A. Verwendung elektronischer Kommunikation für Attacken gegen Einzelpersonen oder Gruppen von Personen (Netiquette)

Das unerwünschte und wiederholte Zusenden von Nachrichten sowie das Verbreiten von beleidigenden oder herabwürdigenden Informationen, oder das Verbreiten von unwahren Aussagen über eine Person oder Gruppe von Personen verstoßen gegen den im Internet allgemein üblichen Verhaltenskodex (Netiquette). Die TU Wien sieht als intensiver Benutzer des Internets und als große Organisation, deren Angehörige verschiedene Weltanschauungen vertreten, die Notwendigkeit, Regeln für die korrekte Verwendung der elektronischen Kommunikation aufzustellen.

B. Verwendung elektronischer Kommunikation zur Behinderung der Arbeit Dritter

B1) Das Versenden von Mailbomben und die Verwendung ähnlicher Techniken, die die Arbeit einer Person erschweren oder unmöglich machen.

B2) Aneignung von Ressourcen über das zugestandene Maß. Dazu zählt eine Benützung von Ressourcen (z.B. Festplatte, Drucker, Netzwerk) durch einen Benutzer in einem Maß, das die bei der Vergabe der Zugangsberechtigung zu erwartenden Dimensionen überschreitet und andere Benutzer bei der Erfüllung ihrer Aufgaben behindert.

B3) Das Versenden von elektronischen Massensendungen (Spam E-Mails), zumeist zu kommerziellen Zwecken, wird von den meisten Benutzern als störend empfunden und ist nicht gestattet. Erlaubt sind allerdings Ankündigungen von internen Veranstaltungen, das Versenden von Verordnungen etc. in Analogie zum Versand durch die Hauspost.
Im Zweifelsfall ist bei TU-weitem Versand die Zustimmung des Rektors, bei fakultätsweitem die des Dekans einzuholen. Ankündigungen sollten kurz und möglichst auf den potentiellen Interessentenkreis eingeschränkt sein.
Das Führen von Mailing-Listen, in die sich Adressaten selbst eintragen können, ist ebenfalls gestattet.

B4)Elektronische Kettenbriefe sind meistens harmlos und mehr oder weniger informativ. Sie verursachen aber Kosten (z.B. Telefongebühren) und werden manchmal mit dem Ziel verschickt, bestimmte Mailserver (z.B. einer Konkurrenzfirma) zu blockieren. In Einzelfällen kann es auch zur Blockade von Teilen des Internets kommen. Aus diesem Grund ist das Weitersenden oder In-Umlauf-Bringen von elektronischen Kettenbriefen verboten. Seien Sie sich bewusst, dass Benachrichtigungen über Sicherheitsprobleme von Softwareherstellern so gut wie nie über E-Mail erfolgen, auf keinen Fall werden Sie darin aber aufgefordert, diese Informationen weiterzuleiten. Auch Organisationen, die sich mit Netz- und Computersicherheit oder der Virenproblematik beschäftigen, versenden Benachrichtigungen nur auf Anforderung. Sollten Sie also eine E-Mail mit der Aufforderung erhalten, den Inhalt an möglichst viele Bekannte weiterzuschicken, können Sie davon ausgehen, dass es sich um einen elektronischen Kettenbrief handelt.

 B5) Manipulation von elektronischen Daten. Dazu zählt die Veränderung, Verfälschung etc. von elektronischen Daten ohne vorhergehende Zustimmung des Besitzers.

Falls Sie die Manipulation von Dokumenten bemerken oder davon informiert werden, führen Sie folgende Schritte durch:

1. Als Benutzer

a. Wenn Sie Manipulationen Ihrer eigenen Dokumente bemerken, überprüfen Sie zuallererst, ob die Besitzrechte (permissions) richtig gesetzt sind, und ändern Sie sofort Ihr Passwort.

b. Sollten Sie keine Anhaltspunkte dafür finden, wie es zur Manipulation Ihrer Dokumente kommen konnte, wenden Sie sich an den zuständigen Systemadministrator.

c. Sind Sie der Meinung, den Urheber der Manipulation zu kennen, so teilen Sie Ihren Verdacht dem zuständigen Systemadministrator mit.

d. Wenn es sich um Daten Dritter handelt, informieren Sie den Besitzer der Daten und den zuständigen Systemadministrator von Ihren Beobachtungen.

2. Als Systemadministrator

a. Falls Sie davon informiert wurden, überprüfen Sie die Angaben auf deren Richtigkeit.

b. Führen Sie eine umfassende Sicherheitsüberprüfung Ihres Computers durch.

c. Falls Sie den Urheber der Manipulation ausfindig machen konnten, sperren Sie seine Zugangsberechtigung. Falls keine Zugangsberechtigung vergeben wurde, handelt es sich auch um eine unerlaubte Aneignung von Zugangsberechtigungen (siehe D2).

B6) Zugriff auf Daten Dritter ohne deren explizite Erlaubnis. Nicht nur die Manipulation fremder Daten, auch der unbefugte Zugriff (Lesen, Kopieren etc.) ist unzulässig. Ausnahmen davon sind das Anlegen von Sicherungen u.ä. durch den Systemadministrator und das Löschen von Daten, wenn dies technisch unumgänglich ist (z.B. temporäre Daten) oder durch die Security Policy ausdrücklich verlangt wird.

C. Vergehen gegen Lizenzvereinbarungen oder andere Vertragsbestimmungen

C1) Kopieren und Verbreiten auf Computer der TU Wien bzw. der Transport über das Netz der TU Wien von urheberrechtlich geschütztem Material im Widerspruch zu Lizenzvereinbarungen oder anderen Vertragsbestimmungen.

Falls Sie Vergehen bemerken oder davon informiert werden, führen Sie folgende Schritte durch:

1. Als Benutzer

a. Kontaktieren Sie den Besitzer der Daten und klären Sie, ob es rechtliche Implikationen gibt.

b. Wenden Sie sich an den zuständigen Systemadministrator.

2. Als Systemadministrator

a. Falls Sie davon informiert wurden, überprüfen Sie die Angaben auf deren Richtigkeit.

b. Kontaktieren Sie den Besitzer der Daten und klären Sie, ob es rechtliche Implikationen gibt.

c. Falls der Urheber dazu nicht bereit ist, müssen Sie die Daten löschen.

C2)Weitergabe von Zugangsberechtigungen, entgeltlich oder unentgeltlich, an Dritte, außer wenn diese durch Vereinbarungen abgedeckt ist. Die Erteilung von Zugangsberechtigungen ist an vertragliche Bestimmungen gebunden (siehe dazu auch TUNET-Benützungsregelung unter http://www.zid.tuwien.ac.at/tunet/benuetzungsregelung/). Eine undokumentierte Weitergabe von Zugangsberechtigungen verletzt diese Vertragsbestimmungen und erschwert außerdem die Analyse bei sicherheitsrelevanten Vorfällen.

Falls Sie Vergehen bemerken oder davon informiert werden, führen Sie folgende Schritte durch:

1. Als Benutzer

a. Informieren Sie Ihren Systemadministrator.

2. Als Systemadministrator

a. Sperren Sie den unberechtigten Zugang.

b. Sollte ein Computer ohne Genehmigung im TUNET betrieben werden, entfernen Sie ihn aus dem Netz und informieren Sie den ZID.

D. Verwendung elektronischer Kommunikation für Attacken gegen Computer, das Netz oder Services, die darauf erbracht werden

D1)Portscans (Automatisiertes Ausforschen von Servern und Services). Ausnahme: Sicherheitstests nach Absprache mit dem Systemadministrator. Portscans sind oft ein erster Schritt einer Hackerattacke, bei der Informationen über Topologie und Services eines Netzes gesammelt werden.

D2-D3) Unerlaubte Aneignung von Zugangsberechtigungen oder der Versuch einer solchen Aneignung (Hacken) und so genannte Denial-of-Service-Attacken (DoS) zählen zu den schwerwiegendsten Verstößen gegen die Security Policy. Im Rahmen eines erfolgreichen Hackerangriffs wird gegen mehrere Regeln verstoßen. Dazu zählen der unerlaubte Zugriff auf fremde Daten, die Aneignung von Ressourcen und sehr oft auch die Verwendung der angeeigneten Ressourcen (Computer) für Angriffe auf weitere Computer. Der Angreifer verfügt über ein Standbein im TU-Intranet und erhält damit implizit Zugriff auf Daten, die ihm nicht zustehen.

Da die Punkte D2) D3) eine besonders große Gefahr für das TUNET darstellen, müssen bei Verstößen sowohl der zuständige Systemadministrator als auch der Beauftragte für IT-Sicherheit im ZID informiert werden.

D4) Verbreitung oder In-Umlauf-Bringen von Virenprogrammen, Computer worms,Trojanischen Pferden oder anderen schädlichen Programmen. Genannte Programme bergen folgende Gefahren:

1. Datenbeschädigung
2. Zugriff für Unbefugte
3. Schädigung Dritter durch schnelle Ausbreitung
4. Imageverlust durch 1-3

Diese Programme werden nicht durch einen gezielten Angriff gefährlich, sondern verbreiten sich quasi automatisch. Den einzigen Schutz kann der Einsatz geeigneter Software gewährleisten. Die Abteilung Standardsoftware des ZID bietet solche zu günstigen Preisen an. Informationen erhalten Sie im Web: URL: http://www.zid.tuwien.ac.at/campussoftware/, unter der STS-Service-Line: 58801-42004 oder per E-Mail an: css@zid.tuwien.ac.at.

D5) Ausspähen von Passwörtern oder auch der Versuch des Ausspähens (Passwort Sniffer)

D6) Manipulation oder Fälschung von Mailheaders, elektronischer Verzeichnisse oder anderer elektronischer Information, insbesondere die Vorgabe einer falschen Identität (auch IP-Spoofing etc.).

Anmerkungen:

1. Die Vorgabe einer falschen Identität verstößt gegen die Security Policy der TU Wien. Die Verwendung von Pseudonymen und die Wahl der Anonymität gelten nicht als Fälschung der Identität.

2. Ausnahme: Verwendung von Network Address Translation (NAT) oder ähnlicher Technologien beim Einsatz einer Firewall.

D7) Ausnützung von erkannten Sicherheitsmängeln bzw. administrativen Mängeln.

Anmerkungen:

1. Falls Ihnen als Benutzer eines Computers Sicherheitsmängel auffallen, sind Sie verpflichtet, den Systemadministrator davon zu informieren und ihn zur Behebung derselben aufzufordern.