Leitfaden zur Informationssicherheit bei Dienstreisen ins Nicht-EU-Ausland
Dienstreisen ins Ausland sind mit besonderen Bedrohungen und Risiken für die Informationssicherheit verbunden, die im regul?ren Universit?tsbetrieb entweder nicht bestehen oder dort durch etablierte Schutzma?nahmen hinreichend abgedeckt sind. Diese k?nnen die Vertraulichkeit, Integrit?t und Verfügbarkeit von Daten gef?hrden. Betroffen sind dabei nicht nur Unterlagen in Papierform, sondern insbesondere die mitgeführte Informationstechnik wie Notebooks, Smartphones und andere mobile Ger?te:
- Die Wahrscheinlichkeit für einen Verlust oder Diebstahl des mobil genutzten Endger?ts und mitgeführter Informationen ist deutlich erh?ht.
- Das Risiko für Defekte und Besch?digungen des Ger?ts durch Sturz oder ?hnliches ist hoch.
- Aufgrund politischer oder gesellschaftlicher Umst?nde steigt das Risiko, Opfer gezielter pers?nlicher oder elektronischer Angriffe und Einflussnahme mit dem Ziel der Informationsabsch?pfung oder -manipulation zu werden.
- Abseits des internen Datennetzes der Universit?t birgt die Verbindung mit unsicheren Kommunikationsnetzen immer ein erh?htes Gef?hrdungspotenzial durch Datenoffenlegung, Manipulation des Datenverkehrs oder Einschleusung von Schadsoftware.
- Bedingt durch landesspezifische Rahmenbedingungen der lokalen technischen Infrastruktur k?nnen Daten potenziell einfacher ausgesp?ht oder die Kommunikation bzw. Datenübertragung überwacht oder gezielt abgeh?rt werden.
- Bei der Einreise in bestimmte L?nder k?nnen Beh?rden Zugriff auf mobile IT-Systeme verlangen, wodurch sensible Informationen offengelegt oder zu Zwecken der Wirtschaftsspionage systematisch missbraucht werden k?nnten. Unter Umst?nden kann insbesondere in autokratisch geführten Staaten (ggf. unbemerkt) Spionagesoftware auf mitgeführten Ger?ten installiert werden.
- In Abh?ngigkeit des individuellen Reiseziels sind ggf. lokale gesetzliche Rahmenbedingungen und regulatorische Anforderungen zu beachten, die sich unter Umst?nden massiv von der nationalen Rechtslage unterscheiden und die Sicherheitslage weiter versch?rfen oder sogar Sicherheitsma?nahmen au?er Kraft setzen.
Es wird empfohlen, sich über aktuelle l?nderspezifische Hinweise beim Ausw?rtigen Amt zu informieren.
Allgemeine Vorgaben für mobile IT-Systeme und mitgeführte Informationen
Die folgenden Vorgaben betreffen alle dienstlich genutzten Endger?te. Für private Ger?te wird ihre Beachtung ebenfalls empfohlen.
Mitnahme mobiler Endger?te
Eigene, an die zentralen Systeme der Universit?t (Active Directory) angebundene dienstliche Endger?te sind bei Dienstreisen nicht mitzuführen.
Zu Zwecken der Dienstreise ist ein separater Computer mitzuführen, der wie folgt einzurichten ist:
- Es ist eine Windows-Standardinstallation ohne Integration in die zentrale IT-Verwaltung (Active Directory) der Universit?t zu verwenden.
- Es ist ein lokales, eingeschr?nktes Benutzerkonto einzurichten unabh?ngig vom dienstlichen Nutzerkonto (BA-Nummer, Nutzerkennwort). Ein cloudbasiertes Microsoft-Konto ist nicht zul?ssig.
- Die Windows-Anmeldeinformationsverwaltung ist zu deaktivieren.
- Es ist eine Verschlüsselung der Festplatte vorzunehmen unter Beachtung der aktuellen l?nderspezifischen Einreisehinweise des Ausw?rtigen Amtes.
- Betriebssystem und installierte Software (Browser, Virenschutz etc.) müssen auf dem aktuellsten Updatestand sein. Automatische Updates sind zu aktivieren.
- Eine Bildschirmsperre wird nach Inaktivit?t automatisch eingeschaltet. Diese kann erst nach einer erfolgreichen Benutzerauthentifikation deaktiviert werden.
Bei Nutzung eines dienstlichen Mobiltelefons ist ebenfalls ein separates Ger?t mit vergleichbarer Minimalinstallation mitzuführen.
Der IT-Service stellt ein entsprechend konfiguriertes Endger?t auf Anfrage zur Verfügung. Diese muss rechtzeitig vor Antritt der Reise beim IT-Support der Universit?t Bamberg (it-support(at)uni-bamberg.de) erfolgen.
Verwendung der Zugangsdaten der Universit?t (Nutzerkonto mit BA-Nummer)
- Für die Anmeldung an den Datendiensten der Universit?t ist vor Reiseantritt das passwortlose Mehr-Faktor-Anmeldeverfahren ?Passkey“ einzurichten.
- Prim?r sind die webbasierten IT-Dienste mit Authentifizierung per Passkey zu verwenden.
- Eine Speicherung von Zugangsdaten (im Browser, bei Netzlaufwerkverbindungen etc.) ist nicht zul?ssig.
Nutzung von VPN
Für alle Internetverbindungen ist stets eine sichere VPN-Verbindung per eduVPN zu nutzen, sofern dies technisch m?glich und gem?? den gesetzlichen Vorschriften des Reiseziels zul?ssig ist.
Daten und Dokumente
- Wenn damit zu rechnen ist, dass die Netzlaufwerke nicht erreichbar sind (z. B. falls VPN nicht verfügbar ist, siehe oben), …
- k?nnen ben?tigte Dateien auf dem Endger?t mitgeführt werden.
- Die Mitführung von Daten auf dem Ger?t und sonstigen Datentr?gern ist jedoch auf das dienstlich notwendige Minimum zu beschr?nken.
- Die Mitnahme von vertraulichen, geheimen oder im Sinne des Datenschutzes sensiblen, insbesondere personenbezogenen, Daten und Dokumenten ist nicht zul?ssig.
- Vor Reiseantritt wird eine Sicherung der mitgeführten Daten auf dem pers?nlichen Netzlaufwerk empfohlen.
- Clouddienste (FAUbox etc.) sind ausschlie?lich per Webschnittstelle zu verwenden. Die Synchronisation vollst?ndiger Datenbest?nde per Sync-Client ist nicht zul?ssig.
E-Mail-Kommunikation
- Vor Reisantritt sind IMAP, ActiveSync und MAPI für das dienstliche E-Mail-Konto serverseitig per Anfrage an serverdienste(at)uni-bamberg.de zu deaktivieren.
- Es ist ausschlie?lich die Outlook Web App (OWA) über https://mailex.uni-bamberg.demit Anmeldung per Passkey (siehe oben) zu verwenden.
- Die Verwendung eines E-Mail-Programms (Outlook, Thunderbird etc.) ist nicht zul?ssig.
Physische Schutzma?nahmen
- Zur Einschr?nkung des Blickwinkels ist am Bildschirm des Ger?ts eine Sichtschutzfolie anzubringen.
- Zum Schutz vor Diebstahl ist eine geeignete Diebstahlsicherung (Kensington-Lock) mitzuführen und zu verwenden.
Verhalten w?hrend der Reise
Zugriff durch Dritte
- Ger?te und sensible Informationen dürfen nicht unbeaufsichtigt bleiben oder an Dritte weitergegeben werden.
- Wenn das Endger?t anderen Personen, Beh?rden, Kontrollorganen etc. ausgeh?ndigt war bzw. diese das Ger?t bedient haben, …
- ist ein Zugriff auf die IT-Dienste der Universit?t von diesem Ger?t aus grunds?tzlich zu unterlassen.
- Die VPN-Verbindung in das Datennetz der Universit?t ist dauerhaft zu trennen.
- Die Nutzung der lokal auf dem Ger?t installierten Software kann ohne Anmeldung an den IT-Diensten der Universit?t weiter erfolgen.
- Die Verwendung des Internets ist ohne VPN-Verbindung zul?ssig.
- Die Bekanntgabe von Kennw?rtern an andere Personen, Beh?rden, Kontrollorgane etc. …
- ist nach M?glichkeit zu unterlassen.
- Zugangsdaten sollten im Bedarfsfall selbst unbeobachtet eingegeben werden.
- Die Nutzung des entsperrten Ger?ts ist zu beaufsichtigen.
- Nach der Verwendung des Endger?ts durch Dritte oder bei Verdacht darauf muss das Kennwort des lokalen Benutzerkontos unverzüglich ge?ndert werden.
(Elektronische) Kommunikation
- Dienstliche Kommunikation ist auf das unbedingt notwendige Ma? zu beschr?nken und sensible Dienstgespr?che sind im ?ffentlichen Raum zu vermeiden.
- ?ffentlich zug?ngliche WLAN-Netze und Hotspots sind zu meiden.
- S?mtliche nicht ben?tigte Schnittstellen (WLAN, Bluetooth etc.) sind permanent bzw. nach einer erforderlichen Nutzung sofort wieder deaktivieren.
Anschluss von Zubeh?rger?ten
- Eine Verwendung von fremden oder vor Ort erhaltenen USB-Sticks oder anderen Speichermedien ist an dienstlichen Ger?ten nicht zul?ssig.
- Es sind ausschlie?lich eigene Ladeger?te zu verwenden.
Entsorgung von Informationen
Dokumente, Datentr?ger und Ger?te dürfen im Ausland nicht entsorgt werden, um keine Kenntnisnahme Dritter zu erm?glichen. Sie sind bis zur Rückkehr aufzubewahren, um sie anschlie?end angemessen entsprechend bestehenden Vorgaben zu vernichten.
Sicherheitsvorf?lle
Bei Sicherheitsvorf?llen im Ausland wie dem Verlust eines IT-Ger?tes oder dem Verdacht auf Datenabfluss ist unverzüglich der IT-Support telefonisch unter der Rufnummer +49 951 863-1333 oder per E-Mail an it-support(at)uni-bamberg.de zu informieren.
Ma?nahmen nach Reiserückkehr
- Nach Rückkehr darf ein zu Zwecken der Reise zur Verfügung gestelltes Ger?t weder mit dem Datennetz der Universit?t (z. B. über WLAN) verbunden noch anderweitig weitergenutzt werden; es ist unverzüglich bei der Ausgabestelle zurückzugeben, wo s?mtliche lokale Daten gel?scht werden.
- Das Kennwort des Nutzerkontos der Universit?t sowie weiterer Konten, die w?hrend der Reise verwendet wurden, ist zu ?ndern.
- Vorhandene Passkeys sind zu l?schen, die Codematrix ist zu erneuern und Passkeys sind auf allen notwendigen Ger?ten neu auszurollen.
- Nach Reiserückkehr sind IMAP, ActiveSync und MAPI des E-Mail-Kontos serverseitig per Anfrage an serverdienste(at)uni-bamberg.de zu reaktivieren.
Besondere Hinweise für Reisen in spezielle L?nder
Hinweise für das Reiseziel China
- In China gilt ein Cybersicherheitsgesetz, das die Nutzung von VPN-Diensten zur Umgehung der lokalen staatlichen Internetzensur verbietet. Um nicht in Rechtskonflikte zu geraten, wird daher von einer VPN-Nutzung aus dem Ausland abgeraten.
- Die Installation lokaler Apps wie WeChat, Weibo, WeChatPay, AliPay etc. ist auf den mobil genutzten Endger?ten nicht zul?ssig.