keine vollständige organisationsweite Risikoanalyse.
Curriculumquelle: KMK-Rahmenlehrplan Fachinformatiker, Lernfeld 4
Berufliche Ausgangssituation
Im fiktiven K-27 Medienbüro sind die relevanten Vorgaben dokumentiert. Die Schutzobjekte wurden strukturiert erfasst und für ausgewählte Schutzziele wurden plausible Schadensszenarien sowie Schutzbedarfe begründet.
Nun muss entschieden werden, welche möglichen Bedrohungsfaktoren im betrachteten Arbeitsbereich besonders relevant sind und deshalb in der anschließenden Durchführung der Schutzbedarfsanalyse sichtbar berücksichtigt werden müssen.
Dabei geht es nicht darum, eine vollständige Risikoanalyse zu simulieren oder eine numerische Eintrittswahrscheinlichkeit zu erfinden. Ebenso werden noch keine Sicherheitsmaßnahmen ausgewählt.
Bedrohungsfaktor im curricularen Kontext
Der KMK-Kontext von LF4 verlangt, mögliche Bedrohungen beziehungsweise Bedrohungsfaktoren unter Berücksichtigung der Schadensszenarien zu gewichten. Für SemaTrain bedeutet das:
- Schutzobjekt festhalten: Welcher Informationsbestand, welche Anwendung oder welches IT-System ist betroffen?
- Schutzziel benennen: Geht es um Vertraulichkeit, Integrität oder Verfügbarkeit?
- Bedrohungsfaktor formulieren: Welche plausible Ursache oder Situation könnte das Schutzziel beeinträchtigen?
- Schadensbezug herstellen: Welches bereits begründete Schadensszenario aus LF4.4 wäre betroffen?
- Relevanz begründen: Welche betrieblichen Bedingungen, Abhängigkeiten oder Nachweise sprechen für die Gewichtung?
Die Formulierung bleibt auf der Ebene der fachlichen Analyse. LF4.5 ist kein Penetrationstest und enthält keine Anleitung zum Ausnutzen von Schwachstellen.
Bedrohung und BSI-Gefährdung sichtbar unterscheiden
Im Lernfeld wird curricular mit möglichen Bedrohungen beziehungsweise Bedrohungsfaktoren gearbeitet. BSI-Standard 200-3 verwendet im Kontext seiner Risikoanalyse insbesondere den Begriff Gefährdungen.
Diese Begriffe stehen in einem fachlichen Zusammenhang, werden in LF4.5 aber nicht als vollständig identische Fachbegriffe ausgegeben. Der curriculare Bedrohungsbegriff bleibt die Leitformulierung; BSI 200-3 dient als offizielle Fachquelle für die Einordnung des Gefährdungs- und Risikoanalyse-Kontexts.
Eine qualitative SemaTrain-Arbeitsskala
Für LF4.5 wird eine bewusst einfache qualitative SemaTrain-Arbeitsskala verwendet. Sie unterstützt die Entscheidung, welche Bedrohungsfaktoren im betrachteten K-27-Arbeitsbereich stärker oder schwächer zu berücksichtigen sind.
| Gewichtung | Didaktische Arbeitsregel | Begründungsfrage |
|---|---|---|
| niedrig | Der Bedrohungsfaktor ist für das konkrete Schutzobjekt derzeit nur indirekt oder schwach belegt und besitzt im abgegrenzten Arbeitsbereich eine geringe erkennbare Relevanz. | Welche konkreten Bedingungen begrenzen die Relevanz? |
| mittel | Der Bedrohungsfaktor ist für das Schutzobjekt plausibel und im Arbeitsbereich relevant, ohne dass die dokumentierten Bedingungen eine besonders starke Priorisierung begründen. | Welche dokumentierten Bedingungen machen ihn relevant? |
| hoch | Der Bedrohungsfaktor besitzt einen direkten und gut begründeten Bezug zum Schutzobjekt, Schutzziel und bereits dokumentierten Schadensszenario und muss deshalb in der weiteren Analyse besonders berücksichtigt werden. | Welche konkreten Nachweise und Abhängigkeiten rechtfertigen die hohe Relevanz? |
Niedrig, mittel und hoch sind in LF4.5 ausschließlich eine SemaTrain-Arbeitsskala. Sie sind keine BSI-Risikokategorien und keine numerischen Wahrscheinlichkeiten.
Gewichten heißt begründen – nicht raten
Eine belastbare Gewichtung entsteht nicht aus dem Klang eines Bedrohungsbegriffs. Sie muss am konkreten Arbeitsbereich nachvollziehbar sein.
- Schutzobjekt: Ist der Bedrohungsfaktor für dieses Objekt überhaupt passend?
- Schutzziel: Welche konkrete Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit steht im Mittelpunkt?
- Schadensszenario: Welcher in LF4.4 begründete Schaden wäre betroffen?
- Abhängigkeiten: Welche Anwendungen, Systeme oder Arbeitsabläufe hängen davon ab?
- Vorgaben: Welche dokumentierten betrieblichen oder rechtlichen Vorgaben sind für den Sachverhalt relevant?
- Nachweis: Welche bekannte betriebliche Bedingung stützt die Gewichtung?
- Offener Punkt: Welche Information fehlt noch für eine belastbare Entscheidung?
Fehlt eine wesentliche Information, wird nicht geraten. Der Punkt bleibt sichtbar offen.
Beispiele aus dem K-27-Arbeitsbereich
| Schutzobjekt | Schutzziel | Bedrohungsfaktor | Bezug zu LF4.4 | Gewichtungsrichtung |
|---|---|---|---|---|
| I-01 Rollen-/Berechtigungszuordnungen | Vertraulichkeit | Unbeabsichtigte oder unberechtigte Einsichtnahme durch fehlerhafte Zuordnung oder Weitergabe | Unbefugter Einblick in interne Rechtezuordnungen und gegebenenfalls personenbezogene Kontoinformationen | an tatsächlichem Zugriffskontext, Zuständigkeiten und vorhandenen Vorgaben begründen |
| A-01 Benutzerverwaltung | Integrität | Fehlerhafte Änderung von Rollen oder Kontostatus durch Fehlbedienung oder unzulässige Änderung | Falsche Rechte können Arbeitsabläufe und Zuständigkeiten beeinträchtigen | an Rollenmodell, Änderungsprozess und betrieblicher Relevanz begründen |
| S-02 Anwendungsserver | Verfügbarkeit | Betriebsstörung oder fehlerhafte Konfiguration führt zur Nichtverfügbarkeit der Anwendung | Benutzerverwaltung ist zeitweise nicht nutzbar | an Abhängigkeiten, tolerierbarer Unterbrechung und Überbrückungsmöglichkeiten begründen |
Die Beispiele beschreiben mögliche Analysegegenstände. Sie enthalten keine technischen Angriffsanleitungen und keine Aussage darüber, dass ein bestimmter Vorfall eintreten wird.
Schutzbedarf aus LF4.4 bleibt Referenz
LF4.5 ersetzt die Schutzbedarfsbegründung nicht. Der in LF4.4 begründete Schutzbedarf wird als bereits dokumentierte Information übernommen.
Ein hoher Schutzbedarf bedeutet dabei nicht automatisch, dass jeder denkbare Bedrohungsfaktor ebenfalls hoch gewichtet werden muss. Umgekehrt darf ein plausibler Bedrohungsfaktor nicht allein deshalb niedrig bewertet werden, weil bereits eine Sicherheitsmaßnahme vorhanden ist.
Was LF4.5 ausdrücklich noch nicht tut
- keine numerische Eintrittswahrscheinlichkeit berechnen,
- keinen Risikoscore bilden,
- keine vollständige Risikomatrix erstellen,
- keine BSI-Risikokategorie als LF4.5-Ergebnis vergeben,
- keine Maßnahmenauswahl oder Maßnahmenpriorisierung vornehmen,
- keine Risikobehandlung festlegen,
- keinen Pentest durchführen,
- keine Schwachstelle praktisch ausnutzen,
- keine vollständige BSI-200-3-Risikoanalyse durchführen.
Diese Grenzen verhindern, dass LF4.5 spätere Analyse-, Durchführungs- und Handlungsschritte vorwegnimmt.
Bedrohungsgewichtungsmatrix
| Schutzobjekt-ID | Schutzobjekt | Schutzziel | Bedrohungsfaktor | Schadensszenario | Schutzbedarf aus LF4.4 | Relevanzgewichtung | Begründung | Nachweis / Vorgabe | Offener Punkt |
|---|---|---|---|---|---|---|---|---|---|
| I-01 | Rollen-/Berechtigungszuordnungen | Vertraulichkeit | Fehlerhafte Zuordnung oder unzulässige Weitergabe ermöglicht Einsicht | Unbefugter Einblick in Rechtezuordnungen | aus LF4.4 übernehmen | niedrig / mittel / hoch begründen | Zugriffskontext, Rollen und betriebliche Bedingungen dokumentieren | LF4.2-Vorgaben; LF4.3-Abhängigkeiten | Umfang möglicher Einsicht prüfen |
| A-01 | Benutzerverwaltung | Integrität | Fehlerhafte oder unzulässige Änderung von Rollen oder Kontostatus | Falsche Rechte beeinträchtigen Arbeitsabläufe | aus LF4.4 übernehmen | niedrig / mittel / hoch begründen | Änderungsprozess und Zuständigkeiten einbeziehen | K-27-Vorgaben | Ausmaß betroffener Konten klären |
| S-02 | Anwendungsserver | Verfügbarkeit | Betriebsstörung oder Fehlkonfiguration | Benutzerverwaltung zeitweise nicht nutzbar | aus LF4.4 übernehmen | niedrig / mittel / hoch begründen | Abhängigkeiten und Überbrückungsmöglichkeiten berücksichtigen | Schutzobjektliste LF4.3 | betriebliche Störungsdaten fehlen |
Typische Fehlentscheidungen vermeiden
- „hoch, weil es gefährlich klingt“ ohne Bezug zum Arbeitsbereich.
- Niedrig, mittel und hoch als angebliche BSI-Risikokategorien darstellen.
- Bedrohung und BSI-Gefährdung ohne Erklärung als exakt identische Begriffe behandeln.
- Eine numerische Eintrittswahrscheinlichkeit erfinden, obwohl dafür keine belastbaren Daten vorliegen.
- Aus der Relevanzgewichtung direkt ein Produkt oder eine technische Maßnahme ableiten.
- Einen bereits hohen Schutzbedarf automatisch auf jeden denkbaren Bedrohungsfaktor übertragen.
- Offene Informationen verschweigen, statt sie als offenen Punkt zu dokumentieren.
PRAXISAUFGABE
Praktische Lernaufgabe
Nutzen Sie die Schutzobjekte I-01, A-01 und S-02 aus dem K-27-Fall.
- Wählen Sie je Schutzobjekt ein relevantes Schutzziel.
- Übernehmen Sie das passende Schadensszenario und den begründeten Schutzbedarf aus LF4.4.
- Formulieren Sie einen plausiblen Bedrohungsfaktor.
- Ordnen Sie niedrig, mittel oder hoch als SemaTrain-Relevanzgewichtung zu.
- Begründen Sie die Gewichtung in ein bis drei Sätzen.
- Nennen Sie den verwendeten Nachweis beziehungsweise die betriebliche Vorgabe.
- Kennzeichnen Sie fehlende Informationen als offenen Punkt.
Nicht durchführen: numerische Eintrittswahrscheinlichkeit berechnen, Risikoscore bilden, BSI-Risikokategorie vergeben, Pentest durchführen oder Maßnahmen auswählen.
Selbsttest LF4.5 – Bedrohungen anhand der Schadensszenarien gewichten
Prüfen Sie, ob Sie mögliche Bedrohungsfaktoren Schutzobjekten und Schutzzielen zuordnen, den Bezug zu begründeten Schadensszenarien herstellen und ihre Relevanz qualitativ gewichten können – ohne daraus bereits einen numerischen Risikoscore oder Maßnahmen abzuleiten.
Alle Fragen und Antwortmöglichkeiten dieses Selbsttests wurden für SemaTrain eigenständig entwickelt.
Praxisauftrag
Selbsttraining – keine Abgabe erforderlich.
Erstellen Sie für mindestens sechs Schutzobjekt-/Schutzziel-Kombinationen eines vollständig fiktiven Arbeitsbereichs eine Bedrohungsgewichtungsmatrix.
- Verwenden Sie eindeutige Schutzobjekt-IDs.
- Übernehmen Sie ein begründetes Schadensszenario und den Schutzbedarf aus einer vorherigen Schutzbedarfsbegründung.
- Formulieren Sie pro Zeile einen plausiblen Bedrohungsfaktor.
- Vergeben Sie niedrig, mittel oder hoch nur als ausdrücklich didaktische Relevanzgewichtung.
- Begründen Sie jede Gewichtung mit konkreten Bedingungen des Arbeitsbereichs.
- Dokumentieren Sie vorhandene Vorgaben oder Nachweise.
- Markieren Sie fehlende Informationen als offenen Punkt.
Ergänzen Sie ausdrücklich keine numerische Eintrittswahrscheinlichkeit, keinen Risikoscore, keine BSI-Risikokategorie und keine Maßnahme.
SELBSTKONTROLLE
Selbstkontrolle
- Kann ich einen Bedrohungsfaktor eindeutig mit Schutzobjekt und Schutzziel verbinden?
- Kann ich den Bezug zu einem bereits begründeten Schadensszenario herstellen?
- Kann ich erklären, warum niedrig, mittel und hoch hier eine SemaTrain-Arbeitsskala und keine BSI-Risikokategorie sind?
- Kann ich zwischen curricularer Bedrohung und dem BSI-Gefährdungsbegriff unterscheiden?
- Kann ich eine Gewichtung mit betrieblichen Bedingungen und Nachweisen begründen?
- Kann ich offene Informationen sichtbar dokumentieren, statt sie durch Annahmen zu ersetzen?
- Bleiben numerische Wahrscheinlichkeit, Risikoscore, Pentest und Maßnahmenauswahl außerhalb dieser Lernetappe?
REFLEXION
Reflexion
- Welche betriebliche Information hat Ihre Relevanzgewichtung am stärksten beeinflusst?
- Bei welchem Bedrohungsfaktor wäre eine Gewichtung ohne zusätzliche Information noch nicht belastbar?
- Wo könnte ein hoher Schutzbedarf trotzdem mit einer nur mittleren Bedrohungsrelevanz zusammentreffen?
- Wie vermeiden Sie, dass die SemaTrain-Arbeitsskala mit einer formalen Risikobewertung verwechselt wird?
- Welche gewichteten Bedrohungsfaktoren müssen in LF4.6 bei der Durchführung und Dokumentation besonders nachvollziehbar berücksichtigt werden?
Quellen & Einordnung
Curriculum-Grundlage:
KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4.
Offizielle Fachquelle – Methodik:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-2, Version 1.0, Oktober 2017. Die Quelle bleibt als methodische Fachorientierung für Schutzbedarf und Schadensszenarien relevant.
Offizielle Fachquelle – Risikoanalyse-Kontext:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-3, Version 1.0, Oktober 2017. Die Quelle dient in LF4.5 zur fachlichen Einordnung von Gefährdungen und des Risikoanalyse-Kontexts. Die vollständige BSI-200-3-Risikoanalyse wird nicht als Prozessmodell dieser Lernetappe übernommen.
Rechtsbezug:
LF4.5 führt keine neue Rechtsquelle ein. Bereits dokumentierte konkrete Rechtsbezüge aus LF4.2 werden nur dort weitergeführt, wo sie für den betrachteten Schutzgegenstand tatsächlich relevant sind.
Clean Room:
K-27-Fall, SemaTrain-Arbeitsskala, Bedrohungsgewichtungsmatrix, Beispiele, Aufgaben, Quizfragen, Antwortoptionen und Lösungen wurden eigenständig für SemaTrain entwickelt. Externe Quellen dienen nur als Curriculum-, Rechts- beziehungsweise Fachreferenz.
Curriculare Abgrenzung:
LF4.5 gewichtet Bedrohungsfaktoren qualitativ. Numerische Eintrittswahrscheinlichkeit, Risikoscore, BSI-Risikokategorien, Pentest, Maßnahmenauswahl und vollständige BSI-200-3-Risikoanalyse werden nicht vorgezogen.