Zugangssicherheit

Allgemeines

Datensicherheit und Datenschutz haben im TraiNex höchste Priorität. Unter Datensicherheit verstehen wir insbesondere, dass wichtige Daten physisch gesichert werden bzw. gesichert werden können und nicht unberechtigt manipuliert werden können. Unter Datenschutz verstehen wir, dass niemand unberechtigt Einsicht nehmen darf auf Daten, für die er keinen Zugriff haben darf oder soll. Dem TraiNex liegt ein Datenschutz- und Datensicherheitskonzept zu Grunde, welches NICHT öffentlich zur Verfügung gestellt wird. Die Zugangssicherheit ist ein wichtiger Teil dieses Konzeptes und betrifft u.a. die Möglichkeiten, die die Mitwirkung der Nutzer erforderlich macht. Insbesondere für Dozenten und Administratoren wurde spezielle Zugangssicherheit realisiert

1. bereits beim Anlegen eines Mitarbeiters sollte das Passwort mit einer hohen Komplexität angelegt werden. Auch das Login kann komplex gewählt werden, damit niemand es erraten kann.
2. je nach Status des Mitarbeiters wird der Mitarbeiter nach dem Betreten des TraiNex gegebenenfalls dazu aufgefordert, die Komplexität des Passwortes zu erhöhen. TraiNex zeigt während der Passwort-Definition an, wie sicher es das Passwort einschätzt. Solange der Mitarbeiter der Aufforderung zur Erhöhung der Komplexität nicht nachkommt, wird die Startseite funktionell eingeschränkt.
3. jedem Mitarbeiter sollte nur die benötigte Rechtestufe und nur die benötigten Funktionen (Sonderfunktion) zugeordnet werden, die ihm erst danach den lesenden oder schreibenden Zugang zu den speziellen Daten oder Studiengruppen ermöglichen.
4. Die Login-Seite kann im SSL-Modus starten bzw. auf der Loginseite kann jeder Nutzer vor einem Login durch Klick auf das Schloss-Icon in den SSL-Modus wechseln. Mitarbeiter mit Sonderfunktionen werden auf der Startseite nochmals aufgefordert, per Mausklick in den SSL-Modus zu wechseln. Im SSL-Modus wird der komplette Datenverkehr hochgradig verschlüsselt. Auf Wunsch kann der Server so eingerichtet werden, dass eine Nutzung ohne SSL unmöglich ist, was bei einigen wenigen Browsern aber zu Problemen führen kann.
5. Mitarbeiter mit höheren Rechten können nicht gleichzeitig mit unterschiedlichen IP-Adressen, wie es bei Verschleierungssoftware vorkommt, im System unterwegs sein. Sobald sich in einer Session die IP wechselt, muss der Nutzer sich erneut einloggen, um arbeiten zu können.
   

   Auto-Sicherheits-Check.
6. Auto-Sicherheits-Check: Im Bereich Privat/Passwort können Mitarbeiter mit höherem Status den "Auto-Sicherheits-Check" selber aktivieren. Dies führt dazu, dass das TraiNex jedes Login dieses Mitarbeiters vergleicht mit dem historischen Login-Verhalten dieses Mitarbeiters und dem Mitarbeiter eine E-Mail sendet, sobald eine ungewöhnliche Login-Aktivität beobachtet wurde. Dies könnte zum Beispiel ein Login aus dem Ausland oder ein Login zu einer, für den Mitarbeiter, ungewöhnlichen Zeit sein. Der Auto-Sicherheits-Check führt nur zu einer Mail-Warnung und zu keiner funktionellen Einschränkung. (siehe Bild)
   

   TraiNex als LAN-Intranet einrichten bei einem Mitarbeiter, der nur mit einem Rechner/einer IP arbeitet.
7. IP-Restriktionen: Durch den Einsatz von IP-Restriktionen kann das TraiNex von einem WWW-Extranet-System quasi in ein LAN-Intranet-System überführt werden. Dies kann zum Beispiel sinnvoll sein für einen Notenbeauftragten, der innerhalb der Hochschule tagsüber eine feste IP verwendet. Administratoren mit dem Sonderrecht "IP-Restriktionen", sog. IP-Admin, können bei anderen Mitarbeitern festlegen, dass diese das TraiNex nur betreten dürfen mit bestimmten IP-Adressen. Der IP-Admin würde hier zu auf dem Datenblatt des z.B. Notenbeauftragten zunächst prüfen, welche IP-Adressen zu welcher Zeit bisher verwendet wurden. Danach kann der IP-Admin festlegen, welche IP-Adressen zukünftig für diesen Notenbeauftragten erlaubt sind. Die Eingabe von ("192.3.4" / nicht nachts) bedeutet dabei, dass der Notenbeauftragte alle IP-Adressen verwenden kann, die mit 192.3.4 beginnen, allerdings nicht nachts. Wenn eine Restriktion gereift, dann ist für diesen Nutzer keine Hauptnavigation im TraiNex mehr möglich, außer die Buttons Start, Privat und Logout. Auch wird der ungewöhnliche Login in der Logdatei festgehalten. Diese Maßnahme der IP-Restriktion wird von uns empfohlen für Administratoren mit Sonderrechten, die als z.B. Verwaltungsmitarbeiter in einem festen Büro arbeiten. (siehe Bild)
8. Loginfehlversuche werden registriert. Nach einer gewissen Anzahl Fehlversuche wird dem Nutzer eine Warnmail gesendet und nach weiteren Fehlversuchen wird der Zugang für 15 Minuten gesperrt.
9. Komplettverschlüsselung der Passwort-Speicherung: Passwörter werden so gespeichert, dass diese auch bei physischem Tabellenzugriff nicht auslesbar sind (empfohlen von TraiNex und Bundesamt für Sicherheit in der Informationstechnik)
10. Session-Identifikation erfolgt via Cookie oder URL-Token. Der Standard bis 2018 waren URL-Token, seit 2019 sind es Cookies (in Kombination mit Token).
11. URL-Bildnamen werden nur gekrypted in URL übergeben und wenn möglich mit Sicherheits-Abgleichs-Variable.

Folgende Features werden auf Anfrage aktiviert/deaktiviert:

1. Unterscheidung von Groß- und Kleinschreibung beim Passwort für alle Nutzer.
2. Passwort-Export: Deaktivierung des administrativen Passwort-Exportes für Studierende. (Standard und empfohlen)
3. Passwort-Anforderung: die Passwortanfrage bei "Zugangsdaten vergessen" sendet statt den Zugangsdaten nur einen Rücksetzlink. (Standard und empfohlen)
4. Session-Footprint: Mitarbeiter ab einem bestimmten Recht dürfen während einer Session nicht den Browser oder das Betriebssystem wechseln dürfen (digital footprint/Standard und empfohlen).
5. Auto-Logout: der automatische Logout bei Inaktivität loggt den Benutzer nach einer allgemein festgelegten Zeit (z.B. 45 Minuten) automatisch aus. Je höher das Recht des Nutzers, desto kürzer die akzeptierte Inaktivitätszeit. (Standard und empfohlen)
6. die AGB verdeutlichen dem Nutzer einen angemessenen Umgang mit TraiNex-Daten. (Standard und empfohlen)
7. Zweifaktor-Authentisierung, um den Login-Vorgang abzusichern
8. Die aktuelle Konfiguration findet sich im Bereich der Logdatei.

Weitere Sicherheitsfunktionen, z.B. bezüglich der Session-Identifikation, SQL-Injektion-Abwehr oder Session-Hijacking sowie Honigtöpfen, sind nur nicht-öffentlich und nur ggf. auf Anfrage zugänglich. Bitte bedenken Sie: Höhere Sicherheitshürden können zu eingeschränkter Nutzungsmöglichkeit des TraiNex führen. Das Sicherheitslevel sollte deshalb mit Trainings-Online abgesprochen, optimiert und geplant werden. Beachten Sie auch den zugehörigen Workshop "Experte SH/Sicherheitskonzepte" unter http://akademie.trainings-online.de

TraiNex-Akademie

Bitte beachten Sie dazu auch das Schulungsangebot der TraiNex-Akademie und besuchen Sie die Online-Schulung Sicherheitskonzepte.
Den nächsten Termin erfahren Sie im Schulungsprogramm unter http://Akademie.Trainings-Online.de

Sonderfunktion

Mit dem Sonderrecht 103 lassen sich IP-Adressen beschränken (notwendig: Recht der Nutzerverwaltung Doz Nr. 38)

Siehe auch

Datenschutzgrundverordnung: DSGVO

Letzte funktionale Änderungen

• August 2020: Aktivierung einer Zusatz-Firewall um "distributed denial-of-service"-Attacken besser abwehren zu können sowie verdächtige Anfragen automatisch gesondert behandeln zu können
• Oktober 2019: Zugangssicherheit/Zweifaktor-Authentisierung: Neben Papier-Pass-Code-Tabelle nun auch möglich mit der Google-Authenticator-App
• Juli 2019: Umstellung auf Cookie-Session-Identifikation in Kombination mit URL-Token als Standard
• April 2019: Login-Seite: Bei der Anforderung der Zugangsdaten muss aus Gründen der Zugangssicherheit auch ggf. ein CAPTCHA eingegeben werden.
• April 2019: Zugangssicherheit: Optionale Aktivierung der Zweifaktor-Authentisierung
• September 2016: Zugangssicherheit: verbesserte Komplettverschlüsselung der Passwort-Speicherung