Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 2.2.3 Authentizität

Rz. 41

Mit der "Authentizität" ("authenticity") wird gewährleistet, dass eine Kommunikationsstelle tatsächlich diejenige ist, die sie vorgibt zu sein. Es handelt sich um authentische Informationen, wenn sichergestellt ist, dass sie von der angegebenen Quelle erstellt wurden. Der Begriff wird sowohl zur Prüfung der Identität von Personen als auch bei IT-Komponenten oder Anwendungen verwendet.^[1]

Rz. 42

Authentizität bedeutet folglich, dass die Daten echt bzw. rechtsgültig sind. Es muss zweifelsfrei sichergestellt sein, dass die Daten nicht unbefugt verändert oder verfälscht wurden. Authentizität ist daher gegeben, wenn ein Geschäftsvorfall einem Verursacher eindeutig zugeordnet werden kann. Für den Datenaustausch bietet sich für die Identifizierung des Geschäftspartners die Einrichtung von elektronischen Signaturen oder passwortgeschützten Identifikationsverfahren an.

Rz. 43

Mit Bezug zur Authentizität der Daten sollten die zuständigen Behörden im Rahmen des SREP insbesondere prüfen, ob dokumentierte Prozesse zur Verwaltung und Kontrolle von Änderungen an den Daten (z. B. Fehlerbehebung oder Datenkorrekturen) vorhanden sind, um eine angemessene Einbindung des IKT-Risikomanagements für wichtige Änderungen zu gewährleisten, die das Risikoprofil oder die Risikoposition des Institutes erheblich beeinträchtigen können. Die EBA erwartet Spezifikationen im Hinblick auf die erforderliche Aufgabentrennung in Verwaltung und Kontrolle bei Änderungen an den Daten durch die Mitarbeiter (z. B. Entwickler, IKT-Systemadministratoren, Datenbankadministratoren) oder eine andere Partei (z. B. geschäftliche Nutzer, Dienstanbieter).^[2]

Rz. 44

Die EBA versteht unter dem "IKT-Änderungsrisiko" das Risiko, das sich aus der mangelnden Fähigkeit des Institutes ergibt, IKT-Systemänderungen zeitgerecht...