BSI: IT-Sicherheitskennzeichen für mobile Endgeräte
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt die neue Produktkategorie „Mobile Endgeräte“ für das IT-Sicherheitskennzeichen ein. Hat ein IT-Gerät das IT-Sicherheitskennzeichen des BSI, können Verbraucher auf einen Blick das Herstellerversprechen für ein angemessenes IT-Sicherheitsniveau erkennen.
Mobile IT-Geräte wie Smartphones und Tablets speichern und verarbeiten eine Vielzahl relevanter und zum Teil persönlicher Daten wie Fotos, Videos, Textnachrichten und Kontakte. Ein angemessenes IT-Sicherheitsniveau mobiler Endgeräte ist ein wesentlicher Baustein für den Schutz dieser Daten und damit auch der Verbraucher.
Mobile IT-Geräte wie Smartphones und Tablets seien essenzielle Begleiter im digitalen Alltag vieler Verbraucher. Sie müssten sich darauf verlassen können, dass diese Geräte ein angemessenes Schutzniveau haben. Hersteller haben die Möglichkeit, ihren Kunden genau das zuzusichern und dies über das IT-Sicherheitskennzeichen des BSI transparent zu machen, so Claudia Plattner, Präsidentin des BSI. Mit der TR-03180 A stellt das BSI konkrete Vorgaben für Hersteller zur Verfügung, die ein IT-Sicherheitskennzeichen beantragen wollen. Während der Entwicklung des Anforderungskatalogs konnten interessierte Stakeholder aus Wirtschaft und Zivilgesellschaft ihre Perspektive und Anregungen innerhalb einer Kommentierungsrunde einbringen.
Zu diesen Vorgaben zählen etwa:
- Der Hersteller verpflichtet sich, Schwachstellen zu überwachen, transparent zu kommunizieren und zeitnah zu beheben.
- Schutz der Gerätedaten durch ein angemessenes Rechtesystem, bei dem der Nutzer die Kontrolle über relevante Daten, Sensoren und Schnittstellen hat, insbesondere: transparente Anzeige von vergebenen Rechten und immer sichtbare Anzeige bei aktiver Nutzung von Sensoren, wie Mikrofon, Kamera und Ortungssensoren.
- Vorinstallierte Apps müssen sicher kommunizieren und keine unnötigen Berechtigungen anfordern sowie auch nicht ohne Intention des Nutzers auf Kamera, Mikrofon und Ortungssensoren zugreifen, auch wenn sie die Rechte dazu besitzen.
Hersteller können sich durch eine Selbstprüfung oder durch die Prüfung einer Konformitätsbewertungsstelle konform zum Anforderungskatalog erklären. Die Anforderungen wurden aus der BSI TR-03180 abgeleitet, die Kriterien mobiler IT-Geräte und der sie unterstützenden Prozesse zusammenfasst, die aus Sicht des BSI für ein angemessenes IT-Sicherheitsniveau mobiler IT-Geräte relevant sind.
Mit dem IT-Sicherheitskennzeichen des BSI können Hersteller das Versprechen in die IT-Sicherheit ihrer Produkte besonders am Markt hervorheben. Für Verbraucher wird IT-Sicherheit damit zum Argument für die Kaufentscheidung.
