Da­ten­si­cher­heit – wozu?

Ein­stiegs­spiel:

Der Leh­rer schreibt etwas auf einen Zet­tel, fal­tet ihn und schreibt den Namen einer wei­ter ent­fernt sit­zen­den Schü­le­rin oder Schü­lers dar­auf. Er bit­tet eine an­de­re Schü­le­rin oder Schü­ler, den Zet­tel an den Adres­sa­ten wei­ter­zu­lei­ten.

Je nach Lern­grup­pe wird be­ob­ach­tet und be­spro­chen, was pas­siert ist und/oder be­spro­chen was alles hätte pas­sie­ren kön­nen.

Es las­sen sich damit schnell die An­griffs­sze­na­ri­en und die ent­spre­chen­den Ziele der Kryp­to­lo­gie her­aus­ar­bei­ten.

Sze­na­ri­en:	Ge­fah­ren:	Ziele der Kryp­to­lo­gie
	mit­le­sen Kön­nen wirk­lich nur Alice und Bob die Nach­richt lesen?	→ Ver­trau­lich­keit
	än­dern Ist die Nach­richt un­ver­än­dert? Sind die Daten ori­gi­nal?	→ In­te­gri­tät
	als A aus­ge­ben Kommt die Nach­richt wirk­lich von Alice? Lan­det die Nach­richt wirk­lich bei Bob?	→ Au­then­ti­zi­tät
	Kann Bob be­wei­sen, dass die Nach­richt von Alice kommt, selbst wenn sie es ab­strei­tet? ('Habe ich nie ge­sagt.') Kann Alice be­wei­sen, dass Bob die Nach­richt er­hal­ten hat? ('Habe ich nicht be­kom­men.')	→ Ver­bind­lich­keit

→ Un­ter­schied­li­che Ziele er­for­dern un­ter­schied­li­che Ver­fah­ren.

Bsp.: Eine Ver­schlüs­se­lung lie­fert Ver­trau­lich­keit, aber keine Au­then­ti­zi­tät.

Wie kön­nen die Ziele er­reicht wer­den?

	Schutz in der ana­lo­gen Welt bie­tet z.B.:	Schutz in der di­gi­ta­len Welt bie­tet z.B.:
Ver­trau­lich­keit	Tre­sor	E-Mails ver­schlüs­seln Daten ver­schlüs­seln
In­te­gri­tät	Do­ku­men­ten­ech­te Tinte, Hin­ter­le­gung beim Notar, Tre­sor, ver­sie­gel­ter Um­schlag	Di­gi­ta­le Si­gna­tur
Au­then­ti­zi­tät	Per­so­nal­aus­weis, Un­ter­schrift	Pass­wort Zu­gangs­kon­trol­le Di­gi­ta­le Si­gna­tur
Ver­bind­lich­keit	(vom Notar be­glau­big­te) Un­ter­schrift	Di­gi­ta­le Si­gna­tur

Bei­spie­le: Ein un­ge­si­cher­tes Handy oder ein USB-Stick wer­den ver­ges­sen, je­mand er­hält eine E-Mail, die nicht für ihn be­stimmt ist, je­mand hat Zu­griff auf einen frem­den Rech­ner-Ac­count.

Ma­te­ri­al:

01_i­ud_a­b_Da­ten­si­cher­heit­Wo­zu.odt

Einer oder meh­re­re Fälle des Ar­beits­blatts kön­nen in Grup­pen oder auch als vor­be­rei­ten­de Haus­auf­ga­be be­ar­bei­tet wer­den. Das Ar­beits­er­geb­nis kann z.B. eine Ide­en­samm­lung, ein Rol­len­spiel oder eine aus­for­mu­lier­te Fort­set­zung der Ge­schich­te sein.

Hin­wei­se:

• SuS ver­wech­seln leicht Zu­gangs­kon­trol­le (Au­then­ti­fi­zie­rung) und Ver­schlüs­se­lung:

  Bsp.: Das Pass­wort zum An­mel­den am PC dient der Au­then­ti­fi­zie­rung und ist Be­stand­teil einer Zu­gangs­kon­trol­le. Das 'Pass­wort' ist kein Schlüs­sel. Daten wer­den dabei nicht ver­schlüs­selt. (Hin­weis: Das Pass­wort muss für die Über­prü­fung auf dem – zu si­chern­den - PC ge­spei­chert sein. Das kann zu­nächst als Wi­der­spruch er­schei­nen, lässt sich aber leicht er­klä­ren, weil Pass­wör­ter als Hashwert ge­spei­chert wer­den. Eine Hash­funk­ti­on ist eine nicht-in­jek­ti­ve Funk­ti­on. Sie ord­net einem Pass­wort einen Hashwert zu, mit dem man nicht auf das Pass­wort schlie­ßen kann, gleich­zei­tig aber durch Hashwert­bil­dung eines ein­ge­ge­be­nen Wor­tes prü­fen kann, ob die­ses das Pass­wort ist.)

  Bsp: Das Pass­wort bei Ver­a­Crypt ist der Schlüs­sel, mit dem die Daten durch einen Al­go­rith­mus ver­schlüs­selt wer­den. Das 'Pass­wort', also der Schlüs­sel, ist nir­gend­wo ge­spei­chert, son­dern ist 'Wis­sen' des An­wen­ders.

• Even­tu­ell wird es not­wen­dig, auf den Un­ter­schied zwi­schenZu­gangs­kon­trol­le und Rech­te­ver­wal­tung bzw. Be­rech­ti­gungs­kon­zept hin­zu­wei­sen:

  Die Zu­gangs­kon­trol­le be­trach­tet die Frage, wer das Sys­tem be­tre­ten darf.

  Das Be­rech­ti­gungs­kon­zept be­trach­tet die Frage, wer (von denen, die durch Zu­gangs-kon­trol­le au­then­ti­fi­ziert sind) auf wel­che Teile des Sys­tems wie zu­grei­fen darf (z.B. lesen, schrei­ben, aus­füh­ren,..)

• 2-Fak­tor-Au­then­ti­fi­zie­rung:

  Weil zum Bei­spiel eine Kre­dit­kar­te oder TAN-Liste ge­stoh­len wer­den kann, oder ein Pass­wort (auf Handy/PC ge­spei­chert) aus­spio­niert wer­den kann, nimmt man an, dass es zu un­si­cher ist, nur ein Pass­wort zu haben. Daher wer­den zwei Au­then­ti­fi­zie­rungs-fak­to­ren kom­bi­niert und damit das Ri­si­ko ver­rin­gert. Z.B.: Karte und PIN, Pass­wort und TAN, etc.

Al­ter­na­ti­ven/Er­gän­zun­gen:

• Im Klick­safe-Modul „ Da­ten­satz - Da­ten­schatz? Warum Da­ten­schutz und Da­ten­si­cher­heit wich­tig sind “ ¹ fin­den sich in Pro­jekt 3 und 4 wei­te­re gute Vor­schlä­ge.

• „Si­cher­heits­pro­ble­me und Si­cher­heits­zie­le“ in inf-schu­le.de ²

 

---

 

Un­ter­richts­ver­lauf: Her­un­ter­la­den [odt][1 MB]

Un­ter­richts­ver­lauf: Her­un­ter­la­den [pdf][1 MB]

 

Wei­ter zu Sky­ta­le von Spar­ta