urn: urn:pspdv:risk:library:bsi-gefaehrdungen
locale: de
ref_id: bsi-gefaehrdungen
name: "Elementare Gef\xE4hrdungen des BSI"
description: "Insgesamt 47 Elementare Gef\xE4hrdungen sind f\xFCr die IT-Grundschutz-Methodik\
  \ und hier vor allem f\xFCr die Arbeit mit dem IT-Grundschutz-Kompendium identifiziert\
  \ und beschrieben. Diese Elementaren Gef\xE4hrdungen k\xF6nnen f\xFCr die Risikoanalyse\
  \ herangezogen werden. Sie sind kompatibel mit vergleichbaren internationalen Katalogen\
  \ und Standards."
copyright: "Bundesamt f\xFCr Sicherheit in der Informationstechnik (BSI) "
version: 3
publication_date: 2025-01-24
provider: "Bundesamt f\xFCr Sicherheit in der Informationstechnik (BSI) "
packager: pspdv
translations:
  en:
    name: elementary hazards by BSI
    description: A total of 47 elementary hazards have been identified and described
      for the IT-Grundschutz methodology and, in particular, for working with the
      IT-Grundschutz Compendium. These elementary hazards can be used for risk analysis.
      They are compatible with comparable international catalogs and standards.
objects:
  reference_controls: []
  threats:
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.1
    ref_id: G0.1
    name: Feuer
    description: "Feuer k\xF6nnen schwere Sch\xE4den an Menschen, Geb\xE4uden und\
      \ deren Einrichtung verursachen. Neben\ndirekten durch Feuer verursachten Sch\xE4\
      den lassen sich Folgesch\xE4den aufzeigen, die insbesondere f\xFCr die\nInformationstechnik\
      \ in ihrer Schadenswirkung ein katastrophales Ausma\xDF erreichen k\xF6nnen.\n\
      L\xF6schwassersch\xE4den treten beispielsweise nicht nur an der Brandstelle\
      \ auf. Sie k\xF6nnen auch in tiefer\nliegenden Geb\xE4udeteilen entstehen. Bei\
      \ der Verbrennung von PVC entstehen Chlorgase, die zusammen mit\nder Luftfeuchtigkeit\
      \ und dem L\xF6schwasser Salzs\xE4ure bilden. Werden die Salzs\xE4ured\xE4mpfe\
      \ \xFCber die\nKlimaanlage verteilt, k\xF6nnen auf diese Weise Sch\xE4den an\
      \ empfindlichen elektronischen Ger\xE4ten entstehen,\ndie in einem vom Brandort\
      \ weit entfernten Teil des Geb\xE4udes stehen. Aber auch \"normaler\" Brandrauch\n\
      kann auf diesem Weg besch\xE4digend auf die IT-Einrichtung einwirken.\nEin Brand\
      \ entsteht nicht nur durch den fahrl\xE4ssigen Umgang mit Feuer (z.B. durch\
      \ unbeaufsichtigte offene\nFlammen, Schwei\xDF- und L\xF6tarbeiten), sondern\
      \ auch durch unsachgem\xE4\xDFe Benutzung elektrischer\nEinrichtungen (z.B.\
      \ unbeaufsichtigte Kaffeemaschine, \xDCberlastung von Mehrfachsteckdosen). Technische\n\
      Defekte an elektrischen Ger\xE4ten k\xF6nnen ebenfalls zu einem Brand f\xFC\
      hren.\nDie Ausbreitung eines Brandes kann unter anderem beg\xFCnstigt werden\
      \ durch:\n\u2022 Aufhalten von Brandabschnittst\xFCren durch Keile,\n\u2022\
      \ unsachgem\xE4\xDFe Lagerung brennbarer Materialien (z.B. Altpapier),\n\u2022\
      \ Nichtbeachtung der einschl\xE4gigen Normen und Vorschriften zur Brandvermeidung,\n\
      \u2022 fehlende Brandmeldeeinrichtungen (z.B. Rauchmelder),\n\u2022 fehlende\
      \ oder nicht einsatzbereite Handfeuerl\xF6scher oder automatische L\xF6scheinrichtungen\
      \ (z.B.\nGasl\xF6schanlagen),\n\u2022 mangelhaften vorbeugenden Brandschutz\
      \ (z.B. Fehlen von Brandabschottungen auf Kabeltrassen oder\nVerwendung ungeeigneter\
      \ D\xE4mmmaterialien zur W\xE4rme- und Schallisolierung).\nBeispiele:\n\u2022\
      \ Anfang der 90er Jahre erlitt im Frankfurter Raum ein Gro\xDFrechenzentrum\
      \ einen katastrophalen\nBrandschaden, der zu einem kompletten Ausfall f\xFC\
      hrte.\n\u2022 Immer wieder kommt es vor, dass elektrische Kleinger\xE4te, wie\
      \ z.B. Kaffeemaschinen oder Tischleuchten,\nunsachgem\xE4\xDF installiert oder\
      \ aufgestellt sind und dadurch Br\xE4nde verursachen."
    translations:
      en:
        name: Fire
        description: "Fires can cause serious damage to people, buildings and their\
          \ equipment. In addition to the direct damage caused by fire, there are\
          \ also consequential damages that can have a catastrophic impact, particularly\
          \ for information technology. For example, fire water damage does not only\
          \ occur at the site of the fire. It can also occur in lower parts of the\
          \ building. When PVC is burned, chlorine gases are produced, which, together\
          \ with the air humidity and the fire water, form hydrochloric acid. If the\
          \ hydrochloric acid vapors are distributed via the air conditioning system,\
          \ this can cause damage to sensitive electronic devices that are located\
          \ in a part of the building far away from the fire. But \"normal\" fire\
          \ smoke can also have a damaging effect on IT equipment in this way. A fire\
          \ is not only caused by the negligent handling of fire (e.g. through unattended\
          \ open flames, welding and soldering work), but also by the improper use\
          \ of electrical equipment (e.g. unattended coffee machine, overloading of\
          \ multiple sockets). Technical defects in electrical equipment can also\
          \ lead to a fire. The spread of a fire can be facilitated by, among other\
          \ things:\n\u2022 holding fire compartment doors open with wedges,\n\u2022\
          \ improper storage of flammable materials (e.g. waste paper),\n\u2022 failure\
          \ to comply with the relevant standards and regulations for fire prevention,\n\
          \u2022 missing fire alarm systems (e.g. smoke detectors),\n\u2022 missing\
          \ or unusable hand-held fire extinguishers or automatic extinguishing systems\
          \ (e.g.\ngas extinguishing systems),\n\u2022 inadequate preventive fire\
          \ protection (e.g. lack of fire barriers on cable routes or\nuse of unsuitable\
          \ insulation materials for heat and sound insulation). \nExamples:\n\u2022\
          \ At the beginning of the 1990s, a large data center in the Frankfurt area\
          \ suffered catastrophic fire damage, which led to a complete failure.\n\u2022\
          \ It often happens that small electrical devices, such as coffee machines\
          \ or table lamps,\nare installed or positioned incorrectly and thus cause\
          \ fires."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.2
    ref_id: G0.2
    name: "Ung\xFCnstige klimatische Bedingungen "
    description: "Ung\xFCnstige klimatische Bedingungen wie Hitze, Frost oder hohe\
      \ Luftfeuchtigkeit k\xF6nnen zu Sch\xE4den\nverschiedenster Art f\xFChren, beispielsweise\
      \ zu Fehlfunktionen in technischen Komponenten oder zur\nBesch\xE4digung von\
      \ Speichermedien. H\xE4ufige Schwankungen der klimatischen Bedingungen verst\xE4\
      rken\ndiesen Effekt. Ung\xFCnstige klimatische Bedingungen k\xF6nnen auch dazu\
      \ f\xFChren, dass Menschen nicht mehr\narbeiten k\xF6nnen oder sogar verletzt\
      \ oder get\xF6tet werden.\nJeder Mensch und jedes technische Ger\xE4t hat einen\
      \ Temperaturbereich, innerhalb dessen seine normale\nArbeitsweise bzw. ordnungsgem\xE4\
      \xDFe Funktion gew\xE4hrleistet ist. \xDCberschreitet die Umgebungstemperatur\
      \ die\nGrenzen dieses Bereiches nach oben oder unten, kann es zu Arbeitsausf\xE4\
      llen, Betriebsst\xF6rungen oder zu\nGer\xE4teausf\xE4llen kommen.\nZu L\xFC\
      ftungszwecken werden oft unerlaubt Fenster von Serverr\xE4umen ge\xF6ffnet.\
      \ In der \xDCbergangszeit\n(Fr\xFChjahr, Herbst) kann das bei gro\xDFen Temperaturschwankungen\
      \ dazu f\xFChren, dass durch starke Abk\xFChlung\ndie zul\xE4ssige Luftfeuchte\
      \ \xFCberschritten wird.\nBeispiele:\n\u2022 Bei hochsommerlichen Temperaturen\
      \ und unzureichender K\xFChlung kann es bei IT-Ger\xE4ten zu\ntemperaturbedingten\
      \ Ausf\xE4llen kommen.\n\u2022 Zu viel Staub in IT-Systemen kann zu einem Hitzestau\
      \ f\xFChren.\n\u2022 Durch zu hohe Temperaturen k\xF6nnen magnetische Datentr\xE4\
      ger entmagnetisiert werden."
    translations:
      en:
        name: 'Unfavorable climatic conditions '
        description: "Unfavorable climatic conditions such as heat, frost or high\
          \ humidity can lead to a wide variety of damages, for example malfunctions\
          \ in technical components or damage to storage media. Frequent fluctuations\
          \ in climatic conditions increase this effect. Unfavorable climatic conditions\
          \ can also lead to people no longer being able to work or even being injured\
          \ or killed. Every person and every technical device has a temperature range\
          \ within which it can work normally or function properly. If the ambient\
          \ temperature exceeds the limits of this range, work stoppages, operational\
          \ disruptions or device failures can occur. Server room windows are often\
          \ opened without permission for ventilation purposes. In the transition\
          \ period (spring, autumn), large temperature fluctuations can lead to the\
          \ permissible humidity being exceeded due to strong cooling. \nExamples:\
          \ \n\u2022 In high summer temperatures and insufficient cooling, IT devices\
          \ can fail due to temperature. \n\u2022 Too much dust in IT systems can\
          \ lead to heat build-up.\n\u2022 Excessive temperatures can demagnetize\
          \ magnetic data storage devices."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.3
    ref_id: G0.3
    name: 'Wasser '
    description: "Durch Wasser kann die Integrit\xE4t und Verf\xFCgbarkeit von Informationen\
      \ beeintr\xE4chtigt werden, die auf\nanalogen und digitalen Datentr\xE4gern\
      \ gespeichert sind. Auch Informationen im Arbeitsspeicher von IT-\nSystemen\
      \ sind gef\xE4hrdet. Der unkontrollierte Eintritt von Wasser in Geb\xE4ude oder\
      \ R\xE4ume kann\nbeispielsweise bedingt sein durch:\n\u2022 St\xF6rungen in\
      \ der Wasser-Versorgung oder Abwasser-Entsorgung,\n\u2022 Defekte der Heizungsanlage,\n\
      \u2022 Defekte an Klimaanlagen mit Wasseranschluss,\n\u2022 Defekte in Sprinkleranlagen,\n\
      \u2022 L\xF6schwasser bei der Brandbek\xE4mpfung und\n\u2022 Wassersabotage\
      \ z.B. durch \xD6ffnen der Wasserh\xE4hne und Verstopfen der Abfl\xFCsse.\n\
      Unabh\xE4ngig davon, auf welche Weise Wasser in Geb\xE4ude oder R\xE4ume gelangt,\
      \ besteht die Gefahr, dass\nVersorgungseinrichtungen oder IT-Komponenten besch\xE4\
      digt oder au\xDFer Betrieb gesetzt werden\n(Kurzschluss, mechanische Besch\xE4\
      digung, Rost etc.). Besonders wenn zentrale Einrichtungen der\nGeb\xE4udeversorgung\
      \ (Hauptverteiler f\xFCr Strom, Telefon, Daten) in Kellerr\xE4umen ohne selbstt\xE4\
      tige\nEntw\xE4sserung untergebracht sind, kann eindringendes Wasser sehr hohe\
      \ Sch\xE4den verursachen.\nProbleme k\xF6nnen au\xDFerdem durch Frost entstehen.\
      \ Beispielsweise k\xF6nnen Rohre in frostgef\xE4hrdeten\nBereichen undicht werden,\
      \ wenn darin Wasser bei anhaltendem Frost stillsteht. Auch eine vorhandene\n\
      W\xE4rmed\xE4mmung wird mit der Zeit vom Frost \xFCberwunden.\nBeispiel:\n\u2022\
      \ In einem Serverraum verlief eine Wasserleitung unterhalb der Decke, die mit\
      \ Gipskartonelementen\nverkleidet war. Als eine Verbindung der Wasserleitung\
      \ undicht wurde, wurde dies nicht rechtzeitig\nerkannt. Das austretende Wasser\
      \ sammelte sich zun\xE4chst an der tiefsten Stelle der Verkleidung, bevor es\n\
      dort austrat und im darunter angebrachten Stromverteiler einen Kurzschluss verursachte.\
      \ Dies f\xFChrte\ndazu, dass bis zur endg\xFCltigen Reparatur sowohl die Wasser-\
      \ als auch die Stromversorgung des\nbetroffenen Geb\xE4udeteils komplett abgeschaltet\
      \ werden musste."
    translations:
      en:
        name: 'Water '
        description: "Water can affect the integrity and availability of information\
          \ stored on analog and digital data storage devices. Information in the\
          \ memory of IT systems is also at risk. The uncontrolled entry of water\
          \ into buildings or rooms can be caused, for example, by:\n\u2022 Disruptions\
          \ in the water supply or wastewater disposal,\n\u2022 Defects in the heating\
          \ system,\n\u2022 Defects in air conditioning systems with a water connection,\n\
          \u2022 Defects in sprinkler systems,\n\u2022 Extinguishing water when fighting\
          \ fires and\n\u2022 Water sabotage, e.g. by opening the taps and blocking\
          \ the drains.\nRegardless of how water gets into buildings or rooms, there\
          \ is a risk that\nsupply facilities or IT components will be damaged or\
          \ put out of operation\n(short circuit, mechanical damage, rust, etc.).\
          \ Particularly if central building supply facilities (main distribution\
          \ boards for electricity, telephone, data) are located in basements without\
          \ automatic drainage, penetrating water can cause very serious damage.\n\
          Problems can also be caused by frost. For example, pipes in areas at risk\
          \ of frost can become leaky if water stands still in them during prolonged\
          \ frost. Even existing thermal insulation is overcome by frost over time.\
          \ Example: \n\u2022 In a server room, a water pipe ran beneath the ceiling,\
          \ which was covered with plasterboard elements. When a connection in the\
          \ water pipe became leaky, this was not detected in time. The leaking water\
          \ initially collected at the lowest point of the covering before it leaked\
          \ out and caused a short circuit in the power distribution box underneath.\
          \ This meant that both the water and power supplies in the affected part\
          \ of the building had to be completely switched off until the final repairs\
          \ could be carried out."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.4
    ref_id: G0.4
    name: 'Verschmutzung, Staub, Korrosion '
    description: "Viele IT-Ger\xE4te enthalten neben der Elektronik auch mechanisch\
      \ arbeitende Komponenten, wie z.B. bei\nFest- und Wechselplatten, DVD-Laufwerken,\
      \ Druckern, Scannern etc., aber auch L\xFCftern von Prozessoren\nund Netzteilen.\
      \ Mit steigenden Anforderungen an die Qualit\xE4t und die Schnelligkeit m\xFC\
      ssen diese Ger\xE4te\nimmer pr\xE4ziser arbeiten. Bereits geringf\xFCgige Verunreinigungen\
      \ k\xF6nnen zu einer St\xF6rung eines Ger\xE4tes\nf\xFChren. Staub und Verschmutzungen\
      \ k\xF6nnen beispielsweise durch folgende T\xE4tigkeiten in gr\xF6\xDFerem Ma\xDF\
      e\nentstehen:\n\u2022 Arbeiten an W\xE4nden, Doppelb\xF6den oder anderen Geb\xE4\
      udeteilen,\n\u2022 Umr\xFCstungsarbeiten an der Hardware bzw.\n\u2022 Entpackungsaktionen\
      \ von Ger\xE4ten (z.B. aufwirbelndes Styropor).\nVorhandene Sicherheitsschaltungen\
      \ in den Ger\xE4ten f\xFChren meist zu einem rechtzeitigen Abschalten. Das\n\
      h\xE4lt zwar den direkten Schaden am Ger\xE4t, die Instandsetzungskosten und\
      \ die Ausfallzeiten klein, f\xFChrt aber\ndazu, dass das betroffene Ger\xE4\
      t nicht verf\xFCgbar ist.\nDie Ger\xE4te und die Infrastruktur k\xF6nnen au\xDF\
      erdem durch Korrosion angegriffen werden. Dies kann sich\nnicht nur auf die\
      \ IT, sondern sogar auf die Sicherheit von Geb\xE4uden negativ auswirken.\n\
      Durch Korrosion k\xF6nnen auch indirekt weitere Gef\xE4hrdungen entstehen. So\
      \ kann beispielsweise Wasser aus\nkorrodierten Stellen austreten (siehe G 0.3\
      \ Wasser).\nInsgesamt k\xF6nnen Verschmutzung, Staub oder Korrosion somit zu\
      \ Ausf\xE4llen oder Besch\xE4digungen von IT-\nKomponenten und Versorgungseinrichtungen\
      \ f\xFChren. Als Folge kann die ordnungsgem\xE4\xDFe\nInformationsverarbeitung\
      \ beeintr\xE4chtigt werden.\nBeispiele:\n\u2022 Bei der Aufstellung eines Servers\
      \ in einem Medienraum, zusammen mit einem Kopierer und einem\nFaxger\xE4t, traten\
      \ nacheinander die L\xE4hmung des Prozessor-L\xFCfters und des Netzteil-L\xFC\
      fters aufgrund der\nhohen Staubbelastung des Raumes auf. Der Ausfall des Prozessor-L\xFC\
      fters f\xFChrte zu sporadischen Server-\nAbst\xFCrzen. Der Ausfall des Netzteil-L\xFC\
      fters f\xFChrte schlie\xDFlich zu einer \xDCberhitzung des Netzteils mit der\n\
      Folge eines Kurzschlusses, was schlie\xDFlich einen Totalausfall des Servers\
      \ nach sich zog.\n\u2022 Um eine Wandtafel in einem B\xFCro aufzuh\xE4ngen,\
      \ wurden von der Haustechnik L\xF6cher in die Wand\ngebohrt. Der Mitarbeiter\
      \ hatte hierzu sein B\xFCro f\xFCr kurze Zeit verlassen. Nach R\xFCckkehr an\
      \ seinen\nArbeitsplatz stellte er fest, dass sein PC nicht mehr funktionierte.\
      \ Ursache hierf\xFCr war Bohrstaub, der\ndurch die L\xFCftungsschlitze in das\
      \ PC-Netzteil eingedrungen war."
    translations:
      en:
        name: 'Pollution, dust, corrosion '
        description: "In addition to electronics, many IT devices also contain mechanical\
          \ components, such as hard drives and removable disks, DVD drives, printers,\
          \ scanners, etc., but also fans for processors and power supplies. With\
          \ increasing demands on quality and speed, these devices must work with\
          \ increasing precision. Even minor contamination can lead to a device malfunctioning.\
          \ Dust and dirt can be generated on a larger scale by the following activities,\
          \ for example: \u2022 Working on walls, raised floors or other parts of\
          \ the building, \u2022 Modification work on the hardware or \u2022 Unpacking\
          \ devices (e.g. styrofoam being thrown up). Existing safety circuits in\
          \ the devices usually lead to a timely shutdown. This keeps the direct damage\
          \ to the device, the repair costs and the downtime to a minimum, but means\
          \ that the affected device is not available. The devices and the infrastructure\
          \ can also be attacked by corrosion. This can have a negative impact not\
          \ only on IT, but even on the safety of buildings.\nCorrosion can also indirectly\
          \ cause further hazards. For example, water can leak from corroded areas\
          \ (see G 0.3 Water).\nOverall, dirt, dust or corrosion can lead to failures\
          \ or damage to IT components and supply facilities. As a result, proper\
          \ information processing can be impaired.\nExamples:\n\u2022 When a server\
          \ was installed in a media room, together with a copier and a fax machine,\
          \ the processor fan and the power supply fan stopped working one after the\
          \ other due to the high dust load in the room. The failure of the processor\
          \ fan led to sporadic server crashes. The failure of the power supply fan\
          \ ultimately led to the power supply overheating, resulting in a short circuit,\
          \ which ultimately led to a total failure of the server.\n\u2022 In order\
          \ to hang a wall board in an office, the building services department drilled\
          \ holes in the wall. The employee had left his office for a short time.\
          \ After returning to his workplace, he discovered that his PC was no longer\
          \ working. The reason for this was drilling dust that had penetrated the\
          \ PC power supply through the ventilation slots."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.5
    ref_id: G0.5
    name: Naturkatastrophen
    description: "Unter Naturkatastrophen werden nat\xFCrliche Ver\xE4nderungen verstanden,\
      \ die verheerende Auswirkungen auf\nMenschen und Infrastrukturen haben. Ursachen\
      \ f\xFCr eine Naturkatastrophe k\xF6nnen seismische, klimatische\noder vulkanische\
      \ Ph\xE4nomene sein, wie beispielsweise Erdbeben, Hochwasser, Erdrutsche, Tsunamis,\n\
      Lawinen und Vulkanausbr\xFCche. Beispiele f\xFCr extreme meteorologische Ph\xE4\
      nomene sind Unwetter, Orkane\noder Zyklone. Je nach Standort der Institution\
      \ ist diese den Risiken durch die verschiedenen Arten von\nNaturkatastrophen\
      \ unterschiedlich stark ausgesetzt.\nBeispiele:\n\u2022 F\xFCr Rechenzentren\
      \ in Hochwasser-gef\xE4hrdeten Gebieten besteht oft in besonderem Ma\xDFe die\
      \ Gefahr,\ndass unkontrolliert Wasser in das Geb\xE4ude eindringt (\xDCberschwemmungen\
      \ oder Anstieg des\nGrundwasserspiegels).\n\u2022 Die H\xE4ufigkeit von Erdbeben\
      \ und somit auch das damit verbundene Risiko h\xE4ngen stark von der\ngeografischen\
      \ Lage ab.\nUnabh\xE4ngig von der Art der Naturkatastrophe besteht auch in nicht\
      \ unmittelbar betroffenen Gebieten die\nGefahr, dass Versorgungseinrichtungen,\
      \ Kommunikationsverbindungen oder IT-Komponenten besch\xE4digt\noder au\xDF\
      er Betrieb gesetzt werden. Besonders der Ausfall zentraler Einrichtungen der\
      \ Geb\xE4udeversorgung\n(Hauptverteiler f\xFCr Strom, Telefon, Daten) kann sehr\
      \ hohe Sch\xE4den nach sich ziehen. Betriebs- und Service-\nPersonal kann aufgrund\
      \ von gro\xDFfl\xE4chig eingerichteten Sperrbereichen der Zutritt zur Infrastruktur\n\
      verwehrt werden.\nBeispiele:\n\u2022 Viele Gewerbebetriebe, auch gro\xDFe Unternehmen,\
      \ tragen der Hochwassergef\xE4hrdung nicht hinreichend\nRechnung. So wurde ein\
      \ Unternehmen bereits mehrere Male durch Hochwassersch\xE4den am\nRechenzentrum\
      \ \"\xFCberrascht\". Das Rechenzentrum schwamm im wahrsten Sinne des Wortes\
      \ innerhalb\nvon 14 Monaten zum zweiten Mal davon. Der entstandene Schaden belief\
      \ sich auf mehrere\nhunderttausend Euro und ist von keiner Versicherung gedeckt.\n\
      \u2022 Ein IT-System wird an einem Standort untergebracht, dessen geografische\
      \ Lage f\xFCr vulkanische Aktivit\xE4t\nbekannt ist (zeitweilig aussetzendes\
      \ Ph\xE4nomen, bei dem die Emissionsphasen mit zum Teil langen\nRuhephasen abwechseln)."
    translations:
      en:
        name: Natural disasters
        description: "In addition to electronics, many IT devices also contain mechanical\
          \ components, such as hard drives and removable disks, DVD drives, printers,\
          \ scanners, etc., but also fans for processors and power supplies. With\
          \ increasing demands on quality and speed, these devices must work with\
          \ increasing precision. Even minor contamination can lead to a device malfunctioning.\
          \ Dust and dirt can be generated on a larger scale by the following activities,\
          \ for example: \u2022 Working on walls, raised floors or other parts of\
          \ the building, \u2022 Modification work on the hardware or \u2022 Unpacking\
          \ devices (e.g. styrofoam being thrown up). Existing safety circuits in\
          \ the devices usually lead to a timely shutdown. This keeps the direct damage\
          \ to the device, the repair costs and the downtime to a minimum, but means\
          \ that the affected device is not available. The devices and the infrastructure\
          \ can also be attacked by corrosion. This can have a negative impact not\
          \ only on IT, but even on the safety of buildings.\nCorrosion can also indirectly\
          \ cause further hazards. For example, water can leak from corroded areas\
          \ (see G 0.3 Water).\nOverall, dirt, dust or corrosion can lead to failures\
          \ or damage to IT components and supply facilities. As a result, proper\
          \ information processing can be impaired.\nExamples:\n\u2022 When a server\
          \ was installed in a media room, together with a copier and a fax machine,\
          \ the processor fan and the power supply fan stopped working one after the\
          \ other due to the high dust load in the room. The failure of the processor\
          \ fan led to sporadic server crashes. The failure of the power supply fan\
          \ ultimately led to the power supply overheating, resulting in a short circuit,\
          \ which ultimately led to a total failure of the server.\n\u2022 In order\
          \ to hang a wall board in an office, the building services department drilled\
          \ holes in the wall. The employee had left his office for a short time.\
          \ After returning to his workplace, he discovered that his PC was no longer\
          \ working. The reason for this was drilling dust that had penetrated the\
          \ PC power supply through the ventilation slots."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.6
    ref_id: G0.6
    name: 'Katastrophen im Umfeld '
    description: "Eine Beh\xF6rde bzw. ein Unternehmen kann Schaden nehmen, wenn sich\
      \ im Umfeld ein schwerer\nUngl\xFCcksfall ereignet, zum Beispiel ein Brand,\
      \ eine Explosion, die Freisetzung giftiger Substanzen oder das\nAustreten gef\xE4\
      hrlicher Strahlung. Gefahr besteht dabei nicht nur durch das Ereignis selbst,\
      \ sondern auch\ndurch die h\xE4ufig daraus resultierenden Aktivit\xE4ten, beispielsweise\
      \ Sperrungen oder Rettungsma\xDFnahmen.\nDie Liegenschaften einer Institution\
      \ k\xF6nnen verschiedenen Gef\xE4hrdungen aus dem Umfeld ausgesetzt sein,\n\
      unter anderem durch Verkehr (Stra\xDFen, Schiene, Luft, Wasser), Nachbarbetriebe\
      \ oder Wohngebiete.\nVorbeugungs- oder Rettungsma\xDFnahmen k\xF6nnen die Liegenschaften\
      \ dabei direkt betreffen. Solche\nMa\xDFnahmen k\xF6nnen auch dazu f\xFChren,\
      \ dass Mitarbeiter ihre Arbeitspl\xE4tze nicht erreichen k\xF6nnen oder\nPersonal\
      \ evakuiert werden muss. Durch die Komplexit\xE4t der Haustechnik und der IT-Einrichtungen\
      \ kann es\naber auch zu indirekten Problemen kommen.\nBeispiel:\n\u2022 Bei\
      \ einem Brand in einem chemischen Betrieb in unmittelbarer N\xE4he eines Rechenzentrums\
      \ (ca. 1000 m\nLuftlinie) entstand eine m\xE4chtige Rauchwolke. Das Rechenzentrum\
      \ besa\xDF eine Klima- und\nL\xFCftungsanlage, die \xFCber keine Au\xDFenluft\xFC\
      berwachung verf\xFCgte. Nur durch die Aufmerksamkeit eines\nMitarbeiters (der\
      \ Unfall geschah w\xE4hrend der Arbeitszeit), der die Entstehung und Ausbreitung\
      \ verfolgte,\nkonnte die Au\xDFenluftzufuhr rechtzeitig manuell abgeschaltet\
      \ werden."
    translations:
      en:
        name: 'Disasters in the surrounding area '
        description: "An authority or a company can suffer damage if a serious accident\
          \ occurs in the area, for example a fire, an explosion, the release of toxic\
          \ substances or the leakage of dangerous radiation. Danger arises not only\
          \ from the event itself, but also from the activities that often result\
          \ from it, such as closures or rescue measures. The properties of an institution\
          \ can be exposed to various hazards from the environment, including traffic\
          \ (roads, rails, air, water), neighboring businesses or residential areas.\
          \ Preventive or rescue measures can affect the properties directly. Such\
          \ measures can also lead to employees being unable to reach their workplaces\
          \ or staff having to be evacuated. However, the complexity of the building\
          \ services and IT facilities can also lead to indirect problems. \nExample:\
          \ \n\u2022 A fire in a chemical plant in the immediate vicinity of a data\
          \ center (approx. 1000 m as the crow flies) created a huge cloud of smoke.\
          \ The data center had an air conditioning and ventilation system that did\
          \ not have any outside air monitoring. Only thanks to the attention of an\
          \ employee (the accident happened during working hours) who monitored the\
          \ development and spread of the fire, was the outside air supply able to\
          \ be manually switched off in time."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.7
    ref_id: G0.7
    name: "Gro\xDFereignisse im Umfeld "
    description: "Gro\xDFveranstaltungen aller Art k\xF6nnen zu Behinderungen des\
      \ ordnungsgem\xE4\xDFen Betriebs einer Beh\xF6rde\nbzw. eines Unternehmens f\xFC\
      hren. Hierzu geh\xF6ren unter anderem Stra\xDFenfeste, Konzerte,\nSportveranstaltungen,\
      \ Arbeitsk\xE4mpfe oder Demonstrationen. Ausschreitungen im Zusammenhang mit\n\
      solchen Veranstaltungen k\xF6nnen zus\xE4tzliche Auswirkungen, wie die Einsch\xFC\
      chterung von Mitarbeitern bis\nhin zur Gewaltanwendung gegen das Personal oder\
      \ das Geb\xE4ude, nach sich ziehen.\nBeispiele:\n\u2022 W\xE4hrend der hei\xDF\
      en Sommermonate fand eine Demonstration in der N\xE4he eines Rechenzentrums\
      \ statt.\nDie Situation eskalierte und es kam zu Gewaltt\xE4tigkeiten. In einer\
      \ Nebenstra\xDFe stand noch ein Fenster\ndes Rechenzentrumsbereiches auf, durch\
      \ das ein Demonstrant eindrang und die Gelegenheit nutzte,\nHardware mit wichtigen\
      \ Daten zu entwenden.\n\u2022 Beim Aufbau einer Gro\xDFkirmes wurde aus Versehen\
      \ eine Stromleitung gekappt. Dies f\xFChrte in einem\nhierdurch versorgten Rechenzentrum\
      \ zu einem Ausfall, der jedoch durch die vorhandene\nNetzersatzanlage abgefangen\
      \ werden konnte."
    translations:
      en:
        name: 'Major events in the surrounding area '
        description: "Large events of all kinds can lead to disruptions to the proper\
          \ operation of an authority or company. These include street festivals,\
          \ concerts, sporting events, industrial disputes or demonstrations. Riots\
          \ in connection with such events can have additional consequences, such\
          \ as intimidation of employees or even the use of violence against the staff\
          \ or the building. \nExamples: \n\u2022 During the hot summer months, a\
          \ demonstration took place near a data center. The situation escalated and\
          \ violence broke out. In a side street, a window of the data center area\
          \ was still open, through which a demonstrator entered and took the opportunity\
          \ to steal hardware containing important data. \n\u2022 During the construction\
          \ of a large fair, a power line was accidentally cut. This led to an outage\
          \ in a data center supplied by this, which was, however, intercepted by\
          \ the existing emergency power system."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.8
    ref_id: G0.8
    name: "Ausfall oder St\xF6rung der Stromversorgung "
    description: "Trotz hoher Versorgungssicherheit kommt es immer wieder zu Unterbrechungen\
      \ der Stromversorgung\nseitens der Verteilungsnetzbetreiber (VNB) bzw. Energieversorgungsunternehmen\
      \ (EVU). Die gr\xF6\xDFte Zahl\ndieser St\xF6rungen ist mit Zeiten unter einer\
      \ Sekunde so kurz, dass der Mensch sie nicht bemerkt. Aber schon\nUnterbrechungen\
      \ von mehr als 10 ms sind geeignet, den IT-Betrieb zu st\xF6ren. Neben St\xF6\
      rungen im\nVersorgungsnetz k\xF6nnen jedoch auch Abschaltungen bei nicht angek\xFC\
      ndigten Arbeiten oder\nKabelbesch\xE4digungen bei Tiefbauarbeiten dazu f\xFC\
      hren, dass die Stromversorgung ausf\xE4llt.\nVon der Stromversorgung sind nicht\
      \ nur die offensichtlichen, direkten Stromverbraucher (PC, Beleuchtung\nusw.)\
      \ abh\xE4ngig. Viele Infrastruktur-Einrichtungen sind heute vom Strom abh\xE4\
      ngig, z.B. Aufz\xFCge,\nKlimatechnik, Gefahrenmeldeanlagen, Sicherheitsschleusen,\
      \ automatische T\xFCrschlie\xDFanlagen und\nSprinkleranlagen. Selbst die Wasserversorgung\
      \ in Hochh\xE4usern ist wegen der zur Druck-Erzeugung in den\noberen Etagen\
      \ erforderlichen Pumpen stromabh\xE4ngig. Bei l\xE4ngeren Stromausf\xE4llen\
      \ kann der Ausfall der\nInfrastruktur-Einrichtungen dazu f\xFChren, dass keinerlei\
      \ T\xE4tigkeiten mehr in den betroffenen\nR\xE4umlichkeiten durchgef\xFChrt\
      \ werden k\xF6nnen.\nNeben Ausf\xE4llen k\xF6nnen auch andere St\xF6rungen der\
      \ Stromversorgung den Betrieb beeintr\xE4chtigen.\n\xDCberspannung kann beispielsweise\
      \ zu Fehlfunktionen oder sogar zu Besch\xE4digungen von elektrischen\nGer\xE4\
      ten f\xFChren.\nZu beachten ist au\xDFerdem, dass durch Ausf\xE4lle oder St\xF6\
      rungen der Stromversorgung in der Nachbarschaft\nunter Umst\xE4nden auch die\
      \ eigenen Gesch\xE4ftsprozesse betroffen sein k\xF6nnen, beispielsweise wenn\n\
      Zufahrtswege blockiert werden.\nBeispiele:\n\u2022 Durch einen Fehler in der\
      \ USV eines Rechenzentrums schaltete diese nach einem kurzen Stromausfall\n\
      nicht auf Normalbetrieb zur\xFCck. Nach Entladung der Batterien (nach etwa 40\
      \ Minuten) fielen alle\nRechner im betroffenen Server-Saal aus.\n\u2022 Anfang\
      \ 2001 gab es \xFCber 40 Tage einen Strom-Notstand in Kalifornien. Die Stromversorgungslage\
      \ war\ndort so angespannt, dass die Kalifornische Netz\xFCberwachungsbeh\xF6\
      rde rotierende Stromabschaltungen\nanordnete. Von diesen Stromabschaltungen,\
      \ die bis zu 90 Minuten andauerten, waren nicht nur\nHaushalte, sondern auch\
      \ die High-Tech-Industrie betroffen. Weil mit dem Stromausfall auch\nAlarmanlagen\
      \ und \xDCberwachungskameras ausgeschaltet wurden, hielten die Energieversorger\
      \ ihre\nAbschaltpl\xE4ne geheim.\n\u2022 Im November 2005 waren nach heftigen\
      \ Schneef\xE4llen in Niedersachsen und Nordrhein-Westfalen viele\nGemeinden\
      \ tagelang ohne Stromversorgung, weil viele Hochspannungsmasten unter der Schnee-\
      \ und\nEislast umgest\xFCrzt waren. Die Wiederherstellung der Stromversorgung\
      \ dauerte einige Tage"
    translations:
      en:
        name: 'Failure or disruption of the power supply '
        description: "Despite a high level of supply security, there are still interruptions\
          \ in the power supply by the distribution network operators (DNO) or energy\
          \ supply companies (EVU). The majority of these interruptions are so short,\
          \ lasting less than a second, that people do not notice them. But even interruptions\
          \ of more than 10 ms are capable of disrupting IT operations. In addition\
          \ to disruptions in the supply network, shutdowns during unannounced work\
          \ or cable damage during civil engineering work can also lead to a power\
          \ failure. It is not just the obvious, direct power consumers (PC, lighting,\
          \ etc.) that depend on the power supply. Many infrastructure facilities\
          \ today are dependent on electricity, e.g. elevators, air conditioning,\
          \ alarm systems, security gates, automatic door locking systems and sprinkler\
          \ systems. Even the water supply in high-rise buildings is dependent on\
          \ electricity because of the pumps required to generate pressure on the\
          \ upper floors. In the event of longer power outages, the failure of the\
          \ infrastructure facilities can mean that no activities can be carried out\
          \ in the affected premises. In addition to outages, other power supply disruptions\
          \ can also affect operations. For example, overvoltage can lead to malfunctions\
          \ or even damage to electrical devices. It should also be noted that power\
          \ outages or disruptions in the neighborhood can also affect your own business\
          \ processes, for example if access routes are blocked. \nExamples: \n\u2022\
          \ Due to a fault in the UPS of a data center, it did not switch back to\
          \ normal operation after a short power outage. After the batteries were\
          \ discharged (after about 40 minutes), all computers in the affected server\
          \ room failed. \n\u2022 At the beginning of 2001, there was a power emergency\
          \ in California that lasted for over 40 days. The power supply situation\
          \ there was so tense that the California Grid Monitoring Authority ordered\
          \ rotating power shutdowns. These power outages, which lasted up to 90 minutes,\
          \ affected not only households but also the high-tech industry. Because\
          \ the power outage also switched off alarm systems and surveillance cameras,\
          \ the energy suppliers kept their shutdown plans secret. \n\u2022 In November\
          \ 2005, after heavy snowfall in Lower Saxony and North Rhine-Westphalia,\
          \ many communities were without power for days because many high-voltage\
          \ pylons had collapsed under the weight of snow and ice. It took several\
          \ days to restore the power supply."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.9
    ref_id: G0.9
    name: "Ausfall oder St\xF6rung von Kommunikationsnetzen "
    description: "F\xFCr viele Gesch\xE4ftsprozesse werden heutzutage zumindest zeitweise\
      \ intakte Kommunikationsverbindungen\nben\xF6tigt, sei es \xFCber Telefon, Fax,\
      \ E-Mail oder andere Dienste \xFCber Nah- oder Weitverkehrsnetze. Fallen\neinige\
      \ oder mehrere dieser Kommunikationsverbindungen \xFCber einen l\xE4ngeren Zeitraum\
      \ aus, kann dies\nbeispielsweise dazu f\xFChren, dass\n\u2022 Gesch\xE4ftsprozesse\
      \ nicht mehr weiterbearbeitet werden k\xF6nnen, weil ben\xF6tigte Informationen\
      \ nicht\nabgerufen werden k\xF6nnen,\n\u2022 Kunden die Institution nicht mehr\
      \ f\xFCr R\xFCckfragen erreichen k\xF6nnen,\n\u2022 Auftr\xE4ge nicht abgegeben\
      \ oder beendet werden k\xF6nnen.\nWerden auf IT-Systemen, die \xFCber Weitverkehrsnetze\
      \ verbunden sind, zeitkritische Anwendungen\nbetrieben, sind die durch einen\
      \ Netzausfall m\xF6glichen Sch\xE4den und Folgesch\xE4den entsprechend hoch,\
      \ wenn\nkeine Ausweichm\xF6glichkeiten (z.B. Anbindung an ein zweites Kommunikationsnetz)\
      \ vorhanden sind.\nZu \xE4hnlichen Problemen kann es kommen, wenn die ben\xF6\
      tigten Kommunikationsnetze gest\xF6rt sind, ohne\njedoch vollst\xE4ndig auszufallen.\
      \ Kommunikationsverbindungen k\xF6nnen beispielsweise eine erh\xF6hte\nFehlerrate\
      \ oder andere Qualit\xE4tsm\xE4ngel aufweisen. Falsche Betriebsparameter k\xF6\
      nnen ebenfalls zu\nBeeintr\xE4chtigungen f\xFChren.\nBeispiele:\n\u2022 Das\
      \ Internet ist heute f\xFCr viele Institutionen zu einem unverzichtbaren Kommunikationsmedium\n\
      geworden, unter anderem zum Abruf wichtiger Informationen, zur Au\xDFendarstellung\
      \ sowie zur\nKommunikation mit Kunden und Partnern. Unternehmen, die sich auf\
      \ Internet-basierte\nDienstleistungen spezialisiert haben, sind nat\xFCrlich\
      \ in besonderem Ma\xDFe von einer funktionierenden\nInternet-Anbindung abh\xE4\
      ngig.\n\u2022 Im Zuge der Konvergenz der Netze werden Sprach- und Datendienste\
      \ h\xE4ufig \xFCber die gleichen\ntechnischen Komponenten transportiert (z.B.\
      \ VoIP). Dadurch steigt jedoch die Gefahr, dass bei einer\nSt\xF6rung der Kommunikationstechnik\
      \ die Sprachdienste und die Datendienste gleichzeitig ausfallen."
    translations:
      en:
        name: 'Failure or disruption of communication networks '
        description: "Many business processes today require at least temporarily intact\
          \ communication connections, whether by telephone, fax, email or other services\
          \ via local or wide area networks. If some or more of these communication\
          \ connections fail for a longer period of time, this can lead, for example,\
          \ to: \n\u2022 business processes no longer being able to be processed because\
          \ required information cannot be retrieved, \n\u2022 customers can no longer\
          \ contact the institution for enquiries, \n\u2022 orders cannot be placed\
          \ or completed. If time-critical applications are operated on IT systems\
          \ that are connected via wide area networks, the potential damage and consequential\
          \ damage caused by a network failure is correspondingly high if there are\
          \ no alternative options (e.g. connection to a second communication network).\
          \ Similar problems can arise if the required communication networks are\
          \ disrupted, but without failing completely. Communication connections can,\
          \ for example, have an increased error rate or other quality defects. Incorrect\
          \ operating parameters can also lead to impairments. \nExamples:\n\u2022\
          \ The Internet has become an indispensable communication medium for many\
          \ institutions, including accessing important information, presenting themselves\
          \ to the outside world and communicating with customers and partners. Companies\
          \ that specialize in Internet-based services are of course particularly\
          \ dependent on a functioning Internet connection.\n\u2022 As networks converge,\
          \ voice and data services are often transported via the same technical components\
          \ (e.g. VoIP). However, this increases the risk that if there is a disruption\
          \ to the communication technology, voice services and data services will\
          \ fail at the same time."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.10
    ref_id: G0.10
    name: "Ausfall oder St\xF6rung von Versorgungsnetzen "
    description: "Es gibt in einem Geb\xE4ude eine Vielzahl von Netzen, die der grundlegenden\
      \ Ver- und Entsorgung und somit\nals Basis f\xFCr alle Gesch\xE4ftsprozesse\
      \ einer Institution einschlie\xDFlich der IT dienen. Beispiele f\xFCr solche\n\
      Versorgungsnetze sind:\n\u2022 Strom,\n\u2022 Telefon,\n\u2022 K\xFChlung,\n\
      \u2022 Heizung bzw. L\xFCftung,\n\u2022 Wasser und Abwasser,\n\u2022 L\xF6schwasserspeisungen,\n\
      \u2022 Gas,\n\u2022 Melde- und Steueranlagen (z.B. f\xFCr Einbruch, Brand, Hausleittechnik)\
      \ und\n\u2022 Sprechanlagen.\nDer Ausfall oder die St\xF6rung eines Versorgungsnetzes\
      \ kann unter anderem dazu f\xFChren, dass Menschen\nnicht mehr im Geb\xE4ude\
      \ arbeiten k\xF6nnen oder dass der IT-Betrieb und somit die Informationsverarbeitung\n\
      beeintr\xE4chtigt wird.\nDie Netze sind in unterschiedlich starker Weise voneinander\
      \ abh\xE4ngig, so dass sich Betriebsst\xF6rungen in\njedem einzelnen Netz auch\
      \ auf andere auswirken k\xF6nnen.\nBeispiele:\n\u2022 Ein Ausfall von Heizung\
      \ oder L\xFCftung kann zur Folge haben, dass alle Mitarbeiter die betroffenen\n\
      Geb\xE4ude verlassen m\xFCssen. Dies kann unter Umst\xE4nden hohe Sch\xE4den\
      \ nach sich ziehen.\n\u2022 Der Ausfall der Stromversorgung wirkt nicht nur\
      \ auf die IT direkt, sondern auch auf alle anderen Netze,\ndie mit elektrisch\
      \ betriebener Steuer- und Regeltechnik ausgestattet sind. Selbst in Abwasserleitungen\n\
      sind unter Umst\xE4nden elektrische Hebepumpen vorhanden.\n\u2022 Der Ausfall\
      \ der Wasserversorgung beeintr\xE4chtigt eventuell die Funktion von Klimaanlagen."
    translations:
      en:
        name: 'Failure or disruption of supply networks '
        description: "There are a number of networks in a building that serve as the\
          \ basic supply and disposal and thus\nas the basis for all business processes\
          \ of an institution, including IT. Examples of such\nsupply networks are:\n\
          \u2022 electricity,\n\u2022 telephone,\n\u2022 cooling,\n\u2022 heating\
          \ or ventilation,\n\u2022 water and sewage,\n\u2022 firefighting water supplies,\n\
          \u2022 gas,\n\u2022 alarm and control systems (e.g. for burglary, fire,\
          \ building management systems) and\n\u2022 intercom systems.\nThe failure\
          \ or disruption of a supply network can, among other things, lead to people\n\
          no longer being able to work in the building or to IT operations and thus\
          \ information processing being impaired.\nThe networks are dependent on\
          \ one another to varying degrees, so that operational disruptions in\neach\
          \ individual network can also affect others.\nExamples:\n\u2022 A failure\
          \ of heating or ventilation can mean that all employees have to leave the\
          \ affected\nbuildings. This can, under certain circumstances, result in\
          \ significant damage. \u2022 The power failure not only affects IT directly,\
          \ but also all other networks\nthat are equipped with electrically operated\
          \ control and regulation technology. Even sewage pipes\nmay contain electric\
          \ lift pumps.\n\u2022 The failure of the water supply may affect the functioning\
          \ of air conditioning systems."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.11
    ref_id: G0.11
    name: "Ausfall oder St\xF6rung von Dienstleistern "
    description: "Kaum eine Institution arbeitet heute noch ohne Dienstleister wie\
      \ Zulieferer oder Outsourcing-Anbieter.\nWenn Organisationseinheiten von Dienstleistern\
      \ abh\xE4ngig sind, kann durch Ausf\xE4lle externer\nDienstleistungen die Aufgabenbew\xE4\
      ltigung beeintr\xE4chtigt werden. Der teilweise oder vollst\xE4ndige Ausfall\n\
      eines Outsourcing-Dienstleisters oder eines Zulieferers kann sich erheblich\
      \ auf die betriebliche Kontinuit\xE4t\nauswirken, insbesondere bei kritischen\
      \ Gesch\xE4ftsprozessen. Es gibt verschiedene Ursachen f\xFCr solche\nAusf\xE4\
      lle, beispielsweise Insolvenz, einseitige K\xFCndigung des Vertrags durch den\
      \ Dienstleister oder Zulieferer,\nbetriebliche Probleme beispielsweise durch\
      \ Naturgewalten oder Personalausfall. Probleme k\xF6nnen auch\nentstehen, wenn\
      \ die vom Dienstleister erbrachten Leistungen nicht den Qualit\xE4tsanforderungen\
      \ des\nAuftraggebers entsprechen.\nZu beachten ist au\xDFerdem, dass Dienstleister\
      \ ebenfalls h\xE4ufig auf Unterauftragnehmer zur\xFCckgreifen, um\nihre Leistungen\
      \ gegen\xFCber dem Auftraggeber zu erbringen. St\xF6rungen, Qualit\xE4tsm\xE4\
      ngel und Ausf\xE4lle seitens\nder Unterauftragnehmer k\xF6nnen dadurch indirekt\
      \ zu Beeintr\xE4chtigungen beim Auftraggeber f\xFChren.\nAuch durch Ausf\xE4\
      lle von IT-Systemen beim Dienstleister oder der Kommunikationsanbindungen zu\
      \ diesem\nk\xF6nnen Gesch\xE4ftsprozesse beim Auftraggeber beeintr\xE4chtigt\
      \ werden.\nEine gegebenenfalls notwendige R\xFCckholung ausgelagerter Prozesse\
      \ kann stark erschwert sein,\nbeispielsweise weil die ausgelagerten Verfahren\
      \ nicht hinreichend dokumentiert sind oder weil der bisherige\nDienstleister\
      \ die R\xFCckholung nicht unterst\xFCtzt.\nBeispiele:\n\u2022 Ein Unternehmen\
      \ hat seine Server in einem Rechenzentrum eines externen Dienstleisters installiert.\n\
      Nach einem Brand in diesem Rechenzentrum war die Finanzabteilung des Unternehmens\
      \ nicht mehr\nhandlungsf\xE4hig. Es entstanden erhebliche finanzielle Verluste\
      \ f\xFCr das Unternehmen.\n\u2022 Die Just-in-Time-Produktion eines Unternehmens\
      \ war von der Zulieferung von Betriebsmitteln externer\nDienstleister abh\xE4\
      ngig. Nachdem ein LKW durch einen Defekt beim Dienstleister ausfiel, verz\xF6\
      gerte sich\ndie Lieferung dringend ben\xF6tigter Teile drastisch. Eine Reihe\
      \ von Kunden konnte dadurch nicht\nfristgerecht beliefert werden.\n\u2022 Ein\
      \ Bankinstitut wickelte alle Geldtransporte mit einem Werttransportunternehmen\
      \ ab. Das\nWerttransportunternehmen meldete \xFCberraschend Konkurs an. Die\
      \ Vereinbarung und Tourenplanung\nmit einem neuen Werttransporter dauerte mehrere\
      \ Tage. Als Folge kam es zu erheblichen Problemen\nund Zeitverz\xF6gerungen\
      \ bei der Geldversorgung und -entsorgung der Bankfilialen."
    translations:
      en:
        name: 'Failure or disruption of service providers '
        description: "Hardly any institution today works without service providers\
          \ such as suppliers or outsourcing providers.\nIf organizational units are\
          \ dependent on service providers, failures of external services can affect\
          \ the performance of tasks. The partial or complete failure of an outsourcing\
          \ service provider or supplier can have a significant impact on operational\
          \ continuity, especially in critical business processes. There are various\
          \ reasons for such failures, for example insolvency, unilateral termination\
          \ of the contract by the service provider or supplier, operational problems,\
          \ for example due to natural forces or staff shortages. Problems can also\
          \ arise if the services provided by the service provider do not meet the\
          \ quality requirements of the client.\nIt should also be noted that service\
          \ providers also often rely on subcontractors to provide their services\
          \ to the client. Disruptions, quality defects and failures on the part of\
          \ the subcontractors can therefore indirectly lead to impairments for the\
          \ client.\nBusiness processes at the client can also be affected by failures\
          \ of the service provider's IT systems or the communication connections\
          \ to them. A possible retrieval of outsourced processes can be very difficult,\
          \ for example because the outsourced procedures are not sufficiently documented\
          \ or because the previous service provider does not support the retrieval.\
          \ \nExamples: \n\u2022 A company has installed its servers in a data center\
          \ belonging to an external service provider. After a fire in this data center,\
          \ the company's finance department was no longer able to act. The company\
          \ suffered significant financial losses. \n\u2022 A company's just-in-time\
          \ production was dependent on the supply of operating resources from external\
          \ service providers. After a truck broke down due to a defect at the service\
          \ provider, the delivery of urgently needed parts was drastically delayed.\
          \ As a result, a number of customers could not be supplied on time. \n\u2022\
          \ A bank handled all cash transports with a cash transport company. The\
          \ cash transport company unexpectedly declared bankruptcy. The agreement\
          \ and route planning with a new cash transporter took several days. As a\
          \ result, there were significant problems and delays in the supply and disposal\
          \ of cash at bank branches."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.12
    ref_id: G0.12
    name: "Elektromagnetische St\xF6rstrahlung "
    description: "Informationstechnik setzt sich heute zu einem gro\xDFen Teil aus\
      \ elektronischen Komponenten zusammen.\nZwar wird zunehmend auch optische \xDC\
      bertragungstechnik eingesetzt, dennoch enthalten beispielsweise\nComputer, Netzkoppelelemente\
      \ und Speichersysteme in der Regel sehr viele elektronische Bauteile. Durch\n\
      elektromagnetische St\xF6rstrahlung, die auf solche Bauteile einwirkt, k\xF6\
      nnen elektronische Ger\xE4te in ihrer\nFunktion beeintr\xE4chtigt oder sogar\
      \ besch\xE4digt werden. Als Folge kann es unter anderem zu Ausf\xE4llen,\nSt\xF6\
      rungen, falschen Verarbeitungsergebnissen oder Kommunikationsfehlern kommen.\n\
      Auch drahtlose Kommunikation kann durch elektromagnetische St\xF6rstrahlung\
      \ beeintr\xE4chtigt werden.\nHierzu reicht unter Umst\xE4nden eine ausreichend\
      \ starke St\xF6rung der verwendeten Frequenzb\xE4nder.\nWeiterhin k\xF6nnen\
      \ Informationen, die auf bestimmten Arten von Datentr\xE4gern gespeichert sind,\
      \ durch\nelektromagnetische St\xF6rstrahlung gel\xF6scht oder verf\xE4lscht\
      \ werden. Dies betrifft insbesondere\nmagnetisierbare Datentr\xE4ger (Festplatten,\
      \ Magnetb\xE4nder etc.) und Halbleiter-Speicher. Auch eine\nBesch\xE4digung\
      \ solcher Datentr\xE4ger durch elektromagnetische St\xF6rstrahlung ist m\xF6\
      glich.\nEs gibt viele unterschiedliche Quellen elektromagnetischer Felder oder\
      \ Strahlung, zum Beispiel Funknetze\nwie WLAN, Bluetooth, GSM, UMTS etc., Dauermagnete\
      \ und kosmische Strahlung. Au\xDFerdem strahlt jedes\nelektrische Ger\xE4t mehr\
      \ oder weniger starke elektromagnetische Wellen ab, die sich unter anderem durch\
      \ die\nLuft und entlang metallischer Leiter (z.B. Kabel, Klimakan\xE4le, Heizungsrohre\
      \ etc.) ausbreiten k\xF6nnen.\nIn Deutschland enth\xE4lt das Gesetz \xFCber\
      \ die elektromagnetische Vertr\xE4glichkeit von Betriebsmitteln (EMVG)\nRegelungen\
      \ zu diesem Thema."
    translations:
      en:
        name: 'Electromagnetic interference radiation '
        description: 'Today, information technology is largely made up of electronic
          components.

          Although optical transmission technology is increasingly being used, computers,
          network coupling elements and storage systems, for example, usually contain
          a large number of electronic components. Electromagnetic interference that
          affects such components can impair the function of electronic devices or
          even damage them. This can result in failures, malfunctions, incorrect processing
          results or communication errors, among other things.

          Wireless communication can also be impaired by electromagnetic interference.

          In some cases, sufficiently strong interference in the frequency bands used
          is sufficient for this to happen.

          In addition, information stored on certain types of data storage devices
          can be deleted or falsified by electromagnetic interference. This particularly
          applies to magnetizable data storage devices (hard disks, magnetic tapes,
          etc.) and semiconductor memories. Damage to such data storage devices by
          electromagnetic interference is also possible.

          There are many different sources of electromagnetic fields or radiation,
          for example radio networks such as WLAN, Bluetooth, GSM, UMTS, etc., permanent
          magnets and cosmic radiation. In addition, every electrical device emits
          more or less strong electromagnetic waves, which can spread through the
          air and along metal conductors (e.g. cables, air conditioning ducts, heating
          pipes, etc.). In Germany, the law on the electromagnetic compatibility of
          equipment (EMVG) contains regulations on this topic.'
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.13
    ref_id: G0.13
    name: Abfangen kompromittierender Strahlung
    description: "Elektrische Ger\xE4te strahlen elektromagnetische Wellen ab. Bei\
      \ Ger\xE4ten, die Informationen verarbeiten (z.B.\nComputer, Bildschirme, Netzkoppelelemente,\
      \ Drucker), kann diese Strahlung auch die gerade verarbeiteten\nInformationen\
      \ mit sich f\xFChren. Derartige informationstragende Abstrahlung wird blo\xDF\
      stellende oder\nkompromittierende Abstrahlung genannt. Ein Angreifer, der sich\
      \ beispielsweise in einem Nachbarhaus oder\nin einem in der N\xE4he abgestellten\
      \ Fahrzeug befindet, kann versuchen, diese Abstrahlung zu empfangen und\ndaraus\
      \ die verarbeiteten Informationen zu rekonstruieren. Die Vertraulichkeit der\
      \ Informationen ist damit\nin Frage gestellt. Eine m\xF6gliche Zielsetzung eines\
      \ solchen Angriffes ist Industriespionage.\nDie Grenzwerte des Gesetzes \xFC\
      ber die elektromagnetische Vertr\xE4glichkeit von Betriebsmitteln (EMVG)\nreichen\
      \ im Allgemeinen nicht aus, um das Abfangen der blo\xDFstellenden Abstrahlung\
      \ zu verhindern. Falls\ndieses Risiko nicht akzeptiert werden kann, m\xFCssen\
      \ deshalb in aller Regel zus\xE4tzliche Schutzma\xDFnahmen\ngetroffen werden.\n\
      Blo\xDFstellende Abstrahlung ist nicht auf elektromagnetische Wellen beschr\xE4\
      nkt. Auch aus Schallwellen, zum\nBeispiel bei Druckern oder Tastaturen, k\xF6\
      nnen unter Umst\xE4nden n\xFCtzliche Informationen gewonnen\nwerden.\nZu beachten\
      \ ist au\xDFerdem, dass blo\xDFstellende Abstrahlung in bestimmten F\xE4llen\
      \ auch durch \xE4u\xDFere\nManipulation von Ger\xE4ten verursacht oder verst\xE4\
      rkt werden kann. Wird zum Beispiel ein Ger\xE4t mit\nelektromagnetischen Wellen\
      \ bestrahlt, kann es passieren, dass die reflektierten Wellen vertrauliche\n\
      Informationen mit sich f\xFChren."
    translations:
      en:
        name: Interception of compromising radiation
        description: Electrical devices emit electromagnetic waves. In devices that
          process information (e.g. computers, screens, network coupling elements,
          printers), this radiation can also carry the information that is currently
          being processed. Such information-carrying radiation is called embarrassing
          or compromising radiation. An attacker who is, for example, in a neighboring
          house or in a vehicle parked nearby can try to receive this radiation and
          use it to reconstruct the processed information. The confidentiality of
          the information is therefore called into question. One possible aim of such
          an attack is industrial espionage. The limits of the law on the electromagnetic
          compatibility of equipment (EMVG) are generally not sufficient to prevent
          the interception of embarrassing radiation. If this risk cannot be accepted,
          additional protective measures must therefore generally be taken. Embarrassing
          radiation is not limited to electromagnetic waves. Useful information can
          also be obtained from sound waves, for example from printers or keyboards.
          It should also be noted that in certain cases, embarrassing radiation can
          also be caused or amplified by external manipulation of devices. For example,
          if a device is irradiated with electromagnetic waves, it can happen that
          the reflected waves carry confidential information.
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.14
    ref_id: G0.14
    name: "Aussp\xE4hen von Informationen (Spionage) "
    description: "Mit Spionage werden Angriffe bezeichnet, die das Ziel haben, Informationen\
      \ \xFCber Unternehmen, Personen,\nProdukte oder andere Zielobjekte zu sammeln,\
      \ auszuwerten und aufzubereiten. Die aufbereiteten\nInformationen k\xF6nnen\
      \ dann beispielsweise eingesetzt werden, um einem anderem Unternehmen bestimmte\n\
      Wettbewerbsvorteile zu verschaffen, Personen zu erpressen oder ein Produkt nachbauen\
      \ zu k\xF6nnen.\nNeben einer Vielzahl technisch komplexer Angriffe gibt es oft\
      \ auch viel einfachere Methoden, um an\nwertvolle Informationen zu kommen, beispielsweise\
      \ indem Informationen aus mehreren \xF6ffentlich\nzug\xE4nglichen Quellen zusammengef\xFC\
      hrt werden, die einzeln unverf\xE4nglich aussehen, aber in anderen\nZusammenh\xE4\
      ngen kompromittierend sein k\xF6nnen. Da vertrauliche Daten h\xE4ufig nicht\
      \ ausreichend\ngesch\xFCtzt werden, k\xF6nnen diese oft auf optischem, akustischem\
      \ oder elektronischem Weg ausgesp\xE4ht\nwerden.\nBeispiele:\n\u2022 Viele IT-Systeme\
      \ sind durch Identifikations- und Authentisierungsmechanismen gegen eine\nunberechtigte\
      \ Nutzung gesch\xFCtzt, z.B. in Form von Benutzerkennung- und Passwort-Pr\xFC\
      fung. Wenn das\nPasswort allerdings unverschl\xFCsselt \xFCber die Leitung geschickt\
      \ wird, ist es einem Angreifer unter\nUmst\xE4nden m\xF6glich, dieses auszulesen.\n\
      \u2022 Um Geld an einem Geldausgabeautomaten abheben zu k\xF6nnen, muss die\
      \ korrekte PIN f\xFCr die\nverwendete ec- oder Kreditkarte eingegeben werden.\
      \ Leider ist der Sichtschutz an diesen Ger\xE4ten h\xE4ufig\nunzureichend, so\
      \ dass ein Angreifer einem Kunden bei der Eingabe der PIN ohne M\xFChe \xFC\
      ber die Schulter\nschauen kann. Wenn der Angreifer hinterher die Karte stiehlt,\
      \ kann er damit das Konto pl\xFCndern.\n\u2022 Um Zugriffsrechte auf einem PC\
      \ zu erhalten oder diesen anderweitig zu manipulieren, kann ein\nAngreifer dem\
      \ Benutzer ein Trojanisches Pferd schicken, das er als vorgeblich n\xFCtzliches\
      \ Programm einer\nE-Mail beigef\xFCgt hat. Neben unmittelbaren Sch\xE4den k\xF6\
      nnen \xFCber Trojanische Pferde vielf\xE4ltige\nInformationen nicht nur \xFC\
      ber den einzelnen Rechner, sondern auch \xFCber das lokale Netz ausgesp\xE4\
      ht\nwerden. Insbesondere verfolgen viele Trojanische Pferde das Ziel, Passw\xF6\
      rter oder andere Zugangsdaten\nauszusp\xE4hen.\n\u2022 In vielen B\xFCros sind\
      \ die Arbeitspl\xE4tze akustisch nicht gut gegeneinander abgeschirmt. Dadurch\
      \ k\xF6nnen\nKollegen, aber auch Besucher eventuell Gespr\xE4che mith\xF6ren\
      \ und dabei Kenntnis von Informationen\nerlangen, die nicht f\xFCr sie bestimmt\
      \ oder sogar vertraulich sind."
    translations:
      en:
        name: 'Spying on information (espionage) '
        description: "Espionage refers to attacks that aim to collect, evaluate and\
          \ process information about companies, people, products or other target\
          \ objects. The processed information can then be used, for example, to give\
          \ another company certain competitive advantages, to blackmail people or\
          \ to copy a product. In addition to a large number of technically complex\
          \ attacks, there are often much simpler methods of obtaining valuable information,\
          \ for example by combining information from several publicly accessible\
          \ sources that may appear harmless individually but can be compromising\
          \ in other contexts. Since confidential data is often not adequately protected,\
          \ it can often be spied on optically, acoustically or electronically. \n\
          Examples: \n\u2022 Many IT systems are protected against unauthorized use\
          \ by identification and authentication mechanisms, e.g. in the form of user\
          \ ID and password checks. However, if the password is sent unencrypted over\
          \ the line, it may be possible for an attacker to read it. \n\u2022 In order\
          \ to withdraw money from an ATM, the correct PIN for the debit or credit\
          \ card used must be entered. Unfortunately, the privacy screen on these\
          \ devices is often inadequate, so that an attacker can easily look over\
          \ a customer's shoulder as they enter their PIN. If the attacker then steals\
          \ the card, they can use it to plunder the account. \n\u2022 In order to\
          \ gain access rights to a PC or to manipulate it in some other way, an attacker\
          \ can send the user a Trojan horse, which they have attached to an email\
          \ as a supposedly useful program. In addition to direct damage, Trojan horses\
          \ can be used to spy on a wide variety of information, not only on the individual\
          \ computer, but also on the local network. In particular, many Trojan horses\
          \ aim to spy on passwords or other access data. \n\u2022 In many offices,\
          \ the workstations are not well soundproofed from one another. This means\
          \ that\ncolleagues and visitors may be able to overhear conversations and\
          \ gain knowledge of information\nthat is not intended for them or is even\
          \ confidential."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.15
    ref_id: G0.15
    name: "Abh\xF6ren "
    description: "Mit Abh\xF6ren werden gezielte Angriffe auf Kommunikationsverbindungen,\
      \ Gespr\xE4che, Ger\xE4uschquellen aller\nArt oder IT-Systeme zur Informationssammlung\
      \ bezeichnet. Dies beginnt beim unbemerkten, heimlichen\nBelauschen eines Gespr\xE4\
      chs und reicht bis zu hoch technisierten komplexen Angriffen, um \xFCber Funk\
      \ oder\nLeitungen gesendete Signale abzufangen, z.B. mit Hilfe von Antennen\
      \ oder Sensoren.\nNicht nur wegen des geringen Entdeckungsrisikos ist das Abh\xF6\
      ren von Leitungen oder Funkverbindungen\neine nicht zu vernachl\xE4ssigende\
      \ Gef\xE4hrdung der Informationssicherheit. Grunds\xE4tzlich gibt es keine\n\
      abh\xF6rsicheren Kabel. Lediglich der erforderliche Aufwand zum Abh\xF6ren unterscheidet\
      \ die Kabel. Ob eine\nLeitung tats\xE4chlich abgeh\xF6rt wird, ist nur mit hohem\
      \ messtechnischen Aufwand feststellbar.\nBesonders kritisch ist die ungesch\xFC\
      tzte \xDCbertragung von Authentisierungsdaten bei Klartextprotokollen wie\n\
      HTTP, FTP oder Telnet, da diese durch die klare Strukturierung der Daten leicht\
      \ automatisch zu analysieren\nsind.\nDer Entschluss, irgendwo Informationen\
      \ abzuh\xF6ren, wird im Wesentlichen durch die Frage bestimmt, ob die\nInformationen\
      \ den technischen bzw. den finanziellen Aufwand und das Risiko der Entdeckung\
      \ wert sind.\nDie Beantwortung dieser Frage ist sehr von den individuellen M\xF6\
      glichkeiten und Interessen des Angreifers\nabh\xE4ngig.\nBeispiele:\n\u2022\
      \ Bei Telefonaten kann f\xFCr einen Angreifer nicht nur das Abh\xF6ren von Gespr\xE4\
      chen interessant sein. Auch\ndie Informationen, die bei der Signalisierung \xFC\
      bertragen werden, k\xF6nnen von einem Angreifer\nmissbraucht werden, z.B. falls\
      \ durch eine fehlerhafte Einstellung im Endger\xE4t das Passwort bei der\nAnmeldung\
      \ im Klartext \xFCbertragen wird.\n\u2022 Bei ungesch\xFCtzter oder unzureichend\
      \ gesch\xFCtzter Funk\xFCbertragung (z.B. wenn ein WLAN nur mit WEP\nabgesichert\
      \ wird), kann ein Angreifer leicht die gesamte Kommunikation abh\xF6ren.\n\u2022\
      \ E-Mails k\xF6nnen w\xE4hrend ihres gesamten Weges durch das Netz gelesen werden,\
      \ wenn sie nicht\nverschl\xFCsselt sind. Unverschl\xFCsselte E-Mails sollten\
      \ daher nicht mit klassischen Briefen, sondern mit\nPostkarten verglichen werden."
    translations:
      en:
        name: 'Wiretapping '
        description: "Wiretapping refers to targeted attacks on communication connections,\
          \ conversations, noise sources of all kinds or IT systems for the purpose\
          \ of collecting information. This begins with unnoticed, secret eavesdropping\
          \ on a conversation and extends to highly technical, complex attacks to\
          \ intercept signals sent via radio or cables, e.g. using antennas or sensors.\
          \ Wiretapping cables or radio connections is a significant threat to information\
          \ security, and not just because of the low risk of detection. In principle,\
          \ there are no wiretap-proof cables. The only difference between cables\
          \ is the effort required to wiretap them. Whether a line is actually being\
          \ wiretapped can only be determined with a great deal of measurement effort.\
          \ The unprotected transmission of authentication data in plain text protocols\
          \ such as HTTP, FTP or Telnet is particularly critical, as these are easy\
          \ to analyze automatically due to the clear structuring of the data. The\
          \ decision to intercept information somewhere is essentially determined\
          \ by the question of whether the information is worth the technical or financial\
          \ effort and the risk of discovery. The answer to this question depends\
          \ very much on the individual possibilities and interests of the attacker.\
          \ \nExamples: \n\u2022 When making phone calls, it is not just the interception\
          \ of conversations that can be of interest to an attacker. The information\
          \ transmitted during signaling can also be misused by an attacker, e.g.\
          \ if an incorrect setting in the end device means that the password is transmitted\
          \ in plain text during registration. \n\u2022 If the radio transmission\
          \ is unprotected or inadequately protected (e.g. if a WLAN is only secured\
          \ with WEP), an attacker can easily intercept the entire communication.\
          \ \n\u2022 E-mails can be read throughout their entire journey through the\
          \ network if they are not encrypted. Unencrypted e-mails should therefore\
          \ not be compared to traditional letters, but to postcards."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.16
    ref_id: G0.16
    name: "Diebstahl von Ger\xE4ten, Datentr\xE4gern oder Dokumenten"
    description: "Durch den Diebstahl von Datentr\xE4gern, IT-Systemen, Zubeh\xF6\
      r, Software oder Daten entstehen einerseits\nKosten f\xFCr die Wiederbeschaffung\
      \ sowie f\xFCr die Wiederherstellung eines arbeitsf\xE4higen Zustandes,\nandererseits\
      \ Verluste aufgrund mangelnder Verf\xFCgbarkeit. Wenn durch den Diebstahl vertrauliche\n\
      Informationen offengelegt werden, kann dies weitere Sch\xE4den nach sich ziehen.\
      \ Neben Servern und anderen\nteuren IT-Systemen werden auch mobile IT-Systeme,\
      \ die unauff\xE4llig und leicht zu transportieren sind,\nh\xE4ufig gestohlen.\
      \ Es gibt aber auch F\xE4lle, in denen gezielt Datentr\xE4ger, wie Dokumente\
      \ oder USB-Sticks,\nentwendet wurden, um an die darauf gespeicherten vertraulichen\
      \ Informationen zu gelangen.\nBeispiele:\n\u2022 Im Fr\xFChjahr 2000 verschwand\
      \ ein Notebook aus dem amerikanischen Au\xDFenministerium. In einer\noffiziellen\
      \ Stellungnahme wurde nicht ausgeschlossen, dass das Ger\xE4t vertrauliche Informationen\n\
      enthalten k\xF6nnte. Ebenso wenig war bekannt, ob das Ger\xE4t kryptographisch\
      \ oder durch andere\nMa\xDFnahmen gegen unbefugten Zugriff gesichert war.\n\u2022\
      \ In einem deutschen Bundesamt wurde mehrfach durch die gleichen ungesicherten\
      \ Fenster\neingebrochen. Neben anderen Wertsachen verschwanden auch mobile IT-Systeme.\
      \ Ob Akten kopiert\noder manipuliert wurden, konnte nicht zweifelsfrei ausgeschlossen\
      \ werden.\n\u2022 In Gro\xDFbritannien gab es eine Reihe von Datenpannen, bei\
      \ denen vertrauliche Unterlagen offengelegt\nwurden, weil Datentr\xE4ger gestohlen\
      \ wurden. In einem Fall wurden bei der britischen Luftwaffe mehrere\nComputer-Festplatten\
      \ gestohlen, die sehr pers\xF6nliche Informationen enthielten, die zur\nSicherheits\xFC\
      berpr\xFCfung von Mitarbeitern erfasst worden waren.\n\u2022 Ein Mitarbeiter\
      \ eines Call-Centers erstellte, kurz bevor er das Unternehmen verlassen musste,\
      \ Kopien\neiner gro\xDFen Menge von vertraulichen Kundendaten. Nach seinem Ausscheiden\
      \ aus dem Unternehmen\nhat er diese Daten dann an Wettbewerber verkauft. Da\
      \ anschlie\xDFend Details \xFCber den Vorfall an die\nPresse gelangten, verlor\
      \ das Call-Center viele wichtige Kunden."
    translations:
      en:
        name: Theft of devices, data carriers or documents
        description: "The theft of data storage devices, IT systems, accessories,\
          \ software or data results in costs for replacement and for restoring them\
          \ to a working state, and losses due to lack of availability. If confidential\
          \ information is disclosed as a result of the theft, this can result in\
          \ further damage. In addition to servers and other expensive IT systems,\
          \ mobile IT systems that are inconspicuous and easy to transport are also\
          \ frequently stolen. However, there are also cases in which data storage\
          \ devices, such as documents or USB sticks, were deliberately stolen in\
          \ order to access the confidential information stored on them. \nExamples:\
          \ \n\u2022 In spring 2000, a notebook disappeared from the American State\
          \ Department. In an official statement, it was not ruled out that the device\
          \ could contain confidential information. Nor was it known whether the device\
          \ was protected against unauthorized access using cryptographic means or\
          \ other measures. \n\u2022 A German federal agency was broken into several\
          \ times through the same unsecured windows. Mobile IT systems also disappeared,\
          \ along with other valuables. It could not be ruled out with certainty whether\
          \ files had been copied or manipulated.\n\u2022 In the UK, there have been\
          \ a number of data breaches in which confidential documents were disclosed\
          \ because data storage devices were stolen. In one case, several computer\
          \ hard drives containing very personal information that had been recorded\
          \ for employee security checks were stolen from the British Air Force.\n\
          \u2022 A call center employee made copies of a large amount of confidential\
          \ customer data shortly before he had to leave the company. After leaving\
          \ the company, he then sold this data to competitors. When details of the\
          \ incident subsequently leaked to the press, the call center lost many important\
          \ customers."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.17
    ref_id: G0.17
    name: "Verlust von Ger\xE4ten, Datentr\xE4gern oder Dokumenten"
    description: "Es gibt eine Vielzahl von Ursachen, die zu einem Verlust von Ger\xE4\
      ten, Datentr\xE4gern und Dokumenten f\xFChren\nk\xF6nnen. Hierdurch ist unmittelbar\
      \ die Verf\xFCgbarkeit betroffen, es k\xF6nnen aber auch vertrauliche\nInformationen\
      \ in fremde H\xE4nde gelangen, wenn die Datentr\xE4ger nicht komplett verschl\xFC\
      sselt sind. Durch\ndie Wiederbeschaffung von Ger\xE4ten oder Datentr\xE4gern\
      \ entstehen Kosten, aber auch, wenn diese wieder\nauftauchen, k\xF6nnen Informationen\
      \ offengelegt oder unerw\xFCnschte Programme aufgespielt worden sein.\nBesonders\
      \ mobile Endger\xE4te und mobile Datentr\xE4ger k\xF6nnen leicht verloren gehen.\
      \ Auf kleinen\nSpeicherkarten k\xF6nnen heute riesige Datenmengen gespeichert\
      \ werden. Es kommt aber auch immer wieder\nvor, dass Dokumente in Papierform\
      \ versehentlich liegen gelassen werden, beispielsweise in Gastst\xE4tten oder\n\
      Verkehrsmitteln.\nBeispiele:\n\u2022 Eine Mitarbeiterin nutzt in der Stra\xDF\
      enbahn die Fahrt zum Arbeitsplatz, um einige Unterlagen zu sichten.\nAls sie\
      \ hektisch an der Zielhaltestelle aussteigt, l\xE4sst sie die Papiere versehentlich\
      \ auf ihrem Nachbarplatz\nliegen. Zwar sind die Unterlagen nicht vertraulich,\
      \ in der Folge m\xFCssen jedoch mehrere Unterschriften\nhochrangiger F\xFChrungskr\xE4\
      fte erneut eingeholt werden.\n\u2022 Auf einer Gro\xDFveranstaltung f\xE4llt\
      \ einem Mitarbeiter beim Suchen in seiner Aktentasche versehentlich\nund unbemerkt\
      \ eine Speicherkarte mit vertraulichen Kalkulationen auf den Boden. Der Finder\
      \ sichtet\nden Inhalt auf seinem Laptop und verkauft die Informationen an die\
      \ Konkurrenz.\n\u2022 Ein Hersteller sendet CDs mit Software-Updates zur Fehlerbehebung\
      \ per Post an seine Kunden. Einige\ndieser CDs gehen auf dem Versandweg verloren,\
      \ ohne dass Absender oder Empf\xE4nger dar\xFCber informiert\nwerden. In der\
      \ Folge kommt es bei den betroffenen Kunden zu Fehlfunktionen der Software."
    translations:
      en:
        name: Loss of devices, data carriers or documents
        description: "There are a number of reasons that can lead to the loss of devices,\
          \ data storage devices and documents. This directly affects availability,\
          \ but confidential information can also fall into the wrong hands if the\
          \ data storage devices are not fully encrypted. The replacement of devices\
          \ or data storage devices incurs costs, but if they reappear, information\
          \ may have been disclosed or unwanted programs may have been installed.\
          \ Mobile devices and mobile data storage devices in particular can easily\
          \ be lost. Huge amounts of data can now be stored on small memory cards.\
          \ However, it also happens again and again that paper documents are accidentally\
          \ left lying around, for example in restaurants or public transport. \n\
          Examples: \n\u2022 An employee uses the tram to go to work to look through\
          \ some documents. When she gets off at the destination stop in a hurry,\
          \ she accidentally leaves the papers on the seat next to her. Although the\
          \ documents are not confidential, several signatures from high-ranking managers\
          \ must be obtained again as a result. \n\u2022 At a major event, an employee\
          \ accidentally and unnoticed drops a memory card with confidential calculations\
          \ on the floor while searching through his briefcase. The finder looks at\
          \ the contents on his laptop and sells the information to the competition.\n\
          \u2022 A manufacturer sends CDs with software updates to fix errors to its\
          \ customers by mail. Some of these CDs are lost during shipping without\
          \ the sender or recipient being informed. As a result, the affected customers\
          \ experience software malfunctions."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.18
    ref_id: G0.18
    name: 'Fehlplanung oder fehlende Anpassung '
    description: "Wenn organisatorische Abl\xE4ufe, die direkt oder indirekt der Informationsverarbeitung\
      \ dienen, nicht\nsachgerecht gestaltet sind, kann dies zu Sicherheitsproblemen\
      \ f\xFChren. Obwohl jeder einzelne Prozessschritt\nkorrekt durchgef\xFChrt wird,\
      \ kommt es oft zu Sch\xE4den, weil Prozesse insgesamt fehlerhaft definiert sind.\n\
      Eine weitere m\xF6gliche Ursache f\xFCr Sicherheitsprobleme sind Abh\xE4ngigkeiten\
      \ mit anderen Prozessen, die\nselbst keinen offensichtlichen Bezug zur Informationsverarbeitung\
      \ haben. Solche Abh\xE4ngigkeiten k\xF6nnen\nbei der Planung leicht \xFCbersehen\
      \ werden und dadurch Beeintr\xE4chtigungen w\xE4hrend des Betriebes ausl\xF6\
      sen.\nSicherheitsprobleme k\xF6nnen au\xDFerdem dadurch entstehen, dass Aufgaben,\
      \ Rollen oder Verantwortung nicht\neindeutig zugewiesen sind. Unter anderem\
      \ kann es dadurch passieren, dass Abl\xE4ufe verz\xF6gert,\nSicherheitsma\xDF\
      nahmen vernachl\xE4ssigt oder Regelungen missachtet werden.\nGefahr besteht\
      \ auch, wenn Ger\xE4te, Produkte, Verfahren oder andere Mittel zur Realisierung\
      \ der\nInformationsverarbeitung nicht sachgerecht eingesetzt werden. Die Auswahl\
      \ eines ungeeigneten Produktes\noder Schwachstellen beispielsweise in der Anwendungsarchitektur\
      \ oder im Netzdesign k\xF6nnen zu\nSicherheitsproblemen f\xFChren.\nBeispiele:\n\
      \u2022 Wenn Wartungs- oder Reparaturprozesse nicht auf die fachlichen Anforderungen\
      \ abgestimmt sind, kann\nes dadurch zu inakzeptablen Ausfallzeiten kommen.\n\
      \u2022 Es kann ein erh\xF6htes Risiko durch Angriffe auf die eigenen IT-Systeme\
      \ entstehen, wenn\nsicherheitstechnische Anforderungen bei der Beschaffung von\
      \ Informationstechnik nicht ber\xFCcksichtigt\nwerden.\n\u2022 Wenn ben\xF6\
      tigtes Verbrauchsmaterial nicht zeitgerecht zur Verf\xFCgung gestellt wird,\
      \ k\xF6nnen die davon\nabh\xE4ngigen IT-Verfahren ins Stocken geraten.\n\u2022\
      \ Es k\xF6nnen Schwachstellen entstehen, wenn bei der Planung eines IT-Verfahrens\
      \ ungeeignete\n\xDCbertragungsprotokolle ausgew\xE4hlt werden.\nDie Informationstechnik\
      \ und das gesamte Umfeld einer Beh\xF6rde bzw. eines Unternehmens \xE4ndern\
      \ sich\nst\xE4ndig. Sei es, dass Mitarbeiter ausscheiden oder hinzukommen, neue\
      \ Hard- oder Software beschafft wird\noder ein Zulieferbetrieb Konkurs anmeldet.\
      \ Werden die dadurch notwendigen organisatorischen und\ntechnischen Anpassungen\
      \ nicht oder nur ungen\xFCgend ber\xFCcksichtigt, k\xF6nnen sich Gef\xE4hrdungen\
      \ ergeben.\nBeispiele:\n\u2022 Durch bauliche \xC4nderungen im Geb\xE4ude werden\
      \ bestehende Fluchtwege ver\xE4ndert. Da die Mitarbeiter\nnicht ausreichend\
      \ unterrichtet wurden, kann das Geb\xE4ude nicht in der erforderlichen Zeit\
      \ ger\xE4umt\nwerden.\n\u2022 Bei der \xDCbermittlung elektronischer Dokumente\
      \ wird nicht darauf geachtet, ein f\xFCr die Empf\xE4ngerseite\nlesbares Datenformat\
      \ zu benutzen."
    translations:
      en:
        name: 'Incorrect planning or lack of adaptation '
        description: "If organizational processes that directly or indirectly serve\
          \ information processing are not designed properly, this can lead to security\
          \ problems. Although every single process step is carried out correctly,\
          \ damage often occurs because processes as a whole are incorrectly defined.\
          \ Another possible cause of security problems are dependencies with other\
          \ processes that themselves have no obvious connection to information processing.\
          \ Such dependencies can easily be overlooked during planning and thus cause\
          \ disruptions during operation. Security problems can also arise if tasks,\
          \ roles or responsibilities are not clearly assigned. This can lead to processes\
          \ being delayed, security measures being neglected or regulations being\
          \ ignored. There is also a risk if devices, products, procedures or other\
          \ means of implementing information processing are not used properly. The\
          \ selection of an unsuitable product or weaknesses in the application architecture\
          \ or network design, for example, can lead to security problems. \nExamples:\n\
          \u2022 If maintenance or repair processes are not tailored to the technical\
          \ requirements, this can lead to unacceptable downtimes.\n\u2022 An increased\
          \ risk can arise from attacks on your own IT systems if security requirements\
          \ are not taken into account when purchasing information technology.\n\u2022\
          \ If required consumables are not made available on time, the IT processes\
          \ that depend on them can come to a standstill.\n\u2022 Vulnerabilities\
          \ can arise if unsuitable transmission protocols are selected when planning\
          \ an IT process.\nThe information technology and the entire environment\
          \ of an authority or company are constantly changing. Be it that employees\
          \ leave or join, new hardware or software is purchased, or a supplier declares\
          \ bankruptcy. If the necessary organizational and technical adjustments\
          \ are not taken into account or are only taken into account insufficiently,\
          \ risks can arise.\nExamples:\n\u2022 Structural changes in the building\
          \ change existing escape routes. Because the employees were not adequately\
          \ informed, the building cannot be cleared in the required time. \u2022\
          \ When transmitting electronic documents, no care is taken to use a data\
          \ format that is readable by the recipient."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.19
    ref_id: G0.19
    name: "Offenlegung sch\xFCtzenswerter Informationen "
    description: "Vertrauliche Daten und Informationen d\xFCrfen nur den zur Kenntnisnahme\
      \ berechtigten Personen\nzug\xE4nglich sein. Neben der Integrit\xE4t und der\
      \ Verf\xFCgbarkeit geh\xF6rt die Vertraulichkeit zu den Grundwerten\nder Informationssicherheit.\
      \ F\xFCr vertrauliche Informationen (wie Passw\xF6rter, personenbezogene Daten,\n\
      Firmen- oder Amtsgeheimnisse, Entwicklungsdaten) besteht die inh\xE4rente Gefahr,\
      \ dass diese durch\ntechnisches Versagen, Unachtsamkeit oder auch durch vors\xE4\
      tzliche Handlungen offengelegt werden.\nDabei kann auf diese vertraulichen Informationen\
      \ an unterschiedlichen Stellen zugegriffen werden,\nbeispielsweise\n\u2022 auf\
      \ Speichermedien innerhalb von Rechnern (Festplatten),\n\u2022 auf austauschbaren\
      \ Speichermedien (USB-Sticks, CDs oder DVDs),\n\u2022 in gedruckter Form auf\
      \ Papier (Ausdrucke, Akten) und\n\u2022 auf \xDCbertragungswegen w\xE4hrend\
      \ der Daten\xFCbertragung.\nAuch die Art und Weise, wie Informationen offengelegt\
      \ werden, kann sehr unterschiedlich sein, zum\nBeispiel:\n\u2022 unbefugtes\
      \ Auslesen von Dateien,\n\u2022 unbedachte Weitergabe, z.B. im Zuge von Reparaturauftr\xE4\
      gen,\n\u2022 unzureichende L\xF6schung oder Vernichtung von Datentr\xE4gern,\n\
      \u2022 Diebstahl des Datentr\xE4gers und anschlie\xDFendes Auswerten,\n\u2022\
      \ Abh\xF6ren von \xDCbertragungsleitungen,\n\u2022 Infektion von IT-Systemen\
      \ mit Schadprogrammen,\n\u2022 Mitlesen am Bildschirm oder Abh\xF6ren von Gespr\xE4\
      chen.\nWerden sch\xFCtzenswerte Informationen offengelegt, kann dies schwerwiegende\
      \ Folgen f\xFCr eine Institution\nhaben. Unter anderem kann der Verlust der\
      \ Vertraulichkeit zu folgenden negativen Auswirkungen f\xFCr eine\nInstitution\
      \ f\xFChren:\n\u2022 Versto\xDF gegen Gesetze, zum Beispiel Datenschutz, Bankgeheimnis,\n\
      \u2022 Negative Innenwirkung, zum Beispiel Demoralisierung der Mitarbeiter,\n\
      \u2022 Negative Au\xDFenwirkung, zum Beispiel Beeintr\xE4chtigung der Beziehungen\
      \ zu Gesch\xE4ftspartnern,\nverlorenes Vertrauen von Kunden,\n\u2022 Finanzielle\
      \ Auswirkungen, zum Beispiel Schadensersatzanspr\xFCche, Bu\xDFgelder, Prozesskosten,\n\
      \u2022 Beeintr\xE4chtigung des informationellen Selbstbestimmungsrechtes.\n\
      Ein Verlust der Vertraulichkeit wird nicht immer sofort bemerkt. Oft stellt\
      \ sich erst sp\xE4ter heraus, z.B. durch\nPresseanfragen, dass Unbefugte sich\
      \ Zugang zu vertraulichen Informationen verschafft haben.\nBeispiel:\n\u2022\
      \ K\xE4ufer von gebrauchten Rechnern, Festplatten, Mobiltelefonen oder \xE4\
      hnlichen Ger\xE4ten finden darauf\nimmer wieder h\xF6chst vertrauliche Informationen\
      \ wie Patientendaten oder Kontonummern."
    translations:
      en:
        name: 'Disclosure of sensitive information '
        description: "Confidential data and information may only be accessible to\
          \ those authorized to view it. In addition to integrity and availability,\
          \ confidentiality is one of the basic values \u200B\u200Bof information\
          \ security. Confidential information (such as passwords, personal data,\
          \ company or official secrets, development data) carries the inherent risk\
          \ of being disclosed due to technical failure, carelessness or even deliberate\
          \ actions. This confidential information can be accessed from different\
          \ places, for example: \u2022 on storage media within computers (hard drives),\
          \ \u2022 on removable storage media (USB sticks, CDs or DVDs), \u2022 in\
          \ printed form on paper (printouts, files) and \u2022 on transmission paths\
          \ during data transmission. The way in which information is disclosed can\
          \ also vary greatly, for example:\n\u2022 unauthorized reading of files,\n\
          \u2022 careless disclosure, e.g. in the course of repair orders,\n\u2022\
          \ inadequate deletion or destruction of data storage devices,\n\u2022 theft\
          \ of the data storage device and subsequent evaluation,\n\u2022 tapping\
          \ of transmission lines,\n\u2022 infection of IT systems with malware,\n\
          \u2022 reading of screens or listening to conversations.\nIf sensitive information\
          \ is disclosed, this can have serious consequences for an institution. Among\
          \ other things, the loss of confidentiality can have the following negative\
          \ effects on an institution:\n\u2022 Violation of laws, for example data\
          \ protection, banking secrecy,\n\u2022 Negative internal impact, for example\
          \ demoralization of employees,\n\u2022 Negative external impact, for example\
          \ impairment of relationships with business partners,\nlost trust from customers,\n\
          \u2022 Financial impact, for example claims for damages, fines, legal costs,\n\
          \u2022 Impairment of the right to informational self-determination.\nA loss\
          \ of confidentiality is not always noticed immediately. It often only becomes\
          \ apparent later, e.g. through\npress inquiries, that unauthorized persons\
          \ have gained access to confidential information.\nExample:\n\u2022 Buyers\
          \ of used computers, hard drives, mobile phones or similar devices often\
          \ find highly confidential information such as patient data or account numbers\
          \ on them."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.20
    ref_id: G0.20
    name: "Informationen oder Produkte aus unzuverl\xE4ssiger Q\xFClle "
    description: "Wenn Informationen, Software oder Ger\xE4te verwendet werden, die\
      \ aus unzuverl\xE4ssigen Quellen stammen\noder deren Herkunft und Korrektheit\
      \ nicht ausreichend gepr\xFCft wurden, kann der Einsatz hohe Gefahren\nmit sich\
      \ bringen. Dies kann unter anderem dazu f\xFChren, dass gesch\xE4ftsrelevante\
      \ Informationen auf einer\nfalschen Datenbasis beruhen, dass Berechnungen falsche\
      \ Ergebnisse liefern oder dass falsche Entscheidungen\ngetroffen werden. Ebenso\
      \ k\xF6nnen aber auch Integrit\xE4t und Verf\xFCgbarkeit von IT-Systemen beeintr\xE4\
      chtigt\nwerden.\nBeispiele:\n\u2022 Ein Empf\xE4nger kann durch E-Mails, deren\
      \ Herkunft er nicht gepr\xFCft hat, dazu verleitet werden,\nbestimmte Aktionen\
      \ durchzuf\xFChren, die sich f\xFCr ihn oder andere nachteilig auswirken. Beispielsweise\n\
      kann die E-Mail interessante Anh\xE4nge oder Links enthalten, die beim Anklicken\
      \ dazu f\xFChren, dass\nSchadsoftware beim Empf\xE4nger installiert wird. Der\
      \ Absender der E-Mail kann dabei gef\xE4lscht oder dem\neines bekannten Kommunikationspartners\
      \ nachgeahmt sein.\n\u2022 Die Annahme, dass eine Angabe wahr ist, weil es \"\
      in der Zeitung steht\" oder \"im TV ausgestrahlt wurde\",\nist nicht immer gerechtfertigt.\
      \ Dadurch k\xF6nnen falsche Aussagen in gesch\xE4ftskritische Berichte\neingearbeitet\
      \ werden.\n\u2022 Die Zuverl\xE4ssigkeit von Informationen, die \xFCber das\
      \ Internet verbreitet werden, ist sehr unterschiedlich.\nWenn Ausf\xFChrungen\
      \ ohne weitere Quellenpr\xFCfungen aus dem Internet \xFCbernommen werden, k\xF6\
      nnen\ndaraus Fehlentscheidungen resultieren.\n\u2022 Wenn Updates oder Patches\
      \ aus nicht vertrauensw\xFCrdigen Quellen eingespielt werden, kann dies zu\n\
      unerw\xFCnschten Nebenwirkungen f\xFChren. Wenn die Herkunft von Software nicht\
      \ \xFCberpr\xFCft wird, besteht\nein erh\xF6htes Risiko, dass IT-Systeme mit\
      \ sch\xE4dlichem Code infiziert werden."
    translations:
      en:
        name: 'Information or products from an unreliable source '
        description: "If information, software or devices are used that come from\
          \ unreliable sources or whose origin and correctness have not been sufficiently\
          \ checked, their use can involve high risks. This can lead, among other\
          \ things, to business-relevant information being based on incorrect data,\
          \ calculations producing incorrect results or incorrect decisions being\
          \ made. The integrity and availability of IT systems can also be compromised.\
          \ \nExamples: \n\u2022 A recipient can be tricked by emails whose origin\
          \ they have not checked into carrying out certain actions that have a detrimental\
          \ effect on them or others. For example, the email can contain interesting\
          \ attachments or links that, when clicked, lead to malware being installed\
          \ on the recipient's computer. The sender of the email can be fake or imitated\
          \ by a known communication partner. \n\u2022 The assumption that a statement\
          \ is true because it \"was in the newspaper\" or \"was broadcast on TV\"\
          \ is not always justified. This can lead to false statements being incorporated\
          \ into business-critical reports.\n\u2022 The reliability of information\
          \ distributed over the Internet varies greatly.\nIf statements are taken\
          \ from the Internet without further source checks,\nthis can result in incorrect\
          \ decisions.\n\u2022 If updates or patches are installed from untrustworthy\
          \ sources, this can lead to\nundesirable side effects. If the origin of\
          \ software is not checked,\nthere is an increased risk that IT systems will\
          \ be infected with malicious code."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.21
    ref_id: G0.21
    name: 'Manipulation von Hard- oder Software '
    description: "Als Manipulation wird jede Form von gezielten, aber heimlichen Eingriffen\
      \ bezeichnet, um Zielobjekte aller\nArt unbemerkt zu ver\xE4ndern. Manipulationen\
      \ an Hard- oder Software k\xF6nnen unter anderem aus\nRachegef\xFChlen, um einen\
      \ Schaden mutwillig zu erzeugen, zur Verschaffung pers\xF6nlicher Vorteile oder\
      \ zur\nBereicherung vorgenommen werden. Im Fokus k\xF6nnen dabei Ger\xE4te aller\
      \ Art, Zubeh\xF6r, Datentr\xE4ger (z.B.\nDVDs, USB-Sticks), Applikationen, Datenbanken\
      \ oder \xE4hnliches stehen.\nManipulationen an Hard- und Software f\xFChren\
      \ nicht immer zu einem unmittelbaren Schaden. Wenn jedoch\ndie damit verarbeiteten\
      \ Informationen beeintr\xE4chtigt werden, kann dies alle Arten von\nSicherheitsauswirkungen\
      \ nach sich ziehen (Verlust von Vertraulichkeit, Integrit\xE4t oder Verf\xFC\
      gbarkeit). Die\nManipulationen k\xF6nnen dabei umso wirkungsvoller sein, je\
      \ sp\xE4ter sie entdeckt werden, je umfassender die\nKenntnisse der T\xE4ter\
      \ sind und je tiefgreifender die Auswirkungen auf einen Arbeitsvorgang sind.\
      \ Die\nAuswirkungen reichen von der unerlaubten Einsichtnahme in sch\xFCtzenswerte\
      \ Daten bis hin zur Zerst\xF6rung\nvon Datentr\xE4gern oder IT-Systemen. Manipulationen\
      \ k\xF6nnen dadurch auch erhebliche Ausfallzeiten nach\nsich ziehen.\nBeispiele:\n\
      \u2022 In einem Schweizer Finanzunternehmen hatte ein Mitarbeiter die Einsatzsoftware\
      \ f\xFCr bestimmte\nFinanzdienstleistungen manipuliert. Dadurch war es ihm m\xF6\
      glich, sich illegal gr\xF6\xDFere Geldbetr\xE4ge zu\nverschaffen.\n\u2022 Durch\
      \ Manipulationen an Geldausgabeautomaten ist es Angreifern mehrfach gelungen,\
      \ die auf\nZahlungskarten gespeicherten Daten unerlaubt auszulesen. In Verbindung\
      \ mit ausgesp\xE4hten PINs\nwurden diese Daten dann sp\xE4ter missbraucht, um\
      \ Geld zulasten der Karteninhaber abzuheben."
    translations:
      en:
        name: 'Tampering of hardware or software '
        description: "Manipulation is defined as any form of targeted but secret intervention\
          \ to change target objects of all kinds without being noticed. Manipulation\
          \ of hardware or software can be carried out out of feelings of revenge,\
          \ to deliberately cause damage, to gain personal advantages or for enrichment.\
          \ The focus can be on all types of devices, accessories, data storage devices\
          \ (e.g. DVDs, USB sticks), applications, databases or similar. Manipulation\
          \ of hardware and software does not always lead to immediate damage. However,\
          \ if the information processed with them is compromised, this can have all\
          \ kinds of security effects (loss of confidentiality, integrity or availability).\
          \ The later the manipulation is discovered, the more comprehensive the perpetrators'\
          \ knowledge is and the more profound the impact on a work process. The effects\
          \ range from unauthorized access to data that needs to be protected to the\
          \ destruction of data storage devices or IT systems. Manipulations can also\
          \ result in significant downtime.\nExamples:\n\u2022 In a Swiss financial\
          \ company, an employee had manipulated the software used for certain\nfinancial\
          \ services. This enabled him to obtain large amounts of money illegally.\n\
          \u2022 By manipulating cash dispensers, attackers have repeatedly succeeded\
          \ in reading the data stored on\npayment cards without permission. In conjunction\
          \ with spied-out PINs, this data was then later misused to withdraw money\
          \ at the expense of the cardholders."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.22
    ref_id: G0.22
    name: 'Manipulation von Informationen '
    description: "Informationen k\xF6nnen auf vielf\xE4ltige Weise manipuliert werden,\
      \ z.B. durch fehlerhaftes oder vors\xE4tzlich\nfalsches Erfassen von Daten,\
      \ inhaltliche \xC4nderung von Datenbank-Feldern oder von Schriftverkehr.\nGrunds\xE4\
      tzlich betrifft dies nicht nur digitale Informationen, sondern beispielsweise\
      \ auch Dokumente in\nPapierform. Ein T\xE4ter kann allerdings nur die Informationen\
      \ manipulieren, auf die er Zugriff hat. Je mehr\nZugriffsrechte eine Person\
      \ auf Dateien und Verzeichnisse von IT-Systemen besitzt bzw. je mehr\nZugriffsm\xF6\
      glichkeiten auf Informationen sie hat, desto schwerwiegendere Manipulationen\
      \ kann sie\nvornehmen. Falls die Manipulationen nicht fr\xFChzeitig erkannt\
      \ werden, kann der reibungslose Ablauf von\nGesch\xE4ftsprozessen und Fachaufgaben\
      \ dadurch empfindlich gest\xF6rt werden.\nArchivierte Dokumente stellen meist\
      \ sch\xFCtzenswerte Informationen dar. Die Manipulation solcher\nDokumente ist\
      \ besonders schwerwiegend, da sie unter Umst\xE4nden erst nach Jahren bemerkt\
      \ wird und eine\n\xDCberpr\xFCfung dann oft nicht mehr m\xF6glich ist.\nBeispiel:\n\
      \u2022 Eine Mitarbeiterin hat sich \xFCber die Bef\xF6rderung ihrer Zimmergenossin\
      \ in der Buchhaltung derma\xDFen\nge\xE4rgert, dass sie sich w\xE4hrend einer\
      \ kurzen Abwesenheit der Kollegin unerlaubt Zugang zu deren\nRechner verschafft\
      \ hat. Hier hat sie durch einige Zahlen\xE4nderungen in der Monatsbilanz enormen\n\
      negativen Einfluss auf das ver\xF6ffentlichte Jahresergebnis des Unternehmens\
      \ genommen."
    translations:
      en:
        name: 'Manipulation of information '
        description: "Information can be manipulated in many different ways, e.g.\
          \ by incorrect or intentional data entry, changing the content of database\
          \ fields or correspondence. In principle, this does not only affect digital\
          \ information, but also, for example, paper documents. However, a perpetrator\
          \ can only manipulate the information to which he has access. The more access\
          \ rights a person has to files and directories of IT systems or the more\
          \ access options he has to information, the more serious the manipulations\
          \ he can carry out. If the manipulations are not detected early, the smooth\
          \ running of business processes and specialist tasks can be seriously disrupted.\
          \ Archived documents usually represent information that is worth protecting.\
          \ The manipulation of such documents is particularly serious because it\
          \ may not be noticed until years later and verification is often no longer\
          \ possible. Example:\n\u2022 An employee was so annoyed about her roommate's\
          \ promotion in accounting that she gained unauthorized access to her colleague's\
          \ computer during a brief absence. By changing a few figures in the monthly\
          \ balance sheet, she had a huge negative impact on the company's published\
          \ annual results."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.23
    ref_id: G0.23
    name: Unbefugtes Eindringen in IT-Systeme
    description: "Grunds\xE4tzlich beinhaltet jede Schnittstelle an einem IT-System\
      \ nicht nur die M\xF6glichkeit, dar\xFCber\nbestimmte Dienste des IT-Systems\
      \ berechtigt zu nutzen, sondern auch das Risiko, dass dar\xFCber unbefugt auf\n\
      das IT-System zugegriffen wird.\nBeispiele:\n\u2022 Wenn eine Benutzerkennung\
      \ und das zugeh\xF6rige Passwort ausgesp\xE4ht werden, ist eine unberechtigte\n\
      Nutzung der damit gesch\xFCtzten Anwendungen oder IT-Systeme denkbar.\n\u2022\
      \ \xDCber unzureichend gesicherte Fernwartungszug\xE4nge k\xF6nnten Hacker unerlaubt\
      \ auf IT-Systeme\nzugreifen.\n\u2022 Bei unzureichend gesicherten Schnittstellen\
      \ von aktiven Netzkomponenten ist es denkbar, dass\nAngreifer einen unberechtigten\
      \ Zugang zur Netzkomponente erlangen. Wenn es ihnen au\xDFerdem\ngelingt, die\
      \ lokalen Sicherheitsmechanismen zu \xFCberwinden, also z.B. an administrative\
      \ Berechtigungen\ngelangt sind, k\xF6nnten sie alle Administrationst\xE4tigkeiten\
      \ aus\xFCben.\n\u2022 Viele IT-Systeme haben Schnittstellen f\xFCr den Einsatz\
      \ austauschbarer Datenspeicher, wie z.B.\nZusatzspeicherkarten oder USB-Speichermedien.\
      \ Bei einem unbeaufsichtigten IT-System mit der\nentsprechenden Hard- und Software\
      \ besteht die Gefahr, dass hier\xFCber gro\xDFe Datenmengen unbefugt\nausgelesen\
      \ oder Schadprogramme eingeschleust werden k\xF6nnen."
    translations:
      en:
        name: Unauthorized intrusion into IT systems
        description: "Basically, every interface on an IT system not only contains\
          \ the possibility of using certain IT system services with authorization,\
          \ but also the risk of unauthorized access to the IT system. \nExamples:\
          \ \n\u2022 If a user ID and the associated password are spied on, unauthorized\
          \ use of the applications or IT systems protected by it is conceivable.\
          \ \n\u2022 Hackers could gain unauthorized access to IT systems via insufficiently\
          \ secured remote maintenance access. \n\u2022 If the interfaces of active\
          \ network components are insufficiently secured, it is conceivable that\
          \ attackers could gain unauthorized access to the network component. If\
          \ they also manage to overcome the local security mechanisms, for example\
          \ if they gain administrative authorization, they could carry out all administrative\
          \ activities. \n\u2022 Many IT systems have interfaces for the use of exchangeable\
          \ data storage devices, such as additional memory cards or USB storage media.\
          \ If an IT system is left unattended with the appropriate hardware and software,\
          \ there is a risk that large amounts of data could be read out without authorization\
          \ or that malware could be introduced."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.24
    ref_id: G0.24
    name: "Zerst\xF6rung von Ger\xE4ten oder Datentr\xE4gern "
    description: "Durch Fahrl\xE4ssigkeit, unsachgem\xE4\xDFe Verwendung aber auch\
      \ durch ungeschulten Umgang kann es zu\nZerst\xF6rungen an Ger\xE4ten und Datentr\xE4\
      gern kommen, die den Betrieb des IT-Systems empfindlich st\xF6ren\nk\xF6nnen.\n\
      Es besteht au\xDFerdem die Gefahr, dass durch die Zerst\xF6rung wichtige Informationen\
      \ verloren gehen, die nicht\noder nur mit gro\xDFem Aufwand rekonstruiert werden\
      \ k\xF6nnen.\nBeispiele:\n\u2022 In einem Unternehmen nutzte ein Innent\xE4\
      ter seine Kenntnis dar\xFCber, dass ein wichtiger Server\nempfindlich auf zu\
      \ hohe Betriebstemperaturen reagiert, und blockierte die L\xFCftungsschlitze\
      \ f\xFCr den\nNetzteill\xFCfter mit einem hinter dem Server versteckt aufgestellten\
      \ Gegenstand. Zwei Tage sp\xE4ter erlitt die\nFestplatte im Server einen temperaturbedingten\
      \ Defekt, und der Server fiel f\xFCr mehrere Tage aus.\n\u2022 Ein Mitarbeiter\
      \ hatte sich \xFCber das wiederholte Abst\xFCrzen des Systems so stark ge\xE4\
      rgert, dass er seine\nWut an seinem Arbeitsplatzrechner auslie\xDF. Hierbei\
      \ wurde die Festplatte durch Fu\xDFtritte gegen den\nRechner so stark besch\xE4\
      digt, dass sie unbrauchbar wurde. Die hier gespeicherten Daten konnten nur\n\
      teilweise wieder durch ein Backup vom Vortag rekonstruiert werden.\n\u2022 Durch\
      \ umgesto\xDFene Kaffeetassen oder beim Blumengie\xDFen eindringende Feuchtigkeit\
      \ k\xF6nnen in einem\nIT-System Kurzschl\xFCsse hervorrufen."
    translations:
      en:
        name: 'Destruction of devices or data storage media '
        description: "Negligence, improper use and untrained handling can lead to\n\
          destruction of devices and data storage devices, which can seriously disrupt\
          \ the operation of the IT system.\nThere is also a risk that the destruction\
          \ will result in the loss of important information that cannot be\nreconstructed\
          \ or can only be reconstructed with great effort.\nExamples:\n\u2022 In\
          \ one company, an insider used his knowledge that an important server\n\
          reacts sensitively to excessive operating temperatures and blocked the ventilation\
          \ slots for the\npower supply fan with an object hidden behind the server.\
          \ Two days later, the\nhard drive in the server suffered a temperature-related\
          \ defect and the server was down for several days.\n\u2022 An employee was\
          \ so annoyed by the repeated crashes of the system that he took his\nanger\
          \ out on his workstation computer. The hard drive was so badly damaged by\
          \ kicking the\ncomputer that it became unusable. The data stored there could\
          \ only be partially reconstructed using a backup from the previous day.\n\
          \u2022 Moisture from knocking over coffee cups or watering flowers can cause\
          \ short circuits in an IT system."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.25
    ref_id: G0.25
    name: "Ausfall von Ger\xE4ten oder Systemen "
    description: "Werden auf einem IT-System zeitkritische Anwendungen betrieben,\
      \ sind die Folgesch\xE4den nach einem\nSystemausfall entsprechend hoch, wenn\
      \ es keine Ausweichm\xF6glichkeiten gibt.\nBeispiele:\n\u2022 Es wird eine Firmware\
      \ in ein IT-System eingespielt, die nicht f\xFCr diesen Systemtyp vorgesehen\
      \ ist. Das\nIT-System startet daraufhin nicht mehr fehlerfrei und muss vom Hersteller\
      \ wieder betriebsbereit\ngemacht werden.\n\u2022 Bei einem Internet Service\
      \ Provider (ISP) f\xFChrte ein Stromversorgungsfehler in einem Speichersystem\n\
      dazu, dass dieses abgeschaltet wurde. Obwohl der eigentliche Fehler schnell\
      \ behoben werden konnte,\nlie\xDFen sich die betroffenen IT-Systeme anschlie\xDF\
      end nicht wieder hochfahren, da Inkonsistenzen im\nDateisystem auftraten. Als\
      \ Folge waren mehrere vom ISP betriebene Webserver tagelang nicht\nerreichbar."
    translations:
      en:
        name: 'Failure of devices or systems '
        description: "If time-critical applications are run on an IT system, the consequential\
          \ damage after a system failure is correspondingly high if there are no\
          \ alternative options. \nExamples: \n\u2022 Firmware is installed on an\
          \ IT system that is not intended for this type of system. The IT system\
          \ then no longer starts correctly and must be made operational again by\
          \ the manufacturer. \n\u2022 At an Internet service provider (ISP), a power\
          \ supply error in a storage system led to it being switched off. Although\
          \ the actual error could be quickly rectified, the affected IT systems could\
          \ not be restarted afterwards because inconsistencies occurred in the file\
          \ system. As a result, several web servers operated by the ISP were inaccessible\
          \ for days."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.26
    ref_id: G0.26
    name: "Fehlfunktion von Ger\xE4ten oder Systemen"
    description: "Ger\xE4te und Systeme, die der Informationsverarbeitung dienen,\
      \ haben heute h\xE4ufig viele Funktionen und\nsind deshalb entsprechend komplex\
      \ aufgebaut. Grunds\xE4tzlich betrifft dies sowohl Hardware- als auch\nSoftware-Komponenten.\
      \ Durch die Komplexit\xE4t gibt es in solchen Komponenten viele unterschiedliche\n\
      Fehlerquellen. Als Folge kommt es immer wieder dazu, dass Ger\xE4te und Systeme\
      \ nicht wie vorgesehen\nfunktionieren und dadurch Sicherheitsprobleme entstehen.\n\
      Ursachen f\xFCr Fehlfunktionen gibt es viele, zum Beispiel Materialerm\xFCdung,\
      \ Fertigungstoleranzen,\nkonzeptionelle Schw\xE4chen, \xDCberschreitung von\
      \ Grenzwerten, nicht vorgesehene Einsatzbedingungen oder\nfehlende Wartung.\
      \ Da es keine perfekten Ger\xE4te und Systeme gibt, muss eine gewisse Restwahrscheinlichkeit\n\
      f\xFCr Fehlfunktionen ohnehin immer akzeptiert werden.\nDurch Fehlfunktionen\
      \ von Ger\xE4ten oder Systemen k\xF6nnen alle Grundwerte der Informationssicherheit\n\
      (Vertraulichkeit, Integrit\xE4t, Verf\xFCgbarkeit) beeintr\xE4chtigt werden.\
      \ Hinzu kommt, dass Fehlfunktionen unter\nUmst\xE4nden auch \xFCber einen l\xE4\
      ngeren Zeitraum unbemerkt bleiben k\xF6nnen. Dadurch kann es beispielsweise\n\
      passieren, dass Berechnungsergebnisse verf\xE4lscht und nicht rechtzeitig korrigiert\
      \ werden.\nBeispiele:\n\u2022 Aufgrund eines verstopften L\xFCftungsgitters\
      \ kommt es zur \xDCberhitzung eines Speichersystems, das\ndaraufhin nicht komplett\
      \ ausf\xE4llt, sondern nur sporadische Fehlfunktionen aufweist. Erst einige\
      \ Wochen\nsp\xE4ter wird bemerkt, dass die gespeicherten Informationen unvollst\xE4\
      ndig sind.\n\u2022 Eine wissenschaftliche Standard-Anwendung wird genutzt, um\
      \ eine statistische Analyse f\xFCr einen vorab\nerhobenen Datenbestand durchzuf\xFC\
      hren, der in einer Datenbank gespeichert ist. Laut Dokumentation ist\ndie Anwendung\
      \ jedoch f\xFCr das eingesetzte Datenbank-Produkt nicht freigegeben. Die Analyse\
      \ scheint\nzwar zu funktionieren, durch Stichproben stellt sich allerdings heraus,\
      \ dass die berechneten Ergebnisse\nfalsch sind. Als Ursache wurden Kompatibilit\xE4\
      tsprobleme zwischen der Anwendung und der Datenbank\nidentifiziert."
    translations:
      en:
        name: Malfunction of devices or systems
        description: "Devices and systems used for information processing today often\
          \ have many functions and are therefore complex. This generally applies\
          \ to both hardware and software components. Due to the complexity, there\
          \ are many different sources of error in such components. As a result, devices\
          \ and systems often do not function as intended, causing security problems.\
          \ There are many causes of malfunctions, for example material fatigue, manufacturing\
          \ tolerances, conceptual weaknesses, exceeding limit values, unintended\
          \ operating conditions or lack of maintenance. Since there are no perfect\
          \ devices and systems, a certain residual probability of malfunctions must\
          \ always be accepted. Malfunctions of devices or systems can affect all\
          \ basic values \u200B\u200Bof information security (confidentiality, integrity,\
          \ availability). In addition, malfunctions can sometimes go unnoticed for\
          \ a longer period of time. This can, for example, lead to calculation results\
          \ being falsified and not corrected in time. \nExamples:\n\u2022 A blocked\
          \ ventilation grille causes a storage system to overheat, which does not\
          \ fail completely but only malfunctions sporadically. It is not until a\
          \ few weeks later that it is noticed that the stored information is incomplete.\n\
          \u2022 A standard scientific application is used to carry out a statistical\
          \ analysis on a previously collected data set that is stored in a database.\
          \ According to the documentation, however, the application is not approved\
          \ for the database product used. The analysis appears to work, but random\
          \ sampling reveals that the calculated results are incorrect. Compatibility\
          \ problems between the application and the database were identified as the\
          \ cause."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.27
    ref_id: G0.27
    name: 'Ressourcenmangel '
    description: "Wenn die vorhandenen Ressourcen in einem Bereich unzureichend sind,\
      \ kann es zu Engp\xE4ssen in der\nVersorgung mit diesen Ressourcen bis hin zu\
      \ \xDCberlastungen und Ausf\xE4llen kommen. Je nach Art der\nbetroffenen Ressourcen\
      \ k\xF6nnen durch ein kleines Ereignis, dessen Eintritt zudem vorhersehbar war,\
      \ im\nEndeffekt eine Vielzahl von Gesch\xE4ftsprozessen beeintr\xE4chtigt werden.\
      \ Ressourcenmangel kann im IT-\nBetrieb und bei Kommunikationsverbindungen auftreten,\
      \ aber auch in anderen Bereichen einer Institution.\nWerden f\xFCr bestimmte\
      \ Aufgaben nur unzureichende personelle, zeitliche und finanzielle Ressourcen\
      \ zur\nVerf\xFCgung gestellt, kann das vielf\xE4ltige negative Auswirkungen\
      \ haben. Es kann beispielsweise passieren, dass\ndie in Projekten notwendigen\
      \ Rollen nicht mit geeigneten Personen besetzt werden. Wenn Betriebsmittel\n\
      wie Hard- oder Software nicht mehr ausreichen, um den Anforderungen gerecht\
      \ zu werden, k\xF6nnen\nFachaufgaben unter Umst\xE4nden nicht erfolgreich bearbeitet\
      \ werden.\nH\xE4ufig k\xF6nnen personelle, zeitliche, finanzielle, technische\
      \ und sonstige M\xE4ngel im Regelbetrieb f\xFCr einen\nbegrenzten Zeitraum noch\
      \ ausgeglichen werden. Unter hohem Zeitdruck werden sie jedoch, beispielsweise\n\
      in Notfall-Situationen, umso deutlicher.\nRessourcen k\xF6nnen auch absichtlich\
      \ \xFCberlastet werden, wenn jemand einen intensiven Bedarf an einem\nBetriebsmittel\
      \ vors\xE4tzlich generiert und dadurch eine intensive und dauerhafte St\xF6\
      rung des Betriebsmittels\nprovoziert, siehe auch G 0.40 Verhinderung von Diensten\
      \ (Denial of Service).\nBeispiele:\n\u2022 \xDCberlastete Elektroleitungen erhitzen\
      \ sich, dies kann bei ung\xFCnstiger Verlegung zu einem Schwelbrand\nf\xFChren.\n\
      \u2022 Werden neue Anwendungen mit einem h\xF6heren als zum Planungszeitpunkt\
      \ ber\xFCcksichtigten\nBandbreitenbedarf auf dem Netz betrieben, kann dies zu\
      \ einem Verlust der Verf\xFCgbarkeit des gesamten\nNetzes f\xFChren, wenn die\
      \ Netzinfrastruktur nicht ausreichend skaliert werden kann.\n\u2022 Wenn die\
      \ Administratoren wegen \xDCberlastung die Protokoll-Dateien der von ihnen betreuten\
      \ IT nur\nsporadisch kontrollieren, werden eventuell Angriffe nicht zeitnah\
      \ erkannt.\n\u2022 Webserver k\xF6nnen durch eine hohe Menge zeitgleich eintreffender\
      \ Anfragen so \xFCberlastet werden, dass\nein geregelter Zugriff auf Daten fast\
      \ unm\xF6glich wird.\n\u2022 Wenn sich ein Unternehmen in einem Insolvenzverfahren\
      \ befindet, kann es passieren, dass kein Geld f\xFCr\ndringend ben\xF6tigte\
      \ Ersatzteile vorhanden ist oder dass wichtige Dienstleister nicht bezahlt werden\n\
      k\xF6nnen."
    translations:
      en:
        name: 'Shortage of resources '
        description: "If the resources available in an area are insufficient, bottlenecks\
          \ in the supply of these resources can occur, leading to overloads and failures.\
          \ Depending on the type of resources affected, a small event, the occurrence\
          \ of which was also foreseeable, can ultimately affect a large number of\
          \ business processes. A lack of resources can occur in IT operations and\
          \ communication connections, but also in other areas of an institution.\
          \ If only insufficient personnel, time and financial resources are made\
          \ available for certain tasks, this can have a variety of negative effects.\
          \ For example, it can happen that the roles required in projects are not\
          \ filled by suitable people. If resources such as hardware or software are\
          \ no longer sufficient to meet the requirements, specialist tasks may not\
          \ be able to be completed successfully. Often, personnel, time, financial,\
          \ technical and other deficiencies can still be compensated for for a limited\
          \ period of time in normal operations. However, under high time pressure,\
          \ for example in emergency situations, they become all the more obvious.\
          \ Resources can also be intentionally overloaded if someone intentionally\
          \ generates an intensive need for a resource and thereby provokes an intensive\
          \ and permanent disruption of the resource, see also G 0.40 Denial of Service.\
          \ \nExamples: \n\u2022 Overloaded electrical cables heat up, which can lead\
          \ to a smoldering fire if they are poorly laid. \n\u2022 If new applications\
          \ are operated on the network with a higher bandwidth requirement than was\
          \ taken into account at the time of planning, this can lead to a loss of\
          \ availability of the entire network if the network infrastructure cannot\
          \ be scaled sufficiently. \n\u2022 If administrators only check the log\
          \ files of the IT they manage sporadically due to overload, attacks may\
          \ not be detected promptly. \n\u2022 Web servers can be so overloaded by\
          \ a large number of requests arriving at the same time that regulated access\
          \ to data becomes almost impossible. \n\u2022 If a company is in insolvency\
          \ proceedings, it may happen that there is no money for urgently needed\
          \ spare parts or that important service providers cannot be paid."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.28
    ref_id: G0.28
    name: 'Software-Schwachstellen oder -Fehler '
    description: "F\xFCr jede Software gilt: je komplexer sie ist, desto h\xE4ufiger\
      \ treten Fehler auf. Auch bei intensiven Tests werden\nmeist nicht alle Fehler\
      \ vor der Auslieferung an die Kunden entdeckt. Werden Software-Fehler nicht\n\
      rechtzeitig erkannt, k\xF6nnen die bei der Anwendung entstehenden Abst\xFCrze\
      \ oder Fehler zu weitreichenden\nFolgen f\xFChren. Beispiele hierf\xFCr sind\
      \ falsche Berechnungsergebnisse, Fehlentscheidungen der Leitungsebene\nund Verz\xF6\
      gerungen beim Ablauf der Gesch\xE4ftsprozesse.\nDurch Software-Schwachstellen\
      \ oder -Fehler kann es zu schwerwiegenden Sicherheitsl\xFCcken in einer\nAnwendung,\
      \ einem IT-System oder allen damit vernetzten IT-Systemen kommen. Solche Sicherheitsl\xFC\
      cken\nk\xF6nnen unter Umst\xE4nden von Angreifern ausgenutzt werden, um Schadsoftware\
      \ einzuschleusen, unerlaubt\nDaten auszulesen oder Manipulationen vorzunehmen.\n\
      Beispiele:\n\u2022 Die meisten Warnmeldungen der Computer Emergency Response\
      \ Teams (CERTs) in den letzten Jahren\nbezogen sich auf sicherheitsrelevante\
      \ Programmierfehler. Dies sind Fehler, die bei der Erstellung von\nSoftware\
      \ entstehen und dazu f\xFChren, dass diese Software von Angreifern missbraucht\
      \ werden kann. Ein\ngro\xDFer Teil dieser Fehler wurde durch Speicher\xFCberl\xE4\
      ufe (Buffer Overflow) hervorgerufen.\n\u2022 Internet-Browser sind heute eine\
      \ wichtige Software-Komponente auf Clients. Browser werden h\xE4ufig\nnicht\
      \ nur zum Zugriff auf das Internet, sondern auch f\xFCr interne Web-Anwendungen\
      \ in Unternehmen\nund Beh\xF6rden genutzt. Software-Schwachstellen oder -Fehler\
      \ in Browsern k\xF6nnen deshalb die\nInformationssicherheit insgesamt besonders\
      \ stark beeintr\xE4chtigen."
    translations:
      en:
        name: 'Software vulnerabilities or errors '
        description: "The following applies to all software: the more complex it is,\
          \ the more often errors occur. Even with intensive testing, not all errors\
          \ are usually discovered before delivery to the customer. If software errors\
          \ are not detected in time, crashes or errors that occur during the application\
          \ can have far-reaching consequences. Examples of this include incorrect\
          \ calculation results, incorrect decisions by management and delays in the\
          \ running of business processes. Software vulnerabilities or errors can\
          \ lead to serious security gaps in an application, an IT system or all IT\
          \ systems connected to it. Such security gaps can potentially be exploited\
          \ by attackers to introduce malware, read data without authorization or\
          \ carry out manipulation. \nExamples: \n\u2022 Most of the warnings from\
          \ Computer Emergency Response Teams (CERTs) in recent years have related\
          \ to security-related programming errors. These are errors that occur during\
          \ the creation of software and mean that this software can be misused by\
          \ attackers. A large proportion of these errors were caused by buffer overflows.\
          \ Internet browsers are now an important software component on clients.\
          \ Browsers are often used not only to access the Internet, but also for\
          \ internal web applications in companies and government agencies. Software\
          \ vulnerabilities or errors in browsers can therefore have a particularly\
          \ serious impact on information security overall."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.29
    ref_id: G0.29
    name: "Versto\xDF gegen Gesetze oder Regelungen "
    description: "Wenn Informationen, Gesch\xE4ftsprozesse und IT-Systeme einer Institution\
      \ unzureichend abgesichert sind\n(beispielsweise durch ein unzureichendes Sicherheitsmanagement),\
      \ kann dies zu Verst\xF6\xDFen gegen\nRechtsvorschriften mit Bezug zur Informationsverarbeitung\
      \ oder gegen bestehende Vertr\xE4ge mit\nGesch\xE4ftspartnern f\xFChren. Welche\
      \ Gesetze jeweils zu beachten sind, h\xE4ngt von der Art der Institution bzw.\n\
      ihrer Gesch\xE4ftsprozesse und Dienstleistungen ab. Je nachdem, wo sich die\
      \ Standorte einer Institution\nbefinden, k\xF6nnen auch verschiedene nationale\
      \ Vorschriften zu beachten sein. Folgende Beispiele\nverdeutlichen dies:\n\u2022\
      \ Der Umgang mit personenbezogenen Daten ist in Deutschland \xFCber eine Vielzahl\
      \ von Vorschriften\ngeregelt. Dazu geh\xF6ren das Bundesdatenschutzgesetz und\
      \ die Landesdatenschutzgesetze, aber auch eine\nVielzahl bereichsspezifischer\
      \ Regelungen.\n\u2022 Die Gesch\xE4ftsf\xFChrung eines Unternehmens ist dazu\
      \ verpflichtet, bei allen Gesch\xE4ftsprozessen eine\nangemessene Sorgfalt anzuwenden.\
      \ Hierzu geh\xF6rt auch die Beachtung anerkannter\nSicherheitsma\xDFnahmen.\
      \ In Deutschland gelten verschiedene Rechtsvorschriften wie KonTraG (Gesetz\n\
      zur Kontrolle und Transparenz im Unternehmensbereich), GmbHG (Gesetz betreffend\
      \ die Gesellschaften\nmit beschr\xE4nkter Haftung) oder AktG (Aktiengesetz),\
      \ aus denen sich zu Risikomanagement und\nInformationssicherheit entsprechende\
      \ Handlungs- und Haftungsverpflichtungen der Gesch\xE4ftsf\xFChrung\nbzw. des\
      \ Vorstands eines Unternehmens ableiten lassen.\n\u2022 Die ordnungsm\xE4\xDF\
      ige Verarbeitung von buchungsrelevanten Daten ist in verschiedenen Gesetzen\
      \ und\nVorschriften geregelt. In Deutschland sind dies unter anderem das Handelsgesetzbuch\
      \ (z.B. HGB \xA7\xA7 238\nff.) und die Abgabenordnung (AO). Die ordnungsm\xE4\
      \xDFige Verarbeitung von Informationen umfasst\nnat\xFCrlich deren sichere Verarbeitung.\
      \ Beides muss in vielen L\xE4ndern regelm\xE4\xDFig nachgewiesen werden,\nbeispielsweise\
      \ durch Wirtschaftspr\xFCfer im Rahmen der Pr\xFCfung des Jahresabschlusses.\
      \ Falls hierbei\ngravierende Sicherheitsm\xE4ngel festgestellt werden, kann\
      \ kein positiver Pr\xFCfungsbericht erstellt werden.\n\u2022 In vielen Branchen\
      \ (z.B. der Automobil-Industrie) ist es \xFCblich, dass Hersteller ihre Zulieferer\
      \ zur\nEinhaltung bestimmter Qualit\xE4ts- und Sicherheitsstandards verpflichten.\
      \ In diesem Zusammenhang\nwerden zunehmend auch Anforderungen an die Informationssicherheit\
      \ gestellt. Verst\xF6\xDFt ein\nVertragspartner gegen vertraglich geregelte\
      \ Sicherheitsanforderungen, kann dies Vertragsstrafen, aber\nauch Vertragsaufl\xF6\
      sungen bis hin zum Verlust von Gesch\xE4ftsbeziehungen nach sich ziehen.\nNur\
      \ wenige Sicherheitsanforderungen ergeben sich unmittelbar aus Gesetzen. Die\
      \ Gesetzgebung orientiert\nsich jedoch im Allgemeinen am Stand der Technik als\
      \ allgemeine Bewertungsgrundlage f\xFCr den Grad der\nerreichbaren Sicherheit.\
      \ Stehen bei einer Institution die vorhandenen Sicherheitsma\xDFnahmen in keinem\n\
      gesunden Verh\xE4ltnis zu den zu sch\xFCtzenden Werten und dem Stand der Technik,\
      \ kann dies gravierende\nFolgen haben."
    translations:
      en:
        name: 'Violation of laws or regulations '
        description: "If an institution's information, business processes and IT systems\
          \ are inadequately secured (for example due to inadequate security management),\
          \ this can lead to violations of legal regulations relating to information\
          \ processing or of existing contracts with business partners. Which laws\
          \ must be observed in each case depends on the type of institution or its\
          \ business processes and services. Depending on where an institution's locations\
          \ are, various national regulations may also have to be observed. The following\
          \ examples illustrate this: \n\u2022 The handling of personal data in Germany\
          \ is regulated by a large number of regulations. These include the Federal\
          \ Data Protection Act and the state data protection laws, but also a large\
          \ number of sector-specific regulations. \n\u2022 The management of a company\
          \ is obliged to exercise appropriate care in all business processes. This\
          \ also includes observing recognized security measures. In Germany, various\
          \ legal regulations apply, such as KonTraG (law on control and transparency\
          \ in the corporate sector), GmbHG (law on limited liability companies) or\
          \ AktG (stock corporation law), from which the management or board of directors\
          \ of a company can be derived from their respective action and liability\
          \ obligations in terms of risk management and information security. \n\u2022\
          \ The proper processing of accounting-relevant data is regulated in various\
          \ laws and regulations. In Germany, these include the Commercial Code (e.g.\
          \ HGB \xA7\xA7 238 ff.) and the Tax Code (AO). The proper processing of\
          \ information naturally includes its secure processing. Both of these must\
          \ be regularly demonstrated in many countries, for example by auditors as\
          \ part of the audit of the annual financial statements. If serious security\
          \ deficiencies are identified, a positive audit report cannot be drawn up.\n\
          \u2022 In many industries (e.g. the automotive industry), it is common for\
          \ manufacturers to oblige their suppliers to comply with certain quality\
          \ and safety standards. In this context, there are also increasing demands\
          \ on information security. If a contractual partner violates contractually\
          \ agreed security requirements, this can result in contractual penalties,\
          \ but also termination of the contract and even loss of business relationships.\
          \ Only a few security requirements arise directly from laws. However, the\
          \ legislation is generally based on the state of the art as a general basis\
          \ for assessing the level of achievable security. If the security measures\
          \ in place at an institution are not in a healthy proportion to the values\
          \ \u200B\u200Bto be protected and the state of the art, this can have serious\
          \ consequences."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.30
    ref_id: G0.30
    name: "Unberechtigte Nutzung oder Administration von Ger\xE4ten und Systemen "
    description: "Ohne geeignete Mechanismen zur Zutritts-, Zugriffs- und Zugangskontrolle\
      \ kann eine unberechtigte\nNutzung von Ger\xE4ten und Systemen praktisch nicht\
      \ verhindert oder erkannt werden. Bei IT-Systemen ist\nder grundlegende Mechanismus\
      \ die Identifikation und Authentisierung von Benutzern. Aber selbst bei IT-\n\
      Systemen mit einer starken Identifikations- und Authentisierungsfunktion ist\
      \ eine unberechtigte Nutzung\ndenkbar, wenn die entsprechenden Sicherheitsmerkmale\
      \ (Passw\xF6rter, Chipkarten, Token etc.) in falsche\nH\xE4nde gelangen. Auch\
      \ bei der Vergabe und Pflege von Berechtigungen k\xF6nnen viele Fehler gemacht\
      \ werden,\nbeispielsweise wenn Berechtigungen zu weitreichend oder an unautorisierte\
      \ Personen vergeben oder nicht\nzeitnah aktualisiert werden.\nUnbefugte k\xF6\
      nnen durch die unberechtigte Nutzung von Ger\xE4ten und Systemen an vertrauliche\n\
      Informationen gelangen, Manipulationen vornehmen oder St\xF6rungen verursachen.\n\
      Ein besonders wichtiger Spezialfall der unberechtigten Nutzung ist die unberechtigte\
      \ Administration. Wenn\nUnbefugte die Konfiguration oder die Betriebsparameter\
      \ von Hardware- oder Software-Komponenten\n\xE4ndern, k\xF6nnen daraus schwere\
      \ Sch\xE4den resultieren.\nBeispiel:\n\u2022 Bei der Kontrolle von Protokollierungsdaten\
      \ stie\xDF ein Netzadministrator auf zun\xE4chst unerkl\xE4rliche\nEreignisse,\
      \ die an verschiedenen Tagen, aber h\xE4ufig am fr\xFChen Morgen und am Nachmittag\
      \ aufgetreten\nsind. Bei n\xE4herer Untersuchung stellte sich heraus, dass ein\
      \ WLAN-Router unsicher konfiguriert war.\nWartende Personen an der Bushaltestelle\
      \ vor dem Firmengeb\xE4ude haben diesen Zugang genutzt, um\nw\xE4hrend der Wartezeit\
      \ mit ihren mobilen Endger\xE4ten im Internet zu surfen."
    translations:
      en:
        name: 'Unauthorized use or administration of devices and systems '
        description: "Without suitable mechanisms for entry, access and access control,\
          \ unauthorized use of devices and systems can practically not be prevented\
          \ or detected. In IT systems, the basic mechanism is the identification\
          \ and authentication of users. But even in IT systems with a strong identification\
          \ and authentication function, unauthorized use is conceivable if the corresponding\
          \ security features (passwords, chip cards, tokens, etc.) fall into the\
          \ wrong hands. Many mistakes can also be made when granting and maintaining\
          \ authorizations, for example if authorizations are too extensive or are\
          \ granted to unauthorized persons or are not updated promptly. Unauthorized\
          \ persons can gain access to confidential information, carry out manipulation\
          \ or cause disruptions through unauthorized use of devices and systems.\
          \ A particularly important special case of unauthorized use is unauthorized\
          \ administration. If unauthorized persons change the configuration or operating\
          \ parameters of hardware or software components, serious damage can result.\
          \ \nExample:\n\u2022 When checking logging data, a network administrator\
          \ came across initially inexplicable\nevents that occurred on different\
          \ days, but often in the early morning and afternoon.\nUpon closer investigation,\
          \ it turned out that a WLAN router was configured insecurely.\nPeople waiting\
          \ at the bus stop in front of the company building used this access to\n\
          surf the Internet on their mobile devices while waiting."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.31
    ref_id: G0.31
    name: "Fehlerhafte Nutzung oder Administration von Ger\xE4ten und Systemen "
    description: "Eine fehlerhafte oder nicht ordnungsgem\xE4\xDFe Nutzung von Ger\xE4\
      ten, Systemen und Anwendungen kann\nderen Sicherheit beeintr\xE4chtigen, vor\
      \ allem, wenn vorhandene Sicherheitsma\xDFnahmen missachtet oder\numgangen werden.\
      \ Dies f\xFChrt h\xE4ufig zu St\xF6rungen oder Ausf\xE4llen. Je nachdem, welche\
      \ Arten von Ger\xE4ten\noder Systemen falsch genutzt werden, k\xF6nnen aber\
      \ auch Vertraulichkeit und Integrit\xE4t von Informationen\nverletzt werden.\n\
      Ein besonders wichtiger Spezialfall der fehlerhaften Nutzung ist die fehlerhafte\
      \ Administration. Fehler bei\nder Installation, Konfiguration, Wartung und Pflege\
      \ von Hardware- oder Software-Komponenten k\xF6nnen\nschwere Sch\xE4den nach\
      \ sich ziehen.\nBeispielsweise k\xF6nnen zu gro\xDFz\xFCgig vergebene Rechte,\
      \ leicht zu erratende Passw\xF6rter, nicht ausreichend\ngesch\xFCtzte Datentr\xE4\
      ger mit Sicherungskopien oder bei vor\xFCbergehender Abwesenheit nicht gesperrte\n\
      Terminals zu Sicherheitsvorf\xE4llen f\xFChren.\nGleicherma\xDFen k\xF6nnen\
      \ durch die fehlerhafte Bedienung von IT-Systemen oder Anwendungen auch Daten\n\
      versehentlich gel\xF6scht oder ver\xE4ndert werden. Dadurch k\xF6nnten aber\
      \ auch vertrauliche Informationen an\ndie \xD6ffentlichkeit gelangen, beispielsweise\
      \ wenn Zugriffsrechte falsch gesetzt werden.\nWenn Strom- oder Netzkabel ungesch\xFC\
      tzt verlegt werden, k\xF6nnen sie unbeabsichtigt besch\xE4digt werden,\nwodurch\
      \ Verbindungen ausfallen k\xF6nnen. Ger\xE4teanschlussleitungen k\xF6nnen herausgerissen\
      \ werden, wenn\nMitarbeiter oder Besucher dar\xFCber stolpern."
    translations:
      en:
        name: 'Incorrect use or administration of devices and systems '
        description: 'Incorrect or improper use of devices, systems and applications
          can compromise their security, especially if existing security measures
          are ignored or bypassed. This often leads to malfunctions or failures. Depending
          on which types of devices or systems are used incorrectly, the confidentiality
          and integrity of information can also be violated. A particularly important
          special case of incorrect use is incorrect administration. Errors in the
          installation, configuration, maintenance and care of hardware or software
          components can result in serious damage. For example, rights that are granted
          too generously, passwords that are easy to guess, insufficiently protected
          data storage devices with backup copies or terminals that are not locked
          during temporary absence can lead to security incidents. Likewise, incorrect
          use of IT systems or applications can also lead to data being accidentally
          deleted or changed. This could also lead to confidential information becoming
          public, for example if access rights are set incorrectly. If power or mains
          cables are laid unprotected, they can be accidentally damaged,

          which can cause connections to fail. Device connection cables can be ripped
          out if

          employees or visitors trip over them.'
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.32
    ref_id: G0.32
    name: 'Missbrauch von Berechtigungen '
    description: "Abh\xE4ngig von ihren Rollen und Aufgaben erhalten Personen entsprechende\
      \ Zutritts-, Zugangs- und\nZugriffsberechtigungen. Auf diese Weise soll einerseits\
      \ der Zugang zu Informationen gesteuert und\nkontrolliert werden, und andererseits\
      \ soll es den Personen erm\xF6glicht werden, bestimmte Aufgaben zu\nerledigen.\
      \ Beispielsweise ben\xF6tigen Personen oder Gruppen bestimmte Berechtigungen,\
      \ um Anwendungen\nausf\xFChren zu k\xF6nnen oder Informationen bearbeiten zu\
      \ k\xF6nnen.\nEine missbr\xE4uchliche Nutzung von Berechtigungen liegt vor,\
      \ wenn vors\xE4tzlich recht- oder unrechtm\xE4\xDFig\nerworbene M\xF6glichkeiten\
      \ au\xDFerhalb des vorgesehenen Rahmens genutzt werden. Ziel dabei ist h\xE4\
      ufig, sich\npers\xF6nliche Vorteile zu verschaffen oder einer Institution oder\
      \ bestimmten Personen zu schaden.\nIn nicht wenigen F\xE4llen verf\xFCgen Personen\
      \ aus historischen, systemtechnischen oder anderen Gr\xFCnden \xFCber\nh\xF6\
      here oder umfangreichere Zutritts-, Zugangs- oder Zugriffsrechte, als sie f\xFC\
      r ihre T\xE4tigkeit ben\xF6tigen.\nDiese Rechte k\xF6nnen unter Umst\xE4nden\
      \ f\xFCr Angriffe missbraucht werden.\nBeispiele:\n\u2022 Je feingranularer\
      \ die Zugriffsrechte auf Informationen gestaltet werden, desto gr\xF6\xDFer\
      \ ist oft auch der\nPflegeaufwand, um diese Berechtigungen auf dem aktuellen\
      \ Stand zu halten. Es besteht deshalb die\nGefahr, dass bei der Vergabe der\
      \ Zugriffsrechte zu wenig zwischen den unterschiedlichen Rollen\ndifferenziert\
      \ wird und dadurch der Missbrauch der Berechtigungen erleichtert wird.\n\u2022\
      \ Bei verschiedenen Anwendungen werden Zugriffsberechtigungen oder Passw\xF6\
      rter in Systembereichen\ngespeichert, auf die auch andere Benutzer zugreifen\
      \ k\xF6nnen. Dadurch k\xF6nnten Angreifer die\nBerechtigungen \xE4ndern oder\
      \ Passw\xF6rter auslesen.\n\u2022 Personen mit zu gro\xDFz\xFCgig vergebenen\
      \ Berechtigungen k\xF6nnten versucht sein, auf fremde Dateien\nzuzugreifen,\
      \ beispielsweise eine fremde E-Mail einzusehen, weil bestimmte Informationen\
      \ dringend\nben\xF6tigt werden."
    translations:
      en:
        name: 'Misuse of authorizations '
        description: "Depending on their roles and tasks, people are given appropriate\
          \ access, entry and access authorizations. On the one hand, this is intended\
          \ to control and monitor access to information, and on the other hand, it\
          \ is intended to enable people to complete certain tasks. For example, people\
          \ or groups need certain authorizations to be able to run applications or\
          \ edit information.\nMisuse of authorizations occurs when opportunities\
          \ acquired legally or illegally are intentionally used outside the intended\
          \ framework. The aim is often to gain personal advantages or to harm an\
          \ institution or certain people.\nIn quite a few cases, people have higher\
          \ or more extensive access, entry or access rights than they need for their\
          \ work for historical, system-related or other reasons.\nThese rights can\
          \ be misused for attacks under certain circumstances.\nExamples:\n\u2022\
          \ The more finely granular the access rights to information are, the greater\
          \ the maintenance effort is often to keep these authorizations up to date.\
          \ There is therefore a risk that too little differentiation is made between\
          \ the different roles when granting access rights, making it easier to misuse\
          \ the permissions. \n\u2022 In various applications, access permissions\
          \ or passwords are stored in system areas that other users can also access.\
          \ This could allow attackers to change the permissions or read out passwords.\
          \ \n\u2022 People with permissions that are granted too generously could\
          \ be tempted to access other people's files, for example to view someone\
          \ else's email, because certain information is urgently needed."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.33
    ref_id: G0.33
    name: Personalausfall
    description: "Der Ausfall von Personal kann erhebliche Auswirkungen auf eine Institution\
      \ und deren Gesch\xE4ftsprozesse\nhaben. Personal kann beispielsweise durch\
      \ Krankheit, Unfall, Tod oder Streik unvorhergesehen ausfallen.\nDes weiteren\
      \ ist auch der vorhersagbare Personalausfall bei Urlaub, Fortbildung oder einer\
      \ regul\xE4ren\nBeendigung des Arbeitsverh\xE4ltnisses zu ber\xFCcksichtigen,\
      \ insbesondere wenn die Restarbeitszeit z.B. durch\neinen Urlaubsanspruch verk\xFC\
      rzt wird. Ein Personalausfall kann auch durch einen internen Wechsel des\nArbeitsplatzes\
      \ verursacht werden.\nBeispiele:\n\u2022 Aufgrund l\xE4ngerer Krankheit blieb\
      \ der Netzadministrator einer Firma vom Dienst fern. In der\nbetroffenen Firma\
      \ lief das Netz zun\xE4chst fehlerfrei weiter. Nach zwei Wochen jedoch war nach\
      \ einem\nSystemabsturz niemand in der Lage, den Fehler zu beheben, da es nur\
      \ diesen in den Netzbetrieb\neingearbeiteten Administrator gab. Dies f\xFChrte\
      \ zu einem Ausfall des Netzes \xFCber mehrere Tage.\n\u2022 W\xE4hrend des Urlaubs\
      \ eines Administrators musste in einer Institution auf die Backup-Medien im\n\
      Datensicherungstresor zur\xFCckgegriffen werden. Der Zugangscode zum Tresor\
      \ wurde erst kurz zuvor\nge\xE4ndert und war nur diesem Administrator bekannt.\
      \ Erst nach mehreren Tagen konnte die\nDatenrestaurierung durchgef\xFChrt werden,\
      \ da der Administrator nicht eher im Urlaub erreichbar war.\n\u2022 Im Falle\
      \ eine Pandemie f\xE4llt nach und nach l\xE4ngerfristig immer mehr Personal\
      \ aus, sei es durch die\nKrankheit selbst, durch die notwendige Pflege von Angeh\xF6\
      rigen oder durch die Betreuung von Kindern.\nAuch aus Angst vor Ansteckung in\
      \ \xF6ffentlichen Verkehrsmitteln oder in der Institution bleiben einige\nMitarbeiter\
      \ vom Dienst fern. Als Folge k\xF6nnen nur noch die notwendigsten Arbeiten erledigt\
      \ werden. Die\nerforderliche Wartung der Systeme, sei es der zentrale Server\
      \ oder die Klimaanlage im Rechenzentrum,\nist nicht mehr zu leisten. Nach und\
      \ nach fallen dadurch immer mehr Systeme aus."
    translations:
      en:
        name: Personnel shortage
        description: "The loss of staff can have a significant impact on an institution\
          \ and its business processes. Staff can be unavailable unexpectedly due\
          \ to illness, accident, death or strike, for example.\nFurthermore, the\
          \ predictable loss of staff due to vacation, training or a regular termination\
          \ of employment must also be taken into account, especially if the remaining\
          \ working hours are reduced, for example, by a vacation entitlement. A loss\
          \ of staff can also be caused by an internal change of workplace.\nExamples:\n\
          \u2022 Due to a long illness, a company's network administrator was absent\
          \ from work. In the company in question, the network initially continued\
          \ to run without errors. After two weeks, however, after a system crash,\
          \ no one was able to fix the error, as there was only this administrator\
          \ trained in network operations. This led to the network being out of action\
          \ for several days.\n\u2022 While an administrator was on vacation, an institution\
          \ had to resort to the backup media in the data backup safe. The access\
          \ code to the safe had only been changed shortly before and was only known\
          \ to this administrator. The data restoration could only be carried out\
          \ after several days, as the administrator was on vacation and could not\
          \ be reached earlier.\n\u2022 In the event of a pandemic, more and more\
          \ staff are gradually absent for longer periods of time, whether due to\
          \ the illness itself, the necessary care of relatives or childcare.\nSome\
          \ employees also stay away from work out of fear of infection on public\
          \ transport or in the institution. As a result, only the most necessary\
          \ work can be done. The necessary maintenance of the systems, be it the\
          \ central server or the air conditioning in the data center, can no longer\
          \ be carried out. As a result, more and more systems gradually fail."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.34
    ref_id: G0.34
    name: Anschlag
    description: "Durch einen Anschlag kann eine Institution, bestimmte Bereiche der\
      \ Institution oder einzelne Personen\nbedroht werden. Die technischen M\xF6\
      glichkeiten, einen Anschlag zu ver\xFCben, sind vielf\xE4ltig: geworfene\nZiegelsteine,\
      \ Explosion durch Sprengstoff, Schusswaffengebrauch, Brandstiftung. Ob und in\
      \ welchem\nUmfang eine Institution der Gefahr eines Anschlages ausgesetzt ist,\
      \ h\xE4ngt neben der Lage und dem Umfeld\ndes Geb\xE4udes stark von ihren Aufgaben\
      \ und vom politisch-sozialen Klima ab. Unternehmen und Beh\xF6rden,\ndie in\
      \ politisch kontrovers diskutierten Bereichen agieren, sind st\xE4rker bedroht\
      \ als andere. Institutionen in\nder N\xE4he \xFCblicher Demonstrationsaufmarschgebiete\
      \ sind st\xE4rker gef\xE4hrdet als solche in abgelegenen Orten.\nF\xFCr die\
      \ Einsch\xE4tzung der Gef\xE4hrdung oder bei Verdacht auf Bedrohungen durch\
      \ politisch motivierte\nAnschl\xE4ge k\xF6nnen in Deutschland die Landeskriminal\xE4\
      mter oder das Bundeskriminalamt beratend\nhinzugezogen werden.\nBeispiele:\n\
      \u2022 In den 1980er-Jahren wurde ein Sprengstoffanschlag auf das Rechenzentrum\
      \ einer gro\xDFen\nBundesbeh\xF6rde in K\xF6ln ver\xFCbt. Durch die gro\xDF\
      e Durchschlagskraft des Sprengk\xF6rpers wurden nicht nur\nFenster und W\xE4\
      nde, sondern auch viele IT-Systeme im Rechenzentrum zerst\xF6rt.\n\u2022 Bei\
      \ dem Anschlag auf das World-Trade-Center in New York am 11. September 2001\
      \ wurden nicht nur\nviele Menschen get\xF6tet, sondern es wurden auch zahlreiche\
      \ IT-Einrichtungen zerst\xF6rt. Als Folge hatten\nmehrere Unternehmen erhebliche\
      \ Schwierigkeiten, ihre Gesch\xE4ftst\xE4tigkeiten fortzusetzen."
    translations:
      en:
        name: Assault
        description: "An attack can threaten an institution, certain areas of the\
          \ institution or individual people. There are many technical ways to carry\
          \ out an attack: thrown bricks, explosions caused by explosives, use of\
          \ firearms, arson. Whether and to what extent an institution is exposed\
          \ to the risk of an attack depends on the location and surroundings of the\
          \ building, its tasks and the political and social climate. Companies and\
          \ authorities that operate in politically controversial areas are more at\
          \ risk than others. Institutions near usual demonstration areas are more\
          \ at risk than those in remote locations. In Germany, the state criminal\
          \ police offices or the Federal Criminal Police Office can be consulted\
          \ to assess the risk or if there is a suspicion of threats from politically\
          \ motivated attacks. \nExamples: \n\u2022 In the 1980s, a bomb attack was\
          \ carried out on the data center of a large federal authority in Cologne.\
          \ The explosive's great penetrating power destroyed not only windows and\
          \ walls, but also many IT systems in the data center. \n\u2022 The attack\
          \ on the World Trade Center in New York on September 11, 2001 not only killed\
          \ many people, but also destroyed numerous IT facilities. As a result, several\
          \ companies had considerable difficulty continuing their business activities."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.35
    ref_id: G0.35
    name: "N\xF6tigung, Erpressung oder Korruption"
    description: "N\xF6tigung, Erpressung oder Korruption k\xF6nnen dazu f\xFChren,\
      \ dass die Sicherheit von Informationen oder\nGesch\xE4ftsprozessen beeintr\xE4\
      chtigt wird. Durch Androhung von Gewalt oder anderen Nachteilen kann ein\nAngreifer\
      \ beispielsweise versuchen, das Opfer zur Missachtung von Sicherheitsrichtlinien\
      \ oder zur\nUmgehung von Sicherheitsma\xDFnahmen zu bringen (N\xF6tigung).\n\
      Anstatt zu drohen, k\xF6nnen Angreifer auch gezielt Geld oder andere Vorteile\
      \ anbieten, um Mitarbeiter oder\nandere Personen zum Instrument f\xFCr Sicherheitsverletzungen\
      \ zu machen (Korruption). Beispielsweise\nbesteht die Gefahr, dass ein bestechlicher\
      \ Mitarbeiter vertrauliche Dokumente an Unbefugte weiterleitet.\nDurch N\xF6\
      tigung oder Korruption k\xF6nnen grunds\xE4tzlich alle Grundwerte der Informationssicherheit\n\
      beeintr\xE4chtigt werden. Angriffe k\xF6nnen unter anderem darauf abzielen,\
      \ vertrauliche Informationen an\nUnbefugte zu leiten, gesch\xE4ftskritische\
      \ Informationen zu manipulieren oder den reibungslosen Ablauf von\nGesch\xE4\
      ftsprozessen zu st\xF6ren.\nBesondere Gefahr besteht, wenn sich solche Angriffe\
      \ gegen hochrangige F\xFChrungskr\xE4fte oder Personen in\nbesonderen Vertrauensstellungen\
      \ richten."
    translations:
      en:
        name: Coercion, blackmail or corruption
        description: "Coercion, blackmail or corruption can lead to the security of\
          \ information or business processes being compromised. For example, by threatening\
          \ violence or other disadvantages, an attacker can try to get the victim\
          \ to disregard security guidelines or to circumvent security measures (coercion).\
          \ Instead of threatening, attackers can also deliberately offer money or\
          \ other benefits in order to make employees or other people the instrument\
          \ for security breaches (corruption). For example, there is a risk that\
          \ a bribed employee will pass on confidential documents to unauthorized\
          \ persons. Coercion or corruption can fundamentally compromise all basic\
          \ values \u200B\u200Bof information security. Attacks can aim, among other\
          \ things, to pass on confidential information to unauthorized persons, to\
          \ manipulate business-critical information or to disrupt the smooth running\
          \ of business processes. There is a particular risk when such attacks are\
          \ directed against high-ranking managers or people in particularly trusted\
          \ positions."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.36
    ref_id: G0.36
    name: "Identit\xE4tsdiebstahl "
    description: "Beim Identit\xE4tsdiebstahl t\xE4uscht ein Angreifer eine falsche\
      \ Identit\xE4t vor, er benutzt also Informationen \xFCber\neine andere Person,\
      \ um in deren Namen aufzutreten. Hierf\xFCr werden Daten wie beispielsweise\n\
      Geburtsdatum, Anschrift, Kreditkarten- oder Kontonummern benutzt, um sich beispielsweise\
      \ auf fremde\nKosten bei einem Internet-Dienstleister anzumelden oder sich auf\
      \ andere Weise zu bereichern.\nIdentit\xE4tsdiebstahl f\xFChrt h\xE4ufig auch\
      \ direkt oder indirekt zur Rufsch\xE4digung, aber verursacht auch einen\nhohen\
      \ Zeitaufwand, um die Ursachen aufzukl\xE4ren und negative Folgen f\xFCr die\
      \ Betroffenen abzuwenden.\nEinige Formen des Identit\xE4tsbetrugs werden auch\
      \ als Maskerade bezeichnet.\nIdentit\xE4tsdiebstahl tritt besonders dort h\xE4\
      ufig auf, wo die Identit\xE4tspr\xFCfung zu nachl\xE4ssig gehandhabt wird,\n\
      vor allem, wenn hierauf teure Dienstleistungen basieren.\nEine Person, die \xFC\
      ber die Identit\xE4t seines Kommunikationspartners get\xE4uscht wurde, kann\
      \ leicht dazu\ngebracht werden, schutzbed\xFCrftige Informationen zu offenbaren.\n\
      Beispiele:\n\u2022 Bei verschiedenen E-Mail-Providern und Auktionsplattformen\
      \ im Internet reichte es zur Anmeldung\nanfangs, sich einen Phantasienamen auszudenken\
      \ und diesen mit einer passenden Adresse aus dem\nTelefonbuch zu unterlegen.\
      \ Zun\xE4chst konnten sich Angreifer auch unter erkennbar ausgedachten\nNamen\
      \ anmelden, beispielsweise von Comicfiguren. Als dann sch\xE4rfere Plausibilit\xE4\
      tstests eingef\xFChrt\nwurden, sind hierf\xFCr auch Namen, Adressen und Kontonummern\
      \ von echten Personen verwendet\nworden. Die Betroffenen haben hiervon erst\
      \ erfahren, als die ersten Zahlungsaufforderungen bei ihnen\neintrafen.\n\u2022\
      \ Die Absender-Adressen von E-Mails lassen sich leicht f\xE4lschen. Es passiert\
      \ immer wieder, dass\nAnwendern auf diese Weise vorget\xE4uscht wird, dass eine\
      \ E-Mail von einem vertrauensw\xFCrdigen\nKommunikationspartner stammt. \xC4\
      hnliche Angriffe sind durch die Manipulation der\nRufnummernanzeige bei Sprachverbindungen\
      \ oder durch die Manipulation der Absenderkennung bei\nFaxverbindungen m\xF6\
      glich.\n\u2022 Ein Angreifer kann durch eine Maskerade versuchen, sich in eine\
      \ bereits bestehende Verbindung\neinzuh\xE4ngen, ohne sich selber authentisieren\
      \ zu m\xFCssen, da dieser Schritt bereits von den origin\xE4ren\nKommunikationsteilnehmern\
      \ durchlaufen wurde."
    translations:
      en:
        name: 'Identity theft '
        description: "In identity theft, an attacker fakes a false identity, i.e.\
          \ he uses information about another person to act in their name. Data such\
          \ as birth date, address, credit card or account numbers are used to register\
          \ with an Internet service provider at someone else's expense or to enrich\
          \ themselves in other ways. Identity theft often leads directly or indirectly\
          \ to reputational damage, but also requires a lot of time to clarify the\
          \ causes and avert negative consequences for those affected. Some forms\
          \ of identity fraud are also known as masquerade. Identity theft is particularly\
          \ common where identity verification is handled too carelessly, especially\
          \ when expensive services are based on it. A person who has been deceived\
          \ about the identity of their communication partner can easily be persuaded\
          \ to reveal information that needs to be protected. \nExamples:\n\u2022\
          \ At various email providers and auction platforms on the Internet, it was\
          \ initially enough to register by thinking up a fictitious name and then\
          \ using a suitable address from the phone book. At first, attackers could\
          \ also register using clearly fictitious names, such as those of comic characters.\
          \ When stricter plausibility tests were introduced, names, addresses and\
          \ account numbers of real people were also used. Those affected only found\
          \ out about this when they received the first payment requests.\n\u2022\
          \ The sender addresses of emails can be easily forged. It happens again\
          \ and again that users are tricked into thinking that an email comes from\
          \ a trustworthy communication partner. Similar attacks are possible by manipulating\
          \ the phone number display for voice calls or by manipulating the sender\
          \ ID for fax calls. \n\u2022 An attacker can use a masquerade to try to\
          \ join an existing connection\nwithout having to authenticate himself, since\
          \ this step has already been completed by the original communication participants."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.37
    ref_id: G0.37
    name: 'Abstreiten von Handlungen '
    description: "Personen k\xF6nnen aus verschiedenen Gr\xFCnden abstreiten, bestimmte\
      \ Handlungen begangen zu haben,\nbeispielsweise weil diese Handlungen gegen\
      \ Anweisungen, Sicherheitsvorgaben oder sogar Gesetze\nversto\xDFen. Sie k\xF6\
      nnten aber auch leugnen, eine Benachrichtigung erhalten zu haben, zum Beispiel\
      \ weil sie\neinen Termin vergessen haben. Im Bereich der Informationssicherheit\
      \ wird daher h\xE4ufig die Verbindlichkeit\nhervorgehoben, eine Eigenschaft,\
      \ \xFCber die sichergestellt werden soll, dass erfolgte Handlungen nicht\nunberechtigt\
      \ abgestritten werden k\xF6nnen. Im englischen Sprachraum wird daf\xFCr der\
      \ Begriff Non-\nRepudiation (Nichtabstreitbarkeit) verwendet.\nBei Kommunikation\
      \ wird zus\xE4tzlich unterschieden, ob ein Kommunikationsteilnehmer den\nNachrichtenempfang\
      \ ableugnet (Repudiation of Receipt) oder den Versand (Repudiation of Origin).\
      \ Den\nNachrichtenempfang abzuleugnen kann unter anderem bei finanziellen Transaktionen\
      \ von Bedeutung sein,\nz.B. wenn jemand bestreitet, eine Rechnung fristgem\xE4\
      \xDF erhalten zu haben. Ebenso kann es passieren, dass ein\nKommunikationsteilnehmer\
      \ den Nachrichtenversand ableugnet, z.B. also eine get\xE4tigte Bestellung abstreitet.\n\
      Nachrichtenversand oder -empfang kann beim Postversand ebenso abgeleugnet werden\
      \ wie bei Fax- oder E-\nMail-Nutzung.\nBeispiel:\n\u2022 Ein dringend ben\xF6\
      tigtes Ersatzteil wird elektronisch bestellt. Nach einer Woche wird das Fehlen\n\
      reklamiert, inzwischen sind durch den Produktionsausfall hohe Kosten entstanden.\
      \ Der Lieferant\nleugnet, je eine Bestellung erhalten zu haben."
    translations:
      en:
        name: 'Denial of actions '
        description: "People can deny having committed certain actions for various\
          \ reasons, for example because these actions violate instructions, security\
          \ requirements or even laws. They could also deny having received a notification,\
          \ for example because they forgot an appointment. In the area of \u200B\u200B\
          information security, therefore, bindingness is often emphasized, a property\
          \ that is intended to ensure that actions that have taken place cannot be\
          \ denied without justification. In English-speaking countries, the term\
          \ non-repudiation is used for this. In communication, a distinction is also\
          \ made as to whether a communication participant denies receipt of the message\
          \ (repudiation of receipt) or sending it (repudiation of origin). Denying\
          \ receipt of the message can be important in financial transactions, for\
          \ example if someone denies having received an invoice on time. It can also\
          \ happen that a communication participant denies sending the message, e.g.\
          \ denies an order that has been placed. Sending or receiving messages can\
          \ be denied when sending by post, just as it can be denied when using fax\
          \ or email.\nExample:\n\u2022 An urgently needed spare part is ordered electronically.\
          \ After a week, the missing part is complained about, and in the meantime\
          \ high costs have been incurred due to the loss of production. The supplier\
          \ denies ever having received an order."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.38
    ref_id: G0.38
    name: 'Missbrauch personenbezogener Daten '
    description: "Personenbezogene Daten sind fast immer besonders sch\xFCtzenswerte\
      \ Informationen. Typische Beispiele sind\nAngaben \xFCber pers\xF6nliche oder\
      \ sachliche Verh\xE4ltnisse einer bestimmten oder bestimmbaren nat\xFCrlichen\n\
      Person. Wenn der Schutz personenbezogener Daten nicht ausreichend gew\xE4hrleistet\
      \ ist, besteht die Gefahr,\ndass der Betroffene in seiner gesellschaftlichen\
      \ Stellung oder in seinen wirtschaftlichen Verh\xE4ltnissen\nbeeintr\xE4chtigt\
      \ wird.\nEin Missbrauch personenbezogener Daten kann beispielsweise vorliegen,\
      \ wenn eine Institution zu viele\npersonenbezogene Daten sammelt, sie ohne Rechtsgrundlage\
      \ oder Einwilligung erhoben hat, sie zu einem\nanderen als dem bei der Erhebung\
      \ zul\xE4ssigen Zweck nutzt, personenbezogene Daten zu sp\xE4t l\xF6scht oder\n\
      unberechtigt weitergibt.\nBeispiele:\n\u2022 Personenbezogene Daten d\xFCrfen\
      \ nur f\xFCr den Zweck verarbeitet werden, f\xFCr den sie erhoben oder\nerstmals\
      \ gespeichert worden sind. Es ist daher unzul\xE4ssig, Protokolldateien, in\
      \ denen die An- und\nAbmeldung von Benutzern an IT-Systemen ausschlie\xDFlich\
      \ f\xFCr die Zugriffskontrolle festgehalten werden,\nzur Anwesenheits- und Verhaltenskontrolle\
      \ zu nutzen.\n\u2022 Personen, die Zugriff auf personenbezogene Daten haben,\
      \ k\xF6nnten diese unbefugt weitergeben.\nBeispielsweise k\xF6nnte ein Mitarbeiter\
      \ am Empfang eines Hotels die Anmeldedaten von G\xE4sten an\nWerbefirmen verkaufen."
    translations:
      en:
        name: 'Misuse of personal data '
        description: "Personal data is almost always information that is particularly\
          \ worthy of protection. Typical examples are\ninformation about the personal\
          \ or factual circumstances of a specific or identifiable natural person.\
          \ If the protection of personal data is not adequately guaranteed, there\
          \ is a risk that the person concerned will be affected in their social position\
          \ or economic circumstances.\nMisuse of personal data can occur, for example,\
          \ if an institution collects too much personal data, has collected it without\
          \ legal basis or consent, uses it for a purpose other than that permitted\
          \ when it was collected, deletes personal data too late or passes it on\
          \ without authorization.\nExamples:\n\u2022 Personal data may only be processed\
          \ for the purpose for which it was collected or\nfirst stored. It is therefore\
          \ not permitted to use log files in which the login and logout of users\
          \ on IT systems is recorded exclusively for access control to monitor attendance\
          \ and behavior.\n\u2022 People who have access to personal data could pass\
          \ it on without authorization.\nFor example, a hotel receptionist might\
          \ sell guests\u2019 login information to advertising companies."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.39
    ref_id: G0.39
    name: Schadprogramme
    description: "Ein Schadprogramm ist eine Software, die mit dem Ziel entwickelt\
      \ wurde, unerw\xFCnschte und meistens\nsch\xE4dliche Funktionen auszuf\xFChren.\
      \ Zu den typischen Arten von Schadprogrammen geh\xF6ren unter anderem\nViren,\
      \ W\xFCrmer und Trojanische Pferde. Schadprogramme werden meist heimlich, ohne\
      \ Wissen und\nEinwilligung des Benutzers aktiv.\nSchadprogramme bieten heutzutage\
      \ einem Angreifer umfangreiche Kommunikations- und\nSteuerungsm\xF6glichkeiten\
      \ und besitzen eine Vielzahl von Funktionen. Unter anderem k\xF6nnen\nSchadprogramme\
      \ gezielt Passw\xF6rter ausforschen, Systeme fernsteuern, Schutzsoftware deaktivieren\
      \ und\nDaten ausspionieren.\nAls Schaden ist hier insbesondere der Verlust oder\
      \ die Verf\xE4lschung von Informationen oder Anwendungen\nvon gr\xF6\xDFter\
      \ Tragweite. Aber auch der Imageverlust und der finanzielle Schaden, der durch\
      \ Schadprogramme\nentstehen kann, sind von gro\xDFer Bedeutung.\nBeispiele:\n\
      \u2022 In der Vergangenheit verbreitete sich das Schadprogramm W32/Bugbear auf\
      \ zwei Wegen: Es suchte in\nlokalen Netzen nach Computern mit Freigaben, auf\
      \ die schreibender Zugriff m\xF6glich war, und kopierte\nsich darauf. Zudem\
      \ schickte es sich selbst als HTML-E-Mail an Empf\xE4nger im E-Mail-Adressbuch\
      \ von\nbefallenen Computern. Durch einen Fehler in der HTML-Routine bestimmter\
      \ E-Mail-Programme wurde\ndas Schadprogramm dort beim \xD6ffnen der Nachricht\
      \ ohne weiteres Zutun des Empf\xE4ngers ausgef\xFChrt.\n\u2022 Das Schadprogramm\
      \ W32/Klez verbreitete sich in verschiedenen Varianten. Befallene Computer\n\
      schickten den Virus an alle Empf\xE4nger im E-Mail-Adressbuch des Computers.\
      \ Hatte dieser Virus einen\nComputer befallen, verhinderte er durch fortlaufende\
      \ Manipulationen am Betriebssystem die\nInstallation von Viren-Schutzprogrammen\
      \ verbreiteter Hersteller und erschwerte so die Desinfektion\nder befallenen\
      \ Computer erheblich."
    translations:
      en:
        name: Malicious programs
        description: "A malicious program is software that was developed with the\
          \ aim of carrying out undesirable and usually harmful functions. Typical\
          \ types of malicious programs include viruses, worms and Trojan horses.\
          \ Malware is usually active secretly, without the user's knowledge or consent.\
          \ Nowadays, malicious programs offer attackers extensive communication and\
          \ control options and have a variety of functions. Among other things, malicious\
          \ programs can specifically research passwords, remotely control systems,\
          \ deactivate protection software and spy on data. The most significant damage\
          \ here is the loss or falsification of information or applications. But\
          \ the loss of reputation and the financial damage that can be caused by\
          \ malicious programs are also of great importance. \nExamples: \n\u2022\
          \ In the past, the malicious program W32/Bugbear spread in two ways: It\
          \ searched local networks for computers with shares to which write access\
          \ was possible and copied itself onto them. It also sent itself as an HTML\
          \ email to recipients in the email address book of infected computers. Due\
          \ to an error in the HTML routine of certain email programs, the malware\
          \ was executed when the message was opened without the recipient having\
          \ to do anything else. \n\u2022 The W32/Klez malware spread in various variants.\
          \ Infected computers sent the virus to all recipients in the computer's\
          \ email address book. Once this virus had infected a computer, it prevented\
          \ the installation of virus protection programs from popular manufacturers\
          \ by continually manipulating the operating system, thus making it much\
          \ more difficult to disinfect the infected computers."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.40
    ref_id: G0.40
    name: Verhinderung von Diensten (Denial of Service)
    description: "Es gibt eine Vielzahl verschiedener Angriffsformen, die darauf abzielen,\
      \ die vorgesehene Nutzung\nbestimmter Dienstleistungen, Funktionen oder Ger\xE4\
      te zu verhindern. Der Oberbegriff f\xFCr solche Angriffe ist\n\"Verhinderung\
      \ von Diensten\" (englisch: \"Denial of Service\"). H\xE4ufig wird auch die\
      \ Bezeichnung \"DoS-\nAngriff\" verwendet.\nSolche Angriffe k\xF6nnen unter\
      \ anderem von ver\xE4rgerten Mitarbeitern oder Kunden, aber auch von\nMitbewerbern,\
      \ Erpressern oder politisch motivierten T\xE4tern ausgehen. Das Ziel der Angriffe\
      \ k\xF6nnen\ngesch\xE4ftsrelevante Werte aller Art sein. Typische Auspr\xE4\
      gungen von DoS-Angriffen sind\n\u2022 St\xF6rungen von Gesch\xE4ftsprozessen,\
      \ z.B. durch \xDCberflutung der Auftragsannahme mit fehlerhaften\nBestellungen,\n\
      \u2022 Beeintr\xE4chtigungen der Infrastruktur, z.B. durch Blockieren der T\xFC\
      ren der Institution,\n\u2022 Herbeif\xFChren von IT-Ausf\xE4llen, indem z.B.\
      \ Dienste eines Servers im Netz gezielt \xFCberlastet werden.\nDiese Art von\
      \ Angriffen steht h\xE4ufig im Zusammenhang mit verteilten Ressourcen, indem\
      \ ein Angreifer\ndiese Ressourcen so stark in Anspruch nimmt, dass sie den eigentlichen\
      \ Nutzern nicht mehr zur Verf\xFCgung\nstehen. Bei IT-basierten Angriffen k\xF6\
      nnen z.B. die folgenden Ressourcen k\xFCnstlich verknappt werden:\nProzesse,\
      \ CPU-Zeit, Arbeitsspeicher, Plattenplatz, \xDCbertragungskapazit\xE4t.\nBeispiel:\n\
      \u2022 Im Fr\xFChjahr 2007 fanden \xFCber einen l\xE4ngeren Zeitraum starke\
      \ DoS-Angriffe auf zahlreiche Internet-\nAngebote in Estland statt. Dadurch\
      \ kam es in Estland zu erheblichen Beeintr\xE4chtigungen bei der Nutzung\nvon\
      \ Informationsangeboten und Dienstleistungen im Internet."
    translations:
      en:
        name: Denial of service
        description: "There are a variety of different forms of attack that aim to\
          \ prevent the intended use of certain services, functions or devices. The\
          \ general term for such attacks is \"denial of service\". The term \"DoS\
          \ attack\" is also often used. Such attacks can come from disgruntled employees\
          \ or customers, but also from competitors, blackmailers or politically motivated\
          \ perpetrators. The target of the attacks can be all kinds of business-relevant\
          \ values. Typical forms of DoS attacks are: Disruptions to business processes,\
          \ e.g. by flooding the order acceptance with incorrect orders, Impairments\
          \ to the infrastructure, e.g. by blocking the doors of the institution,\
          \ Causing IT failures, e.g. by deliberately overloading the services of\
          \ a server in the network. This type of attack is often associated with\
          \ distributed resources, in which an attacker\nuses these resources to such\
          \ an extent that they are no longer available to the actual users. In IT-based\
          \ attacks, for example, the following resources can be artificially restricted:\n\
          processes, CPU time, RAM, disk space, transmission capacity.\nExample:\n\
          \u2022 In spring 2007, strong DoS attacks took place over a long period\
          \ on numerous Internet offerings in Estonia. This led to considerable disruptions\
          \ in the use of information offerings and services on the Internet in Estonia."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.41
    ref_id: G0.41
    name: 'Sabotage '
    description: "Sabotage bezeichnet die mutwillige Manipulation oder Besch\xE4digung\
      \ von Sachen oder Prozessen mit dem\nZiel, dem Opfer dadurch Schaden zuzuf\xFC\
      gen. Besonders attraktive Ziele k\xF6nnen Rechenzentren oder\nKommunikationsanbindungen\
      \ von Beh\xF6rden bzw. Unternehmen sein, da hier mit relativ geringen Mitteln\n\
      eine gro\xDFe Wirkung erzielt werden kann.\nDie komplexe Infrastruktur eines\
      \ Rechenzentrums kann durch gezielte Beeinflussung wichtiger\nKomponenten, gegebenenfalls\
      \ durch T\xE4ter von au\xDFen, vor allem aber durch Innent\xE4ter, punktuell\n\
      manipuliert werden, um Betriebsst\xF6rungen hervorzurufen. Besonders bedroht\
      \ sind hierbei nicht\nausreichend gesch\xFCtzte geb\xE4udetechnische oder kommunikationstechnische\
      \ Infrastruktur sowie zentrale\nVersorgungspunkte, die organisatorisch oder\
      \ technisch gegebenenfalls auch nicht \xFCberwacht werden und f\xFCr\nExterne\
      \ leicht und unbeobachtet zug\xE4nglich sind.\nBeispiele:\n\u2022 In einem gro\xDF\
      en Rechenzentrum f\xFChrte die Manipulation an der USV zu einem vor\xFCbergehenden\n\
      Totalausfall. Der T\xE4ter hatte wiederholt die USV von Hand auf Bypass geschaltet\
      \ und dann die\nHauptstromversorgung des Geb\xE4udes manipuliert. Insgesamt\
      \ fanden in drei Jahren vier Ausf\xE4lle statt.\nTeilweise kam es sogar zu Hardware-Sch\xE4\
      den. Die Betriebsunterbrechungen dauerten zwischen 40 und\n130 Minuten.\n\u2022\
      \ Innerhalb eines Rechenzentrums waren auch sanit\xE4re Einrichtungen untergebracht.\
      \ Durch Verstopfen\nder Abfl\xFCsse und gleichzeitiges \xD6ffnen der Wasserzufuhr\
      \ drang Wasser in zentrale Technikkomponenten\nein. Die auf diese Weise verursachten\
      \ Sch\xE4den f\xFChrten zu Betriebsunterbrechungen des\nProduktivsystems.\n\u2022\
      \ F\xFCr elektronische Archive stellt Sabotage ein besonderes Risiko dar, da\
      \ hier meist auf kleinem Raum viele\nsch\xFCtzenswerte Dokumente verwahrt werden.\
      \ Dadurch kann unter Umst\xE4nden durch gezielte, wenig\naufwendige Manipulationen\
      \ ein gro\xDFer Schaden verursacht werden."
    translations:
      en:
        name: 'Sabotage '
        description: "Sabotage refers to the deliberate manipulation or damage of\
          \ objects or processes with the aim of harming the victim. Data centers\
          \ or communication connections of authorities or companies can be particularly\
          \ attractive targets, as a large effect can be achieved here with relatively\
          \ little means. The complex infrastructure of a data center can be manipulated\
          \ selectively by specifically influencing important components, possibly\
          \ by perpetrators from outside, but above all by internal perpetrators,\
          \ in order to cause operational disruptions. Particularly at risk here are\
          \ insufficiently protected building technology or communication technology\
          \ infrastructure as well as central supply points that may not be monitored\
          \ organizationally or technically and are easily accessible to outsiders\
          \ without being observed. \nExamples: \n\u2022 In a large data center, manipulation\
          \ of the UPS led to a temporary total failure. The perpetrator had repeatedly\
          \ switched the UPS to bypass by hand and then manipulated the building's\
          \ main power supply. A total of four failures occurred in three years. In\
          \ some cases, hardware damage even occurred. The interruptions in operations\
          \ lasted between 40 and 130 minutes.\n\u2022 Sanitary facilities were also\
          \ located within a data center. By blocking the drains and simultaneously\
          \ opening the water supply, water penetrated central technical components.\
          \ The damage caused in this way led to interruptions in the production system.\n\
          \u2022 Sabotage poses a particular risk for electronic archives, as many\
          \ sensitive documents are usually stored in a small space. This means that,\
          \ under certain circumstances, targeted, inexpensive manipulation can cause\
          \ major damage."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.42
    ref_id: G0.42
    name: 'Social Engineering '
    description: "Social Engineering ist eine Methode, um unberechtigten Zugang zu\
      \ Informationen oder IT-Systemen durch\nsoziale Handlungen zu erlangen. Beim\
      \ Social Engineering werden menschliche Eigenschaften wie z.B.\nHilfsbereitschaft,\
      \ Vertrauen, Angst oder Respekt vor Autorit\xE4t ausgenutzt. Dadurch k\xF6nnen\
      \ Mitarbeiter so\nmanipuliert werden, dass sie unzul\xE4ssig handeln. Ein typischer\
      \ Fall von Angriffen mit Hilfe von Social\nEngineering ist das Manipulieren\
      \ von Mitarbeitern per Telefonanruf, bei dem sich der Angreifer z.B. ausgibt\n\
      als:\n\u2022 Vorzimmerkraft, deren Vorgesetzter schnell noch etwas erledigen\
      \ will, aber sein Passwort vergessen hat\nund es jetzt dringend braucht,\n\u2022\
      \ Administrator, der wegen eines Systemfehlers anruft, da er zur Fehlerbehebung\
      \ noch das Passwort des\nBenutzers ben\xF6tigt.\nWenn kritische R\xFCckfragen\
      \ kommen, ist der Neugierige angeblich \"nur eine Aushilfe\" oder eine \"wichtige\"\
      \nPers\xF6nlichkeit.\nEine weitere Strategie beim systematischen Social Engineering\
      \ ist der Aufbau einer l\xE4ngeren Beziehung zum\nOpfer. Durch viele unwichtige\
      \ Telefonate im Vorfeld kann der Angreifer Wissen sammeln und Vertrauen\naufbauen,\
      \ das er sp\xE4ter ausnutzen kann.\nSolche Angriffe k\xF6nnen auch mehrstufig\
      \ sein, indem in weiteren Schritten auf Wissen und Techniken\naufgebaut wird,\
      \ die in vorhergehenden Stufen erworben wurden.\nViele Anwender wissen, dass\
      \ sie Passw\xF6rter an niemanden weitergeben d\xFCrfen. Social Engineers wissen\
      \ dies\nund m\xFCssen daher \xFCber andere Wege an das gew\xFCnschte Ziel gelangen.\
      \ Beispiele hierf\xFCr sind:\n\u2022 Ein Angreifer kann das Opfer bitten, ihm\
      \ unbekannte Befehle oder Applikationen auszuf\xFChren, z.B. weil\ndies bei\
      \ einem IT-Problem helfen soll. Dies kann eine versteckte Anweisung f\xFCr eine\
      \ \xC4nderung von\nZugriffsrechten sein. So kann der Angreifer an sensible Informationen\
      \ gelangen.\n\u2022 Viele Benutzer verwenden zwar starke Passw\xF6rter, aber\
      \ daf\xFCr werden diese f\xFCr mehrere Konten genutzt.\nWenn ein Angreifer einen\
      \ n\xFCtzlichen Netzdienst (wie ein E-Mail-Adressensystem) betreibt, an dem\
      \ die\nAnwender sich authentisieren m\xFCssen, kann er an die gew\xFCnschten\
      \ Passw\xF6rter und Logins gelangen.\nViele Benutzer werden die Anmeldedaten,\
      \ die sie f\xFCr diesen Dienst benutzen, auch bei anderen Diensten\nverwenden.\n\
      Wenn sich Angreifer unerlaubt Passw\xF6rter oder andere Authentisierungsmerkmale\
      \ verschaffen,\nbeispielsweise mit Hilfe von Social Engineering, wird dies h\xE4\
      ufig auch als \"Phishing\" (Kunstwort aus\n\"Password\" und \"Fishing\") bezeichnet.\n\
      Beim Social Engineering tritt der Angreifer nicht immer sichtbar auf. Oft erf\xE4\
      hrt das Opfer niemals, dass es\nausgenutzt wurde. Ist dies erfolgreich, muss\
      \ der Angreifer nicht mit einer Strafverfolgung rechnen und\nbesitzt au\xDF\
      erdem eine Quelle, um sp\xE4ter an weitere Informationen zu gelangen."
    translations:
      en:
        name: 'Social engineering '
        description: "Social engineering is a method of gaining unauthorized access\
          \ to information or IT systems through social actions. Social engineering\
          \ exploits human characteristics such as helpfulness, trust, fear or respect\
          \ for authority. This allows employees to be manipulated so that they act\
          \ inappropriately. A typical case of attacks using social engineering is\
          \ manipulating employees by telephone call, where the attacker pretends\
          \ to be, for example: \u2022 A receptionist whose boss wants to do something\
          \ quickly but has forgotten his password and now urgently needs it, \u2022\
          \ An administrator who is calling because of a system error because he still\
          \ needs the user's password to fix the problem. If critical questions are\
          \ asked, the curious person is supposedly \"just a temporary worker\" or\
          \ an \"important\" person. Another strategy in systematic social engineering\
          \ is to build a long-term relationship with the victim. By making many unimportant\
          \ phone calls beforehand, the attacker can gather knowledge and build trust\
          \ that he can later exploit.\nSuch attacks can also be multi-stage, with\
          \ further steps building on knowledge and techniques acquired in previous\
          \ stages.\nMany users know that they must not share passwords with anyone.\
          \ Social engineers know this and therefore have to use other means to reach\
          \ their desired goal. Examples of this are:\n\u2022 An attacker can ask\
          \ the victim to execute commands or applications that are unknown to him,\
          \ e.g. because this is supposed to help with an IT problem. This can be\
          \ a hidden instruction to change access rights. This can allow the attacker\
          \ to obtain sensitive information.\n\u2022 Many users use strong passwords,\
          \ but they are used for multiple accounts.\nIf an attacker operates a useful\
          \ network service (such as an email address system) where users have to\
          \ authenticate themselves, he can obtain the desired passwords and logins.\n\
          Many users will use the login information they use for this service for\
          \ other services.\nWhen attackers obtain passwords or other authentication\
          \ features without permission,\nfor example using social engineering, this\
          \ is often referred to as \"phishing\" (a portmanteau of\n\"password\" and\
          \ \"fishing\").\nWith social engineering, the attacker is not always visible.\
          \ Often the victim never finds out that they have been exploited. If this\
          \ is successful, the attacker does not have to worry about prosecution and\
          \ also has a source for obtaining further information later."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.43
    ref_id: G0.43
    name: 'Einspielen von Nachrichten '
    description: "Angreifer senden bei dieser Angriffsform speziell vorbereitete Nachrichten\
      \ an Systeme oder Personen mit\ndem Ziel, f\xFCr sich selbst einen Vorteil oder\
      \ einen Schaden f\xFCr das Opfer zu erreichen. Um die Nachrichten\ngeeignet\
      \ zu konstruieren, nutzen die Angreifer beispielsweise Schnittstellenbeschreibungen,\n\
      Protokollspezifikationen oder Aufzeichnungen \xFCber das Kommunikationsverhalten\
      \ in der Vergangenheit.\nEs gibt zwei in der Praxis wichtige Spezialf\xE4lle\
      \ des Einspielens von Nachrichten:\n\u2022 Bei einer \"Replay-Attacke\" (Wiedereinspielen\
      \ von Nachrichten) zeichnen Angreifer g\xFCltige Nachrichten\nauf und spielen\
      \ diese Information zu einem sp\xE4teren Zeitpunkt (nahezu) unver\xE4ndert wieder\
      \ ein. Es kann\nauch ausreichen, nur Teile einer Nachricht, wie beispielsweise\
      \ ein Passwort, zu benutzen, um unbefugt in\nein IT-System einzudringen.\n\u2022\
      \ Bei einer \"Man-in-the-Middle-Attacke\" nimmt der Angreifer unbemerkt eine\
      \ Vermittlungsposition in\nder Kommunikation zwischen verschiedenen Teilnehmern\
      \ ein. In der Regel t\xE4uscht er hierzu dem\nAbsender einer Nachricht vor,\
      \ der eigentliche Empf\xE4nger zu sein, und er t\xE4uscht dem Empf\xE4nger vor,\
      \ der\neigentliche Absender zu sein. Wenn dies gelingt, kann der Angreifer dadurch\
      \ Nachrichten, die nicht f\xFCr\nihn bestimmt sind, entgegennehmen und vor der\
      \ Weiterleitung an den eigentlichen Empf\xE4nger\nauswerten und gezielt manipulieren.\n\
      Eine Verschl\xFCsselung der Kommunikation bietet keinen Schutz vor Man-in-the-Middle-Attacken,\
      \ wenn\nkeine sichere Authentisierung der Kommunikationspartner stattfindet.\n\
      Beispiele:\n\u2022 Ein Angreifer zeichnet die Authentisierungsdaten (z.B. Benutzerkennung\
      \ und Passwort) w\xE4hrend des\nAnmeldevorgangs eines Benutzers auf und verwendet\
      \ diese Informationen, um sich Zugang zu einem\nSystem zu verschaffen. Bei rein\
      \ statischen Authentisierungsprotokollen kann damit auch ein\nverschl\xFCsselt\
      \ \xFCbertragenes Passwort benutzt werden, um unbefugt auf ein fremdes System\
      \ zuzugreifen.\n\u2022 Um finanziellen Schaden beim Arbeitgeber (Unternehmen\
      \ oder Beh\xF6rde) zu verursachen, gibt ein\nMitarbeiter eine genehmigte Bestellung\
      \ mehrmals auf."
    translations:
      en:
        name: Tampering with messages
        description: "In this form of attack, attackers send specially prepared messages\
          \ to systems or people with the aim of achieving an advantage for themselves\
          \ or harming the victim. In order to construct the messages appropriately,\
          \ the attackers use, for example, interface descriptions, protocol specifications\
          \ or records of past communication behavior. There are two special cases\
          \ of message playback that are important in practice: \n\u2022 In a \"replay\
          \ attack\" (replaying messages), attackers record valid messages and play\
          \ this information back (almost) unchanged at a later point in time. It\
          \ can also be sufficient to use only parts of a message, such as a password,\
          \ to gain unauthorized access to an IT system. \n\u2022 In a \"man-in-the-middle\
          \ attack\" the attacker unnoticed takes on an intermediary position in the\
          \ communication between different participants. As a rule, the attacker\
          \ deceives the sender of a message into believing that he is the actual\
          \ recipient, and the recipient into believing that he is the actual sender.\
          \ If this succeeds, the attacker can receive messages that are not intended\
          \ for him and evaluate and specifically manipulate them before forwarding\
          \ them to the actual recipient. Encryption of communication does not offer\
          \ protection against man-in-the-middle attacks if the communication partners\
          \ are not securely authenticated. \nExamples: \n\u2022 An attacker records\
          \ the authentication data (e.g. user ID and password) during a user's login\
          \ process and uses this information to gain access to a system. With purely\
          \ static authentication protocols, an encrypted password can also be used\
          \ to gain unauthorized access to a third-party system. \n\u2022 In order\
          \ to cause financial damage to the employer (company or authority), an employee\
          \ places an approved order several times."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.44
    ref_id: G0.44
    name: "Unbefugtes Eindringen in R\xE4umlichkeiten "
    description: "Wenn Unbefugte in ein Geb\xE4ude oder einzelne R\xE4umlichkeiten\
      \ eindringen, kann dies verschiedene andere\nGefahren nach sich ziehen. Dazu\
      \ geh\xF6ren beispielsweise Diebstahl oder Manipulation von Informationen\n\
      oder IT-Systemen. Bei qualifizierten Angriffen ist die Zeitdauer entscheidend,\
      \ in der die T\xE4ter ungest\xF6rt ihr\nZiel verfolgen k\xF6nnen.\nH\xE4ufig\
      \ wollen die T\xE4ter wertvolle IT-Komponenten oder andere Waren, die leicht\
      \ ver\xE4u\xDFert werden k\xF6nnen,\nstehlen. Ziel eines Einbruchs kann es jedoch\
      \ unter anderem auch sein, an vertrauliche Informationen zu\ngelangen, Manipulationen\
      \ vorzunehmen oder Gesch\xE4ftsprozesse zu st\xF6ren.\nDurch das unbefugte Eindringen\
      \ in R\xE4umlichkeiten k\xF6nnen somit mehrere Arten von Sch\xE4den entstehen:\n\
      \u2022 Schon durch das unbefugte Eindringen k\xF6nnen Sachsch\xE4den entstehen.\
      \ Fenster und/oder T\xFCren werden\ngewaltsam ge\xF6ffnet und dabei besch\xE4\
      digt, sie m\xFCssen repariert oder ersetzt werden.\n\u2022 Entwendete, besch\xE4\
      digte oder zerst\xF6rte Ger\xE4te oder Komponenten m\xFCssen repariert oder\
      \ ersetzt werden.\n\u2022 Es k\xF6nnen Sch\xE4den durch die Verletzung der Vertraulichkeit,\
      \ Integrit\xE4t oder Verf\xFCgbarkeit von\nInformationen oder Anwendungen entstehen.\n\
      Beispiele:\n\u2022 Vandalismus\n\u2022 Bei einem Einbruch in ein Unternehmen\
      \ an einem Wochenende wurde nur Bagatellschaden durch\nAufhebeln eines Fensters\
      \ angerichtet, lediglich eine Kaffeekasse und kleinere Einrichtungsgegenst\xE4\
      nde\nwurden entwendet. Bei einer Routinekontrolle wurde jedoch sp\xE4ter festgestellt,\
      \ dass ein zentraler Server\ngenau zum Zeitpunkt des Einbruchs geschickt manipuliert\
      \ wurde."
    translations:
      en:
        name: 'Unauthorized intrusion into premises '
        description: "If unauthorized persons break into a building or individual\
          \ rooms, this can result in various other dangers. These include, for example,\
          \ theft or manipulation of information or IT systems. In the case of qualified\
          \ attacks, the length of time in which the perpetrators can pursue their\
          \ goal undisturbed is crucial. The perpetrators often want to steal valuable\
          \ IT components or other goods that can be easily sold. However, the aim\
          \ of a break-in can also be to obtain confidential information, to carry\
          \ out manipulations or to disrupt business processes. Several types of damage\
          \ can therefore be caused by unauthorized entry into rooms: \n\u2022 Property\
          \ damage can occur simply by unauthorized entry. Windows and/or doors are\
          \ opened by force and damaged in the process; they must be repaired or replaced.\
          \ \n\u2022 Stolen, damaged or destroyed devices or components must be repaired\
          \ or replaced. \n\u2022 Damage can be caused by violating the confidentiality,\
          \ integrity or availability of information or applications. Examples:\n\u2022\
          \ Vandalism\n\u2022 During a break-in at a company on a weekend, only minor\
          \ damage was caused by\na window being forced open, and only a coffee fund\
          \ and small items of furniture\nwere stolen. However, during a routine check,\
          \ it was later discovered that a central server\nhad been cleverly manipulated\
          \ at the exact time of the break-in."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.45
    ref_id: G0.45
    name: 'Datenverlust '
    description: "Ein Datenverlust ist ein Ereignis, das dazu f\xFChrt, dass ein Datenbestand\
      \ nicht mehr wie erforderlich genutzt\nwerden kann (Verlust der Verf\xFCgbarkeit).\
      \ Eine h\xE4ufige Form des Datenverlustes ist, dass Daten\nunbeabsichtigt oder\
      \ unerlaubt gel\xF6scht werden, zum Beispiel durch Fehlbedienung, Fehlfunktionen,\n\
      Stromausf\xE4lle, Verschmutzung oder Schadsoftware.\nEin Datenverlust kann jedoch\
      \ auch durch Besch\xE4digung, Verlust oder Diebstahl von Ger\xE4ten oder\nDatentr\xE4\
      gern entstehen. Dieses Risiko ist bei mobilen Endger\xE4ten und mobilen Datentr\xE4\
      gern h\xE4ufig\nbesonders hoch.\nWeiterhin ist zu beachten, dass viele mobile\
      \ IT-Systeme nicht immer online sind. Die auf diesen Systemen\ngespeicherten\
      \ Daten befinden sich daher nicht immer auf dem aktuellsten Stand. Wenn Datenbest\xE4\
      nde\nzwischen mobilen IT-Systemen und station\xE4ren IT-Systemen synchronisiert\
      \ werden, kann es durch\nUnachtsamkeit oder Fehlfunktion zu Datenverlusten kommen.\n\
      Beispiele:\n\u2022 Der PDA f\xE4llt aus der Hemdtasche und zerschellt auf den\
      \ Fliesen, ein Mobiltelefon wird statt der Zeitung\nvom Hund apportiert, leider\
      \ mit Folgen. Solche und \xE4hnliche Ereignisse sind die Ursachen von vielen\n\
      Totalverlusten der Daten mobiler Endger\xE4te.\n\u2022 Es gibt Schadprogramme,\
      \ die gezielt Daten auf infizierten IT-Systemen l\xF6schen. Bei einigen Sch\xE4\
      dlingen\nwird die L\xF6schfunktion nicht sofort bei der Infektion ausgef\xFC\
      hrt, sondern erst, wenn ein definiertes\nEreignis eintritt, zum Beispiel wenn\
      \ die Systemuhr ein bestimmtes Datum erreicht.\n\u2022 Viele Internet-Dienste\
      \ k\xF6nnen genutzt werden, um online Informationen zu speichern. Wenn das\n\
      Passwort vergessen wird und nicht hinterlegt ist, kann es passieren, dass auf\
      \ die gespeicherten\nInformationen nicht mehr zugegriffen werden kann, sofern\
      \ der Dienstleister kein geeignetes Verfahren\nzum Zur\xFCcksetzen des Passwortes\
      \ anbietet.\n\u2022 Festplatten und andere Massenspeichermedien haben nur eine\
      \ begrenzte Lebensdauer. Wenn keine\ngeeigneten Redundanzma\xDFnahmen getroffen\
      \ sind, kann es durch technische Defekte zu Datenverlusten\nkommen."
    translations:
      en:
        name: 'Data loss '
        description: "Data loss is an event that means that a data set can no longer\
          \ be used as required (loss of availability). A common form of data loss\
          \ is that data is deleted unintentionally or without permission, for example\
          \ due to incorrect operation, malfunctions, power outages, contamination\
          \ or malware. However, data loss can also occur due to damage, loss or theft\
          \ of devices or data storage devices. This risk is often particularly high\
          \ with mobile devices and mobile data storage devices. It should also be\
          \ noted that many mobile IT systems are not always online. The data stored\
          \ on these systems is therefore not always up to date. When data sets are\
          \ synchronized between mobile IT systems and stationary IT systems, data\
          \ loss can occur due to carelessness or malfunction. Examples: \n\u2022\
          \ The PDA falls out of the shirt pocket and smashes on the tiles, a mobile\
          \ phone is fetched by the dog instead of the newspaper, unfortunately with\
          \ consequences. Such and similar events are the cause of many total losses\
          \ of data on mobile devices.\n\u2022 There are malware programs that specifically\
          \ delete data on infected IT systems. With some malware, the deletion function\
          \ is not carried out immediately upon infection, but only when a defined\
          \ event occurs, for example when the system clock reaches a certain date.\n\
          \u2022 Many Internet services can be used to store information online. If\
          \ the password is forgotten and not stored, it may happen that the stored\
          \ information can no longer be accessed unless the service provider offers\
          \ a suitable procedure for resetting the password.\n\u2022 Hard drives and\
          \ other mass storage media only have a limited lifespan. If no suitable\
          \ redundancy measures are taken, data loss can occur due to technical defects."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.46
    ref_id: G0.46
    name: "Integrit\xE4tsverlust sch\xFCtzenswerter Informationen "
    description: "Die Integrit\xE4t von Informationen kann durch verschiedene Ursachen\
      \ beeintr\xE4chtigt werden, z.B. durch\nManipulationen, Fehlverhalten von Personen,\
      \ Fehlbedienung von Anwendungen, Fehlfunktionen von\nSoftware oder \xDCbermittlungsfehler.\n\
      \u2022 Durch die Alterung von Datentr\xE4gern kann es zu Informationsverlusten\
      \ kommen.\n\u2022 \xDCbertragungsfehler: Bei der Daten\xFCbertragung kann es\
      \ zu \xDCbertragungsfehlern kommen.\n\u2022 Schadprogramme: Durch Schadprogramme\
      \ k\xF6nnen ganze Datenbest\xE4nde ver\xE4ndert oder zerst\xF6rt\nwerden.\n\u2022\
      \ Fehleingaben: Durch Fehleingaben kann es zu so nicht gew\xFCnschten Transaktionen\
      \ kommen, die h\xE4ufig\nlange Zeit nicht bemerkt werden.\n\u2022 Angreifer\
      \ k\xF6nnen versuchen, Daten f\xFCr ihre Zwecke zu manipulieren, z.B. um Zugriff\
      \ auf weitere IT-\nSysteme oder Datenbest\xE4nde zu erlangen.\n\u2022 Durch\
      \ Manipulation der Index-Datenbank k\xF6nnen elektronische Archive veranlasst\
      \ werden, gef\xE4lschte\nDokumente zu archivieren oder wiederzugeben.\nWenn\
      \ Informationen nicht mehr integer sind, kann es zu einer Vielzahl von Problemen\
      \ kommen:\n\u2022 Informationen k\xF6nnen im einfachsten Fall nicht mehr gelesen,\
      \ also weiterverarbeitet werden.\n\u2022 Daten k\xF6nnen versehentlich oder\
      \ vors\xE4tzlich so verf\xE4lscht werden, dass dadurch falsche Informationen\n\
      weitergegeben werden. Hierdurch k\xF6nnen beispielsweise \xDCberweisungen in\
      \ falscher H\xF6he oder an den\nfalschen Empf\xE4nger ausgel\xF6st werden, die\
      \ Absenderangaben von E-Mails k\xF6nnten manipuliert werden\noder vieles mehr.\n\
      \u2022 Wenn verschl\xFCsselte oder komprimierte Datens\xE4tze ihre Integrit\xE4\
      t verlieren (hier reicht die \xC4nderung\neines Bits), k\xF6nnen sie unter Umst\xE4\
      nden nicht mehr entschl\xFCsselt bzw. entpackt werden.\n\u2022 Dasselbe gilt\
      \ auch f\xFCr kryptographische Schl\xFCssel, auch hier reicht die \xC4nderung\
      \ eines Bits, damit die\nSchl\xFCssel unbrauchbar werden. Dies f\xFChrt dann\
      \ ebenfalls dazu, dass Daten nicht mehr entschl\xFCsselt oder\nauf ihre Authentizit\xE4\
      t \xFCberpr\xFCft werden k\xF6nnen.\n\u2022 Dokumente, die in elektronischen\
      \ Archiven gespeichert sind, verlieren an Beweiskraft, wenn ihre\nIntegrit\xE4\
      t nicht nachgewiesen werden kann."
    translations:
      en:
        name: 'Loss of integrity of sensitive information '
        description: "The integrity of information can be compromised for various\
          \ reasons, e.g. manipulation, incorrect behavior by people, incorrect operation\
          \ of applications, malfunctions of software or transmission errors.\n\u2022\
          \ The aging of data storage devices can lead to information loss.\n\u2022\
          \ Transmission errors: Transmission errors can occur during data transmission.\n\
          \u2022 Malware: Malware can change or destroy entire databases.\n\u2022\
          \ Incorrect entries: Incorrect entries can lead to unwanted transactions\
          \ that often go unnoticed for a long time.\n\u2022 Attackers can try to\
          \ manipulate data for their own purposes, e.g. to gain access to other IT\
          \ systems or databases.\n\u2022 By manipulating the index database, electronic\
          \ archives can be caused to archive or reproduce fake documents.\nIf information\
          \ no longer has integrity, a variety of problems can arise:\n\u2022 In the\
          \ simplest case, information can no longer be read, i.e. processed further.\
          \ \u2022 Data can be accidentally or intentionally falsified in such a way\
          \ that false information is passed on. This can, for example, trigger transfers\
          \ of the wrong amount or to the wrong recipient, the sender details of emails\
          \ can be manipulated, and much more. \u2022 If encrypted or compressed data\
          \ sets lose their integrity (changing one bit is enough), they may no longer\
          \ be able to be decrypted or unpacked. \u2022 The same applies to cryptographic\
          \ keys; here too, changing one bit is enough to make the keys unusable.\
          \ This also means that data can no longer be decrypted or checked for authenticity.\
          \ \u2022 Documents stored in electronic archives lose their evidential value\
          \ if their integrity cannot be proven."
  - urn: urn:pspdv:risk:threat:bsi-gefaehrdungen:g0.47
    ref_id: G0.47
    name: "Sch\xE4dliche Seiteneffekte IT-gest\xFCtzter Angriffe "
    description: "IT-gest\xFCtzte Angriffe k\xF6nnen Auswirkungen haben, die\n\u2022\
      \ von den T\xE4tern nicht beabsichtigt sind oder\n\u2022 nicht die unmittelbar\
      \ angegriffenen Zielobjekte betreffen oder\n\u2022 unbeteiligte Dritte sch\xE4\
      digen.\nUrs\xE4chlich hierf\xFCr sind die hohe Komplexit\xE4t und Vernetzung\
      \ moderner Informationstechnik sowie die\nTatsache, dass die Abh\xE4ngigkeiten\
      \ der angegriffenen Zielobjekte und der zugeh\xF6rigen Prozesse in der Regel\n\
      nicht offenkundig sind.\nDadurch kann es unter anderem dazu kommen, dass der\
      \ tats\xE4chliche Schutzbedarf von Zielobjekten falsch\neingesch\xE4tzt wird\
      \ oder dass die Verantwortlichen f\xFCr die Zielobjekte kein Eigeninteresse\
      \ an der Behebung\nvon M\xE4ngeln dieser Zielobjekte haben.\nBeispiele:\n\u2022\
      \ Auf IT-Systemen installierte Bots, mit denen die T\xE4ter verteilte Denial-of-Service-Angriffe\
      \ (DDoS-\nAngriffe) durchf\xFChren k\xF6nnen, stellen f\xFCr die infizierten\
      \ IT-Systeme selbst oft keine direkte Gefahr dar,\nweil sich die DDoS-Angriffe\
      \ in der Regel gegen IT-Systeme Dritter richten.\n\u2022 Schwachstellen von\
      \ IoT-Ger\xE4ten in WLANs k\xF6nnen von T\xE4tern als Einfallstor genutzt werden,\
      \ um\nandere wichtigere Ger\xE4te im gleichen WLAN anzugreifen. Deshalb m\xFC\
      ssen solche IoT-Ger\xE4te auch dann\ngesch\xFCtzt werden, wenn sie selbst nur\
      \ einen geringen Schutzbedarf haben.\n\u2022 Ransomware-Angriffe auf IT-Systeme\
      \ k\xF6nnen unter Umst\xE4nden Kettenreaktionen ausl\xF6sen und damit\nauch\
      \ Kritische Infrastrukturen treffen. Dies wiederum k\xF6nnte zu Versorgungsengp\xE4\
      ssen der Bev\xF6lkerung\nf\xFChren, auch wenn die T\xE4ter dies m\xF6glicherweise\
      \ gar nicht beabsichtigt haben."
    translations:
      en:
        name: Harmful side effects of IT-based attacks
        description: "IT-based attacks can have effects that\n\u2022 are not intended\
          \ by the perpetrators or\n\u2022 do not affect the directly attacked target\
          \ objects or\n\u2022 harm uninvolved third parties.\nThe reasons for this\
          \ are the high complexity and interconnectedness of modern information technology\
          \ and the\nfact that the dependencies of the attacked target objects and\
          \ the associated processes are usually\nnot obvious.\nThis can lead, among\
          \ other things, to the actual protection requirements of target objects\
          \ being\nmisjudged or to the fact that those responsible for the target\
          \ objects have no personal interest in correcting\ndeficiencies in these\
          \ target objects.\nExamples:\n\u2022 Bots installed on IT systems with which\
          \ the perpetrators can carry out distributed denial-of-service attacks (DDoS\
          \ attacks) often do not pose a direct threat to the infected IT systems\
          \ themselves,\nbecause the DDoS attacks are usually directed against third-party\
          \ IT systems.\n\u2022 Vulnerabilities in IoT devices in WLANs can be used\
          \ by perpetrators as a gateway to attack other more important devices in\
          \ the same WLAN. Therefore, such IoT devices must be protected even if they\
          \ themselves have only a low need for protection.\n\u2022 Ransomware attacks\
          \ on IT systems can, under certain circumstances, trigger chain reactions\
          \ and thus also affect critical infrastructures. This in turn could lead\
          \ to supply bottlenecks for the population, even if the perpetrators may\
          \ not have intended this at all."
