Glossarbegriff
DMARC / DKIM / SPF
Auch: E-Mail-Authentifizierung, Email-Spoofing-Schutz
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.
SPF: TXT-Record im DNS, listet erlaubte sendende IPs. Begrenzung: bricht bei Forwarding.
DKIM: kryptografische Signatur des Mail-Headers und/oder Body, verifizierbar über DNS-Public-Key. Wirkt auch über Forwarding hinweg.
In der Praxis
DMARC: Policy-Layer (none/quarantine/reject), Reporting (aggregate + forensic) und Alignment zwischen From-Header und SPF/DKIM. Stufenplan: monitoring 4-8 Wochen, dann quarantine, dann reject. 2024-2026: Yahoo, Google und Microsoft fordern DMARC für Maßenversender.
Verwandte Begriffe
Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.
DSGVO Art. 32 TOM
Technische und organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus bei der Verarbeitung personenbezogener Daten. Pflicht aus Art. 32 DSGVO, einschlägig für jeden Verantwortlichen und Auftragsverarbeiter in der EU.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).