RiLi-Webservices

Diese Seite ist derzeit noch ein Entwurf.

Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite.

Mustervorlage: "Richtlinie zum Betrieb von Webservices"

Einleitung

Diese Richtlinie bietet einen umfassenden Rahmen für den sicheren und rechtlich konformen Betrieb von Webservices unter Berücksichtigung aktueller Standards. Sie deckt den gesamten Lebenszyklus ab und stellt sicher, dass alle relevanten technischen, organisatorischen und rechtlichen Anforderungen erfüllt werden. Regelmäßige Überprüfungen und Anpassungen der Richtlinie sind notwendig, um auf neue Bedrohungen und veränderte Anforderungen reagieren zu können.

Zweck und Ziel

Ziel dieser Richtlinie ist die Festlegung verbindlicher Regelungen für die sichere, rechtskonforme und wirtschaftliche Planung, Implementierung, den Betrieb sowie die Außerbetriebnahme von Webservices und Webservern in der Organisation. Die Richtlinie dient der:

Risikominimierung durch systematische Sicherheits- und Datenschutzmaßnahmen,
Einhaltung gesetzlicher und regulatorischer Anforderungen (z. B. DSGVO, TMG, TDDDG, UrhG),
Unterstützung beim Nachweis der Umsetzung von Anforderungen gemäß ISO/IEC 27001 bzw. BSI IT-Grundschutz.

Geltungsbereich

Die Richtlinie gilt für:

alle Webservices und Webserver, die durch die Organisation selbst betrieben oder in deren Auftrag durch Dritte bereitgestellt werden,
alle Betriebsmodelle (on-premises, cloudbasiert, hybrid),
alle Phasen des Systemlebenszyklus: Planung, Entwicklung, Implementierung, Betrieb, Wartung, Außerbetriebnahme,
alle beteiligten Organisationseinheiten, internen sowie externen Dienstleistenden, die mit dem Betrieb, der Entwicklung oder Pflege betraut sind.

Nicht im Geltungsbereich sind rein interne Software-Komponenten ohne Netzwerkexposition, sofern sie keine Webschnittstellen anbieten.

Definitionen und Begriffsklärungen

Webserver: Software oder Appliance, die HTTP/HTTPS-Anfragen entgegennimmt, verarbeitet und entsprechende Inhalte oder Dienste bereitstellt (z. B. Apache, nginx, IIS).
Webservice: Dienst, der über standardisierte Webprotokolle (z. B. REST, SOAP, GraphQL) ansprechbar ist und maschinelle Kommunikation ermöglicht. Webservices sind typischerweise Bestandteil von serviceorientierten Architekturen (SOA) oder Microservice-Umgebungen.
Service-Verantwortliche: Person oder Rolle mit der fachlichen und/oder technischen Gesamtverantwortung für einen konkreten Webservice (vergleichbar mit „Asset Owner“ gemäß ISO 27001).
DMZ (Demilitarized Zone): Netzwerksegment mit restriktiven Firewall-Regeln zur sicheren Exposition öffentlich erreichbarer Dienste, z. B. Webserver mit Internetzugang.
API-Gateway: Sicherheits- und Management-Komponente zur zentralisierten Steuerung von Zugriffen auf Webservices.

Verantwortlichkeiten und Rollenkonzept

Ein effektives Sicherheitskonzept setzt eine klare Rollenzuordnung voraus. Die Rollen und Zuständigkeiten sollten dokumentiert, kommuniziert und in geeigneter Weise überprüft werden. Zentrale Rollen sind:

Management/Leitungsebene:

Freigabe der Richtlinie
Bereitstellung personeller und finanzieller Ressourcen
Überwachung der Umsetzung im Rahmen des ISMS

Informationssicherheitsbeauftragte (ISB):

Überwachung der Richtlinieneinhaltung
Beratung bei Sicherheits- und Datenschutzfragen
Durchführung von Sicherheitsüberprüfungen und Audits

Systemverantwortliche / Applikationsverantwortliche:

Technische und organisatorische Verantwortung für einzelne Webservices
Umsetzung der technischen und betrieblichen Anforderungen
Incident Response und Dokumentation

Datenschutzbeauftragte (DSB):

Prüfung datenschutzrelevanter Verarbeitung
Unterstützung bei Datenschutz-Folgenabschätzungen
Kontrolle der Einhaltung datenschutzrechtlicher Anforderungen

IT-Betrieb / Administratoren:

Betrieb und technische Wartung der Server
Umsetzung der Härtung, Patching, Protokollierung, Zugriffskontrolle
Zusammenarbeit mit ISB und Systemverantwortlichen

Entwicklung / DevOps / Provider:

entwickeln den Webservice gemäß interner Entwicklungsrichtlinien und sicherer Programmierstandards,
führen Test- und Qualitätssicherungsmaßnahmen durch,
verantworten Deployment und ggf. automatisierte CI/CD-Prozesse.

Externe Dienstleistende:

Müssen durch Verträge (AVV, SLA) zur Einhaltung dieser Richtlinie verpflichtet werden
Verantwortlichkeiten sind klar zu regeln (Auftragsverarbeitung vs. gemeinsame Verantwortung)

Dokumentationsanforderungen

Dokumentation ist ein zentraler Bestandteil eines nachvollziehbaren, sicheren und regelkonformen Betriebs.

Allgemeine Anforderungen

Vollständigkeit: Alle sicherheitsrelevanten Vorgänge, Systeme und Konfigurationen sind zu dokumentieren.
Nachvollziehbarkeit: Änderungen müssen versioniert, Änderungen nachvollziehbar dokumentiert sein.
Aktualität: Dokumente müssen regelmäßig geprüft und bei Bedarf aktualisiert werden.
Verfügbarkeit: Dokumentationen müssen für berechtigte Personen auffindbar, zugänglich und verständlich sein.

Mindestinhalte der technischen Dokumentation:

Systembeschreibung (inkl. Schnittstellen, verwendete Frameworks, eingesetzte Softwareversionen)
Schutzbedarfsfeststellung und Risikoanalyse
Zugriffsberechtigungskonzept (inkl. Rollenvergabe)
Sicherheitsmaßnahmen (Firewall-Regeln, TLS-Konfiguration, Logging)
Wartungs- und Patchkonzept
Backup- und Wiederherstellungskonzept
Incident-Response-Prozesse
Prüfprotokolle (z. B. Penetrationstest, Schwachstellenscans)

Datenschutzrelevante Dokumentation:

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
Technisch-organisatorische Maßnahmen (TOMs nach Art. 32 DSGVO)
ggf. Datenschutzfolgenabschätzung (Art. 35 DSGVO)
Vertragsunterlagen zur Auftragsverarbeitung (Art. 28 DSGVO)

Rechtliche Anforderungen

Allgemeine rechtliche Vorgaben

Gesetzliche Rahmenbedingungen für den Betrieb von Webservices
Branchen- und sektorspezifische Vorschriften
Internationale rechtliche Anforderungen

Datenschutzrechtliche Vorgaben

Anforderungen der DSGVO und des BDSG
Umgang mit personenbezogenen Daten
Erforderliche Datenschutzfolgenabschätzungen

Informationspflichten und Transparenzanforderungen

Impressumspflicht und erforderliche Angaben
Datenschutzerklärungen und deren Gestaltung
Hinweise zur Streitschlichtung und Beschwerdemöglichkeiten

Intellektuelles Eigentum und Urheberrecht

Umgang mit Lizenzen für Software und Inhalte
Schutz eigener Inhalte
Regelungen zu Disclaimer und Haftungsausschlüssen

Technische Anforderungen und Standards

Sicherheitsanforderungen gemäß ISO 27001

Anforderungen an ein Informationssicherheits-Managementsystem (ISMS)
Implementierung von Sicherheitskontrollen
Notwendige Zertifizierungsschritte

Anforderungen nach BSI IT-Grundschutz

Umsetzung der BSI-Standards 200-1, 200-2 und 200-3
Anwendung der relevanten IT-Grundschutz-Bausteine
Abstufung nach Basis-, Standard- und Kern-Absicherung

Technische Mindeststandards und Best Practices

Aktuelle Verschlüsselungsstandards
Härtungsanforderungen für Webserver
Technische Vorgaben für Web-Service-Architektur

Schutz vor typischen Bedrohungen

Maßnahmen gegen gängige Cyberangriffe
Schutz vor DDoS-Angriffen
Absicherung von Web-Service-Schnittstellen

Planung und Konzeption

Anforderungsanalyse

Erfassung der funktionalen Anforderungen
Ermittlung der Sicherheits- und Compliance-Anforderungen
Bedarfsanalyse und Ressourcenplanung

Architektur und Design

Festlegung der Web-Services-Architektur
Designprinzipien und Muster
Integrationsanforderungen mit anderen Systemen

Risikobewertung

Durchführung einer Risikoanalyse
Bewertung der identifizierten Risiken
Maßnahmen zur Risikominderung

Konzepterstellung

Erstellung eines detaillierten technischen Konzepts
Dokumentation der Servicestruktur
Planung der Sicherheitsmaßnahmen

Beschaffung und Installation

Beschaffungsprozess

Anforderungen an die Softwareauswahl
Bewertungskriterien für Produkte und Dienstleister
Vertragsgestaltung mit Anbietern

Installation und Grundkonfiguration

Installation der erforderlichen Systeme
Grundlegende Konfiguration des Webservers
Einrichtung der Webservice-Komponenten

Härtung und Sicherheitskonfiguration

Implementierung von Härtungsmaßnahmen
Konfiguration von Sicherheitsfeatures
Deaktivierung nicht benötigter Dienste und Funktionen

Einrichtung des Monitorings

Konfiguration der Überwachungssysteme
Festlegung relevanter Metriken und Schwellwerte
Protokollierung sicherheitsrelevanter Ereignisse

Betrieb und Wartung

Betriebskonzept

Regelungen für den Normalbetrieb
Prozesse für Änderungen und Updates
Kontrollmechanismen und Governance

Patch- und Änderungsmanagement

Prozesse zur Überprüfung und Installation von Updates
Regelungen für Änderungen an der Konfiguration
Testverfahren vor Produktiveinsatz

Überwachung und Protokollierung

Kontinuierliche Überwachung der Services
Auswertung von Logs und Protokollen
Erkennung von Anomalien und Bedrohungen

Nutzungsrichtlinien und Zugriffsmanagement

Regelungen zur akzeptablen Nutzung der Webservices
Verwaltung von Benutzerkonten und Berechtigungen
Zugriffskontrollen und Authentifizierungsverfahren

Performance- und Kapazitätsmanagement

Überwachung der Leistungsfähigkeit
Maßnahmen zur Performance-Optimierung
Planung von Kapazitätserweiterungen

Notfallmanagement

Notfallplanungen

Erstellung von Notfallplänen für Webservices
Definition von Wiederherstellungszielen
Notfallszenarien und Reaktionsmaßnahmen

Sicherheitsvorfälle und Reaktion

Erkennung von IT-Sicherheitsvorfällen
Prozesse zur Reaktion auf Vorfälle
Eskalationswege und Kommunikation

Backup und Wiederherstellung

Konzept für regelmäßige Datensicherungen
Prozesse zur Wiederherstellung
Tests der Wiederherstellungsfähigkeit

Notfall-Übungen und Tests

Regelmäßige Durchführung von Notfallübungen
Simulationen von Ausfallszenarien
Auswertung und Verbesserungsmaßnahmen

Überprüfung und Verbesserung

Audits und Assessments

Regelmäßige Sicherheitsüberprüfungen
Compliance-Audits gemäß ISO 27001
Penetrationstests und Schwachstellenscans

Kennzahlen und Berichtswesen

Definition von Sicherheits- und Betriebskennzahlen
Regelmäßige Berichterstattung
Management-Review-Prozesse

Kontinuierlicher Verbesserungsprozess

Analyse von Sicherheitsvorfällen
Feedbackmechanismen für Verbesserungen
Anpassung der Richtlinien und Prozesse

Außerbetriebnahme

Planung der Außerbetriebnahme

Kriterien für die Entscheidung zur Außerbetriebnahme
Zeitplanung und Ressourcenbedarf
Stakeholder-Kommunikation

Datenmigration und -archivierung

Sicherung relevanter Daten
Datenbereinigung und -migration
Langzeitarchivierung nach rechtlichen Vorgaben

Sichere Entsorgung

Sichere Löschung von Daten
Umweltgerechte Entsorgung von Hardware
Dokumentation der Entsorgungsnachweise

Abschließende Dokumentation

Dokumentation des Außerbetriebnahmeprozesses
Erfassung von Lessons Learned
Aktualisierung abhängiger Dokumente

Anhänge und Referenzen

Referenzierte Dokumente

Verweis auf relevante Standards und Normen
Bezug zu internen Richtlinien und Verfahren
Gesetzliche Grundlagen und Vorgaben

Glossar

Erklärung von Fachbegriffen
Abkürzungsverzeichnis
Begriffsdefinitionen

Vorlagen und Checklisten

Vorlagen für Dokumentationen
Checklisten für Installations- und Betriebsprozesse
Prüflisten für Audits und Assessments

Schlussbemerkung

Behandlung von Ausnahmen

Ausnahmen von den Regelungen dieser Richtlinie sind nur mit einem begründeten Ausnahmeantrag im Rahmen des Ausnahmemanagements möglich.

Revision

Diese Richtlinie wird regelmäßig, jedoch mindestens einmal pro Jahr, durch den Regelungsverantwortlichen auf Aktualität und Konformität geprüft und bei Bedarf angepasst.

Inkrafttreten

Diese Richtlinie tritt zum 01.01.2222 in Kraft.

Freigegeben durch: Organisationsleitung

Ort, 01.12.2220,

Unterschrift, Name der Leitung