Seite 19 – Marktplatz IT-Sicherheit

McKinsey & Company

Cybersecurity trends: Looking over the horizon

Die im Dokument „Cybersecurity trends: Looking over the horizon“ von McKinsey beschriebenen Trends befassen sich mit den wachsenden Herausforderungen der Cybersicherheit angesichts der rasanten technologischen Entwicklung. Die Autoren betonen, dass die Cybersicherheit ein fortwährendes Rennen ist, bei dem sich die Bedrohungen schneller entwickeln, als viele Unternehmen darauf vorbereitet sind. Sie skizzieren drei zentrale Trends, die in den kommenden Jahren erhebliche Auswirkungen auf Organisationen haben werden.

1. Ubiquität von Daten und steigender Zugriff auf Informationsplattformen

Mit der zunehmenden Nutzung mobiler Plattformen, der Verlagerung hin zu Remote-Arbeit und der wachsenden Bedeutung von Cloud-Lösungen werden Datenmengen massiv vergrößert. Unternehmen sammeln heute mehr Daten denn je, sei es zu Finanztransaktionen, Verbraucherverhalten oder Energieverbrauch. Diese Daten sind essenziell, um Geschäftsmodelle zu verbessern, doch gleichzeitig steigt dadurch das Risiko von Datenverletzungen erheblich. Die Verlagerung von Daten in die Cloud und der vermehrte Zugriff Dritter, beispielsweise von Lieferanten oder Dienstleistern, schaffen zusätzliche Angriffsflächen.

Ein Beispiel für solche Vorfälle war der „Sunburst-Hack“ im Jahr 2020, bei dem Schadsoftware während regulärer Software-Updates an Kunden verbreitet wurde. Ähnlich wurde auch die Hotelkette Marriott im Jahr 2020 angegriffen, wobei über fünf Millionen Kundendaten kompromittiert wurden.

2. Einsatz von KI und maschinellem Lernen durch Hacker

Angriffe werden zunehmend durch fortgeschrittene Technologien wie Künstliche Intelligenz (KI) und maschinelles Lernen automatisiert. Hacker sind nicht mehr Einzelpersonen, sondern gut organisierte Netzwerke mit beträchtlichen Budgets und Strukturen, die es ihnen ermöglichen, ihre Angriffe schneller und effizienter durchzuführen. Ein Beispiel dafür ist der Emotet-Trojaner, der mit Hilfe von KI sehr zielgerichtete Phishing-E-Mails versendet. Gleichzeitig haben Ransomware-Angriffe durch „Ransomware-as-a-Service“ und Kryptowährungen stark zugenommen, da diese Modelle es Kriminellen erleichtern, Angriffe zu starten. Die Zahl der Ransomware-Angriffe hat sich seit 2019 jährlich verdoppelt.

Ein besonderes Merkmal dieser Entwicklungen ist die zunehmende Automatisierung der Angriffsprozesse, was die Reaktionszeit von Unternehmen drastisch verkürzt. Während der COVID-19-Pandemie stieg die Zahl der Ransomware-Angriffe in nur einem Monat um 148 %.

3. Wachsende regulatorische Anforderungen und Ressourcenmangel

Unternehmen stehen unter zunehmendem Druck, den regulatorischen Anforderungen im Bereich Cybersicherheit gerecht zu werden. Gleichzeitig fehlt es vielen an Fachkräften und ausreichendem Wissen, um diesen Anforderungen effektiv zu begegnen. Die Anzahl an regulatorischen Vorgaben wächst, insbesondere im Hinblick auf den Datenschutz und die grenzüberschreitende Datenverarbeitung. Der Mangel an Fachkräften in der Cybersicherheit ist besonders gravierend: Es wird geschätzt, dass bis 2025 weltweit etwa 3,5 Millionen Stellen in diesem Bereich unbesetzt bleiben werden.

Die Autoren heben hervor, dass die Unternehmen die Cybersicherheit oft nicht in die Entwicklungsprozesse ihrer Technologien einbeziehen. Dies führt dazu, dass Sicherheitslücken entstehen, die erst nachträglich geschlossen werden. Um dies zu vermeiden, sollten Sicherheitsmaßnahmen bereits bei der Softwareentwicklung implementiert werden.

Strategische Empfehlungen

McKinsey schlägt mehrere Maßnahmen vor, um den beschriebenen Trends zu begegnen:

Zero-Trust-Architekturen: Diese sollen sicherstellen, dass der Zugriff auf Daten nur nach strenger Authentifizierung und Autorisierung möglich ist, unabhängig davon, ob der Zugriff intern oder extern erfolgt.
Verhaltensanalyse: Unternehmen sollten fortschrittliche Analysetools einsetzen, um ungewöhnliche Aktivitäten bei Nutzern und Geräten frühzeitig zu erkennen.
Automatisierung der Sicherheitsprozesse: Es wird empfohlen, weniger kritische Sicherheitsprozesse zu automatisieren, um Ressourcen freizusetzen und diese auf strategisch wichtigere Bereiche zu konzentrieren.
Einsatz von KI in der Verteidigung: Sicherheitsabteilungen sollten ebenfalls KI und maschinelles Lernen nutzen, um Bedrohungen effizient zu erkennen und Gegenmaßnahmen zu ergreifen.
Sichere Softwareentwicklung: Sicherheitsmechanismen sollten bereits in der Planungs- und Entwicklungsphase von Software implementiert werden, um spätere Sicherheitslücken zu vermeiden.
Zusammenarbeit mit Cloud-Dienstleistern: Unternehmen können durch die Nutzung von „X-as-a-Service“-Modellen viele Routineaufgaben, wie Patch-Management oder Sicherheitsupdates, an Cloud-Anbieter auslagern.

Insgesamt plädieren die Autoren dafür, dass Unternehmen einen proaktiveren Ansatz verfolgen sollten, um künftige Bedrohungen zu antizipieren und über den Tellerrand hinauszublicken. Dabei wird betont, dass die Cybersicherheit ständig weiterentwickelt werden muss, um den dynamischen Risiken in einer digitalisierten Welt gerecht zu werden.

TeleTrusT

Zusammenfassung des Berichts: “Stand der Technik in der IT-Sicherheit” (TeleTrusT Handreichung)

Einleitung

Stand der Technik in der IT-Sicherheit 2021
Der Bericht “Stand der Technik in der IT-Sicherheit” vom Bundesverband IT-Sicherheit e.V. (TeleTrusT) aus dem Jahr 2021 bietet eine umfassende Handreichung zur Bestimmung und Implementierung des “Standes der Technik” (SdT) im Bereich IT-Sicherheit. Diese Handreichung richtet sich an Unternehmen, insbesondere an Betreiber kritischer Infrastrukturen (KRITIS), sowie an Dienstleister, die sicherstellen müssen, dass ihre IT-Sicherheitsmaßnahmen den gesetzlichen Anforderungen entsprechen, wie sie durch das IT-Sicherheitsgesetz (ITSiG) und die Datenschutz-Grundverordnung (DSGVO) gefordert werden.

Gesetzliche Grundlagen

Das IT-Sicherheitsgesetz, in Kraft getreten im Juli 2015, zielt darauf ab, die Sicherheit informationstechnischer Systeme in Deutschland zu verbessern. Es verpflichtet Betreiber kritischer Infrastrukturen, ein dem Stand der Technik entsprechendes IT-Sicherheitsniveau einzuhalten, um die Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität ihrer Systeme zu gewährleisten. Parallel dazu verlangt die DSGVO von Unternehmen, personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen. Auch hier ist der Stand der Technik ein entscheidendes Kriterium, das Unternehmen zur Umsetzung moderner Sicherheitspraktiken verpflichtet.

Bestimmung des “Standes der Technik”

Der “Stand der Technik” wird in der Handreichung als der fortschrittlichste und am Markt verfügbare Technologiestandard definiert, der die besten Erfolgsaussichten bei der Erreichung gesetzlicher Schutzziele bietet. Er unterscheidet sich von den “allgemein anerkannten Regeln der Technik”, die bewährte, aber möglicherweise nicht mehr modernste Techniken beschreiben, sowie vom “Stand der Wissenschaft und Forschung”, der zukunftsweisende, jedoch noch nicht marktreife Technologien umfasst.

Um den Stand der Technik zu bestimmen, empfiehlt die Handreichung einen strukturierten Bewertungsprozess, der die Praxisbewährung und die Anerkennung durch Experten gleichermaßen berücksichtigt. Der Bericht betont, dass der Stand der Technik dynamisch ist und regelmäßige Überprüfungen erfordert, um den neuesten technologischen Entwicklungen Rechnung zu tragen.

Technische Maßnahmen

Ein wesentlicher Bestandteil der Handreichung ist die detaillierte Beschreibung technischer Maßnahmen, die dem Stand der Technik entsprechen. Hierzu zählen:

Passwortmanagement: Die Handreichung empfiehlt die Durchsetzung starker Passwörter sowie den Einsatz von Multifaktor-Authentifizierung (MFA), um den Schutz vor Identitätsdiebstahl und Missbrauch zu erhöhen. Es wird erläutert, wie Unternehmen ihre Passwortpolitik auf ein dem Risiko entsprechendes Niveau heben können.
Verschlüsselungstechnologien: Der Einsatz von kryptografischen Verfahren wie AES-256 für die symmetrische Verschlüsselung sowie modernen Hash-Algorithmen wie SHA-256 wird dringend empfohlen. Diese Verfahren schützen die Vertraulichkeit und Integrität von Daten sowohl bei der Speicherung als auch bei der Übertragung.
Netzwerksicherheit: Der Bericht unterstreicht die Bedeutung sicherer Netzwerke durch den Einsatz von VPNs, Firewalls, und Intrusion Detection Systems (IDS). Diese Maßnahmen schützen vor unbefugtem Zugriff und ermöglichen eine Überwachung potenzieller Bedrohungen.

Organisatorische Maßnahmen

Neben den technischen Maßnahmen betont die Handreichung auch die Notwendigkeit organisatorischer Maßnahmen:

Risikomanagement und Sicherheitsstrategie: Unternehmen sollten ein umfassendes Risikomanagement implementieren, das auf einer regelmäßigen Bewertung und Anpassung der Sicherheitsstrategien basiert. Dies umfasst die Erstellung von Notfallplänen, Schulung der Mitarbeiter und die Definition klarer Verantwortlichkeiten innerhalb der Organisation.
Dokumentation und Compliance: Die Einhaltung gesetzlicher Vorgaben muss durch detaillierte Dokumentation der getroffenen Maßnahmen und regelmäßige Audits sichergestellt werden. Dies ist insbesondere im Hinblick auf die Rechenschaftspflicht nach DSGVO von Bedeutung.

Herausforderungen und Empfehlungen

Die Handreichung erkennt die Herausforderungen bei der Umsetzung des Stands der Technik an, insbesondere in Bezug auf die Integration in bestehende Systeme und die Kosten. Sie empfiehlt, bei der Implementierung die individuellen Risiken und wirtschaftlichen Möglichkeiten des Unternehmens zu berücksichtigen. Dabei ist es entscheidend, dass Unternehmen kontinuierlich den Markt beobachten und ihre Maßnahmen an neue Bedrohungen und technische Entwicklungen anpassen.

Fazit

Die Handreichung des TeleTrusT bietet eine fundierte Orientierung zur Umsetzung des Stands der Technik in der IT-Sicherheit. Sie betont die Notwendigkeit eines integrativen Ansatzes, der sowohl technische als auch organisatorische Maßnahmen umfasst, um ein hohes Schutzniveau zu gewährleisten. Für Unternehmen, insbesondere solche, die kritische Infrastrukturen betreiben, ist es unerlässlich, ihre IT-Sicherheitsstrategien regelmäßig zu überprüfen und weiterzuentwickeln, um den dynamischen Anforderungen des Stands der Technik gerecht zu werden.

Deloitte

Zero Trust – Revolutionary approach to Cyber or just another word?

Der Deloitte-Bericht „Zero Trust – Revolutionary approach to Cyber or just another buzz word?“ untersucht das wachsende Interesse an Zero Trust als Sicherheitsstrategie. Obwohl der Begriff Zero Trust oft als Trend oder Hype betrachtet wird, hat das Konzept selbst eine lange Geschichte und entwickelt sich seit über 20 Jahren. Erst in den letzten Jahren konnten technologische Fortschritte dieses Modell praktikabel und umsetzbar machen. Der Bericht zeigt, dass Zero Trust nicht nur eine innovative Methode zur Cybersicherheit darstellt, sondern auch ein leistungsfähiges Framework ist, um moderne Bedrohungen abzuwehren und die Sicherheit im digitalen Zeitalter zu gewährleisten.

Was ist Zero Trust?

Das Zero Trust-Modell basiert auf dem Prinzip „Vertraue niemals, überprüfe immer“. Im Gegensatz zu traditionellen Sicherheitsmodellen, bei denen Netzwerke innerhalb eines definierten Perimeters als vertrauenswürdig angesehen werden, geht Zero Trust davon aus, dass keine Kommunikation oder Benutzer von Natur aus vertrauenswürdig ist. Vertrauen wird in Echtzeit überprüft und basiert auf verschiedenen Faktoren wie Verhalten, Identität und Bedrohungsinformationen. Diese kontinuierliche Überprüfung sorgt dafür, dass sowohl interne als auch externe Akteure einer strengen Prüfung unterzogen werden, bevor sie auf Ressourcen zugreifen dürfen.

Gründe für die Einführung von Zero Trust

Deloitte identifiziert mehrere Gründe, warum Unternehmen zunehmend auf Zero Trust setzen:

Steigende Komplexität der IT und Digitalisierung: Die schnelle Digitalisierung von Unternehmen führt zu immer komplexeren IT-Strukturen, die teurer und schwieriger zu sichern sind.
Zunehmende Bedrohungen durch Cyberkriminelle: Angreifer werden zunehmend besser vernetzt und organisierter und setzen fortschrittliche Technologien ein, die früher nur staatlichen Akteuren vorbehalten waren.
Mobile Belegschaft: Immer mehr Mitarbeiter arbeiten remote oder mobil, was eine flexible und sichere Zugangskontrolle erforderlich macht.
Cloud-Migration: Die zunehmende Verlagerung kritischer Geschäftsprozesse in die Cloud erfordert neue Ansätze zur Absicherung sensibler Daten.

Die Vorteile von Zero Trust

Obwohl Zero Trust keine „Allheilmittel“-Lösung ist, bietet es eine Vielzahl von Vorteilen für Unternehmen, die bereit sind, in diese neue Sicherheitsstrategie zu investieren. Zu den wichtigsten Vorteilen gehören:

Reduzierte Kosten: Durch die Automatisierung und Vereinfachung von Sicherheitsmaßnahmen kann Zero Trust die IT-Komplexität verringern und somit Betriebskosten senken.
Erhöhte Risikokontrolle: Zero Trust ermöglicht eine verbesserte Echtzeit-Erkennung und Reaktion auf Bedrohungen und minimiert den Schaden, den Angriffe verursachen können, indem die Bewegung von Bedrohungen innerhalb des Netzwerks eingeschränkt wird.
Flexibler Zugang für die moderne Arbeitswelt: Zero Trust unterstützt mobile und remote arbeitende Mitarbeiter, indem es sicheren Zugriff auf Unternehmensressourcen ohne Reibungsverluste bietet.
Steigerung der Agilität: Unternehmen können schneller auf Marktveränderungen reagieren und Innovationen sicher und effizient umsetzen, indem sie Zero Trust integrieren.

Herausforderungen bei der Implementierung von Zero Trust

Trotz der potenziellen Vorteile gibt es mehrere Herausforderungen, die Unternehmen berücksichtigen müssen, wenn sie Zero Trust einführen wollen:

Altsysteme integrieren: Viele Unternehmen verwenden noch veraltete Systeme, die nicht einfach in eine Zero Trust-Umgebung integriert werden können. Maßgeschneiderte Lösungen sind erforderlich, um sicherzustellen, dass diese Systeme weiterhin sicher genutzt werden können.
End-to-End-Transparenz: Um Vertrauen in das System zu etablieren, müssen Unternehmen vollständige Transparenz über ihre IT-Infrastruktur haben, einschließlich Benutzeraktivitäten und Systemressourcen.
Dynamische Anpassungen: Da Zero Trust ein sich schnell entwickelndes Konzept ist, müssen Sicherheitsprogramme flexibel genug sein, um auf neue Bedrohungen und technologische Entwicklungen reagieren zu können.
Fehlende Standards: Die fehlende Standardisierung erschwert die Integration verschiedener Zero Trust-Lösungen, was zusätzliche Herausforderungen für Unternehmen darstellt.

Der Weg zu Zero Trust

Deloitte hebt hervor, dass die Einführung von Zero Trust nicht bedeutet, dass bestehende Systeme komplett ersetzt werden müssen. Die meisten Unternehmen verfügen bereits über grundlegende Sicherheitsfunktionen, die in ein Zero Trust-Modell integriert werden können. Der Übergang zu Zero Trust sollte schrittweise und methodisch erfolgen, wobei klare Geschäftsziele und Prioritäten im Vordergrund stehen.

Fazit

Zero Trust ist mehr als nur ein weiterer Cybersecurity-Trend. Es ist ein grundlegender Paradigmenwechsel, der es Unternehmen ermöglicht, ihre Sicherheitsstrategien an die sich ständig verändernden digitalen Bedrohungen anzupassen. Deloitte betont, dass Zero Trust Unternehmen dabei unterstützen kann, die Risiken zu reduzieren, die Effizienz zu steigern und Innovationen schneller und sicherer umzusetzen. Unternehmen, die sich für Zero Trust entscheiden, müssen jedoch eine ganzheitliche und schrittweise Herangehensweise wählen, um das volle Potenzial dieser Strategie auszuschöpfen.

Insgesamt zeigt der Deloitte-Bericht, dass Zero Trust nicht nur ein zukunftsweisendes Modell ist, sondern eine notwendige Antwort auf die steigenden Herausforderungen in der Cybersicherheit darstellt. Unternehmen, die auf Zero Trust setzen, sichern nicht nur ihre Daten, sondern schaffen auch eine Grundlage für langfristige digitale Agilität und Erfolg.

Enisa

Identity Theft – ENISA Threat Landscape
Der Bericht „Identity Theft – ENISA Threat Landscape“ (2020) untersucht den wachsenden Trend des Identitätsdiebstahls und seine Auswirkungen auf die Cybersicherheit zwischen Januar 2019 und April 2020. Der Identitätsdiebstahl, auch als Identitätsbetrug bekannt, bezeichnet den illegalen Gebrauch von personenbezogenen Informationen (PII), um sich finanzielle Vorteile oder andere Vorteile zu verschaffen. Der Bericht befasst sich mit bedeutenden Vorfällen, aktuellen Trends und den Maßnahmen zur Vermeidung und Bekämpfung dieser Bedrohung.

Wichtige Vorfälle und Entwicklungen

Der Bericht hebt mehrere Vorfälle aus den Jahren 2019 und 2020 hervor, die den Identitätsdiebstahl betreffen. Einige der bedeutendsten Vorfälle umfassen:

Capital One Datenleck (März 2019): Bei diesem Vorfall wurden die persönlichen Daten von 106 Millionen amerikanischen und kanadischen Bankkunden offengelegt.
Zynga-Datenleck (September 2019): Es wurden 170 Millionen Benutzernamen und Passwörter, die von einem Entwickler für digitale Spiele verwendet wurden, offengelegt.
Uber-Datenleck (November 2019): Die persönlichen Daten von 57 Millionen Nutzern und 600.000 Fahrern wurden kompromittiert.
EasyJet-Datenleck: Dabei wurden 9 Millionen persönliche Datensätze von Kunden, darunter Identitätskarten und Kreditkartendaten, gestohlen.

Im Vergleich zu 2018 war 2019 ein Jahr mit einer Rekordzahl an Datenlecks, bei denen insgesamt 4,1 Milliarden Datensätze in 3.800 öffentlich gemeldeten Fällen offengelegt wurden – ein Anstieg von 54 % gegenüber dem Vorjahr.

Kosten des Identitätsdiebstahls

Identitätsdiebstahl verursacht erhebliche finanzielle Schäden. Laut einer Studie von IBM Security betrugen die durchschnittlichen Kosten eines Identitätsbetrugs im Jahr 2019 etwa 493.093 US-Dollar pro Vorfall. Die jährlichen Kosten für den Diebstahl von Zugangsdaten belaufen sich auf rund 2,79 Millionen US-Dollar pro Unternehmen. Ein wesentlicher Teil der Vorfälle (63 %) ist auf Fahrlässigkeit zurückzuführen, was zeigt, dass viele Angriffe durch bessere Sicherheitsmaßnahmen vermeidbar wären.

Trends im Identitätsdiebstahl

Der Bericht identifiziert mehrere wichtige Trends im Bereich des Identitätsdiebstahls:

Markenimitation: Kriminelle nutzen den guten Ruf bekannter Marken, um ihre Opfer zu täuschen. Microsoft und Amazon waren 2019 die am häufigsten imitierten Marken, gefolgt von neuen Zielen wie dem US-amerikanischen Internal Revenue Service (IRS).
SIM-Swapping: Diese Technik, bei der die Kontrolle über die SIM-Karte eines Opfers übernommen wird, wurde verwendet, um Prominente wie Jack Dorsey (CEO von Twitter) und mehrere Schauspieler zu treffen. SIM-Swapping wurde in großem Umfang auch gegen Geschäftsleute und Politiker eingesetzt, wie etwa in Mosambik, wo 50.000 US-Dollar von Konten prominenter Geschäftsleute gestohlen wurden.
Digitale Doppelgänger: Auf dem Darknet wurden im April 2019 mehr als 60.000 gestohlene digitale Identitäten zum Verkauf angeboten. Diese „digitalen Masken“ ermöglichen es Kriminellen, legitime Nutzer online zu imitieren, insbesondere wenn diese Identitäten mit gestohlenen Logins und Passwörtern kombiniert werden.
Geschäfts-E-Mail-Komprimierung (BEC): In mehr als der Hälfte der BEC-Angriffe wurden Opfer dazu verleitet, Geschenkkarten zu kaufen, wobei sensible Informationen wie Bankkontodaten abgefangen wurden. Die Angreifer nutzten die Geschenkkarten als anonyme, nicht rückverfolgbare Zahlungsmethode. Der durchschnittliche gestohlene Betrag pro Geschenkkarte betrug 1.500 US-Dollar.

Schutzmaßnahmen gegen Identitätsdiebstahl

Der Bericht empfiehlt verschiedene Maßnahmen zur Eindämmung und Bekämpfung von Identitätsdiebstahl:

Multi-Faktor-Authentifizierung (MFA): Diese Sicherheitsmaßnahme stellt sicher, dass der Zugang zu Konten nur durch mehrere Sicherheitsstufen gewährt wird, was die Wahrscheinlichkeit eines erfolgreichen Identitätsdiebstahls verringert.
Sicherer Umgang mit Passwörtern: Benutzer sollten sichere Passwörter verwenden und keine im Browser gespeicherten Passwortmanager verwenden. Offline-geschützte Passwortmanager sind sicherer.
Content-Filterung: Durch das Filtern von Anhängen und E-Mails mit schädlichem Inhalt können Unternehmen Bedrohungen wie Phishing und Spam besser begegnen.
Datenverlustprävention (DLP): Unternehmen sollten DLP-Lösungen implementieren, um den Verlust sensibler Daten zu verhindern.

Fazit

Der Bericht zeigt deutlich, dass der Identitätsdiebstahl eine zunehmende Bedrohung darstellt, die durch technologische Entwicklungen und Schwachstellen in der Cybersicherheit begünstigt wird. Die zunehmende Häufigkeit von Datenlecks und der Missbrauch von persönlichen Informationen erfordern, dass Unternehmen und Einzelpersonen verstärkte Sicherheitsmaßnahmen ergreifen. Durch den Einsatz von Technologien wie Multi-Faktor-Authentifizierung, Content-Filterung und sicheren Passwortstrategien können Unternehmen die Risiken von Identitätsdiebstahl deutlich reduzieren. Die ENISA betont die Notwendigkeit einer kontinuierlichen Überwachung und Anpassung der Sicherheitspraktiken, um den Bedrohungen der Zukunft gewachsen zu sein.

Bundesamt für Sicherheit in der Informationstechnik

Lagebericht zur IT-Sicherheit in Deutschland 2020: Eine umfassende Analyse

BSI Lagebericht 2020
Der Lagebericht zur IT-Sicherheit in Deutschland 2020, herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik (BSI), bietet einen tiefgehenden Überblick über die Bedrohungslage, Herausforderungen und Maßnahmen zur Verbesserung der IT-Sicherheit in Deutschland. Der Bericht, der sich auf den Zeitraum vom 1. Juni 2019 bis zum 31. Mai 2020 bezieht, spiegelt wider, wie die zunehmende Abhängigkeit von IT-Systemen und die ständige Weiterentwicklung von Cyber-Bedrohungen eine dynamische und komplexe Sicherheitslandschaft schaffen.

Einleitung: Die wachsende Bedeutung der Cybersicherheit

Im Jahr 2020 wurde die Bedeutung funktionierender und sicherer IT-Infrastrukturen durch die COVID-19-Pandemie besonders deutlich. Mit dem plötzlichen Umstieg vieler Menschen auf Homeoffice und die vermehrte Nutzung digitaler Dienste entstanden neue Angriffsflächen, die von Cyberkriminellen ausgenutzt wurden. Der Bericht zeigt, dass Cyberangriffe zunehmend ausgeklügelter und spezifischer werden, was erhebliche Herausforderungen für Unternehmen, den Staat und die Gesellschaft insgesamt darstellt.

Gefährdungslage: Cyberangriffe und ihre Auswirkungen

Der Bericht unterstreicht, dass die Gefährdungslage in Deutschland weiterhin angespannt ist. Eine der größten Bedrohungen im Berichtszeitraum ging von der Schadsoftware Emotet aus. Emotet, ursprünglich ein Banking-Trojaner, entwickelte sich zu einem vielseitigen Werkzeug für Cyberkriminelle. Durch eine Kombination von Social-Engineering-Techniken und modularen Schadfunktionen konnte Emotet gezielte Angriffe auf Unternehmen und Institutionen durchführen. Besonders besorgniserregend ist die Fähigkeit von Emotet, sich in Netzwerken auszubreiten, weitere Schadsoftware nachzuladen und Informationen auszuspionieren.

Eine weitere ernsthafte Bedrohung stellt Ransomware dar. Diese Art von Schadsoftware verschlüsselt Daten und Systeme, um Lösegeld zu erpressen. Besonders auffällig war die Zunahme gezielter Ransomware-Angriffe auf Unternehmen und kritische Infrastrukturen. Beispiele im Bericht zeigen, dass solche Angriffe erhebliche wirtschaftliche Schäden verursachen können, da betroffene Unternehmen oft gezwungen sind, ihre Systeme komplett neu aufzusetzen oder hohe Lösegeldsummen zu zahlen, um den Betrieb wieder aufzunehmen.

Maßnahmen zur IT-Sicherheit

Das BSI reagierte auf diese Bedrohungen mit einer Reihe von Maßnahmen zur Stärkung der IT-Sicherheit in Deutschland. Dazu gehörten unter anderem die Entwicklung von Sicherheitsstandards für 5G-Netze, die Einführung des IT-Sicherheitskennzeichens zur Verbesserung des Verbraucherschutzes sowie die Unterstützung von Unternehmen und öffentlichen Einrichtungen beim sicheren Übergang ins Homeoffice während der Pandemie. Zudem wurde die Corona-Warn-App unter enger Beratung durch das BSI entwickelt, um ein Höchstmaß an Datensicherheit zu gewährleisten.

Besonders hervorgehoben wird die Rolle des BSI als zentrale Anlaufstelle für IT-Sicherheit in Deutschland. Durch die enge Zusammenarbeit mit verschiedenen Akteuren konnte das BSI einen wesentlichen Beitrag zur Abwehr von Cyber-Bedrohungen leisten. Ein zentrales Element der BSI-Strategie ist dabei die Sensibilisierung der Bevölkerung für IT-Sicherheitsrisiken, um die digitale Eigenverantwortung zu stärken.

Ausblick und Empfehlungen

Der Lagebericht endet mit einer Bewertung der aktuellen Sicherheitslage und einem Ausblick auf zukünftige Herausforderungen. Die fortschreitende Digitalisierung und die damit verbundene Abhängigkeit von IT-Systemen erfordern kontinuierliche Anpassungen in der IT-Sicherheitsstrategie. Das BSI plant daher, seine Fähigkeiten weiter auszubauen und die nationale Cyber-Sicherheitsstrategie zu aktualisieren, um den dynamischen Bedrohungen wirksam begegnen zu können.

Es wird deutlich, dass die IT-Sicherheit in Deutschland vor einer Vielzahl von Herausforderungen steht, die nur durch eine koordinierte und umfassende Strategie bewältigt werden können. Der Bericht zeigt auf, dass neben technischen Maßnahmen auch die Förderung der digitalen Bildung und die Sensibilisierung der Bevölkerung eine entscheidende Rolle spielen, um die Sicherheit in der digitalen Welt langfristig zu gewährleisten.

Fazit

Der Lagebericht zur IT-Sicherheit in Deutschland 2020 bietet eine eindringliche Analyse der aktuellen Bedrohungslage und der Maßnahmen zur Abwehr dieser Bedrohungen. Die Corona-Pandemie hat gezeigt, wie verwundbar digitale Infrastrukturen sind und wie wichtig es ist, diese kontinuierlich zu schützen und weiterzuentwickeln. Das BSI spielt dabei eine zentrale Rolle und wird auch in Zukunft entscheidend dazu beitragen, die IT-Sicherheit in Deutschland auf einem hohen Niveau zu halten und weiter zu stärken.

Bundesamt für Cybersicherheit Schweiz

Der Bericht des Bundesrates zu Sicherheitsstandards für Internet-of-Things-Geräte (IoT) analysiert die Herausforderungen und Risiken, die mit der zunehmenden Vernetzung von Geräten im Internet der Dinge verbunden sind. Er wurde in Erfüllung der Postulate 17.4295 und 19.3199 erstellt und zeigt die Notwendigkeit auf, Sicherheitsstandards zu entwickeln, um die Cybersicherheit in der Schweiz zu gewährleisten.

Einleitung

Der Bericht beginnt mit einer Einleitung, die die grundlegenden Informationen über das IoT präsentiert. Es wird festgestellt, dass IoT-Geräte mittlerweile in fast allen Lebensbereichen präsent sind, von Smart-Home-Anwendungen bis hin zu industriellen Steuerungen. Diese weitreichende Vernetzung birgt nicht nur ein enormes Potenzial zur Effizienzsteigerung, sondern auch erhebliche Sicherheitsrisiken. Oftmals stehen bei der Entwicklung solcher Geräte nicht Sicherheitsaspekte, sondern Kosten und Nutzen im Vordergrund, was zu einer Vielzahl von Sicherheitsproblemen führt.

Herausforderungen für die IoT-Sicherheit

Die Herausforderungen in der IoT-Sicherheit werden in zwei Kategorien unterteilt: generelle Herausforderungen und spezielle Herausforderungen im industriellen IoT.

2.1 Generelle Herausforderungen

Ein zentrales Problem ist das Fehlen von Anreizen zur Verbesserung der Sicherheit. Hersteller setzen häufig auf niedrige Kosten und schnelle Markteinführung, was dazu führt, dass Sicherheitsfunktionen vernachlässigt werden. Nutzer sind sich oft nicht bewusst, dass IoT-Geräte erhebliche Sicherheitsrisiken darstellen können, was das Problem verschärft.

2.2 Spezielle Herausforderungen im industriellen IoT

Im industriellen Sektor, insbesondere bei kritischen Infrastrukturen, sind die Sicherheitsanforderungen noch komplexer. Angriffe auf industrielle Kontrollsysteme können katastrophale Folgen haben, von Produktionsausfällen bis hin zu Gefahren für Menschenleben. Hier ist die Integration von IoT-Komponenten in bestehende Systeme eine zusätzliche Herausforderung, da viele industrielle Systeme ursprünglich nicht für die Vernetzung konzipiert wurden.

Cyberangriffe mit Bezug zu IoT-Geräten

Der Bericht führt verschiedene Arten von Cyberangriffen auf IoT-Geräte auf und zeigt deren Ziele und Methoden. IoT-Geräte können direkt angegriffen werden, um sie zu manipulieren, oder als Einfallstor genutzt werden, um in lokale Netzwerke einzudringen. Besonders hervorzuheben sind Botnetze, die durch das Ausnutzen von Schwachstellen in IoT-Geräten aufgebaut werden, um DDoS-Attacken durchzuführen.

Stand internationale Richtlinien für IoT-Geräte

Der Bericht analysiert den aktuellen Stand internationaler Sicherheitsstandards für IoT-Geräte. Es wird festgestellt, dass es derzeit noch wenige offizielle Standards gibt, aber die Entwicklung zunehmen wird. Verschiedene Organisationen, wie das BSI (Bundesamt für Sicherheit in der Informationstechnik) und ETSI (Europäisches Institut für Telekommunikationsnormen), haben Richtlinien und Empfehlungen entwickelt, die als Grundlage für die Entwicklung sicherer IoT-Geräte dienen können.

Umsetzung von Standards bei Bund und kritischen Infrastrukturen

Die Umsetzung von Sicherheitsstandards ist entscheidend für den Schutz von Bund und kritischen Infrastrukturen. Der Bericht empfiehlt, dass Organisationen individuelle Sicherheitslevels basierend auf ihren spezifischen Anforderungen implementieren. Es wird betont, dass der Bund den Minimalstandard zur Verbesserung der IKT-Resilienz bereitstellt, der auf international anerkannten Standards basiert.

Rechtliche Aspekte im IoT

Rechtliche Fragen spielen eine zentrale Rolle im Umgang mit IoT-Geräten. Der Datenschutz ist von großer Bedeutung, da viele IoT-Anwendungen persönliche Daten erfassen. Der Bericht beleuchtet die Herausforderungen hinsichtlich der Gewährleistung und der Haftung bei Sicherheitslücken in IoT-Geräten sowie die Notwendigkeit einer Meldepflicht für Cybervorfälle.

Fazit

Der Bericht schließt mit der Feststellung, dass die Anzahl der mit dem Internet verbundenen Geräte weiter steigen wird, was die Risiken von Cyberattacken erhöht. Die Förderung von Sicherheitsstandards ist unerlässlich, um diese Risiken zu minimieren. Es ist wichtig, dass sowohl Hersteller als auch Nutzer Verantwortung übernehmen, um die Sicherheit von IoT-Geräten zu gewährleisten. Ein kooperativer Ansatz zwischen staatlichen Stellen, der Industrie und der Öffentlichkeit ist entscheidend, um ein hohes Maß an Cybersicherheit zu erreichen.

Zusammenfassend betont der Bericht die Notwendigkeit, geeignete Sicherheitsstandards für IoT-Geräte zu entwickeln und umzusetzen, um die Cybersicherheit in der Schweiz zu stärken. Durch die Implementierung bewährter Sicherheitsverfahren und die Schaffung eines rechtlichen Rahmens können die Risiken, die mit der Nutzung von IoT-Geräten verbunden sind, wirksam adressiert werden.

Enisa

ENISA Threat Landscape for 5G Networks
Der Bericht „ENISA Threat Landscape for 5G Networks“ aus dem Jahr 2020 bietet eine detaillierte Analyse der Bedrohungen und Schwachstellen, die mit der Einführung und dem Betrieb von 5G-Netzwerken einhergehen. Der Bericht aktualisiert frühere Bedrohungsanalysen, insbesondere in Bezug auf die technologische Weiterentwicklung und die 5G-Spezifikationen der 3GPP (3rd Generation Partnership Project), insbesondere Release 16. Ziel ist es, die neu aufkommenden Risiken zu bewerten und Sicherheitsmaßnahmen zu empfehlen, um die Sicherheit und Resilienz von 5G-Infrastrukturen zu gewährleisten.

Kontext und Methodik

5G-Netzwerke bieten signifikante technologische Vorteile, darunter schnellere Datenübertragungen, geringere Latenzzeiten und die Unterstützung einer Vielzahl neuer Anwendungen, wie z. B. das Internet der Dinge (IoT) und autonome Fahrzeuge. Diese Vorteile bringen jedoch neue Sicherheitsherausforderungen mit sich. Der Bericht befasst sich sowohl mit den allgemeinen Bedrohungen für 5G als auch mit spezifischen Schwachstellen, die durch den Übergang von 4G auf 5G entstehen. Hierbei konzentriert sich der Bericht auf Bedrohungen, die durch die Virtualisierung von Netzwerken und die zunehmende Nutzung von Software-Defined Networking (SDN) und Network Function Virtualization (NFV) entstehen.

Die Methodik des Berichts basiert auf einer Kombination aus Open-Source-Intelligence (OSINT) und der Analyse öffentlich zugänglicher Informationen sowie Expertenmeinungen. Ein besonderer Fokus liegt auf der Identifizierung von Schwachstellen in der 5G-Architektur, einschließlich des Core-Netzwerks, der Netzwerk-Slicing-Technologie und der Radio Access Networks (RAN).

Hauptergebnisse

Der Bericht stellt fest, dass die Komplexität von 5G-Infrastrukturen zu einer Vielzahl neuer Schwachstellen führt. Zu den wichtigsten identifizierten Bedrohungen zählen:

Virtualisierungsbasierte Angriffe: Da 5G-Netzwerke stark auf die Virtualisierung von Netzwerkfunktionen (NFV) setzen, sind sie anfällig für Angriffe, die auf Schwachstellen in der Virtualisierungsschicht abzielen. Dies umfasst die Manipulation von Hypervisoren und den Missbrauch von Netzwerk-Slicing, um unbefugten Zugriff auf verschiedene Netzwerksegmente zu erlangen.
Angriffe auf das Core-Netzwerk: Das 5G-Core-Netzwerk ist das Herzstück der Infrastruktur und für die Verwaltung von Benutzer- und Datenströmen verantwortlich. Angriffe auf dieses Netz können dazu führen, dass große Teile der Netzwerkkommunikation gestört oder kompromittiert werden. Schwachstellen im Core-Netzwerk umfassen Denial-of-Service (DoS)-Angriffe und unautorisierte Zugriffe auf Steuerungselemente.
Bedrohungen durch Software-Defined Networking (SDN): SDN ermöglicht eine flexiblere Verwaltung von Netzwerken durch die Trennung von Steuerungs- und Datenebene. Allerdings erhöht dies auch die Angriffsfläche, insbesondere wenn zentrale Steuerungselemente kompromittiert werden. Der Bericht hebt hervor, dass Angriffe auf SDN-Controller schwerwiegende Folgen für die Netzwerkverfügbarkeit haben könnten.
Schwachstellen im Radio Access Network (RAN): Das RAN ist verantwortlich für die drahtlose Kommunikation zwischen Endgeräten und dem Core-Netzwerk. Schwachstellen in diesem Bereich könnten genutzt werden, um den Netzwerkzugang zu stören oder unberechtigten Zugriff zu erlangen. Spezifische Bedrohungen umfassen physische Angriffe auf Basisstationen und die Ausnutzung von Schwächen im Kommunikationsprotokoll.

Neue Herausforderungen durch Netzwerkslicing und Edge Computing

Ein herausragendes Merkmal von 5G ist das Konzept des Network Slicing, bei dem virtuelle Netzwerkschichten für verschiedene Anwendungsfälle wie IoT, autonomes Fahren oder industrielle Anwendungen erstellt werden. Während dies die Effizienz und Flexibilität von Netzwerken verbessert, schafft es auch neue Angriffsvektoren, da jedes Slice potenziell isoliert angegriffen werden kann.

Darüber hinaus unterstützt 5G Multi-Access Edge Computing (MEC), das Datenverarbeitung und -speicherung näher an den Endbenutzern ermöglicht. Dies verbessert zwar die Netzwerkleistung, öffnet jedoch auch neue Angriffsflächen, da Edge-Server möglicherweise nicht dieselben Sicherheitsstandards wie zentrale Server bieten.

Empfehlungen

ENISA betont die Notwendigkeit einer umfassenden Sicherheitsstrategie für 5G-Netzwerke, die sowohl technische als auch organisatorische Maßnahmen umfasst. Zu den wichtigsten Empfehlungen gehören:

Verstärkte Sicherheitskontrollen für Virtualisierung und SDN: Es sollten spezifische Sicherheitsprotokolle implementiert werden, um die Integrität von NFV und SDN zu gewährleisten. Dies umfasst die Überwachung von Hypervisoren und SDN-Controllern sowie die Einführung von Mechanismen zur Erkennung von Anomalien.
Schutz des Core-Netzwerks: Da das Core-Netzwerk das Rückgrat der 5G-Infrastruktur bildet, sollten Betreiber sicherstellen, dass starke Authentifizierungs- und Autorisierungsmechanismen vorhanden sind. Zudem sollten Systeme zur Erkennung und Abwehr von DoS-Angriffen implementiert werden.
Sicherheitsmaßnahmen für Netzwerkslicing und MEC: Betreiber sollten isolierte Sicherheitskontrollen für jedes Slice implementieren, um sicherzustellen, dass ein Angriff auf ein Slice nicht auf andere übergreift. Für MEC sollten robuste Verschlüsselungs- und Zugriffsmanagementsysteme eingeführt werden.

Fazit

5G bietet enorme Chancen für technologische Innovationen, bringt jedoch auch erhebliche Cybersicherheitsrisiken mit sich. Der Bericht zeigt, dass neue Technologien wie NFV, SDN und MEC sorgfältig gesichert werden müssen, um die Integrität und Verfügbarkeit von 5G-Netzwerken zu gewährleisten.

TeleTrusT

Zusammenfassung des Berichts: “TeleTrusT-Handreichung: Stand der Technik in der IT-Sicherheit” (Februar 2019)

Einleitung

TeleTrusT-Handreichung: Stand der Technik in der IT-Sicherheit 2019
Der Bericht “Stand der Technik in der IT-Sicherheit” wurde von TeleTrusT – Bundesverband IT-Sicherheit e.V. in Zusammenarbeit mit der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) entwickelt und im Februar 2019 veröffentlicht. Diese Handreichung zielt darauf ab, Unternehmen und Organisationen klare Richtlinien und Empfehlungen zur Umsetzung der IT-Sicherheitsanforderungen gemäß dem “Stand der Technik” zu bieten, wie sie in verschiedenen europäischen und nationalen Gesetzgebungen gefordert werden. Der Bericht dient als praxisorientierte Leitlinie, die es IT-Verantwortlichen erleichtert, die gesetzlichen Anforderungen zu erfüllen und die IT-Sicherheit zu verbessern.

Hintergrund und Bedeutung

Mit der Einführung der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 und dem IT-Sicherheitsgesetz (ITSiG) haben die Anforderungen an IT-Sicherheitsmaßnahmen in Europa erheblich zugenommen. Beide Regelwerke verlangen, dass technische und organisatorische Maßnahmen zur IT-Sicherheit dem “Stand der Technik” entsprechen. Allerdings bleibt dieser Begriff in den Gesetzestexten oft unklar definiert, was bei Unternehmen und Behörden zu Unsicherheiten in der praktischen Umsetzung führt. Die Handreichung von TeleTrusT und ENISA soll hier Abhilfe schaffen, indem sie konkrete Handlungsempfehlungen und Beispiele für die Implementierung von IT-Sicherheitsmaßnahmen aufzeigt.

Definition und Auslegung des “Standes der Technik”

Der Bericht definiert den “Stand der Technik” als den Entwicklungsstand fortschrittlicher Verfahren, Technologien und Methoden, die zur Erreichung eines hohen Sicherheitsniveaus geeignet sind und in der Praxis erprobt wurden. Der “Stand der Technik” liegt zwischen den “allgemein anerkannten Regeln der Technik” und dem “Stand von Wissenschaft und Technik”. Während erstere eher etablierte, weithin akzeptierte Methoden beschreiben, beziehen sich letztere auf die neuesten technologischen Entwicklungen, die möglicherweise noch nicht in der Praxis erprobt sind. Der “Stand der Technik” hingegen beschreibt Maßnahmen, die sowohl innovativ als auch praxistauglich sind.

Praktische Umsetzung in Unternehmen

Der Bericht betont, dass die Umsetzung des “Standes der Technik” in der IT-Sicherheit eine kontinuierliche Anpassung und Überprüfung der eingesetzten Maßnahmen erfordert. Unternehmen müssen regelmäßig ihre Sicherheitskonzepte evaluieren und an neue Bedrohungen sowie technologische Entwicklungen anpassen. Dazu gehört die Implementierung moderner Verschlüsselungstechnologien, die Einführung von Multi-Faktor-Authentifizierung (MFA), der Einsatz von Firewalls und Intrusion Detection Systems (IDS) sowie die regelmäßige Schulung der Mitarbeiter im Bereich IT-Sicherheit.

Ein besonderes Augenmerk legt der Bericht auf die Berücksichtigung der individuellen Gegebenheiten jedes Unternehmens. Die IT-Sicherheitsmaßnahmen müssen stets in Relation zu den spezifischen Risiken, der Art und dem Umfang der Datenverarbeitung sowie den wirtschaftlichen Möglichkeiten des Unternehmens stehen. Es wird empfohlen, ein Informationssicherheitsmanagementsystem (ISMS) zu implementieren, das den Anforderungen der ISO/IEC 27001 entspricht. Dieses System ermöglicht eine systematische und dokumentierte Herangehensweise an die IT-Sicherheit, was insbesondere bei Audits und Zertifizierungen von Vorteil ist.

Herausforderungen und Empfehlungen

Der Bericht erkennt die Herausforderungen an, die insbesondere kleinere Unternehmen bei der Umsetzung des “Standes der Technik” in der IT-Sicherheit haben. Die Kosten für die Implementierung moderner Sicherheitstechnologien sowie der Mangel an qualifiziertem Personal können hierbei erhebliche Hürden darstellen. Die Handreichung empfiehlt daher, externe Expertise hinzuzuziehen und auf bestehende Zertifizierungen und Standards zurückzugreifen, um den Anforderungen gerecht zu werden.

Ein weiterer wichtiger Aspekt ist die Dokumentation der umgesetzten Maßnahmen. Diese ist nicht nur für interne Zwecke und zur Verbesserung der Sicherheitsprozesse wichtig, sondern auch zur Erfüllung gesetzlicher Nachweispflichten. Unternehmen sollten daher alle Maßnahmen, die sie im Rahmen der IT-Sicherheit ergreifen, sorgfältig dokumentieren und regelmäßig auf ihre Wirksamkeit überprüfen.

Fazit

Die TeleTrusT-Handreichung von 2019 bietet eine wertvolle Orientierungshilfe für Unternehmen und Behörden, die den “Stand der Technik” in ihrer IT-Sicherheitsstrategie umsetzen müssen. Durch die Kombination von praktischen Empfehlungen, klaren Definitionen und konkreten Beispielen hilft der Bericht, Unsicherheiten bei der Umsetzung der gesetzlichen Anforderungen zu überwinden und ein hohes Sicherheitsniveau zu erreichen. Insbesondere die enge Zusammenarbeit mit ENISA unterstreicht die Relevanz dieser Handreichung auf europäischer Ebene und unterstützt die Harmonisierung der IT-Sicherheitsstandards innerhalb der EU.

Fraunhofer-Institut für sichere Informationstechnologie

Eberbacher Gespräche: Next Generation Cryptography
Die „Eberbacher Gespräche: Next Generation Cryptography“ befassen sich mit den Herausforderungen, denen sich die Industrie und die Forschung bei der Weiterentwicklung der Kryptographie stellen müssen. Diese Gespräche, die vom Fraunhofer-Institut für Sichere Informationstechnologie (SIT) organisiert wurden, brachten Experten aus Wissenschaft, Wirtschaft und Verwaltung zusammen, um über die Zukunft der Kryptographie zu diskutieren.

Hintergrund und Ziele der Gespräche

In der modernen, vernetzten Welt ist die Kryptographie ein wesentlicher Baustein der IT-Sicherheit. Sie schützt sensible Daten, wie beispielsweise Kreditkartennummern und staatliche Geheimnisse, die über unsichere Kanäle wie das Internet übertragen werden. Viele Unternehmen nutzen Kryptographie, um ihre vertraulichen Daten und IT-Systeme zu schützen. Allerdings stehen sie im ständigen Wettbewerb mit Angreifern, die versuchen, kryptographische Schlüssel, Protokolle und Implementierungen zu knacken.

Die Gespräche zielten darauf ab, herauszufinden, wie kryptographische Systeme auf die Bedrohungen durch technologische Fortschritte, insbesondere durch Quantencomputer, vorbereitet werden können. Die Teilnehmer erarbeiteten sieben Empfehlungen, um den Übergang zur nächsten Generation der Kryptographie zu unterstützen.

Hauptthemen der Diskussion

Erosion kryptographischer Primitive: Praktisch alle heute verwendeten Kryptographie-Verfahren basieren auf der Komplexität bestimmter Berechnungen, was bedeutet, dass es theoretisch möglich ist, sie zu knacken. Historische Beispiele wie der Data Encryption Standard (DES), der einst als sicher galt, aber durch verbesserte Rechenleistung obsolet wurde, zeigen die Notwendigkeit, kryptographische Systeme regelmäßig zu aktualisieren. Insbesondere stellt der Fortschritt bei Quantencomputern eine Bedrohung für viele aktuelle Verschlüsselungsverfahren dar.
Post-Quantum-Kryptographie: Quantencomputer könnten in der Lage sein, derzeit weit verbreitete kryptographische Algorithmen wie RSA und ECC zu knacken. Um dieser Bedrohung zu begegnen, arbeiten Kryptographen an alternativen Verschlüsselungstechniken, die auch gegen Angriffe durch Quantencomputer sicher sind. Dieses Forschungsfeld wird als Post-Quantum-Kryptographie bezeichnet. Das National Institute of Standards and Technology (NIST) begann 2017 mit der Standardisierung solcher post-quantenresistenten Verfahren.
Krypto-Agilität: Da kryptographische Verfahren durch technologische Fortschritte angreifbar werden können, müssen Systeme flexibel genug sein, um ihre kryptographischen Parameter und Algorithmen dynamisch anzupassen. Diese „Krypto-Agilität“ erfordert ein Design, das es ermöglicht, kryptographische Komponenten ohne größeren Einfluss auf das restliche System auszutauschen.
Herausforderungen durch Quantencomputer: Quantencomputer stellen eine fundamentale Bedrohung für heutige kryptographische Verfahren dar. Die Teilnehmer diskutierten über das Zeitfenster, in dem Quantencomputer kryptographische Verfahren knacken könnten und wie viel Zeit benötigt wird, um Quanten-resistente Algorithmen einzuführen. Die Einführung solcher Algorithmen muss rechtzeitig erfolgen, bevor Quantencomputer zum Einsatz kommen, um zu verhindern, dass sensible Daten, die heute verschlüsselt werden, in der Zukunft entschlüsselt werden können.

Empfehlungen für die nächste Generation der Kryptographie

Öffentliches Bewusstsein: Um IT-Sicherheitsfragen und kryptographische Grundkenntnisse besser zu vermitteln, sollten Entscheidungsträger in der Politik und Industrie gezielt geschult werden. Langfristig sollten IT-Sicherheit und Kryptographie in die Lehrpläne der Schulen aufgenommen werden.
EU-Standards für Kryptographie: Es wird eine stärkere Standardisierung auf EU-Ebene gefordert. Eine supranationale Agentur wie die Europäische Agentur für Netz- und Informationssicherheit (ENISA) sollte für die Entwicklung und Durchsetzung kryptographischer Standards verantwortlich sein.
Forschung und Entwicklung: Um Krypto-Agilität und die Implementierung sicherer Lösungen zu fördern, sollte die angewandte und interdisziplinäre Forschung stärker finanziell unterstützt werden.
Rat der Kryptographie-Experten: Es wird vorgeschlagen, einen Rat aus Kryptographie-Experten zu gründen, der politische Entscheidungsträger und Standardisierungsbehörden berät.
„Kochbuch“ für kryptographische Lösungen: Ein praktisches Handbuch für Systementwickler sollte entwickelt werden, das aufzeigt, wie kryptographische Lösungen für verschiedene Anwendungsszenarien implementiert werden können.
Minimale Sicherheitsanforderungen: Es wird empfohlen, verbindliche Mindestanforderungen für kryptographische Systeme festzulegen, um die Sicherheit des gesamten Internets zu verbessern.
Inventaranalyse kryptographischer Funktionen: Unternehmen sollten ein Inventar ihrer kryptographischen Systeme führen, um im Falle von Schwachstellen schnell reagieren zu können.

Fazit

Die „Eberbacher Gespräche“ verdeutlichen, dass die Kryptographie vor erheblichen Herausforderungen steht, insbesondere durch den bevorstehenden Einsatz von Quantencomputern. Um die Sicherheit der IT-Systeme in der Zukunft zu gewährleisten, müssen kryptographische Systeme flexibel und anpassungsfähig sein. Die Einführung von Standards und die Förderung von Forschung und Entwicklung sind essenziell, um die Kryptographie auf das nächste Level zu heben.

Fraunhofer-Institut für sichere Informationstechnologie

Das Positionspapier „Cybersicherheit in Deutschland“, herausgegeben von den drei Kompetenzzentren für IT-Sicherheit (CRISP, CISPA und KASTEL), behandelt die drängenden Herausforderungen im Bereich der Cybersicherheit und bietet einen umfassenden Überblick über notwendige Maßnahmen und Strategien zur Verbesserung der digitalen Sicherheit. Die Autoren, Michael Waidner, Michael Backes und Jörn Müller-Quade, stellen dabei sieben zentrale Thesen zur Diskussion, die das strategische Handeln in Deutschland und Europa im Bereich der Cybersicherheit lenken sollen.

Bedeutung der Cybersicherheit

Die fortschreitende Digitalisierung hat dazu geführt, dass Informations- und Kommunikationstechnologien (IKT) in allen gesellschaftlichen, wirtschaftlichen und politischen Bereichen von zentraler Bedeutung sind. Gleichzeitig stellen unsichere IT-Systeme eine zunehmende Bedrohung dar. Cyberangriffe auf Unternehmen, politische Institutionen und kritische Infrastrukturen sind keine Seltenheit mehr und bergen das Risiko von Instabilität und wirtschaftlichen Verlusten. Die Autoren betonen, dass Cybersicherheit daher ein entscheidender Faktor für das gesellschaftliche und wirtschaftliche Wohlstandsniveau ist. Sie verweisen auf die wachsenden Herausforderungen durch neue Angriffsmethoden, wie etwa Angriffe auf das Internet der Dinge (IoT), sowie auf die Bedrohung durch staatlich organisierte Cyberkriminalität.

Digitale Souveränität als strategisches Ziel

Die erste These betont die Bedeutung der digitalen Souveränität Deutschlands und Europas. Die Abhängigkeit von ausländischen IT-Anbietern und deren Technologien gefährdet die Kontrolle über kritische Infrastrukturen und stellt eine strategische Schwäche dar. Ziel muss es sein, die technologische Unabhängigkeit in Schlüsselbereichen zu stärken. Deutschland und Europa sollen in der Lage sein, eigene Technologien zu entwickeln und deren Sicherheit unabhängig zu bewerten. Dabei ist eine verstärkte internationale Kooperation mit führenden Nationen, wie den USA und Israel, von zentraler Bedeutung.

Mindeststandards und Produkthaftung

Eine weitere zentrale These fordert die Einführung verbindlicher Mindeststandards für IT-Sicherheit. Diese sollen sicherstellen, dass Produkte und Dienstleistungen grundlegende Sicherheitsanforderungen erfüllen. Gleichzeitig soll eine Produkthaftung für IT-Dienstleistungen eingeführt werden, um Hersteller in die Verantwortung zu nehmen. Dies soll das Vertrauen der Nutzer in IT-Systeme stärken und sicherstellen, dass Sicherheitslücken schnell geschlossen werden.

Cybersicherheitsinfrastrukturen

In der dritten These fordern die Autoren den Aufbau von Cybersicherheitsinfrastrukturen, die von staatlicher Seite bereitgestellt und gepflegt werden. Ähnlich wie physische Infrastrukturen, etwa Straßen oder Stromnetze, sind auch digitale Infrastrukturen notwendig, um den sicheren Betrieb von IT-Systemen zu gewährleisten. Dazu gehören unter anderem sichere digitale Identitäten und Verschlüsselungstechnologien. Ohne diese Infrastrukturen ist es für Bürger und Unternehmen schwierig, sich gegen Cyberbedrohungen zu schützen.

Stärkung der Grundrechte

Ein weiterer wichtiger Aspekt ist der Schutz der Grundrechte. Die Autoren betonen, dass Informationstechnologien genutzt werden können, um Grundrechte zu stärken, gleichzeitig aber auch Risiken bergen, wenn sie nicht verantwortungsvoll eingesetzt werden. Sie sprechen sich daher gegen jegliche Einschränkungen der Kryptographie aus und fordern, dass der Schutz der Privatsphäre Vorrang vor wirtschaftlichen Interessen haben sollte.

Aus- und Weiterbildung

Ein zentrales Problem in der Cybersicherheit ist der Mangel an qualifizierten Fachkräften. Die fünfte These befasst sich daher mit der Notwendigkeit, Cybersicherheit in der schulischen und beruflichen Ausbildung stärker zu verankern. Deutschland und Europa brauchen dringend mehr Experten, die im Bereich der IT-Sicherheit ausgebildet sind. Weiterbildungsprogramme für Fachkräfte sowie Sensibilisierung in der breiten Bevölkerung sind essenziell, um die Cybersicherheit auf ein solides Fundament zu stellen.

Cybersicherheitsforschung und Innovation

Die letzte These betont die Notwendigkeit verstärkter Forschung im Bereich der Cybersicherheit. Nur durch exzellente Forschung können neue Angriffstechniken effektiv bekämpft und sichere IT-Systeme entwickelt werden. Gleichzeitig fordern die Autoren, dass die Forschung stärker auf praxisrelevante Fragestellungen ausgerichtet sein muss und dass der Transfer von Forschungsergebnissen in die Industrie gefördert wird. Auch die Förderung von Startups im Bereich der IT-Sicherheit wird als wichtiges Instrument hervorgehoben, um Innovationen voranzutreiben und den Markt zu stärken.

Fazit

Das Positionspapier liefert eine umfassende Analyse der aktuellen Cybersicherheitslage in Deutschland und Europa. Es verdeutlicht die dringende Notwendigkeit einer strategischen Ausrichtung, die die digitale Souveränität stärkt, verbindliche Standards setzt und den Schutz der Grundrechte gewährleistet. Nur durch eine enge Kooperation zwischen Politik, Wirtschaft und Wissenschaft sowie durch verstärkte Forschung können die drängenden Herausforderungen der Cybersicherheit gemeistert werden.