Cyberversicherung: die Voraussetzungen

So entsteht das Siegel

• Die Cyberversicherung ist ein Extra zur menschlichen Prüfung. Sie wird mit der Prüfung bestellt, die Angaben werden danach erfragt und gesondert nachgeprüft.
• Der Nachweis nennt die erklärten Maßnahmen und den gemessenen Stand mit Datum. Interne Angaben wie der Notfallkontakt bleiben intern.
• Der Preis richtet sich nach dem Umfang der Website; das Angebot steht in der Bestellung.

Was das Siegel einer Versicherung sagt

Es belegt zu einem Datum, dass die Website gepflegt wird und dass der Betreiber die organisatorischen Grundlagen erklärt hat: Sicherungen, Zugangsschutz, Aktualisierung, Schulung. Das Verfahren liest die Website wie ein Besucher; Sicherheitsscans, Schwachstellen- und Lasttests gehören zu anderen Verfahren. Das Auftragsprotokoll hält jeden Durchgang und jedes Urteil fest, damit der Tätigkeitsnachweis über die Zeit trägt.

Laufende Überwachung als Voraussetzung

• Das Cyber-Zertifikat setzt eine aktive Überwachung mit der Rubrik Cyber für die Domain voraus. Ohne sie wird es nicht ausgestellt.
• Die Überwachung misst die Rubrik Cyber täglich, die anderen Rubriken monatlich; je Lauf entsteht ein Stand mit Punktwerten je Prüfbereich und der Veränderung zum Vormonat.
• Der Monatspreis wird einmal je Monat beim ersten Lauf reserviert; weitere Läufe des Monats kosten nichts. Fehlt Guthaben, versucht es der nächste Tag.
• Gemessen werden Software-Stand (Bibliotheken mit Wartungsende, sichtbare Versionen, Server-Signatur), Sicherheitskopfzeilen, Datenschutz und Ladeverhalten, je Lauf mit Beleg im Aktenordner.

Lesende Zugänge: geprüft, nie benutzt

• Zugänge zu FTP, SFTP, SSH, PostgreSQL und MySQL legt die Organisation in ihrem Tresor ab; Host und Port stehen im Zweck des Eintrags.
• Jeder Cyber-Lauf probt alle abgelegten Zugänge: Verbindung aufbauen, Begrüßung lesen, trennen. Der Dienst meldet sich nie an. Unerreichbare Zugänge stehen als Befund im Stand.
• Die Anmeldung selbst macht die freigegebene prüfende Person, mit Zweck und Frist im Protokoll.

Der Tresor der Organisation

• Jedes Geheimnis hat eine Art: Prüfung (liest nur der Messkern, für geschützte Bereiche hinter Anmeldung oder Basic-Auth), Fremdsystem (liest nur der Dienst) oder Aufbewahrung (Klartext für Inhaber und je Eintrag freigegebene Prüfer).
• Jeder Zugriff steht mit Zweck im Tresor-Protokoll und im Aktivitätslog der Organisation, ohne den Wert. Prüfung und Fremdsystem zeigt keine Fläche im Klartext, auch dem Inhaber nicht.
• Der Messkern liest vor jedem Lauf den Zugang zum geschützten Bereich aus dem Tresor des Auftrags oder der Organisation; scheitert die Anmeldung, misst er ohne sie und sagt das im Lauf.