IT-SicherheitTresor für sensible Daten
Cyber-Angriffe auf kritische Infrastrukturen bedrohen nicht mehr nur private Wirtschaftsunternehmen, sondern immer häufiger auch Einrichtungen von Bund, Ländern und Kommunen. Brandgefährlich werden dieses Hacks, wenn gängige Programme ins Visier genommen werden. So hat Microsoft jüngst eine weitere Attacke auf Regierungsstellen und NGOs in mindestens 24 Ländern gemeldet. Bei den Hackern handelt es sich laut dem Konzern um die Gruppe Nobelium, die auch hinter dem SolarWinds-Angriff steckte. Von diesem waren im vergangenen Jahr Organisationen in der ganzen Welt betroffen: Die Hacker luden sich ein kompromittiertes Software-Update herunter, mit dem sie dann monatelang interne Daten ausspionieren konnten.
Im März dieses Jahres drangen Cyber-Kriminelle über Schwachstellen in der Mail-Software von Microsoft wiederum in fremde Netze ein, unter anderem wurden sechs Bundesbehörden Opfer des Angriffs. Die Microsoft-Lücke hat deutsche Organisationen besonders stark getroffen, weil sie oftmals die E-Mail- und Kollaborationsplattform Exchange im eigenen Haus oder in angemieteten Rechenzentren betreiben. Die dabei verwendeten Exchange-Server-Versionen 2013, 2016 und 2019 wurden zum Teil erst mit Verzögerung durch ein Update gesichert.
Gefahr für die öffentliche Sicherheit
Fallen kritische Infrastrukturen zur Versorgung von Bevölkerung und Wirtschaft mit Energie, Wasser, Lebensmitteln, Medizin oder schnellem Internet Hackern zum Opfer, drohen folgenschwere Engpässe und erhebliche Gefahren für die öffentliche Sicherheit. Alle Organisationen, deren Leistungen für das Allgemeinwohl und den Fortbestand der Wirtschaft und Verwaltung in Deutschland unabdingbar sind, unterliegen deshalb den Vorschriften des IT-Sicherheitsgesetzes. Zu den Auflagen gehört es, die IT- und Ausfallsicherheit am aktuellen Stand der Technik auszurichten. Unter die Regelung fallen neben Bundesbehörden auch Städte und Gemeinden sowie kommunale Unternehmen wie Stadtwerke oder Verkehrsbetriebe.
Aktuell hat die Politik das parlamentarische Gesetzgebungsverfahren für die Version 2.0 des IT-Sicherheitsgesetzes (IT-SiG 2.0) beendet. Zwar müssen zentrale Detailvorgaben noch über Verordnungen geregelt werden, nach Unterzeichnung durch den Bundespräsidenten und der Veröffentlichung im Bundesgesetzblatt Ende Mai 2021 können aber bereits jetzt wichtige Teile kurzfristig in Kraft treten. Gleichzeitig ist das IT-Sicherheitsgesetz ein so genanntes Artikel- oder Mantelgesetz und bildet die Grundlage für Veränderungen in zahlreichen anderen regulatorischen Vorgaben wie der Kritisverordnung des Bundesamts für Sicherheit in der Informationstechnik (BSI), dem Energiewirtschaftsgesetz, dem Telemediengesetz oder dem Telekommunikationsgesetz.
Auch mobile Geräte schützen
Das IT-SiG 2.0 stuft nun auch den Bereich Entsorgung als kritische Infrastruktur ein und erweitert damit den Kreis der betroffenen Institutionen. Hintergrund ist, dass Ausfälle oder Beeinträchtigungen im Bereich der Abfallwirtschaft nicht nur zur massiven Umweltverschmutzung, sondern auch zu einem Anstieg der Seuchengefahr führen können. Daneben verpflichtet die Neufassung Behörden, Stadtverwaltungen und kommunale Einrichtungen, „Systeme zur Angriffserkennung und Angriffsbewältigung“ zu betreiben. Dazu gehören insbesondere SIEM-Lösungen (Security Information and Event Management) für das schnelle Identifizieren von Cyber-Attacken. Kommt es zu Verstößen, werden künftig analog zur Datenschutz-Grundverordnung (DSGVO) Geldbußen von bis zu zwei Millionen Euro für natürliche und 20 Millionen Euro für juristische Personen fällig. Zudem erhält das BSI als zuständige Kontrollbehörde deutlich mehr Rechte für die Überwachung.
Um sich angemessen zu schützen und die Vorgaben des BSI zu erfüllen, müssen KRITIS-Unternehmen geeignete Sicherheitsmaßnahmen für die größten Schwachstellen ergreifen. Das schließt die mobile Kommunikation ein. Viele Angestellte in öffentlichen Einrichtungen wie Stadtwerken, Verkehrsbetrieben oder Flughäfen sind außerhalb ihrer eigentlichen Dienststelle unterwegs. Smartphones und Tablets machen mobiles Arbeiten möglich, stellen die Verantwortlichen jedoch vor zahlreiche Herausforderungen. Das gilt vor allem dann, wenn dienstliche Geräte auch privat oder private Geräte dienstlich genutzt werden. Richtet beispielsweise ein Mitarbeiter auf seinem eigenen Smartphone ein dienstliches Exchange-Konto ein, vermischen sich private und geschäftliche Daten und Kontakte. Ebenso kritisch ist es zu sehen, wenn sensible Dokumente in einer Dropbox oder anderen unsicheren Apps abgelegt werden. Derartige Vorgehensweisen gefährden die Datensicherheit und stellen einen Verstoß gegen die DSGVO dar. Bei einer BYOD-Regelung (Bring Your Own Device) verliert die IT-Abteilung zudem die Kontrolle: Geht das Smartphone verloren oder scheidet der Mitarbeiter aus, kann sie sensible Daten nicht löschen.
Container als Lösung
Behörden und kommunale Einrichtungen benötigen deshalb ein System, das private und dienstliche Daten sowie Apps strikt voneinander abschottet. Realisieren lässt sich dies mit einer so genannten Container-Lösung. Sollte sich ein Angreifer tatsächlich Zugang zum Smartphone oder Tablet verschafft haben, steht er vor einem verschlossenen Tresor: Die Daten und Dokumente sind nach höchsten Standards verschlüsselt und werden auch verschlüsselt übertragen. Der Zugriff auf den dienstlichen Bereich wird durch eine PIN oder biometrische Verfahren wie Touch- und Face-ID abgesichert. Für höchste Sicherheitsansprüche kann der Zugriff zusätzlich mit einer Smartcard geschützt werden. Das ist auch Voraussetzung bei der BSI-Zulassung für „Verschlusssachen – nur für den Dienstgebrauch“ (VS-NfD). Eine Container-Lösung garantiert außerdem die Einhaltung der DSGVO, da keine private App auf dienstliche Kontaktdaten zugreifen kann. Mitarbeiter können zudem keine Daten per Copy-and-Paste in den jeweils anderen Bereich übertragen.
Gerade kommunale Einrichtungen haben jedoch oftmals nicht die personellen Ressourcen, um die Kommunikation ihrer Mitarbeiter mit komplizierten Systemen wie einem Mobile Device Management (MDM) zu schützen. Vor diesem Problem standen auch die baden-württembergischen Stadtwerke Bad Saulgau, die rund 17.000 Einwohner mit Gas, Wasser, Strom, Fernwärme und Breitband versorgen. Die Stadtwerke strebten die Zertifizierung ihres Informationssicherheits-Management-Systems (ISMS) nach ISO 27001 an, eine zentrale Forderung des IT-Sicherheitskatalogs gemäß § 11 Absatz 1a Energiewirtschaftsgesetz. So suchten die IT-Verantwortlichen nach einer Lösung für die mobile Kommunikation, die vor allem Monteuren einen sicheren Zugang zu E-Mail, Kontakten und Intranet ermöglichen sollte.
Die Stadtwerke entschieden sich für die Container-Lösung SecurePIM vom Anbieter Virtual Solution, welche die Einhaltung höchster Sicherheitsstandards gewährleistet. Das System ist leicht zu implementieren und sehr benutzerfreundlich. Der Arbeits- und Support-Aufwand für die IT-Abteilung konnte so deutlich reduziert werden.
Dieser Beitrag ist in der Ausgabe September/Oktober 2021 von stadt+werk erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren.
Kundenservice: Intelligente Voicebots
[28.07.2025] Der Kundenservice bei Stadtwerken und Energieversorgern muss auf immer komplexere Fragestellungen reagieren – und das bei dünner Personaldecke und knappen Budgets. Fortschrittliche KI-gestützte Voicebots können die Zufriedenheit der Kunden trotzdem sichern. mehr...
Künstliche Intelligenz: Einsatz mit Bedacht
[21.07.2025] Die Hamburger Energienetze wollen die Chancen der Künstlichen Intelligenz nutzbar machen, behalten aber auch mögliche Risiken im Blick. Als wichtige Erfolgsfaktoren erweisen sich die Beteiligung des Betriebsrats und der enge Schulterschluss mit Rechts- und Ethikfachleuten. mehr...
GASAG: Netzabrechnung in der SAP-Cloud
[14.07.2025] Die GASAG-Gruppe hat ihr Abrechnungssystem für den Netzbetrieb auf eine Cloud-Lösung umgestellt. Die neue Software basiert auf dem RISE-Modell von SAP. Das Ziel besteht darin, einen stabileren, flexibleren und langfristig automatisierten Betrieb zu erreichen. mehr...
WEMAG: 450-MHz-Netz startet im Norden
[07.07.2025] WEMAG hat ihr neues 450-Megahertz-Funknetz offiziell in Betrieb genommen. Es soll selbst bei langen Stromausfällen die Kommunikation gewährleisten. Für den Ausbau hat das Unternehmen rund 20 Millionen Euro investiert und 34 Funkmasten errichtet. mehr...
Stadtwerke München: KI beschleunigt Anlagenplanung
[30.06.2025] Eine neue Software zur Planung von Photovoltaikanlagen setzen die Stadtwerke München ein. Die Anwendung basiert auf künstlicher Intelligenz und stammt vom US-Unternehmen Aurora Solar. Damit sollen Angebote dreimal so schnell erstellt werden können wie bisher. mehr...
Stadtwerke Flensburg: Digitalisierung mit SAP-Lösungen
[30.06.2025] Die Stadtwerke Flensburg digitalisieren ihre Geschäftsprozesse mit Hilfe von SAP. Ziel ist es, schneller auf die Bedürfnisse der Kundinnen und Kunden zu reagieren und die Energiewende aktiv mitzugestalten. mehr...
adesso/Natuvion: Studie zu IT-Transformation
[26.06.2025] Eine neue Studie von adesso und Natuvion zeigt: IT-Transformationen bei Energieversorgern sind vor allem durch Komplexität, Zeitdruck und mangelnde Datenqualität geprägt. Künstliche Intelligenz wird bislang nur als unterstützender Faktor genutzt – nicht als Haupttreiber. mehr...
Interview: Dezentrale Strategie
[24.06.2025] Auf der diesjährigen E-world hat die Kraftwerk Software Gruppe ihre Plattformstrategie vorgestellt. Inwiefern diese dem allgemeinen Wandel hin zu dezentralen Strukturen gerecht wird, erläutert Kraftwerk-CEO Andreas Weber im Gespräch mit stadt+werk. mehr...
Stadtwerke Heidelberg: Einfach zuverlässig kalkulieren
[19.06.2025] Für die Instandhaltung der Versorgungsleitungen setzt die Netzgesellschaft der Stadtwerke Heidelberg ein ganzheitliches Baukostenmanagementsystem ein. Ein hoher Automatisierungsgrad vermeidet Fehler. Auch erhalten sie auf Knopfdruck eine nachvollziehbare Kostenplanung. mehr...
Illumio/Nvidia: Mehr Sicherheit für KRITIS
[10.06.2025] Die Unternehmen Illumio und Nvidia verknüpfen ihre Sicherheits- und Rechenplattformen. Betreiber Kritischer Infrastrukturen können damit Netzwerkzugriffe überwachen und steuern, ohne ihre bestehende Infrastruktur aufwendig anpassen zu müssen. mehr...
N-ERGIE: Umstellung auf SAP
[28.05.2025] Die N‑ERGIE Aktiengesellschaft hat ihr energiewirtschaftliches System in der Marktrolle Lieferant auf SAP S/4HANA umgestellt. Die neue Plattform soll Kundenprozesse beschleunigen und interne Abläufe deutlich effizienter gestalten. mehr...
BSI: Positionspapier zu Cybersicherheit im Energiesektor
[22.05.2025] Das BSI warnt vor gravierenden Risiken für die Energieversorgung durch Cyberangriffe. In einem aktuellen Positionspapier fordert die Behörde umfassende Maßnahmen zur Stärkung der Cybersicherheit im Energiesektor. mehr...
Bundesnetzagentur: Höhere IT-Sicherheit für Energienetze
[12.05.2025] Die Bundesnetzagentur reagiert auf die zunehmende Digitalisierung und die veränderte Bedrohungslage in der Energiewirtschaft. Nun sollen die IT-Sicherheitskataloge für Netzbetreiber angepasst werden. mehr...
Bonn: Dashboard für Nachhaltigkeitsberichterstattung
[08.05.2025] Bonn präsentiert seine kommunale Nachhaltigkeitsberichterstattung ab sofort in digitaler Form. Ein interaktives Dashboard macht Fortschritte, Daten und Analysen zur nachhaltigen Stadtentwicklung jederzeit online zugänglich. mehr...
Stadtwerke Wörgl: Glasfaser digital dokumentiert
[17.04.2025] Die Stadtwerke Wörgl digitalisieren ihren Netzbetrieb mit VertiGIS ConnectMaster. Damit wird die Glasfaserdokumentation vollständig digital. mehr...