Aufgaben: Sichere Nutzung von Datenbanken

Erklären Sie die Begriffe Datenintegrität und Datenkonsistenz und nennen Sie je ein Beispiel aus einer Schülerdatenbank.

In einer Schuldatenbank gibt es die Rollen Sekretariat, Lehrkraft und Schüler.

1. a) Nennen Sie für jede Rolle ein sinnvolles Zugriffsrecht (lesen, ändern, löschen).

1. b) Erklären Sie das Prinzip der minimalen Rechte.

Ein Login-Formular erzeugt die Abfrage SELECT * FROM Nutzer WHERE Name = ' + Eingabe + ';

1. a) Erklären Sie, was SQL-Injection ist.

1. b) Nennen Sie eine Schutzmaßnahme.

Ein Webshop erzeugt die Abfrage SELECT * FROM Nutzer WHERE Name = ' + n + ' AND Passwort = ' + p + '.

1. a) Welche Abfrage entsteht bei der Eingabe n = admin' -- und beliebigem Passwort?

1. b) Erklären Sie, warum der Angreifer damit ohne Passwort Zugang erhält.

1. c) Beschreiben Sie, wie vorbereitete Anweisungen (Prepared Statements) das verhindern.

In der Tabelle Konto(KtoNr, Inhaber, Stand) überweist eine Transaktion 200 € von Konto 1 auf Konto 2: zuerst Abbuchung, dann Gutschrift. Nach der Abbuchung stürzt der Server ab.

1. a) Beschreiben Sie den entstehenden inkonsistenten Zustand.

1. b) Erklären Sie, wie das Transaktionskonzept (Atomarität, Rollback) das Problem löst.

1. c) Nennen Sie eine Integritätsbedingung, die die Datenbank zusätzlich prüfen sollte.

Eine Arztpraxis in Freiburg speichert Patientendaten in einer Datenbank.

1. a) Entwerfen Sie ein Rechtekonzept für Empfang, Ärztinnen und Administration (SQL: GRANT/REVOKE, mindestens zwei Beispielbefehle).

1. b) Begründen Sie, warum Passwörter nur als Hashwerte gespeichert werden sollten.

Eine Suchfunktion eines Online-Shops bildet SELECT Name, Preis FROM Artikel WHERE Name LIKE '% + s + %'.

1. a) Konstruieren Sie eine Eingabe s, mit der ein Angreifer zusätzlich alle Einträge der Tabelle Nutzer(Name, Passwort) ausliest (UNION). Begründen Sie die Bedingung an die Spaltenzahl.

1. b) Erläutern Sie, warum das Maskieren einzelner Zeichen weniger sicher ist als Prepared Statements.

1. c) Bewerten Sie, welche weiteren Schutzebenen (Rechte, Fehlermeldungen, Hashing) den Schaden begrenzen.

Zwei Nutzer buchen gleichzeitig den letzten Platz eines Konzerts (Tabelle Platz(PNr, frei)). Beide lesen frei = 1 und schreiben dann frei = 0.

1. a) Beschreiben Sie den Ablauf als Verschränkung der Operationen und das fehlerhafte Ergebnis.

1. b) Erklären Sie, wie Sperren oder Transaktionen mit Isolation das verhindern.

1. c) Diskutieren Sie ein mögliches Problem von Sperren (Verklemmung).

Eine Schule in Köln plant eine Datenbank mit Noten und personenbezogenen Daten.

1. a) Nennen und begründen Sie drei technisch-organisatorische Maßnahmen im Sinne des Datenschutzes (DSGVO), z. B. Zugriffskontrolle, Protokollierung, Verschlüsselung.

1. b) Erläutern Sie die Grundsätze der Datenminimierung und der Zweckbindung am Beispiel.

1. c) Beurteilen Sie, ob ein Lehrer lesenden Zugriff auf Noten aller Schüler der Schule erhalten sollte.