# embedding_metadata

key: _node_content
string_value:
{"id_": "d028d17f-e180-4639-9d45-a00509aff21e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "78a54ca0-ce9a-4220-8bed-6c2e685fb615", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c6e917f93980d0bf28fe615c7078b6ccb436c425bb09a8df171a87ece8b020c8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 50, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "213fcbb7-4906-4e2a-91bb-c1a4384d439a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a9cc4220-b40a-4af5-8209-1f4154aeedd6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d620feb6736bb72c5e7e0e4058d7c93c6a2cda40302764b7bc0e4a7e8d371046", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 38, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "f69ba7cf-e666-42ad-9b02-488ed17db4aa", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9c86dace-af9a-4004-aa15-12951353951d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "59b943fffd7fed0c649d931649c2054f625981e3acf76d5ba46773d2f2748364", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 46, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "2924a307-71d1-4330-846a-7ff42c9dcf6f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "fe07daca-5e79-49ba-93fb-6fd89ea5d125", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b5cdfe00d86eddce1af0f170950502b1d7ce620e8158dfb83ef1ce6664e31574", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 41, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "58ea2e7e-b3a2-402e-9920-b2e40ee2e54c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9d2e72f1-995f-436b-be09-eb5f41633830", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ea3aca055bebee7360fb8de45dc8d2578af6e2baf2a36ee5ccfbbc74b02e0136", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 54, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "e63cc70a-be61-4df3-8d23-8dc44228388d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d2f7b199-499d-44d5-ab9f-bcf47042dea4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "116f873c9fdb94968ce4f9a6b652aec8059bc9a9b814323157f377409d2399ad", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 12, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "b6f48326-c603-4011-a950-564d45cf31d1", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6d9e1d9f-6a02-492e-9869-597c166f35a6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "2f7711b6c1f80f6d1d0a61e5db75303273286a57696f7833aee6ab22a6fd079a", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 763, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
1.1 Versionshistorie

Der BSI-Standard 200-3 löst den BSI-Standard 100-3 ab.

|Stand|Version|Änderungen|
|---|---|---|
|Oktober 2016|CD 1.0|Neukonzeption basierend auf BSI-Standard 100-3 • Risikoanalyse auf die elementaren Gefährdungen umgestellt • Einführung Matrix-Ansatz zur Bewertung von Risiken • Einführung Risikoappetit und Chancenmanagement|
|Oktober 2017|1.0|Einarbeitung Anwenderkommentare • Begriffe „Eintrittswahrscheinlichkeit“ und „Handlungsalternativen“ durch „Eintrittshäufigkeit“ bzw. „Handlungsoptionen“ ersetzt • Gegenüberstellung von Begriffen aus ISO/IEC 31000 und dem BSI-Standard 200-3 • Kapitel Risikoeinstufung unterteilt in Risikoeinschätzung und Risikobewertung • Ziel des Dokuments auf die Darstellung der Risikoanalyse konzentriert|


key: _node_content
string_value:
{"id_": "7c4fb818-15c8-44bd-80ab-321ebe73cfd6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2989d79d-e9e5-4f75-a5c2-0c238b4e6bf8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "90826e4c51cb9b5e2002857fb131e4a7be3483c224dbd41d21cd7da6b94104d7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1166, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
1.2 Zielsetzung

Mit dem BSI-Standard 200-3 stellt das BSI ein leicht anzuwendendes und anerkanntes Vorgehen zur Verfügung, mit dem Institutionen ihre Informationssicherheitsrisiken angemessen und zielgerichtet steuern können. Das Vorgehen basiert auf den elementaren Gefährdungen, die im IT-Grundschutz-Kompendium beschrieben sind und auf deren Basis auch die IT-Grundschutz-Bausteine erstellt werden.

In der Vorgehensweise nach IT-Grundschutz wird bei der Erstellung der IT-Grundschutz-Bausteine implizit eine Risikobewertung für Bereiche mit normalem Schutzbedarf vom BSI durchgeführt. Hierbei werden nur solche Gefährdungen betrachtet, die eine so hohe Eintrittshäufigkeit oder so einschneidende Auswirkungen haben, dass Sicherheitsmaßnahmen ergriffen werden müssen. Typische Gefährdungen, gegen die sich jeder schützen muss, sind z. B. Schäden durch Feuer, Wasser, Einbrecher, Schadsoftware oder Hardware-Defekte. Dieser Ansatz hat den Vorteil, dass Anwender des IT-Grundschutzes für einen Großteil des Informationsverbundes keine individuelle Bedrohungs- und Schwachstellenanalyse durchführen müssen, weil diese bereits vorab vom BSI durchgeführt wurde.
---


key: _node_content
string_value:
{"id_": "8f1dc730-8ac6-4398-85b1-ad8c303cb525", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f51aa954-b79f-47aa-b047-d12b852a4bff", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "2d1715f3456ef85b691b7cef3e06205d6da20fa4d928579bbf716dde87f748dc", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2367, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
1.3 Abgrenzung, Begriffe und Einordnung in den IT-Grundschutz

In bestimmten Fällen muss jedoch explizit eine Risikoanalyse durchgeführt werden, beispielsweise wenn der betrachtete Informationsverbund Zielobjekte enthält, die

- einen hohen oder sehr hohen Schutzbedarf in mindestens einem der drei Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit haben oder
- mit den existierenden Bausteinen des IT-Grundschutzes nicht hinreichend abgebildet (modelliert) werden können oder
- in Einsatzszenarien (Umgebung, Anwendung) betrieben werden, die im Rahmen des IT-Grundschutzes nicht vorgesehen sind.

In diesen Fällen stellen sich folgende Fragen:

- Welchen Gefährdungen für Informationen ist durch die Umsetzung der relevanten IT-Grundschutz-Bausteine noch nicht ausreichend oder sogar noch gar nicht Rechnung getragen?
- Müssen eventuell ergänzende Sicherheitsmaßnahmen, die über das IT-Grundschutz-Modell hinausgehen, eingeplant und umgesetzt werden?

Das vorliegende Dokument beschreibt, wie für bestimmte Zielobjekte festgestellt werden kann, ob und in welcher Hinsicht über den IT-Grundschutz hinaus Handlungsbedarf besteht, um Informationssicherheitsrisiken zu reduzieren. Hierzu werden Risiken, die von elementaren Gefährdungen ausgehen, eingeschätzt und anhand einer Matrix bewertet. Die Einschätzung erfolgt über die zu erwartende Häufigkeit des Eintretens und die Höhe des Schadens, der bei Eintritt des Schadensereignisses entsteht. Aus diesen beiden Anteilen ergibt sich das Risiko.

Im vorliegenden BSI-Standard 200-3 ist die Risikoanalyse zweistufig angelegt. In einem ersten Schritt wird die in Kapitel 4 erstellte Gefährdungsübersicht systematisch abgearbeitet. Dabei wird für jedes Zielobjekt und jede Gefährdung eine Bewertung unter der Annahme vorgenommen, dass bereits Sicherheitsmaßnahmen umgesetzt oder geplant worden sind (siehe Beispiele in Kapitel 5). In der Regel wird es sich hierbei um Sicherheitsmaßnahmen handeln, die aus den Basis- und Standard-Anforderungen des IT-Grundschutz-Kompendiums abgeleitet worden sind. An die erste Bewertung schließt sich eine erneute Bewertung an, bei der die Sicherheitsmaßnahmen zur Risikobehandlung betrachtet werden (siehe Beispiele in Kapitel 6). Durch einen Vorher-Nachher-Vergleich lässt sich die Wirksamkeit der Sicherheitsmaßnahmen prüfen, die zur Risikobehandlung eingesetzt worden sind.


key: _node_content
string_value:
{"id_": "dfc48af5-2dd9-448d-962b-5ef9b3f9c0f9", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "11a90ce7-5120-4581-a436-a84cddf6e13b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "7b8fd061b3bc535b4e465b2f9bf7b31e6af84c77370f40ef028c3ad540d4ae70", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 392, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Risikoanalyse

Als Risikoanalyse wird in diesem Werk der komplette Prozess bezeichnet, um Risiken zu beurteilen (identifizieren, einschätzen und bewerten) sowie zu behandeln. Risikoanalyse bezeichnet aber nach den einschlägigen ISO-Normen ISO 31000 (siehe [31000]) und ISO 27005 (siehe [27005]) nur einen Schritt im Rahmen der Risikobeurteilung, die aus den folgenden Schritten besteht:
---


key: _node_content
string_value:
{"id_": "18cb1cda-2f0a-4ad8-be16-b9e4229573e7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d817481f-1d0d-4839-99c0-3c6760fa30d3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "aae876d7d18cdcaf406b6e18daed6eb63243bd4014d86d39e7bfe0214e2fc4dc", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1793, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
1 Einleitung

- Identifikation von Risiken (Risk Identification)
- Analyse von Risiken (Risk Analysis)
- Evaluation oder Bewertung von Risiken (Risk Evaluation)

Im deutschen Sprachgebrauch hat sich allerdings der Begriff „Risikoanalyse“ für den kompletten Prozess der Risikobeurteilung und Risikobehandlung etabliert. Daher wird im IT-Grundschutz und auch in diesem Dokument weiter der Begriff „Risikoanalyse“ für den umfassenden Prozess benutzt.

Die Risikoanalyse nach BSI-Standard 200-3 sieht folgende Schritte vor (siehe auch Abbildung 1), die in den jeweiligen Kapiteln ausführlicher betrachtet werden.

- Schritt 1: Erstellung einer Gefährdungsübersicht (siehe Kapitel 4)
- Zusammenstellung einer Liste von möglichen elementaren Gefährdungen
- Ermittlung zusätzlicher Gefährdungen, die über die elementaren Gefährdungen hinausgehen und sich aus dem spezifischen Einsatzszenario ergeben
- Schritt 2: Risikoeinstufung (siehe Kapitel 5)
- Risikoeinschätzung (Ermittlung von Eintrittshäufigkeit und Schadenshöhe)
- Risikobewertung (Ermittlung der Risikokategorie)
- Schritt 3: Risikobehandlung (siehe Kapitel 6)
- Risikovermeidung
- Risikoreduktion (Ermittlung von Sicherheitsmaßnahmen)
- Risikotransfer
- Risikoakzeptanz
- Schritt 4: Konsolidierung des Sicherheitskonzepts (siehe Kapitel 7)
- Integration der aufgrund der Risikoanalyse identifizierten zusätzlichen Maßnahmen in das Sicherheitskonzept

Initiierung des Sicherheitsprozesses

Strukturanalyse

Schutzbedarfsfeststellung

BSI-Standard 200-3

Modellierung Gefährdungsübersicht

IT-Grundschutz

KCSkoanalyse Einstufung von Risiken

Einschätzung von Risiken

IT-Grundschutz-Check Bewertung von Risiken

Realisierung Behandlung von Risiken

Konsolidierung

Abbildung 1: Integration der Risikoanalyse in den Sicherheitsprozess
---


key: _node_content
string_value:
{"id_": "2742f2a5-8300-407d-8313-8b99ca62a081", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "df3fab1a-fd71-4d12-b5f8-c2b1440ae00d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c8552ae900a63b526c55b11f68379974bc0836c37286acdea34469b4a3d80714", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 783, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
1.4 Adressatenkreis

Dieses Dokument richtet sich an Sicherheitsverantwortliche, -beauftragte, -experten, -berater und
alle Interessierten, die mit dem Management von oder der Durchführung von Risikoanalysen für die
Informationssicherheit betraut sind. Dieser Standard bietet sich an, wenn Unternehmen oder Behörden
bereits erfolgreich mit der IT-Grundschutz-Methodik gemäß BSI-Standard 200-2 (siehe [BSI2]) arbeiten
und möglichst direkt eine Risikoanalyse an die IT-Grundschutz-Analyse anschließen möchten. Abhängig
von den Rahmenbedingungen einer Institution und der Art des Informationsverbunds kann es jedoch
zweckmäßig sein, alternativ zum BSI-Standard 200-3 ein anderes etabliertes Verfahren oder eine
angepasste Methodik für die Analyse von Informationsrisiken zu verwenden.


key: _node_content
string_value:
{"id_": "26c1f5c0-f0ec-44ed-be1c-08f609d8354d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2121d14d-be1b-451e-b3cc-0654683fed10", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c1356846496fd7f38de0fc59eceff7b596510c008d0187a8eefeceb0b400a388", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 914, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
1.5 Anwendungsweise

Dieses Dokument beschreibt eine Methodik zur Analyse von Risiken. Diese kann benutzt werden, um
ein IT-Grundschutz-Sicherheitskonzept zu ergänzen. Dabei wird die im IT-Grundschutz-Kompendium
enthaltene Liste von elementaren Gefährdungen als Hilfsmittel verwendet. Es wird empfohlen, die in
den Kapiteln 2 bis 8 dargestellte Methodik Schritt für Schritt durchzuarbeiten. Im BSI-Standard
100-4 Notfallmanagement (siehe [BSI4]) ist für besonders kritische Ressourcen der Geschäftsprozesse
der Institution ebenfalls eine Risikoanalyse vorgesehen, die sich von der hier beschriebenen nur in
einigen Begriffen unterscheidet. Beide Risikoanalysen können effizient aufeinander abgestimmt werden.
Es ist sinnvoll, dass sich alle Rollen in einer Institution, die sich mit Risikomanagement für einen
spezifischen Bereich beschäftigen, miteinander abstimmen und vergleichbare Vorgehensweisen wählen.
---


key: _node_content
string_value:
{"id_": "83359210-e40a-4f56-9f51-2b22e516f4d4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f42a5df8-fb18-4ccb-8c8c-0c285fa79555", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c1f869557941500f2e2da29538869213e900709e1c2151916456b210d0895fff", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3321, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
2 Vorarbeiten zur Risikoanalyse

Bevor die eigentliche Risikoanalyse beginnt, sollten folgende Vorarbeiten abgeschlossen sein, die in der IT-Grundschutz-Methodik gemäß BSI-Standard 200-2 beschrieben sind:

- Es muss ein systematischer Informationssicherheitsprozess initiiert worden sein. Dieser dient dazu, die Aktivitäten im Bereich der Informationssicherheit strukturiert abzuarbeiten. Beispielsweise müssen geeignete Rollen und Aufgaben definiert werden.
- Gemäß Kapitel 3.3 der IT-Grundschutz-Methodik muss ein Geltungsbereich für die Sicherheitskonzeption definiert worden sein. Dieser Geltungsbereich wird im Folgenden als Informationsverbund bezeichnet.
- Für den Informationsverbund sollte eine Strukturanalyse gemäß Kapitel 8.1 der IT-Grundschutz-Methodik durchgeführt worden sein. Dadurch werden die wichtigsten Informationen über den Informationsverbund ermittelt, z. B. Geschäftsprozesse, der Netzplan sowie eine Liste der wichtigsten Anwendungen mit Abhängigkeit von den IT-Systemen.
- Anschließend sollte eine Schutzbedarfsfeststellung gemäß Kapitel 8.2 der IT-Grundschutz-Methodik durchgeführt worden sein. Als Ergebnis liegen der Schutzbedarf der Geschäftsprozesse, Anwendungen, IT-Systeme, genutzten Räume sowie eine Liste der kritischen Kommunikationsverbindungen vor. Der Schutzbedarf bezieht sich jeweils auf die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit und wird nach IT-Grundschutz normalerweise in den Stufen normal, hoch und sehr hoch festgelegt.
- Es sollte eine Modellierung gemäß Kapitel 8.3 der IT-Grundschutz-Methodik und Kapitel 2 des IT-Grundschutz-Kompendiums durchgeführt worden sein. Dabei wird für jedes Zielobjekt im Informationsverbund festgelegt, ob es passende IT-Grundschutz-Bausteine gibt und wie diese anzuwenden sind. Die in den einzelnen Bausteinen genannten Sicherheitsanforderungen und die daraus abgeleiteten Sicherheitsmaßnahmen bilden die Basis für das IT-Grundschutz-Sicherheitskonzept des betrachteten Informationsverbundes.
- Es sollte vor der Risikoanalyse ein IT-Grundschutz-Check gemäß Kapitel 8.4 der IT-Grundschutz-Methodik durchgeführt werden. Dadurch wird festgestellt, welche Basis- und Standard-Sicherheitsanforderungen für den vorliegenden Informationsverbund bereits erfüllt sind und wo noch Defizite bestehen.

Als Ergebnis der Vorarbeiten liegt eine Liste der Zielobjekte vor, für die eine Risikoanalyse durchgeführt werden sollte („betrachtete Zielobjekte“). Damit diese Aufgabe mit vertretbarem Aufwand geleistet werden kann, ist es wichtig, dass die Zielobjekte – gemäß IT-Grundschutz-Vorgehensweise – sinnvoll zu Gruppen zusammengefasst worden sind.

Falls trotz Gruppenbildung viele Zielobjekte einer Risikoanalyse unterzogen werden müssen, sollte eine geeignete Priorisierung vorgenommen werden:

- Falls für den IT-Grundschutz die Vorgehensweise „Standard-Absicherung“ gewählt wurde, sollten vorrangig die übergeordneten Zielobjekte bearbeitet werden (insbesondere Geschäftsprozesse, Teilverbünde und gesamter Informationsverbund). Aus diesen Arbeiten ergeben sich oft wertvolle Anhaltspunkte für die Risikoanalysen der untergeordneten technischen Zielobjekte.
- Falls für den IT-Grundschutz die Vorgehensweise „Kern-Absicherung“ gewählt wurde, sollten vorrangig die Zielobjekte mit dem höchsten Schutzbedarf bearbeitet werden.
---


key: _node_content
string_value:
{"id_": "3362c36f-ed0c-47f7-85dd-37c087b4949f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "40d6d56d-7162-46a8-bf3d-20c22a259b3b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1a4b75a6724c9f16695a8b0d68e14073d1261daa2223a0a8e2a7da3f3e97d06d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3070, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
2 Vorarbeiten zur Risikoanalyse

Falls für den IT-Grundschutz die Vorgehensweise „Basis-Absicherung“ gewählt wurde, werden zunächst keine Risikoanalysen durchgeführt, sondern es werden als erstes nur die Basis-Anforderungen umgesetzt. Von der hier beschriebenen Vorgehensweise kann abgewichen werden. Unter Umständen bietet es sich an, eine Risikoanalyse erst nach Erfüllung der IT-Grundschutz-Anforderungen durchzuführen. Dies kann beispielsweise bei Zielobjekten sinnvoll sein, die bereits im Einsatz sind und die hinreichend durch IT-Grundschutz-Bausteine dargestellt werden können. Als Entscheidungshilfe dazu, nach welchem Schritt eine Risikoanalyse sinnvoll ist, findet sich eine Zusammenstellung der Vor- und Nachteile der möglichen Zeitpunkte in Kapitel 8.5 der IT-Grundschutz-Methodik (siehe [BSI2]).

Hinweis: Bei den betrachteten Zielobjekten muss es sich nicht zwangsläufig um systemorientierte Zielobjekte (z. B. Anwendungen, IT-Systeme oder -Räume) handeln. Vielmehr kann die Risikoanalyse auch auf Geschäftsprozessebene durchgeführt werden.

Zu den Vorarbeiten gehört auch, dass die Grundvoraussetzungen für die Risikoanalyse von der Institutionsleitung vorgegeben werden. Hierzu muss die Leitungsebene eine Richtlinie zum Umgang mit Risiken verabschieden. Diese sollte unter anderem folgende Aspekte umfassen:

- Unter welchen Voraussetzungen muss in jedem Fall eine Risikoanalyse durchgeführt werden?
- Welche Methodik beziehungsweise welcher Standard wird dazu eingesetzt, um die Risiken zu identifizieren, einzuschätzen, zu bewerten und zu behandeln?
- Wie wird die gewählte Methodik auf die speziellen Belange der Institution angepasst?
- Was sind die Risikoakzeptanzkriterien?
- Welche Organisationseinheiten sind für welche Teilaufgaben der Risikoanalyse verantwortlich? Sind Risiken den jeweiligen Risikoeigentümern zugeordnet?
- Auf welche Weise werden Risikoanalysen in den Sicherheitsprozess integriert, geschieht dies beispielsweise vor oder nach Umsetzung der IT-Grundschutz-Anforderungen?
- Welche Berichtspflichten bestehen im Rahmen von Risikoanalysen?
- In welchem Zeitrahmen muss die Risikoanalyse vollständig aktualisiert werden?

Da die Risikoakzeptanzkriterien einer Institution in entscheidendem Maße von deren Risikoneigung (Risikoappetit) abhängen, kann es sinnvoll sein, auch die Risikoneigung (siehe Kapitel 9) in der Richtlinie zu beschreiben. Möglicherweise ist sich eine Institution ihrer eigenen Risikoneigung nicht bewusst oder hat ungenaue Vorstellungen von diesem Begriff. In diesem Fall sollte die Leitungsebene eine Klärung und Entscheidung herbeiführen, gegebenenfalls sollte die Institution hierfür auf externe Experten zurückgreifen.

Die in der Richtlinie zur Risikoanalyse beschriebenen Vorgaben der Leitungsebene müssen konsequent umgesetzt werden, wenn Risiken bewertet und behandelt werden. Zweifelsfälle können auftreten, beispielsweise wenn es bei einem bestimmten Risiko nicht sinnvoll erscheint, die festgelegte Risikoneigung anzuwenden. Solche Ausnahmefälle sollten abgestimmt und dokumentiert werden.
---


key: _node_content
string_value:
{"id_": "11d6825e-66db-4083-b8d6-42778a9b48fb", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ce11f7a5-ba0f-4bf4-912f-dbfeddaba126", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "78fa8aa31cfcad6d723613f0c5def78f5be92deb7a97d02f9439414607fc956a", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 569, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Vorarbeiten zur Risikoanalyse

Die Richtlinie zur Risikoanalyse sollte gemäß den Vorgaben des Informationssicherheits-managementsystems (siehe BSI-Standard 200-2 IT-Grundschutz Methodik [BSI2]) erstellt werden. Sie muss in regelmäßigen Abständen oder anlassbezogen auf ihre Aktualität hin überprüft und gegebenenfalls orientiert an den Zielen der Institution angepasst werden. Insbesondere sollte auch die eingesetzte Vorgehensweise zur Risikoanalyse regelmäßig überprüft werden. Die Richtlinie zur Risikoanalyse muss durch die Institutionsleitung freigegeben werden.


key: _node_content
string_value:
{"id_": "8d6de542-a5b1-4d1d-9f0f-e1ec855dd9f8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4f29ae08-1f1a-4739-b427-6bf99c6d643b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4cda4360c36d5a6c5a35d257d4cff648a3c1a9ce461e1cc0239efe561ffb2bae", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1941, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel 1:

Im Folgenden wird anhand einer fiktiven Institution, der RECPLAST GmbH, beispielhaft dargestellt, wie Risiken eingeschätzt, bewertet und behandelt werden können. Zu beachten ist, dass die Struktur der RECPLAST GmbH im Hinblick auf Informationssicherheit keineswegs optimal ist. Sie dient lediglich dazu, die Vorgehensweise bei der Durchführung von Risikoanalysen zu illustrie ren.

Die RECPLAST GmbH ist eine fiktive Institution mit ca. 500 Mitarbeitern, von denen 130 an Bildschirmarbeitsplätzen arbeiten. Räumlich ist die RECPLAST GmbH aufgeteilt in zwei Standorte innerhalb Bonns, wo unter anderem die administrativen und produzierenden Aufgaben wahrgenommen werden, und drei Vertriebsstandorte in Deutschland.

Das IT-Netz ist in mehrere Teilbereiche aufgeteilt. Für die Beispiele in dieser Risikoanalyse wird das Teilnetz A (vergleiche Abbildung 2 in Kapitel 4) näher betrachtet. Der Zugang zum Teilnetz A ist durch die Firewall N1 abgesichert. Die Server S1 (Virtualisierungsserver) und S5 werden durch einzelne Switches angebunden.

Der Virtualisierungsserver S1 stellt verschiedene Dienste zur Verfügung, z. B. werden dort in virtuellen Maschinen File- und E-Mail-Server betrieben. Diese Anwendungen haben teilweise einen hohen Schutzbedarf in mindestens einem der drei Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit. Durch das Maximumprinzip gilt für den Virtualisierungsserver S1 der höchste Schutzbedarf der zur Verfügung gestellten virtuellen Maschinen bzw. IT-Anwendungen. Um die Stunden der Mitarbeiter zu erfassen, verwendet die RECPLAST GmbH eine Softwarelösung, die als Webanwendung implementiert ist. Für die Datenhaltung nutzt diese eine Datenbank, die im Datenbankmanagementsystem (A1) auf dem Server S5 betrieben wird.

Darüber hinaus betreibt die RECPLAST GmbH eine Reihe von Servern, die dazu eingesetzt werden, alle IT-Systeme und darauf betriebenen Anwendungen kontinuierlich zu überwachen.


key: _node_content
string_value:
{"id_": "73e7dad6-bd4a-4825-85b9-e7186494af8a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9fc12b04-ae1a-4508-9a87-9f1bb91de807", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8be2b08f532860fc317454ea40a23c4727d931857238b1aeee58bb92bd8e3d4e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 727, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel 2: BSI-Standard 200-3

Das fiktive Unternehmen MUSTERENERGIE GmbH betreibt eine Smart Meter Gateway Infrastruktur (intelligentes Netz). Kernbausteine einer solchen Infrastruktur sind intelligente Messsysteme, auch „Smart Metering Systems“ genannt. Das Smart Meter Gateway (SMGW) stellt dabei die zentrale Kommunikationseinheit dar. Es kommuniziert im lokalen Bereich beim Endkunden mit den elektronischen Zählern (Local Metrological Network, LMN-Bereich), mit Geräten aus dem Home Area Network (HAN-Bereich) und im Wide Area Network (WAN-Bereich) mit autorisierten Marktteilnehmern. Außerdem ermöglicht das SMGW die Verbindungsaufnahme von lokalen Geräten des HAN über das WAN mit autorisierten Marktteilnehmern.
---


key: _node_content
string_value:
{"id_": "42a5dc50-3cac-40c8-b22b-ad2a25609bbb", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "183fdfda-e4d6-4982-ab55-52cac0e61eb7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4e9491f013ec641cde8940fa8ce43a3c1ed74f1cb169722d3b3bc88d88818da3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 560, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
2 Vorarbeiten zur Risikoanalyse

Ffr die Installation, Inbetriebnahme, den Betrieb, die Wartung und Konfiguration des SMGW ist der Smart-Meter-Gateway-Administrator (SMGW-Admin) verantwortlich. Da es sich hierbei teilweise um sensible Informationen handelt, ist der Schutz dieser Informationen wichtig. Daher muss sichergestellt sein, dass der IT-Betrieb beim SMGW-Admin sicher erfolgt.

Ffr die Beispiele in dieser Risikoanalyse wird neben Teilnetz A der RECPLAST GmbH auch die Smart-Meter-Gateway-Administration der MUSTERENERGIE GmbH näher betrachtet.
---


key: _node_content
string_value:
{"id_": "fd552d53-d1dd-49aa-a9a8-9a4c635ca0ca", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "06aa3ad8-8660-41d3-9d4d-efd07cefa6fa", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e41b0611750faa7916d4292faf121b39c728d85f8cdec84eae670202bfe12254", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3118, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
3 Übersicht über die elementaren Gefährdungen

Das BSI hat aus den vielen spezifischen Einzelgefährdungen der IT-Grundschutz-Bausteine die generellen Aspekte herausgearbeitet und in 47 elementare Gefährdungen überführt, die im IT-Grundschutz-Kompendium aufgelistet sind. Bei der Erstellung der Übersicht der elementaren Gefährdungen wurden die im Folgenden beschriebenen Ziele verfolgt. Elementare Gefährdungen sind:

- für die Verwendung bei der Risikoanalyse optimiert,
- produktneutral (immer), technikneutral (möglichst, bestimmte Techniken prägen so stark den Markt, dass sie auch die abstrahierten Gefährdungen beeinflussen),
- kompatibel mit vergleichbaren internationalen Katalogen und Standards und
- nahtlos in den IT-Grundschutz integriert.

Da die elementaren Gefährdungen hauptsächlich die effiziente Durchführung von Risikoanalysen ermöglichen sollen, wurde der Fokus darauf gerichtet, tatsächliche Gefahren zu benennen. Gefährdungen, die überwiegend die fehlende oder unzureichende Umsetzung von Sicherheitsmaßnahmen thematisieren und somit auf indirekte Gefahren verweisen, wurden bewusst nicht benannt. Bei der Erarbeitung der Übersicht der elementaren Gefährdungen wurde mit betrachtet, welcher Grundwert der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit) durch die jeweilige Gefährdung beschädigt würde. Da diese Information bei verschiedenen Schritten der Sicherheitskonzeption von Interesse ist, wird sie in der folgenden Tabelle mit aufgeführt. Nicht alle elementaren Gefährdungen lassen sich auf genau einen Grundwert abbilden, gleichwohl betreffen verschiedene Gefährdungen mehrere Grundwerte. Dabei ist dies so zu interpretieren, dass durch die jeweilige Gefährdung die dazu aufgeführten Grundwerte direkt beeinträchtigt werden. Bei vielen Gefährdungen lässt sich diskutieren, inwieweit alle drei Grundwerte betroffen sein könnten, weil sich auch indirekte Auswirkungen ableiten lassen. So wird z. B. zu G 0.1 Feuer als einziger betroffener Grundwert „Verfügbarkeit“ genannt. Natürlich könnte ein Feuer einen Datenträger auch so beschädigen, dass die abgespeicherten Informationen zwar noch vorhanden wären, aber deren Integrität verletzt wäre. Ein anderes Szenario könnte sein, dass bei einem Brand vertrauliche Unterlagen durch Rettungsmaßnahmen für Unbefugte zugänglich wären. Dies wären zwar indirekte Auswirkungen auf die Grundwerte Vertraulichkeit und Integrität, aber nur die Verfügbarkeit wäre unmittelbar beeinträchtigt.

In der nachfolgenden Tabelle findet sich eine Übersicht über die elementaren Gefährdungen sowie die Nennung der hauptsächlich betroffenen Grundwerte. Dabei steht C für Confidentiality (Vertraulichkeit), I für Integrity (Integrität) und A für Availability (Verfügbarkeit).

|BSI-Standard 200-3|Gefährdung|Grundwert| |
|---|---|---|---|
| |G 0.1|Feuer|A|
| |G 0.2|Ungünstige klimatische Bedingungen|I, A|
| |G 0.3|Wasser|I, A|
| |G 0.4|Verschmutzung, Staub, Korrosion|I, A|
| |G 0.5|Naturkatastrophen|A|
| |G 0.6|Katastrophen im Umfeld|A|
| |G 0.7|Großereignisse im Umfeld|C, I, A|
| |G 0.8|Ausfall oder Störung der Stromversorgung|I, A|
---


key: _node_content
string_value:
{"id_": "deb281e9-45ca-4acf-9575-0b5ad23add40", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "140cb83b-e465-4477-8f0f-b892f7f0588d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3e968ff2eeaab489efa6b05e7812066fcbe608b4a6b3559a6c112b2abb81701e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1682, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
3 Übersicht über die elementaren Gefährdungen

|Gefährdung| |Grundwert|
|---|---|---|
|G 0.9|Ausfall oder Störung von Kommunikationsnetzen|I, A|
|G 0.10|Ausfall oder Störung von Versorgungsnetzen|A|
|G 0.11|Ausfall oder Störung von Dienstleistern|C, I, A|
|G 0.12|Elektromagnetische Störstrahlung|I, A|
|G 0.13|Abfangen kompromittierender Strahlung|C|
|G 0.14|Ausspähen von Informationen/Spionage|C|
|G 0.15|Abhören|C|
|G 0.16|Diebstahl von Geräten, Datenträgern und Dokumenten|C, A|
|G 0.17|Verlust von Geräten, Datenträgern und Dokumenten|C, A|
|G 0.18|Fehlplanung oder fehlende Anpassung|C, I, A|
|G 0.19|Offenlegung schützenswerter Informationen|C|
|G 0.20|Informationen aus unzuverlässiger Quelle|C, I, A|
|G 0.21|Manipulation von Hard- und Software|C, I, A|
|G 0.22|Manipulation von Informationen|I|
|G 0.23|Unbefugtes Eindringen in IT-Systeme|C, I|
|G 0.24|Zerstörung von Geräten oder Datenträgern|A|
|G 0.25|Ausfall von Geräten oder Systemen|A|
|G 0.26|Fehlfunktion von Geräten oder Systemen|C, I, A|
|G 0.27|Ressourcenmangel|A|
|G 0.28|Softwareschwachstellen oder -fehler|C, I, A|
|G 0.29|Verstoß gegen Gesetze oder Regelungen|C, I, A|
|G 0.30|Unberechtigte Nutzung oder Administration von Geräten und Systemen|C, I, A|
|G 0.31|Fehlerhafte Nutzung oder Administration von Geräten und Systemen|C, I, A|
|G 0.32|Missbrauch von Berechtigungen|C, I, A|
|G 0.33|Personalausfall|A|
|G 0.34|Anschlag|C, I, A|
|G 0.35|Nötigung, Erpressung oder Korruption|C, I, A|
|G 0.36|Identitätsdiebstahl|C, I, A|
|G 0.37|Abstreiten von Handlungen|C, I|
|G 0.38|Missbrauch personenbezogener Daten|C|
|G 0.39|Schadprogramme|C, I, A|
|G 0.40|Verhinderung von Diensten (Denial of Service)|A|
---


key: _node_content
string_value:
{"id_": "c2d83a85-b8e1-4765-908c-b642b2b1f45b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "76ac5de3-50ad-43e7-8948-d5e78e26976c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a63c8071bf20080b45031b32fa82361bda895e784110a6fa2764ebc960f09702", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 501, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
3 Übersicht über die elementaren Gefährdungen

|Gefährdung|Grundwert|
|---|---|
|G 0.41 Sabotage|A|
|G 0.42 Social Engineering|C, I|
|G 0.43 Einspielen von Nachrichten|C, I|
|G 0.44 Unbefugtes Eindringen in Räumlichkeiten|C, I, A|
|G 0.45 Datenverlust|A|
|G 0.46 Integritätsverlust schützenswerter Informationen|I|
|G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe|C, I, A|

Tabelle 1: Übersicht über die elementaren Gefährdungen mit den jeweils betroffenen Grundwerten

BSI-Standard 200-3
---


key: _node_content
string_value:
{"id_": "7533d8cd-317c-4d96-bb7b-335e4715e2ee", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "224a6233-6b74-4e4f-9b8b-a696598234b9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5d2a554245897d129fead20ae3abf7fde81386ee97e2dc7beb10a64f0b8a337f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 914, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4 Erstellung einer Gefährdungsübersicht

Ziel der folgenden Arbeitsschritte ist es, als Ausgangspunkt für die Risikoanalyse eine Übersicht über die Gefährdungen zu erstellen, die auf die betrachteten Zielobjekte des Informationsverbunds einwirken. Als Ergebnis der Vorarbeiten (siehe Kapitel 2) liegt eine Liste von (priorisierten) Zielobjekten vor, für die eine Risikoanalyse durchgeführt werden sollte. Diese dient als Grundlage für die Erstellung der Gefährdungsübersicht. Ergänzt wird diese Liste um das übergeordnete Zielobjekt „Informationsverbund“, sofern dieses Zielobjekt nicht ohnehin bereits in der Liste enthalten ist. Bei der Ermittlung von Gefährdungen geht das BSI zweistufig vor. Zunächst werden die relevanten elementaren Gefährdungen identifiziert und darauf aufbauend werden weitere mögliche Gefährdungen (zusätzliche Gefährdungen) ermittelt, die über die elementaren Gefährdungen hinausgehen.


key: _node_content
string_value:
{"id_": "10446d31-d8f6-4610-bf2c-96e92d435ca4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c237de31-d7c8-4091-9d84-2b7789339a70", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "28fcda8d9fdfb4c48d973549bb9c4b26f48380ed25f1808482750ee67504fcab", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2486, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4.1 Ermittlung von elementaren Gefährdungen

Wie bei der Ermittlung von elementaren Gefährdungen vorgegangen wird, ist davon abhängig, ob das betrachtete Zielobjekt hinreichend mit bestehenden Bausteinen des IT-Grundschutz-Kompendiums abgebildet werden kann oder nicht. Für bestehende Bausteine wurde bereits vorab eine Risikoanalyse durchgeführt und damit wurden für diese Bausteine bereits die relevanten elementaren Gefährdungen ermittelt, die als Ausgangspunkt der Gefährdungsanalyse verwendet werden können. Für jedes Zielobjekt werden Nummer und Titel dieser Gefährdungen zusammengetragen und dem jeweiligen Zielobjekt zugeordnet. Darüber hinaus wird die Liste der elementaren Gefährdungen herangezogen und es wird geprüft, ob weitere elementare Gefährdungen für das Zielobjekt relevant sind, also prinzipiell zu einem nennenswerten Schaden führen können. Dafür ist jede weitere elementare Gefährdung dahingehend zu bewerten, ob diese direkt, indirekt oder gar nicht auf das Zielobjekt einwirken kann:

- „Direkt relevant“ bedeutet hier, dass die jeweilige Gefährdung auf das betrachtete Zielobjekt einwirken kann und deshalb im Rahmen der Risikoanalyse behandelt werden muss.
- „Indirekt relevant“ meint hier, dass die jeweilige Gefährdung zwar auf das betrachtete Zielobjekt einwirken kann, in ihrer potenziellen Wirkung aber nicht über andere (allgemeinere) Gefährdungen hinausgeht. In diesem Fall muss die jeweilige Gefährdung für dieses Zielobjekt nicht gesondert im Rahmen der Risikoanalyse behandelt werden.
- „Nicht relevant“ heißt hier, dass die jeweilige Gefährdung nicht auf das betrachtete Zielobjekt einwirken kann und deshalb für dieses Zielobjekt im Rahmen der Risikoanalyse nicht behandelt werden muss.

Gefährdungen, die für ein bestimmtes Zielobjekt nur „indirekt relevant“ oder „nicht relevant“ sind, können aber natürlich für andere Zielobjekte im selben Informationsverbund durchaus „direkt relevant“ sein.

In der Praxis hat der Typ des jeweiligen Zielobjekts einen wesentlichen Einfluss darauf, welche elementaren Gefährdungen überhaupt darauf anwendbar sind. So wird die Gefährdung G 0.28 Software-Schwachstellen oder -Fehler nur selten für einen Büroraum relevant sein, sondern eher für die darin betriebenen Clients. Gefährdungen, die sich nicht auf konkrete technische Komponenten beziehen, beispielsweise G 0.29 Verstoß gegen Gesetze oder Regelungen, eignen sich meist für Zielobjekte vom Typ Anwendung, Geschäftsprozess oder Informationsverbund.
---


key: _node_content
string_value:
{"id_": "a8da1e35-9b00-43a3-93b8-6ea9f3d58496", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6534c895-e2b6-488a-8906-9af4133b8f9d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3047c26aba4a28c7ed88a4ba2f5aebaac30dff6584ff6060baed9d8969393833", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2674, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4 Erstellung einer Gefährdungsübersicht

Beispiel: Wird ein spezifisches Server-Betriebssystem betrachtet, ist beispielsweise die elementare Gefährdung G 0.25 Ausfall von Geräten oder Systemen eine relevante Gefährdung, gegen die unter Umständen spezifische Sicherheitsmaßnahmen zu ergreifen sind. Dagegen ist die elementare Gefährdung G 0.1 Feuer für ein spezifisches Server-Betriebssystem irrelevant. Ein Betriebssystem bietet keine spezifischen Schutzmaßnahmen gegen Feuer, es würden durch die Betrachtung von G 0.1 Feuer keine neuen Aspekte gegenüber G 0.25 Ausfall von Geräten oder Systemen entstehen.

|Gefährdung|Grundwerte|Wirkung und Relevanz|
|---|---|---|
|G 0.1 Feuer|Verfügbarkeit|Indirekte Wirkung/ nicht relevant|
|G 0.9 Ausfall oder Störung von Kommunikationsnetzen|Verfügbarkeit, Integrität|Indirekte Wirkung/ nicht relevant|
|G 0.25 Ausfall von Geräten oder Systemen|Verfügbarkeit|Direkte Wirkung/ relevant|
|G 0.26 Fehlfunktion von Geräten oder Systemen|Vertraulichkeit, Verfügbarkeit, Integrität|Direkte Wirkung/ relevant|

Kommentar

Die Gefährdung für ein Betriebssystem durch Feuer ist irrelevant, es würden durch die Betrachtung von G 0.1 Feuer keine neuen Aspekte gegenüber G 0.25 Ausfall von Geräten oder Systemen abgedeckt. Die Gefährdung für ein Betriebssystem durch Ausfall oder Störung von Kommunikationsnetzen ist indirekt, es würden durch die Betrachtung von G 0.9 keine neuen Aspekte gegenüber G 0.26 Fehlfunktionen von Geräten oder Systemen entstehen. Ein Betriebssystem bietet keine spezifischen Schutzmaßnahmen gegen G 0.9, die Gefährdung ist somit hier nicht relevant. Es sind keine spezifischen Maßnahmen erforderlich. Die Gefährdung durch G 0.25 Ausfall von Geräten oder Systemen wirkt direkt auf ein Betriebssystem ein. Daher sind Maßnahmen gegen G 0.25 Ausfall von Geräten und Systemen zu prüfen. Die Gefährdung durch G 0.26 Fehlfunktionen von Geräten oder Systemen wirkt direkt auf ein Betriebssystem ein. Daher sind Maßnahmen gegen G 0.26 Fehlfunktionen von Geräten und Systemen zu prüfen.

Tabelle 2: Beispiel zur Ermittlung elementarer Gefährdungen für ein Server-Betriebssystem

Kann das betrachtete Zielobjekt nicht hinreichend mit bestehenden Bausteinen des IT-Grundschutz-Kompendiums abgebildet werden, da es sich um Themenbereiche handelt, die bisher im IT-Grundschutz-Kompendium noch nicht oder nicht ausreichend abgedeckt sind, um den betrachteten Informationsverbund modellieren zu können, dann wird die Liste der 47 elementaren Gefährdungen herangezogen und für jedes Zielobjekt jeweils geprüft, welche Gefährdungen relevant sind. Hierbei kann dieselbe Vorgehensweise wie weiter oben beschrieben angewendet werden.
---


key: _node_content
string_value:
{"id_": "253f6ff7-4f97-4b54-9328-0cde89d44d31", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3d31f83b-142a-4daf-8339-b8a69eef676b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "acb31061138cd7a07a8d5aa42b2d65ee270917f28d14be38f9ca9a73a09431f2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 686, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4.1 Ermittlung von elementaren Gefährdungen

Als Ergebnis der vorangegangenen Schritte liegt eine Tabelle vor, in der jedem Zielobjekt eine Liste mit relevanten elementaren Gefährdungen zugeordnet ist. Um die nachfolgende Analyse zu erleichtern, sollte in der Tabelle für jedes Zielobjekt der Schutzbedarf vermerkt werden, der im Rahmen der Schutzbedarfsfeststellung in den drei Grundwerten Vertraulichkeit, Integrität und Verfügbarkeit ermittelt wurde. Für das übergeordnete Zielobjekt Informationsverbund kann diese Zuordnung entfallen. Im Folgenden wird anhand der beiden Beispiele dargestellt, wie die Gefährdungsübersicht anhand von elementaren Gefährdungen erstellt werden kann.


key: _node_content
string_value:
{"id_": "37ca9b56-400d-4f85-8cb9-7ac9fd6cb5aa", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1d4417e3-bb7e-4d0c-ba46-810e30309204", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "abc02664687c53dbae6e0c1464a77155ea6c02bdf4f9ad609cba3dea9161d764", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 467, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel 1:

Die RECPLAST GmbH betreibt an ihrem Standort in Bad Godesberg ein zentral administriertes Netz mit 130 angeschlossenen Arbeitsplätzen. Die Arbeitsplatzrechner sind mit den üblichen Bf roanwendungen (Standardsoftware für Textverarbeitung, Tabellenkalkulation und Präsentation) und Client-Software für die Nutzung von E-Mails und Internet ausgestattet. Zusätzlich gibt es je nach Aufgabengebiet auf verschiedenen Arbeitsplatzrechnern Spezialsoftware.
---


key: _node_content
string_value:
{"id_": "d7d3a7ed-6744-4663-b4ce-04009c494da4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5a0cc2f4-e552-4949-8dc0-154fd89dad8a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "18df3058e359781cba316b0044d465142c9030dfea624f5cd624c3b0cb7bf6bf", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 543, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4 Erstellung einer Gefährdungsübersicht

|Nl: Firewall|N2: Switch| |N4: Switch|
|---|---|---|---|
|S1:|Virtualisierungsserver|VLAN 30|VLAN 20|
|Abbildung 2: Ausschnitt aus einem Netzplan (RECPLAST Teilnetz A)|Abbildung 2: Ausschnitt aus einem Netzplan (RECPLAST Teilnetz A)|Abbildung 2: Ausschnitt aus einem Netzplan (RECPLAST Teilnetz A)|Abbildung 2: Ausschnitt aus einem Netzplan (RECPLAST Teilnetz A)| | | |
|S5: Server|S4: Druckserver|C1: 2 Clients|C2: 15 Clients|
|S2: VM (E-Mail)|S3: VM (File)|C3: 10 Laptops| |

BSI-Standard 200-3
---


key: _node_content
string_value:
{"id_": "f32e8d00-8dac-4062-ba01-e07f0c515713", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5574a1f5-116d-454a-a82c-881600ac012b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "531ea0b3f11b43aa37b7f97a7d1bbce407626ef599a4576922f5d37e82d64d60", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1520, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4.1 Ermittlung von elementaren Gefährdungen

Im Rahmen der Schutzbedarfsfeststellung ist für folgende Zielobjekte (siehe Tabelle 3) ein hoher bzw. sehr hoher Schutzbedarf in mindestens einem der drei Grundwerte (Vertraulichkeit, Integrität oder Verfügbarkeit) festgestellt worden.

- Firewall N1
- Switches N2, N3 und N4
- Virtualisierungsserver S1, virtuelle Maschinen S2 und S3, DBMS-Server (S5) und Datenbankmanagementsystem A1 (kurz: Datenbank A1)
- Laptops C3 und Clients C1

Somit müssen diese einer Risikoanalyse unterzogen werden.

Im Folgenden findet sich ein Auszug aus der Modellierung der RECPLAST GmbH, Teilnetz A.

|Nummer|Titel des Bausteins|Zielobjekt|
|---|---|---|
|ISMS.1, ORP.1 usw.|Sicherheitsmanagement, Organisation usw.|IV|
|INF.2|Rechenzentrum|R.005, R.006|
|INF.7|Bfroraum|R.007|
|NET.3.2|Firewall|N1|
|NET.3.1|Router und Switches|N2, N4|
|NET.3.1|Router und Switches|N3|
|SYS.1.5|Virtualisierung|S1|
|APP.5.1|Groupware|S2 (VM1)|
|APP.3.3|Fileserver|S3 (VM2)|
|SYS.1.2.2|Windows Server 2012|S5|
|APP.4.3|Relationale Datenbanksysteme|A1|
|SYS.2.2|Windows-Clients|C1|
|SYS.2.3|Clients unter Unix (Laptops)|C3|

Tabelle 3: Liste der betrachteten Zielobjekte (Auszug)

Beispiel 2: Bei der Modellierung des Informationsverbundes, der der Smart-Meter-Gateway-Administration zugrunde liegt, ist festgestellt worden, dass dem Zielobjekt „Smart-Meter-Gateway-Administration Zx“ kein IT-Grundschutz-Baustein zugeordnet werden kann. Dieses muss daher ebenfalls einer Risikoanalyse unterzogen werden.
---


key: _node_content
string_value:
{"id_": "7f6f31ba-88ad-4fbc-bed8-5d76ad9b5b38", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f3d5222f-c7d9-447a-be34-ac2588eae2af", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d9951bda18e39ad3595a075b7b04599614cc8d537d069152878e477abd1d83de", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 41, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "b585442d-e2b6-4e1f-9830-cb56d9a1862f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3399c73f-1ede-48fd-a735-18163862210f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "acf40c42608fd5403cfcef7799520290a4a54dbe256409e793e265fc798acc1c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 144, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
(Auszug Smart-Meter-Gateway-Administration)

|Nummer|Titel des Bausteins|Zielobjekt|
|---|---|---|
|–|–|Smart-Meter-Gateway-Administration Zx|


key: _node_content
string_value:
{"id_": "cd282ea2-482e-47dc-86f4-104732a01876", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8fd0fd30-5473-4ed6-ab94-6edf0f3b5646", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e7f795c2d54e7a7c50fa1863f57612b4bb9eea3f6329df237f07dc6ea08e992c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 357, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Tabelle 4: Liste der betrachteten Zielobjekte (Auszug)

Die nachfolgenden Tabellen stellen eine Übersicht von relevanten elementaren Gefährdungen für die betrachteten Zielobjekte (Virtualisierungsserver S1, Datenbank A1) und Smart-Meter-Gateway-Administration Zx dar. Sie dienen als Ausgangspunkt für die nachfolgende Ermittlung zusätzlicher Gefährdungen.


key: _node_content
string_value:
{"id_": "62d5adc1-b321-4fa6-b929-6b493f05a3f8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9118fe15-da7b-408b-8c69-1efcc0a375c5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "0d94067b7b06e5358e6a1a91c78fc3cdc9958b4fbc4a117c6e91ac15d022248a", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 877, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Virtualisierungsserver S1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

- G 0.14 Ausspähen von Informationen/Spionage
- G 0.15 Abhören
- G 0.18 Fehlplanung oder fehlende Anpassung
- G 0.19 Offenlegung schützenswerter Informationen
- G 0.21 Manipulation von Hard- oder Software
- G 0.22 Manipulation von Informationen
- G 0.23 Unbefugtes Eindringen in IT-Systeme
- G 0.25 Ausfall von Geräten oder Systemen
- G 0.26 Fehlfunktion von Geräten oder Systemen
- G 0.28 Software-Schwachstellen oder -Fehler
- G 0.30 Unberechtigte Nutzung oder Administration von Geräten und Systemen
- G 0.31 Fehlerhafte Nutzung oder Administration von Geräten und Systemen
- G 0.32 Missbrauch von Berechtigungen
- G 0.40 Verhinderung von Diensten (Denial of Service)
- G 0.43 Einspielen von Nachrichten
- G 0.45 Datenverlust
- G 0.46 Integritätsverlust schützenswerter Informationen


key: _node_content
string_value:
{"id_": "549de88c-d00b-48dd-8a93-454e9dbd96fc", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cdd53e55-418b-4e65-83dc-a04e18286565", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ba76deec3aead126f8f72bad00a689b256e8ecfd57683ef082c33eff69c88033", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 88, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "1c69f0ba-d348-4dea-9961-e3d7d3e0cd7e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b90e56e9-981d-4c68-92c6-773833365ed4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "703c4e0868e2f50126eed707e6124edfb75ca1f377cfe3b8894eb8d62de73199", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 45, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "60080bff-8a2f-4d28-b961-4a695ce56df6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cb93d5ea-4649-464c-9645-8e0ee9cac4a0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "46b4ddac0212d2c40717135c39b94f96bf5fa18c8dc50258e8eba515d6bce875", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1008, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Datenbank A1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

|G 0.14|Ausspähen von Informationen/Spionage|
|---|---|
|G 0.15|Abhören|
|G 0.18|Fehlplanung oder fehlende Anpassung|
|G 0.19|Offenlegung schützenswerter Informationen|
|G 0.20|Informationen aus unzuverlässiger Quelle|
|G 0.21|Manipulation von Hard- und Software|
|G 0.22|Manipulation von Informationen|
|G 0.23|Unbefugtes Eindringen in IT-Systeme|
|G 0.25|Ausfall von Geräten oder Systemen|
|G 0.26|Fehlfunktion von Geräten oder Systemen|
|G 0.27|Ressourcenmangel|
|G 0.28|Software-Schwachstellen oder -fehler|
|G 0.30|Unberechtigte Nutzung oder Administration von Geräten und Systemen|
|G 0.31|Fehlerhafte Nutzung oder Administration von Geräten und Systemen|
|G 0.32|Missbrauch von Berechtigungen|
|G 0.37|Abstreiten von Handlungen|
|G 0.39|Schadprogramme|
|G 0.40|Verhinderung von Diensten (Denial of Service)|
|G 0.43|Einspielen von Nachrichten|
|G 0.45|Datenverlust|
|G 0.46|Integritätsverlust schützenswerter Informationen|


key: _node_content
string_value:
{"id_": "86b79420-aedd-4a78-89f8-9713918c87f3", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "16c835ef-c483-4a29-aed5-a5c606ed0af0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f958d0c33060cb5b976500ce1377d74687cdbfa89579e8d1712ee18fcbe6c996", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 680, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Smart-Meter-Gateway-Administration Zx

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

|G 0.18|Fehlplanung oder fehlende Anpassungen|
|---|---|
|G 0.21|Manipulation von Hard- oder Software|
|G 0.22|Manipulation von Informationen|
|G 0.23|Unbefugtes Eindringen in IT-Systeme|
|G 0.25|Ausfall von Geräten oder Systemen|
|G 0.26|Fehlfunktion von Geräten oder Systemen|
|G 0.28|Software-Schwachstellen oder -fehler|
|G 0.30|Unberechtigte Nutzung oder Administration von Geräten und Systemen|
|G 0.43|Einspielen von Nachrichten|
|usw.| |

Tabelle 6: Gefährdungsübersicht für das Zielobjekt A1 (Auszug)

Tabelle 7: Gefährdungsübersicht für das Zielobjekt Zx (Auszug)
---


key: _node_content
string_value:
{"id_": "28b5cf12-7e4f-4314-99fc-7c8ebf701a5a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9a564e91-7e8b-4804-b548-973fae014366", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d9951bda18e39ad3595a075b7b04599614cc8d537d069152878e477abd1d83de", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 41, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "2ce8b8ca-ec15-4ab8-9075-79e385325d5a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "517e1072-6d0a-407c-8f95-e6a5d4812f36", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c8882f991baae63215c6d861a7d0f9e3aaad54f9867d32c311b1977a45ac46a8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2857, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4.2 Ermittlung zusätzlicher Gefährdungen

Für die betrachteten Zielobjekte gibt es unter Umständen einzelne zusätzliche Gefährdungen, die über die elementaren Gefährdungen hinausgehen und sich aus dem spezifischen Einsatzszenario oder Anwendungsfall ergeben. Diese müssen ebenfalls berücksichtigt werden.

Für die Informationssicherheit relevante Gefährdungen sind solche,

- die zu einem nennenswerten Schaden führen können und
- die im vorliegenden Anwendungsfall und Einsatzumfeld realistisch sind.

Die elementaren Gefährdungen wurden so ausgewählt, dass sie eine kompakte, gleichzeitig angemessene und in typischen Szenarien vollständige Grundlage für Risikoanalysen bieten. Daher sollte der Fokus bei der Ermittlung zusätzlicher Gefährdungen nicht darauf liegen, weitere elementare Gefährdungen zu identifizieren. Es kann aber sinnvoll sein, spezifische Aspekte einer elementaren Gefährdung zu betrachten, da dieser Schritt es erleichtern kann, spezifische Maßnahmen zu identifizieren.

Hinweis:

Falls eine Institution im Rahmen dieses Schrittes eine weitere generische Gefährdung identifiziert, die bisher nicht im IT-Grundschutz-Kompendium enthalten ist, sollte sie dies dem BSI mitteilen, damit der Katalog der elementaren Gefährdungen entsprechend erweitert werden kann.

Bei der Ermittlung zusätzlicher relevanter Gefährdungen sollte der Schutzbedarf des jeweiligen Zielobjekts in Bezug auf die drei Grundwerte der Informationssicherheit Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigt werden:

- Hat das Zielobjekt in einem bestimmten Grundwert den Schutzbedarf sehr hoch, sollten vorrangig solche Gefährdungen gesucht werden, die diesen Grundwert beeinträchtigen.
- Auch wenn das Zielobjekt in einem bestimmten Grundwert den Schutzbedarf hoch hat, sollten solche Gefährdungen gesucht werden, die diesen Grundwert beeinträchtigen.
- Hat das Zielobjekt in einem bestimmten Grundwert den Schutzbedarf normal, sind die empfohlenen Sicherheitsanforderungen für diesen Grundwert in der Regel ausreichend, sofern das Zielobjekt mit den existierenden Bausteinen des IT-Grundschutzes modelliert werden kann.

Unabhängig vom Schutzbedarf des betrachteten Zielobjekts ist die Identifikation zusätzlicher relevanter Gefährdungen besonders wichtig, wenn es im IT-Grundschutz-Kompendium keinen geeigneten BSI-Standard 200-3 Baustein für das Zielobjekt gibt oder wenn das Zielobjekt in einem Einsatzszenario (Umgebung, Anwendung) betrieben wird, das im IT-Grundschutz-Kompendium nicht vorgesehen ist.

Hinweise, welche Fragestellungen bei der Identifikation zusätzlicher Gefährdungen betrachtet werden sollten, finden sich im Anhang (siehe Kapitel 9).

In der Praxis ist es oft so, dass zusätzliche Gefährdungen gleich mehrere Zielobjekte betreffen. Die identifizierten zusätzlichen Gefährdungen werden in der Gefährdungsübersicht ergänzt.
---


key: _node_content
string_value:
{"id_": "2c4c790a-6366-4359-9068-b15bc33fb79c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5fda97f8-6b90-4826-8006-9ce3b9cf7b3b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "888d962bb946953e68ea951a617543f44c848312997c4cc962fca329617e4c1f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 920, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
4.2 Ermittlung zusätzlicher Gefährdungen

Wichtig:

Wenn relevante Gefährdungen nicht berücksichtigt werden, kann dies zu Lücken im resultierenden Sicherheitskonzept führen. Im Zweifelsfall sollte daher sorgfältig analysiert werden, ob und (wenn ja) welche Gefährdungen noch fehlen. Hierbei ist es oft ratsam, auf externe Beratungsdienstleistungen zurückzugreifen.

In der Praxis hat es sich bewährt, zur Identifikation zusätzlicher Gefährdungen ein gemeinsames Brainstorming mit allen beteiligten Mitarbeitern durchzuführen. Es sollten Informationssicherheitsbeauftragte, Fachverantwortliche, Administratoren und Benutzer des jeweils betrachteten Zielobjekts und gegebenenfalls auch externe Sachverständige beteiligt werden. Der Arbeitsauftrag an die Teilnehmer sollte klar formuliert sein und die Zeit für das Brainstorming begrenzt werden. Ein Experte für Informationssicherheit sollte das Brainstorming moderieren.


key: _node_content
string_value:
{"id_": "50f52135-f41a-4367-829d-986af5cb1d0f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "687765eb-ee78-48d4-a5ae-3f1310cc754d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b9211797758aee88e6dc119d8ec84444b83d30b2016a971d68c82bc88a845f7d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 148, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel (Auszug RECPLAST)

Im Rahmen eines Brainstormings identifiziert das Unternehmen RECPLAST unter anderem folgende zusätzliche Gefährdungen:


key: _node_content
string_value:
{"id_": "945ca99c-ef15-49c4-8bb8-c8c3c15bda31", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a1e77f5e-e680-4486-8c08-b45e12d60344", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "0ba0d692ae960cc1b1ebb406e56bf1d9afdb31ab11d98d64a085049923b5ef44", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 502, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Gesamter Informationsverbund

G z.1 Manipulation durch Familienangehörige und Besucher

Familienangehörige und Besucher haben zeitweise Zutritt zu bestimmten Räumlichkeiten des Unternehmens. Es besteht die Gefahr, dass diese Personen dies als Gelegenheit nutzen, unerlaubte Veränderungen an Hardware, Software oder Informationen vorzunehmen. Diese zusätzliche Gefährdung konkretisiert die elementaren Gefährdungen G 0.21 Manipulation von Hard- oder Software und G 0.22 Manipulation von Informationen.


key: _node_content
string_value:
{"id_": "e66506cb-d890-4e16-b943-86f9d46945b2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4b7493d0-0654-4521-b6d0-30ee706b2cab", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "21c05926788091c5597dda05e3f107cb52a9272d58fa144e1494de24a81b162c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 444, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Switch N3

Vertraulichkeit: normal

Integrität: normal

Verfügbarkeit: hoch

G z.2 Beschädigung von Informationstechnik im Fertigungsbereich

Der Client C1 und der Switch N3 werden im Fertigungsbereich des Unternehmens betrieben und sind deshalb besonderen physischen Gefahren ausgesetzt. Die Geräte können beschädigt, zerstört oder deren Lebensdauer reduziert werden. (Konkretisierung von G 0.24 Zerstörung von Geräten oder Datenträgern)
---


key: _node_content
string_value:
{"id_": "daec45a3-0869-4d2e-aadd-1c9a77fe741e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f96e62c5-0203-4a10-aca6-5e2aaf0ae1f3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b2b9360f292b950924ec82ee271863e5475a3b70c6e913aefd696331a5b3853e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 557, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Erstellung einer Gefährdungsübersicht

| |Datenbank A1|
|---|---|
|Vertraulichkeit:|hoch|
|Integrität:|hoch|
|Verfügbarkeit:|hoch|

Im Rahmen des Brainstormings wurden keine zusätzlichen Gefährdungen identifiziert, allerdings wurde festgestellt, dass zusätzliche Sicherheitsanforderungen erforderlich sind, um die Gefährdungen G 0.28 Software-Schwachstellen oder -fehler und G 0.32 Missbrauch von Berechtigungen bei erhöhtem Schutzbedarf zu reduzieren. Dieses Ergebnis wird für den Arbeitsschritt Behandlung von Risiken vorgemerkt.

BSI-Standard 200-3
---


key: _node_content
string_value:
{"id_": "e9d6625c-6b85-4ec6-9ef3-4df78a865668", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2f2484e9-bafa-4fdb-9c13-63a4705212c4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ff8ce37dcd82ead7a052e8afefe53e8dee8a38f9ff9504f64f134c4defcbe66b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2982, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.1 Risikoeinschätzung

Nachdem alle relevanten Gefährdungen identifiziert worden sind (siehe Kapitel 4), wird im nächsten Schritt das Risiko ermittelt, das von einer Gefährdung ausgeht. Wie hoch dieses Risiko ist, hängt sowohl von der Eintrittshäufigkeit (Eintrittseinschätzung) der Gefährdung als auch von der Höhe des Schadens ab, der dabei droht. Bei der Risikoeinschätzung müssen daher beide Einflussgrößen berücksichtigt werden.

Um Risiken mit angemessenem Aufwand einzuschätzen, gibt es kein einfaches allgemeingültiges Konzept. Der Risikoanteil Schadenshöhe kann nur von der Institution selbst eingeschätzt werden. Hierbei geht es darum, wie sich der Eintritt einer Gefährdung auswirken kann, d. h. welche Schäden finanzieller und anderer Art, welche direkten Schäden und welche Folgeschäden entstehen können. Darin geht auch ein, ob und mit welchem Aufwand sowie in welcher Zeit der Schaden zu beheben ist.

Die Eintrittshäufigkeit muss durch geeignetes Fachpersonal eingeschätzt werden und kann durch Statistiken und eigene Erfahrungen unterstützt werden. Bei Statistiken muss allerdings beachtet werden, unter welchen Randbedingungen sie entstanden sind, da auch Statistiken für einen speziellen Anwendungszweck erstellt worden sind und daher nicht ohne Weiteres auf die speziellen Belange der Institution übertragen werden können. Außerdem ist die Interpretation von statistischen Ergebnissen prinzipiell mit Unsicherheiten behaftet.

Grundsätzlich können Risiken entweder qualitativ oder quantitativ betrachtet werden. Die quantitative Risikobetrachtung ist sehr aufwändig und setzt umfangreiches statistisches Datenmaterial voraus. Solche umfangreichen Erfahrungswerte fehlen in den meisten Fällen im sehr dynamischen Umfeld der Informationssicherheit. Daher ist es in den meisten Fällen praktikabler, sowohl für die Eintrittshäufigkeit als auch für die potenzielle Schadenshöhe mit qualitativen Kategorien zu arbeiten. Pro Dimension sollten dabei nicht mehr als fünf Kategorien gewählt werden.

Um Risiken einzuschätzen, nutzt der IT-Grundschutz die im Folgenden beschriebenen Kategorien. Jede Institution kann sowohl die Anzahl der Stufen als auch die Kriterien individuell festlegen. Sie sollte die Einteilungen nutzen, die zu ihrem Managementsystem am besten passt.

Eintrittshäufigkeit: selten, mittel, häufig, sehr häufig

Potenzielle Schadenshöhe: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend

Hinweis: Jede Institution sollte insbesondere die Beschreibungen der Kategorien mit den Fachabteilungen abstimmen, damit deren Bedeutung für alle Mitarbeiter einfach nachvollziehbar ist. Wenn ein konkretes Risiko von zwei unterschiedlichen Mitarbeitern einer Institution eingeschätzt wird, sollte dasselbe Ergebnis dabei herauskommen.

|Eintrittshäufigkeit / Beschreibung| |
|---|---|
|selten|Ereignis könnte nach heutigem Kenntnisstand höchstens alle fünf Jahre eintreten.|
|mittel|Ereignis tritt einmal alle fünf Jahre bis einmal im Jahr ein.|
---


key: _node_content
string_value:
{"id_": "dd869e72-0584-4590-8e7c-480b3ad2e403", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "28ee48b6-0f1b-4a95-ad9f-5a134629730f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b31dd7372c55943b1d236008e8ea511c7604254fadfba15f32d2fe005cf57301", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 20, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "bdc65b76-6a44-495d-b7c8-8dd16caa8c80", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8aeb1091-7115-4bba-99db-6c87e862c947", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6248163bd13e78a561adb763314cdb164751f7700ce598867bace758a80da310", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 218, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Eintrittshäufigkeit / Beschreibung

|häufig|Ereignis tritt einmal im Jahr bis einmal pro Monat ein.|
|---|---|
|sehr häufig|Ereignis tritt mehrmals im Monat ein.|

Tabelle 8: Kategorisierung von Eintrittshäufigkeiten


key: _node_content
string_value:
{"id_": "706ad9ae-54cf-40ce-a72b-192fc8a2bbd6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9da1c8b4-5e3c-4ff3-829a-0ac6f7f5ce77", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3e0e9295e84438724781c3322a2ac10b9bf02879452975820c2ee57c7f7d7c6b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 837, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schadenshöhe/Schadensauswirkungen

|vernachlässigbar|Die Schadensauswirkungen sind gering und können vernachlässigt werden.|
|---|---|
|begrenzt|Die Schadensauswirkungen sind begrenzt und überschaubar.|
|beträchtlich|Die Schadensauswirkungen können beträchtlich sein.|
|existenzbedrohend|Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.|

Tabelle 9: Kategorisierung von Schadensauswirkungen

Es gibt Institutionen, die mit stärkerdifferenzierten Kategorien arbeiten, um damit dem Bedarf in verschiedenen Abteilungen oder Geschäftsprozessen gerecht zu werden. In der Praxis werden aber häufig nur wenige Kategorien pro Dimension verwendet. Die Mehrheit der Anwender neigt sogar dazu, de facto mit nur zwei Kategorien pro Dimension zu arbeiten, beispielsweise „begrenzt“ und „beträchtlich“.


key: _node_content
string_value:
{"id_": "e0824359-c926-4d61-ae97-34b66aed8e64", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1c46e903-c311-40c0-a095-7be5f4769ec7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "297eb230bec2774cc93d77489f6d977839ae6a9cf685a4903bbb95cc028266ed", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 626, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2 Risikobewertung

Anhand der zuvor definierten Kategorien für die potenzielle Schadenshöhe sowie der Klassifikation für Eintrittshäufigkeiten von Gefährdungen legt das BSI folgende Risikomatrix (siehe Abbildung 3) fest. Sie dient lediglich dazu, die nachfolgenden Beispiele zu veranschaulichen, und sollte auf die eigenen Bedürfnisse angepasst werden.

| | |mittel|hoch|sehr hoch|sehr hoch|
|---|---|---|---|---|---|
| |1|mittel|mittel|hoch|sehr hoch|
|BSI-Standard 200-31|gering|gering|mittel|hoch| |
| |gering|häufig|gering|sehr häufig|gering|
| |selten|mittel| | | |

Abbildung 3: Matrix zur Einstufung von Risiken
---


key: _node_content
string_value:
{"id_": "46ca4657-4863-40b4-a007-d30131649f53", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7bde4912-1975-4f84-b9c7-6d8ae64e43e9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f250ae686e2e933d94fc25be2dbbc8c69adb232b15d66fdfda8356616cd034f2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "2fdf3f42-52da-44aa-a48c-aed86f5ed195", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9a61b92c-de66-4c2f-9f61-d478cfd77f36", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "03be18274919cb3b672c3997f00697202c1cbfe0b975cf3b27efdf784880e0dd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1316, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Risikokategorien

|gering|Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten einen ausreichenden Schutz. In der Praxis ist es üblich, geringe Risiken zu akzeptieren und die Gefährdung dennoch zu beobachten.|
|---|---|
|mittel|Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen reichen möglicherweise nicht aus.|
|hoch|Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung.|
|sehr hoch|Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung. In der Praxis werden sehr hohe Risiken selten akzeptiert.|

Tabelle 10: Definition von Risikokategorien

Nachdem Risiken identifiziert, eingeschätzt und bewertet worden sind, ist das weitere Vorgehen (Risikobehandlungsstrategie) von Institution zu Institution sehr unterschiedlich. Eine generelle Empfehlung zur Auswahl einer bestimmten Behandlungsstrategie kann das BSI nicht geben, da viele individuelle Aspekte betrachtet werden müssen. Insbesondere hängt die Risikobehandlungsstrategie sehr stark vom Risikoappetit der jeweiligen Institution ab (siehe Kapitel 9).


key: _node_content
string_value:
{"id_": "7d96e342-0698-408e-8bd5-d8b667323346", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c6a0f0f6-c2ab-4ca9-a9af-942b0fd3894c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "74769557ee60de996ec8a7fba6c457a25ce3730ca62837185eb908449991f857", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 560, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Hinweis:

Im Rahmen der Risikoeinstufung kommen oftmals erste Ideen zur Sprache, mit welchen Sicherheitsmaßnahmen den Gefährdungen begegnet werden kann. Diese Vorschläge sind für die nachfolgenden Arbeitsschritte nützlich und sollten deshalb notiert werden.

Die Risikoeinstufung liefert eine Übersicht über das Ausmaß der Risiken, die sich aus den Gefährdungen für das jeweilige Zielobjekt ergeben. Dabei werden die geplanten oder bereits umgesetzten Sicherheitsmaßnahmen berücksichtigt. Die Behandlung dieser Risiken ist Gegenstand des nächsten Abschnitts.


key: _node_content
string_value:
{"id_": "a854f0ab-3e06-469b-a6a0-2d8c556970b7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "54c4fd9b-0ae0-4dfd-9ddf-9ab969fcb687", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5b93a08eb7b5f7c688d2a30648f1040ad2e1fb230c42a59486db249abbf936d8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 479, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel (Auszug):

Bei der Beispielfirma RECPLAST GmbH wurde anhand der Gefährdungsübersicht eine Risikoeinstufung für

- den Virtualisierungsserver S1 (für die Gefährdungen G 0.15 Abhören und G 0.25 Ausfall von Geräten oder Systemen) sowie
- das Datenbankmanagementsystem A1 (für die Gefährdungen G 0.28 Software-Schwachstellen oder -Fehler und Gefährdung G 0.32 Missbrauch von Berechtigungen)

durchgeführt. Das Ergebnis kann den nachfolgenden Tabellen entnommen werden.
---


key: _node_content
string_value:
{"id_": "90af0192-0311-4408-803a-0766e984e981", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "038c6e22-5d60-4c85-bda3-3af4390d794d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "bbd76c7220a86ac43e4d6270c0391f37c7e31c343ce850f58c8746363fd8e3be", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 18, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "04e937e3-6153-4392-b231-e8dfbb849f1c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d453ae14-c539-4d20-b2e6-409e0815c5ab", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f17d300bc9b3f8af73b7378ffc492a2d5efa22e20eb0d93af32a9436b614da3c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 89, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "81ca6c58-5d42-47e7-89b3-b08071d34bce", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0f1191b6-a162-4289-80f8-cfad7cc59990", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "03af47887f62badfc34f877a7b1b2375f193d77783d8d1d8c115c03a2a0a34ca", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 219, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Gefährdung:

G 0.15 Abhören (hier Live-Migration)

|Eintrittshäufigkeit ohne zusätzliche Maßnahmen:|selten|
|---|---|
|Auswirkungen ohne zusätzliche Maßnahmen:|beträchtlich|
|Risiko ohne zusätzliche Maßnahmen:|mittel|


key: _node_content
string_value:
{"id_": "9925b3c9-88fc-44f2-a4ec-f43396c2a477", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "04ce54f9-edd0-40cf-ae60-5b1ae65fe90c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d0b0ae82236280e59da0b535dfe4bf59ec08844f4c54891ae50fb3e52b6e2a1d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 608, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beschreibung:

Um den Virtualisierungsserver S1 warten zu können, werden alle virtuellen Maschinen (VMs), die darauf ausgeführt werden, auf den Virtualisierungsserver S6 verschoben (Live-Migration). Dabei werden aktuelle Speicherinhalte der VMs von S1 zu S6 übertragen. Aus Performancegründen ist darauf verzichtet worden, die Informationen zu verschlüsseln, sodass der Datenstrom grundsätzlich mitgelesen werden kann. Auch der Datenstrom vom Virtualisierungsserver S1 zu den angeschlossenen zentralen Speichersystemen ist unverschlüsselt. Hierdurch können vertrauliche Informationen mitgeschnitten werden.


key: _node_content
string_value:
{"id_": "7399b12d-d0de-4eec-871e-dc6cc7f9ff12", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "dead535b-1f37-4527-a997-554673461d56", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "dc9296695a3533148ca11d6add21ba01b35d340b07aba685ffad32ff43b3fe42", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 995, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Bewertung:

Um die virtuelle Infrastruktur sicher betreiben zu können, ist auf Netzebene auf eine geeignete Segmentierung geachtet worden. Die einzelnen Netzsegmente (z. B. Managementnetz, Netz für die Live-Migration oder Storage-Netz) sind voneinander getrennt und so konfiguriert worden, dass diese von außen nicht zugänglich sind. Auf das Live-Migration-Netz dürfen nur befugte Administratoren zugreifen. Die Administration der virtuellen Infrastruktur ist in die zentrale Rechteverwaltung des Informationsverbunds eingebunden.

Da nur befugte Administratoren auf das Live-Migration-Netz zugreifen dürfen, können die Speicherinhalte der übertragenen VMs nur von ihnen mitgelesen werden. Den Administratoren wird jedoch vertraut, sodass die Wahrscheinlichkeit für das Abhören als „selten“ eingeschätzt wird. Die Auswirkungen werden jedoch aufgrund der Vertraulichkeit der übertragenen Inhalte mit „beträchtlich“ eingeschätzt, wodurch sich ein mittleres Risiko ergibt.

BSI-Standard 200-3
---


key: _node_content
string_value:
{"id_": "604a68e1-55b5-4eef-9c48-34a78b157874", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "33c42b35-e520-498f-9ce7-a5be7a0338cf", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "702851b5cd395b0c2e62ab3bb3c8004b3afd624f9bce51f2932e504ca53fe3f0", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2106, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2 Risikobewertung

|Datenbank A1|Vertraulichkeit: hoch|Integrität: hoch|Verfügbarkeit: hoch|
|---|---|---|---|
|Gefährdung:|Beeinträchtigte Grundwerte:| | |
|G 0.28 Software-Schwachstellen oder -Fehler|Vertraulichkeit, Integrität, Verfügbarkeit| | |
|Eintrittshäufigkeit ohne zusätzliche Maßnahmen:|häufig|Auswirkungen ohne zusätzliche Maßnahmen:|beträchtlich|
|Risiko ohne zusätzliche Maßnahmen:|hoch| | |

Beschreibung:

Um Arbeitszeiten der Mitarbeiter zu erfassen, verwendet die RECPLAST GmbH eine Softwarelösung, die als Webanwendung implementiert ist. Auf die Webanwendung haben alle Mitarbeiter Zugriff und können ihre geleisteten Arbeitsstunden selbstständig eintragen. Die eingetragenen Arbeitsstunden werden von den Abteilungsleitern geprüft und freigegeben. Zusätzlich werden den Mitarbeitern über die Webanwendung am Monatsende die Gehaltsabrechnungen bereitgestellt. Für die Datenhaltung nutzt die Anwendung eine Datenbank, die im Datenbankmanagementsystem (DBMS) betrieben wird.

Die Webanwendung beinhaltet in der eingesetzten Version eine bekannte SQL-Injection-Schwachstelle, die mit vergleichsweise wenig Aufwand ausgenutzt werden kann. Für die Webanwendung sind keine Updates mehr verfügbar, da der Hersteller der Softwarelösung Insolvenz anmelden musste.

Bewertung:

Auf dem Datenbankmanagementsystem sind alle Berechtigungen so restriktiv wie möglich vergeben, um zu verhindern, dass die Sicherheitslücke einer Anwendung Auswirkungen auf die Datenbanken weiterer Anwendungen hat. Die Auswirkungen der SQL-Injection-Schwachstelle der Webanwendung bleiben also auf die Daten der Webanwendung selbst beschränkt.

Da die SQL-Injection-Schwachstelle der Webanwendung öffentlich bekannt ist und relativ leicht ausgenutzt werden kann, wird die Wahrscheinlichkeit mit „häufig“ eingeschätzt. Wird die Lücke erfolgreich ausgenutzt, hat dies Auswirkungen auf die Vertraulichkeit und Integrität der eingegebenen Arbeitsstunden, der Freigabe der Arbeitsstunden und der Gehaltsabrechnungen. Die Auswirkungen werden daher mit „beträchtlich“ angegeben. Hierdurch ergibt sich ein hohes Risiko.
---


key: _node_content
string_value:
{"id_": "adda8720-f215-4a7d-90f1-433df68ab578", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "04b252c5-519c-419a-bfd0-2033ab4953be", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "214ca3d74f3977e847ea45c8ff6ce25180f3b6c58b358dbfa3cee954c7ae6944", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 676, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Risikoeinstufung

Hinweis: Da oftmals sehr viele Zielobjekte und sehr viele Gefährdungen bearbeitet werden müssen, ist der Fließtext bei der Beschreibung und Bewertung einer Gefährdung optional und dient in den obigen Beispielen nur dazu, das Ergebnis der Bewertung nachvollziehbar darzustellen. Bei den in der Tabelle erwähnten Maßnahmen handelt es sich in der Regel um Maßnahmen, die aus den Basis- und Standard-Anforderungen des IT-Grundschutz-Kompendiums abgeleitet worden sind. Die nachfolgende Darstellung (Bewertung der Gefährdungen G 0.25 Ausfall von Geräten oder Systemen, G 0.32 Missbrauch von Berechtigungen usw.) ist bei Risikobewertungen vollkommen ausreichend.


key: _node_content
string_value:
{"id_": "d694d893-cffa-4633-9fb1-f565174061f8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "65d0dc56-916a-4f27-a48a-d9db1ca8322d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b2d3f177665b251733526a4eb7d3dd3f8a850590e64d611315ec555c01a2361c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 374, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Virtualisierungsserver S1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

Gefährdung: Beeinträchtigte Grundwerte:

G 0.25 Ausfall von Geräten oder Systemen (hier Ausfall des zentralen Verwaltungsservers)

Eintrittshäufigkeit ohne zusätzliche Maßnahmen: mittel

Auswirkungen ohne zusätzliche Maßnahmen: beträchtlich

Risiko ohne zusätzliche Maßnahmen: mittel


key: _node_content
string_value:
{"id_": "b2f4d51d-bae8-47b9-abeb-f93a0cc44900", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9970c73b-5eda-468a-8510-7d72d66b6e56", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "02186094f658a6981aca5a98ec1dba0f4a4202ce73988b41a73a1d0289de9eb3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 703, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Datenbank A1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

Gefährdung: Beeinträchtigte Grundwerte:

G 0.32 Missbrauch von Berechtigungen

Vertraulichkeit, Integrität, Verfügbarkeit

Eintrittshäufigkeit ohne zusätzliche Maßnahmen: selten

Auswirkungen ohne zusätzliche Maßnahmen: existenzbedrohend

Risiko ohne zusätzliche Maßnahmen: mittel

Bei dem fiktiven Unternehmen MUSTERENERGIE GmbH wurde für das Zielobjekt „Smart-Meter-Gateway-Administration Zx“ eine Risikoeinstufung (für die Gefährdungen G 0.18 Fehlplanung oder fehlende Anpassungen und G 0.32 Missbrauch von Berechtigungen) durchgeführt. Das Ergebnis kann der nachfolgenden Tabelle entnommen werden.

BSI-Standard 200-3
---


key: _node_content
string_value:
{"id_": "afe51616-8c1c-4c34-bd69-de151b80bb25", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a0714968-253e-402f-8e21-6c99250b4f82", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "01a6ba44f743ac200642ce0e318d43f5ab58e7329eec2002cea06a7e957e96a7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 122, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2 Risikobewertung

Smart-Meter-Gateway-Administration Zx

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch


key: _node_content
string_value:
{"id_": "aa3284be-6778-48a7-842e-65f9c766715a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9f63931b-3b78-471d-81fe-923c8715e2f3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c13fe75dd6e297b847d2f115d4bea9063d3ba1bc10f04158bf7cc3920c0949e4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 277, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Gefährdungen

|G 0.18|Fehlplanung oder fehlende Anpassung (hier: fehlende oder unzureichende Netzsegmentierung)|Eintrittshäufigkeit ohne zusätzliche Maßnahmen: häufig|
|---|---|---|
|G 0.32|Missbrauch von Berechtigungen|Eintrittshäufigkeit ohne zusätzliche Maßnahmen: häufig|


key: _node_content
string_value:
{"id_": "9bbc2608-d04a-4d44-b1d6-27e7b3ddca46", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "330198ec-ca0b-4aec-b9aa-0b842bd88cdd", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6a74f67c0e8b5c106b09e18106707c271a4583ee3336ca74767a5dda4f37af82", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 72, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "8b6d25b9-adbe-4fa5-95e8-c508fe7985f0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e972302d-44bc-47d9-8673-d55482939529", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "dfd7c4b5c98ad2ce7ec7fa233e7d70df788cfd20d091f0ce49ca74dde5f8f15b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 269, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Auswirkungen

ohne zusätzliche Maßnahmen: hoch

Risiko ohne zusätzliche Maßnahmen: beträchtlich

Beeinträchtigte Grundwerte: Verfügbarkeit, Vertraulichkeit, Integrität

Auswirkungen ohne zusätzliche Maßnahmen: hoch

Risiko ohne zusätzliche Maßnahmen: beträchtlich
---


key: _node_content
string_value:
{"id_": "5334276c-40b4-43ad-ba81-18608161c980", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8dfcb7dc-b034-4d72-ae12-70662c290eeb", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3f2c5aa5a727d90b4a44f101739822e31d8e95cda6393ac3b52dff255adf4c56", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 26, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "eb1c51f3-e9bf-40b7-87f6-4b8272c95345", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b326b459-0df6-4e11-b63a-83e2e51cd39f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "95258b5b0bddc2d05547202dec1219753c08b664aa41643968bff07b7bbad8b2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2767, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.1 Risikobehandlungsoptionen

Wie bereits in Kapitel 5 dargestellt, sind je nach Risikoappetit einer Institution unterschiedliche Risikoakzeptanzkriterien möglich. Im Folgenden wird davon ausgegangen, dass eine Institution „geringe“ Risiken grundsätzlich akzeptiert, „mittlere“, „hohe“ und „sehr hohe“ Risiken jedoch nur in Ausnahmefällen.

In der Praxis ergeben sich im Rahmen der Risikoeinstufung meist mehrere Gefährdungen, aus denen sich Risiken in den Stufen „mittel“, „hoch“ oder „sehr hoch“ ergeben. Es muss entschieden werden, wie mit diesen verbleibenden Risiken umgegangen wird. Es müssen also geeignete Risikobehandlungsoptionen ausgewählt werden. Risiken können:

- vermeiden werden, indem beispielsweise die Risikoursache ausgeschlossen wird,
- reduziert werden, indem die Rahmenbedingungen, die zur Risikoeinstufung beigetragen haben, modifiziert werden,
- transferiert werden, indem die Risiken mit anderen Parteien geteilt werden,
- akzeptiert werden, beispielsweise weil die mit dem Risiko einhergehenden Chancen wahrgenommen werden sollen.

Im Folgenden werden die Risikobehandlungsoptionen der Vermeidung, Reduktion und des Transfers näher betrachtet. Darauf aufbauend, muss eine Institution Risikoakzeptanzkriterien festlegen und die Risikobehandlung darauf abbilden. Bei der Entscheidung, wie mit den identifizierten Risiken umgegangen wird, muss auf jeden Fall die Leitungsebene beteiligt werden, da sich aus der Entscheidung unter Umständen erhebliche Schäden ergeben oder zusätzliche Kosten entstehen können.

Für jede Gefährdung in der vervollständigten Gefährdungsübersicht mit Risikokategorie „mittel“, „hoch“ oder „sehr hoch“ müssen folgende Fragen beantwortet werden:

A: Risikovermeidung: Ist es sinnvoll, das Risiko durch eine Umstrukturierung des Geschäftsprozesses oder des Informationsverbunds zu vermeiden? Gründe für diesen Ansatz können beispielsweise sein:

- Alle wirksamen Gegenmaßnahmen sind mit hohem Aufwand verbunden und damit sehr teuer, die verbleibende Gefährdung kann aber trotzdem nicht hingenommen werden.
- Die Umstrukturierung bietet sich ohnehin aus anderen Gründen an, z. B. zur Kostensenkung.
- Es kann einfacher und eleganter sein, die vorhandenen Abläufe zu ändern, als sie durch Hinzufügen von Sicherheitsmaßnahmen komplexer zu machen.
- Alle wirksamen Gegenmaßnahmen würden erhebliche Einschränkungen für die Funktion oder den Komfort des Systems mit sich bringen.

B: Risikoreduktion (Risikomodifikation): Ist es sinnvoll und möglich, das Risiko durch weitere Sicherheitsmaßnahmen zu reduzieren? Das Risiko durch die verbleibende Gefährdung kann möglicherweise gesenkt werden, indem eine oder mehrere ergänzende Sicherheitsmaßnahmen erarbeitet und umgesetzt werden, die der Gefährdung entgegenwirken.
---


key: _node_content
string_value:
{"id_": "f9a9ea87-5ee0-4836-95fc-b981c00b0fdc", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cda590d8-8e1c-49a6-a602-5b485d554872", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "dabe1b2a845d9cb74f62795148ccf5852e65cc2d705cf7e29024060a4a12964d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3225, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.1  Risikobehandlungsoptionen

dung entgegenwirken. Als Informationsquellen über ergänzende Sicherheitsmaßnahmen kommen beispielsweise folgende infrage:

- die Dokumentation und der Service des Herstellers, wenn es sich bei dem betroffenen Zielobjekt um ein Produkt handelt,
- Standards und Best Practices, wie sie beispielsweise von Gremien im Bereich der Informationssicherheit erarbeitet werden,
- andere Veröffentlichungen und Dienstleistungen, die beispielsweise im Internet oder von spezialisierten Unternehmen angeboten werden,
- Erfahrungen, die innerhalb der eigenen Institution oder bei Kooperationspartnern gewonnen wurden.

Der hypothetische Aufwand und mögliche Kosten für gegebenenfalls erforderliche Sicherheitsmaßnahmen und Informationen über bereits vorhandene Sicherheitsmechanismen sind wichtige Entscheidungshilfen.

C: Risikotransfer (Risikoteilung): Ist es sinnvoll, das Risiko an eine andere Institution zu übertragen, beispielsweise durch den Abschluss eines Versicherungsvertrags oder durch Outsourcing? Gründe für diesen Ansatz können beispielsweise sein:

- Die möglichen Schäden sind rein finanzieller Art.
- Es ist ohnehin aus anderen Gründen geplant, Teile der Geschäftsprozesse auszulagern.
- Der Vertragspartner ist aus wirtschaftlichen oder technischen Gründen besser in der Lage, mit dem Risiko umzugehen.

Wenn im Rahmen der Risikobehandlung zusätzliche Sicherheitsanforderungen identifiziert werden, muss die Risikoeinstufung (siehe nachfolgende Beispiele) für die betroffenen Zielobjekte entsprechend angepasst werden. Zu beachten ist dabei, dass neue Anforderungen unter Umständen nicht nur Auswirkungen auf das jeweils analysierte Zielobjekt haben, sondern auch auf andere Zielobjekte. Die zusätzlichen Anforderungen und die daraus resultierenden Sicherheitsmaßnahmen werden im Sicherheitskonzept dokumentiert.

Wenn im Rahmen der Risikobehandlung Änderungen an den Geschäftsprozessen oder am Informationsverbund vorgenommen wurden, etwa durch Risikovermeidung oder Risikotransfer, müssen diese insgesamt im Sicherheitskonzept berücksichtigt werden. Dies betrifft im Allgemeinen auch Arbeits schritte, die in der IT-Grundschutz-Vorgehensweise gemäß BSI-Standard 200-2 dargestellt sind, beginnend bei der Strukturanalyse. Selbstverständlich kann dabei aber auf die bisher erarbeiteten Informationen und Dokumente zurückgegriffen werden.

Beim Risikotransfer ist die sachgerechte Vertragsgestaltung einer der wichtigsten Aspekte. Besonders bei Outsourcing-Vorhaben sollte hierzu auf juristischen Sachverstand zurückgegriffen werden. Die Entscheidung wird von der Leitungsebene getroffen und nachvollziehbar dokumentiert.

D: Risikoakzeptanz: Können die Risiken auf Basis einer nachvollziehbaren Faktenlage akzeptiert werden? Die Schritte der Risikoeinstufung und Risikobehandlung werden so lange durchlaufen, bis die Risikoakzeptanzkriterien der Institution erreicht sind und das verbleibende Risiko („Restrisiko“) somit im Einklang mit den Zielen und Vorgaben der Institution steht. Das Restrisiko muss anschließend der Leitungsebene zur Zustimmung vorgelegt werden (Risikoakzeptanz). Damit wird nachvollziehbar dokumentiert, dass die Institution sich des Restrisikos bewusst ist.
---


key: _node_content
string_value:
{"id_": "bad3e201-4501-4dca-8c1b-49d395e6f596", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "329e8eec-0b50-4d5e-970b-03f40333aad3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "378d60789bf7ac21950a8091d7bf68f36d3ba688d772162524b5814388772f78", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1274, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6 Behandlung von Risiken

ist. Idealerweise akzeptiert eine Institution nur Risiken der Stufe „gering“. In der Praxis ist dies aber nicht immer zweckmäßig. Gründe, auch höhere Risiken zu akzeptieren, können beispielsweise sein:

- Die entsprechende Gefährdung führt nur unter ganz speziellen Voraussetzungen zu einem Schaden.
- Gegen die entsprechende Gefährdung sind derzeit keine wirksamen Gegenmaßnahmen bekannt und sie lässt sich in der Praxis auch kaum vermeiden.
- Aufwand und Kosten für wirksame Gegenmaßnahmen überschreiten den zu schützenden Wert.

Hinweis: Auch diejenigen IT-Grundschutz-Anforderungen, die im IT-Grundschutz-Kompendium als Anforderungen bei erhöhtem Schutzbedarf aufgeführt sind sowie die zugehörigen Maßnahmen, können als Anhaltspunkte für weiterführende Sicherheitsmaßnahmen im Rahmen einer Risikoanalyse herangezogen werden. Dabei handelt es sich um Beispiele, die über das dem Stand der Technik entsprechende Schutzniveau hinausgehen und in der Praxis häufig angewandt werden. Zu beachten ist jedoch, dass Anforderungen bei erhöhtem Schutzbedarf grundsätzlich empfehlenswert sind, aber auch bei hohen Sicherheitsanforderungen nicht automatisch verbindlich werden. Somit müssen sie auch nicht zwingend in eine Risikoanalyse einbezogen werden.


key: _node_content
string_value:
{"id_": "a2b843ee-1212-4837-b91d-ed432cacbb43", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ea99a4d6-e0ee-4db4-9db2-6bc2087901d5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "aaeda8d97b2118292399d29a85ef86a950dfc1432ec564ef4b08635e097926b8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1966, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2 Risiken unter Beobachtung

Bei der Risikoanalyse können unter Umständen Gefährdungen identifiziert werden, aus denen Risiken resultieren, die zwar derzeit akzeptabel sind, in Zukunft jedoch voraussichtlich steigen werden. Dies bedeutet, dass sich in der weiteren Entwicklung ein Handlungsbedarf ergeben könnte. In solchen Fällen ist es sinnvoll und üblich, bereits im Vorfeld ergänzende Sicherheitsmaßnahmen zu erarbeiten und vorzubereiten, die in Betrieb genommen werden können, sobald die Risiken inakzeptabel werden. Diese ergänzenden Sicherheitsmaßnahmen sind zu dokumentieren und vorzumerken. Die Risiken werden beobachtet und sobald sie nicht mehr akzeptabel sind, werden die vorgemerkten ergänzenden Sicherheitsmaßnahmen überprüft, gegebenenfalls aktualisiert und in das Sicherheitskonzept übernommen. Die Risikoeinstufung wird gemäß Kapitel 5 entsprechend angepasst. Nachdem die Risikobehandlung für die verbleibenden Risiken abgeschlossen ist und die Restrisiken von der Leitungsebene akzeptiert wurden, kann das Sicherheitskonzept für den betrachteten Informationsverbund fertiggestellt werden.

Generell sollten jedoch alle Risiken beobachtet werden, also nicht nur solche, die in Zukunft voraussichtlich steigen werden. Um die Beobachtung der Risiken und Anpassung der Maßnahmen bzw. Handlungsalternativen zu dokumentieren, ist es in der Praxis üblich, hierfür Risikoregister oder Risikoverzeichnisse anzulegen. Für benutzerdefinierte Bausteine müssen die Gefährdungen in regelmäßigen Zeitabständen überprüft und neu bewertet werden. Da die Zielobjekte, die mit benutzerdefinierten Bausteinen abgedeckt werden, den normalen Anwendungsfall des IT-Grundschutz-Kompendiums überschreiten, müssen die hier beschriebenen Aktivitäten zur Beobachtung von Risiken in jedem Fall berücksichtigt werden.

Beispiel (Auszug): Für die in Kapitel 5 mit Risikokategorie „mittel“ oder „hoch“ identifizierten Gefährdungen wurden folgende Entscheidungen getroffen:
---


key: _node_content
string_value:
{"id_": "ea96999c-398f-43d9-96e8-530b9aea1272", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b9995508-5d80-46b0-a0a1-8bfbe5c44eac", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "93ff8ec832c21f33ec00078ffed5bbd1804fc67822c019c40f60120b294bad84", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 31, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "bcb84dc5-aa7c-4332-8f44-820fa1a9c4cf", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "bcfad89d-3c04-433a-b497-2d548a1d405b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "81b0c751fb97dba5dd0d3df364e3091aed871aab7df32654f7171b5a500437a8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 273, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Virtualisierungsserver S1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

|Gefährdung|Risikokategorie|
|---|---|
|G 0.15 Abhören (hier Live-Migration)|mittel|
|G 0.25 Ausfall von Geräten oder Systemen (hier Ausfall des zentralen Verwaltungsservers)|mittel|


key: _node_content
string_value:
{"id_": "bf9895cd-600c-42c2-801b-dd46bf84d062", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c70240ad-5dae-4e6d-9f05-b7358b7823f6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "15354f95a587a50b7db2ebaf9db22cf6317077610eeffc0f8d914aeb61105602", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 654, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Risikobehandlungsoption

D: Risikoakzeptanz (Risikoübernahme ohne zusätzliche Maßnahmen)

Auf das Live-Migration-Netz dürfen nur befugte Administratoren zugreifen. Diesen wird vertraut. Das bestehende Restrisiko wird von der RECPLAST als vertretbar eingeschätzt und übernommen.

B: Risikoreduktion

Ergänzende Sicherheitsmaßnahme: Der zentrale Verwaltungsserver wird redundant ausgelegt, damit sichergestellt ist, dass bei einem Ausfall die virtuelle Infrastruktur weiterhin problemlos betrieben wird. Das System wird so konfiguriert, dass bei Ausfall des Verwaltungsservers automatisch auf einen Ersatzrechner innerhalb des Clusters umgeschaltet wird.


key: _node_content
string_value:
{"id_": "5c8cfb91-a555-460f-a679-a42b269cc8af", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a2fb52a6-301e-4bef-81c4-eacd31228ad1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b6a3fd244d01b2c1735e5c58ef74c067030e62cf8a1530c2f25dd9d6a05deb04", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 931, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Datenbank A1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

|Gefährdung|Risikokategorie|Risikobehandlungsoption|
|---|---|---|
|G 0.28 Software-Schwachstellen oder -Fehler|hoch|B: Risikoreduktion|

Ergänzende Sicherheitsmaßnahme: Die manuelle Erfassung und Freigabe der Arbeitsstunden würde einen erheblichen Mehraufwand seitens der Abteilungsleiter und der Personalabteilung darstellen, der aktuell nicht geleistet werden kann. Bis die Webanwendung durch eine neue Anwendung abgelöst wird, setzt man eine Datenbank-Firewall ein, um das bestehende Risiko zu reduzieren. Hierfür erstellen die Datenbankadministratoren einen geeigneten Satz an Regeln, die verhindern, dass an der Webanwendung eingeschleuste SQL-Anfragen auf der Datenbank ausgeführt werden. Der Performance-Verlust, der dadurch entsteht, dass eine Datenbank-Firewall eingesetzt werden muss, wird für die Webanwendung als tolerabel eingeschätzt.
---


key: _node_content
string_value:
{"id_": "0e635ca8-a776-4492-8bea-a90f977c65c7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "faee3444-48ff-4b0f-8cfb-b20f344115c5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3f2c5aa5a727d90b4a44f101739822e31d8e95cda6393ac3b52dff255adf4c56", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 26, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "441cbb1f-1b69-415d-bfd4-e4685e83772f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "77ea9421-a78c-451a-9c9a-a9d985336e79", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1dd937a6b786191f53d35fa390198c01d77c2bc77c378ef0fd7e200a6a0307d7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1357, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Datenbank A1

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

|Gefährdung|Risikokategorie|Risikobehandlungsoption|
|---|---|---|
|G 0.32 Missbrauch von Berechtigungen|mittel|B: Risikoreduktion|
|Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird ein zusätzliches Modul des Datenbankmanagementsystems beschafft, mittels dessen administrative Zugriffe auf kritische Daten in Datenbanken verhindert werden. Zudem werden Aktionen von Administratorkennungen sicher protokolliert und ausgewertet, sodass versuchte Verstöße frühzeitig erkannt werden können.|Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird ein zusätzliches Modul des Datenbankmanagementsystems beschafft, mittels dessen administrative Zugriffe auf kritische Daten in Datenbanken verhindert werden. Zudem werden Aktionen von Administratorkennungen sicher protokolliert und ausgewertet, sodass versuchte Verstöße frühzeitig erkannt werden können.|Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird ein zusätzliches Modul des Datenbankmanagementsystems beschafft, mittels dessen administrative Zugriffe auf kritische Daten in Datenbanken verhindert werden. Zudem werden Aktionen von Administratorkennungen sicher protokolliert und ausgewertet, sodass versuchte Verstöße frühzeitig erkannt werden können.|


key: _node_content
string_value:
{"id_": "ef478bcc-5dcd-45fd-8412-a23106729710", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2f527957-8dfa-48e4-bd62-ee72e71150c7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "bc954eb0d532acb327893c849e4ff0a5053da9961e4fd23b8ba6cb84e1025038", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1378, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Smart-Meter-Gateway-Administration

Vertraulichkeit: hoch

Integrität: hoch

Verfügbarkeit: hoch

|Gefährdung|Risikokategorie|
|---|---|
|G 0.18 Fehlplanung oder fehlende Anpassung (hier: fehlende oder unzureichende Netzsegmentierung)|hoch|
|Risikobehandlungsoption: B: Risikoreduktion|Risikobehandlungsoption: B: Risikoreduktion|
|Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird die Smart-Meter-Gateway-Infrastruktur geeignet segmentiert. Hierbei werden IT-Systeme, auf denen die Benutzeroberfläche einer SMGW-Admin-Software betrieben wird, in einem eigenen Teilnetz betrieben. Dieses ist so konzipiert, dass es gegenüber anderen Teilnetzen nur die minimal notwendigen und zu begründenden Netzkoppelungen und Kommunikationsbeziehungen aufweist. Um Netzsegmente logisch voneinander zu trennen, werden Firewalls eingesetzt.|Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird die Smart-Meter-Gateway-Infrastruktur geeignet segmentiert. Hierbei werden IT-Systeme, auf denen die Benutzeroberfläche einer SMGW-Admin-Software betrieben wird, in einem eigenen Teilnetz betrieben. Dieses ist so konzipiert, dass es gegenüber anderen Teilnetzen nur die minimal notwendigen und zu begründenden Netzkoppelungen und Kommunikationsbeziehungen aufweist. Um Netzsegmente logisch voneinander zu trennen, werden Firewalls eingesetzt.|
---


key: _node_content
string_value:
{"id_": "b4b42dfa-6858-42eb-9a78-c4d8ac7ce285", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "25e0b831-2f50-4286-87ae-473d6b5a1a75", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "0af5b7c600c67b4d52ed28a85aa7c6511741330889d294df958cb3e67f75f391", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 228, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2 Risiken unter Beobachtung

Smart-Meter-Gateway-Administration

|Vertraulichkeit:|hoch|
|---|---|
|Integrität:|hoch|
|Verfügbarkeit:|hoch|
|G 0.32 Missbrauch von Berechtigungen|hoch|
|mit ergänzender Maßnahme:|gering|

usw.


key: _node_content
string_value:
{"id_": "0aa78a6c-511c-4048-a808-172856d50789", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0c925f21-9755-4e5e-87ea-6dcea5f583e3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c5dd1ecb5dcdf4d46eb6bd94938ca1114bdeb5e752abc6fa98033bfdd5ca4a43", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 410, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
B: Risikoreduktion

Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird ein Rollen- und Rechtekonzept umgesetzt und dokumentiert, das den Grundsätzen einer Funktionstrennung genügt und nur Berechtigten einen Zugriff erlaubt. Im Konzept ist auch auf eine geeignete Rollentrennung geachtet worden. Zudem deckt das Konzept auch Zutritts-, Zugangs- und Zugriffsberechtigungen ab.

38
---


key: _node_content
string_value:
{"id_": "531fd28d-23f5-4f8e-8595-61142d065ac5", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a389f6ab-6bb8-41aa-bd2d-62b4ee161609", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "287aaa7ae93abb540b3a812a71fbb886c6f80b178b8d30ba561936211572bc58", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 393, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7 Konsolidierung des Sicherheitskonzepts

Falls bei der Behandlung von verbleibenden Gefährdungen ergänzende Maßnahmen zu den bereits im Sicherheitskonzept beschriebenen Sicherheitsmaßnahmen hinzugefügt wurden, muss das Sicherheitskonzept anschließend konsolidiert werden. Konkret bedeutet dies, dass die Sicherheitsmaßnahmen für jedes Zielobjekt anhand folgender Kriterien überprüft werden:


key: _node_content
string_value:
{"id_": "2502fb15-97cd-4c7d-b725-b61e85885a69", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "db31521d-c061-4a34-a1e7-dce7e71c9008", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c253098403e5b0c3703632db6b79e28ae03e4b79e7eb98214122c7249e36c02c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 215, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Eignung der Sicherheitsmaßnahmen zur Abwehr der Gefährdungen

- Werden alle Aspekte der relevanten Gefährdungen vollständig abgedeckt?
- Stehen die getroffenen Gegenmaßnahmen im Einklang mit den Sicherheitszielen?


key: _node_content
string_value:
{"id_": "ca55b416-e835-48aa-853d-9b5eabf87fc8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d588a750-a956-4450-a864-a9ca261fa980", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "90e30db37f2d1f9c79ea23e5b6734e61b8717798ff55a0e19e3a20faaaa7bf3f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 251, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Zusammenwirken der Sicherheitsmaßnahmen

- Unterstützen sich die Maßnahmen bei der Abwehr der relevanten Gefährdungen?
- Ergibt sich durch das Zusammenwirken der Maßnahmen ein wirksames Ganzes?
- Stehen die Maßnahmen nicht im Widerspruch zueinander?


key: _node_content
string_value:
{"id_": "ebc7209a-b843-4796-87b5-1cdc8f3e3563", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "189ddf06-b80e-4bff-aa3e-5dcfb75b1ccb", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "41bf36f5065cf7f33b8c99805ffbed7ccd66cbd67624fd4faf470c78d609f0ff", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 354, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Benutzerfreundlichkeit der Sicherheitsmaßnahmen

- Sind die getroffenen Maßnahmen tolerant gegenüber Bedienungs- und Betriebsfehlern?
- Sind die getroffenen Maßnahmen für die Mitarbeiter und andere Betroffene transparent?
- Ist für die Betroffenen ersichtlich, wenn eine Maßnahme ausfällt?
- Können die Betroffenen die Maßnahme nicht zu leicht umgehen?


key: _node_content
string_value:
{"id_": "179a30ba-2938-4522-a940-389ec2903b1e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cfbc8b25-697d-4079-8788-19f51ee66058", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "0315a3b11709b5e9fe6dfdd3aab68471f3bb2da2023bb1155330d59991faa811", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1134, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Angemessenheit/Qualitätssicherung der Sicherheitsmaßnahmen

- Sind die getroffenen Maßnahmen für die jeweiligen Gefährdungen angemessen?
- Stehen die Kosten und der Aufwand für die Umsetzung in einem sachgerechten Verhältnis zum Schutzbedarf der betroffenen Zielobjekte?

Auf dieser Grundlage sollte das Sicherheitskonzept bereinigt und konsolidiert werden:

- Ungeeignete Sicherheitsmaßnahmen sollten verworfen und nach eingehender Analyse durch wirksame Maßnahmen ersetzt werden.
- Widersprüche oder Inkonsistenzen bei den Sicherheitsmaßnahmen sollten aufgelöst und durch einheitliche und aufeinander abgestimmte Mechanismen ersetzt werden.
- Sicherheitsmaßnahmen, die von den Betroffenen nicht akzeptiert werden, sind wirkungslos. Es sollten praktikable Lösungen erarbeitet werden, die die Betroffenen möglichst wenig einschränken oder behindern.
- Zu aufwändige oder zu teure Sicherheitsmaßnahmen sollten entweder überarbeitet oder verworfen und durch angemessene Schutzmaßnahmen ersetzt werden. Auf der anderen Seite gefährden zu schwache Maßnahmen die Informationssicherheit. Auch sie sollten überarbeitet oder ersetzt werden.


key: _node_content
string_value:
{"id_": "929b58d6-5f7d-4776-8302-5196b9721678", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d3212dd2-9a57-41d6-8ff9-307f6d2edeef", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "810d59e8999018471cd73c5440a34c76337d3dc0ad446748b1c7527e688bf744", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 412, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Integration der Inhalte

- Bei Zielobjekten, die bereits im IT-Grundschutz-Kompendium enthalten sind, kann es sich als sinnvoll erweisen, bestehende Bausteine um aus der Risikoeinstufung ermittelte Anforderungen zu ergänzen.
- Bei Zielobjekten, die nicht hinreichend mit dem bestehenden IT-Grundschutz abgebildet werden können, kann überlegt werden, die neu gefundenen Gefährdungen und Anforderungen (siehe
---


key: _node_content
string_value:
{"id_": "2db04c4b-0854-424f-963a-859f56a03c97", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8bb17fd2-ca05-47af-8b65-ca0809db2543", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "be503543be38f9188ad5d3c0c55643e473dbc1b05c421acd09db45f69cf8b956", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 164, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Konsolidierung des Sicherheitskonzepts

Beispiele zur Smart-Meter-Gateway-Administration, Kapitel 4 und 5) in einem benutzerdefinierten Baustein zusammenzufassen.


key: _node_content
string_value:
{"id_": "a80de718-883a-42a3-9e05-52a44f223026", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "241ed16e-f7b7-47f4-b450-3211eaeaff42", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "972a608993f543761f0783503e09570b6a279c4d075b621f776d1594439ee3ea", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1677, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel (Auszug):

Bei der Konsolidierung des Sicherheitskonzepts für die RECPLAST GmbH wurde unter anderem Folgendes festgestellt:

- Zwei Jahre zuvor wurde entschieden, dass der Einsatz von Verschlüsselung zur Netzkommunikation entbehrlich ist. Eine gemeinsame Projektgruppe mit dem Auftraggeber ist zu dem Ergebnis gekommen, dass diese Entscheidung nicht mehr dem Stand der Technik entspricht. Die Vorgaben zur Konfiguration der Router werden deshalb kurzfristig überarbeitet und an die aktuellen Bedürfnisse angepasst.
- Sowohl der Client C1 als auch der Switch N3 werden im Fertigungsbereich eingesetzt. Im Rahmen der Risikoanalyse wurde festgestellt, dass die größten Gefahren für C1 von Luftverunreinigungen, Spritzwasser und Vibrationen ausgehen. Im Rahmen eines Brainstormings ist deshalb beschlossen worden, anstelle eines handelsüblichen PCs einen Industrie-PC einsetzen, der besonders gegen physische Gefahren geschützt ist. Der Industrie-PC muss für den Einbau in Standard-19-Zoll-Schränke geeignet sein. Darüber hinaus muss er über ein integriertes oder ausklappbares Display sowie einen leicht auswechselbaren Luftfilter verfügen und gegen Spritzwasser und Vibrationen schützen.
- Oben genannte Anforderungen tragen den besonderen infrastrukturellen Rahmenbedingungen des Clients C1 Rechnung. Im Fertigungsbereich wird außer diesem Client noch weitere Informationstechnik betrieben, die zwar nicht Gegenstand der Risikoanalyse ist, die aber dennoch angemessen geschützt werden muss. Das Unternehmen nimmt die Erfüllung obiger Anforderungen zum Anlass, eine Richtlinie für den sicheren Betrieb von Informationstechnik im Fertigungsbereich zu erarbeiten.
- usw.


key: _node_content
string_value:
{"id_": "b29589d4-2eb0-45d5-aff9-a6816bcd3c3c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b77b5631-24a9-4281-8169-e0df0c4cf547", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ffd1f9f00efbf9a8d15fbe9422c3bdd5f463067954a8be1a155ce2fc271ea100", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 589, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel (Auszug):

Bei der Konsolidierung des Sicherheitskonzepts für die Administration des Smart Meter Gateways ist entschieden worden, die im Rahmen der Risikoeinstufung und -behandlung ermittelten Gefährdungen

- G 0.18 Fehlplanung oder fehlende Anpassungen,
- G 0.30 Unberechtigte Nutzung oder Administration von Geräten und Systemen,
- G 0.43 Einspielen von Nachrichten
- usw.

und die Sicherheitsanforderungen und Maßnahmen

- geeignete Netzsegmentierung,
- Einsatz eines angemessenen Rollen- und Rechtekonzepts
- usw.

in einem benutzerdefinierten Baustein zusammenzufassen.
---


key: _node_content
string_value:
{"id_": "0d39e6bf-2751-45c7-81ee-4b8a40b328b0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5451dd8b-4c53-4cf4-8823-a49d1d8d4050", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c7b59ce5940a60dd4117c134d84ebd24fd8216ac669cfdb556a20462aa90855b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2530, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Rückführung in den Sicherheitsprozess

Nach der Konsolidierung des Sicherheitskonzepts kann der Sicherheitsprozess, wie er im BSI-Standard 200-2 IT-Grundschutz-Methodik (siehe [BSI2]) beschrieben ist, fortgesetzt werden. Das ergänzte Sicherheitskonzept dient somit als Basis für folgende Arbeitsschritte:

- IT-Grundschutz-Check (siehe Kapitel 8.4 der IT-Grundschutz-Methodik). Im Rahmen der Vorarbeiten wurde bereits ein IT-Grundschutz-Check für die laut IT-Grundschutz-Modell zu erfüllenden Sicherheitsanforderungen durchgeführt. Da sich bei der Risikoanalyse in der Regel Änderungen am Sicherheitskonzept ergeben, ist anschließend noch der Umsetzungsstatus der neu hinzugekommenen oder geänderten Anforderungen zu prüfen. Gegebenenfalls veraltete Ergebnisse sollten auf den neuesten Stand gebracht werden.
- Umsetzung der Sicherheitskonzeption (Kapitel 9 der IT-Grundschutz-Methodik). Die im Sicherheitskonzept für die einzelnen Zielobjekte vorgesehenen Sicherheitsanforderungen müssen erfüllt werden. Hierfür müssen die daraus abgeleiteten Sicherheitsmaßnahmen in die Praxis umgesetzt werden, damit sie wirksam werden können. Dies umfasst unter anderem eine Kosten- und Aufwandsabschätzung sowie die Festlegung der Umsetzungsreihenfolge.
- Überprüfung des Informationssicherheitsprozesses in allen Ebenen (siehe Kapitel 10.1 der IT-Grundschutz-Methodik). Zur Aufrechterhaltung und kontinuierlichen Verbesserung der Informationssicherheit müssen unter anderem regelmäßig die Erfüllung der Sicherheitsanforderungen und die Eignung der Sicherheitsstrategie überprüft werden. Die Ergebnisse der Überprüfungen fließen in die Fortschreibung des Sicherheitsprozesses ein.
- Informationsfluss im Informationssicherheitsprozess (siehe Kapitel 5.2 der IT-Grundschutz-Methodik). Um Nachvollziehbarkeit zu erreichen, muss der Sicherheitsprozess auf allen Ebenen dokumentiert sein. Dazu gehören insbesondere auch klare Regelungen für Meldewege und Informationsflüsse. Die Leitungsebene muss von der Sicherheitsorganisation regelmäßig und in angemessener Form über den Stand der Informationssicherheit informiert werden.
- ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz (siehe Kapitel 11 der IT-Grundschutz-Methodik). In vielen Fällen ist es wünschenswert, den Stellenwert der Informationssicherheit und die erfolgreiche Umsetzung des IT-Grundschutzes in einer Behörde bzw. einem Unternehmen transparent zu machen. Hierfür bietet sich eine ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz an.

BSI-Standard 200-3
---


key: _node_content
string_value:
{"id_": "4dbc9f34-1afc-403e-ae9c-4ffaaed9f82e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6670b65b-2cc9-437a-aa0b-fb8a1470494a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fc06118e25f3ada0aef7a6d4ac5ea2665287e1bea05de04da1bf657ac77c3029", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 10, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "5e25f63d-48a9-41c0-a3cb-2ebaac2a795d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3d7be912-4317-4dd8-9180-a8fd7fa1eb63", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "94fa0a359f174473b0b87712775bd8286df53f6aa6fae0c86225cdb1fe80b828", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 640, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1 Risikoappetit (Risikobereitschaft)

Risikoappetit bezeichnet die durch kulturelle, interne, externe oder wirtschaftliche Einflüsse entstandene Neigung einer Institution, wie sie Risiken einschätzt, bewertet und mit ihnen umgeht. Die Neigung, innerhalb einer Institution Risiken einzugehen, wird durch eine Vielzahl von Faktoren beeinflusst, sodass eine quantitative Einstufung des Risikoappetits recht komplex werden kann. Ein Ziel dieses Kapitels ist es, die Komplexität zu verringern und eine beherrschbare Zahl von Risikoneigungstypen zu definieren, denen Empfehlungen für einen sinnvollen Umgang mit Risiken gegeben werden können.


key: _node_content
string_value:
{"id_": "96dbeafe-6db6-4cf5-82d5-6fef534f1582", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3d878ed8-ee0e-4e3e-b1bf-2037f907eda4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "dbaff927f8e09509001d5d3844fdbf0e75af18579c01c46b4a14a08318df4719", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2700, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1.1 Einflussfaktoren

Zu den äußeren Bedingungen, die die Risikoneigung einer Institution beeinflussen, gehören:

- Kulturelle Einflüsse (Je nach Land und Mentalität gibt es unterschiedliche Bereitschaften, Risiken einzugehen.)
- Interne Faktoren (Organisationskultur, Einstellung des Managements, Risiken als Problem oder Chance sehen)
Konservative Institutionen neigen eher zur Risikovermeidung (z. B. Behörden oder Unternehmen, die um ein besonders seriöses Image bemüht sind). Schnell wachsende Unternehmen sind eher bereit, Risiken zu tragen, wohingegen etablierte Großunternehmen Risiken eher meiden. Bei Großunternehmen ist es manchmal jedoch auch sinnvoll, das Risikomanagement für unterschiedliche Unternehmensbereiche unterschiedlich aufzusetzen, je nachdem, ob es sich bei den Bereichen um neue, technologieintensive Bereiche (mit hoher Risikoneigung) oder „Cash Cows“ (mit niedriger Risikoneigung) handelt. Großunternehmen haben hier den Vorteil, dass sie Risiken über verschiedene Bereiche streuen können. Daher kann der Risikoappetit in den diversen Unternehmensteilen auch unterschiedlich sein. Je klarer Visionen und strategische Ziele der Institution sind, desto direkter ergibt sich daraus auch eine Einstellung zu Risiken.
- Marktumfeld (z. B. konservatives oder innovatives Umfeld)
Das Marktumfeld und interne Faktoren stehen in einem engen Zusammenhang. Wer in neue Märkte einsteigt, muss sich auf die dort geltenden Regeln und insbesondere auf Wettbewerb einstellen, auch wenn dies eventuell der Tradition der Institution zuwiderläuft. Es ist sinnvoll, konkurrierende Institutionen zu beobachten und die eigene Handlungsweise (z. B. nach den Regeln der Spieltheorie) danach auszurichten. Die Strategie kann (hier wiederum nach der Kultur innerhalb der Institution) darauf hinauslaufen, an der Spitze des Marktes stehen zu wollen: In diesem Fall wird Bereitschaft gezeigt werden müssen, hohe Risiken einzugehen. Im anderen Fall kann sich die Institution entscheiden, als „Fast Follower“ zu agieren. Dies bedeutet, dass sie versucht, der Konkurrenz die Risiken zu überlassen und trotzdem einen attraktiven Marktanteil zu erringen. Bei der Entscheidung, ob eine Institution bestimmte Maßnahmen umsetzt oder nicht, spielt auch häufig eine Rolle, was die Konkurrenz macht (sofern deren Maßnahmen bekannt sind).
- Risikotragfähigkeit (Finanzierung der Institution [Haftung, Kapitaldecke usw.])
Obwohl Großunternehmen, wie schon erwähnt, eher zur Risikovermeidung neigen, haben sie üblicherweise eine Kapitaldecke, die es zumindest bei Teilbereichen erlaubt, Risiken zu tragen. Kleine Unternehmen, die über eine eher geringe Kapitaldecke verfügen, aber trotzdem aus Gründen des
---


key: _node_content
string_value:
{"id_": "4d68bf2c-0b83-411b-97b2-1aab1c4f1480", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5831bc55-63db-4856-99a7-8ae4ba24084b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "42e2b7d174c6b39c21a5c132d136c1ef3d88cb7325d81011b990639a11118da3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 135, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9 Anhang

Marktumfeldes signifikante Risiken eingehen müssen, arbeiten aus demselben Grund manchmal mit Risikokapitalgebern zusammen.


key: _node_content
string_value:
{"id_": "fe4a11b6-0fea-4118-98d6-40e86c825932", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "13d3b6fb-7440-4e92-ba9e-a24952a3b139", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "dc8faff363fda93c840283a04121724110990eff28c9f3ee3ff41755857281f6", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 899, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1.2 Quantifizierung von Risikoneigung

Vereinfacht dargestellt, läuft das Risikomanagement in folgenden Schritten ab. Präzise Definitionen können z. B. ISO/IEC 31000 (siehe [31000]) oder NIST SP 800-30 (siehe [NIST800-30]) entnommen werden:

- Identifikation von Risiken
- Risikoeinschätzung (Ermittlung von Eintrittshäufigkeit und Schadenshöhe)
- Risikobewertung (Ermittlung der Risikokategorie)
- Bestimmung von Maßnahmen zur Behandlung von Risiken
- Vergleich der Kosten jeder Maßnahme mit zu erwartenden Schäden und Entscheidung für oder gegen die Umsetzung der Maßnahme
- Restrisikobetrachtung: Festlegung von Handlungsoptionen
- Abgleich mit Chancen (erwartete Einnahmen und Nutzen des Geschäftsfeldes)
- Verfolgung der Risiken und Anpassung der Maßnahmen bzw. Handlungsoptionen im laufenden Betrieb

In mehreren dieser Schritte kann sich die Risikoneigung einer Institution widerspiegeln.


key: _node_content
string_value:
{"id_": "cec069e8-de7b-4185-91ad-78ebfe5573e4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2c66ab01-35bd-452d-a198-b0670e495637", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "9af0704c7b7fede2333b85578e26d6e6d6e2d6baab868d83b64630283db5f08c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1266, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Kriterien für Risikoneigung

Beim Versuch, Kriterien für die Risikoneigung festzulegen, ergeben sich mehrere mögliche Ansätze. Es folgen einige Beispiele:

- Höchstmögliches akzeptables Risiko
- Höchstmögliche akzeptable Eintrittshäufigkeit für Risiken
- Akzeptanz von Risiken bei gleichzeitig hohen Marktchancen
- Akzeptanz von Unvorhersagbarkeit (z. B. wenn sich Risiken nur sehr schwer einer Häufigkeit oder Schadenssumme zuordnen lassen)
- Auswahl von Behandlungsalternativen ab einem bestimmten Restrisiko

Nicht immer lassen sich Einstellungen gegenüber Risiken rational begründen. Ein Beispiel wäre die pauschale Abneigung einer Institution, Risiken mit hoher Eintrittshäufigkeit einzugehen, denn wenn mit diesen Risiken keine hohen Schäden einhergingen, müssten sie nicht unbedingt vermieden werden. Eine derartige Entscheidung könnte aber trotzdem intuitiv gefällt werden, wenn die Institution sich bei der Bestimmung der Schadenshöhe nicht ausreichend sicher ist. Ein analoges Argument träfe bezüglich der Einstellung gegenüber einer maximal akzeptierten Schadenssumme zu. Unpräzises Datenmaterial führt dazu, dass sich Institutionen in der einen oder anderen Weise entscheiden müssen. Dabei wird die Entscheidung von der Risikoneigung stark beeinflusst.


key: _node_content
string_value:
{"id_": "908e0766-177b-412f-9dba-77d204150a30", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9b76b453-dc7f-4746-abc6-abacf2acf918", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1b208810fa82c006e28ed12ee504fd4a4d825063fce0fde0f7fbd6573eb28124", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 325, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Optimale Strategie und Unsicherheit

Wenn sich alle Parameter, die in das Risikomanagement eingehen, exakt bestimmen ließen, wäre auch ein optimaler Umgang mit diesen Risiken ermittelbar. Diese Parameter sind beispielsweise die Eintrittshäufigkeiten und Schadenssummen (vor und nach Behandlung durch Maßnahmen), die Kos
---


key: _node_content
string_value:
{"id_": "445f3379-cb2b-4647-ba91-67488d052d6b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ab6a1232-89ab-43e9-ba88-21deb6b825d9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3736d3bbefa280670d65edf52e23998341d1427c6ac959d7a5d1142cdce53ce1", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1162, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1 Risikoappetit (Risikobereitschaft)

ten von Maßnahmen, die Kosten von Behandlungsalternativen und die erwarteten Chancen, also z. B. Einnahmen aus einem Geschäft.

Risiken müssen immer gegen Chancen abgewogen werden. Typisch wäre beispielsweise bei einem Geschäftsfeld, mit dem Risiken verbunden sind, dass risikoscheue Institutionen das Risiko vermeiden und gleichzeitig die entsprechende Chance verpassen, während weniger risikoscheue Institutionen das Risiko eingehen, aber damit gleichzeitig die Chance wahrnehmen.

Wenn sich die oben erwähnten Parameter alle exakt ermitteln ließen, könnte ein präziser Erwartungswert für die erzielten Gewinne oder Verluste der Institution ermittelt werden, abhängig davon, ob das Risiko eingegangen wird oder nicht. In diesem Falle gäbe es eine optimale Strategie für die Institution und die Frage der Risikoneigung würde keine Rolle mehr spielen.

Daran wird deutlich, dass die Risikoneigung deswegen bedeutsam ist, weil die Eingangsdaten für das Risikomanagement mit Unsicherheiten behaftet sind. Die Frage ist, wie man die Unsicherheiten bewertet und wie die Institution für einen hohen Schadensfall gerüstet ist.


key: _node_content
string_value:
{"id_": "ff6e81f9-1af4-4f56-a6e8-33d98419a95d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "194bb4b1-68fe-4fe1-987e-c989dbf447e9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "7946ee0d7c25dcc66db552766c1504298eebf8ea7e81a36bcb600c8346165633", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1930, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Mögliche Maßzahlen

Unabhängig von eher intuitiv begründeten Risikoneigungen, wie sie oben beschrieben wurden, soll versucht werden, Maßzahlen für die Risikoneigung zu ermitteln. Dabei wird von den Schritten ausgegangen, die oben zum grundsätzlichen Vorgehen beim Risikomanagement beschrieben wurden, und es soll eine rationale Vorgehensweise bei der Beurteilung der Risiken angestrebt werden.

Die einfachste Maßzahl orientiert sich am Erwartungswert für die Schadenshöhe, definiert als Produkt aus der Eintrittshäufigkeit für das Risiko und der Schadenshöhe. Risiken werden oft als Matrix dargestellt, bei der auf der einen Achse die Eintrittshäufigkeit und auf der anderen die Schadenshöhe angeführt wird. Die hohen Risiken befinden sich in der Matrix in einem rot eingefärbten Bereich. Ein „hoher Risikoappetit“ könnte also im einfachsten Falle als Bereitschaft definiert werden, auch Risiken in diesem Bereich zu akzeptieren. Ein „niedriger Risikoappetit“ hieße Vermeidung, also möglicherweise gleichzeitig Verzicht auf eine Einnahmechance.

Die Abbildung 4 zeigt eine beispielhafte Risikomatrix mit definierten Risikokategorien.

Um die Schwellwerte festzulegen, mittels derer die Eintrittshäufigkeiten und Auswirkungen als „hoch“ eingestuft werden, orientieren sich Institutionen typischerweise an ihren finanziellen Kennzahlen. Die Leitungsebene entscheidet, welche Schwellwerte sie als „hoch“ einstuft. Die Schwelle könnte sich an den finanziellen Rücklagen orientieren, aber auch am Umsatz der Institution. So kann die Schwelle als ein bestimmter Prozentsatz des Umsatzes festgelegt werden. Sie kann sich aber auch daran orientieren, ob die Institution bei Eintritt eines bestimmten Risikos noch liquide wäre. Je nach der Höhe des Risikos müssen Entscheidungen normalerweise von verschiedenen Führungsebenen genehmigt werden, hohe Risiken sollten demnach nicht ohne Erlaubnis des Topmanagements eingegangen werden.
---


key: _node_content
string_value:
{"id_": "dd59bb35-e9a7-460a-8727-7292604a6a83", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "28ffba5e-cbf8-4dd2-9c37-b31a1ee63788", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6152de3ce1bac72d2052ce3828726fcde344e8a4bd481b4edf9c619ed1955f71", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 8, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "a73133a2-d8d1-4706-bc17-c981359071ec", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "96bd33f4-c21c-478b-b1a7-499faf3f436e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "65f7c66a4b83d7d1f91d58ba40d82d7e94c6a098e823017d1041f67524197479", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 191, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Auswirkungen

|Schadenshöhe|mittel|sehr hoch|hoch|hoch|
|---|---|---|---|---|
|hoch|mittel|mittel|hoch|sehr hoch|
|mittel|niedrig|mittel|mittel|hoch|
|niedrig|niedrig|niedrig|mittel|mittel|


key: _node_content
string_value:
{"id_": "e3eb8653-d8cf-4e95-aab6-6e72b6ec9a53", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cd54fc32-8aef-4897-91c0-822f1ebab288", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8b2d3a4e9ef68039a8a4c84dcd93d4e6c3388d2c8a356ef3bb3e0efa018b8463", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 683, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Eintritts-

unwahrscheinlich
gering
mittel
groß
häufigkeit
Abbildung 4: Beispielhafte Risikomatrix mit Risikokategorien

Wenn also Risiken eingeschätzt und in die oben dargestellte Risikomatrix eingetragen werden, ergibt sich eine Darstellung wie in Abbildung 5, innerhalb derer sechs verschiedene Risiken ermittelt wurden und als Kreise mit Nummern eingetragen sind. Hier würde eine Institution mit hohem Risikoappetit (die obere der zwei schwarzen Linien) die Risiken 1 und 3 unterhalb der Linie noch tragen, während eine Institution mit niedrigem Risikoappetit nur die Risiken 4, 5 und 6 tragen würde (untere Linie). Risiko 2 würde in diesem Fall keine der Institutionen tragen.


key: _node_content
string_value:
{"id_": "102b71a0-9f27-4012-8113-a956fddcd915", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c791fdfb-c7e8-47b6-9d4e-b6b33c5df7f4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "33766af692a36a36a58d67166420e5f1c50c5aad5df294393aaa0cffffa005d7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 228, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Auswirkungen / Schadenshöhe

sehr hoch
hoch
mittel
niedrig
Hoher Risikoappetit

BSI-Standard 200-3

Niedrigerer Risikoappetit

unwahrscheinlich
gering
groß
häufigkeit
Abbildung 5: Risikomatrix mit eingetragenen Risiken

45
---


key: _node_content
string_value:
{"id_": "e6ff2ae9-52a0-4979-bff3-db938218d5b7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9e7db98b-49ba-41ee-b20b-e3f49f390b04", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e519c414d7173f44ab809e8f8ffcdd4b3ff4fa1fdeec1ffda9a624b4f9e2eb60", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1263, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1 Risikoappetit (Risikobereitschaft)

Wie oben schon erwähnt, gäbe es aber auch für Institutionen mit einem geringen Risikoappetit keinen Grund, auf Chancen zu verzichten, wenn verlässliche Daten Einnahmen erwarten ließen, die die Kosten durch eingetretene Risiken überträfen. Einzig und allein die Unsicherheiten bei den erhobenen Daten sind der Grund dafür, dass Institutionen mit einem geringeren Risikoappetit in derartigen Situationen zur Risikovermeidung neigen.

Eine andere Definition für Risikoappetit besteht in der Akzeptanz von Unsicherheiten bei der Interpretation des Datenmaterials. Gerade bei innovativen Branchen können Institutionen nicht auf viel vorhandenes Datenmaterial bei der Ermittlung von Eintrittshäufigkeiten und Schadenshöhen von Risiken zurückgreifen. Unwägbarkeiten kommen bei Risiken im Bereich der Informationssicherheit nahezu immer ins Spiel, im Gegensatz zu statistisch gut vorhersagbaren Risiken, wie sie beispielsweise zu Elementarschäden in der Versicherungswirtschaft vorliegen.

Die Unsicherheiten lassen sich in einem Risikodiagramm beispielsweise mit Fehlerbalken darstellen, die die Unsicherheit der Daten repräsentieren. Auch die Längen dieser Fehlerbalken sind bei größerer Unsicherheit nur intuitiv zu ermitteln.


key: _node_content
string_value:
{"id_": "79aec1fb-33fe-4b8d-a6ba-446f5833ad01", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5524616d-e195-4838-9416-82d60fe3dba8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "36c1e44a58b2daae98df762fe11ae1331e143120e6459b15b4ba4b2cce019294", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 672, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Abbildung 6: Risikomatrix mit Unsicherheiten

|Auswirkungen / Schadenshöhe|sehr hoch| |
|---|---|---|
|hoch| | |
|mittel|4| |
| |niedrig| |
|Eintrittshäufigkeit|unwahrscheinlich|groß|
|gering|mittel| |
| |häufig| |

Interessant ist ein Vergleich der Risiken 4 und 5: Eine Institution mit niedriger Risikoneigung würde in dieser Situation vielleicht eher das Risiko 4 als das Risiko 5 akzeptieren, obwohl es einen höheren Erwartungswert für den Schaden trägt. Hier ist die Unsicherheit bei der Schadenshöhe ausschlaggebend, die bei Risiko 5 höher liegt, gekennzeichnet durch den Fehlerbalken, der bei Risiko 5 in größere Schadenshöhen hineinragt als der von Risiko 4.
---


key: _node_content
string_value:
{"id_": "56c2a09f-1c97-474c-8d7b-9a65d9db6c43", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4457b526-d129-490d-b24a-a970c67a4edb", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "50920c27d73304951f516d1bf9f4045b738c74e8b5182df6d2dcce35a3211cfd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 435, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Anhang

Zuletzt gibt es auch noch die Möglichkeit, Risiken in unterschiedliche Kategorien einzuteilen und einen unterschiedlichen Risikoappetit pro Kategorie zu entwickeln. Beispielsweise könnte eine Institution Rufschädigungen scheuen, aber bereit sein, hohe finanzielle Risiken einzugehen. Dadurch ändert sich prinzipiell nichts am Vorgehen, sondern die unterschiedlichen Kategorien werden einfach gesondert voneinander betrachtet.


key: _node_content
string_value:
{"id_": "7b79634a-7bbe-471c-baf1-4c1f258095c4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "03184603-b503-4868-93a7-da668c8350af", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "edcd5238662a212ac3f75ea4873681473542b5ecc9e38089ce629182872874ff", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1388, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Risikotypen

In einem einfachen Modell kann man Institutionen je nach ihrem Umgang mit Risiken in verschiedene Typen unterteilen. Eine beispielhafte Unterteilung wäre die folgende:

- „Cowboy“ – entspricht einer Institution, die Risiken prinzipiell bereitwillig in Kauf nimmt
- „Risk-Eater“ – nimmt hohe Risiken in Kauf, wenn diesen auch hohe Chancen gegenüberstehen
- „Konservativer“ – versucht, alle Risiken durch Maßnahmen so weit wie möglich zu minimieren

Wenn unter „Cowboy“ eine Institution verstanden wird, die Risiken einfach ignoriert, widerspricht das den Prinzipien des Risikomanagements und verlässliche Angaben über zu erwartende Konsequenzen, also Schäden oder Chancen, sind schwer möglich.

Für die folgende Betrachtung soll angenommen werden, dass eine Institution ein professionelles Risikomanagement betreibt. Auch wenn ein professionelles Risikomanagement nicht immer verhindern kann, dass schlechte Entscheidungen getroffen werden, so stellt es dennoch sicher, dass diese bewusst aufgrund vorhandener Analysen getroffen werden. Die Risikoneigung sollte keinen Einfluss darauf haben, ob überhaupt eine Risikoanalyse durchgeführt wird und mit welcher Sorgfalt dies geschieht. Sie kann allerdings Einfluss darauf haben, wie viele Ressourcen die Institution in Risikoanalyse und -behandlung investiert. Dabei sollte es sich jedoch um eine bewusste Entscheidung handeln.


key: _node_content
string_value:
{"id_": "cce8105a-7d56-4841-a805-68d19697429e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9654455c-dc82-4a22-b319-e6825040f2da", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "aa7ac3050c2ec5e4ca9fe3b3f447eb3d7d9a9709f600c022794d5f9456da8517", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1057, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Kategorien

- Konservativer
Der Konservative scheut Risiken, die sich in der Risikomatrix im roten (und eventuell auch gelben) Bereich befinden (siehe Abbildung 4) und meidet diese. Die damit verbundenen Chancen sind ihm zu unsicher, um sich auf die Gefahren einzulassen.
- Risikoaffiner
Der Risikoaffine sieht stets die Chancen, die mit hohen Risiken verbunden sind. Wenn diese vielversprechend ausfallen – aber auch nur dann – ist er bereit, das Risiko einzugehen. Institutionen, die jedes Risiko eingehen, auch wenn ihnen keine gleichwertigen Chancen gegenüberstehen, handeln selbstzerstörerisch und werden im Folgenden nicht weiter betrachtet.
- Unsicherheitsvermeider
Der Unsicherheitsvermeider versucht, möglichst verlässliche Daten über seine Risiken zu sammeln. Er neigt eher zur Vermeidung von Risiken, wenn diese sich quantitativ schwer einschätzen lassen, als wenn diese hoch, aber gut kontrollierbar und durch eine solide Finanzierung oder zu erwartende Einnahmen abgedeckt sind. Im letzteren Punkt unterscheidet er sich vom Konservativen.
---


key: _node_content
string_value:
{"id_": "6668a9f2-84e6-48d6-a45b-7d83456b9a8b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b975c1dd-421d-4203-9ef5-83d7cd6ee397", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "eb35c4813486fc731892bc5d6d3a761b7fb223a45b3935a658f634212d4738bf", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 40, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "dd96ef11-1111-4f90-8920-e6583edbc2d1", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c037d13a-1087-4262-b3ab-db316b37588e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b194160db23c7ca79b84b7a0e5abf859c32c7bb15f2eace2b77a051d25af5e7f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3626, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1.3 Risikoneigung als Eingangsgröße im ISMS

Da die Risikoanalyse ein wichtiger Bestandteil des ISMS ist, sollten die Grundvoraussetzungen dafür vom Management der Institution vorgegeben werden. Die Leitungsebene gibt die Risikoneigung vor. Das Sicherheitsmanagement muss die Risikoneigung kennen und sie entsprechend umsetzen. Möglicherweise ist sich eine Institution ihrer eigenen Risikoneigung nicht bewusst oder hat ungenaue Vorstellungen von diesem Begriff. In diesem Fall sollte das Management eine Klärung und Entscheidung herbeiführen, gegebenenfalls unter Beratung durch eine Fachkraft (z. B. durch den Informationssicherheitsbeauftragten bzw. ISB oder Risikomanager). Dabei werden die oben genannten Einflussfaktoren berücksichtigt. Die für das Anforderungsmanagement (Corporate Compliance) zuständige Organisationseinheit sollte ebenfalls gehört werden.

Die vom Management vorgegebene Aussage zur Risikoneigung kann zu Beginn der Risikoanalyse präzisiert werden, im Sinne der oben definierten Kategorien oder Maßzahlen. Wichtig ist es, diese Vorgabe einerseits regelmäßig zu überprüfen und an den Zielen der Institution auszurichten, sie aber bei Risikoanalysen und -behandlungen auch konsequent umzusetzen. Zweifelsfälle können auftreten, beispielsweise wenn es bei einem bestimmten Risiko nicht sinnvoll erscheint, die festgelegte Risikoneigung anzuwenden. Solche Ausnahmefälle sollten abgestimmt und dokumentiert werden.

Oben wurde beschrieben, auf welche Aspekte die Risikoneigung Einfluss haben kann. Wenn Entscheidungen getroffen werden, die durch die Risikoneigung mit beeinflusst wurden, sollte dies dokumentiert werden.

Sobald die Risiken eingeschätzt und bewertet wurden, sollte bereits aufgrund der vorgegebenen Risikoneigung über eine mögliche Behandlung dieser nachgedacht werden, bevor ergänzende Sicherheitsmaßnahmen ermittelt werden. Unter Umständen lohnt sich die Planung von ergänzenden Sicherheitsmaßnahmen nicht. Im entgegengesetzten Fall werden Sicherheitsmaßnahmen geplant und bewertet, um das Risiko zu verringern, und anschließend das Restrisiko ermittelt. Restrisiken müssen behandelt werden, wenn sie das akzeptierte Risiko übersteigen. In eine Entscheidung für eine Behandlungsoption fließt abermals die Risikoneigung ein.

Bei der Entscheidung, ob ein Risiko selbst getragen oder transferiert werden sollte, wird der „Risiko affine“ tendenziell eher zur ersten, die Typen „Konservativer“ und „Unsicherheitsvermeider“ eher zur zweiten Option neigen, obwohl pauschale Aussagen hier nicht immer zutreffen. Der „Unsicherheitsvermeider“ wird gegebenenfalls versuchen, durch die Umsetzung von Maßnahmen unter seiner eigenen Kontrolle die Unsicherheit bei der Risikoeinschätzung zu verringern.

Auch bei den einzelnen Entscheidungen, die bei der Risikoanalyse und -behandlung getroffen werden, empfiehlt es sich, den Einfluss der Risikoneigung auf diese Entscheidungen zu dokumentieren. Bei einer Änderung der Risikoneigung (z. B. durch veränderte Marktbedingungen) lässt sich die Risikoanalyse dann leichter anpassen.

Die Risikoneigung hat zudem Einfluss auf die Aufbauorganisation einer Institution. Ein Beispiel ist die Frage, ob es eine Organisationseinheit für das Risikomanagement gibt und wie diese zusammengesetzt ist, obwohl diese Entscheidung natürlich von Faktoren wie der Firmengröße mitbestimmt wird. Generell lautet die Empfehlung: Wer sich zu einer hohen Risikoneigung bekannt hat (Typus „Risiko affiner“), sollte dem in seinem Risikomanagementprozess und seiner Organisationsstruktur Rechnung tragen. Hohe Risiken verlangen eine aufmerksame Verfolgung und Kontrolle.
---


key: _node_content
string_value:
{"id_": "ec5fc0a7-2ea9-48ef-bf85-c7e17334326e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "137f509c-4ecb-4d01-bfc2-31f5a843b7d3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fc06118e25f3ada0aef7a6d4ac5ea2665287e1bea05de04da1bf657ac77c3029", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 10, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "4479d6a6-e78e-46cf-b913-bb5f783ab632", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "229ee381-94f2-4058-ae2f-ea1b02cc2381", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f31b63d171cca0a4a63b13c3abd646d55da9d62c13c7082a62f0df5a13dfd50c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1291, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.1.4 Auswirkung von Gesetzen und Regularien

Gesetze und Normen beeinflussen nicht die Risikoneigung einer Institution an sich, aber den Umgang mit Risiken. Die Risiken nehmen durch regulatorischen Druck zu, sodass sich das Verhältnis von Risikoappetit zu den ursprünglichen Risiken verschieben kann. Jede Institution muss Sanktionen auf Grund von rechtlichen oder vertraglichen Verstößen in ihr Risikokalkül mit aufnehmen.

Ein Beispiel für Gesetze, die das Risikomanagement von Unternehmen beeinflussen, sind Datenschutzgesetze. Bei etlichen Unternehmen gab es trotz vorbeugender Maßnahmen Datenschutzpannen. Vor dem Hintergrund dieser Erfahrungen sollte dies beim Risikomanagement berücksichtigt werden. Insbesondere geht es darum, die gemachten Fehler, die zu den Datenschutzverstößen führten, zu lokalisieren und geeignete Maßnahmen abzuleiten und umzusetzen. Infrage kommen beispielsweise Schulungen der Mitarbeiter und Awareness-Kampagnen.

Beispiele für Regularien durch Aufsichtsstellen gibt es viele, beispielsweise im Bankenwesen. Entscheidungen einer Institution, Risiken auf jeden Fall zu tragen, obwohl bei seriöser Betrachtung die Kapitaldecke dafür nicht ausreichen würde, werden durch Vorschriften der Finanzaufsicht unterbunden oder mit entsprechenden Sanktionen belegt.


key: _node_content
string_value:
{"id_": "3d8bc986-9098-4f22-8ec7-094a60289674", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "798d063d-240c-442a-8225-903d0aef47af", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fbcc053f187511f1428d13ee8998a77841879bf3d60588874e547cb74c526340", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1595, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.2 Moderation der Risikoanalyse

Für eine Risikoanalyse müssen Fachverantwortliche bzw. Experten für die jeweils betrachteten Zielobjekte miteinbezogen werden. In der Praxis hat es sich bewährt, hierzu besser mehrere kurze als eine lange Sitzung mit allen beteiligten Mitarbeitern durchzuführen. Es sollten Informationssicherheitsbeauftragte, Fachverantwortliche, Administratoren und Benutzer des jeweils betrachteten Zielobjekts und gegebenenfalls auch externe Sachverständige daran teilnehmen.

Es sollte ein Moderator benannt werden. Der Arbeitsauftrag an die Teilnehmer sollte klar formuliert sein und die Zeit für die Sitzungen begrenzt werden.

Damit die für die jeweiligen Schritte der Risikoanalyse notwendigen Beschlüsse direkt konsolidiert werden können, z. B. zu Risikoakzeptanz, Kosten und Umsetzbarkeit, sollte (zumindest gegen Ende) ein Vertreter der Leitungsebene anwesend sein.

Das Team sollte nicht zu groß sein (bewährt haben sich vier bis acht Personen). Es sollte im Team eine ausreichende Expertise für alle Aspekte des betrachteten Bereichs vorhanden sein:

- Der Moderator sollte schon an Risikoanalysen teilgenommen haben, sodass er die Vorgehensweise kennt.
- Die Besprechung sollte unter Rahmenbedingungen stattfinden, die ein ungestörtes Arbeiten ermöglichen, da eine hohe Konzentration erforderlich ist.
- Der Analysebereich sollte klar abgegrenzt werden.
- Es muss ein klarer Maßstab für die Bewertung von Risiken festgelegt werden, damit alle Risiken mit demselben Niveau behandelt werden und die ergriffenen Maßnahmen vergleichbar und nachvollziehbar sind.
---


key: _node_content
string_value:
{"id_": "3b883c91-59e9-47cf-918c-003d9209701d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "517e2060-617e-4055-b649-dd74ce6d2a43", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "58b8d25542b167db9c404004d9de9930c29cd560639d63c08354a9f7910bb41d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1847, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.3 Ermittlung zusätzlicher Gefährdungen

- Alle Teilnehmer sollten den groben Rahmen der Risikoanalyse und des betrachteten Bereichs kennen, sodass sie sich vorab Gedanken machen konnten über Gefährdungen, Schadensauswirkungen und Maßnahmen. Dazu gehört auch, dass sie die zum betrachteten Bereich gehörenden Objekte kennen wie auch die zugehörigen Geschäftsprozesse, Hintergründe, Einbettung in die Organisation und die Technik sowie technische Grundlagen.
- Alle Gefährdungen, die Teilnehmern einfallen, sollten auch genannt und diskutiert werden. Es ist Aufgabe des Moderators, dafür zu sorgen, dass bei den Diskussionen die Ergebnisfindung nicht aus den Augen verloren wird.
- Detailfragen, die eine besondere Expertise erfordern, sollten im Vorfeld vorbereitet werden. Einzelne Punkte können auch im Anschluss geklärt werden.
- Es sollte ein Ergebnisbericht erstellt werden. Da viele potenzielle Angriffspunkte diskutiert wurden, sollten die Unterlagen vertraulich behandelt werden.

Für die Durchführung jeder Risikoanalyse sollte es klare zeitliche Vorgaben geben. Erfahrungen zeigen, dass die Resultate umso besser werden, je systematischer und konzentrierter vorgegangen wird, nicht je länger es dauert. Auch eine Risikoanalyse für komplexe Sachverhalte ist normalerweise an einem Tag zu schaffen. Wenn der betrachtete Bereich zu umfangreich ist, sollte er in Teilbereiche aufgeteilt werden. Auch bei einer Risikoanalyse sollte die 80:20-Regel beachtet werden. Da ohnehin nicht jeder mögliche Sachverhalt betrachtet werden kann, sollten immer die am wahrscheinlichsten Gefährdungen und die plausibelsten Lösungen im Vordergrund stehen. Wenn esoterische Gefährdungen diskutiert werden, also solche, die extrem selten und hochgradig unwahrscheinlich sind, ist das ein Zeichen, dass die erforderliche Konzentration nicht mehr gegeben ist.


key: _node_content
string_value:
{"id_": "1ff8c94b-5bc1-4ab2-bc9a-ec9372c5c1b3", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6b4455a1-1286-457e-a962-60812d163021", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ea18abca3821cb6d67ec5772320b1f2b7e05ae2305b38b6080bddabacdd56fdd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1386, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.3 Ermittlung zusätzlicher Gefährdungen

Die folgenden Fragestellungen sollten bei der Ermittlung zusätzlicher Gefährdungen berücksichtigt werden:

- Von welchen Ereignissen aus dem Bereich höhere Gewalt droht besondere Gefahr für den Informationsverbund?
- Welche organisatorischen Mängel müssen vermieden werden, um die Informationssicherheit zu gewährleisten?
- Welche menschlichen Fehlhandlungen können die Sicherheit der Informationen besonders beeinträchtigen?
- Welche speziellen Sicherheitsprobleme können beim jeweils betrachteten Zielobjekt durch technisches Versagen entstehen?
- Welche besondere Gefahr droht durch vorsätzliche Angriffe von Außentätern? Damit sind Personen gemeint, die nicht der eigenen Institution angehören und auch nicht durch besondere Vereinbarungen Zugang zu oder Zugriff auf interne Ressourcen haben.
- Auf welche Weise können Innentäter durch vorsätzliche Handlungen den ordnungsgemäßen und sicheren Betrieb des jeweiligen Zielobjekts beeinträchtigen? Durch vorhandene Zugangs- und Zugriffsberechtigungen sowie durch Insiderwissen droht hier oft besondere Gefahr.
- Drohen besondere Gefahren durch Objekte, die nicht dem betrachteten Informationsverbund zuzurechnen sind? Solche externen Objekte können beispielsweise fremde Anwendungen, IT-Systeme oder bauliche Gegebenheiten sein. Die Definition des betrachteten Informationsverbunds dient
---


key: _node_content
string_value:
{"id_": "e7aa1081-053b-47c6-a047-d9f936258436", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0ca4410d-6797-493d-89be-1089672ee1f2", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "160e90acff0e1f90c792f7bbb87d301f97df06640ba3ed1fc59ab28d7b3d195b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 592, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9 Anhang

dazu, den Untersuchungsgegenstand für die Sicherheitskonzeption festzulegen. Dies darf jedoch nicht dazu führen, dass Gefahren, die von außerhalb des betrachteten Informationsverbunds aus gehen, bei der Risikoanalyse vernachlässigt werden. Quellen für diese speziellen Gefährdungen sind beispielsweise:

- die Dokumentation des Herstellers,
- Warn- und Informationsdienste von Computer Emergency Response Teams (CERTs), wie dem des BSI unter https://www.cert-bund.de,
- Publikationen über Schwachstellen im Internet (z. B. Threat Intelligence Feeds) und eigene Bedrohungsanalysen.


key: _node_content
string_value:
{"id_": "ad93aba7-5311-4059-854c-dad58cdfd46a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d4df5df2-483b-4c96-869f-11f2419f4c16", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "02dc97af4a211196ff26892a54ea654b5a05f673cb8b9f483bbe3a5284195989", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 505, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.4 Zusammenspiel mit ISO/IEC 31000

In den internationalen Normen zum Risikomanagement und zur Risikobeurteilung, insbesondere der ISO/IEC 31000, werden einige Begriffe anders belegt, als es im deutschen Sprachraum üblich ist. In der nachfolgenden Tabelle sind die wesentlichen Begriffe aus ISO/IEC 31000 und dem BSI-Standard 200-3 einander gegenübergestellt. Diese Gegenüberstellung dient der Zuordnung der Begriffe der ISO 31000 zu den Begriffen der BSI-Standards 200-2 und 200-3 (siehe Abbildung 7).


key: _node_content
string_value:
{"id_": "82edf93c-9184-401b-9193-14cc2a6eaf71", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "30c758a1-b94e-4d7b-a656-118e56f5fdba", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "21e55521f5f2bbdeabe4ed82ab31de015d4b64336e1d58a4b0bf825004042597", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 707, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
ISO/IEC 31000 und IT-Grundschutz

|ISO/IEC 31000:2009|BSI-Standard 200-3|
|---|---|
|Establishing the Context, Kapitel 5.3| |
|Risk Assessment, Kapitel 5.4|Risikoeinschätzung, Kapitel 5.1|
|•Risk Identification|•Erstellung einer Gefährdungsübersicht|
|•Risk Analysis|•Risikoeinschätzung|
|•Risk Evaluation|•Risikobewertung|
|Risk Identification, Kapitel 5.4.2| |
|Risk Analysis, Kapitel 5.4.3| |
|Risk Evaluation, Kapitel 5.4.4| |
|Risk Treatment, Kapitel 5.5|BSI-Standard 200-3, Risikobehandlung, Kapitel 6|
|Communication and Consultation, Kapitel 5.2|BSI-Standard 200-1, Kommunikation und Wissen, Kapitel 4.2|
| |BSI-Standard 200-2, Informationsfluss im Informationssicherheitsprozess, Kapitel 5.2|
---


key: _node_content
string_value:
{"id_": "f17a81fd-f56a-4f20-8ff3-49e455008571", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3fdc2b31-cd31-411b-8861-f79f32041d12", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1c92a224d206302f97c30d7b7d49b212874b6ddc1f5710a90e32dac76cdf8595", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 429, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.4 Zusammenspiel mit ISO/IEC 31000

ISO/IEC 31000:2009

IT-Grundschutz

Monitoring and Review, Kapitel 5.6

BSI-Standard 200-1

Aufrechterhaltung der Informationssicherheit, Kapitel 7.4

Kontinuierliche Verbesserung der Informationssicherheit, Kapitel 7.5

BSI-Standard 200-2

Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit, Kapitel 10

BSI-Standard 200-3

Risiken unter Beobachtung, Kapitel 6.2


key: _node_content
string_value:
{"id_": "2a892a26-1b7f-4139-9cb9-8e8cb2290db9", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3b1c7aa1-7425-4d63-8ed8-6d68b278ae5b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "07fdbcb8b02187cf614e655e25ba9108521e01cf2d214c0425c121c33ca18274", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 93, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "83637e15-db0a-4389-bd8a-2fd09de08137", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9cc233a6-d3aa-4b44-bdab-6a683df00989", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6152de3ce1bac72d2052ce3828726fcde344e8a4bd481b4edf9c619ed1955f71", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 8, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "ec041138-bd7a-4396-a65f-c7f77d45e603", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3ebd84cb-b174-45b3-8e04-a40791a46d9d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "9b9eba2634b5735cff85fab26da1b644b21b76fd3027cbacfc467ba961740473", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 38, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "6a43b9b6-1a08-4b9d-9758-b88df502beec", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "73d6bf39-1826-4a61-b1b3-78111253975f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f73050320dd3f0dd7a275c92e2eeb049dacdb3edf2082aec79c286dc0c65b0ee", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 27, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "df546540-230f-4961-b4d7-3ec719ec1eec", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3769a020-f364-4810-beef-77e750c307c5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "9a90b1ac7fe5d3e129196bd14746529acab140522f5f2fa5df7e541d4539a0a9", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 17, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "3fdbeda0-2c0f-43d0-b673-940cd6053d1e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6642f98c-e05f-4c53-92b0-bee4b5ff6abf", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "529ad98ed836173ecae1dba4058a7ae16c9f1f1a7751f31b213ceffac48f9345", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 14, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "ccc33aed-c3ec-43d0-8e3f-04487c90a1f0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2c95b9b9-c8e4-4fd7-8485-2b0b51a63fb3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "af81ef20460eec4d5ede7c0c9065120e09dfae844bb2b4760a8422d48438a7d9", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 22, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "e4ecd4c9-7790-4572-bba6-9413707363be", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9da13919-1bc8-432c-887a-2fe8bedae8b8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f147c39f0aa63c051940c1fe712e7d77fe0ca97dbb4fcee57f65956b628b6c38", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 36, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "dd3bd30a-3aea-4158-b9f5-66fe5655bf5a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "22ee65dd-703c-4b6d-9042-dfbcebbbb4f6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "01d64bd61237161bc745281442c70e1214200ef66135cd85acae10d0587b24b7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 14, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "af1f324e-5bf8-4153-8f33-55a108286345", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a5d715ae-c326-4e72-8b44-bad64372a29a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c500b503f5b7b1098e63aab1babe8202407d60dad18aab2b5906171f4b2d675f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 63, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "cd0ebd74-d5ac-47a1-9550-bd87336aff07", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8eeaf6a2-ecfa-44cd-9faf-c283eb621d9a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "43da4342ddee1db0c5f18802b68162ace9a94100617f181e170ad54599fece98", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 26, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "bbcd294f-0ab6-44b2-9ff5-9f3f9a8200e1", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e9512f91-785b-4aa2-802b-2fc3de07f107", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6f7ecc2f414e120665407b44f0c94a5dc2a741ba78e682522b0a1fa078ea91a0", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 17, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "d35fbe61-5da3-4a7f-ac5c-330008e80acc", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5a5b200c-28a3-4fdb-a6f5-8f6bccf09b80", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5f1f22da3dab9a2473411dbc24f58f96f1742a7700cda88c1fb61644a0f5db0c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "03e7f247-44fb-4a18-abba-368f752c8b30", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "92a53e46-e811-4ab0-9089-0518fea636fb", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "37d70ef4b55ff987b88d20f84f8cc099d4b3ff8808386df26522c47f346c69d1", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 22, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "db4abccb-447a-4b3b-91f4-21fe95f6489b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d8c901d1-29a2-451f-a4d2-786fd5bc7889", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b703b91a7a88ff9009eefd289d1c046ef8e390734271b49d5aa3e4e37b7582a6", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 15, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "368b3999-fc9c-4793-96c7-8484d98130da", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "27a7957e-c7cd-4d12-90e5-ade4588785d9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "90fd98a89bcb6cb687800937d02b58942b547a75338fab1f13866aaf272433ae", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 24, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "0cd79508-b89d-4008-b5f3-0e0cccd80ef9", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "42ba1589-1edd-4815-82d0-ddaae7dcb968", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1a8f2c9b4be026d8298e29c1a5981aef3ac561a92ea961880f19ccb113fa8b10", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 23, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "5a3af672-d6a7-4bb9-91e0-cef379582648", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f437baea-0c6f-4927-9f2c-8b03904d5279", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c4ea478b9596d03e7a1e82a364aff429a9ff98c21d7fe965e8a85980f443ac19", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 17, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "177342fd-a7f5-4143-834a-b1f4fb3316fb", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "822f2e48-39f5-457d-829c-232fc8ce6988", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "40bbebf30e721ff75570c6a27f46caec1f5e0b39abe0981b07cf2f3637535907", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 24, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "1b318b86-b06c-405d-8c34-c03d869e46cf", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5efd2cbb-3910-4c26-af5a-8bb9564b0780", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f098343257374c39b2a6001cd17bee385b36a8cd9ef2737e2240216ee12877f3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 104, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Abbildung 7: Sicherheitsprozess nach BSI-Standard 200-2 und Risikomanagementprozess nach ISO/IEC 31000


key: _node_content
string_value:
{"id_": "d6efb478-7e00-428b-b021-71290ae503d4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f91c3648-4b12-4976-bcae-5dc827eeb68b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "921729ce73feeebc25eade4f6cdcd628aef97605c46761d6c76d5ac6a63593a1", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 16, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "2a8fd527-6b96-4fb2-bdcb-31ed794d08d3", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b2e97810-a3d5-4e4f-8f48-3b4007fed5b2", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "47f1fd970148c45638bfe880a221b0a0483bbee72ae82b7c208212e47f14e656", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 16, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "131583ca-6fb0-48d1-ad6d-327f0ec0e637", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "622307ab-c3ff-455b-a504-ab6f09bc8b5e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "efd07dd2f3e57623b27a3df9a9e5cca788aade32dac9cb68bd46c5674841a90f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 57, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "bd45fee4-5585-4650-aee9-d44c9e55ab17", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5c88395f-5943-4810-8d79-bdb48411c601", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e8533985f34f84cf4e355fcc72c37bffd36c7985f645af5a92954f40dbb4faad", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 32, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "e6e4343d-94f9-4549-9a54-f4408785a641", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "58f1a114-38ba-43f9-a64d-5931207d9cbd", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_3.pdf.md", "file_name": "standard_200_3.pdf.md", "file_size": 110494, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "87b4401d767ab3d7625927f917340fa6d0ac64f640f0c1c9938b64c469190736", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1741, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
9.5 Literaturverzeichnis

|[27005]|ISO/IEC 27005:2011, International Organization for Standardization (Hrsg.), Information technology – Security techniques – Information security risk management, ISO/IEC JTC 1/SC 27, 2011|
|---|---|
|[31000]|ISO/IEC 31000:2009, International Organization for Standardization (Hrsg.), Risk management – Principles and guidelines, ISO/TC 262, 2009|
|[31010]|ISO 31000:2009, International Organization for Standardization (Hrsg.), Risk management – Risk assessment techniques, ISO/TC 262, 2009|
|[BSI1]|Managementsysteme für Informationssicherheit (ISMS), BSI-Standard 200-1, Version 1.0, Oktober 2017, https://www.bsi.bund.de/grundschutz|
|[BSI2]|IT-Grundschutz-Methodik, BSI-Standard 200-2, Version 1.0, Oktober 2017, https://www.bsi.bund.de/grundschutz|
|[BSI4]|Notfallmanagement, BSI-Standard 100-4, Version 1.0, November 2008, https://www.bsi.bund.de/grundschutz|
|[GSK]|IT-Grundschutz-Kompendium, BSI, jährlich neu, https://www.bsi.bund.de/grundschutz|
|[ISACA]|Leitfaden ISO 31000 in der IT mit Vergleich zu anderen Standards, ISACA German Chapter e.V. und Risk Management Association e.V., Juni 2014, https://www.isaca.de/sites/pf7360fd2c1.dev.team-wd.de/files/attachments/2014_11_isaca-leitfadenanwendungderiso31000inderit.pdf|
|[Koenigs]|IT-Risikomanagement mit System – Praxisorientiertes Management von Informationssicherheit und IT-Risiken, Hans-Peter Koenigs, Springer, 2013|
|[NIST800-30]|Guide for Conducting Risk Assessments, NIST Special Publication 800-30, September 2012, http://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-30r1.pdf|
|[SHB]|IT-Sicherheitshandbuch – Handbuch für die sichere Anwendung der Informationstechnik, BSI, Version 1.0, März 1992, Bundesdruckerei|


