Seminar Audit und Konformitätsprüfung von Altersnachweissystemen

Ein Altersnachweissystem ist nur dann belastbar, wenn die behauptete Datenschutz- und Sicherheitswirkung durch nachvollziehbare Kontrollen und technische Evidenzen belegt werden kann.

Die Schulung verbindet organisatorische Prüfung, Architekturkontrolle, Protokollanalyse und praktische Verifikation zu einem wiederholbaren Auditverfahren.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe und Voraussetzungen
• Format und Schwerpunkte
• Seminarinhalte
• Praxisübungen
• Arbeitsunterlagen

Zielsetzung

Das Seminar vermittelt eine strukturierte Prüfung datenschutzfreundlicher Altersnachweissysteme. Im Mittelpunkt stehen Prüfziele, Kontrollkataloge, technische Evidenzen, Datenschutz- und Sicherheitsnachweise, Stichproben, Abweichungen und belastbare Maßnahmenverfolgung.

Zielgruppe und Voraussetzungen

Zielgruppe: Interne Revision, Informationssicherheit, Datenschutzprüfung, Compliance, Qualitätsmanagement, technische Auditoren, Betreiber und Beschaffungsverantwortliche.

Voraussetzungen: Grundkenntnisse von Auditmethodik, Datenschutz oder Informationssicherheit. Technische Kenntnisse zu Websystemen und Identitätsdiensten erleichtern die praktischen Prüfungen.

Format und Schwerpunkte

Zwei Tage sind erforderlich, um Prüfprogramm, Kontrollziele, Evidenzgewinnung, technische Stichproben, Bewertung und Berichterstattung nicht nur zu besprechen, sondern anhand eines vollständigen Fallbeispiels anzuwenden.

Seminarinhalte

Modul 1: Prüfauftrag und Prüfgrenzen festlegen

1. Schritt 1: Zweck, Systemumfang, Beteiligte, Betriebsvarianten und relevante Altersschwellen aufnehmen.
2. Schritt 2: Prüfkriterien für Datenschutz, Sicherheit, Funktionsfähigkeit, Interoperabilität und Betrieb definieren.
3. Schritt 3: Ausschlüsse, Abhängigkeiten zu Dritten und Aussagegrenzen des Audits schriftlich festhalten.

Modul 2: Kontrollkatalog entwickeln

1. Schritt 1: Kontrollen für Datenminimierung, Zweckbindung, Löschung, Transparenz und Betroffenenrechte ableiten.
2. Schritt 2: Kontrollen für Authentizität, Integrität, Replay-Schutz, Schlüsselmanagement, Status und Berechtigungen ergänzen.
3. Schritt 3: Kontrollen nach Design, Implementierung und laufender Wirksamkeit unterscheiden.

Modul 3: Evidenzen erheben und bewerten

1. Schritt 1: Architekturdokumente, Policies, Konfigurationen, Verträge, Testberichte und Betriebsnachweise anfordern.
2. Schritt 2: Evidenzen auf Herkunft, Aktualität, Vollständigkeit und Manipulationsschutz prüfen.
3. Schritt 3: Fehlende oder widersprüchliche Nachweise als prüfbare Feststellungen dokumentieren.

Modul 4: Technische Stichproben durchführen

1. Schritt 1: Präsentationsanforderungen auf übermäßige Datenabfrage und unzulässige Identifikatoren untersuchen.
2. Schritt 2: Replay-, Ablauf-, falsche Schwelle-, widerrufene Nachweise- und Fehlerfälle testen.
3. Schritt 3: Logs und Telemetrie auf unnötige Personenbeziehbarkeit, Korrelation und überlange Speicherung prüfen.

Modul 5: Lieferkette und Vertrauensdienste prüfen

1. Schritt 1: Issuer, Wallet, Verifier, Trust-Registry, Hosting und Unterauftragnehmer in die Prüfung einbeziehen.
2. Schritt 2: Zulassungs-, Schlüssel-, Änderungs- und Incident-Prozesse der beteiligten Rollen bewerten.
3. Schritt 3: Abhängigkeiten, Konzentrationsrisiken und Ausfallfolgen nachvollziehbar einstufen.

Modul 6: Feststellungen und Risiken klassifizieren

1. Schritt 1: Abweichungen nach Auswirkung, Eintrittswahrscheinlichkeit, Reichweite und Behebbarkeit bewerten.
2. Schritt 2: Designmangel, Implementierungsfehler, Betriebsabweichung und Nachweislücke unterscheiden.
3. Schritt 3: Sofortmaßnahmen, nachhaltige Korrekturen und Akzeptanzentscheidungen trennen.

Modul 7: Bericht und Maßnahmenverfolgung abschließen

1. Schritt 1: Prüfbericht mit Kriterien, Methode, Evidenz, Feststellung, Risiko und Empfehlung aufbauen.
2. Schritt 2: Verantwortliche, Fristen, Nachweise und Wiederholungsprüfung für jede Maßnahme festlegen.
3. Schritt 3: Managementaussage so formulieren, dass Reichweite und verbleibende Unsicherheit klar erkennbar sind.

Praxisübungen

1. Übung 1: Kontrollkatalog für einen Verifier-Dienst erstellen.
2. Übung 2: Technische Testfälle für Replay, Ablauf, Schwellenfehler und übermäßige Offenlegung ausführen.
3. Übung 3: Beispielhafte Evidenzen bewerten und Feststellungen klassifizieren.
4. Übung 4: Kurzbericht mit Maßnahmenplan und Nachprüfung formulieren.

Arbeitsunterlagen

• Auditprogramm für Altersnachweise
• Evidenzanforderungsliste
• Technischer Prüf- und Testkatalog
• Bewertungsschema für Feststellungen
• Vorlage für Maßnahmenverfolgung