Für Angriffe gewappnet

Rund 600 Teilnehmer aus Wirtschaft, Wissenschaft und Verwaltung informierten sich Mitte Mai auf dem 13. Deutschen IT-Sicherheitskongress in Bonn über aktuelle Themen wie Industrie 4.0, mobile Sicherheit, Cloud Computing und Cybersicherheit. Dabei stellte der Veranstalter, das Bundesamt für Sicherheit in der Informationstechnik (BSI), erneut ein breites Rahmenprogramm auf die Beine, darunter mehrere Keynotes, 42 Fachvorträge, eine Podiumsdiskussion rund um Industrie 4.0 sowie eine Fachmesse mit 25 Ausstellern.

Im Rahmen der Keynotes betonte BSI-Präsident Michael Hange den hohen Stellenwert von Cybersicherheit. Denn allein 30.000 neue Schadprogramme würden täglich produziert, wobei immer ausgeklügeltere Angriffsszenarien hinzukämen. Im Fachjargon spricht man dabei von Advanced Persistent Threats, d.h. von komplexen, zielgerichteten und andauernden Angriffen auf kritische IT-Infrastrukturen. In diesem Zusammenhang verwies Cornelia Rogall-Grothe, IT-Beauftragte der Bundesregierung, darauf, dass Cyberkriminalität rund 4,8 Mio. Euro an jährlichen Kosten bei deutschen Großunternehmen verursacht.

Doch welche probaten Gegenmittel gibt es? Hier führte Hange die Aktivitäten der gemeinsam von BSI und dem ITK-Branchenverband Bitkom 2012 gegründeten Allianz für Cybersicherheit an. Der Vereinigung gehören mittlerweile rund 290 Partner an, die allein im vergangenen Jahr 60 Handlungsempfehlungen abgestimmt auf die jeweilige Bedrohungslage ausgesprochen. Darüber hinaus forderte der BSI-Präsident explizit die Festlegung von Mindeststandards für aktuelle Technologien wie etwa das Cloud Computing. Und er sprach sich deutlich für eine Verabschiedung des geplanten Sicherheitsgesetzes aus, dessen ausgearbeiteter Entwurf derzeit den betroffenen Gremien vorliegt. Ob mit einer Verabschiedung des Gesetzes jedoch noch vor der Bundestagswahl kommenden September zu rechnen ist, ist fraglich.

Umfassendes Lagebild der Angriffe

Gemäß dem Vorhaben sollen die Betreiber kritischer Infrastrukturen sämtliche Angriffe auf ihre Systeme künftig offiziellen Stellen melden. Damit könne man zunächst ein umfassendes Lagebild der Angriffe gewinnen. Im nächsten Schritt erfolge dann die Analyse der Vorfälle, auf deren Grundlage anschließend Maßnahmen zur effektiven Bekämpfung abgeleitet werden könnten. Doch nicht alle Beteiligten befürworten das geplante Vorgehen. So verwies Cornelia Rogall-Grothe darauf, dass die betroffenen Unternehmen einen Imageverlust befürchten, sollten Schwachstellen oder gar Datenverluste öffentlich bekannt werden.

Als Kompromiss sprechen sich die Gegner des Gesetzes vor allem für freiwillige Maßnahmen bzw. Angriffsmeldungen aus. Laut Rogall-Grothe wäre dies jedoch alles andere als effektiv und würde ein viel zu geringes Schutzniveau der hiesigen IT-Infrastrukturen mit sich bringen. Nicht zuletzt verweisen die Antagonisten darauf, dass die Europäische Union momentan an einem ähnlichen Gesetz arbeite, welches ebenfalls die Festlegung von Mindeststandards sowie die Meldepflicht von Sicherheitsvorfällen beinhaltet. Von daher wird vom Gesetzgeber gefordert, erst einmal abzuwarten und einen deutschen Alleingang nicht über das Knie zu brechen.

Hinsichtlich des geplanten Sicherheitsgesetzes bevorzugt Dr. Markus Kerber, Hauptgeschäftsführer und Mitglied des Präsidiums des Bundesverbands der Deutschen Industrie e.V. (BDI), ebenfalls die Beibehaltung einer freiwilligen Meldepflicht. Die sei deutlich unkomplizierter, auch da es sich um einen anonymen Meldeweg handele. Zudem verwies er auf eine mögliche Rechtsunsicherheit des bisherigen Entwurfs: Denn wer legt fest, was genau ein „erheblicher Sicherheitsvorfall“ ist? Und wie sehen die geplanten Meldewege en detail aus? Was, wenn eine Masse an Vorfällen gemeldet werde und die Behörden mit dem Abarbeiten und Analysieren nicht nachkämen? Alles Fragen, die laut Kerber erst noch zufriedenstellend beantwortet werden müssten.

Neben dem Gesetzgeber gibt es seitens der ITK-Repräsentanten zahlreiche Bemühungen um ein Plus an Cybersicherheit. So präsentierte T-Systems auf dem Kongress den hauseigenen Sicherheitstacho (http://sicherheitstacho.eu). Auf der Internetseite zeigt eine digitale Weltkarte die Herkunft der Angriffe, registriert von mehr als 90 Sensoren rund um die Uhr. Ein Live-Ticker meldet, welche Ziele sie ins Visier nehmen. Zudem zeigen Statistiken die aktuell häufigsten Angriffsarten und in welchen Staaten die aktivsten Angriffsserver stehen. Der Vorteil: Verantwortliche können sich in Echtzeit ein Bild vom ganz realen Cyberwar machen.

Strikte Trennung gefordert

Doch nicht nur das geplante Sicherheitsgesetz sorgte für rege Diskussionen. Hinsichtlich des allgegenwärtigen Themas Cloud Computing betonte Alex Essoh, BSI-Spezialist für Cloud Computing, gegenüber IT-DIRECTOR, dass man bei einer Auftragsverarbeitung in der Wolke grundsätzlich auf entsprechende Zertifizierungen des jeweiligen Anbieters achten sollte. Eine gute Einschätzung hinsichtlich der Rechtssicherheit von Cloud-Services könnten zudem die Audits der Wirtschaftsprüfer liefern. Darüber hinaus erstellt das BSI derzeit Sicherheitskriterien, die als Grundlage für eine Zertifizierung von Cloud Computing Plattformen dienen können. Auch sollte darauf geachtet werden, dass die Portabilität der Daten gewährleistet ist (es darf kein Vendor Lock-In entstehen). Und nicht zuletzt sollten Anwenderunternehmen stets penibel darauf achten, wie sich die Datenlöschung nach der Beendigung des Cloud-Vertrags gestalte. Solche Regelungen müssen in den Service Level Agreements (SLAs) berücksichtigt sein.

Neben der omnipräsenten Cloud stand das Thema „Mobility“ im Vordergrund des Kongresses. Im Gespräch mit IT-DIRECTOR ging Dr. Antonius Klingler vom BSI näher auf das Prinzip „Bring your own Device (BYOD)“ ein. Hier möchten Business-Nutzer einerseits den Zugriff des Arbeitgebers auf persönliche Daten unterbinden, andererseits wollen sie jedoch die gesamte Funktionsvielfalt ihres Smartphones nutzen. Ein Ausweg aus diesem Dilemma kann dabei die strikte Trennung zwischen beruflicher und privater Umgebung auf dem mobilen Device sein.

Dies ermöglicht etwa die Lösung „Trust me“ der Fraunhofer-Einrichtung für Angewandte und Integrierte Sicherheit, kurz AISEC. Sie erlaubt den Betrieb mehrerer virtualisierter Android-basierter Smartphone-Umgebungen auf einem Gerät. Vertrauliche Unternehmensdaten sollen so vor dem Zugriff Dritter geschützt werden und sicherheitsrelevante Daten wie PINs und Passwörter verschlüsselt in einem Secure Element – etwa einer MicroSD-Karte – abgelegt werden.

Laut Antonius Klingler sei die strikte Trennung generell jedoch nicht durchgängig aufrechtzuerhalten. So würden Features wie Kamera, Mikrofon oder Ortungsdienste beruflich und privat gleichermaßen genutzt.

Überdies verwies Klingler auf weitere Optionen, etwa auf die vom Düsseldorfer Unternehmen Secusmart angebotene mobile Sicherheitslösung „Secusuite for Blackberry 10“, die den Zuschlag für den Rahmenvertrag  für die verschlüsselte Kommunikation der deutschen Bundesregierung erhielt und die nun ab Juli allgemein verfügbar sein soll. Laut Anbieter gewährleistet die Lösung eine sichere Verschlüsselung der gespeicherten Informationen, der Sprache, der Textnachrichten sowie des VPN. Ein weiterer Faktor sei das sichere Browsen, um einen gefahrlosen Zugang zum Internet zu gewährleisten. Außerdem trennt die Technologie „Blackberry Balance“ sensible Informationen von persönlichen Inhalten. So könnten Nutzer schnell und sicher zwischen ihrem geschäftlichen und privaten Leben wechseln.

Desweiteren soll mit Samsung Knox in kürze eine Android-Sicherheitslösung verfügbar sein. Dabei handelt es sich um eine Container-Lösung, die das Ausführen von Apps in einer sicheren, virtuellen Umgebung ermöglicht. Dadurch könnten sich die Nutzer unter anderem vor sogenannten „Datensauger-Apps“ schützen. Eine Trennung von privater und geschäftlicher Umgebung sei ebenfalls möglich. Sämtlichen Sicherheitsanforderungen entspricht auch das – in der Vorgängerversion bereits rege von den Bundesministerien genutzte – Simko3-Smartphone, welches 2014 auf den Mark kommen soll. Entwickelt von der Telekom-Tochterfirma Trust2Core können dank zweier „Mikrokerne“ die privaten und geschäftlichen Bereiche ebenfalls sicher voneinander getrennt werden.