ITBO.pdf

[Seite 1]

Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

IT-Benutzungsordnung

Version 3.0

Diese IT-Benutzungsordnung (im Folgenden »ITBO« genannt) enthält Grundregeln zum Umgang mit den IT-Systemen, -Diensten und Informationen der Fraunhofer-Gesellschaft zur Förderung der ange- wandten Forschung e.V. -im Folgenden »Fraunhofer-Gesellschaft« genannt. Sie richtet sich an alle Nut- zerinnen und Nutzer der Fraunhofer-IT, auch externe, die ausnahmsweise Zugang zum Fraunhofer-In- tranet erhalten.Die Pflichten dieser ITBO gelten für alle; die Rechte insbesondere auf private Mitnutzung sind Arbeitnehmerinnen und Arbeitnehmern der Fraunhofer-Gesellschaft vorbehalten.

I. Ziele

Diese ITBO dient: der Sicherstellung von Informationssicherheit und Datenschutz, dem Schutz der IT sowieder Persönlichkeitsrechte der Nutzerinnen und Nutzer, der Einhaltung von Gesetzen und Verträgen gegenüber Projekt- und Geschäftspartnern sowie dem Schutz von geistigem Eigentum.

Zu diesem Zweck: bringt die ITBO den Nutzerinnen und Nutzern allgemeine Bedingungen der IT-Nutzung zur Kenntnis, verpflichtet die ITBO diese zur deren Beachtung und macht ihnen die ITBO die Maßnahmen zur Protokollierung und Kontrolle sowie zur Verarbeitung personenbezogener Daten bei der IT-Nutzung transparent. Wichtige IT-bezogene und für alle Nutzerinnen und Nutzer relevanten Regeln aus Organisationsanwei- sungen zur Informationssicherheit und einer grundlegenden Gesamtbetriebsvereinbarung sind berück- sichtigt.1

II. Allgemeine Nutzungsbedingungen und Regeln

Nachfolgende Bedingungen gelten für jegliche Nutzung der IT: Zur Förderung wissenschaftlicher Arbeit gibt die Fraunhofer-Gesellschaft ihren Nutzerinnen und Nut- zern große Freiheiten bei der IT-Nutzung. Viele Aspekte der IT-Nutzung sind nicht im Detail, sondern vorwiegend generisch geregelt und technisch nicht reglementiert. Die Nutzerinnen und Nutzer sind daher zu einem risikobewussten und verantwortungsvollen Handeln und Mitdenken verpflichtet, das die Ziele dieser ITBO fördert. Jede extremistischen, rassistischen, pornographischen oder kriminellen Zwecken dienende IT- Nutzung ist unzulässig.

1 Grundsätze des IT-Einsatzes Informationsklassifizierung« und zur »Informationssicherheit«

Stand: 27.01.2025/ Version 3.01 1| 8 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 2]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Unzulässig sind weiterhin jede IT-Nutzung und Informationsverarbeitung, die gegen geltendes Recht verstößt, etwa gegen das Persönlichkeits- oder Urheberrecht, oder welche die Sicherheit der IT ge- fährdet oder die dem Ansehen der Fraunhofer-Gesellschaft in der Öffentlichkeit schadet. Nutzerinnen und Nutzer haben i. d. R. persönliche Benutzer-Accountsauf Arbeitsplatzrechnern, per- sonalisierte E-Mail-Konten und persönliche Datenablagen in einigen anderen Systemen (der sog. »persönliche Bereich«). Auf dort gespeicherte Daten greift Fraunhofer nur im Notfall oder bei kon- kretem Missbrauchsverdacht gemäß den Regelungen der - zu. Die IT der Fraunhofer-Gesellschaft dient vordringlich der Erfüllung dienstlicher Aufgaben. Die private Mitnutzung wird Arbeitnehmerinnen und Arbeitnehmern gestattet, soweit sich daraus keine nach- teiligen Auswirkungen auf die IT und keine zusätzlichen Erfordernisse für Fraunhofer ergeben. Be- dingungen für die private Mitnutzung befinden sich in Ziffer III. Die Fraunhofer-Gesellschaft übernimmt keine Garantie, Gewährleistung oder Haftung für die stän- dige Verfügbarkeit oder Mängelfreiheit der IT. Insbesondere kann sie IT-Dienste jederzeit, ganz oder teilweise, modifizieren, einschränken oder beenden und deren Nutzung untersagen. Nutzerinnen und Nutzer dürfen an Projekt-oder Domänennamen, Knowhow und anderen Informa- tionen, die Fraunhofer oder Geschäftspartnern gehören oder auf diese zurückzuführen sind, keine Patent-, Marken-oder sonstigen Rechte für sich oder Dritte geltend machen oder beantragen, es sei denn, Rechteinhaber haben ihr schriftliches Einverständnis erklärt. Lizenzbestimmungen von Software und (Cloud-)Diensten sowie bei der Verwendung von Inhalten wie Bildern und Texten sind zu beachten. Lizenzschlüssel und Berechtigungen dürfen nicht ohne Zustimmung der Fraunhofer-Gesellschaft weitergegeben oder anderweitig genutzt werden. Informationen sind entsprechend der Organisationsanweisung zur Informationsklassifizierung und externen Vorgaben hinsichtlich ihres Schutzbedarfs zu klassifizieren und zu schützen. Projektleitun- gen oder Vorgesetzte entscheiden, wie die Regeln im jeweiligen Arbeitsbereich umzusetzen sind. Erkannte oder vermutete Sicherheitslücken, Informationssicherheits- oder Datenschutzvorfälle müs- sen unverzüglich gemeldet werden sofern lokal nichts anders geregelt ist, beim Servicedesk servicedesk@fraunhofer.de bzw. telefonisch unter 02241-14-1414. Nutzungshinweise zu den intern angebotenen Diensten sowie Hinweise in E-Mails, Aushängen und anderen Mitteilungen zur IT-Nutzung sind zu beachten. Nutzerinnen und Nutzer sollen bei neuen Angeboten oder im Zweifel auch selbst nachfragen, ob es Regeln zur Nutzung der IT gibt. Nutzerinnen und Nutzer müssen entsprechend der Regelungen in ihrem Institut mindestens einmal jährlich an Sensibilisierungs-und Schulungsmaßnahmen zum Thema Informationssicherheit teilneh- men und sollen auch aktuelle Sicherheitshinweise beachten.

III. Bedingungen der privaten Mitnutzung

Die Fraunhofer-Gesellschaft geht davon aus, dass ein Verbot privater Mitnutzung der IT in der Forschung nicht sinnvoll und eine vollständige Trennung von dienstlicher und nicht-dienstlicher Nutzung auch auf- grund der engen Zusammenarbeit mit Universitäten kaum möglich ist. Daher ist Arbeitnehmerinnen und Arbeitnehmer der Fraunhofer Gesellschaft eine nicht-dienstliche Mitnutzung unter folgenden Bedingun- gen gestattet: Aus der Mitnutzung der IT zu privaten Zwecken dürfen sich für die Fraunhofer-Gesellschaft keine Zusatzerfordernisse oder zusätzlichen Haftungsrisiken ergeben. Die Sicherheit und die Funktionsfä- higkeit der IT-Dienste dürfen durch die private Mitnutzung nicht beeinträchtigt werden. Eventuelle gesetzliche Einschränkungen oder Vorgaben von Auftraggebern sind zu beachten.

Stand: 27.01.2025/Version 3.01 2| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 3]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Ein Anspruch, private Geräte an dienstlichen Internetzugängen betreiben zu dürfen oder Software für private Zwecke auf dienstlichen Geräten installieren zu dürfen, besteht nicht. Dies erfordert die Erlaubnis von Vorgesetzen und der IT-Leitung. Datensicherung, Administration, Protokollierung, Kontrolle des Datenverkehrs, Störungsbeseiti- gung, Löschen von Daten und Neuaufsetzen von Geräten erfolgen ohne besondere Berücksichti- gung der privaten Mitnutzung nach betrieblichen Erfordernissen. Ein individuelles Recht, private Da- ten von der Datensicherung auszunehmen oder private Verbindungen von der für betriebliche Daten zulässigen Protokollierung und Datenauswertung auszunehmen, besteht nicht. Es besteht kein An- spruch auf Datensicherung und Wiederherstellung privater Daten. Aus zuwendungsrechtlichen Gründen ist die Privatnutzung auf eine gelegentliche Mitnutzung be- schränkt. Eine Nutzung für privat-geschäftliche Zwecke ist nicht erlaubt. Betriebliche E-Mail-Adressen, Social Media Accounts und andere dienstliche Adressen sollen nicht als Kontaktadressen für private Kommunikation im öffentlichen Raum verwendet werden. Private Daten sollen im persönlichen Bereich gespeichert und als privat gekennzeichnet werden. Aus betrieblichen Belangen kann bei besonderen Sicherheitsanforderungen die private Mitnutzung eingeschränkt oder untersagt werden.

IV. Protokollierung und Kontrolle

Im Rahmen des IT-Betriebs werden,um den Betrieb zu ermöglichen und seine Sicherheit zu gewährleis- ten, personenbezogene Daten der Nutzenden verarbeitet, die im Rahmen der erlaubten privaten Mit- nutzung auch privat sein können: Dienstliche und private E-Mails mit Verdacht auf Schadcode, Viren oder Spam dürfen nach Ermessen der Fraunhofer-Gesellschaft in Quarantäne genommen oder zentral gelöscht werden. Personenbezogene Auswertungen von Daten, die bei der Nutzung der IT anfallen, sind zur Sys- temadministration, z. B. zur Analyse und Beseitigung von Systemproblemen, zur Sicherstellung der IT-, Betriebs- und Informationssicherheit und zur Wartungsunterstützung durch berechtigtes Perso- nal zulässig. Dies gilt auch für die Abwehr von Cyberangriffen. In bestimmten Fällen ist auch eine forensische Untersuchung der Systeme möglich. Daten des Betriebssystems, betriebssystemnaher Komponen- ten, Verkehrsdaten aus Internetdiensten und werkzeugbezogene Daten können protokolliert wer- den und personenbeziehbare Daten enthalten, die zur Abwehr oder Analyse ggf. untersucht wer- den. Die Protokolldaten werden i. d. R. nach 30 Tagen gelöscht.

V. Änderungen der IT-Benutzungsordnung und Inkrafttreten

Die Fraunhofer-Gesellschaft kann diese ITBO jederzeit ändern oder ergänzen, insbesondere im Interesse ihrer betrieblichen Abläufe und der Informationssicherheit.Diese ITBO ersetzt die bisherige ITBO-Version 2.0 und tritt mit ihrer Bekanntgabe in Kraft. Die Bekanntgabe erfolgt in geeigneter Weise, z. B. per Aushändigung, Rundmail oder Veröffentlichung im Intranet. Gleiches gilt für zukünftige Änderungen oder Ergänzungen der ITBO. Abweichend davon gilt eine Änderung oder Ergänzung gegenüber Nutze- rinnen und Nutzern, die nicht Arbeitnehmende der Fraunhofer-Gesellschaft sind, dann als genehmigt, wenn nicht innerhalb eines Monats nach Bekanntgabe der Änderung oder Ergänzung widersprochen wird, oder wenn die Fraunhofer-IT nach Ablauf der Widerspruchsfrist weiter genutzt wird. Hierauf wird bei Bekanntgabe der Änderung oder Ergänzung hingewiesen. Im Falle eines Widerspruchs kann die Nutzungsbefugnis entzogen werden.

Stand: 27.01.2025/Version 3.01 3| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 4]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Anhang: Ergänzende Informationen zur Umsetzung

Version IIS-03 (16.07.2026)

In der Fraunhofer-Gesellschaft gibt es zur Sicherstellung eines angemessenen Schutzes, einer angemes- senenNutzung und eines angemessenen Umgangs mit Informationen und anderen damit verbundenen Werten Regeln, die für alle Nutzerinnen und Nutzer gültig sind. Im Rahmen ihrer Möglichkeiten haben sie alle Maßnahmen zu ergreifen, um Gefährdungen für Fraunhofer zu minimieren und die Ziele der ITBO zu fördern. Grundsätzlich gilt: Schonender Umgang mit den Ressourcen, bewusster Umgang mit dem Speicherplatz auf Servern und im Backup, gesundes Misstrauen und sensibler Umgang mit Internet, E-Mail und dem Computerallgemein sind die Pflichten aller. Im Zweifelsfall hilft die Abteilung IT-Service gerne. Informa- tionssicherheit ist auf Dauer nur durch einen vertrauensvollen Umgang zwischen Nutzenden und IT- Administration zu erreichen.

Alle Nutzerinnen und Nutzer sind angehalten, im Intranet veröffentlichte Meldungen der Abteilung IT- Service bzw. der Informationssicherheit regelmäßig zu lesen und darin evtl. ausgesprochene Anweisun- gen zeitnah zu befolgen. Ebenso ist die jährliche Teilnahme an den Sicherheitsunterweisungen verpflichtend, siehe Handlungs- hilfe »Unterweisung bezüglich Informationssicherheit«.

Nachstehend werden die wichtigsten Maßnahmen wiedergegeben. Über Ausnahmen in Einzelfällen entscheidet die Abteilungs- oder Projektleitung in Abstimmung mit dem/der Informationssicherheits- Beauftragten unter Beachtung von Betriebsvereinbarungen und anderen Regelungen.

Hinweis Gesamtbetriebsvereinbarungen (GBV) und Organisationsanweisungen (OrgA) finden sich in der Fraunhofer-Regelungsdatenbank: https://fraunhofer.sharepoint.com/sites/fraunhofer-recht/SitePages/Regelungsdatenbank.aspx

Zu den spezifischen Regelungen des Fraunhofer IIS siehe auch Handlungshilfen (HaHi):https://intern.iis.fhg.de/x/VRyWBQ Intranet, Bereich Informationssicherheit: https://intern.iis.fhg.de/x/l7o1C

1 Sicherung der Geräte

Der Zugang Unbefugter zu den IT-Systemen des Arbeitsplatzes, den IT-Diensten und Datenträgern und deren Daten ist zu unterbinden. Smartcards sind wegzuschließen oder mitzunehmen. Systemzugänge sind auch bei kurzer Abwesenheit zu sperren, Computer bei längerer Nichtnutzung herunterzufahren. Büros sollten abgeschlossen werden, wenn sie nicht besetzt sind. Endpoint Protection (Virenscanner) und andere Sicherheitsmaßnahmen dürfen nicht umgangen werden. Mobile Geräte sowie Geräte, die das Haus verlassen müssen nach Stand der Technik verschlüsselt sein.

2 Passwörter und Zertifikate

Passwörter (und andere Zugangsdaten wie PINs) sind in der Regel an die Person gebunden und dürfen nicht weitergegeben werden. Hiervon ausgenommen sind geteilte Accounts (z.B. siehe Abschnitt »In-

Stand: 27.01.2025/Version 3.01 4| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 5]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

ternet-und Cloud-Dienste«), Funktions-Accounts, die Übergabe beim Ausscheiden oder gemäß beson- derer Vereinbarung. Passwörter sind sicher zu wählen und geheim zu halten. Dienstliche Passwörter dürfen nicht für private Zwecke genutzt werden. Dienstlich verwendete Passwörter dürfen nicht in Pri- vatgeräte und andere Fremdgeräte eingegeben werden, ausgenommen Dienste, die explizit für die Nut- zung auf nicht-dienstlichen Geräten freigegeben wurden, wie z.B. Container-App, WebVPN und Web- mail vom privaten Computer(jedoch nicht von fremdkontrollierten Rechnern z.B. im Internetcafé!) oder in absoluten Notfällen. Für externe bzw. Internet-Dienste dürfen keine auch für interne Dienste verwen- deten Passwörter genutzt werden. Smartcards und persönliche elektronische Schlüssel bzw. Zertifikate sind vertraulich zu behandeln und diese sowie ihre PIN nicht weiterzugeben. Der Einsatz von Password- Safe-Software wird dringend empfohlen, um die Einhaltung obiger Vorgaben zu erleichtern. Besteht der Verdacht, dass ein Passwort ausgespäht wurde, so ist es umgehend zu ändern. Hilfe zur sicheren Wahl von Passwörtern finden sich im Intranet, Bereich Informationssicherheit. Werden Passwörter für Dienste, die vom Fraunhofer IIS im Internet genutzt werden (z.B. Facebook, Youtube, Dell-Gerätemanagement) Personen außerhalb des IIS (auch ausgeschiedene Mitarbeitende) bekannt, sind diese schnellstmöglich zu ändern.

3 Softwareinstallation

Neue Software darf, soweit es sich nicht um freigegebene Software aus institutsinternen Quellen han- delt, nur nach Abstimmung mit der Abteilung IT-Service genutzt werden. Die Softwarelizenz muss eine betriebliche, nicht nur privaten Zwecken dienende, Nutzung durch die Fraunhofer-Gesellschaft erlau- ben. Wird ein Nutzerin oder ein Nutzer durch die Abteilung IT-Servicezur manuellen Installation aufge- fordert, ist diese so bald wie möglich durchzuführen. Soweit Nutzerinnen und Nutzer, z. B. an Entwick- lerarbeitsplätzen, ausnahmsweise Administrationsrechte erhalten und Software selbst installieren dür- fen, müssen sie besondere Sicherheitsregeln beachten, auf die sie die Abteilung IT-Service hinweist (u. a. Patches und Updates installieren): Software ist auch nur aus vertrauenswürdigen Quellen zu beschaf- fen. Updates sind stets zeitnah bzw. wenn möglich automatisch zu installieren. Dies gilt insbesondere für sicherheitsrelevante Aktualisierungen (Updates, Patches, Hotfixes) zu Sicherheitslücken. Software, die offensichtlich den Zugriff auf Instituts-Ressourcen aus dem Internet gestattet, bedarf zwin- gend einer Genehmigung durch die Abteilung IT-Service! Dies gilt insbesondere auch für Dienste, die für externe Nutzerinnen und Nutzerüber das Internet bereitgestellt werden (z.B. Web-Server, TeamVie- wer oder Gitlab Runner) Näheres hierzu unter Abschnitt »Im Internet bereitgestellt Dienste und Da- ten«. Programme, die möglicherweise unkontrollierbar Daten an unbekannte Ziele ins Internet übertra- gen, dürfen nicht installiert werden. Das Herunterladen und Bereitstellen möglicherweise urheberrechtlich geschützter Dateien (z.B. Filesha- ring, Tauschbörsen) ist verboten; derartige Programme dürfen weder installiert noch genutzt werden. Verboten ist die Bereithaltung, Verwendung oder Weiterverbreitung von kopierschutzbefreiter Software oder von Programmen zur Umgehung von Kopierschutzmaßnahmen. Nicht gestattet sind die Verwen- dung von Programmen zur Ermittlung normalerweise verborgener Lizenzinformationen (z.B. Seriennum- mern oder Zugangscodes) sowie die Weitergabe solcher Informationen an Dritte.

4 E-Mail-Nutzung

Für Arbeiten für die Fraunhofer-Gesellschaft ist die Fraunhofer-E-Mail-Adresse zu verwenden. Das auto- matische Weiterleiten dienstlicher E-Mails auf externe E-Mail-Accounts ist unzulässig. Die Nutzung dienstlicher Mailverteiler für private Zwecke wie Spendenaufrufe, Aufrufe zu Teilnahme an Umfragen, die nicht im dienstlichen Kontext stehen,oder zur Verbreitung politischer oder sonstige Meinungsäuße- rungen, ist zu unterlassen. Die Veröffentlichung von Fraunhofer-Mailadressen darf nur im dienstlichen

Stand: 27.01.2025/Version 3.01 5| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 6]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Kontext erfolgen Die private Nutzung der dienstlichen Mailadresse ist zulässig, sollte aber vermieden werden. Private E-Mails sollen separat von dienstlichen E-Mails gespeichert werden, private E-Mail-Ord- ner sollen im Ordnernamen als »privat«gekennzeichnet werden. Eingehende Mails bergen trotz Filterung ein nicht zu unterschätzendes Risiko durch Schadsoftware. Bei verdächtigen Mails mit Linksund Anhängen, auch von vermeintlich bekannten Absendern, sollten diese erst nach vorheriger Überprüfung auf Schadsoftware bzw. Rücksprache mit der Abteilung IT-Service oder dem Absender geöffnet werden. Eine Weiterleitung bzw. Verbreitung von Warnmeldungen vor Schadsoftware darf ausschließlich durch die Abteilung IT-Service erfolgen. Größere Anhänge sollten nicht per Mail an Verteilerlisten geschickt, sondern auf einem internen Server (siehe Abschnitte »Internet- und Cloud-Dienste« und »Im Internet bereitgestellt Dienste und Daten«) bereitgestellt werden.

5 Nutzung des Netzwerks

Fremdgeräte dürfen nur mit eduroam oder einem Gästenetz verbunden werden, nicht aber mit dem institutsinternen Netzwerk. Computer, Drucker, Telefone und andere Geräte dürfen nur nach Freigabe der Abteilung IT-Service ins interne Netz integriert werden. Geräte, die ins Netzwerk integriert werden sollen, dürfen nur von autorisierten Mitarbeitern oder nach deren Vorgaben konfiguriert werden. Die eigenmächtige Änderung der Netzwerkkonfiguration sowie die Installation von WLAN-Accesspoints, Switches und anderen Netzwerkkomponenten sind verboten. Der Einsatz von Programmen, die den Netzwerkverkehr überwachen, ist nur durch dazu explizit befugte Mitarbeitende zu dienstlichen Zwe- cken oder mit Ausnahmegenehmigung des/der Informationssicherheits-Beauftragten oder der Abtei- lung IT-Service zulässig.

6 Internet- und Cloud-Dienste

Firmendaten sind grundsätzlich nur auf Systemen zu speichern, die von Fraunhofer selbst betrieben werden, von der Abteilung IT-Servicedafür freigegeben wurdenoder von Dienstleistern, die Fraunhofer beauftragt hat (siehe Office 365). Die selbstgewählte Speicherung in öffentlichen Cloud-Diensten wie Dropbox, Google-Accounts usw. ist aufgrund von Datenschutzbestimmungen und anderen Gesetzen, Verträgen und Betriebsvereinbarungen hingegen vielfach unzulässig. Vor einer Übertragung von Fir- mendaten zu den Dienstanbietern sind Projektleitungen und Vorgesetzte zu fragen, die die Zulässigkeit sowie eventuelle Sicherheitsmaßnahmen abklären müssen.

Durch Dokumentation der Zugangsdaten zu dienstlichen Accounts, insbesondere zu Social Media-Ac- counts, und durch Meldung bei der/dem Vorgesetzten oder Projektleitungen ist sicherzustellen, dass solche Accounts zugreifbar bleiben und nicht vergessen werden,z.B. beim Wechsel der Mitarbeitenden. Die Freigabe von internen Adressverzeichnissen für einen Betreiber zum Abgleich von Kontaktdaten ist nicht zulässig. Internetseiten mit vermutlich oder offensichtlich illegalen Inhalten sind zu meiden. Um das ungewollte automatische Installieren von Schadfunktionen beim Besuch von Internet-Seiten zu verhindern, sollten mit geeigneten Browsereinstellungen und Browser-Plugins aktive Inhalte möglichst selektiv geblockt werden. Hinweise hierzu findet man im Intranet des IIS.

7 Künstliche Intelligenz

KI-Systeme können die Arbeit erleichtern. Es muss jedoch vermieden werden, dass bei deren Verwen- dung schützenswerte interne oder gar vertrauliche Daten an Diensteanbieter weitergegeben werden

Stand: 27.01.2025/Version 3.01 6| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 7]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

oder über lernende Systeme indirekt an Dritte gelangen. Aus diesem Grund dürfen nur Fraunhofer- interne oder für bestimmte Projekte, Aufgaben oder Daten freigegebene Systeme verwendet werden. Zu beachten sind auch Urheberrechte an generierten Inhalten. Ob und in welcher Weise KI-Systeme für die Arbeit verwendet werden, ist mit dem jeweiligen Projektleitung bzw. Vorgesetzten zu erörtern. Da- bei ist die Zulässigkeit für die konkreten Zwecke zu bewerten und es sind rechtliche Anforderungen aus dem AI-Act sowie innerbetrieblichen Regelungen zu beachten, wie u. a. eine Registrierungspflicht für Anbieter von KI-Systemen mit hohem Risiko. Bedacht werden muss auch die teilweise zweifelhafte Zu- verlässigkeit der generierten Ergebnisse von KI-Systemen.

8 Umgang mit vertraulichen Daten

Zum Schutz der Vertraulichkeit von Daten sind die Vorgaben zur Informationsklassifizierung zu beach- ten. Informationen, die nicht als »Public« klassifiziert sind und keine Kennzeichnung tragen, sind als »Restricted« anzusehen. Sie sind nur den Personen zugänglich zu machen, die sie für ihre Aufgabener- füllung benötigen und dürfen ohne Zustimmung des Informationsverantwortlichen Fraunhofer nicht verlassen, d. h. insbesondere nicht an Externe weitergeleitet oder in externen Cloud-Diensten (nicht vertraglich verpflichteter Anbieter) gespeichert werden. Als »Confidential« oder »Strictly confidential« klassifizierte Daten sind besonders zu schützen, insbesondere sind sie sichtbar zu kennzeichnen und verschlüsselt zu versenden, sofern die Abteilungs- oder Projektleitung keine strengeren Maßstäbe fest- gelegt hat. Als »Public« klassifizierte Daten unterliegen diesen Einschränkungen nicht, jedoch sind Rechte Dritter, wie z. B. Urheberrechte, vor der Weitergabe zu beachten. Über weitere Vorgaben und Ausnahmen informiert die zuständige Projekt- und Abteilungsleitung. Details regelt die HaHi »Informa- tionsklassifizierung«.

9 Nutzung mobiler Endgeräte

Dienstlich genutzte Notebooks, Smartphones und Tablets erfordern gesonderte Sicherheitsvorkehrun- gen.2 Mobile Endgeräte, die zur Bearbeitung, Verwaltung, Speicherung oder Nutzung geschäftlicher Informationen verwendet werden, müssen von der Abteilung IT-Service zentral verwaltet und überwacht werden. Mobile Endgeräte sind vor unberechtigtem Zugriff und Diebstahl zu schützen, siehe auch Ab- schnitt »Mobiles Arbeiten und Verhalten auf Reisen«. Bei Geräteverlust ist die Abteilung IT-Service umgehend zu informieren. Nach Möglichkeit wird dann ein Fernlöschen durchgeführt und eine Diebstahl-/Verlustanzeige aufgegeben.

Besonders für Smartphones und Tablets relevant (z.B. Geräte mit Android, iOS oder iPadOS):

Soweit die Abteilung IT-Service die Sicherheitseinstellungen nicht fest vorgegeben eingestellt hat, muss die Nutzerin bzw. der Nutzer diese selbst vornehmen. o Die Geräte sind mit einer PIN-Sperre/Passwort-Sperre (mindestens 6 Zeichen lang) zu konfi- gurieren. Diese Sperre muss bei Nichtbenutzung automatisch aktiv werden, vorzugsweise nach 2 Minuten, spätestens nach 10 Minuten. o Die Geräte müssen so konfiguriert sein, dass sie alle Informationen löschen, wenn mehrfach ein falscher Code eingegeben wurde. Zulässig sind maximal 10 Fehleingaben.

2Für Test-und Entwicklungsgeräte könnenabweichende Vorgabenvereinbart werden.

Stand: 27.01.2025/Version 3.01 7| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 8]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Sicherheitsfunktionen der Betriebssysteme dürfen nicht außer Kraft gesetzt werden. Eingriffe wie »jailbreak« oder »rooten« sind verboten. Die Änderung der SIM-PIN muss umgehend an den Institutseinkauf gemeldet werden. Bei Ausscheiden oder Benutzerwechsel müssen persönliche Informationen vom Gerät entfernt werden. Dazu zählt vor allem das Löschen des Apple Account um auch die Gerätesperre (Wo ist?) zu deaktivieren. Dies kann durch die Nutzerin oder den Nutzer persönlich oder zusammen mit der Abteilung IT-Servicepassieren. Die Geräte werden dabei auf Werkseinstellungen zurück- gesetzt. Der Institutseinkauf muss die Information über das Ausscheiden erhalten, um ggf. ver- tragliche Bedingungen zu ändern oder zu kündigen. Wird ein mobiles Endgerät durch ein neues ersetzt, muss das alte bei der Abteilung IT-Service umgehend abgegeben werden. Die Abteilung IT-Service stellt sicher, dass das alte Gerät ent- sprechend zurückgesetzt und/oder entsorgt wird. Soll das Gerät für Forschungszwecke oder als Zweitgerät weitergenutzt werden, muss der Institutseinkauf informiert werden. Zum besseren Schutz betrieblicher Daten wird auf den Geräten in der Regel eine Container-App installiert (SecurePIM). Bei geöffnetem Container darf das Gerät nicht an Dritte ausgehändigt werden. Aus dem Container darf mit der folgenden Ausnahme kein Datenexport erfolgen: Um Anrufer zu identifizieren, ist der Export von Name und Telefonnummer zulässig. Der Zugriff auf E-Mail- bzw. Groupware-Systeme darf nur über die Container-App erfolgen. Ein direkter Zugriff auf den Exchange-Server über Mittel des Betriebssystems ist nicht zulässig. Betriebliche Daten, insbesondere Adressbücher und E-Mails, dürfen nicht bei externen Diensten unverschlüsselt gespeichert oder über die Cloud des Herstellers unverschlüsselt synchronisiert werden. Anwendungen dürfen nur aus den App-Shops der Gerätehersteller oder anderen von der Abtei- lung IT-Service als vertrauenswürdig eingestuften Quellen bezogen werden. Die Abteilung IT- Servicebehält sich vor, einzelne als eindeutig schädlich erkannte Apps zu blockieren. Bei der Installation von Anwendungen (»Apps«) auf Mobilgeräten ohne Container-App ist be- sondere Sorgfalt geboten, da viele Apps Daten auslesen und ins Internet übertragen.

9.1 Private Mitnutzung

Die Nutzung von dienstlichen Smartphones sollte ausschließlich in dienstlichem Interesse erfol- gen. Findet darüber hinaus auch eine zulässige Privatnutzung statt, so kanndiese abrechnungs- pflichtigsein. Details,siehe Abschnitt »Abschluss, Verlängerung und Kündigung von Mobilfunk- oder Datenverträgen«. Die Genehmigung für private Mitnutzung gilt nur für Mitarbeitende und erstreckt sich nicht auf Familienangehörige, Freunde oder andere Dritte. Das Einrichten zusätzlicher privater E-Mail-Konten auf den Geräten ist zulässig. Es muss für eine Trennung von privaten und dienstlichen Konten gesorgt werden (z.B. Container-App), damit dienstliche E-Mails nicht versehentlich über ein privates E-Mail-Konto verschickt werden. Private Termine und private Kontakte dürfen auf dem Gerät gespeichert und mit dem Exchange- Server des Institutes synchronisiert werden. Private Daten (Bilder, Musik, z.B. MP3) dürfen auf dem Smartphone gespeichert werden, wenn deren Besitz oder Nutzung nicht gegen urheberschutzrechtliche Bestimmungen verstoßen. Anwendungen für private Zwecke dürfen unter der Beachtung besonderer Sorgfalt installiert und genutzt werden, wenn dadurch die dienstliche Nutzung des Gerätes nicht beeinträchtigt wird und kein höheres Risiko entsteht.

Stand: 27.01.2025/Version 3.01 8| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 9]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Bei Diebstahl, Verlust oder begründetem Missbrauchsverdacht kann ein Fernlöschen (»Remote Wipe«) durchgeführt werden: Hierbei werden alle Daten vom Gerät gelöscht. Die Nutzerinnen und Nutzer sind für ein regelmäßiges Backup selbst verantwortlich, das Institut haftet nicht für den Verlust privater Daten! Backups dürfen nicht bei Cloud-Dienstleistern gespeichert werden, sondern sind verschlüsselt auf lokalen Datenträgern abzulegen. Smartphones dürfen auch im privaten Umfeld und auf privaten Reisen mitgeführt werden. Tab- lets und Notebooks dürfen nur bei nachgewiesener besonderer dienstlicher Notwendigkeit auf privaten (Auslands-) Reisen mitgeführt werden.Voraussetzung hierfür ist eine vorherige Prüfung durch die Exportkontrolle, die auf Anfrage des Reisenden erfolgt. Mitarbeitende und Gruppen- leitungen müssen vor der Anfrage die dienstliche Notwendigkeit von ihrer Abteilungsleitung bestätigen lassen. Abteilungs- und Bereichsleitungen können die Exportkontroll-Prüfung direkt anfragen. Details, siehe auch HaHi »Exportkontrolle«. Bei Auslandsreisen sind mögliche Roaming-Gebühren zu beachten und ggf. die Internetverbin- dung zu deaktivieren. Die Regelungen in Abschnitt »Mobiles Arbeiten und Verhalten auf Reisen« gelten sinngemäß auch für die Mitnahme von Geräten auf private Reisen.

9.2 Maßnahmen im Notfall

Smartphones haben ein besonders hohes Verlustrisiko. Dieses Problem wird dadurch verschärft, dass auf Smartphones kritische Daten gespeichert sind. Dazu zählen insbesondere Credentials (Passwörter) für den Zugang zu den Ressourcen des Instituts. Als Abwehrmöglichkeit sind die Geräte dazu mit einer Fernlösch-Option (»Remote-Wipe«) ausgestattet. Über die Funktionsweise der Fernlösch-Option muss sich der Mitarbeiter bereits bei der Inbetriebnahme des Gerätes informieren.

Bei Verlust des mobilen Endgerätes oder bei Verdacht von Missbrauch durch Fremde (z.B. Instal- lation von Schadsoftware) ist umgehend das Institut zu informieren und, soweit möglich, eine Fernlöschung auszulösen. Die Meldung wird zu üblichen Geschäftszeiten unter der Nummer 09131 776 2777 von der Hotline der Abteilung IT-Service entgegengenommen, die dann die notwendigen Maßnahmen einleitet. Wenn die Hotline nicht erreicht werden kann, ist zumindest eine Sperrung der SIM-Karte und das Deaktivieren der WLAN/Internetverbindung (Flugmodus) vom Nutzenden zu veranlassen. Gemeinsam mit dem/der Informationssicherheits-Beauftragten und der Abteilung IT-Service ist eine Aufklärung des Schadens durchzuführen, insbesondere sind Datenverluste zu benennen und mögliche Zugriffe Fremder auf Institutsdaten zu ermitteln. Alle Benutzerkennwörter und PINs sind zu ändern.

9.3 Hinweise zu Maßnahmen der Systemadministration

Die Änderung des Codes der Zugangssperre aus der Ferne ist nur bei Gefahr im Verzug auf Wunsch der Nutzerin oder des Nutzers zulässig. Das Fernlöschen des Geräts durch die Abteilung IT-Service ist nur unter den folgenden Randbedingun- gen zulässig:

Verlust des Gerätes nach Anzeige durch oder auf Wunsch der Nutzerin bzw. des Nutzers bei begründetem Verdacht auf Missbrauch bei begründetem Verdacht auf Schadsoftware-Befall des Gerätes, nach folgendem Ablauf:

o Wenn möglich Vorabinformation der Nutzerin bzw. des Nutzers, Dokumentation des Kon- taktversuchs o Dokumentation der Gefahrensituation und der Entscheidung für die Fernlöschung

Stand: 27.01.2025/Version 3.01 9| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 10]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

o Information der Nutzerin bzw. des Nutzers über die erfolgte Löschung unter Vorlage der Dokumentation

Eine Ortung von mobilen Geräten ist nur im Ausnahmefall zulässig. Dabei gelten folgende Regeln:

Soll eine Ortung von mobilen Geräten erfolgen, so sind die Nutzerinnen und Nutzer vorab hier- über zu informieren und es muss eine konkrete Zweckbestimmung (z. B die Ortung des Gerätes bei Verlust) vorliegen. Nur bei Gefahr für Leib und Leben (z.B. die Ortung im Ausland via International SOS im Fall von Katastrophen oder in Hochrisikogebieten.) ist die Fernaktivierung der Ortungsfunktion ohne vor- heriges Einverständnis des Users zulässig.

9.4 Abschluss, Verlängerung und Kündigung von Mobilfunk- oder Datenver-

trägen

Die »GBV über den Einsatz von Mobiltelefonen (V. 1.1)« regelt die Festlegung von Abläufen und Ver- antwortlichkeiten in Zusammenhang mit der Bereitstellung und Kostenübernahme bei mobilen Kom- munikationsgeräten (in der GBV Mobiltelefonegenannt) und Nutzung eines dienstlichen Mobilfunkver- trages in der Fraunhofer-Gesellschaft. Die zentrale Beschaffung der notwendigen Endgeräte und der dienstlichen Mobilfunkverträge unterliegt ausschließlich dem Institutseinkauf. Nur dieser darf im Auftrag der Verwaltungsdirektion Kommunikati- onsverträge (in der GBV dienstliche Mobilfunkverträge genannt) abschließen, anpassen oder verlängern. Grundsätzlich gilt, dass die Bereitstellung von Kommunikationsgeräten in Art und Umfang in Abstim- mung mit der/dem Budgetverantwortlichen bzw. der/dem Vorgesetzten unter Berücksichtigung von Wirtschaftlichkeitsaspekten festzulegen sind. Im Intranetfindet sich eine Aufstellung der zur Verfügung stehenden dienstlichen Mobilfunktarife, Lauf- zeiten, Kündigungsfristenund Bedingungen der privaten Mitnutzung (https://intern.iis.fhg.de/x/3hyWBQ). Des Weiteren bieten wir eine Übersicht der mobilen Endgeräte, unserem präferierten Standardmodell (bestes Preis-/Leistungsverhältnis) und dazugehörigen Bestell-Link(https://intern.iis.fhg.de/x/BWAsN) an.

Aufstellung von freizugebenden Ausnahmen:

Eine Rufnummernportierung von privaten zu geschäftlichen Verträgen ist nur nach Freigabe durch den Institutseinkauf möglich. Eine Rückportierung der privaten Rufnummer bedarf der Freigabe des Vorgesetzten und der Verwaltungsdirektion. Die Portierung von geschäftlichen Altverträgen zu privaten Neuverträgen ist generell nicht mög- lich. Das dienstlich beschaffte Endgerät bleibt Eigentum der Fraunhofer-Gesellschaft, ist bei Ausschei- den des Mitarbeitenden zwingend abzugeben und kann nicht privat übereignet werden. Eine Abweichung von unseren vorgegebenen Standardverträgen und Standardmodellen muss begründet und von der Abteilungsleitung und Verwaltungsdirektion (ab 1.000 EUR netto) frei- gegeben werden.

10 Nutzung eigener Hardware

Die Nutzung nicht von der Fraunhofer-Gesellschaft bereitgestellter, insbesondere privater Hardware (auch Kameras, USB-Sticks) zu betrieblichen Zwecken der Fraunhofer-Gesellschaft (»Bring Your Own Device«, BYOD) erfolgt nur nach Genehmigung durch die Abteilung IT-Service und Rücksprache mit dem/der Informationssicherheits-Beauftragten des Instituts.

Stand: 27.01.2025/Version 3.01 10| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 11]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Die Nutzung privater Geräte kann weder vom Nutzenden noch von der Fraunhofer-Gesellschaft verlangt werden. Betriebliche Daten sind von privaten zu trennen und besonders zu schützen. Familienangehö- rige und andere Personen dürfen auf betriebliche Daten nicht zugreifen können. Beim Ausscheiden aus der Fraunhofer-Gesellschaft sind betriebliche Daten zu löschen, sofern mit der Projekt-bzw. Abteilungs- leitung nichts anderes vereinbart wurde.

Der Abteilung IT-Serviceist die Kontrolle von Sicherheitseinstellungen zu gestatten. Für die Fraunhofer- Gesellschaft besteht die Möglichkeit der Einsichtnahme auf dienstliche Daten des Geräts im Notfall oder bei Missbrauchsverdacht,gemäß der Regeln der GBV »IT-Grundsätze«.Falls bei Fernlöschung oder Fern- zugriffen private Daten unabsichtlich gelöscht werden, besteht kein Schadensersatzanspruch. Vollzugang zum internen Institutsnetz ist nur möglich für Geräte, die vollständig von der Abteilung IT- Service administriert werden und allen Sicherheitsanforderungen entsprechen. Sofern BYOD für Smartphones oder Tablets gestattet wird, gelten die Bestimmungen des Abschnitts »Nutzung mobiler Endgeräte«.Die von der Abteilung IT-Service bereitgestellte Container-App ist dann verpflichtend zu verwenden. Dies ermöglicht einen eingeschränkten Zugang (z.B. nur Kalender und Mail) zum internen Institutsnetz. Voraussetzung ist ein als ausreichend sicher eingestuftes Endgerät, dessen Sicherheitsstatus anhand der Aktualität des Betriebssystems bewertet wird. Software des Instituts darf nur in Einzelfällen und nach Genehmigung durch die Abteilung IT-Service auf eigener Hardware eingesetzt werden. Eventuelle Einschränkungen in der Art und Dauer der Nutzung sind einzuhalten. Die Nutzung von Microsoft Teams (mit dem Fraunhofer Account) ist auf privaten Geräten nicht erlaubt.

11 Mobiles Arbeiten und Verhalten auf Reisen

Die Nutzung von IT-Diensten außerhalb der betrieblichen Arbeitsplätze, beispielsweise am Heimarbeits- platz oder auf Reisen, erfordert besondere Sicherungsmaßnahmen. Es ist darauf zu achten, dass Dritte vertrauliche Gespräche nicht mithören und angezeigte Daten nicht beobachten können, z. B. durch Dunkelstellen des Bildschirms und ggf. Sichtschutz für den Bildschirm. Geräte sind nicht unbeaufsichtigt zu lassen. Beim kurzzeitigen Verlassen sind Geräte zu sperren und, wenn möglich, auch physisch zu sichern, z. B. über ein Kabel oder durch Einschließen. Auf Reisen ist gegebenenfalls jemand zu bitten, auf das Gerät kurz aufzupassen. Bei längerer Abwesenheit oder im Hotel sind Geräte ganz auszuschalten (Herunterfahren). Die Hinterlegung im Hotel-Safe oder zumindest in einem separat verschließbaren Ob- jekt wird empfohlen, sofern die Endgeräte unbeaufsichtigt im Hotel verbleiben. Bei Auslandsreisen ist eine Risikoabwägung zu treffen. Ggf. ist ein gesondertes Reisegerät zu verwenden, das nur die für das Dienstgeschäft benötigten Daten enthält(siehe gesondertes Angebot der Abteilung IT-Service).Dies gilt insbesondere für Reisen in Risikoländer. Das Merkblatt Auslandsreisen und die HaHi »Dienstreise« sind zu beachten. Folgende Fälle müssen unverzüglich (mit Gerätenamen) der Abteilung IT-Service oder der Informati- onssicherheit gemeldet und die Hinweise beachtet werden:

Das Gerät musste im nicht vollständig heruntergefahrenen Zustand (oder sogar unverschlüs- selt) unbeaufsichtigt an Dritte (z.B. Zollbeamte etc.) ausgehändigt werden oder wurde inspi- ziert (Berechtigter Zugriff Dritter). Das Gerät darf erst nach Freigabe durch die Abteilung IT-Service wieder am Institutsnetz betrieben werden (auch VPN-Zugang). Geräteverlust(verloren, gestohlen etc.) Bei Diebstahl zusätzlich Anzeige bei der Polizei. Verlust vonSIM-Karten. Karten sofort beim Netzbetreiber sperren lassen. Bei Diebstahl zusätzlich Anzeige bei der Polizei.

Stand: 27.01.2025/Version 3.01 11| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 12]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

12 Datensicherung

Backups erfolgen durch die Fraunhofer-Gesellschaft oder durch deren Einrichtungen, jedoch nicht von privaten Datenspeichernder Nutzenden. Aus diesem Grund werdenProjektdaten und andere wichtigen Dokumente grundsätzlich in einer mit dem Projektleiter abgesprochenen Struktur auf den Institutsser- vern gespeichert. Nutzende sollen sich über die Vorgaben zur Datensicherung informieren. Wenn aus zwingenden Gründen Daten oder E-Mails nur auf einem Endgerät anstatt auf Servern gespeichert wer- den, unterliegen diese möglicherweise nicht der automatischen Datensicherung. Die Nutzerin bzw. der Nutzer muss dann in Rücksprache mit der Abteilung IT-Service und dem Vorgesetzten selbst für eine geeignete Datensicherung sorgen und ist für diese verantwortlich. Wird längere Zeit auf einem Computer ohne Serverkontakt gearbeitet, sind von wichtigen Dateien ver- schlüsselte, lokale Sicherheitskopien zu erstellen (z.B. auf USB-Stick oder externen Datenträgern). Die HaHi »Informationsklassifizierung« ist zu beachten.

13 Aufbewahrung von Daten

Projektergebnisse und andere betriebliche Daten sind entsprechend den gesetzlichen Vorgaben, den geltenden Verträgen und den Grundsätzen ordnungsgemäßer wissenschaftlicher Arbeit sicher aufzube- wahren. In der Regel gilt eine Mindestaufbewahrungsfrist von 6 Jahren (insbesondere für geschäftliche E-Mails und Briefe); für Verträge und Buchungsbelege beträgt die Mindestaufbewahrungsfrist 10 Jahre. Projektergebnisse sowie die zu ihrer Nachvollziehbarkeit erforderlichen Daten müssen unter Umständen länger aufbewahrt werden. Die Ablage administrativer Daten (insbesondere Verträge, Geschäftsbriefe) erfolgt zeitnah in der zum Projekt bzw. der Abteilung gehörenden Projektablage/bzw. Akte. Andere Daten (z. B. Projektinhalte) werden entsprechend den institutslokalen Regelungen evtl. auch anders ar- chiviert. Die Projekt- und Abteilungsleitungen informieren über anzuwendende Regeln und Verfahren.

14 Rückgabe von Betriebsmitteln und Übergabe von Daten beim Ausscheiden

Nutzerinnen und Nutzer haben vor ihrem Ausscheiden aus der Fraunhofer-Gesellschaft alle erhaltenen Betriebsmittel der Organisation, wie zum Beispiel Smartphones, Notebooks, tragbare Speichergeräte, sowie Projektergebnisse und andere dienstliche Daten, entsprechend den zuvor genannten Regeln für die Weiterarbeit zu übergeben und in den vorgesehenen Projektakten oder Ablagen zu speichern sowie ihre privaten Daten auf den Fraunhofer-Speichermedien zu löschen. Da eine zielgenaue Selektion und Übergabe insbesondere bei E-Mails mitunter nicht gelingen, kann das Institut die Daten des persönlichen Bereichs (Homeverzeichnis und E-Mail-Account) in begründeten Fällen über das Beschäftigungsverhält- nis hinaus innerhalb rechtlich zulässiger Fristen (in der Regel 10 Jahre) speichern. Eine Einsichtnahme in diese Daten erfolgt nur mit einem Mitglied des zuständigen Betriebsrats oder einer vom Betriebsrat benannten Vertretung. Ausgeschiedene Nutzerinnen und Nutzer haben keinen Anspruch darauf, dass Fraunhofer ihre privaten Daten weiter speichert oder ihnen weiter zugänglich macht. E-Mail-Accounts werden nach dem Ausscheiden deaktiviert, eingehende E-Mails mit einer Autonachricht abgelehnt und später gelöscht.

15 Im Internet bereitgestellt Dienste und Daten

Sollen z.B. im Rahmen von Projekten Daten und Dienste im Internet öffentlich oder für bestimmte Benutzergruppen bereitgestellt werden, müssen diese Dienste vorher von der Abteilung IT-Service ge- nehmigt werden. Weiterhin muss für den Betrieb dieser Dienste eine verantwortliche Person als techni- scherund inhaltlicher Ansprechpartner des Betreibers benannt werden. Scheidet dieser Ansprechpartner

Stand: 27.01.2025/Version 3.01 12| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 13]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

aus dem Dienst der Fraunhofer-Gesellschaft aus, muss rechtzeitig vorher ein Nachfolger benannt und eingewiesen werden, andernfalls darf der Dienst nicht weiter betrieben werden. Der Ansprechpartner ist auchfür eine zeitnahe Reaktion bzw. Abhilfe bei bekanntwerdenden Sicherheitslücken der betriebe- nen Plattform zuständig. Die Beantragung und Reservierung von Internet-Domains dürfen ausschließlich über die Abteilung IT- Serviceerfolgen.

16 Entsorgen von Datenträgern

Die zu Entsorgung bzw. Vernichtung von Datenträgern erforderlichen Maßnahmen richten sich nach der Schutzklasse der darauf enthaltenen Daten und sind in der HaHi »Informationsklassifizierung« for- muliert. Einfaches Löschen ist unzureichend! Nicht mehr benötigte Datenträger (wie CDs, DVDs, USB-Sticks) oder Geräte mit eingebauten Speichern können unter Hinweis auf die Schutzklasse der gespeicherten Daten bei der Abteilung IT-Service zur Löschung bzw. Vernichtung abgegeben werden.

17 Schutz vor Schadsoftware

Jeder Computer wird durch eine von der Abteilung IT-Service vorgegebene Endpoint Protection (Vi- renscanner) geschützt. Die Aktualisierung des Betriebssystems, der Standardprogramme und der Endpoint Protection (Vi- renscanner) wird von der Abteilung IT-Serviceaktiv betrieben. Das Behindern oder Deaktivieren der Ak- tualisierungen oder des Scans auf Schadsoftware(Malware) ist unzulässig. Bei Verfügbarkeit von sicherheitsrelevanten Aktualisierungen sind diese spätestens nach Aufforderung durch die Abteilung IT-Servicezeitnah zu installieren. Hierzu müssen die Geräte mindestens einmal mo- natlich für zumindest einige Stunden Kontakt mit dem IIS-Netzwerk haben. Geräten mit veraltetem Be- triebssystem wird der Zugang entzogen. Auf Geräten, die direkten Zugang zum Internet haben können (also ohne die Firewall des Institutsnet- zes), ist eine »Personal Firewall« einzusetzen. Auswahl, Installation und Konfiguration dieser Firewall erfolgt durch die Abteilung IT-Service.

18 Bearbeitung und Speicherung personenbezogener Daten, Auftragsdaten- verarbeitung

Vor der Verarbeitung oder Speicherung personenbezogener Daten sind besondere Schutzkonzepte zu erstellen. Hierzu müssen rechtzeitig vor Projektbeginn die Datenschutzansprechperson und die Abtei- lung IT-Service einbezogen werden. Alle Datenschutzbestimmungen sind strikt einzuhalten. Werden externe Dienstleister mit der Verarbeitung personenbezogener Daten betraut, ist (unter Einbe- ziehung von Institutseinkauf und der Gruppe Recht) eine separate Vereinbarung zur Auftragsdatenver- einbarung abzuschließen.

Stand: 27.01.2025/Version 3.01 13| 27 Anlage 1 zur 2024/01/2B/OIT-Benutzungsordnung

[Seite 14]

IT-Benutzungsordnung der Fraunhofer Gesellschaft

Kenntnisnahme und Anerkennung der IT-Benutzungsordnung

der Fraunhofer-Gesellschaft

• for the English version of the IT-Terms of Use, please see below -

Bitte Online, sonst Formularkopf handschriftlich in GROSSBUCHSTABEN ausfüllen!

Auszufüllen vom IT-Nutzer/ der IT-Nutzerin:

Ich erkläre hiermit, die Bestimmungen dieser IT-Benutzungsordnung (ITBO) und ihres Anhangs zur Kenntnis genommen zu haben und verpflichte mich, diese einzuhalten. Sofern ich die IT der Fraunhofer-Gesellschaft privat mitnutze, willige ich ausdrücklich in die Be- dingungen der privaten Mitnutzung gem. Ziffer IV dieser ITBO ein. Sofern ich nicht Arbeitnehmerin oder Arbeitnehmer der Fraunhofer-Gesellschaft bin, sondern eine andere externe Nutzerin / ein anderer externer Nutzer, gelten die in der ITBO festgelegten Pflichten und Regelun- gen sinngemäß auch für mich. Rechte, die in der IT-Benutzungsordnung für die Arbeitnehmerinnen und Arbeitnehmer beschrieben sind, wie zum Beispiel die zur privaten Mitnutzung, stehen mir dagegen aus rechtlichen Gründen nicht zu.

English Translation:

I hereby declare that I have read and understood the provisions of this IT Usage Policy (ITBO) and its appendix and undertake to comply with them. If I use the Fraunhofer-Gesellschaft's IT for private purposes, I expressly consent to the conditions of pri- vate use according to section IV of this ITBO. Unless I am an employee of the Fraunhofer-Gesellschaft, but rather another external user, the obligations and regula- tions stipulated in the IT Usage Regulations also apply to me accordingly. However, rights described in the IT Usage Regulations for employees, such as those for private use, do not apply to me for legal reasons.

Disclaimer: The english translation of the declaration above and the english version of the policy (»IT terms of use«) is to be used as a reading version for information purposes only. It is neither a self-contained nor a legally binding document. In the event of any inconsistency between the German version and the English version, the German ver- sion shall prevail.

Ort und Datum / place and date Unterschrift oder el. Signatur / signature or electr. signature