Sicherheitsmaßnahmen können nur dann wirksam sein, wenn deren Bestimmung und Umsetzung eine ganzheitliche Betrachtung, einschließlich der Betrachtung der Perspektive potenzieller Angreifer, zugrunde liegt.

Eine Vielzahl von Sicherheitsmaßnahmen berücksichtigt die Anwendung kryptographischer Verfahren, wie die Nutzung digitaler Zertifikate und Signaturen, den Aufbau von Public-Key-Infrastrukturen (PKI), den verschlüsselten Datenaustausch in Netzwerken via Ethernet- oder IP-Verschlüsselung oder auf der Anwendungsschicht via S/MIME. Die sinnhafte Einführung und Nutzung solcher Verfahren und Komponenten setzt ein strukturiertes Vorgehen in der Bedrohungsanalyse, unter Berücksichtigung aktueller Angriffsmethoden und Vorgehensweisen potenzieller Angreifer, voraus. Des Weiteren muss die ordnungsgemäße Anwendung kryptografischer Verfahren umgesetzt und fehlerhafte Implementierungen und Konfigurationen von Sicherheitskomponenten verhindert werden. Ein angemessenes Sicherheitsniveau der Nutzung kryptographischer Verfahren wird erreicht, wenn das Zusammenwirken aller Faktoren bei der Einführung und Verwendung bewusst gesteuert wird.

Die Auseinandersetzung mit der Nutzung und Anwendung kryptographischer Verfahren unterstützt zusätzlich den Wissensaufbau im Bereich der Informationssicherheit, insbesondere des Datenschutzes sowie der IT-Sicherheit.

Ziel der Ausbildung

Der Schwerpunkt der Ausbildung ist die Vermittlung der für die praktische Anwendung kryptographischer Verfahren erforderlichen Fachkenntnisse, der aktuellen Verschlüsselungstechniken, der Anwendung von Sicherheitszertifikaten und digitalen Signaturen sowie des Aufbaus von Public-Key-Infrastrukturen (PKI).

Die Teilnehmer erwerben Kenntnisse über aktuelle Bedrohungs- und Risikolagen bei der Nutzung kryptographischer Verfahren, wie S/MIME, SSL oder X.509-Zertifikaten und die Umsetzung von Maßnahmen zur Sicherstellung der Schutzziele einer Organisation.

Inhalt

• Einführung
  • Definition und Abgrenzung der IT‑Sicherheit
  • Diskussion konkreter Beispiele
• Theoretische Grundlagen
  • Grundlegende Operationen in der Kryptographie (einführende mathematische Grundlagen)
  • Historische Verfahren der Kryptographie
  • Kryptographische Hashverfahren
  • Symmetrische Verschlüsselungsalgorithmen
  • Asymmetrische Verfahren (Verschlüsselung und digitale Signatur mit RSA und elliptischen Kurven)
  • Schlüsselaustauschverfahren (Diffie-Hellmann und Elliptic Curve Diffe-Hellmann)
  • Zufallszahlen
  • PKI-Infrastrukturen (Digitale Zertifikate, Wurzel- und CAInstanzen, Sperrlisten, OCSP)
• Ermittlung und Definition von IT‑Sicherheitsanforderungen
  • Technische Richtlinien und Vorgaben des Bundesamts für Sicherheit in der Informationstechnik
  • Bedrohungsanalyse
  • Risikobewertung
  • Nutzung des CORAS-Verfahrens
• Ausgewählte Themenschwerpunkte (werden nach Bedarf der angemeldeten Teilnehmer vertiefend behandelt)
  • Frameworks und Bibliotheken für die Entwicklung sicherer Komponenten
  • Vorgehensmodelle in der Entwicklung und Test
  • Evaluierung und Zertifizierung gemäß ISO 15408 (Common Criteria)
  • Netzwerksicherheit – Diskussion aktueller Verfahren auf OSI Layer-2 und Layer-3
• Praktische Übungen (finden verteilt über den gesamten Verlauf des Seminars statt)
  • Schlüsselgenerierung / Erzeugung von Zertifikaten
  • Verschlüsselung von Daten und Dateien
  • S/MIME-Sicherheit
  • Netzwerkanalyse und Netzwerksicherheit
  • Passwortsicherheit

Abschluss: Teilnahmebestätigung

Optional: Prüfung mit Personenzertifikat (DGI^®), personalisiertes Siegel (DGI^®)

Zielgruppe

• Personen, die kryptographische Verfahren bewerten oder anwenden müssen (z. B. Lösungsarchitekten)
• IT-Sicherheitsbeauftragte
• Chief Information Security Officer
• Datenschutzbeauftragte
• Verantwortliche in der Informationssicherheit

Als Datenschutzbeauftragter oder Koordinator IT-sicherheitsrelevanter und datenschutzrechtlich zu berücksichtigenden Bereichen müssen Sie insbesondere die Signifikanz der „automatisierten Verarbeitung“ von geschäftsrelevanten und personenbezogenen Daten bewerten können. Aufgrund der starken Zunahme der IT-gestützten Datenverarbeitung, muss der Datenschutzbeauftragte sowie sämtliche Personen, die für die Einhaltung von Anforderungen an die IT-Sicherheit verantwortlich sind, eine zunehmend hohe Kenntnis der in der Organisation verwendeten Techniken und der technischen Komponenten sowie deren Funktion und Arbeitsweisen besitzen.

Seminarziel

Der Schwerpunkt des Seminars liegt in der Vermittlung von Basiswissen aus dem Bereich der Informationstechnologie (IT). Insbesondere werden Grundlagen geschaffen, um die Zusammenhänge zwischen technischen Komponenten und deren Auswirkungen auf datenschutzrechtliche Anforderungen und die IT-Sicherheit verstehen und beurteilen zu können.

Inhalt

• Netzwerkkomponenten
  • Server (z. B. Mailserver, Webserver, Proxyserver)
  • Clients (z. B. PC, Host)
  • Hardware (z. B. Router, Switch, Firewall, USV)
  • Mobile Geräte (z. B. Laptop, Smartphones)
• Netzwerke
  • Netzwerkdienste (z. B. DNS)
  • Topologien
  • Protokolle (z. B. TCP/IP)
  • Internet, Intranet, Extranet
  • WLAN, VoIP
• Anwendungen
  • Software
  • Maildienste (z. B. Microsoft Exchange)
• Infrastruktur
  • Gebäude- und Raumstruktur
  • Klima / Notstrom
• Schutzkonzepte
  • Passwortkonvention
  • Passwortkonzept
  • Berechtigungskonzept
  • Backupkonzept
  • Archivkonzept
  • Gruppen- / Rollenbasierte Zugänge
• Angriffe und Schutzmaßnahmen
  • Hacking, Penetration Testing
  • Malware (Virus, Trojaner)
  • Netzwerkanalyse
  • Intrusion Detection- und Prevention Systeme
  • Virtualisierung
  • Virtual Private Network
  • Public Key Infrastructure
• Kryptographie in der praktischen Anwendung
• Neue Entwicklungen, wie z. B. Cloud Computing, Social Media

Abschluss: Teilnahmebestätigung

Zielgruppe

• Datenschutzbeauftragte
• IT-Sicherheitsbeauftragte / Chief Information Security Officer
• Verantwortliche in den Bereichen Datenschutz und Informationssicherheit
• Revisoren / IT-Revisoren
• Wirtschaftsprüfer
• Mitarbeiter aus den Bereichen Personal
• Mitarbeiter aus Betriebs- / Personalräten

Die Haupttätigkeit eines Datenschutzbeauftragten besteht darin, die Einhaltung von datenschutzrechtlichen Vorgaben, insbesondere reguliert durch die EU-Datenschutz-Grundverordnung (DSGVO) sowie das Bundesdatenschutzgesetz (BDSG), sicherzustellen.

Weitere Aufgaben, die in die Zuständigkeit eines Datenschutzbeauftragten fallen, sind insbesondere die Umsetzung angemessener technischer und organisatorischer Maßnahmen zur Wahrung der Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität bei der Verarbeitung von personenbezogenen Daten (pb Daten).

Die Benennung eines Datenschutzbeauftragten ist bei einer Mitarbeiterzahl von mindestens zehn Personen gesetzlich vorgeschrieben, sofern diese ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind. Als Datenschutzbeauftragter kann nach dem Gesetz nur eine Person benannt werden, die das erforderliche Fachwissen und die berufliche Eignung besitzt.

Des Weiteren ist für den Aufbau und die Etablierung eines organisationsspezifischen Datenschutzmanagementsystems die erfolgreiche Integration der Planung, der Kontrolle und der Steuerung von Prozessen und ergänzenden Dokumenten sowie die Dokumentation eines Datenschutzkonzepts erforderlich.

Ziel der Ausbildung

Der Schwerpunkt der Ausbildung liegt auf der Vermittlung von Fachbegriffen aus dem Bereich des Datenschutzes sowie der Informationssicherheit, der Aufgabenbeschreibung des Datenschutzbeauftragten und des erforderlichen Fachwissens zur Erfüllung der gestellten Anforderungen aus der DSGVO sowie dem BDSG.

Die Teilnehmer können nach Abschluss der Ausbildung die Planung, den Aufbau, den Betrieb sowie die Aufrechterhaltung und Verbesserung eines Datenschutzmanagementsystems zur Umsetzung bringen.

Jedem Teilnehmer wird das Handbuch
Datenschutzrecht (Beck-Texte) ausgehändigt.

Inhalt

• Anforderungen aus der DSGVO sowie dem BDSG
• Begriffsbestimmungen des Datenschutzes
• Begriffs­bestimmungen aus der Informationssicherheit
• Datenschutz und informationelle Selbstbestimmung
• Betrachtung korrelierender Gesetze wie TKG, TMG und SGB
• Aufbau und Umsetzung eines Datenschutzmanagementsystems
• Das Standard-Datenschutzmodell (SDM)
• Die Rechtmäßigkeit der Verarbeitung von pb Daten – Zweckbindung, Datenminimierung, Treu und Glauben, Einwilligung, Kindeswohl, besondere Kategorien pb Daten
• Die Benennung, Stellung und Aufgaben des Datenschutzbeauftragten
• Aufbau einer Datenschutzorganisation und Verantwortlichkeiten
• Rechte der betroffenen Person auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch
• Datenverarbeitung im Auftrag – Rechte, Pflichten und Konsequenzen
• Datenschutzrechtliches Risikomanagement wie Datenschutz-Folgenabschätzung oder Sicherheit der Verarbeitung
• Optisch-elektronische Überwachung wie Videoaufzeichnung
• Das Verzeichnis von Verarbeitungstätigkeiten
• Die Weitergabe in der Unternehmens­gruppe (Konzern)
• Die Datenübermittlung – Grundsätze, Angemessenheitsbeschluss, Garantien (Standarddatenschutzklauseln, EU-US Privacy Shield), verbindliche interne Datenschutzvorschriften (Binding Corporate Rules)
• Die Informations-, Melde- und Rechenschaftspflichten
• Zertifizierungsverfahren zur Datenschutzauditierung
• Technisch-organisatorische Maßnahmen wie Angemessenheit, Pseudonymisierung, Verschlüsselung, Privacy by Design und Privacy by Default
• Private und betriebliche Internet- und E-Mail-Nutzung
• Bedrohungslagen der Cyber Security
• Informationssicherheits­management
• Datenschutzaudit
• Schadensersatz, Geldbußen und Sanktionen
• Haftung der Organisationsleitung und des Datenschutzbeauftragten

Abschluss: Teilnahmebestätigung

Optional: Prüfung mit Personenzertifikat (DGI^®), personalisiertes Siegel (DGI^®)

Zielgruppe

• Angehende Datenschutzbeauftragte
• Datenschutzkoordinatoren
• IT-Sicherheitsbeauftragte / Informationssicherheitsbeauftragte
• Verantwortliche im Informationssicherheitsbereich
• Verantwortliche im Risikomanagement
• Verantwortliche für die Compliance
• Revision / IT-Revision
• Führungskräfte
• Unternehmensberater
• Wirtschaftsprüfer