Grundlagen der Informationstechnik - ReadingSample - Beck-Shop
Werbung
Grundlagen der Informationstechnik Kompaktwissen für Datenschutz- und Security-Management Bearbeitet von Wilhelm Kruth 3., überarbeitete und erweiterte Auflage 2009 2009. Taschenbuch. 304 S. Paperback ISBN 978 3 89577 545 1 Format (B x L): 17 x 24 cm Gewicht: 532 g Weitere Fachgebiete > EDV, Informatik > Hardwaretechnische Grundlagen > Datensicherheit, Datenschutz Zu Inhaltsverzeichnis schnell und portofrei erhältlich bei Die Online-Fachbuchhandlung beck-shop.de ist spezialisiert auf Fachbücher, insbesondere Recht, Steuern und Wirtschaft. Im Sortiment finden Sie alle Medien (Bücher, Zeitschriften, CDs, eBooks, etc.) aller Verlage. Ergänzt wird das Programm durch Services wie Neuerscheinungsdienst oder Zusammenstellungen von Büchern zu Sonderpreisen. Der Shop führt mehr als 8 Millionen Produkte. 2 Datenhaltung und Datensicherung 2.1 Einführung Im folgenden Kapitel werden die Datenhaltung in Datenbanken und die Maßnahmen zur Sicherung von Datenbanken beschrieben. Das Datenbankmanagement bildet das Fundament für die Speicherung und Verarbeitung von Daten jeglicher Art. Das systemtechnische Grundprinzip der Dateiorganisation wird dadurch nicht ersetzt. Datenbanksysteme haben das Ziel, die in den einzelnen Dateien nach inhaltlichen Merkmalen gespeicherten Daten in einem logischen, übergeordneten Dateisystem, eben der Datenbank, zusammenzufassen. Durch geeignete Verfahren zur Datensicherung kann gewährleistet werden, dass bei Verlust einer Datenbank, zum Beispiel durch eine Beschädigung des Speichermediums oder bei Verletzung der Datenintegrität, aus vorhandenen Sicherungsbeständen ein ordnungsgemäßer Zustand der Datenbank wiederhergestellt werden kann. Sicherungs- und Wiederherstellungsverfahren sind daher beim Betrieb von Datenbanken unverzichtbar. Hieran hat auch die Verfügbarkeit von hochverfügbaren Speichersystemen nichts geändert. 2.2 Datenbanksysteme 2.2.1 Datenbankmanagement Datenbankmangementsysteme (data base management system, DBMS) sind Programmsysteme zur Einrichtung und Verwaltung von Datenbanken. Jedes DBMS muss bestimmten Grundanforderungen genügen, die im Wesentlichen Sicherheitsziele reflektieren. Auf die vorhandenen Daten können beliebige Programm zugreifen. Die Daten müssen einmalig, vollständig, korrekt und widerspruchsfrei sein und die Realität, die sie beschreiben, exakt und aktuell wiedergeben. Der Zugriff auf die Daten muss durch ein integriertes Rechtemanagement sicher kontrolliert werden können. Alle Zugriffe sind zu protokollieren. Das DBMS verfügt über leistungsfähige Sicherungsmechanismen. Für die Auswertung der vom DBMS verwalteten Datenbanken stehen Abfragesprachen (query language, QL) entweder als funktionaler Baustein im DBMS oder Grundlagen der Informationstechnik als Fremdsoftware zur Verfügung. SQL (structured query language) hat sich in diesem Segment als Standard durchgesetzt. Abfragesprachen dienen zur Definition, Manipulation, Kontrolle und Aktualisierung von Datenbeständen. SQLAbfragen werden in einer der englischen Umgangssprache angepassten einfachen, formalisierten Form definiert. Da die Anwendung von Abfragesprachen keine besonderen IT-Kenntnisse voraussetzt, können sie auch von Nutzern in den Fachbereichen eingesetzt werden. Beispiel einer einfachen SQL-Anwendung: Aus der Datei „Buch“ in der Datenbank „Bücherei“ sollen alle Titel angezeigt werden, deren Einkaufspreis einen Wert kleiner 20 € aufweist. Neben dem Buchtitel soll auch der Verlag angegeben werden. SELECT Titel, Verlag FROM Buch WHERE Preis < 20.0 Abbildung 2.1: DBMS-Architektur Das Rechtemanagement des DBMS stellt Sicherheitsfunktionen zur Verfügung, die insbesondere dazu dienen, den Zugriff auf die Daten zu kontrollieren und je38 Datenhaltung und Datensicherung dem Benutzer ausschließlich vorher festgelegte Operationen zu erlauben. Diese Kontrollebene wird in der Praxis oft auch als „fachliches Rechtemanagement“ bezeichnet, da sie mit der Funktionalität der Anwendungssoftware verknüpft werden kann. Damit kann für jeden Benutzer einer Datenbank ein individuelles Rechtekonzept konzipiert und verwaltet werden. Die Backup- und Recovery-Mechanismen unterstützen die Sicherung und Wiederherstellung der vom DMBS verwalteten Dateien nach zeitlichen und inhaltlichen Vorgaben. Mit Datenbanksprachen werden die Datenstrukturen beschrieben und Auswertungen aus den Dateien in der Datenbank erstellt. Das Logbuch des DBMS speichert alle Zugriffe auf Daten einschließlich der Zugriffsart und der vorgenommenen Änderungen. Diese Informationen können für Überprüfungen auf unberechtigte Zugriffe und für die Wiederherstellung von Dateien verwendet werden. Die Daten werden in einer Datenbank (DB) nach einer bestimmten Struktur abgelegt. Komplexe Datenbanken bestehen aus mehreren miteinander verknüpften Dateien. Hier ist es wichtig, genau festzulegen, welche Auswirkungen das Anlegen oder Löschen von Datensätzen innerhalb einer Datei auf die verknüpften Dateien hat. Damit soll gewährleistet werden, dass es keine „verlorenen Verknüpfungen“ gibt (Sicherheitsmerkmal der referenziellen Integrität). Ein typisches Beispiel ist bei einer Dokumenten-DB die Verknüpfung eines Dokumentes mit mehreren Vorgängen, die von unterschiedlichen Stellen im Unternehmen benötigt werden. Wird der Root-Vorgang13 gelöscht, können die anderen Stellen das Dokument nicht mehr einsehen, obwohl sie es für ihre Zwecke noch benötigen. Für die Datensicherheit sind mehrere Aspekte von Bedeutung. Zunächst muss gewährleistet werden, dass Eingaben in die Datenbank mit Überprüfungsfunktionen (Plausibilitätsprüfungen) versehen werden. Es muss weiter festgelegt werden, welche Personen auf die DB zugreifen dürfen. Das Rechtemanagement der DB legt dabei Umfang und Art des Zugriffs fest und kontrolliert die realen Interaktionen der Benutzer mit der DB. Wird auf ein Datum von mehreren Benutzern gleichzeitig zugegriffen, sorgt eine Transaktionssperre dafür, dass die Zugriffsanforderungen serialisiert werden. Beispiel: Auf einen Versicherungsfall greifen die Nutzer A und B gleichzeitig zu. A will eine Anschriftenänderung vornehmen, B eine Anpassung vertraglicher Konditionen. B wird daher die geänderte Anschrift angezeigt, gleichzeitig wird programmtechnisch oder visuell geprüft, ob die Änderung der Anschrift des Versicherungsnehmers vertragliche Folgen für die Konditionen zeitigt. Ändert sich die Reihenfolge – B erhält eine Zugriffspräferenz vor A – erfolgt diese Abhängigkeitsprü13 Primär-Vorgang, in dem das Dokument entstanden ist. 39 Grundlagen der Informationstechnik fung ebenfalls. Bei negativem Prüfungsergebnis wird eine entsprechende Fehlermeldung ausgegeben und die Änderung zurückgewiesen. Da in der betrieblichen Praxis inzwischen fast alle Daten der geschäftskritischen Prozesse in Datenbanken gespeichert und verarbeitet werden, ist die Verfügbarkeit von Datenbanken eine essenzielle Forderung, die aus dem Sicherheitsbedürfnis des Unternehmens entsteht. Im Hinblick auf geänderte Formen der Arbeitsorganisation mit einem hohen Maß an flexiblen Arbeitszeiten und dem verständlichen Wunsch nach einem möglichst unterbrechungsfreien Systembetrieb14 wird die Frage nach der Hochverfügbarkeit gestellt. Darunter versteht man, dass die Systemplattform der fokussierten Datenbanken während der vereinbarten Betriebszeiten eine bestimmte Leistung dauerhaft zur Verfügung stellt. Aus der Sicht der Benutzer der Datenbank dürfen keine ungeplanten Ausfälle auftreten. Ununterbrochener Betrieb bedeutet demnach, dass Ausfälle jeglicher Art zu vermeiden sind. Dies ist natürlich technisch realisierbar, erfordert jedoch einen hohen Aufwand. Hochverfügbarkeit ist erreichbar, wenn folgende Voraussetzungen erfüllt werden: 14 40 Redundanz: Zu jeder Komponente, deren Ausfall die Nutzung der DB erheblich beeinträchtigen oder verhindern kann, muss es eine Reservekomponente geben (zum Beispiel 2-fache Netzeinspeisung im System, Mehrprozessoren-Technologie). Isolation: Das Hochverfügbarkeitssystem muss vor Störungen geschützt werden, beginnend bei Stromausfällen bis zu Software- und Bedienfehlern. Softwareänderungen müssen daher auf einem Testsystem, dessen Konfiguration dem Referenzsystem weitgehend entspricht, vor dem Einsatz für die produktive Nutzung intensiv erprobt werden. Gleichzeitigkeit: Alle Wartungs- und Pflegearbeiten müssen gleichzeitig zum laufenden Betrieb durchgeführt werden. Dies setzt allerdings voraus, dass keine Kompatibilitätsprobleme zwischen Hardware- und Softwarekomponenten mit unterschiedlichen Versionsnummern auftreten. Automatisierung: Sowohl der Normalbetrieb als auch die Reaktionen im Fehlerfall müssen weitgehend automatisiert sein, einerseits wegen der erforderlichen Schnelligkeit der Reaktionen, andererseits zur Vermeidung menschlicher Fehler. Die Hochverfügbarkeit der Systemplattform ist hier der entscheidende Faktor. Zwar können auch im Datenbanksystem Fehler auftreten, die die Nutzung hemmen oder ausschließen, aber diese Probleme sind im Verhältnis zu technischen Störungen oder Systemzusammenbrüchen aufgrund von Angriffen oder Versagen der Betriebssysteme nachrangig zu bewerten. Datenhaltung und Datensicherung 2.2.2 Datenbankmodelle Relationale Datenbanken haben sich zum Standard entwickelt, sie werden jedoch zunehmend durch objektorientierte Datenbanken – auch als „postrelationale DB“ bezeichnet – ersetzt. Ursachen hierfür sind der wachsende Bedarf an einer multidimensionalen Betrachtung von Objekten und die rasche Verbreitung objektorientierter Programmiersprachen. Relationales Datenbankmodell: Die Daten werden in relationalen Datenbanken grundsätzlich in Form von Tabellen (Zeilen und Spalten) verwaltet, wobei die Zeilen die Datensätze und die Spalten die einzelnen Datenfelder darstellen. Beispiel: Datei „Buch“ in einer Bibliotheks-Datenbank: In der Buchdatei besteht ein Datensatz aus den Attributen Titel, Verlag, Preis, Erscheinungsdatum, Erscheinungsort und Entleihdatum; indiziert wird ein Datensatz über seinen Ordnungsbegriff „OB-Buch“, der in diesem Beispiel die Inventarnummer darstellt. In den Datensätzen der Buchdatei ist außerdem das Verweismerkmal auf die Datei gespeichert, in der die Namensmerkmale des Autors gespeichert sind (OB-Autor verweist auf die Autoren-Datei). Abbildung 2.2: Relationales Datenbankmodell (vereinfachte Darstellung) 41 Grundlagen der Informationstechnik Die Verknüpfung der einzelnen Dateien erfolgt über die Ordnungsbegriffe (Primärschlüssel). Soll zum Beispiel ermittelt werden, welche Bücher eines bestimmten Autors im Buchbestand enthalten sind, wird die Buch-Datei über den OB „Autor“ ausgewertet. Bei dieser Auswertung werden neben dem Namen und der Anschrift des Autors, die über die Autoren-Datei (Verknüpfung über OB „Autor“ aus der Buch-Datei: Vorname und Familienname) und die weitere Verknüpfung über den OB „Adresse“ für den Zugriff auf die „Adress-Datei Autor“ ermittelt werden, die im Bestand geführten Bücher für den selektierten Autor ausgegeben. Objektorientiertes Datenbankmodell: Ein objektorientiertes Modell besteht aus einer Menge von Objekten, die über Nachrichten miteinander kommunizieren. Objekttypen besitzen sowohl Attribute als auch Methoden. Jedes Objekt ist über einen Bezeichner eindeutig ansprechbar. Diese Objekte können gekapselt sein, das heißt die gespeicherten Attribute können nur über die objektspezifizierten Methoden angesprochen werden. Objekte werden in Klassen nach logischen Merkmalen gebündelt. Eine Klasse beschreibt daher eine Gruppe von Objekten mit ähnlichen Eigenschaften und einem gemeinsamen Verhalten (Methoden) sowie die Beziehungen zu anderen Objekten. In Bezug zu ihrer Klasse werden die Objekte als Instanzen bezeichnet. Beispiel: Bibliotheks-Datenbank In diesem Beispiel existieren die Klassen Buch, Autor, Kunde, Adresse Autor und Adresse Kunde. Die Klassen besitzen Beziehungen untereinander, die unter anderem durch die Übernahme eines neuen Buches in den Bestand, die Ausleihe und das Zurückstellen von entliehenen Büchern oder die Aussonderung von Büchern aus dem Inventarbestand beschrieben werden können. Im Gegensatz zum relationalen Modell können bei einer objektorientierten Datenbank Änderungen nur über Methoden erfolgen, die hinterlegt sind. Eine Methode mit der Bezeichnung „Preisänderung“ könnte dazu verwendet werden, den Preis für ein Buch in der Buchdatei zu ändern. Eine andere Methode „Buchattribute“ gibt in einer Auflistung die Daten von selektierten Büchern sowie den Namen des Autors aus, der über die Verbindung zur Autorendatei (OB „Autor“ in der Buchdatei) indiziert wird. Im Gegensatz zu relationalen Datenbanksystemen eignen sich objektorientierte Datenbanksysteme auch für die Speicherung von Attributen mit einer komplexen Struktur. Ein weiterer Vorteil ist die gemeinsame Speicherung von Daten und Methoden, die hierdurch auch gemeinsam rekonstruiert und/oder im Rahmen von Suchoperationen abgefragt werden können. Verteilte Datenbanken: Generell wird bei verteilten Datenbanken (distributed database) von einem Modell ausgegangen, das mehrere physisch voneinander unabhängig arbeitende Daten42 Datenhaltung und Datensicherung banken wie ein einziges logisches System erscheinen lässt. Verbunden sind sie über Netze, die dem Nutzer die Sicht einer zentralen Datenbasis vermitteln. Neben den Funktionen einer nicht verteilten Datenbank müssen bei diesem Modell noch zwei zusätzliche Komponenten vorhanden sein: der Datenmanager und der Transaktionsmanager. Der Transaktionsmanager ist ein Programm, das auf jedem Rechner ausgeführt wird, der auf das verteilte Datenbanksystem zugreifen muss. Dieser kümmert sich darum, dass die Anfragen der einzelnen Clients an die richtige Datenbank weitergeleitet werden. Der Datenmanager wird auf jedem Datenbanksystem innerhalb des Gesamtkonzeptes ausgeführt. Der Datenbankmanager stellt sicher, dass die Abfrageergebnisse an die richtigen Clients bzw. an den richtigen Transaktionsmanager gesendet werden. Die Einrichtung verteilter Datenbanken ist dann unkritisch, wenn es sich durchgängig um Daten handelt, die nur an einem Speicherort vorhanden sind. Diese Konstellation ist jedoch eher die Ausnahme. Überwiegend handelt es sich um so genannte „partitionierte Daten“, wobei die Gesamtheit eines Datenbestandes auf mehrere Rechner verteilt wird, so zum Beispiel die Kundendaten pro Filiale, oder um die Replikation eines Datenbestandes. Dieses Submodell impliziert die Mehrfachspeicherung des gesamten Datenbestandes oder eines Teils davon, zum Beispiel am Standort der Unternehmenszentrale auf einem stationären Rechner und auf mobilen Systemen im Außendienst. Werden Daten nicht nur an verschiedenen Orten gehalten, sondern auch verändert, so müssen diese miteinander abgeglichen werden. Damit keine Inkonsistenzen auftreten, muss das verteilte Datenbanksystem Mechanismen zur Behebung von Konflikten zur Verfügung stellen. 2.2.3 Hinweise zum Datenschutz Für den bDsb stellen sich bei dem eben behandelten Thema zunächst die Fragen, ob den Grundsätzen der Datenvermeidung und -sparsamkeit (§ 3a BDSG) gefolgt wurde und ob bei den personenbezogenen Daten, deren Speicherung und Verarbeitung von der verantwortlichen Stelle gefordert wird, die Zulässigkeit der Erhebung, Speicherung und Verarbeitung bejaht werden kann (§ 4 BDSG). Beim Einsatz von Datenbanksystemen sind weitere Prüffragen zu stellen, die die Eigenschaften dieser Technologie berücksichtigen. Die folgende Übersicht beinhaltet einige der wesentlichen Fragen. 1. Welche Datenbestände werden in welcher Datenbank zusammengefasst? 2. Welche Stellen sind für die datenschutzkonforme Datenhaltung in den Datenbanken verantwortlich? 3. Welche Benutzer in den verantwortlichen Stellen dürfen auf welche Daten zugreifen? Existieren hierfür entsprechende Berechtigungskonzepte? 43 Grundlagen der Informationstechnik In einem Berechtigungskonzept werden Rollen definiert, die durch Personen besetzt werden. Beispiel: Berechtigungskonzept für Rollen in der Personalverwaltung [Ausschnitt] In der Rolle …….sachbearbeitung (Sb) werden alle Aufgaben eines Tagesgeschäftes abgewickelt. Dabei wird auch – mit Blick auf Vertretungssituationen – die Zuständigkeit nicht weiter differenziert. Das bedeutet, dass alle Mitarbeiterinnen und Mitarbeiter in dieser Rolle alle fachlichen Vorgänge durchgängig bearbeiten. Dementsprechend stehen alle fachlichen Vorgänge, die von der Anwendung angeboten werden, diesen uneingeschränkt zur Verfügung. Auswertungen im Verfahren dürfen nur von der Rolle „Auswertungen“ erstellt werden. Den einzelnen Rollen werden entsprechende Zugangs- und Zugriffsrechte eingeräumt. Die erste Tabelle gibt eine Übersicht über die Kennzeichnung der Zugriffsrechte, aus der zweiten Tabelle ist beispielhaft erkennbar, wie diese Rechte dann einzelnen Rollen zugeordnet werden. Daten eines Vorgangs (zum Beispiel Eingruppierung, Urlaubsgewährung) lesen neu anlegen ändern löschen Kennziffer 0 1 2 Die grau unterlegten Felder markieren die jeweilige Berechtigung. Vorgang Rolle Sb Rolle AuswE Eingruppierung 0 1 Urlaubsgewährung 0 1 ……. 4. Ist die verantwortliche Stelle berechtigt, Abfragen unter Anwendung von Abfragesprachen zu beschreiben und durchzuführen? Existieren hierfür Regelungen, die die Einhaltung der Rechtsnormen zum Datenschutz gewährleisten? 44 Datenhaltung und Datensicherung Der Einsatz von Abfragesprachen durch den Anwender – also die verantwortliche Stelle oder einen autorisierten Dritten – ist sowohl unter datenschutzrechtlichen als auch unter sicherheitstechnischen Aspekten nicht unbedenklich. Dabei ist zu berücksichtigen, dass Abfragesprachen häufig für Ad-hoc-Auswertungen, die eine Vielzahl von Fällen erfassen, verwendet werden. In der Praxis bedeutet dies, dass keine Auswertung15 ohne eindeutigen Auftrag erfolgen darf. Vor Auftragserteilung ist jeweils die Zulässigkeit anhand der Grundsätze des Datenschutzes (zum Beispiel Zweckbindung, Datenvermeidung) zu prüfen. Für diese und ähnliche Fälle muss eine klare Regelung getroffen werden, die die Zuständigkeit für die interne Auftragsvergabe, Form und Inhalt des Auftrages, hier insbesondere die Begründung für die Auswertung (Zulässigkeit und Zweckbestimmung), die Zuständigkeit für die Auftragskontrolle und die Anforderungen an die Dokumentation der Auftragsdurchführung als verbindliche Handlungsanweisung vorgibt. Es muss weiter sichergestellt sein, dass Auswertungen unter Anwendung von Abfragesprachen oder anderen Werkzeugen, die nicht Bestandteil der für fachliche Zwecke eingesetzten Anwendungssoftware sind – zum Beispiel Standardsoftware für das Personalmanagement –, nur unter Kontrolle des Rechtemanagements im DBMS ablaufen. 5. Sind das Datenbanksystem und die datenbankbasierten Anwendungen gegen interne und externe Angriffe geschützt? Wurde für die Anwendungen eine Freigabe erteilt? Wurde die Freigabe auch für Änderungen der Anwendung erteilt? Erfolgt der Zugriff auf die Datenbank über externe Netze, so müssen Schutzmaßnahmen gegen den unbefugten Zugriff auf Daten von innen und außen ergriffen werden. Es muss verhindert werden, dass Unbefugte in das Datenbanksystem eindringen und Daten lesen, verändern und löschen können. Bei einer Übermittlung personenbezogener Daten über externe Netze sollte eine Verschlüsselung mit sicheren Schlüssellängen erfolgen. 6. Existiert ein Sicherungskonzept für die Sicherung und die Wiederherstellung der Datenbank oder von Teilen davon nach Verlust der Datenintegrität oder der Verfügbarkeit? Wird die Wirksamkeit der Regelungen durch entsprechende Erprobungen nachgewiesen? Wird die ordnungsgemäße Durchführung von 15 Auswertung einer Gruppen von Daten oder des gesamten Datenbestandes nach bestimmten Merkmalen. 45 Grundlagen der Informationstechnik Sicherungen und Wiederherstellungen überprüft? Sind die Sicherungskopien gegen Diebstahl geschützt? Eine Möglichkeit, die Sicherungskopien zu schützen, ist deren durchgängige Verschlüsselung. Dieser Forderung nach Sicherheit stehen allerdings in der Praxis Performancefragen und ein unzureichendes Schlüsselmanagement entgegen. 7. Wird das Datenbanksystem durch neue Programmstände regelmäßig aktualisiert? Wird nach einer Aktualisierung die Integrität und Verfügbarkeit der Daten überprüft? 8. Können durch Eingaben ungewollte Effekte in der Datenbank ausgelöst werden? Die sorgfältige Filterung von Eingaben und Parametern ist besonders bei WebAnwendungen erforderlich. Bei der Prüfung von Eingaben sollten alle Zeichen, die in der Datenbank (oder einem anderen Subsystem, das die übergebenen Daten verarbeitet) eine besondere Bedeutung für deren Steuerung haben, durch Ersatzzeichen, die für die weitere Verarbeitung geeignet sind, ausgetauscht werden. Für die Implementierung des Filters sollte stets ein Whitelist-Ansatz („Zulässig ist nur das, was ausdrücklich erlaubt ist“) gewählt werden, da beim Blacklist-Ansatz („Erlaubt ist alles, es sei denn, es ist explizit verboten“) immer die Gefahr der Unvollständigkeit und der Umgehbarkeit besteht. 2.3 Konzepte und Verfahren zur Datensicherung Der Verlust von Daten nach technischen Defekten, Benutzerfehlern oder auch infolge von vorsätzlichen Angriffen kann nur dadurch verhindert werden, dass man über hinreichend vollständige und aktuelle Kopien der Daten verfügt. Anders als physikalische Objekte wie Hardware und Netzwerke lassen sich verlorene Daten nämlich nicht oder nur mit unverhältnismäßig hohem Aufwand rekonstruieren. Es bedarf daher geeigneter Verfahren zur Sicherung und Wiederherstellung von Daten nach einem Datenverlust. Eine ordnungsgemäße Datensicherung setzt voraus, dass das Konzept zur Sicherung und zur Wiederherstellung von beschädigten oder in Verlust geratenen Dateien die Wiederherstellung eines ordnungsgemäßen Zustandes der betroffenen Daten zeitnah zum Schadenseintritt ermöglicht, dass dieses Konzept durch entsprechende Verfahren realisiert wird, diese Verfahren auch entsprechend den Vorgaben eingesetzt werden und der Fall der Wiederherstellung auch erprobt wird. In der Praxis ist dies jedoch durchaus nicht der Regelfall. Oft wird eine Datensicherung vergessen, oder Fehler, die bei der Durchführung aufgetreten sind, werden nicht sorgfältig analysiert. Es werden keine geeigneten Sofortmaßnahmen zur Fehlerbeseitigung ergriffen, oder es wird auf die Simulation eines Schadensfal46 Datenhaltung und Datensicherung les mit dem Versuch einer Wiederherstellung aus vorhandenen Sicherungsbeständen verzichtet. Dies kann im Ernstfall zu erheblichen zeitlichen und fachlichen Problemen bei der Rekonstruktion des Systemzustandes vor dem Ereigniszeitpunkt führen. Datensicherung erfolgt durch Erstellung von Kopien. Diese Kopien sollten nicht am Standort der Speicher, auf denen die Originale vorgehalten werden, sondern an einem anderen Ort aufbewahrt werden. Werden als Sicherungsmedien fest installierte Plattenspeicher verwendet, so müssen sich diese ebenfalls an einem anderen Standort, zum Beispiel in einem räumlich entfernten Rechenzentrum, befinden. Datenwiederherstellung (recovery) ist ebenso wie Datensicherung ein notwendiger Basisdienst jeder automatisierten Datenverarbeitung. Die Organisation der Backup- und Recovery-Verfahren zur schnellen und vollständigen Wiederherstellung von zerstörten oder in unzulässiger Weise manipulierten Datenbeständen ist eine Gemeinschaftsaufgabe der für die Speicherung und Verarbeitung verantwortlichen Stellen im Unternehmen, der System- und Datenbankadministration und des bDsb. Die Organisationsregeln sollten in einem Konzept zur Sicherung und Wiederherstellung von Daten beschrieben werden. Bei der Entwicklung von geeigneten Konzepten als Grundlage für die Realisierung der entsprechenden Verfahren sind folgende Grundsätze zu beachten: Ein Backup verhindert nicht die Störung, die zum Datenverlust führt. Vielmehr hilft ein Backup bei der Bewältigung von Störungen und deren Folgen und ist deshalb ein Teil der Notfallvorsorge des Unternehmens. Für die Wiederherstellung von Datenbeständen sollten Checklisten erstellt werden, die alle erforderlichen Aktionen in einer vorgegebenen Reihenfolge beinhalten. Diese Checklisten müssen unter realen Bedingungen auf Vollständigkeit und Richtigkeit überprüft werden (Verifikation des BackupKonzeptes). Die technische Konzeption muss berücksichtigen, dass man aus einem Sicherungsbestand die Originaldaten in einer Form wiederherstellen kann, in der diese von den Anwendungen verarbeitet werden können. Geht also zum Beispiel ein Textdokument verloren, das mit einer bestimmten Textverarbeitungssoftware erstellt wurde, so muss nach der Wiederherstellung eine Datei verfügbar sein, die mit dem gleichen Programm bearbeitet werden kann. Technik und Verfahren der Datensicherung sind grundsätzlich beliebig. Die Sicherung muss weder physikalisch noch strukturell mit dem Original übereinstimmen. Wichtig ist nur, dass das Original aus der Sicherung wiederherstellbar ist. 47 Grundlagen der Informationstechnik Backup-Lösungen sollten die Möglichkeiten vorhandener Datenbanksysteme zur Sicherung und Wiederherstellung von Daten ebenso berücksichtigen wie vorhandene Speichertechnologien zur Spiegelung von Datenbeständen und andere Mechanismen – zum Beispiel RAIDMagnetplattensysteme – und diese in das Konzept integrieren. Die erwähnte Verifikation des Backups durch die Erprobung von Verfahren zur Wiederherstellung ist erforderlich, um folgende Fragen insgesamt oder teilweise im Kontext der jeweiligen Organisation der Datensicherung beantworten zu können: Sind die Datenträger brauchbar? Sind sie auffindbar und lesbar? Enthalten sie verwendbare Daten? Ist das Recovery-Verfahren in der bereitgestellten Systemumgebung ablauffähig? Funktioniert das Zusammenspiel von Recovery mit Datenbanksystemen und Speicherlösungen? Sind die Wiederherstellungsprozesse vollständig? Laufen sie fehlerfrei ab? Kennen die für Datensicherung und Wiederherstellung zuständigen Beschäftigten die Ablauffolge der Aktivitäten in den Prozessen? Sind sie mit der Behandlung von Fehlern vertraut? Funktioniert die Datenwiederherstellung auch im laufenden Wirkbetrieb? Welche Zeit wird für ein Recovery bei unterschiedlichen Anforderungen, die sich aus einem Total- oder Teilverlust von Daten ergeben, benötigt? Können die wiederherstellten Daten mit den Anwendungen problemlos verarbeitet werden, oder treten Inkonsistenzen auf? Das Konzept sollte nicht nur die Regeln für die Planung und Durchführung von Verfahren zur Sicherung und Wiederherstellung beinhalten, sondern auch das Restrisiko beschreiben, das bei aller Sorgfalt nicht auszuschließen ist; Beispiel: Defekt eines Sicherungsmediums. Eine absolute Sicherheit ist nicht möglich, allerdings könnte im genannten Beispiel das Restrisiko gemindert werden, indem die Originaldaten zweifach zum gleichen Zeitpunkt auf zwei physikalisch getrennte Speicher kopiert werden. Da Datensicherung auch eine wirtschaftliche Komponente ist, muss ein erhöhter Aufwand in einem vertretbaren Aufwand zum Schutzwert der Daten stehen, der von der verantwortlichen Stelle bestimmt wird. Bei den Verfahren zur Datensicherung wird zwischen der Vollsicherung, der Differenzsicherung und der inkrementellen Sicherung unterschieden: 48 Vollsicherung ist die Erstellung einer vollständigen Kopie des zu sichernden Datenbestandes. Dieses Verfahren ist bei komplexen Datenbeständen Datenhaltung und Datensicherung zeitaufwendig und daher für eine häufige, zum Beispiel tägliche Sicherung großer Datenbestände nur bedingt tauglich. Bei der inkrementellen Sicherung werden nur die Daten gesichert, die seit dem Datum der zuletzt durchgeführten Datensicherung – Voll- oder inkrementelle Sicherung – modifiziert oder neu in den Datenbestand eingefügt wurden. Die differenzielle Datensicherung funktioniert ähnlich wie die inkrementelle Datensicherung. Hier werden ebenfalls alle Daten gesichert, die sich seit der letzten Datensicherung verändert haben oder neu hinzugekommen sind. Der Unterschied liegt darin, dass immer alle Änderungen im Vergleich zur letzten Volldatensicherung gespeichert werden. In der Praxis werden mehrstufige Verfahren eingesetzt, die die Vor- und Nachteile der beschriebenen Lösungen ergänzen. Beispiel: An jedem ersten Samstag im Monat wird eine Vollsicherung durchgeführt. An den übrigen Samstagen erfolgt eine Differenzsicherung, die jeweils alle Veränderungen gegenüber der Vollsicherung enthält. An den übrigen Tagen werden inkrementelle Sicherungen durchgeführt, sie beinhalten die Änderungen gegenüber den Sicherungen der jeweils letzten Sicherung, unabhängig davon, ob es eine Voll-, Differenz- oder inkrementelle Sicherung war. Die folgende Tabelle gibt im Ausschnitt einen Überblick über die Sicherungsverfahren (Ds = Differenzsicherung, Is = inkrementelle Sicherung): Tag 1: 1. Samstag im Monat – Vollsicherung Mo Di Mi Do Fr 2.Sa Mo Di Mi Do Fr 3.Sa Art der DS Is Is Is Is Is Ds Is Is Is Is Is DS Tag Nr. 2 3 4 5 6 7 8 9 10 11 12 13 Die Differenzsicherungen am 2. und 3. Samstag beinhalten jeweils alle Änderungen, die seit der Vollsicherung am 1. Samstag im Datenbestand vorgenommen wurden. Die inkrementellen Sicherungen nehmen dagegen nur die Änderungen gegenüber der jeweils letzten Sicherung auf, die Datensicherung am Tag 2 erfasst die Modifizierungen seit dem Sicherungszeitpunkt des Tages 1, die Sicherung des 49 Grundlagen der Informationstechnik Tages 5 übernimmt alle Veränderungen seit dem Zeitpunkt der inkrementellen Sicherung am Tag 4 usw. Das mehrstufige Verfahren entspricht dem so genannten Generationenprinzip, auch als Großvater-Vater-Sohn-Prinzip bezeichnet. Dieses Prinzip stellt sicher, dass immer mehrere Sicherungen in verschiedenen zeitlichen Abstufungen vorhanden sind. Damit soll gewährleistet werden, dass auch bei einem Verlust von Sicherungsbeständen eine Wiederherstellung erfolgen kann. Im Beispiel ist die Vollsicherung am 1. Samstag im Monat die Stufe 0 (Großvater), die Differenzsicherungen (Stufe 1) die „Väter“ und die inkrementellen Sicherungen (Stufe 2) die „Kinder“. Kritisch ist hier allerdings die Großvater-Sicherung, wenn diese aufgrund eines technischen Defektes nicht mehr lesbar ist. Dieses Risiko kann durch eine mehrfache Kopieerstellung für den Sicherungsbestand der Stufe 0 reduziert werden. Erfolgt die Datensicherung auf bewegliche, wechselbare und mehrfach beschreibbare Datenträger, muss auch für diese das Generationenprinzip gelten, Beispiel: Bereitstellung von Sicherungsdatenträgern für drei Monate. Auch der Einsatz eines mehrstufigen Verfahrens, wie er in diesem Beispiel beschrieben ist, verhindert nicht unbedingt den Verlust von Transaktionen, also von Änderungsvorgängen, die seit der letzten Datensicherung vorgenommen wurden. Hier stellt sich die Frage nach der maximalen Datenverlustrate. In Bereichen mit einem hohen Transaktionsaufkommen pro Tag kann es dann notwendig werden, auch im Tagesverlauf eine inkrementelle Datensicherung durchzuführen, soweit nicht die betroffenen Transaktionen aus Aufzeichnungen von Datenbanksystemen rekonstruiert werden können. Diese einfache Problembeschreibung macht deutlich, dass man sich vor der Erstellung des bereits mehrfach angesprochenen Konzeptes für die Sicherung und Wiederherstellung von Daten Gedanken machen muss über Fragen wie 50 Wo liegen die zu sichernden Daten? Sind sie in Datenbanken oder einzelnen Dateien gespeichert? Welche Anwendungssoftware benötigt diese Daten? Kann mit der Software nach einer Datenwiederherstellung eine Prüfung auf Vollständigkeit und Integrität der Daten durchgeführt werden? Wie wird die tolerierbare Ausfallzeit bemessen, in der die Daten nicht zur Verfügung stehen? Kann eine Wiederherstellung der Daten in dieser Zeit aus Sicherungsbeständen erfolgen? Wurde die Wiederherstellung bereits erprobt? Wie hoch ist die maximale Datenverlustrate? Wie können verlorene Transaktionen wiederholt werden? Existieren hierfür verwertbare Aufzeichnungen oder müssen die Änderungen aus Belegen rekonstruiert werden? Datenhaltung und Datensicherung Sind die Anforderungen aus der Notfallplanung berücksichtigt? Werden Programme, Prozeduren und die Dokumentation für die Installation und Benutzung der Software in die Notfallsicherung einbezogen? In welchen Zyklen wird diese Sicherung erstellt? Ist sichergestellt, dass am Ort der Auslagerung kein unbefugter Zugriff auf diese Sicherung erfolgen kann? Bei der Organisationsgestaltung müssen weitere rechtliche und sicherheitstechnische Anforderungen berücksichtigt werden: Nach den Datenschutzgesetzen müssen personenbezogene Daten, die unberechtigt gespeichert wurden oder die nicht mehr benötigt werden, gelöscht werden. Soweit sich diese Daten auch in Kopien befinden, wird das Löschen implizit durch das periodische Überschreiben der Sicherungsmedien realisiert. Entsprechendes gilt für Sperrvermerke, die in die Dateien aufgrund entsprechender Aktionen der Betroffenen eingetragen werden. Für die Prüfung auf Einhaltung von Integritätsregeln und Unversehrtheit der Daten sollten Prüfprogramme existieren. Die Kopien müssen in einem vom Ort der Datenhaltung für die Originaldaten – zum Beispiel ein Rechenzentrum – räumlich getrennten Bereich, der in einer anderen Brandschutzzone liegt, sicher aufbewahrt werden. Der Zutritt zu diesen Bereichen ist besonders zu regeln. Die Sicherheitsklassifizierung dieser Bereiche ist hoch. Die Zu- und Abgänge sind nach Art, Menge und Grund zu dokumentieren und mindestens durch Handzeichen zu bestätigen. Für Kopien, die an anderen Standorten außerhalb des Unternehmens aufbewahrt werden – zum Beispiel als Sicherungsbestand für den Notfall –, muss eine sichere Transportlogistik eingerichtet werden. Dabei muss gewährleistet sein, dass die Transportbehältnisse weder von der einlagernden Stelle noch von den Überbringern ohne feststellbare Gewalteinwirkung geöffnet werden können. Die Vollständigkeit der Auslagerung ist von den beteiligten Stellen zu quittieren. Der Zugriff auf Kopien muss autorisiert werden. Dies gilt insbesondere für Datenträger mit empfindlichen Daten. Die Durchführung von Backup- und Recovery-Verfahren muss lückenlos protokolliert werden. Mobile Rechner und Geräte, die für geschäftliche Zwecke zur Verfügung gestellt und genutzt werden, müssen in das Konzept zur Sicherung und Wiederherstellung einbezogen werden. Hierfür bieten sich mehrere Lösungen an: 51 Grundlagen der Informationstechnik Übertragung sicherungsrelevanter Daten in gesicherten Übermittlungsverfahren über öffentliche Netze zu bestimmten Zeitpunkten in das zentrale IT-System, Erstellung von Kopien zu bestimmten Zeitpunkten auf wechselbare Datenträger. Die erste Variante kommt dann in Betracht, wenn zum Beispiel im Außendienst Änderungen an Daten vorgenommen werden, die auf dem mobilen System redundant zur Datenhaltung in einer zentralen Datenbank gespeichert sind. Damit wird auch sichergestellt, dass replizierte Bestände mit dem zentralen Bestand regelmäßig abgeglichen werden. Die Kopieerstellung auf wechselbaren Datenträgern sichert die Daten, die nicht in die zentrale Datenhaltung übernommen werden – zum Beispiel Kalender, Adressverzeichnisse, Notizen – oder durch das IT-Management in der Zentrale betreut werden. Auf dem Markt werden zahlreiche Medien angeboten, die neben einer ausreichend dimensionierten Speicherkapazität auch über integrierte Sicherheitsmechanismen verfügen, zum Beispiel für die Verschlüsselung von Daten oder sie geben den Zugriff erst nach Verifikation biometrischer Erkennungsmerkmale frei. 52 3 Anwendungen 3.1 Einführung Der Begriff Anwendung steht als Synonym für jede Form von Anwendungssoftware, die betriebliche Leistungsprozesse unterstützt. Auch in diesem Bereich vollzieht sich eine evolutionäre Entwicklung, die noch nicht beendet ist. Ihre Kernziele können mit den Stichworten Enterprise Software und E-Commerce beschrieben werden. Waren die Anwendungen früher auf bestimmte, organisatorisch und aufgabenspezifisch abgegrenzte Funktionsbereiche des Unternehmens ausgerichtet, so unterstützen heute ERP-Systeme durchgängige Leistungsprozesse über alle Funktionsbereiche hinweg, öffnen sich zum elektronischen Geschäftsverkehr und zu Management-Informationssystemen und bieten damit einen erheblichen Mehrwert, der in einer effizienteren Gestaltung der Prozessstrukturen und in verbesserten Marktchancen sichtbar wird. Dieser Wandel bringt allerdings auch Nachteile, nämlich für Kunden und Beschäftigte, deren Daten in integrierten Softwarepaketen und Data-WarehouseSystemen gespeichert, zu neuen Informationsbildern verknüpft und für die Organisationsgestaltung und gezielte Bewerbung verwendet werden. Beide Personenkreise haben zum Unternehmen einen Grundbezug durch vertragliche Verpflichtungen zur Leistungserbringung und zur Abnahme und Bezahlung bestellter Waren bzw. Dienstleistungen. Die Unternehmen gehen aber darüber hinaus, weil die Software ihnen diese Möglichkeiten bietet. Daher muss die Frage nach der Zulässigkeit immer wieder gestellt werden. Unter diesem Aspekt werden in diesem Kapitel nicht nur die funktionalen und technischen Merkmale von Anwendungen betrachtet. Die Gewährleistung des Datenschutzes wird in den Kontext der jeweiligen Software gestellt. 3.2 Grundbegriffe Anwendungssoftware: Anwendungssoftware ist die Summe aller Arten von Software, die im Unternehmen für die voll- oder teilautomatisierte Abwicklung von Leistungsprozessen eingesetzt werden. Systemumgebung: Die Anwendungssoftware benötigt für die Herstellung ihrer Ablauffähigkeit Basisleistungen der informationstechnischen Infrastruktur. Diese baulichen, technischen und organisatorischen Voraussetzungen für die Installation, Anpassung und bestimmungsgemäße Nutzung der Anwendungssoftware – Grundlagen der Informationstechnik Standort, Energieversorgung, Klimatisierung, Rechner, Betriebssysteme, Datenbanken, Netzwerke – bilden in ihrer Gesamtheit die Systemumgebung16. Softwarevarianten Kommerzielle Software: Kommerzielle Software wird von Unternehmen als Standardsoftware für einen Markt potenzieller Interessenten entwickelt, um einen Profit zu erwirtschaften. Fast jede kommerzielle Software ist auch proprietär. Kommerzielle Software wird vom Eigentümer bei der Überlassung an Dritte lizenziert. Proprietäre Software: Proprietäre (herstellerspezifische) Software kann als das Gegenteil von freier Software bezeichnet werden. Zu dieser Kategorie zählt auch die Individualsoftware. Ihre Vervielfältigung, Weiterverbreitung und Modifizierung ist untersagt. Die Überlassung an Dritte unterliegt den Lizenzbedingungen des Herstellers, der als Eigentümer der Software vom Urheberrecht geschützt wird. Dem Hersteller obliegt die Gewährleistung für die Software. Public Domain Software: Bei der Public Domain Software ist dem Nutzer die Vervielfältigung, Verbreitung und Veränderung uneingeschränkt und vorbehaltlos erlaubt. Entscheidet sich ein Autor dazu, sein Werk als Public Domain zu erklären, so tritt er alle seine Rechte und Ansprüche daran an die Allgemeinheit ab. Open Source: Bei Open Source Software (OSS) ist der so genannte Quellcode offengelegt und somit allgemein zugänglich. Das betrifft sowohl den Quellcode als auch das mit Hilfe eines Übersetzers (compiler) daraus gebildete maschinenlesbare Programm und die dazugehörige Dokumentation. Die Verwertung, Vervielfältigung und Bearbeitung ist nicht vorbehaltlos gestattet, denn bei der Open Source Software wird vielfach die Einräumung von Nutzungsrechten von bestimmten Voraussetzungen abhängig gemacht. Die Open Source Initiative (OSI) ist ein gemeinnütziger Zusammenschluss, der die Festlegung einer einheitlichen Definition und eines einheitlichen Standards von Open Source Software zum Ziel hat. Die beiden bekanntesten Lizenzen für Open Source Software sind GPL (General Public License) und BSD (Berkeley Software Distribution). Diese beiden Lizenzen unterscheiden sich. Unter der GPL veröffentlichte Software darf ein Nutzer nur weiterverbreiten, wenn dies wiederum unter den Bedingungen der GPL geschieht. Der Entwickler unterstellt aufgrund seines Urheberrechts (copyright) die Software bestimmten Nutzungs- und Vertriebsbestimmungen, die jedem erlauben, das 16 54 Der Begriff der Anwendungssoftware wird in der Praxis mit „Anwendung“ und „Verfahren“ gleichgesetzt. Alle drei Begriffe werden in dieser Abhandlung synonym verwendet. Anwendungen Produkt weiterzuverbreiten und zu verändern. Gleichzeitig legt der Entwickler fest, dass jede Weiterverbreitung veränderter oder unveränderter Software auch unter der GPL erfolgen muss. Plattform für die Verbreitung von Open Source Software ist das Internet. Zahlreiche Produkte kommerzieller Softwarehersteller wurden auf OS-Basis entwickelt, zum Beispiel verschiedene Derivate des Betriebssystems Linux. Freeware: Der Begriff meint im Allgemeinen proprietäre Software von Herstellern, die ihr Produkt kostenlos verbreiten. Das Kopier- und Weiterverbreitungsverbot ist somit nicht mehr gültig, wohl aber alle anderen einschränkenden Lizenzbedingungen. Die Veränderung ist nicht erlaubt und auch nicht möglich, da der Quellcode nicht zur Verfügung steht. Shareware: Als Shareware wird diejenige Software bezeichnet, die zwar frei kopiert und verbreitet, aber nur zu einem bestimmten Zweck (beispielsweise für den privaten Einsatz) oder über einen gewissen Zeitraum hinweg kostenlos genutzt werden kann. Nach dieser Testperiode (häufig 30 Tage) muss der Benutzer, falls er die Software weiterhin nutzen möchte, eine Lizenzgebühr an den Autor zahlen. Softwarekomponenten: Ab einer bestimmten Komplexität wird Anwendungssoftware in Programmmodule, die allgemein als Softwarekomponenten bezeichnet werden, strukturiert. Dabei bildet jedes Modul eine Funktionseinheit, die mit anderen Modulen auf logischer Ebene interagiert. Die hierfür erforderliche Kommunikation erfolgt über Programmschnittstellen (application program interfaces, API). Vorteil modularer Strukturen sind die leichte Erweiterbarkeit um neue Module und der Austausch von vorhandenen Modulen gegen Neuentwicklungen. Programmschnittstellen: Typische Aufgabe einer Programmschnittstelle (interface) ist die Synchronisation von Funktionen oder der Austausch (Import/Export) von Daten. Bidirektionale Schnittstellen ermöglichen eine programminterne Kommunikation über die Art der Anforderung, die an das „Empfangssystem“ gestellt wird, und die Rückmeldung an den Absender, ob die „Sendung“ vollständig und richtig verarbeitet wurde Über derartige Programmschnittstellen können nicht nur die Module innerhalb eines Softwareproduktes kommunizieren, sondern auch unterschiedliche, selbständige Programme. Beispiel: Übernahme von Materialdaten aus einem elektronischen Beschaffungsverfahren in die automatisierte Anlagenbuchhaltung. Mit dieser Mimik können auch Altsysteme (legacy systems) mit Software, die neue Technologien unterstützt, in einer Funktions- und Datenkopplung genutzt werden. 55 Grundlagen der Informationstechnik 3.3 Individualsoftware und Standardsoftware Individualsoftware ist eine spezifische Software, die entweder für die Unterstützung betrieblicher Leistungsprozesse entwickelt wird, wenn hierfür Standardsoftware nicht verfügbar ist oder diese nicht an organisatorische Gegebenheiten angepasst werden kann oder das Unternehmen sich hinsichtlich der Problembehandlung und Fortentwicklung nicht von den Interessen des Marktes abhängig machen will, oder als so genannte Middleware die Kopplung unterschiedlicher Software zum Beispiel für die Konvertierung von Datenformaten des übergebenden Programms P1 in die Datenformate des Programms P2 ohne Veränderung der Dateninhalte unterstützt. Die Bereitstellung erfolgt entweder durch eigene Entwicklungskompetenz im Unternehmen oder beauftragte Dritte17. Die Anforderungen an die Software werden in einem Pflichtenheft aus fachlicher und technischer Sicht beschrieben. Werden Programme für ein Anwendungsgebiet entwickelt, von dem von vornherein feststeht, dass ein größerer Kreis von Anwendern dieselben oder ähnliche Programme nutzen kann, so spricht man von Standardsoftware. Die gelieferte Software wird durch Customizing auf die individuellen Belange des jeweiligen Anwenders zugeschnitten. Zweck des Customizing ist die Transformation der Standardsoftware aus dem Auslieferungszustand in den von der Organisation gewünschten Soll-Zustand, ohne den Quellcode der Standardsoftware zu verändern. Für die Anpassung von Standardsoftware an die individuellen betrieblichen Anforderungen kommen im Wesentlichen zwei Möglichkeiten in Betracht. Parametrisierung: Das Funktionsspektrum wird durch das Setzen von Auswahlparametern auf den vom Anwender benötigten Funktionsumfang reduziert. Konfiguration: Die Standardsoftware wird durch die Auswahl benötigter Module aus dem Angebot und durch die Definition der Beziehungen dieser Module untereinander gebildet. In der Praxis werden in der Regel Mischformen dieser beiden Vorgehensweisen eingesetzt. Eine weitere Begriffsfassung von Customizing umfasst zusätzlich die Analyse und mögliche Anpassung der Strukturen und Prozesse im einführenden Unternehmen sowie die Anpassung der Software mittels Erweiterungsprogrammierung. 17 56 Ein Fall der Auftragsdatenverarbeitung im Sinne des BDSG.