M 6.48 Verhaltensregeln nach Verlust der Datenbankintegrität

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Administrator, IT-Benutzer

Falls sich das Datenbanksystem in nicht vorgesehener Weise verhält (zum Beispiel undefiniertes Systemverhalten, nicht auffindbare Tabellen oder Datensätze, veränderte Tabelleninhalte, unerklärlich langes Antwortzeitverhalten), kann ein Verlust der Datenbankintegrität vorliegen. Dieser kann auch durch missbräuchliche Nutzung des Systems verursacht worden sein, zum Beispiel durch Veränderungen der Systemeinstellungen oder Überschreiten der maximal zulässigen Connects.

Dann sollten die Benutzer folgende Punkte beachten:

• Ruhe bewahren!
• Benachrichtigen Sie den Datenbankadministrator.
• Greifen sie nicht mehr auf die Datenbank zu.

Der Datenbankadministrator sollte folgende Schritte durchführen:

• Benachrichtigung aller betroffenen Benutzer,
• Herunterfahren des Datenbanksystems,
• Hochfahren des Datenbanksystems im Exklusiv-Modus (falls dies vom Datenbanksystem unterstützt wird),
• Sichern aller Dateien, die Aufschluss über die Art und Ursache des aufgetretenen Problems geben könnten (z. B. ob tatsächlich ein Angriff erfolgt ist und auf welche Weise der Angreifer eindringen konnte), d. h. insbesondere Sichern aller relevanten Protokolldateien,
• Überprüfung und ggf. Zurücksetzen der Zugriffsrechte auf Systemtabellen,
• Überprüfung der Datenbanksoftware auf sichtbare Veränderungen, z. B. Erstellungsdatum und Größe der entsprechenden Dateien (Da diese von einem Angreifer auch wieder auf ihre Ursprungswerte zurückgesetzt werden können, sollte die Integrität der Dateien mit Prüfsummenverfahren überprüft werden.),
• ggf. Löschen der Datenbanksoftware und Wiedereinspielen der Original-Dateien von schreibgeschützten Datenträgern (vgl. M 6.21 Sicherungskopie der eingesetzten Software). Programme aus existierenden Datensicherungen sollten nicht wiedereingespielt werden, da diese den Fehler schon enthalten können,
• Überprüfung der Protokolldateien nach Auffälligkeiten (in Zusammenarbeit mit dem Revisor),
• Änderung aller Passwörter,
• Benachrichtigung der Benutzer mit der Bitte, ihre Bereiche auf Unregelmäßigkeiten zu prüfen.

Nach der Änderung aller Passwörter müssen diese den betroffenen Benutzern mitgeteilt werden. Hierbei sollte kein allen Benutzern bekanntes Passwort oder Ableitungsschema benutzt werden. Besser ist es, die Passwörter zufällig zu erzeugen und den Benutzern auf zuverlässigem Weg mitzuteilen, z. B. in versiegelten Umschlägen. Diese Passwörter sollten unmittelbar nach der Erstanmeldung geändert werden.

Falls Daten gelöscht oder unerwünscht geändert wurden, können diese aus den Datensicherungen wiedereingespielt werden (siehe M 6.51 Wiederherstellung einer Datenbank).

Wenn Anzeichen auf einen vorsätzlichen Angriff gegen eine Datenbank vorliegen, ist für die Schadensminimierung und weitere Schadensabwehr sofortiges Handeln notwendig. Hierzu ist ein Alarmplan erforderlich, in dem die einzuleitenden Schritte aufgeführt werden und festgelegt wird, welche Personen über den Vorfall zu unterrichten sind (siehe auch M 6.60 Verhaltensregeln und Meldewege bei Sicherheitsvorfällen). Der Alarmplan enthält ggf. auch Informationen darüber, ob und wie der Datenschutzbeauftragte und die Rechtsabteilung zu beteiligen sind.

• Werden die Benutzer regelmäßig darüber informiert, dass bei Auftreten von Unregelmäßigkeiten sofort der Datenbankadministrator benachrichtigt werden muss?
• Wird diese Regelung auch angewendet?
• Gibt es Datenbankadministratoren mit entsprechenden Kenntnissen?
• Ist ein Verfahren zur schnellen Vergabe von Passwörtern etabliert und getestet?

© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000.