aiMOOC

Schutzbedarf anhand fiktiver Daten bestimmen - Anforderungen und Schutzbedarf am IT-Arbeitsplatz - Ausbildung

QR-Code

Einleitung

Du lernst im ersten Ausbildungsjahr, wie du für einen ausschließlich erfundenen Büroarbeitsplatz den Schutzbedarf von Informationen, Anwendungen und einem PC nachvollziehbar bestimmst. Du beurteilst mögliche Schadensfolgen getrennt für Vertraulichkeit, Integrität und Verfügbarkeit, dokumentierst Annahmen und leitest verhältnismäßige Schutzmaßnahmen ab. Sämtliche Firmen, Kunden, Konten und Datensätze sind frei erfundene Unterrichtsmodelle; sie dürfen niemals mit realen Daten verwechselt werden.

Lernziele: Du kannst Schutzziele erklären, Schäden beschreiben, die Kategorien normal, hoch und sehr hoch sinnvoll anwenden, das Maximumprinzip erläutern und eine einfache Entscheidungsmatrix vorlegen. Zielgruppe sind Fachinformatikerinnen und Fachinformatiker im ersten Ausbildungsjahr. Bearbeitungszeit als Vorschlag: etwa 3–4 Unterrichtsstunden einschließlich Übungen.

Einordnung: Der KMK-Rahmenlehrplan für die Berufsschule vom 13.12.2019 ordnet die Schutzbedarfsanalyse dem Lernfeld 4 „Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen“ (erstes Ausbildungsjahr, Zeitrichtwert 40 Stunden) zu. Lernfeld 2 „Arbeitsplätze nach Kundenwunsch ausstatten“ (80 Stunden) ergänzt die Anforderungserhebung. Die betriebliche Ausbildungsordnung ist dagegen die Fachinformatikerausbildungsverordnung (FIAusbV) vom 28.02.2020 mit ihrem Ausbildungsrahmenplan; das sind zwei unterschiedliche, aufeinander abgestimmte Regelungsebenen. Ein Unterrichtsfall ist weder amtliche Prüfungsaufgabe noch Freigabe einer betrieblichen IT-Sicherheitsmaßnahme.

Informationswerte und Schutzziele verstehen

Was soll geschützt werden?

Information bedeutet nicht nur eine Datei: Auch eine im Gespräch genannte Bestellung, ein ausgedruckter Terminplan und ein Sicherungsdatenträger sind Informationsträger. Ein Geschäftsprozess ist ein wiederkehrender Ablauf, etwa Bestellungen annehmen und bestätigen. Ein Schutzobjekt ist eine konkrete Information, Anwendung, ein IT-System, Raum oder eine Verbindung. Ein Schadensszenario beschreibt plausibel, was beim Verlust eines Schutzziels passieren könnte. Der Schutzbedarf beschreibt das mögliche Schadensausmaß; er ist nicht gleich der Eintrittswahrscheinlichkeit eines Angriffs.

Die drei Grundwerte

Vertraulichkeit (Vt): Nur berechtigte Personen dürfen die Information erfahren. Beispiel: Ein echter Kundendatensatz dürfte nicht offen ausliegen. Integrität (I): Daten müssen richtig und vor unbemerkter, unbefugter Änderung geschützt sein. Beispiel: Eine falsche Liefermenge führt zu Fehlbestellungen. Verfügbarkeit (Vf): Informationen und Dienste sollen bei Bedarf nutzbar sein. Beispiel: Ein Auftragssystem muss vor dem Versand erreichbar sein. Beachte: Die Abkürzungen Vt, I und Vf bezeichnen im Kurs die drei verschiedenen Schutzziele.

Abbildung: Die englisch beschriftete CIA-Triade zeigt Confidentiality, Integrity und Availability. Quelle: Wikimedia Commons, Michel Bakni, CC BY-SA 4.0.

Symbol: Ein Schloss steht häufig für Zugriffsschutz, genügt allein aber nicht für Integrität und Verfügbarkeit. Quelle: Wikimedia Commons, AJ Ashton, CC0/OpenClipart.

Fiktiver Ausbildungsfall: Büro „Papierstern“

Auftrag und Sicherheitsleitlinie

Das erfundene Dienstleistungsbüro Papierstern plant vier vollständig fiktive IT-Arbeitsplätze. Für die Übung werden ausschließlich Fantasienamen und Testdatensätze verwendet, die keinen Bezug zu realen Personen haben. An einem PC werden eine öffentliche Preisliste, eine simulierte Kundenkontaktliste und eine Test-Auftragsübersicht bearbeitet. Der angenommene Betrieb will künftig ähnlich strukturierte echte Daten verwenden: Deshalb beurteilst du die Auswirkungen eines hypothetischen künftigen Produktivbetriebs, nicht einen tatsächlichen Schaden durch die synthetischen Beispieldaten.

Fiktive Sicherheitsleitlinie: Zugang nach Aufgabenrolle; Änderungen an Aufträgen müssen nachvollziehbar sein; wichtige Arbeitsunterlagen werden gesichert; Sicherheitsprobleme werden an die zuständige Betreuung gemeldet. Auszubildende entwickeln nur das Modell und nehmen keine Änderungen an einem produktiven System vor.

Bereitgestellte Beispieldaten

Objekt	Inhalt (vollständig erfunden)	Nutzung	Kritische Frage
A – Preisliste	12 allgemeine Leistungspositionen ohne Kundenangaben	Öffentlich abrufbar	Entsteht mehr als geringfügiger Schaden durch eine fehlerhafte Position?
B – Test-Kontaktliste	60 reine Fantasieeinträge wie Testperson Alpha	Nur im Unterricht	Wie hoch wäre bei vergleichbaren echten Personendaten der Schaden einer unbefugten Offenlegung?
C – Demo-Auftragsliste	40 simulierte Aufträge pro Stunde vor einer angenommenen Versandfrist	Interne Auftragsbearbeitung	Welche Fristen scheitern, wenn falsche oder nicht verfügbare Aufträge verarbeitet werden?

Alle Mengen und Fristen sind didaktisch festgelegte Annahmen. Die Dateigrößen und Kosten im Kurs sind ebenfalls Modellwerte und keine Kennzahlen eines realen Unternehmens.

Kundenfragen ohne vertrauliche Daten

Frage eine nur gespielte Auftraggeberrolle: Wer benötigt Zugriff? Welche Korrekturen sind noch rechtzeitig? Wie lange kann die Anwendung fehlen? Was passiert, wenn Werte unbemerkt geändert werden? Welche Sicherungen sind vorhanden? Halte Behauptungen als Annahme fest, bis sie durch das fiktive Szenario oder eine dokumentierte Vorgabe gedeckt sind. Notiere ausdrücklich, ob ein Schaden nur im simulierten späteren Echtbetrieb denkbar ist.

Schutzbedarf schrittweise bestimmen

BSI-Kategorien und fiktive Kriterien

Der BSI-Standard 200-2 unterscheidet normal (begrenzte und überschaubare Auswirkungen), hoch (beträchtliche Auswirkungen) und sehr hoch (existenziell bedrohliche oder katastrophale Auswirkungen). Sie beziehen sich auf mögliche Schäden und erfordern eine zum Kontext passende Begründung. Die folgenden Zeit- und Mengengrenzen sind nur Unterrichtsregeln von Papierstern, keine allgemeinen BSI-Grenzwerte:

Normal: Ein Fehler ist in der Übung ohne erhebliche Folgeschäden korrigierbar, oder ein Ausfall bis einschließlich 2 Stunden wird aufgefangen.
Hoch: Fehlerhafte Aufträge gefährden verbindlich angenommene Fristen erheblich, sensible echte Kontaktdaten könnten unbefugt offengelegt werden, oder ein Ausfall über 2 Stunden führt zu erheblichen Terminfolgen.
Sehr hoch: Existenziell bedrohliche oder katastrophale Folgen; ein entsprechender Fall liegt im Büromodell nicht vor.

Die Zeitregel ist nur ein beispielhafter Indikator der Verfügbarkeit. Für Vertraulichkeit und Integrität entscheidest du anhand des jeweiligen Schadensszenarios. Bei echten Daten müssen zuständige Fachleute die Schwellen passend zum Betrieb definieren.

Musterlösung pro Informationsobjekt

Information	Vertraulichkeit	Integrität	Verfügbarkeit	Begründung im fiktiven Szenario
A – Preisliste	normal	normal	normal	Öffentlich gewollt; kleinere Preisfehler werden vor dem nächsten Auftrag korrigiert; alternative Ausgabe verfügbar
B – Test-Kontaktliste als Modell künftiger Echtdaten	hoch	normal	normal	Modelliert beträchtliche Folgen eines möglichen Lecks realer Kundendaten; Testdaten selbst sind keine echten Personendaten; Korrektur und Wiederherstellung wären unkompliziert
C – Demo-Auftragsliste als Modell künftiger Echtaufträge	normal	hoch	hoch	Falsche Mengen verletzen modellierte feste Zusagen; Ausfall über 2 Stunden führt im Szenario zu einem erheblichen Terminproblem

Wichtig: Die Einstufung B „hoch“ ist eine Szenarioannahme für spätere Echtdaten, nicht eine Behauptung, Fantasiedaten seien rechtlich sensible Daten. Gleiche Datenmengen können bei anderen Prozessen zu einem anderen Schutzbedarf führen.

Maximumprinzip richtig anwenden

Ein gemeinsam genutzter Test-PC verarbeitet A, B und C. Für jedes Schutzziel wird die höchste zutreffende Einstufung übernommen: Vertraulichkeit = hoch (aus B), Integrität = hoch (aus C), Verfügbarkeit = hoch (aus C). Der Gesamtwert des Arbeitsplatzes kann deshalb als hoch bezeichnet werden. Die drei Einzelwerte bleiben dokumentiert, denn eine Zugriffsregel schützt andere Ziele als ein Backup. Auch Kumulationseffekte und Abhängigkeiten sind im echten Betrieb gesondert zu prüfen. Das Maximumprinzip ist keine arithmetische Mittelwertbildung.

Rechnen, dokumentieren und Maßnahmen ableiten

Nachrechenbare Modellzahlen

Papierstern verarbeitet im fiktiven Stoßzeitmodell 40 Aufträge pro Stunde. Bei 3 Stunden Störung bleiben 40 Aufträge/Stunde × 3 Stunden = 120 Aufträge liegen, unter der Annahme, dass während der Störung alle Aufträge eingehen, aber keiner bearbeitet wird. Werden nach Wiederanlauf keine neuen Aufträge angenommen und können 30 Altaufträge pro Stunde bearbeitet werden, dauert der Abbau 120 / 30 = 4 Stunden. Wenn gleichzeitig neue Aufträge hinzukommen, ist diese Vier-Stunden-Angabe nicht gültig; dann braucht man eine zusätzliche Kapazitätsrechnung.

Für eine separate Beispieldatei wird angenommen: 40 Datensätze am Tag mit jeweils 20 kB Datenumfang, fünf Tage. Das sind 40 × 20 kB × 5 = 4 000 kB = 4 MB in dezimaler Schreibweise (1 MB = 1 000 kB). Metadaten, Versionen und Sicherungs-Overhead sind hierbei ausdrücklich nicht berücksichtigt.

Von Schutzziel zu Maßnahme

Feststellung	Mögliche Modellmaßnahme	Überprüfbarer Nachweis
Vertraulichkeit bei Kontaktlisten hoch	Rollenbasierte Rechte, sichere Anmeldung, Bildschirmsperre	Test mit Dummy-Konto ohne Freigabe der Kontaktliste
Integrität der Aufträge hoch	Änderungsprotokoll, Plausibilitätsprüfung, getrennte Berechtigungen	Musterauftrag mit Sollwert und dokumentiertem Änderungsnachweis
Verfügbarkeit der Aufträge hoch	Festgelegte Sicherung und dokumentiertes Wiederanlaufverfahren	Wiederherstellung einer ausdrücklich freigegebenen Dummy-Datei im isolierten Testsystem

Datensicherung ist nicht automatisch gleich Verfügbarkeit: Erst ein getestetes Wiederherstellungsverfahren, notwendige Zeit und Abhängigkeiten ergeben zusammen einen brauchbaren Wiederanlaufplan. Ebenso ersetzt Verschlüsselung keine rollenbasierte Freigabe oder Integritätskontrolle.

Abbildung: Deutsch beschriftete schematische 3-2-1-Datensicherung als Beispiel für mehrere Kopien. Quelle: Wikimedia Commons, Olaf Pichler, CC BY-SA 4.0. Die Regel ist ein mögliches Sicherungsprinzip, keine Garantie für eine rechtzeitige Wiederherstellung.

Animation und Audio zum Weiterlernen

Animation: Historisches Lehrbeispiel für visuelle Kryptografie als Illustration eines Vertraulichkeitsverfahrens; nicht als alleiniger zeitgemäßer Schutz für Geschäftsdateien zu verstehen. Quelle: Wikimedia Commons, Blokhead, gemeinfrei.

Audio (Englisch, freiwillige Vertiefung): – gesprochener Überblick über Hardware-Sicherheitsmodule, ein Spezialthema über den Grundlagen des Kurses hinaus. Sprecher Chamtion, Mitwirkende des zugrunde liegenden Wikipedia-Artikels, Wikimedia Commons, CC BY-SA 3.0.

Ausbildungsrahmen, Datenschutz und sichere Grenzen

Schule, Betrieb und rechtliche Orientierung

Für den Berufsschulunterricht ist der überprüfte KMK-Rahmenlehrplan, Beschluss 13.12.2019 maßgebliche Orientierung: Lernfeld 4 behandelt im ersten Ausbildungsjahr die Analyse des Schutzbedarfs. Für den betrieblichen Teil gilt die Fachinformatikerausbildungsverordnung vom 28.02.2020 einschließlich Ausbildungsrahmenplan. Unterschiede in Lernort und Dokumentfunktion bleiben ausdrücklich erhalten.

Für tatsächlich personenbezogene Daten verlangt Artikel 32 der Datenschutz-Grundverordnung angemessene technische und organisatorische Maßnahmen nach Risiko und Kontext. Das ist keine automatische Gleichsetzung der DSGVO mit den drei BSI-Kategorien. Die in diesem Kurs verwendeten Fantasiedaten sind keine realen Schüler- oder Kundendaten. Die fachliche Orientierung basiert unter anderem auf der veröffentlichten IT-Grundschutz-Methodik, BSI-Standard 200-2 (Stand: geprüfte öffentliche BSI-Unterlagen, Abruf Oktober 2026); vollständige geschützte Normtexte werden nicht wiedergegeben.

Grenzen des Handelns

Du darfst im Ausbildungskontext eine Tabelle erstellen, Risiken diskutieren und nur in freigegebenen isolierten Dummysystemen testen. Reale Benutzerrechte, Firmensicherungen, Systeme und Schutzkonfigurationen werden nur unter qualifizierter Aufsicht und nach betrieblichen Vorgaben bearbeitet. Niemals ohne Freigabe an elektrischen Anlagen, Kranen, Drucksystemen oder Gefahrstoffen arbeiten. Dieser Kurs ersetzt keine Befähigungsnachweise, keine gesetzliche Fachprüfung und keine sicherheitstechnische oder rechtliche Vollfreigabe.

Videovertiefung: „IT Grundschutz nach BSI 200 - Teil 1“, CSBME KAH, veröffentlicht am 09.08.2022, deutschsprachiger Einstieg mit Einordnung der Schutzbedarfsanalyse. Videoquelle. Fremdvideo, Rechte beim veröffentlichenden Kanal; keine freie Nachnutzungslizenz nachgewiesen, ausschließlich Verweis auf die Originalwiedergabe.

Videovertiefung: „BSI IT Grundschutz - Einfach erklärt“, Wissen konkret, veröffentlicht am 21.09.2024. Videoquelle. Fremdvideo, Rechte beim veröffentlichenden Kanal; eine freie Nachnutzungslizenz ist nicht nachgewiesen. Video ist ergänzend, nicht amtliche Prüfungsquelle.

Interaktive Aufgaben

Quiz: Teste dein Wissen

Was beschreibt Schutzbedarf vor allem? (Das Ausmaß möglicher Schäden bei Verletzung eines Schutzziels) (!Nur die Wahrscheinlichkeit eines Hackerangriffs) (!Die Anzahl installierter Programme) (!Nur den Einkaufspreis des Computers)

Rückmeldung: Schutzbedarf beurteilt Schadensfolgen je Schutzziel, nicht nur Angriffshäufigkeit oder Beschaffungskosten.

Welcher Vorfall verletzt vor allem Vertraulichkeit? (Unbefugte lesen künftige echte Kundendaten) (!Ein Drucker benötigt neues Papier) (!Ein Preis wird versehentlich um eine Einheit geändert) (!Ein PC startet nach einem Update später)

Rückmeldung: Eine unbefugte Einsicht betrifft Vertraulichkeit; falsche Werte eher Integrität, Ausfälle eher Verfügbarkeit.

Welcher Vorfall verletzt vor allem Integrität? (Ein Auftragswert wird unbemerkt verändert) (!Eine Datei lässt sich vorübergehend nicht öffnen) (!Eine öffentlich gewollte Preisliste wird gelesen) (!Ein Bildschirm wird dunkler eingestellt)

Rückmeldung: Integrität fordert richtige und vor unbemerkter Änderung geschützte Werte.

Welche Kategorie verwendet die BSI-Methodik für beträchtliche Schäden? (hoch) (!normal) (!minimal) (!zufällig)

Rückmeldung: Die BSI-Kategorien unterscheiden normal, hoch und sehr hoch; beträchtliche Schäden gehören zu hoch.

Was gilt für die erfundene Kontaktliste im Unterricht? (Ihre hohe Vertraulichkeit modelliert den späteren Umgang mit echten Kontaktdaten) (!Die Fantasienamen sind schon echte personenbezogene Daten) (!Die Datei muss als amtliches Geheimnis eingestuft werden) (!Ein Leck verursacht zwangsläufig reale Schäden)

Rückmeldung: Eine hohe Einstufung ist eine bewusst gesetzte Szenarioannahme für einen künftigen Echtbetrieb und keine Eigenschaft erfundener Namen.

Welche Einstufung hat die Integrität des PCs nach dem Maximumprinzip? (hoch) (!normal) (!sehr hoch) (!gar keine)

Rückmeldung: Die Auftragsliste C besitzt im Modell hohe Integrität; der gemeinsam genutzte PC erbt dafür mindestens diesen Bedarf.

Wie groß ist der Rückstand bei drei Stunden Störung und 40 Aufträgen je Stunde? (120 Aufträge) (!40 Aufträge) (!30 Aufträge) (!12 Aufträge)

Rückmeldung: Drei Stunden mal 40 Aufträge pro Stunde ergeben 120 nicht bearbeitete Aufträge; die Stunden kürzen sich als Einheit heraus.

Wie lange dauert das Abarbeiten von 120 Altaufträgen bei 30 pro Stunde und ohne neue Aufträge? (4 Stunden) (!3 Stunden) (!2 Stunden) (!30 Stunden)

Rückmeldung: 120 Aufträge geteilt durch 30 Aufträge je Stunde ergibt vier Stunden, nur unter der genannten Zuflussannahme.

Was beweist eine Sicherungskopie allein noch nicht? (Dass die Wiederherstellung rechtzeitig und erfolgreich funktioniert) (!Dass Datensätze gespeichert wurden) (!Dass ein weiteres Datenexemplar existiert) (!Dass man einen Sicherungsträger benennen kann)

Rückmeldung: Sicherung und getestete Wiederherstellung sind getrennte Voraussetzungen für die Verfügbarkeit.

Welche Aussage über Lernfeld und Ausbildungsordnung stimmt? (Der KMK-Rahmenlehrplan beschreibt Berufsschullernfelder und die FIAusbV den betrieblichen Ausbildungsrahmen) (!Beide sind derselbe amtliche Prüfungskatalog) (!Lernfeld 4 ist eine privat erfundene Industrienorm) (!Die DSGVO ersetzt den Rahmenlehrplan)

Rückmeldung: Lernfeld 4 stammt aus dem KMK-Rahmenlehrplan; die FIAusbV regelt die betriebliche Ausbildung und ergänzt die schulischen Lernfelder.

Memory

Finde zu jedem Begriff die passende Definition. Alle sechs Begriffspaare sind eindeutig.

Vertraulichkeit	Einsicht nur für Berechtigte
Integrität	Schutz vor unbemerkter Veränderung
Verfügbarkeit	Benutzbarkeit zum benötigten Zeitpunkt
Schadensszenario	Nachvollziehbare Beschreibung möglicher Folgen
Maximumprinzip	Übernahme des höchsten Bedarfs je Grundwert
Wiederherstellungstest	Nachweis der Rückgewinnung aus einer Sicherung

Drag and Drop

Ordne jeweils die fachliche Bewertung der passenden Beobachtung zu.

Ordne den passenden Begriff zu.	Beobachtung im Modell
Hohe Vertraulichkeit	Kontaktliste simuliert mögliche Folgen eines Lecks im Echtbetrieb
Hohe Integrität	Unbemerkte Änderungen verfälschen verbindliche Aufträge
Hohe Verfügbarkeit	Längere Störung verhindert im Modell eine rechtzeitige Bearbeitung
Normale Vertraulichkeit	Öffentliche Preisliste ist für alle gedacht
Dokumentierte Annahme	Stündlicher Auftragseingang wurde nur für den Modellfall gesetzt

Kreuzworträtsel

Die sechs Antworten sind jeweils ein einzelnes Fachwort.

Risiko	Welcher Begriff verbindet mögliche Schadensfolgen mit einer möglichen Eintrittswahrscheinlichkeit?
Backup	Wie heißt eine zusätzliche Sicherungskopie auf Englisch?
Zugriff	Was erhalten ausschließlich berechtigte Rollen auf vertrauliche Informationen?
Auftrag	Welches Dokument wird in der fiktiven Bearbeitung bestätigt?
Schaden	Was wird beim Schutzbedarf nach seinen Auswirkungen betrachtet?
Freigabe	Was muss vor einer Änderung an produktiven Systemen durch Zuständige erteilt werden?

LearningApps

Externe Suche nach frei zugänglichen Lernbausteinen zum Thema. Angebote sind nicht automatisch von den Kurserstellenden geprüft oder freigegeben.

Eigenständiger Lückentext

Trage pro Satz genau einen Fachbegriff oder Wert ein.

Das Schutzziel gegen unbefugte Einsicht heißt

.

Die Richtigkeit eines Auftrags betrifft seine

.

Die rechtzeitige Nutzung von Informationen beschreibt

.

Begrenzte und überschaubare Schäden gehören zur Kategorie

.

Beträchtliche Schäden gehören zur Kategorie

.

Der gemeinsam genutzte PC übernimmt je Schutzziel den höchsten Bedarf nach dem

.

Bei vierzig Aufträgen pro Stunde entstehen in drei Stunden

wartende Aufträge.

Hundertzwanzig Altaufträge bei dreißig pro Stunde erfordern ohne Neuzugänge

Stunden.

Die überprüfte schulische Zuordnung des Themas steht im

.

Reale technische Eingriffe brauchen vorab eine betriebliche

.

Offene Aufgaben

Bearbeite ausschließlich mit dem beschriebenen Datensatz und selbst erfundenen Namen. Die jeweilige Niveaustufe beschreibt den Arbeitsumfang.

Leicht

Schutzziele: Erstelle für Vertraulichkeit, Integrität und Verfügbarkeit je eine eigene Definition und ein Beispiel aus Papierstern; begründe die Zuordnung in jeweils zwei Sätzen.
Fiktive Datensätze: Kennzeichne alle drei Informationsobjekte A, B und C und erkläre, warum Fantasienamen keine echten Kundendaten sind.
Schadensszenario: Formuliere zur öffentlichen Preisliste eine plausible kleine Störung mit Auswirkung und Wiederherstellung.
Schutzbedarfskategorie: Übertrage die drei qualitativen BSI-Kategorien in eine selbst verfasste Tabelle mit einem eigenen Unterrichtsbeispiel.

Standard

Schutzbedarfsfeststellung: Fülle für A, B und C eine Matrix der drei Schutzziele aus und begründe jede Einstufung nachvollziehbar.
Maximumprinzip: Bestimme für den gemeinsam genutzten PC die drei Einzelwerte; markiere je den verursachenden Informationswert.
Datensicherung: Zeichne einen einfachen Papierplan für Sicherung, Zuständigkeit und Wiederherstellung der erfundenen Test-Auftragsliste.
Kapazitätsplanung: Rechne den Modellrückstand nach drei Stunden und die Aufholzeit aus; schreibe die Einheiten in jeden Rechenschritt.

Schwer

Abhängigkeiten: Ändere das Szenario so, dass eine Anwendung auf zwei PCs verteilt ist; begründe, wann das Maximumprinzip und wann ein Verteilungseffekt relevant wird.
Datenschutz: Erstelle eine Gegenüberstellung zwischen Fantasiedaten und einer hypothetischen künftigen echten Kontaktliste sowie der dafür nötigen betrieblichen Klärung.
Schutzmaßnahmen: Entwickle zwei verschiedene abgestufte Maßnahmenpakete und bewerte nachvollziehbar deren Wirkung auf jedes Schutzziel und den Aufwand.
Sicherheitskonzept: Gestalte eine dreiminütige Präsentation oder ein Schaubild mit Ausgangslage, Schutzbedarf, überprüfbaren Zahlen, offenen Annahmen und Entscheidungsempfehlung.

Lernkontrolle

Begründete Einstufung: Wieso bekommt B im Unterrichtsmodell trotz reiner Fantasienamen eine hohe Vertraulichkeit? Formuliere die Bedingung dieser Modellübertragung.
Vergleich von Schutzzielen: Erkläre an C, weshalb eine hohe Integrität und eine hohe Verfügbarkeit unterschiedliche Schutzmaßnahmen benötigen.
Rechenkontrolle: Prüfe den Rückstand bei 40 Aufträgen je Stunde und 3 Stunden Ausfall, berechne die Aufholzeit bei 30 Altaufträgen je Stunde und benenne die entscheidende Annahme.
Abgrenzung von Lernorten: Erkläre die unterschiedliche Rolle von KMK-Lernfeld 4 und dem Ausbildungsrahmenplan der FIAusbV.
Maßnahmenbewertung: Wähle Rollenrechte, Änderungsprotokoll und Rücksicherungstest begründet passenden Risiken zu und gib je einen messbaren Prüfnachweis.
Methodenreflexion: Beurteile, warum ein arithmetischer Mittelwert von normal und hoch den Schutzbedarf eines gemeinsam genutzten PCs nicht angemessen beschreibt.

Lernnachweis

Du weist deine Kompetenz mit einer dreispaltigen Schutzzielmatrix je Datenobjekt, einer kurzen Schadensbegründung, einer korrekt berechneten Kapazitäts- und Dateigrößenrechnung sowie einem risikobezogenen Maßnahmenplan nach. Eine vollständige Lösung weist die fiktiven Annahmen aus, hält „hoch“ und „sehr hoch“ auseinander, dokumentiert für den PC die Einzelwerte hoch/hoch/hoch und begründet den Unterschied zwischen Datensicherung und Wiederanlauf. Das Produkt kann durch Peer-Feedback anhand der Kriterien Nachvollziehbarkeit, Richtigkeit, Datenfreiheit und geeignete Maßnahmen geprüft werden.

OER und Wikipedia

Amtliche und fachliche Orientierung (zuletzt abgeglichen Oktober 2026):

KMK: Rahmenlehrplan Fachinformatiker/in, Beschluss 13.12.2019, Lernfeld 4 auf S. 15 – schulischer Lernort, keine Wiedergabe geschützter Volltexte.
Fachinformatikerausbildungsverordnung vom 28.02.2020 – betriebliche Ausbildungsordnung.
Ausbildungsrahmenplan zur FIAusbV – berufliche Fertigkeiten, Kenntnisse und Fähigkeiten.
BSI: Online-Kurs IT-Grundschutz, Lektion 4 Schutzbedarfsfeststellung.
BSI-Standard 200-2, IT-Grundschutz-Methodik – Kategorien und Vorgehen in Abschnitt 8; Normtext wird nicht übernommen.
DSGVO Artikel 32 – angemessene Sicherheit bei tatsächlicher Verarbeitung personenbezogener Daten.

Wikipedia, deutschsprachige Einführung:

Nachweise für Medien – Originaldatei, Quelle, Urheber und Lizenz:

Datei oder Medium	Verifizierbarer Ursprung	Urheber oder Sprecher	Lizenz oder Rechteangabe
File:CIAJMK1209-en.svg	Commons-Dateiseite	Michel Bakni	CC BY-SA 4.0
File:Padlock.svg	Commons-Dateiseite	AJ Ashton	CC0/OpenClipart
File:3-2-1 backup 01.png	Commons-Dateiseite	Olaf Pichler	CC BY-SA 4.0
File:Visual crypto animation demo.gif	Commons-Dateiseite	Blokhead	Gemeinfrei laut Quelldatei
File:EN-Hardware security module-article.ogg	Commons-Audiodatei	Sprecher Chamtion und Artikelautorinnen und -autoren	CC BY-SA 3.0
https://www.youtube.com/watch?v=z13Eargjjig	Originalvideo	CSBME KAH	Rechte beim Kanal; freie Nachnutzungslizenz nicht bestätigt, nur eingebettete Originalwiedergabe
https://www.youtube.com/watch?v=3WPAyxCj0iE	Originalvideo	Wissen konkret	Rechte beim Kanal; freie Nachnutzungslizenz nicht bestätigt, nur eingebettete Originalwiedergabe

Die Quellen dienen fachlicher Orientierung, nicht als amtlicher Prüffreigabevermerk oder als Rechteübertragung an fremden Videos. Bei eingebetteten Medien gelten deren jeweilige Rechteangaben; Änderungen an Originaldateien wurden für diesen Kurs nicht vorgenommen.