Mittwoch, 17. August 2022

IT-Sicherheit:
Tresor für sensible Daten


[14.10.2021] Betreiber kritischer Infrastrukturen (KRITIS) sind verpflichtet, ihre Systeme gegen Störungen jedweder Art abzusichern. Das zugrundeliegende IT-Sicherheitsgesetz nimmt in seiner neuen Fassung die öffentliche Hand nun noch stärker in die Verantwortung.

Cyber-Angriffe auf kritische Infrastrukturen bedrohen nicht mehr nur private Wirtschaftsunternehmen, sondern immer häufiger auch Einrichtungen von Bund, Ländern und Kommunen. Brandgefährlich werden dieses Hacks, wenn gängige Programme ins Visier genommen werden. So hat Microsoft jüngst eine weitere Attacke auf Regierungsstellen und NGOs in mindestens 24 Ländern gemeldet. Bei den Hackern handelt es sich laut dem Konzern um die Gruppe Nobelium, die auch hinter dem SolarWinds-Angriff steckte. Von diesem waren im vergangenen Jahr Organisationen in der ganzen Welt betroffen: Die Hacker luden sich ein kompromittiertes Software-Update herunter, mit dem sie dann monatelang interne Daten ausspio­nieren konnten.
Im März dieses Jahres drangen Cyber-Kriminelle über Schwachstellen in der Mail-Software von Microsoft wiederum in fremde Netze ein, unter anderem wurden sechs Bundesbehörden Opfer des Angriffs. Die Microsoft-Lücke hat deutsche Organisationen besonders stark getroffen, weil sie oftmals die E-Mail- und Kollaborationsplattform Exchange im eigenen Haus oder in angemieteten Rechenzentren betreiben. Die dabei verwendeten Exchange-Server-Versionen 2013, 2016 und 2019 wurden zum Teil erst mit Verzögerung durch ein Update gesichert.

Gefahr für die öffentliche Sicherheit

Fallen kritische Infrastrukturen zur Versorgung von Bevölkerung und Wirtschaft mit Energie, Wasser, Lebensmitteln, Medizin oder schnellem Internet Hackern zum Opfer, drohen folgenschwere Engpässe und erhebliche Gefahren für die öffentliche Sicherheit. Alle Organisationen, deren Leistungen für das Allgemeinwohl und den Fortbestand der Wirtschaft und Verwaltung in Deutschland unabdingbar sind, unterliegen deshalb den Vorschriften des IT-Sicherheitsgesetzes. Zu den Auflagen gehört es, die IT- und Ausfallsicherheit am aktuellen Stand der Technik auszurichten. Unter die Regelung fallen neben Bundesbehörden auch Städte und Gemeinden sowie kommunale Unternehmen wie Stadtwerke oder Verkehrsbetriebe.
Aktuell hat die Politik das parlamentarische Gesetzgebungsverfahren für die Version 2.0 des IT-Sicherheitsgesetzes (IT-SiG 2.0) beendet. Zwar müssen zentrale ­Detailvorgaben noch über Verordnungen geregelt werden, nach Unterzeichnung durch den Bundespräsidenten und der Veröffentlichung im Bundesgesetzblatt Ende Mai 2021 können aber bereits jetzt wichtige Teile kurzfristig in Kraft treten. Gleichzeitig ist das IT-Sicherheitsgesetz ein so genanntes Artikel- oder Mantelgesetz und bildet die Grundlage für Veränderungen in zahlreichen anderen regulatorischen Vorgaben wie der Kritisverordnung des Bundesamts für Sicherheit in der Informationstechnik (BSI), dem Energiewirtschaftsgesetz, dem Telemediengesetz oder dem Telekommunikationsgesetz.

Auch mobile Geräte schützen

Das IT-SiG 2.0 stuft nun auch den Bereich Entsorgung als kritische Infrastruktur ein und erweitert damit den Kreis der betroffenen Institutionen. Hintergrund ist, dass Ausfälle oder Beeinträchtigungen im Bereich der Abfallwirtschaft nicht nur zur massiven Umweltverschmutzung, sondern auch zu einem Anstieg der Seuchengefahr führen können. Daneben verpflichtet die Neufassung Behörden, Stadtverwaltungen und kommunale Einrichtungen, „Systeme zur Angriffserkennung und Angriffsbewältigung“ zu betreiben. Dazu gehören insbesondere SIEM-Lösungen (Security Information and Event Management) für das schnelle Identifizieren von Cyber-Attacken. Kommt es zu Verstößen, werden künftig analog zur Datenschutz-Grundverordnung (DSGVO) Geldbußen von bis zu zwei Millionen Euro für natürliche und 20 Millionen Euro für juristische Personen fällig. Zudem erhält das BSI als zuständige Kontrollbehörde deutlich mehr Rechte für die Überwachung.
Um sich angemessen zu schützen und die Vorgaben des BSI zu erfüllen, müssen KRITIS-Unternehmen geeignete Sicherheitsmaßnahmen für die größten Schwachstellen ergreifen. Das schließt die mobile Kommunikation ein. Viele Angestellte in öffentlichen Einrichtungen wie Stadtwerken, Verkehrsbetrieben oder Flughäfen sind außerhalb ihrer eigentlichen Dienststelle unterwegs. Smartphones und Tablets machen mobiles Arbeiten möglich, stellen die Verantwortlichen jedoch vor zahlreiche Herausforderungen. Das gilt vor allem dann, wenn dienstliche Geräte auch privat oder private Geräte dienstlich genutzt werden. Richtet beispielsweise ein Mitarbeiter auf seinem eigenen Smartphone ein dienstliches Exchange-Konto ein, vermischen sich private und geschäftliche Daten und Kontakte. Ebenso kritisch ist es zu sehen, wenn sensible Dokumente in einer Dropbox oder anderen unsicheren Apps abgelegt werden. Derartige Vorgehensweisen gefährden die Datensicherheit und stellen einen Verstoß gegen die DSGVO dar. Bei einer BYOD-Regelung (Bring Your Own Device) verliert die IT-Abteilung zudem die Kontrolle: Geht das Smartphone verloren oder scheidet der Mitarbeiter aus, kann sie sensible Daten nicht löschen.

Container als Lösung

Behörden und kommunale Einrichtungen benötigen deshalb ein System, das private und dienstliche Daten sowie Apps strikt voneinander abschottet. Realisieren lässt sich dies mit einer so genannten Container-Lösung. Sollte sich ein Angreifer tatsächlich Zugang zum Smartphone oder Tablet verschafft haben, steht er vor einem verschlossenen Tresor: Die Daten und Dokumente sind nach höchsten Standards verschlüsselt und werden auch verschlüsselt übertragen. Der Zugriff auf den dienstlichen Bereich wird durch eine PIN oder biometrische Verfahren wie Touch- und Face-ID abgesichert. Für höchste Sicherheitsansprüche kann der Zugriff zusätzlich mit einer Smartcard geschützt werden. Das ist auch Voraussetzung bei der BSI-Zulassung für „Verschlusssachen – nur für den Dienstgebrauch“ (VS-NfD). Eine Container-Lösung garantiert außerdem die Einhaltung der DSGVO, da keine private App auf dienstliche Kontaktdaten zugreifen kann. Mitarbeiter können zudem keine Daten per Copy-and-Paste in den jeweils anderen Bereich übertragen.
Gerade kommunale Einrichtungen haben jedoch oftmals nicht die personellen Ressourcen, um die Kommunikation ihrer Mitarbeiter mit komplizierten Systemen wie einem Mobile Device Management (MDM) zu schützen. Vor diesem Problem standen auch die baden-württembergischen Stadtwerke Bad Saulgau, die rund 17.000 Einwohner mit Gas, Wasser, Strom, Fernwärme und Breitband versorgen. Die Stadtwerke strebten die Zertifizierung ihres Informationssicherheits-Management-Systems (ISMS) nach ISO 27001 an, eine zentrale Forderung des IT-Sicherheitskatalogs gemäß § 11 Absatz 1a Energiewirtschaftsgesetz. So suchten die IT-Verantwortlichen nach einer Lösung für die mobile Kommunikation, die vor allem Monteuren einen sicheren Zugang zu E-Mail, Kontakten und Intranet ermöglichen sollte.
Die Stadtwerke entschieden sich für die Container-Lösung SecurePIM vom Anbieter Virtual Solution, welche die Einhaltung höchster Sicherheitsstandards gewährleistet. Das System ist leicht zu implementieren und sehr benutzerfreundlich. Der Arbeits- und Support-Aufwand für die IT-Abteilung konnte so deutlich reduziert werden.

Sascha Wellershoff

Der Autor, Sascha Wellershoff
Sascha Wellershoff ist Chief Executive Officer (CEO) beim Münchner Sicherheitsspezialisten Virtual Solution. Davor fungierte er als Group CFO beim Informationslogistiker Retarus, hatte verschiedene Positionen bei der Allianz Group inne und war kaufmännischer Leiter bei Telefónica Germany.

https://www.virtual-solution.com
Dieser Beitrag ist in der Ausgabe September/Oktober 2021 von stadt+werk erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: Informationstechnik, IT-Sicherheit, Virtual Solution, KRITIS, IT-SIG 2.0



Druckversion    PDF     Link mailen


 Anzeige



Weitere Meldungen und Beiträge aus dem Bereich Informationstechnik

IT-Sicherheitsgesetz 2.0: Schutz kritischer Infrastrukturen Bericht
[17.8.2022] Am 1. Mai 2023 tritt die Novelle zum IT-Sicherheitsgesetz 2.0 in Kraft. Mit Ablauf der Übergangsfrist müssen die Betreiber Kritischer Infrastrukturen (KRITIS) neue Auflagen erfüllen. Mit einem Cyber Defense Center (CDC) lassen sie sich effektiv umsetzen. mehr...
Cyber Defence Center helfen KRITIS-Betreibern dabei, gesetzliche Vorgaben zu erfüllen.
Leipzig: Netz Leipzig übernimmt Rechenzentrum
[15.8.2022] Die Stadtwerke-Tochter Netz Leipzig übernimmt jetzt einen Teil der Datenverarbeitung des Klinikums St. Georg. Sensible Daten, Befunde und automatisierte IT-Prozesse sind damit besonders sicher. mehr...
ITC: Update der EnMS
[5.8.2022] Das Unternehmen ITC nimmt jetzt ein Update der Energie-Management-Software ITC PowerCommerce EnMS vor. Die Software unterstützt Gasnetzbetreiber dabei, die Abschaltpotenziale in ihren Netzen zu ermitteln und diese an den übergeordneten Fernleitungsbetreiber zu melden. mehr...
Das Unternehmen ITC nimmt jetzt ein Update ihrer Energie-Management-Software ITC PowerCommerce EnMS vor.
Mitnetz Strom: Projekte effizienter steuern
[5.8.2022] Gemeinsam mit dem Hersteller Can Do hat Verteilnetzbetreiber Mitnetz Strom die Projekt- und Ressourcen-Management-Software Can Do auf die spezifischen Anforderungen von Netzbetreibern und Energieversorgern konfiguriert. Mittels Automatisierung und künstlicher Intelligenz hilft die Lösung bei der effizienten Projektabwicklung. mehr...
Mitnetz Strom kann Projekte dank KI-basierter Software jetzt effizienter planen und steuern.
COPA-DATA: Neue Version von zenon 11 erschienen
[1.8.2022] COPA-DATA hat jetzt mit zenon 11 die neueste Version seiner intelligenten Software-Plattform für Industrie- und Energieanlagen veröffentlicht. Die Lösung ermöglicht es Unternehmen, Konzepte für die modulare Produktion umzusetzen. mehr...

Suchen...

 Anzeige



Aktuelle Information des Verlags


In Zeiten der Corona-Pandemie werden wir aktuelle Ausgaben von stadt+werk allen Interessierten bis auf weiteres kostenfrei digital zur Verfügung stellen. Weisen Sie bitte auch Ihre Kolleginnen und Kollegen im Homeoffice auf diese Möglichkeit hin.

Wenn Sie stadt+werk auch künftig regelmäßig als Print- und Digitalausgabe erhalten möchten, freuen wir uns über ein Abonnement.

stadt+werk, Ausgabe 7/8 2022
stadt+werk, Ausgabe 5/6 2022
stadt+werk, Ausgabe 3/4 2022
stadt+werk, Ausgabe 1/2 2022

Aboverwaltung


Abbonement kuendigen

Abbonement kuendigen
Ausgewählte Anbieter aus dem Bereich Informationstechnik:
IVU Informationssysteme GmbH
22846 Norderstedt
IVU Informationssysteme GmbH
A/V/E GmbH
06112 Halle (Saale)
A/V/E GmbH
VOLTARIS GmbH
67133 Maxdorf
VOLTARIS GmbH
rku.it GmbH
44629 Herne
rku.it GmbH
iS Software GmbH
93059 Regensburg
iS Software GmbH

Aktuelle Meldungen