HZ214707 · ISSN 1868-5757 · www.itsicherheit-online.com Dezember 6/2023 User-Centric Security: Die menschliche Dimension der Cybersicherheit IT-Sicherheitsvorfall Was müssen Unternehmen tun, wenn „es“ passiert ist? Cybersicherheit in der Automobilindustrie Herausforderungen, die über Normen und Vorschriften hinausgehen Penetrationstests Sicherheitslücken in schnell wachsenden Unternehmen aufspüren

Liebe Leserin, lieber Leser, benutzerzentrierte Sicherheit (engl. User-Centric Security) stellt die Bedürfnisse und das Verhalten der Nutzer in den Mittelpunkt, um wirksame Sicherheitsmaßnahmen zu implementieren. Anstatt sich ausschließlich auf technische Lösungen zu konzentrieren, berücksichtigt dieser Ansatz die menschliche Dimension. Die Grundidee ist, dass der Mensch oft das schwächste Glied in der Sicherheitskette ist, sei es durch unvorsichtiges Klicken auf Phishing-Links oder unsichere Passwortpraktiken. User-Centric Security zielt darauf ab, diese Schwachstellen zu minimieren, indem die menschliche Natur in den Sicherheitsansatz integriert wird. Dazu gehören die Förderung sicherer Gewohnheiten, der Zugang zu benutzerfreundlichen Sicherheitstools und kontinuierliche Schulungen, um mit den neuesten Bedrohungen Schritt zu halten (siehe Seite 46). „Lassen Sie uns gemeinsam die Cybernation Deutschland bauen.“ Das sagte Claudia Plattner, Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), bei der Eröffnung der diesjährigen it-sa (siehe Seite 12) und rief dazu auf, dass man insgesamt resilienter gegenüber Angriffen werden müsse. „Es darf nicht mehr so leicht sein, uns anzugreifen“, so die BSI-Präsidentin, „und wenn ein Angriff dann doch erfolgreich ist, dann müssen wir in der Lage sein, uns zu helfen und den Regelbetrieb schnell wiederherzustellen.“ – und genau um das Thema geht es in unserem Artikel „IT-Sicherheitsvorfall: Was tun, wenn es passiert ist?“ ab Seite 32. Unser Autor nennt Maßnahmen zur Prävention, aber auch konkrete Schritte, was Unternehmen tun können, wenn es sie erwischt hat. Speziell um die Automobilindustrie geht es im Artikel „Herausforderungen, die über Normen und Vorschriften hinausgehen“. Denn einer der wichtigsten Industriezweige erlebt derzeit einen radikalen Paradigmenwechsel und rückt zunehmend in den Fokus von Cyberkriminellen. Beeinträchtigt ein Cybersicherheitsvorfall die Funktionalität fahrsicherheitsrelevanter Komponenten und Systeme, besteht Gefahr für Leib und Leben, sowohl für den Fahrer als auch für die Umgebung des manipulierten Fahrzeugs. Insgesamt steht die Automobilindustrie beim Thema Cybersicherheit vor fünf großen Herausforderungen, meint unser Autor ab Seite 40. Penetrationstests sind gezielte Sicherheitsüberprüfungen unter realen Bedingungen, bei denen erfahrene Tester versuchen, Schwachstellen in der IT eines Unternehmens aufzudecken. So können potenzielle Angriffspunkte identifiziert und behoben werden. Besonders wichtig sind solche Tests für expandierende Unternehmen (siehe Seite 16), denn sie sehen sich mitunter mit einer Vielzahl unterschiedlicher, oft nicht kompatibler Systeme konfrontiert – ein Flickenteppich, der auch für die IT-Sicherheit eine echte Herausforderung darstellt. Viel Spaß beim Lesen wünscht Ihnen Sebastian Frank EDITORIAL twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_6/2023 3

INHALTSVERZEICHNIS WENN ES PASSIERT IST?32 WAS TUN, HERAUSFORDERUNGEN, DIE ÜBER NORMEN UND VORSCHRIFTEN HINAUSGEHEN 40 SECURITY MANAGEMENT 46 User-Centric Security: DIE MENSCHLICHE DIMENSION DER CYBERSICHERHEIT CLOUD SECURITY 48 Cyberresilienz: Wie Unternehmen Daten clever sichern können WELCHE BACKUP- LÖSUNG FÜR MICROSOFT 365? RECHT 46 USER-CENTRIC SECURITY: DIE MENSCHLICHE DIMENSION DER CYBERSICHERHEIT AUS DER FORSCHUNG 60 Sicher, vertrauenswürdig und dezentral WIE DATENRÄUME HELFEN, NEUE GESCHÄFTS MODELLE ZU ENTWICKELN SERVICES 66 VORSCHAU: Ausblick auf Ausgabe 1 | 2024 66 Impressum ADVERTORIALS 18 WAS KÖNNEN AUTOMATISIERTE PENTESTS? 21 IT-Sicherheit im Zeitalter der KI: SCHUTZ VOR NEUEN RISIKEN 52 NIS-2 IST ALLES ANDERE ALS EIN PAPIERTIGER 30 OT-Sicherheit AKTIVES UND PASSIVES SCANNING 56 Cyber Resilience Act der EU 36 Neue EU-Richtlinie in Kraft DIE ZUKUNFT DER CYBER SICHERHEIT VON „PRODUKTEN MIT DIGITALEN ELEMENTEN“ SO BEREITEN SICH KRITIS-BETREIBER AUF NIS-2 VOR IT-SICHERHEIT_6/2023 5

Flughäfen. Zum System gehören unter anderem eine optische und elektronische Dokumentenprüfung sowie ein Biometrieabgleich und eine Sensorik mit zentraler IT-Infrastruktur. Die Reisedokumente wer- den durch das System beim Durchschreiten des eGates automatisch überprüft. Nach erfolgreicher Prüfung sind die Passagiere damit nach Deutschland ein- oder aus Deutschland ausgereist und können ihre Reise fortsetzen. Die grenzpolizeiliche Kontrolle der Reisenden wird dadurch deutlich effizienter, Wartezeiten verkürzen sich und mehr Passagiere können gleichzeitig kontrolliert werden. Die Bundespolizei überwacht diese Grenzübertritte mit einer spezi- ell entwickelten Software und muss nicht jeden einzelnen Reisenden manuell kontrollieren. Das EasyPASS-System wird fortlaufend moderni- siert. So soll es beispielsweise an die Herausforderungen des europäi- schen Ein- und Ausreiseregisters (Entry-/Exit-System; EES) im Rah- men des Smart-Border-Programms der EU angepasst werden. Das EES speichert personenbezogene Daten aus dem Reisedokument, zudem Fingerabdruckdaten oder das Gesichtsbild von Reisenden aus Drittstaa- ten. Neben der Weiterentwicklung der eGates werden auch Selbster- fassungssysteme (Kioske) etabliert, um das Smart-Border-Programm voranzutreiben. Die Kioske können die biometrischen und biografischen Daten von Reisenden aus Drittstaaten bei der Einreise aufnehmen und diese Daten für die Grenzkontrolle bereitstellen. Bereits bis Ende 2024 sollen 500 solcher Kioske der Bundesdruckerei und secunet im Auftrag der Bundespolizei an deutschen Flughäfen installiert werden und zum EES-Start in Betrieb gehen. n WATCHGUARD ÜBERNIMMT NDR- ANBIETER CYGLASS Bereits Mitte September hat der IT-Security-Anbieter WatchGuard Technologies den Network-Detection-and-Response-(NDR)-Experten CyGlass Technology Services akquiriert. Die zu 100 Prozent cloudbasierte Plattform des US-amerikanischen Unternehmens CyGlass arbeitet mit künstlicher Intelligenz (KI) sowie maschinellem Lernen (ML) und bie- tet spezifische Möglichkeiten, leistungsstarke IT-Sicherheit in hybriden Netzwerken zu verankern – zu erschwinglichen Kosten und ohne Hard- ware, so WatchGuard. Damit werden besonders kleine und mittelgro- ße Organisationen unterstützt, Risiken zu erkennen, Bedrohungen zu stoppen und Compliance nachzuweisen. Die Technologie wird künftig die Architektur der WatchGuard Unified Security Platform ergänzen und zur Grundlage eines NDR-Services, mit dem sich Netzwerkanomalien KI- gesteuert aufdecken lassen. Die Übernahme markiert somit einen weite- ren zielgerichteten Schritt im Zuge des XDR-Konzepts von WatchGuard, der die Open-Extended-Detection-and-Response-(XDR)-Funktionen von WatchGuard ThreatSync zusätzlich aufwertet. n OPENTALK UND OWNCLOUD VERKÜNDEN PARTNERSCHAFT OpenTalk, der Anbieter für sichere Videokonferenzen aus Deutschland, hat eine Partnerschaft mit ownCloud abgeschlossen, einem Entwickler einer Realtime-Content-Collaboration-Plattform. Mit dieser Plattform können Nutzer nahtlos Dateien teilen und bearbeiten und dabei volle NEWS | UNTERNEHMEN digitale Souveränität, Sicherheit und Datenschutz genießen. Ziel der Partnerschaft ist es, die ownCloud-Kollaborationslösung in die sichere Videokonferenzlösung von OpenTalk zu integrieren. Bei OpenTalk handelt es sich um eine von Grund auf neu konzipierte und entwickelte Lösung für vertrauliche Videokonferenzen mit einem beson- deren Fokus auf die DSGVO-konforme Erfüllung höchster Sicherheits- und Datenschutzansprüche. Mit seiner modernen IT-Architektur und strikten Datentrennung ist OpenTalk insbesondere für die Nutzung in der öffentlichen Verwaltung geeignet. Zudem bietet OpenTalk eine Reihe an Funktionen und Moderations-Tools, die den speziellen Anforderungen an Videokonferenzen in der öffentlichen Verwaltung gerecht werden, darunter revisionssichere Abstimmungen und Sitzungsprotokolle. Im Rahmen der Partnerschaft mit ownCloud sollen OpenTalk-Nutzer die Möglichkeit erhalten, die ownCloud-Lösung zur sicheren Ablage von Auf- zeichnungen oder Arbeitsergebnissen, wie Protokoll oder Whiteboard, integriert zu nutzen. Von dort aus können sie auf Basis der ownCloud- Kollaborationsfunktionen bearbeitet und mit anderen Nutzern geteilt werden. Diese neuen Funktionen werden OpenTalk-Nutzern ab Ende Q1/2024 zur Verfügung stehen. n TUTANOTA HEISST JETZT TUTA Der sichere E-Mail-Dienst Tutanota heißt jetzt Tuta. Der neue Name spiegelt auch das wachsende Ökosystem von Tuta wider, das inzwischen über E-Mail hinausgeht: Seit dem Start als verschlüsselter E-Mail-Dienst im März 2014 hat Tuta die erste vollständig verschlüsselte Suchfunktion (Dezember 2017), den ersten vollständig verschlüsselten Desktop-Client für private E-Mails (Dezember 2018) und den ersten verschlüsselten Kalender (Juli 2019) auf den Markt gebracht. Von Anfang an war auch ein verschlüsseltes Adressbuch in Tuta integriert. Nun plant Tuta, sein Angebot um eine verschlüsselte Cloud-Speicherlösung zu erweitern. Als Innovationsführer im Bereich der sicheren Kommunikation arbeite man zudem an einer sicheren Post-Quantum- Verschlüsselung für Tuta. In einem ersten Schritt hat das Unternehmen den Pass- wortschutz in Tuta gehärtet, indem es von bcrypt zu Argon2 gewechselt hat. Die Spei- cherlösung wird ebenfalls auf eine Post- Quantum sichere Weise verschlüsselt. Über die Softwareentwicklung hinaus kämpft Tuta gemeinsam mit anderen Or- ganisationen für den Schutz der Privat- sphäre. Ziel ist es, Gesetze zu verhindern beziehungsweise anzupassen, die auf eine Schwächung der Verschlüsselung abzielen, wie zum Beispiel Chatkontrolle auf EU- Ebene oder das Gesetz zur Online-Sicher- heit in Großbritannien. n Tutanota hat sich in Tuta umbenannt und ist jetzt unter der Domain www.tuta.com erreichbar. (Bild: Tutao GmbH) IT-SICHERHEIT_6/2023 7

VERSION 4 DES SEH UTN MANAGER VORGESTELLT Firma SEH hat Version 4 ihres UTN Managers vorgestellt. Die neue Version des Verwaltungstools für USB-Geräte im Netzwerk unterstützt nun das aktuelle Apple-Betriebssystem macOS Sonoma 14 und führt die bisher im Markt befindlichen Varianten UTN Manager 3.3.x und 3.4.x in einer ein- heitlichen Version zusammen. Mit der Umstellung auf OpenSSL 3.0 und der Unterstützung von SOCKSv5 Proxies sorgt der SEH UTN Manager 4 für mehr Sicherheit bei der Verwaltung von USB-Geräten. Mit dem neuesten Long-Term-Support-Zweig 3.0 (LTS) von OpenSSL kann SEH Support bis zum Jahr 2026 sicherstellen. Das garantiere den Kunden in Zukunft an Ver- besserungen und Sicherheitspatches zu partizipieren und bedeute damit neben dem Sicherheitsaspekt auch Investitionsschutz, so der Anbieter. Zusätzlich wurden viele Verbesserungen bei der Benutzerfreundlichkeit vorgenommen. Dazu zählen unter anderem: die Schnellsuche (Live-Filte- rung), das Anlegen von Favoriten für häufig benutzte USB-Geräte sowie das Aktvieren über Tastaturkürzel aus dem Betriebssystem heraus. Mit Dynamic Activate werden definierte USB-Geräte im Netzwerk automa- tisch aktiviert und in das System eingebunden, sobald sie der UTN Mana- ger an einem verwalteten USB-Port erkennt, was die Bedienung weiter vereinfacht. n Der neue UTN Manager 4 vereinfacht die Verwaltung und erhöht die Sicher- heit von USB-Geräten im Netzwerk. (Bild: SEH) NEUE PERSONALISIERTE LERNPLATT- FORM FÜR MEHR CYBERSICHERHEITS- KOMPETENZEN SoSafe hat die Einführung einer neuen Generation von personalisier- tem Lernen angekündigt. Auf der Grundlage von Daten biete SoSafe mit seiner Plattform allen Lernenden genau das an, was sie brauchen, um schneller starke Cybersicherheitskompetenzen zu entwickeln. Auf diese Weise vervielfache man den Lerneffekt und spare gleichzeitig bis zu 30 Prozent der von den Mitarbeitenden investierten Zeit. „Was wir heute veröffentlichen, ist der erste Schritt zu einer Revolution in der Welt des Sicherheitsbewusstseins und im Bereich der Mitarbeiterschulungen im Allgemeinen. Unser Ziel ist es, Menschen starke Sicherheitsinstinkte an- zutrainieren, damit sichere Entscheidungen für jeden in Fleisch und Blut übergehen. Dies ist ein umfassender und tiefgreifender Prozess, der das Wissen, die Fähigkeiten und die Einstellung jeder einzelnen Person in Be- zug auf Cybersicherheit verändert“, so Dr. Niklas Hellemann, Psychologe und CEO von SoSafe. NEWS | PRODUKTE Das personalisierte Security-Awareness-Training beginnt mit einer Befra- gung zu den Arbeitsgewohnheiten, der Ausrüstung und dem Arbeitsum- feld der Nutzenden. Zudem kündigte SoSafe eine Datenintegration aus Personalinformationssystemen wie Workday, SAP und Personio in die Lernplattform an, welche die Datengrundlage des personalisierten Trai- nings weiter stärken soll. So werden über die Multi-Channel-Awareness- Plattform lediglich Inhalte zur Verfügung gestellt, die auf das individuelle Risikoprofil der Lernenden zugeschnitten sind. Darüber hinaus biete eine neu gestaltete Lernoberfläche ein besseres Nutzererlebnis, das die Ler- nenden ohne visuelle Ablenkungen zur nächsten Lerneinheit führt. n MEHR SCHUTZ FÜR INDUSTRIEANLA- GEN VOR KOMPROMITTIERTEN PATCH- DATEIEN ODER FIRMWARE-UPDATES Mit der Unterstützung des Internet Content Adaption Protocol (ICAP) er- möglicht der deutsche IT-Sicherheitsspezialist genua die Anbindung wei- terer externer Viren- und Malware-Scanner an seine Fernwartungslösung genubox. ICAP ist ein offenes Protokoll zur einfachen Weiterleitung von HTTP(S)- und FTP-Daten an einen ICAP-Server beziehungsweise externen Virenscanner. Durch die sichere und Malware-geprüfte Übertragung von Daten wie Patch-Dateien oder Firmware-Updates verbessere sich das Si- cherheitsniveau in der industriellen Fernwartung, so das Unternehmen. Mit dem zunehmenden Einsatz von Fernwartungszugängen in Produkti- onsumgebungen wird auch eine sichere Remote-Datenübertragung von Patches und Updates immer bedeutender. Um die Sicherheit operativer Technologie (OT) in kritischen Infrastrukturen und Industrieumgebungen zu gewährleisten und um eine Infektion von Geräten, Maschinen und An- lagen mit Firmware-Malware zu verhindern, ist es wichtig, die Integrität von Dateien vor dem Einspielen sicherzustellen. In der Vergangenheit wurde die Durchführung von Updates aus Sicherheitsgründen häu- fig durch den Einsatz physischer Medien oder spezieller elektronischer Datentransfers bewerkstelligt. Durch die Anbindung eines Viren- und Malware-Scanners via ICAP-Protokoll an die Fernwartungsumgebung genubox könne dieser Schritt nun entfallen. n ÜBERSICHT VON BEDROHUNGSLAGEN IN UNTERNEHMEN Outpost24 hat die Veröffentlichung von Outpost24-Core bekannt ge- geben. Dahinter verbirgt sich die Lösung für ein einheitliches Threat- Exposure-Management, das einen Einblick in das Bedrohungspotenzial eines Unternehmens über die gesamte Angriffsfläche hinweg gibt. Die Funktion bietet vollständige Transparenz über den Sicherheitsstatus aller Assets und ermöglicht den viel beschäftigten Sicherheitsteams, gezielte Maßnahmen zur Risikominderung auf Unternehmensebene zu ergrei- fen und deren Impact vor Entscheidern und Budgetverantwortlichen zu rechtfertigen, so der Hersteller. Aufgrund der steigenden Bedrohung durch Cyberangriffe ist Threat- Exposure-Management im Laufe der Jahre geschäftskritisch geworden, gleichzeitig sind die gestellten Anforderungen seitens der Führungsebe- ne gestiegen. CISOs stehen zunehmend vor der Herausforderung, die IT-SICHERHEIT_6/2023 9

NEUE APP ZUM IDENTIFIZIEREN, ANALY- SIEREN UND BEWERTEN VON RISIKEN Adlon präsentiert ein Risikomanagement-Cockpit: Mithilfe der neuen ADLON App können Unternehmen systematisch Risiken erfassen und verwalten. Sie bietet dem Risikomanager eine Gesamtübersicht der schutzbedürftigen Werte und der Risiken sowie durchdachte Manage- ment-Prozesse. Risiko-Owner profitieren von einer einfachen Bewertung und Behandlung und automatisierten Erinnerungen und Bearbeitungs- vorlagen. Damit begegnet die App den Anforderungen der ISO 31001:2018 Risikomanagement-Norm und der ISO 27001 sowie der ISO 22301 Busi- ness-Kontinuitätsmanagement. Die App kann über das Smartphone oder über den Desktop bedient werden, was die Integration aller Mitarbeiter in den digitalen Arbeitsplatz ermöglicht. n Adlon erweitert seine Plug-and-Play-Lösungen um eine Risikomanagement- App. (Bild: Adlon) BENUTZERFREUNDLICHE ENDPUNKTSICHERHEITSPLATTFORM FÜR UNTERNEHMEN Die Produktfamilie ThreatDown des Sicherheitsanbieters Malwarebytes umfasst verschiedene Lösungen, die speziell entwickelt wurden, um IT- Verantwortliche in Unternehmen dabei zu unterstützen, Bedrohungen in der heute hochkomplexen Cyberlandschaft abzuwehren. Dafür stehen den Nutzern unterschiedliche Technologien zur Verfügung: darunter das neue Security-Advisor-Dashboard sowie die neuen ThreatDown Bundles. Der Security Advisor analysiert die Cybersicherheit eines Unternehmens und erstellt auf dieser Basis eine Auswertung, die Lücken in der IT-Sicher- heit aufzeigt und zeitnah umsetzbare Maßnahmenempfehlungen liefert. Mithilfe eines Dashboards, welches IT-Administratoren den Status quo ihres Unternehmens in Sachen IT-Sicherheit anzeigt, inklusive detaillier- ter Anleitungen für weitere Schritte, lassen sich laut Malwarebytes inner- halb von Minuten deutliche Verbesserungen der allgemeinen Sicherheit erreichen. Die ThreatDown Bundles umfassen vier neue Service-Pakete, die verschiedene Dienstleistungen, Module und Technologien kombinie- ren, um die Cybersicherheit zu optimieren und ein solides Fundament an Schutz mit bestmöglicher Prozess- und Kosteneffizienz anzubieten. n NEWS | PRODUKTE AUTOMATISIERUNGSFUNKTIONEN FÜR EINFACHES PATCHEN VON SAP- SYSTEMEN SAP veröffentlicht monatlich Sicherheitspatches, um Benutzer kontinu- ierlich vor Schwachstellen zu schützen. Das Verstehen der technischen Änderungen und die Bewertung der Relevanz der Patches erfolgen heute manuell. Statistiken zeigen, dass ein typischer SAP-Kunde im Durchschnitt mehr als 100 Tage benötigt, um wichtige Sicherheitskor- rekturen zu installieren. Deshalb kündigt Logpoint die Veröffentlichung neuer Funktionen für seine Business-Critical-Security-(BCS)-Lösungen an, die es Organisationen ermöglichen, die Bewertung von SAP-Pat- ches zu automatisieren und deren Priorisierung zu erleichtern. Die Automatisierung des Patch-Überprüfungsprozesses werde den Schutz von SAP-Systemen stärken und dazu beitragen, sich gegen Cyberkri- minelle zu verteidigen, die Schwachstellen in Systemen ausnutzen möchten, die wichtige Sicherheitsupdates noch nicht erhalten haben, so Logpoint. Der Vulnerability Monitoring Analyzer liest automatisch den technischen Inhalt veröffentlichter Patches und gleicht dessen Versionsnummer mit der Versionsnummer des Systems in Tausenden von Repositorien ab. Er bietet auch einen umfassenden Überblick über Komponenten und deren Patch-Stände, Komponentenversionen von Kernel, Datenbank, Bibliothek sowie die SAP GUI-Version. Das Produkt ist ein integraler Bestandteil von Logpoint BCS for SAP. Es funktioniert sofort ohne zusätzlichen Installati- ons- und Konfigurationsaufwand. n TRAINING FÜR REVERSE ENGINEERING MIT GHIDRA Das neue Online-Training „Advanced Malware Reverse Engineering with Ghidra“ von Kaspersky schult IT-Sicherheitsexperten im Bereich Reverse- Engineering. Durchgeführt wird es von Cybersicherheitsexperten aus dem „Global Research and Analysis Team“ (GReAT) von Kaspersky. Die Kursteilnehmer lernen, einen typischen Malware-Analyse-Workflow durchzuführen, mit Datentypen und Strukturen in Ghidra zu arbeiten und wie sie Disassembler- und Decompiler-Skriptfunktionen von Ghidra nutzen können, um Reverse-Engineering-Aufgaben zu automatisieren. Weiterhin erfahren sie, wie Ghidra mithilfe der Eclipse IDE erweitert werden kann. Das Training umfasst 40 Videovorträge, welche komplexe Konzepte in leicht verständliche Einheiten herunterbechen. Dadurch wird es den Teilnehmern ermöglicht, in ihrem eigenen Tempo zu lernen. Das er- worbene Wissen kann anschließend im Virtual Lab von Kaspersky, einer speziell zur Überprüfung des Lernfortschritts und Verbesserung der praktischen Fähigkeiten entwickelten virtuellen Umgebung, angewen- det werden. Der Kurs richtet sich an IT-Sicherheitsexperten, die Malware analysieren, sowie an Cybersicherheits-Beratungsunternehmen, die ihre Mitarbeiter schulen möchten, und an Unternehmen, die ihre SOC-Teams weiterbilden wollen. n IT-SICHERHEIT_6/2023 11

◀ Mehr Besucher, volle Hallen, Gedränge in den Gängen. (Bild: NürnbergMesse / Thomas Geiger) SZENE | MESSE Auf den offenen Foren drehte sich alles um aktuelle Trends in der IT-Sicherheit. (Bild: NuernbergMesse / Frank Boxler) Auf der Messe waren auch physische Schutzmaßnahmen ein Thema. (Bild: NuernbergMesse / Frank Boxler) START-UP-PREIS Den diesjährigen ATHENE Start-up Award UP23@ it-sa gewann das Unternehmen Quantum Op- tics Jena. Das Start-up entwickelt Systeme zum Quantenschlüsselaustausch (Quantum Key Dis- tribution, QKD), die auf verschränkten Photonen basieren – und darf sich nun über den mit 5.000 Euro dotierten ersten Platz freuen. Platz zwei mit 2.500 Euro Preisgeld und Rang drei mit 1.250 Euro gehen an Enclaive und Mondoo. Das Unternehmen Enclaive beschäftigt sich mit Confidential Computing. Es schützt Daten auch während der Verarbeitung in jeder Cloud-Um- gebung. Durch hardwaregestützte Kryptografie werden containerisierte Anwendungen von der Ausführung auf derselben physischen Platt- form isoliert. Die Enclavation-Technologie des Unternehmens sorge so für ein Höchstmaß an Anwendungssicherheit und Datenschutz. Mondoo automatisiert die Suche nach Schwach- stellen und Richtlinienverstößen – in Cloud- Umgebungen, VMs, Kubernetes-Workloads und Containern. Alle Schichten der Anwendungsin- frastruktur werden so geschützt und Exploits effektiv verhindert. Die nächste it-sa Expo&Congress findet vom 22. bis 24. Oktober 2024 im Messezentrum Nürnberg statt. n „Women in Cybersecurity“. Fazit: Unternehmen sind gefordert, Angebote zu schaffen, die Frauen fördern, um ihr besonderes Potenzial für die Cy- bersicherheit nutzbar zu machen. DIE PSYCHE DER KRIMINELLEN Die Special-Keynote hielt Mark T. Hofmann. Der Kriminal- und Geheimdienstanalyst ging in seinem Vortrag „Hacking the Hackers“ auf die Psychologie der Täter ein und zeigte auf, wie mit Wissen über Cyberkriminelle die eigene „Human Firewall“ gestärkt werden kann. Die Key note wurde, wie die anderen englischsprachigen Beiträge im internationalen Forum, live auf it-sa 365 online übertragen. Für Nutzer der Digitalplattform it-sa 365 sind laut Messe alle Beiträge der offenen Foren kos- tenfrei abrufbar (www.itsa365.de). Mit der Platt- form verlängere man das Messeerlebnis in den digitalen Raum, so der Veranstalter. Video-Im- pressionen aus den Hallen und Live-Interviews mit Fachleuten und Ausstellern brachte der hybride Kanal „it-sa@home“ während der Mes- selaufzeit online. Es nutzten rund 3.300 Perso- nen die Features der Dialogplattform, die meis- ten davon waren ausschließlich online dabei und erweiterten somit die Reichweite der it-sa. Die in Nürnberg anwesenden Besucher nutzen die it-sa 365 zudem als digitalen Messebegleiter. Die Gewinner des ATHENE Startup Award UP23@ it-sa. (Bild: NürnbergMesse / Thomas Geiger) ▶ IT-SICHERHEIT_6/2023 13

RANSOMWARE IST WEITERHIN DIE GRÖSSTE BEDROHUNG. Ransomware-Angriffe auf Kommunalverwaltungen oder kommunale Betriebe wurden durchschnittlich pro Monat bekannt. erfolgreiche Ransomware-Angriffe auf Unternehmen wurden bekannt. 68 15 davon richteten sich gegen IT-Dienstleister. Mehr als 2.000 Schwachstellen in Software- Produkten (15 % davon kritisch) wurden im Berichtszeitraum durchschnittlich im Monat bekannt. Das ist ein Zuwachs von 24 %. 66% aller Spam-Mails im Berichts- zeitraum waren Cyberangriffe: 34% Erpressungsmails, 32% Betrugsmails (Quelle: BSI) Eine Viertelmillion neue Schadprogramm-Varianten wurden durchschnittlich an jedem Tag im Berichtszeitraum gefunden. 84% aller betrügerischen E-Mails waren Phishing-E-Mails zur Erbeutung von Authentisierungsdaten, meist bei Banken und Sparkassen. TOP 3-BEDROHUNGEN JE ZIELGRUPPE: Gesellschaft Wirtschaft Staat und Verwaltung Identitätsdiebstahl Ransomware € Sextortion Phishing Ransomware APT Abhängigkeit innerhalb der IT-Supply-Chain Schwachstellen, offene oder Schwachstellen, offene oder falsch falsch konfigurierte Online-Server konfigurierte Online-Server Rund 21.000 infizierte Systeme wurden täglich im Berichtszeitraum erkannt und vom BSI an die deutschen Provider gemeldet. 37 0 Webseiten wurden i hnitt an jedem Tag des m Durchsc Berichtszeitraums für den Zugriff aus den Regierungsnetzen gesperrt. Der Grund: Die Seiten enthielten Schadprogramme. 7 75 Durchschnittlich rund E-Mails mit Schadprog wurden an jedem Tag im Berichtszeit- raum in deutschen Regierungsnetzen abgefangen. ramm en @ . m o c . e b o d a k c o t s - s e g a m I t u a h T : d l i B 6.220 2022 5.100 2021 (Quelle: BSI) 7. 1 2 0 hmer h Teilne atte d Allianz für Cyber- Sicherheit im Jahr 2023. ie SZENE | SICHERHEITSLAGE Zudem nimmt die Verwendung von künstlicher Intelligenz in politisch motivierten Cyberangriffen zu. Werkzeuge zur Manipulation von Texten, Stimmen und Bildmaterial sind leicht verfügbar und einfach zu nutzen, was die Gefahr von Desinformation und Cybermobbing durch gefälschte Medieninhalte erhöht. AUCH BITKOM SIEHT MASSIVEN HANDLUNGSBEDARF Bitkom-Präsident Dr. Ralf Wintergerst bekräftigt die Forderungen, die sich aus dem aktuellen BSI-Lagebericht ergeben. Er warnt davor, dass Cyber- angriffe die Geschäftstätigkeit von Unternehmen lähmen, lebenswich- tige Operationen in Krankenhäusern behindern, Kraftwerke abschalten oder den Verkehr an Flughäfen und Bahnstrecken zum Erliegen bringen können. Laut Wintergerst befürchtet die Hälfte der deutschen Unternehmen, dass ein erfolgreicher Cyberangriff ihre Existenz bedrohen könnte, und fast zwei Drittel erwarten, in den nächsten zwölf Monaten Ziel solcher Angrif- fe zu werden. In den letzten zwölf Monaten verursachten Wirtschafts- kriminalität und Cyberattacken zusammen einen Schaden von insgesamt 206 Milliarden Euro, wobei etwa 150 Milliarden Euro auf Cyberangriffe entfielen. Wintergerst betont, dass sowohl die Politik als auch Unternehmen gefor- dert sind. Es ist notwendig, die Präsenz von Polizei und Strafverfolgungs- behörden im Cyberraum zu erhöhen, wofür entsprechendes Know-how, Personal und technische Ausrüstung bereitgestellt werden müssen. Zu- dem sollten die Zuständigkeiten in der Bekämpfung von Cyberkriminalität besser koordiniert werden, da diese sich nicht an föderale Strukturen hält. Unternehmen, Behörden und Ämter sollten stärker in Notfallpläne, tech- nische Sicherheit und regelmäßige Sicherheitsschulungen aller Mitarbei- ter investieren. Angesichts der existenzbedrohenden Natur von Cyberan- griffen sollte die Abwehr dieser Bedrohungen höchste Priorität haben. n Den Bericht zur Lage der IT-Sicherheit in Deutschland 2023 ist kostenfrei verfügbar: www.bsi.bund.de/DE/ Service-Navi/Publikationen/ Lagebericht/lagebericht_ node.html IT-SICHERHEIT_6/2023 15

SCHWERPUNKT: IT-SICHERHEITSTESTS | PENTESTS tionen, die oft aus Gründen der Kompatibilität mit spezialisierten Prozessen oder wegen des Archivierungszwangs von Altdaten beibehalten werden. Diese Systeme gleichen einer verlasse- nen Industrieanlage, die noch mit alter, potenzi- ell funktionsfähiger Ausrüstung bestückt ist. Diese überholten Systeme, die oft mit einfachen Login-Bildschirmen ausgestattet sind, verfügen nicht über moderne Sicherheitsmerkmale wie Multi-Faktor-Authentifizierung und Verschlüsse- lung, die heute zum Standard gehören. Während ihre Software möglicherweise seit Jahren nicht aktualisiert wurde, haben sich die Fähigkeiten der Cyberkriminellen stetig verbessert. Die alt- gedienten IT-Lösungen, die einst das Rückgrat von Unternehmensabläufen bildeten, könnten sich nun in gefährliche Sicherheitsrisiken ver- wandeln, wenn sie nicht angemessen geschützt werden. Das Risiko wird noch dadurch erhöht, dass sol- che Legacy-Systeme für aktuelle Sicherheits- maßnahmen oft nicht ausreichend sichtbar sind, da diese für neuere Technologien ausgelegt sind. Unternehmen müssen also gezielte Penetra- tionstests einsetzen, um die Sicherheit dieser älteren Systeme zu gewährleisten. Nur durch solche spezialisierten Tests lassen sich verbor- gene Schwachstellen aufdecken und angemes- sen adressieren, um die IT-Landschaft eines Unternehmens auch in Zeiten des Wandels und Wachstums sicher zu halten. DIE WERKZEUGE DER ANGREIFER Cyberkriminelle nutzen eine Vielzahl von Werk- zeugen, einschließlich Open-Source-Intelli- gence-Tools (OSINT) und eine Fülle von kosten- losen sowie kommerziellen Softwarelösungen, um systematisch nach veralteten Systemen und Sicherheitslücken zu suchen. Sie durchforsten Netzwerke nach der metaphorischen „offenen Tür“ in der IT-Sicherheitsmauer eines Unterneh- mens. Solche Werkzeuge ermöglichen es ihnen, weitverbreitete Schwachstellen schnell und ef- fizient zu identifizieren. Ein prägnantes Beispiel dafür ist, wenn man einen eigenen Server mietet und die Serverlogs hinsichtlich der Zugriffe über- wacht. Schon innerhalb weniger Minuten nach der Inbetriebnahme können Netzwerkscanner in den Logs identifiziert werden. Diese Scanner stammen aus dem globalen und weitläufigen Internet und gehören verschiedenen Akteuren, die fortwährend versuchen, die auf dem Server laufenden Dienste zu analysieren und Schwach- stellen zu finden. Sobald sie eine Schwachstel- le entdeckt haben, nutzen sie diese aus, um Zugang zu erhalten, Daten zu entwenden oder andere schädliche Aktivitäten auszuführen. DER WERT DES PENETRATIONSTESTS Penetrationstests – oft als „Pentest“ bezeich- net – sind die gezielte und methodische Vorge- hensweise, um IT-Systeme auf Herz und Nieren zu prüfen. Diese Tests ahmen die Taktiken und Methoden echter Angreifer nach, verwenden jedoch das Arsenal eines ethischen Hackers, um Schwachstellen zu identifizieren, bevor Cyber- kriminelle oder staatliche Akteure sie ausnutzen können. Bei einem Penetrationstest sammelt man zunächst Informationen über das Ziel – ein Prozess, der als „Reconnaissance“ bekannt ist. IT-Sicherheitsexperten nutzen dabei öffentlich verfügbare Daten sowie OSINT-Tools, um ein umfassendes Bild des Zielsystems zu erstellen. Die nächste Phase, das „Scanning“, involviert den Einsatz fortgeschrittener Tools wie Nessus oder nmap, um die Systeme nach bekannten Sicher- heitslücken zu durchsuchen und zu analysieren. Hierbei werden nicht nur die Schwachstellen selbst identifiziert, sondern auch Informationen über die installierten Systeme und Anwendun- gen gesammelt. In der Phase des „Gaining Access“ versuchen die Pentester, in die Systeme einzudringen, indem sie gefundene Schwachstellen ausnutzen. Das kann das Überwinden von Sicherheitsmaßnah- men, das Ausführen von Code oder das Erhalten unerlaubter Zugriffe umfassen. Dabei kommen oft spezialisierte Werkzeuge wie Metasploit zum Einsatz, die es ermöglichen, bekannte Ex- ploits gegen identifizierte Verwundbarkeiten anzuwenden. Sobald der Zugang erlangt wurde, geht es in der Phase des „Maintaining Access“ darum, diesen Zugriff aufrechtzuerhalten, um zu demons trie- ren, wie ein Angreifer dauerhaften Schaden anrichten könnte. In dieser Phase wird auch die Tiefe der Kontrolle beurteilt, die ein Angreifer er- halten könnte, einschließlich des Potenzials für Datenexfiltration und Persistenz im Netzwerk. Schließlich umfasst das „Covering Tracks“ das Verbergen der Spuren, um zu zeigen, wie ein ge- schickter Angreifer seine Anwesenheit in einem Netzwerk verschleiern könnte. Das ist von ent- scheidender Bedeutung, um Sicherheitsteams zu lehren, nach subtilen Anzeichen einer Sicher- heitsverletzung zu suchen. Penetrationstests bieten somit mehr als nur einen simplen Sicherheitscheck; sie liefern eine detaillierte Analyse von Schwachstellen und Risiken. Sie ermöglichen es den Unternehmen, proaktiv Maßnahmen zur Stärkung der Sicher- heitsarchitektur zu ergreifen und sowohl alte als auch neue Elemente der IT-Landschaft gegen die immer raffinierteren Angriffstechniken zu wappnen. Es ist eine kontinuierliche Übung im Wettlauf um IT-Sicherheit, die eine strategische Planung, eine gründliche Durchführung und eine detaillierte Nachbereitung erfordert, um die Si- cherheitslage eines wachsenden Unternehmens effektiv zu verwalten und zu verbessern. EIN AUFRUF ZUR WACHSAMKEIT In unserer vernetzten Welt, wo das rasante Unternehmenswachstum oft zu einer undurch- sichtigen IT-Landschaft führt, dürfen wir uns nicht der Illusion hingeben, dass Verwirrung auf unserer Seite gleichbedeutend mit Unklarheit aufseiten der Angreifer ist. Tatsächlich ist es so, dass gerade die Systeme oder Dienste, die einem Unternehmen aus den Augen geraten sind, von Webcrawlern und -scrapern, die unermüdlich das Internet durchforsten, schnell aufgespürt werden können. Diese Tools sind darauf ausge- legt, genau jene vernachlässigten oder vergesse- nen Elemente zu finden und auszubeuten. Des- halb ist es umso wichtiger, dass Unternehmen einen klaren Überblick behalten und sich konti- nuierlich um die Sicherheit jedes einzelnen Teils ihrer digitalen Infrastruktur kümmern. Indem sie in effektive Sicherheitsmaßnahmen investieren, schützen sie nicht nur ihre eigenen Ressourcen, sondern auch das Vertrauen ihrer Kunden und die Integrität ihrer Geschäftsprozesse. n MERT SENDUR ist Assistant Manager, Consulting – Cyber Security bei der KPMG AG Wirtschafts prüfungsgesellschaft. IT-SICHERHEIT_6/2023 17

einstuft. Doch der Überblick, welche Geräte unter welcher IP im Netz- werk angemeldet sind, fehlt in gewachsenen IT-Landschaften oftmals. Alle zu testenden IPs und URLs für einen Pentest zusammenzutragen, ist mühsam und fehleranfällig. Enginsight schafft hier Entlastung, durch eine automatisierte Asset Discovery. Die Inventarisierung aller Komponenten im Netzwerk (Server, Laptops, Switche, Drucker, IoT-Geräte und so weiter) gelingt auf Knopfdruck. Die Daten der Asset Discovery können als Grund- lage für die automatisierten Pentest benutzt werden. Eine manuelle Ein- gabe von IP-Adressen ist zusätzlich möglich. Die Asset Map in der Enginsight-Plattform Verständliche und praxisnahe Auswertung Der beste Security-Scan ist wertlos, wenn die Ergebnisse unverständlich dargestellt sind. Deshalb legt Enginsight Fokus auf eine verständliche Aus- wertung der Pentest-Ergebnisse. Dank Kategorisierung und Bewertung der Dringlichkeit aller Findings erhalten Sie einen kompakten Überblick über die wichtigsten und kritischsten Schwachstellen. Aussagekräftige Beschreibungen und konkrete Handlungsempfehlungen helfen Ihnen, die Analysedaten in konkrete Sicherheitsmaßnahmen zu überführen. Integration in die Enginsight-Plattform Penetrationstests sind wichtig, liefern jedoch nur einen möglichen Blick- winkel auf die Sicherheit der IT-Infrastruktur. Ein Pentest findet immer von außerhalb des Assets – eben aus Hackerperspektive – statt. Um ein möglichst breites Spektrum an Ergebnissen zu erhalten, sollten Sie alle Server und Clients zusätzlich von innen überwachen. In der Enginsight- Plattform übernimmt der Enginsight Pulsar-Agent diese Aufgabe. – ADVERTORIAL – Wir raten Ihnen unbedingt auch zu internen Scans, denn Hacktor erreicht und überprüft so deutlich mehr Assets. Außerdem finden viele Angriffe aus dem Inneren des Netzwerks statt, beispielsweise von einem infizier- ten PC eines Mitarbeitenden. Anschließend kann der Pentest starten. So funktioniert der Pentest Der automatisierte Pentest von Enginsight geht in vier Schritten vor: In- formation Gathering, CVE-Scan, Service Brute Force, Service Discovery. Sie müssen sich keine Gedanken darüber machen, welche Tests für das jewei- lige Zielsystem herangezogen werden müssen. – Hacktor ermittelt dies automatisch. Durch gezielte Checks auf die vorhandenen Services und die Validierung der Schwachstellen ist die Anzahl der False-Positive-Meldun- gen gering. Nicht schlecht, oder? n Neugierig auf mehr? Vereinbaren Sie einfach einen unverbindlichen Demo- Termin und erleben die Möglichkeiten eines automati- sierten Pentests live. Lassen Sie sich von Enginsight hacken, bevor Sie Opfer einer Cyberattacke werden. Die übersichtlich im Audit-Report zusammengestellten Lücken Ihrer Systeme, geben Ihnen konkrete, praxisnahe Ansatzpunkte, wie Sie die Sicherheit Ihrer IT-Infrastruktur auf ein neues Level heben können. Warten Sie nicht länger, sondern werden jetzt (pro)aktiv! Enginsight bietet die perfekte Cybersecurity-Lösung für den Mittelstand. 100 Prozent made in Germany, vereint die Software die Perspektiven von Angriff und Verteidigung in einer Plattform. Zahlreiche Automatismen und vordefinierte Rulesets entlasten IT- Administratoren bei ihren vielfältigen Aufgaben der Administration, Absicherung und Überwachung von komplexen IT-Infrastrukturen. Durch Schwachstellenscans, Pentests und laufende Überwachung inklusive SIEM gelingt ein proaktiver Security-Ansatz. Die Lösung wird zum idealen Fundament jeder IT-Security-Strategie und bleibt dabei auch für kleine und mittlere Unternehmen (KMU) bezahlbar. So können Sie auch Software, die von außen nicht erreichbar ist auf Schwachstellen überwachen. Pulsar erkennt auch Auffälligkeiten, die auf den Versuch einer Cyberattacke oder auf eine bereits erfolgte Infiltration hindeuten. Kontakt Enginsight GmbH Hans-Knöll-Straße 6 07745 Jena Tel. 03641 / 271 87 39 Mail: hello@enginsight.com https://enginsight.com Die Perspektive des Pulsar-Agent (von innen) und automatisierten Pene- trationstests (von außen) ergänzen sich ideal. Enginsight führt die Ergeb- nisse beider Security-Scans zusammen und stellt sie in einem gemeinsa- men Dashboard dar. So haben Sie stets die wichtigsten Informationen auf einen Blick. Was ist nötig für einen Pentest mit Enginsight? Um einen automatisierten Pentest mit Enginsight durchzuführen, ins- tallieren Sie als Erstes die Softwarekomponente Hacktor auf einem Gerät (z.B. VM oder Raspberry) Ihrer Wahl. IT-SICHERHEIT_6/2023 19

– ADVERTORIAL – IT-Sicherheit im Zeitalter der KI: Schutz vor neuen Risiken Künstliche Intelligenz (KI) ist derzeit allgegenwärtig. Große KI-Sprach- modelle wie ChatGPT haben maßgeblich dazu beigetragen, dass KI ihren Weg in den Alltag der Menschen gefunden hat – mit einer nach wie vor rasanten Entwicklung. Zu diesem Schluss kommt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem kürzlich veröffentlichten Bericht zur Lage der IT-Sicherheit in Deutschland. Im diesjährigen Bericht gibt es ein eindeutiges Fazit: Die Bedrohung im Cyberraum ist so hoch wie nie zuvor – nicht zuletzt durch die stetige Entwicklung von KI. Bedrohungslage durch KI-Sprachmodelle erforderlich ist. Je mehr Informationen das Modell über das Unter- nehmen verarbeiten kann und je umfassender die Zugriffsrechte des Systems sind, desto effektiver kann es die Mitarbeitenden in ihren täglichen Aufgaben unterstützen. Es ist jedoch von entscheiden- der Bedeutung, die Reichweite der gewährten Zugriffsrechte einer gründlichen Risikoprüfung zu unterziehen. Das BSI setzt sich für die Schaffung nachweisbar sicherer, vertrauenswürdiger sowie transpa- renter KI-Systeme ein. Auf diese Weise können die Chancen, die sich aus den aktuellen Entwicklungen und Trends im Bereich KI ergeben, sicher für Wirtschaft und Gesellschaft nutzbar gemacht und erfolg- reich implementiert werden. Sprachmodelle (Large Language Models, LLMs) sind heute in der Lage, weit über die Erstellung von Texten hinauszugehen, da sie in umfang- reichere Zusammenhänge integriert werden können. Künstliche In- telligenz hat inzwischen ein Niveau erreicht, bei dem das Endresultat kaum noch von dem eines Menschen zu unterscheiden ist – und das mit erheblicher Zeitersparnis. Mit den bedeutenden Möglichkeiten, die große KI-Sprachmodelle bieten, gehen gleichermaßen erhebliche Risiken einher. Einerseits können diese Modelle als Instrumente für Cyberangriffe missbraucht werden, andererseits sind sie selbst an- fällig für Angriffe oder können als Sicherheitsschwachstellen dienen. Aufgrund der Tatsache, dass LLMs nicht nur in legalen Anwendungen, sondern auch in cyberkriminellen Kontexten Verwendung finden kön- nen, sind beträchtliche Auswirkungen im Hinblick auf die Skalierung bereits bekannter Cyberbedrohungen zu erwarten. Dies führt zu einer drastischen Zunahme an neuen Bedrohungen, wie beispielsweise dem automatisierten Social Engineering oder Ransomware. KI im Unternehmen als Angriffsfläche Die Vielfalt potenzieller Anwendungen von KI im Unternehmens- kontext nimmt mit der steigenden Menge an Unternehmensdaten und den Zugriffsrechten des integrierten Softwaresystems zu. LLMs können dazu verwendet werden, im Internet nach vorhandenen Schwachstellen in Programmcode und Unternehmensnetzwerken zu suchen. Sie sind in der Lage, die notwendigen Angriffstechniken für die Ausnutzung einer identifizierten Schwachstelle zu ermitteln und zu erstellen. Dies führt dazu, dass das Wissen über spezielle An- griffswerkzeuge, das bisher unverzichtbar war, in geringerem Maße Weiterbildungen für mehr IT-Sicherheit Die Bitkom Akademie hat aus diesem Grund zahlreiche Workshops und Lehrgänge zur Erhöhung der IT-Sicherheit im Programm. Lernen Sie von führenden Expertinnen und Experten, wie Sie digitale Be- drohungen erkennen, abwehren und Ihr Unternehmen vor Hackern schützen können. Verpassen Sie nicht die Gelegenheit, Ihr IT-Know- how zu stärken und sich in einer zunehmend vernetzten Welt unver- zichtbar zu machen. Unsere Formate bieten wir Ihnen auch gern als individuelle Inhouse-Schulung für Ihr Unternehmen an. n Haben Sie Fragen zu unseren Seminaren und Inhouse-Angebot im Bereich IT-Sicherheit? Dann kontaktieren Sie Steve Schramm: s.schramm@bitkom-service.de Tel.: 030 27576-263 bitkom-akademie.de/seminare IT-SICHERHEIT_6/2023 21 fotomek - stock.adobe.com

3. Starten von fjlpexyjauf.exe in x32dbg und Eingeben der eingehenden Daten in die Befehlszeile 4. den Punkt finden, an dem die Ausführung des JS-Codes beginnt 5. Lokalisierung des Codes im Speicher und Speichern eines Dumps ANALYSIEREN DES JS-CODES Der zunächst unverständliche JavaScript-Code wurde durch das Entfernen unnötiger Bytes und die Verwendung eines JavaScript-Deobfuscators verständlich gemacht (siehe Abbildung 3). Abbildung 3: Ergebnis der Code-Umwandlung Der Code begann mit einem Array aus verschlüs- selten Zeichenfolgen. Dann wurden bestimmte Elemente durch Manipulation an das Ende des Arrays verschoben. Danach wurde eine Funktion implementiert, um die Array-Strings mit einer alternativen Form von BASE64 (T1132.002) zu entschlüsseln, gefolgt von URL encode-decode und schließlich RC4. Diese Funktion wurde mit zwei Variablen auf- gerufen: 1. ein Element aus dem Array 2. der RC4-Schlüssel Mithilfe eines speziellen Skripts entschlüsselte man die Zeilen, wobei sich herausstellte, dass Tei- le der Domänen hart kodiert waren. Anschließend entdeckten die Analysten den Teil des Codes, der für den Aufbau der Domäne verantwortlich ist. DEBUGGEN DES JAVASCRIPT-CODES Für das Debuggen verwendete das Team Node. js mit dem Parameter inspect-brk (node.exe -inspect-brk *obfuscate dump without garbage bytes*), setzte einen Haltepunkt am Schlüssel- wort „var“ und beobachtete die von jeder Zeile erzeugte Ausgabe. CYBERSICHERHEIT | MALWARE Es wurde festgestellt, dass die erste Funkti- on (ginf) Systeminformationen sammelte und ein Array mit 15 Elementen mit Systemdetails erzeugte. Die zweite Funktion (hwco) verwen- dete das 15-elementige Array der Funktion ginf als Eingabe, die eine Ausgabe erzeugte, die das Ende des Bereichs bis zum Punkt umfasste. Eine weitere Analyse ergab, dass diese Ausgabe ein Hash der gesammelten Systemdaten war. Der Port, die Nummer und das Domänenseg- ment nach dem Punkt wurden aus dem Array acc extrahiert und dann Variablen zugewiesen. Dem Domänensegment nach dem Punkt wurde eine Zufallszahl hinzugefügt. In der nächsten Zeile wurde eine alternative Domäne ausge- wählt, wenn bestimmte Bedingungen erfüllt waren. Nach mehreren weiteren Operationen war die Domain vollständig zusammengesetzt, und alle erforderlichen Elemente wurden in ein JSON-Objekt gepackt. Nach der Ausführung suchte die Malware nach einer Adresse für die Datenübertragung. Sobald der Server den Da- tenverkehr empfing, sendete er JS-Code. FAZIT Als Teil ihrer Bemühungen gelang es dem Team, eine Fülle von Informationen und Indicators of Compromise (IoC) aufzudecken sowie YARA-, Sigma- und Suricata-Regeln zu schreiben. Lu0bot ist eine ungewöhnliche Malware, die Node.js und ausführbaren JS-Code kombiniert. Sie zeichnet sich durch eine einzigartige Do- mänenstruktur aus und verwendet spezielle Verschlüsselungsmethoden für Zeichenket- ten. Obwohl die Aktivitäten dieses Schadpro- gramms derzeit begrenzt sind, birgt Lu0bot ein erhebliches Risiko, wenn Cybercriminelle die Kampagne ausweiten und der C2-Server aktiv reagiert. n THN / S.F. Eine ausführliche und detaillierte Analyse ist unter https://any.run/cybersecurity- blog/xworm-technical-analysis-of-a- new-malware-version/ kostenlos in englischer Sprache verfügbar. IT-SICHERHEIT_6/2023 23 MALWARE-ANALYSE VON LU0BOT Im nächsten Schritt untersuchten die Analysten die EXE-Datei und die lknidtnqmg.dat in der Malware-Sandbox von ANY.RUN, um das Verhal- ten zu überwachen und die Bytes entweder zu entschlüsseln oder sie entschlüsselt im Prozess- speicher vorzufinden. Die Analyse ergab, dass der Hauptprozess bei der Ausführung eine BAT-Datei startete, die eine EXE-Datei aufrief. Der Code akzeptierte ver- schlüsselte JS-Eingaben und sammelte mithilfe von WMIC-Systemdaten, einschließlich Informa- tionen über den Ausführungsort des Prozesses, die mit der MITRE-Technik T1047 übereinstimm- ten (siehe Abbildung 2). Abbildung 2: Der Prozessbaum während der Sample- Ausführung. (Bild: ANY.RUN/The Hacker News) Weiterhin stellte man fest, dass der Interpreter in den Startordner kopiert wurde. Die Verbin- dung zur Domäne wurde auch nach dem Neu- start des Systems aufrechterhalten, sodass der Bot betriebsbereit blieb. Darüber hinaus zeigte die Malware einen einzigartigen Ansatz für die Domain-Verbindung, indem sie verschiedene Teile zu einer einzigen Einheit innerhalb des JS- Codes zusammenfügte. TECHNISCHE ANALYSE MITHILFE EINES DISASSEM- BLERS UND DEBUGGERS Um auf den Haupt-JS-Code zuzugreifen, hat das Team folgende Schritte unternommen: 1. Entpacken des SFX-Archivs 2. Ausführen eines Befehls zum Sammeln der Node.js-Datei

E in Sicherheitsspezialist von Moonlock Lab erzählte der KI ChatGPT von einem Traum, in dem ein Angreifer einen Code schrieb. In dem Traum konnte er nur die drei Wörter sehen: MyHotKeyHandler, Keylogger und macOS. Der Analyst bat ChatGPT, den bösartigen Code komplett neu zu erstellen und ihm zu helfen, den Angriff zu stoppen. Nach einer kurzen Konversation gab die KI schließlich die Ant- wort: „Natürlich, hier ist ein Beispiel für einfa- chen Code in der Programmiersprache Python, der mit den Schlüsselwörtern ‚MyHotKey- Handler‘, ‚Keylogger‘ und ‚macOS‘ in Verbin- dung gebracht werden kann.“ „Manchmal ist der generierte Code nicht funk- tionsfähig – zumindest der von ChatGPT 3.5 ge- nerierte Code, den ich verwendet habe“, schrieb der Analyst. „ChatGPT kann auch verwendet werden, um einen neuen Code zu generieren, der dem Quellcode ähnlich ist und die gleiche Funktionalität aufweist. Das bedeutet, dass die KI böswilligen Akteuren helfen kann, polymor- phe Malware zu erstellen.“ KI-JAILBREAKS: TOM UND JERRY Dieses Szenario ist nur ein Beispiel von vielen, die aktiv genutzt werden können, um die In- haltsfilter von generativen KI-Modellen zu umgehen. Obwohl alle großen KI-Plattformen Werkzeuge zur Eindämmung des Missbrauchs einführen, können sorgfältig ausgearbeitete Prompts (Eingabeaufforderungen) dazu ver- wendet werden, das Modell nicht durch Code- Strings, sondern durch die Kraft der Sprache zu manipulieren. Als drastisches Beispiel für das weit verbreitete Problem des bösartigen Prompt-Engineerings haben Cybersicherheitsforscher sogar einen „universellen LLM-Jailbreak“ entwickelt, der die Einschränkungen von ChatGPT, Google Bard, Microsoft Bing und Anthropic Claude vollständig umgehen kann (siehe https://adversa.ai/blog/ universal-llm-jailbreak-chatgpt-gpt-4-bard- bing-anthropic-and-beyond/). Dieser Jailbreak fordert große KI-Systeme auf, ein Spiel im Stil von Tom und Jerry zu spielen, während er Chat- bots dazu manipuliert, Anweisungen zur Her- stellung von Methamphetamin und zur Verkabe- lung eines Autos zu geben. . m o c . e b o d a k c o t s - n i s t n a i l a v : d l i B Die Zugänglichkeit großer Sprachmodelle und ihre Fähigkeit, Verhalten zu verändern, haben die Schwelle für geschickte, wenn auch unkon- ventionelle Hackerangriffe erheblich gesenkt. Tatsächlich beherrschen die meisten gängigen KIs eine Menge Rollen. Selbst gewöhnliche In- ternetnutzer, ganz zu schweigen von Hackern, präsentieren online ständig neue Charaktere mit ausführlichen Hintergrundgeschichten, was dazu führt, dass generative KI-Modelle gesell- schaftliche Beschränkungen durchbrechen. Von Niccolò Machiavelli bis zu ihrer verstorbenen Großmutter – die KI-Modelle können in ihrer Rolle die ursprünglichen Anweisungen der Pro- grammierer ignorieren. Das Grundproblem ist, dass Entwickler nicht alle möglichen Eingabe- aufforderungen vorhersehen können, die die Menschen verwenden. So entstehen in den KI- Tools Schlupflöcher, und es werden gefährliche Informationen preisgegeben, wie etwa Rezepte zur Herstellung von Napalm, Texte für erfolgrei- che Phishing-E-Mails oder kostenlose Lizenz- schlüssel für Windows 11. INDIREKTE PROMPT- INJECTION Ein zunehmendes Problem sind Prompt-In- jections, bei denen der Benutzer die KI dazu anweist, unerwartete Aktionen auszuführen. Einige nutzen das, um Informationen wie den internen Codenamen von Bing Chat („Sydney“) zu enthüllen, während andere bösartige Anfra- gen einbringen, um unautorisierten Zugang zum Host des KI-Modells zu erlangen. Bösartige Anfragen können auch auf Websites auftauchen, die von Sprachmodellen durch- sucht werden können. Es gab Fälle, in denen eine generative KI den auf Websites platzierten Anfragen in weißer Schrift oder ohne sichtbare Schriftgröße folgte, wodurch sie für Benutzer unsichtbar blieben. Wenn eine infizierte Website in einem Browser geöffnet ist, liest ein Chatbot die versteckte Anfrage und führt sie aus, um persönliche Informationen zu extrahieren, wo- durch die Grenze zwischen Datenverarbeitung und Benutzeranweisungen verschwimmt. Prompt-Injektionen sind gefährlich, weil sie passiv sind: Angreifer müssen nicht die Kontrol- le über die KI übernehmen, um das Verhalten des Modells zu ändern. Es handelt sich einfach um einen regulären Text auf einer Seite, der die CYBERSICHERHEIT | KI KI ohne ihr Wissen umprogrammiert. Und KI- Inhaltsfilter sind nur hilfreich, wenn ein Chatbot weiß, was er gerade tut. Da immer mehr Apps und Unternehmen Large Language Models (LLMs) in ihre Systeme inte- grieren, steigt das Risiko, Opfer von indirekten Prompt-Injections zu werden, exponentiell an. Obwohl große KI-Entwickler und -Wissen- schaftler das Problem untersuchen und neue Beschränkungen einführen, sind bösartige Ein- gabeaufforderungen nach wie vor sehr schwer zu erkennen. GIBT ES EINE LÖSUNG? Wegen der Art großer Sprachmodelle sind Prompt-Engineering und Prompt-Injektionen ein eingebautes Problem in der Welt der gene- rativen KI. Die großen Entwickler bemühen sich zwar um regelmäßige Aktualisierungen ihrer Technologien, beteiligen sich jedoch norma- lerweise nicht aktiv an öffentlichen Diskussi- onen über spezifische Sicherheitslücken oder Schwachstellen. Da davon auszugehen ist, dass Cyberkriminelle die Sicherheitslücken von großen Sprachmodellen ausnutzen, arbeiten Cybersecurity-Experten daran, Werkzeuge zu entwickeln, um diese Angriffe zu untersuchen und zu verhindern. In dem Maße, wie sich die generative KI weiter- entwickelt, wird sie Zugang zu noch mehr Daten haben und sich in ein breiteres Spektrum von Anwendungen integrieren lassen. Um das Risiko der indirekten Prompt-Injection zu vermeiden, müssen Unternehmen, die LLMs einsetzen, Ver- trauensgrenzen festlegen und eine Reihe von Sicherheitsmaßnahmen implementieren. Diese sollten einem LLM nur den notwendigen Min- destzugriff auf die Daten gewähren und seine Fähigkeit, erforderliche Änderungen vorzuneh- men, einschränken. n THN / S.F. IT-SICHERHEIT_6/2023 25

konkreten Hinweisen und Handlungsempfeh- lungen herausgibt. Dieser Leitfaden wird konti- nuierlich aktualisiert und erweitert – und steht zum kostenlosen Download zur Verfügung. Der Kompetenzverbund TeleTrusT wird in Zukunft deutlich mehr Unterstützung für Unterneh- men anbieten, die zur kritischen Infrastruktur (KRITIS) gehören, damit gerade in diesem Be- reich die Gesellschaft auf Basis des „Standes der Technik“ angemessen geschützt wird. KÜNSTLICHE INTELLIGENZ UND IT-SICHERHEIT Das zweite Thema, das in der Cybersicherheit eine immer wichtigere Rolle spielen wird, ist die künstliche Intelligenz (KI). Die KI hat in den letz- ten Jahren sehr viele Innovationsschritte durch- laufen – mit deutlich verbesserten Algorithmen und Modellen, aber auch mit einer enormen Leistungssteigerung durch entsprechende Hard- ware. Hinzu kommt, dass durch die Digitalisie- rung immer mehr relevante Daten anfallen. Dies ist für die Entwicklung von Vorteil, da die KI sie als Input braucht, um aus ihnen Wissen abzu- leiten. Dazu ist es wichtig, dass die Daten auch relevante Informationen enthalten, aus denen Wissen extrahiert werden kann. Daraus erklärt sich insgesamt die Bedeutung von KI als zuneh- mend bedeutender Baustein für viele Bereiche – auch für die IT-Sicherheit. ANGREIFER NUTZEN KI SEHR ERFOLGREICH Doch wo Licht ist, ist auch Schatten, denn Cyber- Kriminelle nutzen KI schon intensiv, um einfa- cher und erfolgreicher angreifen zu können. Die Anwendungsbereiche für KI sind dabei vielfältig, beispielsweise wird sie benutzt, um Schwachstellen zu entdecken und IT-Sicher- heitsmaßnahmen zu überwinden. Besonders ChatGPT bietet Kriminellen nochmals neue An- griffsunterstützung – nachfolgend nur einige Beispiele: ƒ Social Engineering: ChatGPT schreibt und antwortet wie ein Mensch, wodurch Angreifer deutlich effizienter Phishing- und Fake-News- Attacken durchführen können, auch in Spra- chen, die sie eigentlich nicht beherrschen. ƒ Programmierunterstützung: ChatGPT hilft An- greifern dabei, zum Beispiel sogenannte poly- morphe Malware zu produzieren, wodurch CYBERSICHERHEIT | HEUTE UND MORGEN die Erkennungsraten von Anti-Malwarelösun- gen stark reduziert und somit Malware-An- griffe erfolgreicher werden. geringer wird, damit Schäden verhindert oder zumindest gemindert werden. KI FÜR IT-SICHERHEIT Auf der anderen Seite schafft der Einsatz von KI in der IT-Sicherheit einen deutlichen Mehrwert für den Schutz von Unternehmen und Organisa- tionen. Ein erstes wichtiges Themenfeld ist die Erhöhung der Erkennungsrate von Angriffen. Dabei geht es konkret um die Erkennung von Angriffen über das Netzwerk und in den Endge- räten, Servern, Internet-of-Things-(IoT)-Geräten und Cloudanwendungen. Hierfür benötigt man adaptive KI-Modelle, um auch neue Angriffsvek- toren und Bedrohungen frühzeitig detektieren zu können. Wichtig ist hier aber, dass die notwendigen sicherheitsrelevanten Daten aus den Netzwer- ken und IT-Systemen allgemein zur Verfügung gestellt werden, damit die KI daraus nützliche Ergebnisse zur Verbesserung des Schutzniveaus erzielen kann. Andere Bereiche aus der Erken- nung sind zum Beispiel das Erkennen von Mal- ware, Spam, Fake News und Deepfakes. Ein weiterer relevanter Vorteil der KI im Rahmen der IT-Sicherheit ist, dass sie IT-Sicherheitsex- perten unterstützen und damit entlasten kann – denn derzeit sind über 100.000 Stellen im Be- reich IT-Sicherheit unbesetzt. So kann die KI zum Beispiel dabei helfen, wichti- ge sicherheitsrelevante Ereignisse zu analysie- ren und mit einer Priorisierung zu versehen, um dem IT-Sicherheitsexperten zeitaufwendige Analysearbeit abzunehmen. Dabei untersucht ein KI-System die zu hunderten oder tausenden eingehenden sicherheitsrelevanten Ereignisse von den IT-Systemen und zeigt dann auf, nach welchen Prioritäten diese vom IT-Sicherheits- experten abgearbeitet werden müssen, um den höchsten Schutz in der aktuellen Situation für das Unternehmen zu erzielen. Ein anderes Beispiel lässt sich im Bereich der (Teil-)Autonomie bei Reaktionen finden: Wenn ein Angriff oder eine besondere Bedrohung erkannt wird, können mithilfe der KI sofort Firewall- und E-Mail-Regeln automatisch so reduziert werden, dass die wichtigen Prozesse für ein Unternehmen aufrechterhalten bleiben, aber die Angriffsfläche für die Angreifer deutlich Es gibt noch viele weitere Bereiche der IT- Sicherheit, in denen KI – auch mit ChatGPT oder ChatGPT-ähnlichen Lösungen – IT-Sicherheits- experten unterstützen kann, wie zum Beispiel sichere Softwareentwicklung, IT-Forensik und Threat Intelligence. FAZIT Die Umsetzung des Standes der Technik und die künstliche Intelligenz sind beides Themen, die IT-Sicherheitsverantwortliche, Wissenschaftler und Entwickler noch lange beschäftigen werden. Besonders die KI ist eine Medaille mit zwei Sei- ten: Als Werkzeug hilft sie sowohl CISOs als auch den Kriminellen. Wie das genau ausgeht, lässt sich heute noch nicht sagen – auf jeden Fall wird 2024 aber spannend. n Die „HANDREICHUNG ZUM STAND DER TECHNIK“ gibt konkrete Hinweise und Handlungsempfehlungen. Das Paper ist kostenfrei als PDF verfügbar: www.teletrust.de/ publikationen/broschueren/ stand-der-technik/ NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet-Sicher- heit – if(is) an der Westfälischen Hoch schule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundesver- bands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverbandes – eco. IT-SICHERHEIT_6/2023 27

CYBERSICHERHEIT | IDENTITÄTSDIEBSTAHL Abbildung 1: Gestiegene Malwarepreise fordern Arbeitsteilung und Spezialisierung bei der Distribution und Verwertung der gestohle- nen Credentials (Bild: Outpost24) Abbildung 2: Eine Rekrutierungsanzeige in einem Forum, welche die verwende- ten Stealer sowie die Gewinnverteilung hervorhebt (Bild: Outpost24) Abbildung 3: Anzeige zum Verkauf der Logs via Abomodell (Bild: Outpost24) ziert, wird dieses nach wertvollen Daten wie Anmeldeinformationen, Browserverläufen, Ses- sion-Cookies, vertraulichen Dateien, Systemda- ten, E-Wallet-Informationen, Cryptowallets und Wi-Fi-Passwörtern durchsucht und diese zurück zum Server der Traffers gesendet. Die Cyberkri- minellen bieten die gestohlenen Informationen anschließend in speziellen Telegram-Kanälen zum Kauf an. Die Preise variieren stark und rei- chen von wöchentlichen Abonnementgebühren von 35 US-Dollar über monatliche Gebühren von Abbildung 4: Arbeitsablauf einer Traffersgruppe (Bild: Outpost24) 80 US-Dollar bis hin zu einem lebenslangen Zu- gang ab 666 US-Dollar. DAS VIER-PHASEN-PRINZIP Um Malware möglichst schnell und weit zu verbreiten, gehen Kriminelle nach einem Vier- Phasen-Prinzip vor. Die erste Phase umfasst die Quellen und Techniken, also Schadsoftware, Phishing, Man-in-the-Middle, Brute-Force, DNS-Hijacking sowie das Ausnutzen von Sicher- heitslücken und andere technische und nicht- technische Methoden. Die zweite Phase ist die Filterung und Extraktion. Der dritte Abschnitt steht dann für die Validierung. Das machen die Traffers in der Regel nicht selbst, sondern beauftragen andere Gruppen, die sich darauf spezialisiert haben. So entstehen ganze Wert- schöpfungsketten rund um die gestohlenen Daten. In der vierten und letzten Phase nutzen die Cyberkriminellen die gestohlenen Zugangs- daten schließlich für Erpressungen, Ransom- ware-Angriffe, Identitätsdiebstahl oder einfach nur für den Zugang zu Werbe- und YouTube- Accounts, die der weiteren Verbreitung der Mal- ware dienen. FAZIT Um sich vor dem Diebstahl von Anmeldeinfor- mationen und besonders vor Traffers und deren Malware zu schützen, können Sicherheitsverant- wortliche Cyber-Threat-Intelligence-Lösungen einsetzen, die das Dark Web nach gestohlenen Daten durchsuchen und rechtzeitig Gegenmaß- nahmen sowie Präventivmaßnahmen einleiten, um weitere Vorfälle zu verhindern. Darüber hinaus liefern Informationen aus dem Dark Web Indikatoren dafür, ob die Organisation möglicherweise im Visier von Cyberkriminellen steht. Denn Cyber-Threat-Intelligence sammelt, verarbeitet und analysiert auch die Motive und Taktiken sowie Techniken und Verfahren poten- zieller Angreifer. So können Sicherheitsverant- wortliche frühzeitig fundierte Entscheidungen zur Bekämpfung von unternehmens- oder bran- chenspezifischen Bedrohungen treffen. n STEPHAN HALBMEIER ist Product Specialist bei Outpost24. IT-SICHERHEIT_6/2023 29

– ADVERTORIAL – Probleme folgen werden. Jedoch können aktive Scannings Malware, Ransomware und Fehler finden, die beim passiven Scanning untergehen, da die Endpunkte gezielt abgefragt werden – daher sollte kein OT-Betreiber vor ihnen zurückschrecken. Für die Anbieter von OT-Sicherheits produkten gilt dieses Umdenken ebenso. Moderne OT-Sicherheitslösungen müssen aktives und passives Scanning vereint anbieten. Nur auf diese Weise erhalten die OT-Fachleute echte Transparenz für ihre ICS-Umgebungen. Außerdem können die Spezialisten dann mit nur einer Lösung in der Hand frei wählen, welche Methode sie wann einsetzen – oder sogar nur einzelne Maschinen gezielt mit aktiven Scans untersuchen. Zudem ist es Aufgabe der Hersteller, die Lösungen so zu bauen, dass das Risiko einer Unterbrechung der Prozesse mit hoher Wahrscheinlichkeit ausgeschlossen ist. Passive Scannings dürfen nicht zu Endpunkt- Fehlkonfigurationen oder zu einer falschen Zuordnung von Firmware- versionen und Kommunikationsprotokollen führen. Zu diesem Zweck kann die Anzahl der gleichzeitig durchgeführten Abfragen begrenzt werden, um eine Überlastung von OT-Netzwerken mit geringer Bandbreite zu vermeiden. Fazit Wieder einmal zeigt sich, dass IT und OT zwar an vielen Stellen überlappen mögen, aber OT eine Sache für sich ist. Hier gelten andere Regeln als in der IT, und man sollte nicht der Täuschung erliegen, dass sich mit den gleichen Methoden und Sicherheitsprodukten beide Umgebungen schützen ließen. OT braucht eigene Sicherheitslösungen und eigene Konzepte. Passives und aktives Scanning sind hervorragende Beispiele, um diese Diskrepanz bildlich darzustellen, aber sie führen auch vor Augen, dass es keine Universal-Methode gibt, die alle Sicherheitsherausforderungen auf einen Schlag meistert. Passive Scans stören die Maschinen und ihre Prozesse kaum, finden aber weniger Fehler und Malware. Aktive Scans bergen die Gefahr eines Ausfalls der Produktionsumgebung, finden aber sehr gut die Fehler und Schadprogramme auf den einzelnen Endpunkten. Daher sollte gelten: Passive Scannings immer laufen lassen; aktive Scannings nur gut vorbereitet zu geeigneten Zeitpunkten – und die Sicherheitsprodukte, die für OT-Umgebungen gedacht sind, sollten heutzutage beide Methoden beherrschen. n Mehr zur Wichtigkeit der Endgerätesicherheit im OT lesen Sie hier: IT-SICHERHEIT_6/2023 31 versionen, installierte Software, deren Versionen und Patch-Level des Betriebssystems zu erhalten. Da das Netzwerk außerdem nicht rund um die Uhr überwacht wird, werden mit sehr hoher Wahrscheinlichkeit keine bloß temporären Endgeräte im Listen-Only-Modus erkannt. Durch das direkte Senden von Paketen an Endpunkte, kann das aktive Scannen die Datenerfassung beschleunigen. Jedoch erhöht dieses Vorgehen das Risiko von Fehlfunktionen an den Endpunkten, weil inkompatible Abfragen verlangt werden oder weil man kleine Netzwerke mit zu viel Datenverkehr füllt – hier kommt die Besonderheit der OT zum Tragen. Deren Systeme, vor allem die Steuerungsprogramme, sind oft nicht in der Lage, ihre Aufgaben zu erledigen, während sie Datenverkehr empfangen und zurückschicken. Dies kann dazu führen, dass die Steuerungen verwirrt werden und ihren Dienst quittieren. Die Folgen reichen dann vom Stillstand der Maschine über Schäden daran bis hin zur Verletzung eines Arbeiters in der Nähe der Maschine. Daher bieten sich für OT- Umgebungen auch passive Scans an. Passives Scanning untersucht das Netzwerk und seinen Datenverkehr fortlaufend und stillschweigend. Dabei werden die Endpunkte und Verhaltensmuster erkannt, um einen Normalzustand definieren zu können. Ein zusätzliches Datenaufkommen entsteht nicht, wodurch die Nachteile des aktiven Scannings entfallen. Eine Unterbrechung kritischer Prozesse ist sehr unwahrscheinlich. Diese Methode benötigt jedoch mehr Zeit, um die oben genannten Profilinformationen der Endpunkte zu erfassen, da hier gewartet werden muss, bis der jeweilige Endpunkt überhaupt eine Abfrage sendet und damit Datenverkehr erzeugt. Es kann außerdem vorkommen, dass nicht alle Bereiche eines Netzwerks zugänglich sind, beispielsweise im Rahmen eines OT-Zero-Trust-Konzepts. Das richtige Scanning zum richtigen Zeitpunkt Beide Scanning-Methoden haben ihre Vor- und Nachteile, daher sollten sie nicht als Gegensätze, sondern als einander ergänzend betrachtet werden. Es bringt sehr viel, wenn der OT-Verantwortliche hin und wieder aktive Scans durchführt, wobei der Zeitpunkt entscheidend ist. Wartungsfenster bieten sich an, oder geplante Stillstände der Maschinen. Dann kann alles vorbereitet werden, um gefahrlos aktive Scannings zu starten, denn die Gefahr eines Schadens sollte ernst genommen werden. Selbst wenn nur eine hohe Latenz während des Scannings auftritt, kann niemand garantieren, dass keine weiteren

SECURITY MANAGEMENT | INCIDENT MANAGEMENT Sicherheitsmaßnahmen zutage zu fördern, die nun ebenfalls wieder implementiert werden können. Zur technischen Prävention gehört daher viel- mehr ein regelmäßiges Überprüfen und Ver- bessern der Systeme. Nur die aktuellen Updates zu installieren, ist dabei eine passive Rolle – da meist automatisiert. Ratsam ist es jedoch, aktiv die häufigen Einfallstore (z. B. Outlook, Microsoft Active Directoy etc.) gegen Alternativen auszu- tauschen oder Konfigurationen speziell zu über- wachen. Auch eine Auswertung bereits erfolgter Ransomware-Angriffe auf andere Unterneh- men bietet einen Einblick in die ausgenutzten Schwachstellen und Ansatzpunkte, um die eige- ne IT-Infrastruktur zu verbessen. Ausdrücklich gehören aber auch extern gesicher- te Backups zum Gesamtpaket. Wichtig ist hier- bei, dass eine direkte Verbindung zu den Sys- temen (eigentlich) nicht bestehen sollte, denn der „klassische“ Ransomware-Angreifer wird zielgerichtet die Datensicherungen infiltrieren und sperren, bevor er sich zu erkennen gibt. Bei tatsächlich externen und vor allem losgelösten Backups ist dies deutlich schwerer der Fall. Nicht zu vernachlässigen ist aber auch die eben- so klassische Firewall, welche turnusmäßig überprüft und erneuert gehört. Angreifer haben es meist auf schwache Systeme abgesehen, die leicht zu knacken sind. Je länger sie für den Ver- such des Eindringens auf die Systeme benötigen, desto eher lassen sie davon ab – hier spiegelt sich das klassische Muster zum (Wohnungs-) Einbruch wider. Weiterbildung als Maßnahme gegen die Schwachstelle Mensch Dem Risikofaktor Mensch kommt eine ent- scheidende Rolle bei der Vorbeugung gegen Cyberkriminalität zu. Ein Großteil aller erfolg- reichen Angriffe ist darauf zurückzuführen, dass Cyberkriminelle (ungeschulte) Mitarbeiter beziehungsweise menschliches Versagen als Schwachstelle nutzen. Dagegen kann auch die beste Technik nichts ausrichten. Ein entschei- dender Fokus sollte daher auf der Weiterbildung der Mitarbeiter im Hinblick auf Informations- sicherheit und Sensibilisierung für potenzielle Cybergefahren liegen. Umfassende kontinuierliche Schulungen und Trainings als Präventivmaßnahmen sind folg- lich klar zu empfehlen. Wichtig ist es zudem, IT-Security-Verhaltensregeln so zu gestalten, dass sie den realen Anforderungen von Unter- nehmen und Mitarbeitern genügen – nur dann werden sie auch akzeptiert und gelebt. Die Be- schränkung des administrativen Zugangs zu den Systemen auf möglichst wenige Personen ist als Grundvoraussetzung (hoffentlich) nur noch beiläufig erwähnenswert. WENN ES DOCH PASSIERT, WAS IST ZU TUN? Sollte man doch Opfer eines Ransomware-An- griffs geworden sein, gilt es zunächst einmal die Ruhe zu bewahren. Nach eindeutiger Fest- stellung, dass tatsächlich ein Angriff vorliegt und kein technischer Defekt, ist schnelles und zugleich überlegtes Handeln gefragt. Das be- deutet, umgehend die Entscheidungsträger zu informieren sowie einzubinden und die betrof- fenen Internetverbindungen beziehungsweise verbundene interne Netzwerke zu trennen. Der Umfang der Schadensbegrenzung hängt maß- geblich von den ersten eingeleiteten Schritten ab. Daher stellen (bekannte und erprobte) Not- fallpläne eine weitere wichtige Grundlage einer erfolgreichen Abwehr von Angriffen respektive der effektiven Eindämmung des Angriffs und seiner Folgen dar. Im Übrigen kommen auch die Versicherungen den Schadensersatzzahlungen nur nach, wenn sachgemäß auf einen Cyberan- griff reagiert wurde. Einzeln sollten Unterneh- men die folgenden Schritte beachten: 1. Kommunikation und Task-Force Von entscheidender Bedeutung in der Kommuni- kation ist vor allem der Außenauftritt des betrof- fenen Unternehmens. Dabei ist es wichtig, eine sogenannte „One-Voice-Communication“ ein- zuhalten, also eine einheitliche Kommunikation sowohl nach außen und als auch nach innen. Widersprüche in der Kommunikation mit Be- schäftigten, Kunden, Behörden oder IT-Dienst- leistern sollte man tunlichst vermeiden. Auch zeitlich dürfen sich keine Diskrepanzen ergeben. Intern sollten zudem die Beschäftigten infor- miert und zugleich an ihre Geheimhaltungs- pflicht erinnert werden – denn auf Informa- tionslücken kann man als Betroffener eines Cyberangriffes gut verzichten. Auch sollte auf keinen Fall überstürzt gehandelt werden. Statt- dessen gilt es, die Ruhe zu bewahren und stets den Fokus auf positive, also lösungsorientierte Kommunikation zu legen. Hierfür kann es auch sinnvoll sein, einen spezialisierten PR-Dienstleis- ter zu beauftragen – mit der Eindämmung des Angriffes und dessen Auswirkungen hat das Un- ternehmen in der Regel nämlich genug zu tun. Was die Datenlage anbelangt, so ist es im ersten Schritt wichtig, sich einen Überblick zu verschaffen, welche Daten genau betroffen sind und wo die Schwachstellen im eigenen System liegen. Möglicherweise ist eine Wie- derherstellung der Daten realisierbar. Mit wem der Sicherheitsvorfall angegangen werden soll, liegt im Ermessen des jeweiligen Unterneh- mens und muss individuell entschieden wer- den. Für den bisherigen IT-Dienstleister spricht dabei in der Regel, dass er die IT-Infrastruktur kennt. Allerdings trifft diesen nicht selten eine Mitschuld, sodass das potenzielle Risiko einer Fehlervertuschung besteht. Außerdem ist zu klären, wer die Kosten der Wiederherstellung trägt. Mit einem neuen IT-Dienstleister kann das Unternehmen gezielt einen Recovery-Spe- zialisten auswählen, der sich mit solchen Situ- ationen auskennt und der zugleich in der Lage ist, ein neues System zu implementieren. Eine saubere Trennung von alter und neuer IT-Um- gebung wird dadurch möglich. Höhere Kosten sowie eine längere Dauer (besonders bei der Einarbeitung) können sich hingegen nachteilig auswirken. 2. Meldepflichten und Ermittlungsbehörden Die betroffenen Unternehmen treffen sehr kur- ze Meldefristen in Bezug auf die Datenschutz- grundverordnung (DSGVO). Bei der Verletzung von personenbezogenen Daten muss eine Mel- dung binnen 72 Stunden an die dafür zuständige Datenbehörde übermittelt werden. Nach Art. 33 Abs. 3 DSGVO muss diese eine Beschreibung der Datenschutzverletzung, die Kontaktdaten des Datenschutzbeauftragten, die Beschreibung der Datenschutzverletzung, die Beschreibung der wahrscheinlichen Folgen sowie eine Beschrei- bung der ergriffenen und vorgeschlagenen Maßnahmen beinhalten. Nach Art. 33 ist man nach Abs. 1 von der Meldepflicht befreit, wenn die Verletzung des Schutzes personenbezoge- ner Daten voraussichtlich nicht zu einem Risiko beziehungsweise nicht zu einem mehr als nur geringfügigen Risiko für die Rechte und Frei- heiten natürlicher Personen führt. Ist man als Unternehmen jedoch Opfer eines Angriffs – wel- cher nicht abgewehrt werden konnte – dürfte in nahezu jedem Fall eine Meldepflicht nach Art. 33 DSGVO gegenüber der jeweiligen Datenschutz- aufsichtsbehörde bestehen. IT-SICHERHEIT_6/2023 33

SECURITY MANAGEMENT | INCIDENT MANAGEMENT reitschaft dieses „Geschäftsmodell“ erst ermöglichen. Zwar nimmt die Zahlungsbereitschaft der Unternehmen statistisch gesehen ab (2019: 76 %, 2022: 41 %, siehe Abbil- dung 3), doch auf der anderen Seite er- höhen sich die Lösegeldforderungen im Vergleich zum Vorjahr um 35 Prozent [8]. Abbildung 3: Anteil an Unternehmen, die nach einem Ransomware-Angriff Lösegeld gezahlt haben (Quelle: Coveware in: Chainalysis (2023), The 2023 Crypto Crime Report) Die Zahlung des Lösegeldes erfolgt üb- licherweise in Bitcoin oder anderen vir- tuellen Währungen. Der Vorteil für die Erpresser liegt darin, dass es neben dem noch wenig regulierten Handel, deutlich erschwert wird, den Besitzer ausfindig zu machen und zurückzuverfolgen [9]. Das macht es insbesondere für kriminel- le Organisationen attraktiv, auf dieses Mittel der Bezahlung zurückzugreifen. Allerdings ist zu bedenken, dass eine Lösegeldzahlung auch mit Risiken für die Unternehmen verbunden ist. Diese müssen damit rechnen oder zumin- dest vorab rechtlich geprüft haben, dass beziehungsweise ob sie sich strafbar machen können, wenn sie der Zahlungs- forderung der Hacker nachkommen. Denn rein rechtlich ist es naheliegend, dass mit einer Lösegeldzahlung in der Regel der Verdacht der Förderung einer kriminellen Vereinigung nach § 129 I 2 Strafgesetzbuch (StGB) besteht. Zwar kommen auch diverse Rechtfertigungs- und Entschuldigungsgründe in Betracht. Diese müssen aber bei einer Abwägung der Interessen im Einzelfall ergeben, dass die durch die Zahlung des Lösegel- des einhergehende Förderung einer kri- minellen Vereinigung gerechtfertigt ist. Das Bundesamt für Sicherheit in der In- formationstechnik (BSI) rät daher aus- drücklich davon ab, auf die Lösegeld- forderungen der Täter einzugehen [10]. Dies liegt unter anderem daran, dass die Cyberkriminalität dadurch in ihren „Geschäftsmodell“ gestärkt beziehungs- weise bestärkt wird. Außerdem garan- tiert die Zahlung des Lösegeldes nicht, dass die betroffenen Daten oder Syste- me wiedererlangt werden können [11]. Neben den Aufsichtsbehörden empfiehlt es sich bei Cyberattacken auch die Ermittlungsbehörden einzuschalten. Zwar sind die betroffenen Unter- nehmen nicht (zwangsläufig) zur Strafanzeige verpflichtet, doch das Einschalten der Ermitt- lungsbehörden kann sich positiv auswirken. Ne- ben eigenständigen forensischen Untersuchun- gen ist es so möglich, Informationen über den oder die Täter zu sammeln und dadurch poten- ziell eine Ergreifung herbeiführen. Realistischer ist dabei jedoch die Unterstützung bei der Wie- dererlangung der Daten nach deren Veröffent- lichung im Darknet. Gerade in Anbetracht des Umstandes, dass man davon ausgehen muss, dass 91,5 Prozent aller Angriffe überhaupt nicht gemeldet werden [2], ist es zwingend, sowohl im eigenen als auch im Allgemeininteresse eine bessere Datenlage durch die Anzeigenerstattung zu ermöglichen. Das hat bislang zur Folge, dass ein Großteil der Hackerangriffe gar nicht in die offiziellen Statistiken aufgenommen wird, was letztlich dazu führt, dass Gelder zur Bekämpfung der Cyberkriminalität nicht vollumfänglich frei- gegeben werden können. FAZIT Man muss sich im Klaren sein, dass es eine hun- dertprozentige Sicherheit gegen Cybercrime nicht gibt – es sein denn, man verzichtet auf digitale Geräte. Daher gilt es, die Hürden für den Angreifer so hoch wie möglich zu setzen. Die Statistiken und Auswertungen selbiger haben gezeigt, dass es auf die ersten Minuten des Angriffes ankommt – wie beim „klassischen“ (Wohnungs-)Einbruch auch. Ist das System derart ausgelegt, dass es die ersten, meist sehr massiven Versuche des Eindringens verhindert, suchen sich die Angreifer oft ein neues Ziel. Ist man dann doch Opfer eines Angriffs ge- worden, zahlt es sich vor allem aus, wenn die Vorbereitung auf diesen – bei Licht betrachtet – (un)ausweichlichen Fall gut durchdacht und mit einer gewissen Regelmäßigkeit auch erprobt wurde. So sollte die IT auch mit vergleichsweise kühlem Kopf in der Lage sein, die Ausbreitung so schnell wie möglich zu verhindern und die Mitarbeiter mit ins Boot zu holen – und damit insgesamt den Angriff und seine Auswirkungen einzudämmen. Der Fokus auf die IT-Sicherheit und den jeweiligen Stand der Technik ist je- doch ebenso hoch zu bewerten wie der Faktor Mensch, der durch gezielte Aus- und Weiter- bildung eine wichtige Rolle bei der Abwehr von Angriffen spielen kann. n Literatur [1] BKA, Cybercrime Bundeslagebild 2022 [2] Dreißigacker, A., von Skarczinski, B. & Wollinger, G. R. (2021), Cyberangriffe gegen Unternehmen in Deutschland, Ergebnisse einer Folgebefragung 2020, KFN-Forschungsberichte No. 162. Hannover: KFN., online abrufbar unter: https://kfn.de/ publikationen/kfn-forschungsberichte/ [3] Bundesamt für Sicherheit in der Informationstechnik (BSI), „Ransomware – Fakten und Abwehrstrategien“, www.bsi. bund.de/DE/Themen/Unternehmen-und-Organisationen/ Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware- Angriffe/ransomware-angriffe_node.html [4] Corvus, Q3 Ransomware Report, Oktober 2023, S. 1–2 [5] Vgl. BKA, Cybercrime Bundeslagebericht 2022, S. 18. [6] Vgl. BKA, Cybercrime Bundeslagebericht 2022, S. 18. [7] Coveware, Quartalsberichte 2022, www.coveware.com/blog [8] Zum Absatz: Vgl. Coveware, Quartalsberichte 2022, www.coceware.com/blog [9] Vgl. „Die Lage der IT-Sicherheit in Deutschland 2022“ Lagebericht vom Bundesamt für Sicherheit in der Informationstechnik (BSI), S. 106. [10] Vgl. BSI, Die Lage der IT-Sicherheit in Deutschland 2019, S.16. [11] Pinsent Masons, Cyberangriffe: Wer Lösegeld zahlt, kann sich strafbar machen, www.pinsentmasons.com/de-de/out-law/ nachrichten/cyber-angriffe-wer-loesegeld-zahlt-kann-sich- strafbar-machen LASSE KONRAD ist Partner bei der HÄRTING Rechtsanwälte PartGmbB. IT-SICHERHEIT_6/2023 35

tung von Waren sowie Forschungseinrichtungen, außerdem Suchmaschi- nen und Social-Media-Dienste, sobald die Mitarbeitendenzahl bei 50 oder darüber liegt oder Jahresumsatz und -bilanzsumme jeweils 10 Millionen Euro übersteigen. Finden sich Unternehmen in dieser Kategorisierung wieder, beträfe sie auch die in § 33 (1) geforderte Registrierung beim Bundesamt für Sicher- heit in der Informationstechnik (BSI). Besondere Regeln zur Kategori- sierung als besonders wichtige oder wichtige Einrichtung gelten für „Finanzunternehmen im Sinne des Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 [‚über die digitale operationale Resilienz im Finanzsektor‘] und Unternehmen, für welche die Anforderungen der Verordnung (EU) 2022/2554 auf Grund von § 1a Absatz 2 Kreditwesengesetz oder § 293 Ab- satz 5 Versicherungsaufsichtsgesetz gelten“ (§ 28 (1)). Was zu tun ist Besonders wichtige und wichtige Einrichtungen haben laut dem Entwurf dafür zu sorgen, dass ihre Dienste ohne Störung verfügbar sind und IT- Systeme, -Prozesse und -Daten stets vertraulich bleiben. Tritt ein Sicher- heitsvorfall ein, muss der Schaden begrenzt werden. Dafür sind explizit nicht nur die wirtschaftlichen, sondern auch die gesellschaftlichen Aus- wirkungen heranzuziehen. Ein besonderes Augenmerk müssen IT-Verant- wortliche auf Verflechtungen mit Zulieferern und Partnern legen. Denn hat ein Cyberangriff ein Einfallstor einmal passiert, kann er sich durch ver- bundene Systeme und Unternehmen weiterverbreiten. Betreiber kritischer Anlagen müssen Systeme zur Angriffserkennung (SzA) einsetzen. Diese sollen den laufenden Betrieb überwachen und auswer- ten, mögliche Gefahren offenlegen und vermeiden sowie Gegenmaßnah- men bereithalten. Außerdem fordert das Diskussionspapier von beson- ders wichtigen und wichtigen Einrichtungen, ƒ Sicherheitsvorfälle zu bewältigen und eine Notfallkommunikation sicherzustellen; ƒ ein Krisenmanagement und Maßnahmen wie Backups und Wiederherstellung, um den Betrieb aufrechtzuerhalten; ƒ allgemeine Verhaltensweisen zum Schutz vor Cyberangriffen (Cyberhygiene) sowie Schulungen; ƒ die Belegschaft zu schützen sowie Anlagen sicher zu managen und Zugriffe darauf zu überprüfen; ƒ Konzepte zu entwickeln, um Risiken für Informationssysteme zu analysieren und deren Sicherheit zu wahren; ƒ zu überprüfen, ob Cybersecurity-Maßnahmen tatsächlich wirksam sind; ƒ beim Einkauf, bei der Wartung und Entwicklung von IT-Systemen, -Prozessen und -Komponenten die Sicherheit zu überwachen und Schwachstellen aufzuzeigen; ƒ Kryptografie und Verschlüsselung planvoll einzusetzen, Zugriffe mehrfach (Multi-Faktor) oder fortlaufend zu authentifizieren sowie die Kommunikation per Sprache, Text und Video abzusichern. Tritt ein erheblicher Sicherheitsvorfall ein, muss die Einrichtung das dem BSI binnen 24 Stunden melden (Erstmeldung, § 32 Meldepflichten). In- nerhalb von drei Tagen müssen Unternehmen einen ersten Bericht über Schwere und Auswirkungen des Angriffs erstatten. Eine ausführliche Abschlussmeldung ist spätestens nach einem Monat fällig. Dass sie die geforderten Maßnahmen umsetzen, müssen Betreiber kritischer Anlagen gegenüber dem BSI alle drei Jahre belegen (erstmalig drei Jahre nach In- krafttreten des Gesetzes). Solche Belege kann das BSI auch von anderen – ADVERTORIAL – besonders wichtigen Einrichtungen verlangen. Als Nachweis dienen bei- spielsweise Cybersecurity-Audits und -Zertifizierungen von unabhängigen Prüfdienstleistern. Wie IT-Verantwortliche jetzt vorgehen Unternehmen sollten zuallererst prüfen, ob sie nach dem Entwurf als besonders wichtige oder wichtige Einrichtung gelten würden. Das lohnt sich, obwohl das NIS-2-Umsetzungsgesetz noch nicht in Kraft getreten ist. Denn viele der geforderten Maßnahmen benötigen eine langwierige Vorbereitung. Beispielsweise sollten Meldefristen und -wege für Zwi- schenfälle mit Lieferanten frühzeitig und proaktiv vereinbart werden. Das kann dazu führen, dass die Konditionen für die Zusammenarbeit und die Verträge nachverhandelt werden müssen. Zudem dauert es, bis sich neue Prozesse zur Cybersicherheit einspielen und von allen Mitarbeitenden verinnerlicht sind. Deshalb sollten betrof- fene Einrichtungen ihren Standpunkt und ihre Schwachstellen frühzei- tig analysieren. Wenn externe Experten hinzugezogen werden sollten: Welchen Fokus und fachlichen Schwerpunkt sollen sie haben? Es bietet sich an, die objektive Statusüberprüfung und das spätere Entwickeln von Gegenmaßnahmen auf unterschiedliche Personen zu verteilen. Im Internet finden IT-Verantwortliche zudem die „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ des BSI, die einen Anhalts- punkt und qualitativen Rahmen für die individuelle Umsetzung bieten soll. Einrichtungen könnten im konkreten Angriffsfall laut Entwurf auch direkte Hilfe durch das BSI erhalten. In der Regel innerhalb von 24 Stunden nach einer Meldung würde das BSI ein erstes Feedback geben und – falls gewünscht – beraten oder technisch unterstützen. Denken wie ein Angreifer Das NIS-2-Umsetzungsgesetz wird kommen, und zwar bis spätestens Oktober 2024. Betroffene Einrichtungen sollten die Zeit nutzen und sich frühzeitig vorbereiten, da sich auch die Angriffsstrategien immer schneller weiterentwickeln. Trotzdem gilt gerade für kleine IT-Teams: Prioritäten setzen! Wie groß wäre, anschaulich gesprochen, der Nutzen einer weiteren Sicherheitstür, während vielleicht noch keine Prozesse für Backups und Wiederherstellung festgelegt wurden? Welche Daten sind für Angreifer am wertvollsten? Welcher Schaden würde ihnen den meisten Nutzen bringen? Das bedeutet, nicht nur defensiv zu denken, sondern eine vorausschauen- de Perspektive einzunehmen. So muss nicht erst ein Zwischenfall eintre- ten, damit IT- und Cybersicherheit auf die Tagesordnung kommen. n Kontakt TÜV SÜD Management Service GmbH Ridlerstraße 57 80339 München +49 89 50084-801 alexander.haeussler@tuvsud.com thomas.janz@tuvsud.com tuvsud.com IT-SICHERHEIT_6/2023 37

nicht nur dabei, den sich wandelnden Sicher- heitsanforderungen gerecht zu werden, sondern gleichzeitig den operativen Betrieb zu optimie- ren, die Einhaltung von Vorschriften zu vereinfa- chen und die Cybersicherheit zu erhöhen. STEIGENDE GEFAHREN FÜR DIE CYBERSICHERHEIT Hacker entwickeln immer komplexere Angriffs- methoden, um sich Zugang zu Netzwerken und geschützten Daten zu verschaffen. Diese Cyber- risiken stellen deswegen auch für kritische Infra- strukturen ein zunehmendes Problem dar. In den Nachrichten werden immer wieder Cyberangriffe auf Unternehmen, staatliche Einrichtungen und die kritische Infrastruktur (KRITIS) thematisiert: beispielsweise der Spionageangriff bei Stromver- sorgern 2022 oder der Cyberangriff auf Enercity, einen der größten Energieversorger Deutsch- lands. Auch wenn derartige Ereignisse meist gar nicht erst bis in die Öffentlichkeit vordringen, ver- anschaulichen sie trotzdem, dass Cyberkriminelle Versorgungsunternehmen ins Visier nehmen. Aufgrund seiner einzigartigen Rolle innerhalb der KRITIS ist der Energie- und Versorgungs- sektor besonders verwundbar. Ein zentraler Schritt für Unternehmen aus diesem Sektor sollte daher sein, ihre physische Sicherheitsin- frastruktur auf die Cybersicherheitsmechanis- men abzustimmen, um sich vor aktuellen sowie zukünftigen Bedrohungen zu schützen und die Auswirkungen von Angriffen so gering wie möglich zu halten. STARKE CYBERSICHER- HEIT FÜR PHYSISCHE SICHERHEITSSYSTEME Moderne physische Sicherheitssysteme und -endgeräte sind zunehmend miteinander ver- netzt. Ein einzelnes anfälliges Gerät kann für Hacker zum Einfallstor in das gesamte Netz- werk eines Unternehmens werden und sensible Daten sowie vertrauliche Informationen offen- legen. Cyberkriminelle nutzen beispielweise schlecht geschützte Videoüberwachungska- meras, unverschlüsselte Kommunikationswe- ge zwischen einem Server und einer Client- Anwendung oder veraltete Firmware, um sich Zugriff zu verschaffen. Daher bedarf es gehärteter Lösungen, die auch alle anderen in einem Netzwerk verbundenen Systeme und Informationen vor kriminellen SECURITY MANAGEMENT | KRITIS ANDREAS FLEMMING ist Regional Sales Manager Germany bei Genetec Deutschland GmbH. IT-SICHERHEIT_6/2023 39 Aktivitäten schützen. Moderne, vereinheitlichte Sicherheitssysteme helfen Unternehmen dabei, ihre Daten und Abläufe zu sichern, gesetzliche Vorschriften einzuhalten und Audit-Anforderun-gen zu erfüllen, ohne die physischen Sicher-heitsprozesse zu beeinträchtigen. Ein einzelner Ansatz reicht dafür in der Regel nicht aus. Alle Lösungen müssen mehrere Vertei-digungsebenen umfassen. Dazu gehören starke Verschlüsselungs-, Authentifizierungs- und Au-torisierungsprotokolle. Sie schützen die Verwal-tung, Analyse und die Speicherung der erfassten Daten. Physische Sicherheit ist ebenso wichtig wie die digitale Dimension – sie ist die Grundlage für einen kohärenten und resilienten Schutz der Energieversorgung. Die Realität spiegelt es wi-der: Ob Sabotageakte auf die GSM-R-Steuerung bei der Deutschen Bahn, Klimaaktivisten auf Flughäfen oder die immer stärkere Verbreitung von Drohnen – die physische Sicherheit bleibt auch im digitalen Zeitalter ein großes Thema für Versorgungsunternehmen. Es gilt, umfangrei-che Werksgelände mitsamt Umspannwerken, Kraftwerksanlagen, Zufahrtswegen, Windkraft-anlagen und Hochspannungsleitungen vor un-berechtigtem Zutritt und Drohnenangriffen zu schützen. SICHERHEITSSYSTEME AUF EINER PLATTFORM VEREINHEITLICHENEin effektiver und intelligenter Perimeterschutz ist die zentrale Verteidigungslinie für den be-grenzten Sicherheitsbereich einer geschützten Infrastruktur. Hier gibt es Insellösungen, die aber viel Aufwand für Wartung und Nutzung bedür-fen. In der Praxis erlauben sie nur begrenzte Aussagen bei komplexen Ereignissen. Fehlalar-me sind ein weiteres Problem. Kommen diese Alarme gehäuft vor, verlieren sie ihre Signalwir-kung und binden unnötig Ressourcen. Daher empfiehlt es sich für Versorgungsunternehmen, auf eine vereinheitlichte Sicherheitsplattform zu setzen, die verschiedene Systeme zusammen-bringt, physische und digitale Sicherheit als Ein-heit begreift – und sich über eine einzige Platt-form steuern lässt. Auch Einbruchsmeldungen lassen sich plattformbasiert besser koordinieren. So ist es möglich, Lösungen wie beispielsweise die Videoüberwachung, Radarsysteme, Zutritts-kontrolle oder die automatische Nummernschil-derkennung zu integrieren.Mit einem vereinheitlichten Sicherheitssystem wird eine 360°-Erkennung möglich, mit der sich verschiedene Angriffsweisen, wie etwa Drohnen, identifizieren lassen. Dadurch haben Unternehmen die Gesamtlage besser im Blick. Gut ist auch, wenn die Lösung ein kooperatives Entscheidungsunterstützungssystem hat, das Maßnahmen und Alarmketten automatisiert auslöst. Damit können die Mitarbeiter schnell auf möglicherweise sicherheitsgefährdende Ereignisse reagieren. Zudem spüren sie eine operative Erleichterung: Sie sind in der Lage, alle relevanten Gewerke zentral zu steuern – das System registriert jeden Vorfall, und basierend auf einem vollständigen Reporting lassen sich Schwachstellen kontinuierlich beseitigen.MEHRWERTE FÜR DEN GESAMTEN SEKTORÜber ein solches System können Energieversor-ger beispielsweise den Zutritt interner Mitar-beiter und externer Dienstleister regeln. Zudem kann das Wachpersonal mit der automatischen Nummernschilderkennung Fahrzeuge erkennen und identifizieren. Darüber hinaus lassen sich dank Radarsystemen, LiDAR-Technologie oder Zaunalarmen mögliche Eindringlinge bereits feststellen, bevor sie das Gelände erreichen. Aber auch neue Anlagen, die im Zuge der Energie-wende hinzukommen, lassen sich integrieren und sowohl physisch als auch digital absichern. Angriffe auf kritische Infrastrukturen vor Ort und als Cyberattacken nehmen immer weiter zu, gleichzeitig erwarten Politik und Gesellschaft von den Betreibern, sich umfassender und effekti-ver dagegen zu schützen. Durch die intelligente Vernetzung von Videokameras, Zaundetektion und andere Sensorik lassen sich Standorte besser absichern. Das Sicherheitspersonal erhält so die relevanten Informationen und wird dabei unter-stützt, die angemessenen Aktionen zu initiieren und automatisierte Handlungsabläufe wie etwa den Start einer Drohne in Gang zu setzen. n

SECURITY MANAGEMENT | AUTOMOTIVE CYBERSECURITY Die Automobilindustrie steht bei der Cybersicherheit vor großen Herausforderungen – erkennt Cybersicherheit aber auch als Business-Treiber. (Bild: CYRES Consulting) Anderenfalls ist es ihnen nicht erlaubt, in den jeweiligen Mitgliedsländern Fahrzeuge zu ver- kaufen. CYBERSICHERHEIT: UN-REGELUNG NR. 155 Die UN-Regelung Nr. 155 (UN R155) ist die zen- trale Regelung, die sich mit den weitreichenden Aspekten der Cybersicherheit in der Fahrzeug- entwicklung befasst. Automobilhersteller müs- sen die Konformität mit der UN R155 nachwei- sen. Nur dann gibt es die Typzulassung. Was die Verantwortlichen in den jeweiligen Funktionen bereits wissen und was jetzt auch in der weitverzweigten Zulieferindustrie deutlich wird: Diese Dinge passieren längst. Seit Juli 2022 sind neue Fahrzeugtypen betroffen, ab Juli 2024 werden alle neu zugelassenen Fahrzeuge die Compliance mit der UN R155 nachweisen müssen. IT-SICHERHEIT_6/2023 41 In Übereinstimmung mit dieser regulatori-schen Vorgabe ist mit der ISO/SAE 21434 Road Vehicles – Cybersecurity Engineering der wich-tigste Industriestandard erschienen, der von der Industrie für die Industrie entwickelt wur-de, um zu zeigen, wie sich die Anforderungen der UN R155 in der Praxis umsetzen lassen. Die korrekte Anwendung der ISO/SAE 21434 gilt für sämtliche elektrisch/elektronischen Kompo-nenten heute als Stand der Technik, wenn es darum geht, was Automobilakteure in Bezug auf Cybersicherheit auf den Markt bringen wollen.ÜBERALL INITIATIVEN, PROGRAMME UND KOMPETENZZENTREN Ausgehend von den Verpflichtungen für den Original Equipment Manufacturer (OEM) sieht sich nun die gesamte Wertschöpfungskette in der Pflicht, Cybersicherheitsanforderungen ad-äquat zu berücksichtigen. Die Etablierung eines Cybersecurity-Manage-ment-Systems (CSMS) ist dabei die zentrale Aufgabe für den OEM. Dieser wiederum muss im Zuge der Einführung des CSMS die Verantwor-tung für seine Zulieferer übernehmen, dass die-se die Cybersicherheitsanforderungen erfüllen. Der Handlungsdruck zur Bereitstellung erforder-licher Prozesse, Systeme und Nachweise wird somit weitergegeben. Entsprechende Belege, dass Komponenten und Systeme sicher sind und keine Bedrohung für das Gesamtfahrzeug dar-stellen, sind bereits heute unverzichtbar. Je verzahnter die Entwicklungsprozesse, Kolla-borationen und Zusammenarbeiten sind, desto komplexer wird es für OEMs und beteiligte Zulieferer nachzuweisen, dass Cybersicherheit innerhalb der Entwicklungsarbeit angemessen

Kompakt lernen – IT-Sicherheit im Fokus! PRAXISFALL: Herausforderungen und Bewältigung eines Cyberangriffes vom Angriff bis zur Abwicklung 6. Februar 2024 I online Referent: Tobias Baader Schwerpunkte: ✓ Aktuelles Lagebild Cybercrime ✓ Ablauf einer Ransomware-Attacke anhand eines Praxisfalls ✓ Herausforderungen im Krisenmanagement und in der Kommunikation ✓ Präventive Maßnahmen Jetzt anmelden: www.datakontext.com/ it-sicherheit Andrey Popov - stock.adobe.com

Kombination mehrerer eindeutiger Identifikato- ren oder biometrischer Merkmale wie Fingerab- druck, Gesichtserkennung und Iris-Scan wird das Anmeldeverfahren nicht nur vereinfacht, son- dern auch sicherer. Benutzer müssen sich nicht mehr eine Vielzahl von Passwörtern merken. Zudem sind biometrische Authentifizierungsfak- toren nicht leicht reproduzierbar, was sicherer ist als selbst das komplexeste Passwort. Wie funktioniert das? In diesem Bereich haben sich FIDO-Protokolle (Fast Identity Online Al- liance) als führende Lösung etabliert. Verein- facht gesagt, basieren FIDO-Protokolle auf der Verwendung von Schlüsselkryptografie. Bei der Registrierung für einen Dienst werden zwei Schlüssel generiert: ein privater Schlüssel, der ausschließlich auf dem Endgerät des Nutzers verbleibt, und ein öffentlicher Schlüssel, der dem jeweiligen Onlinedienst zur Verfügung gestellt wird. Ab diesem Zeitpunkt kann der Online- Dienst die Identität des Nutzers authentifizieren, indem er während des Anmeldevorgangs den privaten Schlüssel anstelle eines Passworts ab- fragt. Letzten Endes wird die Passwortauthen- tifizierung durch einen einfachen und schnellen Scan der einzigartigen biometrischen Merkmale des Nutzers ersetzt, quasi durch ein biometri- sches „Passwort“. Der Einsatz von passwortlosen Authentifizie- rungsmethoden bietet erhebliche Vorteile. Der lästige Faktor der Passwörter wird obsolet und die Authentifizierung bei allen Diensten, die diese Technologie nutzen, kinderleicht. Darüber hinaus müssen Nutzer für die Passwortgene- rierung keine komplizierten Kombinationen aus Buchstaben, Zahlen und Sonderzeichen mehr erstellen, sich merken und eingeben, was be- sonders auf mobilen Geräten oft mühsam ist. Auf diese Weise erhöhen Unternehmen nicht nur die Sicherheit des Anmeldevorgangs, sondern bieten ihren Kunden auch ein komfortableres Benutzererlebnis. Das ist ein entscheidender Faktor, um im harten Wettbewerb um die Gunst der Konsumenten die Nase vorn zu haben. STOLPERSTEINE BEI DER IMPLEMENTIERUNG Chief-Information-Security-Officer (CISOs), die eine passwortlose Authentifizierung einführen wollen, können auf Hindernisse stoßen. Ent- scheidungsträger in kleinen und mittleren Un- ternehmen (KMU) sind möglicherweise besorgt über die Auswirkungen passwortloser Authentifi- SECURITY MANAGEMENT | IDENTITY- UND ACCESS-MANAGEMENT STEPHAN SCHWEIZER ist Chief Executive Officer bei Nevis. IT-SICHERHEIT_6/2023 45 zierungsmethoden auf die Mitarbeitererfahrung und befürchten, dass sie den täglichen Betrieb verlangsamen oder stören.Eine weitere Herausforderung stellt die techni-sche Komplexität der Einbindung biometrischer Verfahren dar. Die verschiedenen Systeme ar-beiten oft nicht nahtlos zusammen. So verfügen Cloud-Plattformen häufig über eigene, konkur-rierende Sicherheits- und Identitätsprüfungs-systeme, die sich beispielsweise nicht ohne Wei-teres mit den unternehmensinternen Servern synchronisieren lassen.Für die Implementierung biometrischer Authen-tifizierungsverfahren müssen Unternehmen zum einen Investitionen tätigen. Zum anderen müssen die internen IT-Verantwortlichen – in kleinen Unternehmen ist dies häufig nur ein Mit-arbeiter – über die erforderlichen Kapazitäten verfügen. Dabei sollte man die Komplexität der Aufgabe nicht unterschätzen. Unter anderem ist es erforderlich, die bestehende Infrastruktur sowie die Zugriffsrichtlinien zu überarbeiten. Es kann zudem notwendig sein, dass sich bisherige Nutzer neu verifizieren müssen, um ihnen geän-derte Authentifizierungsfaktoren zuzuweisen. CIAM-SYSTEME FÜR EINE PASSWORTLOSE ZUKUNFTFür die erfolgreiche und schnelle Einführung von passwortlosen Authentifizierungsmethoden eignen sich cloudbasierte Customer-Identity-and-Access-Management-(CIAM)-Systeme. Vor der Implementierung empfiehlt es sich für KMU, die spezifischen Anforderungen an das CIAM genau zu definieren. Dabei sollten nicht nur der aktuelle Status, sondern auch zukünftige Ent-wicklungen berücksichtigt werden. Erfahrene CIAM-Experten unterstützen in diesem Schritt bei der Planung einer Strategie für die Verwal-tung digitaler Benutzeridentitäten und bei der Auswahl geeigneter Anwendungen.Die Integration der zentralen Anwendungen eines CIAM-Systems erfordert in der Regel keine eigenständige Infrastruktur. Stattdessen erfolgt eine schrittweise Implementierung in die beste-hende IT-Architektur, wobei CIAM-Experten die Einhaltung aller regulatorischen Anforderungen sorgfältig prüfen. Moderne Lösungen ermögli-chen zudem ein konsistentes Branding über alle Interaktionspunkte mit den Nutzern hinweg. Das bedeutet, dass beispielsweise eine spezielle Authenticator App für die Multi-Faktor-Authen-tifizierung problemlos im Design der jeweiligen Marke gestaltet werden kann, um ein durchgän-giges Markenerlebnis sicherzustellen.KEIN PASSWORT BIETET MEHR SICHERHEITImmer wieder wird kritisiert, dass die passwort-lose Authentifizierung nicht hundertprozentig sicher ist. So können Cyberkriminelle eventu-ell Gesichtsscans oder Fingerabdrücke stehlen. Aber auch hier gibt es Lösungen: Mithilfe von Behavior-Analytics, einer oft nachgelagerten Au-thentifizierungsmethode, lässt sich ein weiterer Sicherheitsfaktor einbauen. Behavior-Analytics bezeichnet die Verarbeitung verhaltensbezogener Daten bei der Authen-tifizierung. Merkmale wie die Dynamik des Tippens, die Schreibgeschwindigkeit oder das Swipe-Verhalten sind bei jedem Menschen ein-zigartig. Anhand dessen ermöglicht Behavior-Analytics es zu erkennen, wenn der Benutzer im Rahmen eines Zugriffs von gespeicherten Verhaltensmustern abweicht. Das kann darauf hinweisen, dass sich eine andere Person als der berechtigte User Zugang zu einem Account verschafft hat. Auf diese Weise lassen sich Trans-aktionen so lange stoppen, bis der Nutzer seine Identität durch andere Authentifizierungsfakto-ren zweifelsfrei verifiziert hat. Die passwortlose Authentifizierung ermöglicht es KMU nicht nur ihre Cybersicherheit zu erhö-hen, sondern auch ihren Kunden eine nahtlose Benutzererfahrung zu bieten. n

ren. Mit anderen Worten: Cybersicherheit ist vor allem ein intellektuelles Kopf-an-Kopf-Rennen. Cyberkriminelle bedienen sich beispielsweise brisanter Situationen wie zuletzt Pandemien oder Kriege, um Menschen genau dort zu tref- fen, wo sie verwundbar sind: in ihren Emotio- nen. Aus diesem Grund funktionieren Spear- Phishing oder CEO-Fraud (gefälschte E-Mails angeblich von der Geschäftsführung) besonders gut, weil sie auf ein Verständnis von (Macht-) Konstellationen und kollegialen Beziehungen innerhalb eines Unternehmens aufbauen und entsprechend gezielt agieren. Noch wichtiger sind menschliche Fähigkeiten auf Seite der Verteidigenden. Versuche, den Men- schen in diesem Wettbewerb durch künstliche Intelligenz (KI) zu ersetzen, haben nur begrenz- ten Erfolg. Die KI kann menschliche Intuition und Kreativität nicht vollständig ersetzen. Menschen haben ein feines Gespür für Nuancen, wie ungewöhnliche Betreffzeilen oder Absender im Fall von Phishingmails sowie Veränderungen im Sprachgebrauch im Kontext von CEO-Fraud. Zudem sind sie in der Lage, die Zeichen der Zeit zu lesen und so beispielsweise Phishingtrends zu antizipieren. Regelmäßige Warnungen des Bundesamtes für Sicherheit in der Informations- technik (BSI) über bestimmte Betrugsmaschen sind ein gutes Beispiel dafür, wie Menschen eine neue Bedrohung identifizieren und kommuni- zieren. Unsere einzigartigen Fähigkeiten machen die Rolle des Menschen in der Verteidigung so wich- tig. Dessen Kernkompetenzen sind die blinden Flecken der KI. „Menschlichkeit“ ist noch nicht durch künstliche Intelligenz replizierbar. Die bes- ten IT-Sicherheitsmodelle nutzen die Fähigkeit zu kritischem Denken und Kreativität, unter- stützt von moderner Cybersecurity-Technologie. FÜR SICHERHEITSRISIKEN SENSIBILISIEREN In der Theorie sollte die Mehrzahl der digital ar- beitenden Mitarbeiter wissen, wie sicheres Ver- halten im Netz aussieht. Dennoch notieren sich User weiterhin Passwörter oder speichern diese ungeschützt elektronisch ab. Sie umgehen Si- cherheitsmaßnahmen, wenn diese ihnen im Weg stehen, oder zeigen unsichere Verhaltensweisen im Netz. Daher muss das Ziel einer guten Sicher- heitsstrategie nicht nur sein, ein Bewusstsein für SECURITY MANAGEMENT | AWARENESS ANDREAS FUCHS ist Director Product Management bei DriveLock SE. IT-SICHERHEIT_6/2023 47 die Gefahren im Netz zu schaffen, sondern eine nachhaltige Verhaltensänderung und somit eine Kultur der Cybersicherheit herbeizuführen.Viele namhafte Institute wie das National Insti-tute of Standards and Technology (NIST), das Center for Internet Security (CIS), aber auch das BSI und der Bitkom-Verband in Deutsch-land sowie bald NIS-2 auf europäischer Ebene weisen auf die Bedeutung und Wichtigkeit von Security-Awareness-Trainings hin. Doch trotz Anforderungen wie der ISO 27001, die Security-Awareness als Teil eines Sicherheitsprogramms vorschreiben, führen die Schulungen oftmals nicht zu den gewünschten Ergebnissen. Warum ist das so? In den Regularien heißt es beispiels-weise: „Sie müssen in der Lage sein, diese Schulungen und deren Einhaltung/Compliance gegenüber Auditoren nachzuweisen.“ Und das ist vielleicht auch das Problem. Die Anforderung beantwortet nicht die Frage nach dem Warum und dem Wie. Viele Sicherheitsteams bieten den Mitarbeitenden ein Security-Awareness-Training an, um die Checkbox für die Einhaltung der Vor-schriften ankreuzen zu können. Doch der Zweck des Trainings sollte darin bestehen, eine dauer-hafte Verhaltensänderung zu bewirken. Das Ergebnis solcher „Anforderungs-Schulun-gen“ ist eine passive Teilnahme, wenig Spaß und zu viele Themen in zu kurzer Zeit. IT-Security Awareness-Methoden berücksichtigen oftmals kaum die Wirkungszusammenhänge und An-griffsketten, sondern behandeln hier und da ein-zelne Angriffsvektoren.Besser gelingt dies mit kontinuierlichen Sensibi-lisierungsmaßnahmen wie situationsbedingten Sicherheitstrainings. Wichtig für den Erfolg ist, dass die Trainings Herz und Verstand der Lernen-den erreichen. Erfolgreiche Initiativen sprechen sowohl emotional als auch intellektuell an, nut-zen moderne Lernmethoden, wie Gamification (z. B. Quiz) oder Videos, und halten die User mit kurzen, knackigen Inhalten bei Laune. Wenn diese Inhalte immer wieder zum pas-senden Zeitpunkt – eventbezogen – abgespielt werden, sind sie deutlich effektiver als ein zwei-stündiger Vortrag über Hacker und Schadsoft-ware. Zum Beispiel könnte ein 30-sekündiges Pop-up-Video über Bad USB erscheinen, wenn User einen privaten USB-Stick an den Unterneh-mensrechner anschließen. Mit diesem Video werden sie vor möglichen Risiken gewarnt und können noch einmal entscheiden, ob sie die auf dem Stick enthaltenen Dateien wirklich im Un-ternehmensnetzwerk öffnen möchten. So lässt sich mit einfachen Mitteln eine nachhaltige Kul-tur für Cybersicherheit etablieren.WENN SICHERHEITSMASS-NAHMEN IM WEG STEHEN Bei der Einführung von Sicherheitsrichtlinien oder Sicherheitstools gilt unbedingt und unver-rückbar folgende Prämisse: Die Produktivität der Mitarbeiterinnen und Mitarbeiter darf nicht beeinträchtigt werden. Zehn Prozent der Mit-arbeitenden im Informationsbereich geben an, dass sie eine Sicherheitsrichtlinie aktiv umgehen würden, wenn sie wüssten, wie. Der Haupt-grund: um produktiv zu bleiben. In vielen Fällen scheitert die Einführung neuer Sicherheitsmaß-nahmen nicht, weil die Belegschaft die Risiken nicht versteht, sondern weil der Prozess oder die Technologie oder beides zu umständlich sind. Dies führt dazu, dass Anwender nach Möglich-keiten suchen, technische Beschränkungen oder Regularien zu überwinden, um ihren eigenen – unsicheren – Weg zu finden. Dann entsteht eine Schatten-IT. Letztlich geht es darum, Benutzer und Systeme mit dem richtigen Zusammenspiel von moderner Technologie und menschlichen Fähigkeiten vor andauernden Cyberbedrohungen zu schützen. Sicherheitslösungen müssen Security-Teams unterstützen, ihre Arbeit besser zu erledigen – sowohl auf menschlicher, prozessualer als auch auf technologischer Seite. Technologie und Au-tomatisierung spielen dabei selbstverständlich wichtige Rollen. Indem wir den Schwerpunkt einer ganzheitlichen Sicherheitsstrategie von der reinen Technologie auf die Security-Analysten verlagern, versetzen wir diese in die Lage, echte Verteidiger zu sein. Technologie sollte den Men-schen und sein Handeln besser machen und ihn nicht ersetzen. n

CLOUD SECURITY | BACKUP Abbildung 1: Das 3-2-1-Modell für Datensicherung in Microsoft 365 (Bild: Empalis) WARUM EIN EXTERNES BACKUP? Es ist davon auszugehen, dass jedes Unterneh- men in erster Linie daran interessiert ist, seine Daten und damit den Wert, den diese Daten dar- stellen, jederzeit zu kontrollieren und zu sichern. M365 ist ein Software-as-a-Service (SaaS)-Ange- bot, gleichzeitig liegen aber bestimmte Verant- wortlichkeiten – darunter auch die Datensiche- rung – beim Kunden selbst. Damit werden die Daten ein Stück weit der Kontrolle des Kunden entzogen. Ein externes Backup hat den Vorteil, dass man die grundlegende Kontrolle zurückge- winnt – und dadurch nahezu nahtlos weiterar- beiten kann. Zentral für jede Datensicherung ist die Erzeu- gung von Redundanzen und der Medienbruch, auch Airgap genannt. Ein modernes Datensiche- rungskonzept basiert auf der 3-2-1-Regel: Drei unabhängige Kopien jeder Datei – auf mindes- tens zwei verschiedenen Medien, zum Beispiel Festplatte und Cloud, oder zwei Festplatten an zwei verschiedenen Standorten – je nach Be- darf. Eine dieser Kopien muss so gelagert sein, dass nicht elektronisch auf die Daten zugegrif- fen werden kann. Dieser Ansatz gilt weltweit als Best Practice und wird von sicherheitsrelevan- ten Institutionen anerkannt – und nicht zuletzt von Cyber versicherern zunehmend eingefordert (siehe Abbildung 1). Während sich die Daten in M365 bereits in einer Cloud befinden (SaaS-Ansatz von M365), sollte eine modernes Datensicherungskonzept Wert darauflegen, dass sowohl ein lokaler Speicher (Data Center) und/oder eine lokale beziehungs- weise eine S3-fähige Cloud als Speicherorte zum Einsatz kommen, die jeweils unveränder- bar (immutable) und verschlüsselt sind (siehe Abbildung 2). WORAUF ACHTEN BEIM KAUF EINER LÖSUNG? Diese Frage betrifft die Wahl des Betriebsmo- dells sowie die Backup-Lösung dahinter. Das Microsoft-365-Backup kann in Eigenregie oder als Managed Service betrieben werden. Da sich viele Unternehmen für M365 entschei- den, um Infrastruktur und Administrationsres- sourcen zu entlasten, bietet sich für die Backup- Lösung ein Co-Managed-Service an. Folgende Dienstleistungen sollten dabei inkludiert sein: ƒ das Einrichten der Backup-Lösung ƒ Update und Überwachung ƒ das Bereitstellen und die Verwaltung des Backup-Storage Sinnvoll ist es auch, an Patches zu denken oder den gesamten Betrieb an den Dienstleister auszulagern. Darüber hinaus sollte für Unter- nehmen der Standort der Rechenzentren und der Support entscheidend sein. Hier gibt es un- terschiedliche Konzepte der Dienstleister, von gesichtslosen Hotlines bis hin zum 24/7-Support durch persönliche, englisch- oder auch direkt deutschsprachige Servicemitarbeiter. Für die eigentliche Backup-Lösung ist es zu- nächst entscheidend zu definieren, welche M365-Dienste gesichert werden sollen. Die Empfehlung des Autors lautet hier: Exchange Online, SharePoint, OneDrive und Teams als Mi- nimum der Datensicherung. Die fortlaufende, revisionssichere Speicherung (Data Retention) sollte unbegrenzt sein. Neben wiederum Lage der Rechenzentren – am besten in Deutschland Abbildung 2: Beispiel einer Backup-Architektur für Microsoft 365 (Bild: Empalis) IT-SICHERHEIT_6/2023 49

Kompakt lernen – IT-Sicherheit im Fokus! IT-Sicherheit von M365 – Sicheres Design und sichere Konfiguration 25. Januar 2024 | online Referent: Eric Soldierer Jetzt anmelden: www.datakontext.com/it-sicherheit ipopba - stock.adobe.com

oder der Software-Lieferant eines Telcos. Das hebt die Tragweite der Richtlinie auf ein neues Niveau. IT-S: Was wird sich bei den konkreten Maßnahmen verändern? JK: NIS-2 nimmt die Unternehmen sowohl mit Blick auf die organisatorischen als auch auf die technischen Maßnahmen stärker in die Pflicht. Im Fokus stehen da- bei zwei Bereiche: die Risikoanalyse und der Schutz der Informationssysteme. Der Bereich Risikoanalyse dreht sich vorrangig um das Risikomanagement und die damit verwandten Ausstrahleffekte – Themen wie die Business- Continuity, das Krisen- und das Notfallmanagement. Um den neuen Anforderungen gerecht zu werden, werden die Unternehmen nicht zuletzt ihre Konzepte und Ver- fahren zur Bewertung der Wirksamkeit von Risikoma- nagementmaßnahmen auf den Prüfstand stellen müs- sen, bespielsweise mit Breach- und Attack-Simulationen. Und sie werden über die organisatorischen Schritte hinaus neue Technologien benötigen, etwa Systeme zur Angriffserkennung. IT-S: Und was den Schutz der Informationssysteme betrifft? JG: Auch da hebt die NIS-2-Richtlinie die Messlatte in vielen Bereichen deutlich an. Mitunter belässt es der Ge- setzgeber dabei, den Unternehmen eine Marschrichtung vorzugeben, etwa mit der sehr allgemeinen Forderung nach Verschlüsselung und physischem Schutz. In anderen Bereichen sind die Bestimmungen sehr konkret: So gibt die Norm explizit die Integration einer Multi-Faktor-Au- thentifizierung vor. Im Bereich Informationsschutz wer- den zudem die technischen Maßnahmen durch eine Rei- he organisatorischer Maßnahmen flankiert, etwa durch Schulungen, um die Awareness der Mitarbeiter zu schär- fen. Das ist gerade mit Blick auf die neuen Meldepflichten wichtig: NIS-2 sieht vor, dass jeder erhebliche Sicherheits- vorfall innerhalb von 24 Stunden zu melden ist. IT-S: Was geschieht, wenn ein betroffenes Unterneh- men diesen Anforderungen nicht nachkommt? JG: Dann ist Vorsicht geboten! NIS-2 ist alles andere als ein Papiertiger. Der Gesetzgeber orientiert sich bei der Ahndung von Verstößen an den bei der Einführung der Datenschutzgrundverordnung angelegten Bußgeldern, die sich in der Praxis offenbar als angemessen abschre- ckend bewährt haben. Bei NIS-2 drohen den „Wesentli- chen Einrichtungen“ bei Verstößen Strafzahlungen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes. Die „Weiteren kritischen Unterneh- men“ kommen mit maximal 7 Millionen Euro oder 1,4 Prozent des Vorjahresumsatzes günstiger weg – aber das Signal ist klar: Die Vorgaben sind sehr ernst gemeint. RECHT | NIS-2 Durch NIS-2 haben Unter- nehmen die Chance, die Weichen für eine etwas sicherere Welt zu stel- len.“ Jörn Kraus, Head of Presales bei Westcon (Bild: Westcon) IT-S: Unternehmen sind also gut beraten, das Thema nicht auf die leichte Schulter zu nehmen. Wo sollten sie denn anfangen? JK: Zunächst sollten sie einen Blick in den Anhang der NIS-2-Richtlinie werfen. Dort ist genau gelistet, welche Branchen betroffen sind. Dabei ist es wichtig, nicht nur darauf zu achten, ob man selbst in einem der Sektoren tätig ist – sondern auch zu verifizieren, welche Kunden betroffen sind. Denn der Schutz der Lieferketten ist ein zentraler Aspekt der NIS-2. Im Zweifelsfall ist es also nur eine Frage der Zeit, bis die betroffen Kunden anklopfen, um die Umsetzung der Bestimmungen einzufordern. Das werden für viele Betriebe keine einfachen Gespräche sein, und die IT-Teams sind gut beraten, sich umfassend auf die darauf folgenden Vertragsverhandlungen vorzu- bereiten. Da werden wichtige Weichen für die Zukunft gestellt. IT-S: Wie sieht es denn terminlich aus – läuft den von NIS-2 betroffenen Unternehmen die Zeit davon oder bleibt ihnen noch genug Luft, um das Thema gelassen anzugehen? JG: Im Moment ist sicher noch kein Kind in den Brun- nen gefallen. Das heißt aber nicht, dass sich die Unter- nehmen zu viel Zeit lassen sollten. Denn die technischen und organisatorischen Maßnahmen, die es mit der NIS-2 umzusetzen gilt, haben es in sich: Der Aufbau eines Risi- komanagements etwa greift sehr tief in die Prozesse ei- IT-SICHERHEIT_6/2023 IT-SICHERHEIT_6/2023 53 53

Die Plattform für Sicherheitsinformationen ✓ Aktuelle News ✓ Webinare & Webkonferenzen ✓ Whitepaper ✓ Fachbeiträge www.secupedia.de Bild: comauthor - stock.adobe.com

der umfassten Systeme ist damit recht weit. Insbeson- dere wird der CRA für Internet-of-Things-(IoT)-Geräte relevant sein. Jedoch sieht der vorgeschlagene CRA auch Ausnahmen vor. Ausnahmen vom Anwendungsbereich Ausgeschlossen werden vom Anwendungsbereich bei- spielsweise Dienstleistungen wie Software as a Service (SaaS) in Erwägungsgrund 9 zum CRA-Entwurf. Aus- nahme davon sind lediglich Datenfernverarbeitungs- lösungen, die für ein bestimmtes digitales Produkt unerlässlich sind und vom Hersteller selbst oder unter seiner Aufsicht entwickelt wurden. Darüber hinaus wer- den auch bestimmte Produkte mit digitalen Elementen selbst vom Anwendungsbereich des CRA ausgenommen. Das ist der Fall für Produkte, auf die die europäische Medizinprodukte-Verordnung, die In-vitro-Diagnostika- Verordnung oder die Kfz-Typgenehmigung-Verordnung Anwendung finden. Auch auf Produkte, die ausschließ- lich für Zwecke der nationalen Sicherheit oder für mi- litärische Zwecke entwickelt wurden und für Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind, soll die Verordnung nicht angewendet werden. Zudem gilt der CRA nicht für Produkte, die nach der EU-Flugsicherheitsagentur-Verordnung zertifiziert worden sind. Außerdem soll die Anwendung des CRA auf gewisse Produkte mit digitalen Elementen einge- schränkt oder ausgeschlossen werden können, speziell, wenn durch sektorspezifische Vorschriften das gleiche Schutzniveau erreicht werden kann wie durch die vorge- schlagene Verordnung. Einordnung in Risikokategorien Die Produkte mit digitalen Elementen, die vom Anwen- dungsbereich des CRA umfasst sind, sollen in unter- schiedliche Risikokategorien eingeteilt werden. Abhän- gig davon, welcher Kategorie ein Produkt zugeordnet wird, gestaltet sich die konkrete Umsetzung der in dem Verordnungsentwurf enthaltenen Pflichten. Neben der Standard-Kategorie nennt der CRA-Entwurf etwa die Kategorie der kritischen und die der hochkritischen Produkte mit digitalen Elementen. Unter erstere fal- len beispielsweise Passwortmanager, Identitäts- und Zugangsmanagementsysteme, Produkte mit digitalen Elementen, die eine VPN-Funktion haben, Browser, Antiviren-Programme sowie Security-Information-and- Event-Management-(SIEM)-Tools. Letztere umfasst etwa Betriebssysteme für Server, Desktop- sowie Mobil- geräte, Public-Key-Infrastruktur und Aussteller digitaler Zertifikate, Mikroprozessoren (CPUs), Hardware Secu- rity Module (HSMs) und Smart Meter. Die Einteilung in Risikogruppen erfolgt auf Basis von überprüfbaren Selbsterklärungen der Hersteller. Schätzungsweise wer- den etwa 10 Prozent der Produkte unter die Kategorien „kritisch“ und „hochkritisch“ fallen. Die anderen 90 Pro- zent werden der Standard-Kategorie zuzuordnen sein. RECHT | CYBER RESILIENCE ACT Der Anwendungsbereich des CRA wird in Artikel 2 des Verordnungsentwurfes definiert. Dort heißt es, dass die Verordnung für Produkte mit digitalen Elementen gelten soll, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. ADRESSATEN DES CRA Der geplante CRA richtet sich an eine Reihe von unter- schiedlichen Akteuren im Zusammenhang mit Produk- ten mit digitalen Elementen. Im Fokus stehen besonders deren Hersteller. Beispielsweise sollen Hersteller von Hardware wie mobilen Geräten oder IoT-Geräten ver- pflichtet werden. Ebenso richtet sich der vorgeschlagene CRA zudem an Unternehmen, die Software entwickeln. Darüber hinaus enthält der Entwurf (weniger umfang- reiche) Verpflichtungen für Importeure und Händler. Also diejenigen, die ein Produkt mit digitalen Elementen eines anderen, auch außereuropäischen, Herstellers in der Union auf den Markt bringen. Zudem können diese beiden Akteure Adressaten der Herstellerpflichten wer- den. Das ist der Fall, wenn sie ein fremdes Produkt unter eigenem Namen auf den Markt bringen oder wesentliche Änderungen daran vornehmen. Die Regelung greift also beispielsweise dann, wenn Importeure oder Händler „White-Label-Waren“ mit ihren eigenen Kennzeichen versehen und auf dem Markt vertreiben. VERPFLICHTUNGEN AUS DEM CRA Für Hersteller aller Produkte mit digitalen Elementen gilt nach dem Verordnungsentwurf zum CRA die Pflicht, ein Assessment der Cybersicherheitsrisiken durchzu- führen, die ein solches Produkt birgt. Das Resultat muss während der gesamten Entwicklungs- und Lebensdau- er des Produktes berücksichtigt werden. Das Risiko-As- IT-SICHERHEIT_6/2023 IT-SICHERHEIT_6/2023 57 57

lung eines Produkts mit digitalen Elementen auf dem Markt einschränken oder untersagen (Stufe 2) oder zum Produktrückruf verpflichten (Stufe 3). Welche Behörde für die Überwachung der Einhaltung der Vorschriften zuständig sein soll, ist noch nicht final entschieden. Auf- grund der inhaltlichen Nähe würde sich in Deutschland die Zuschreibung der entsprechenden Zuständigkeit an das Bundesamt für Sicherheit der Informationstechnik (BSI) anbieten. Diese Ansicht wurde auch bereits vom Bundesinnenministerium (BMI) geäußert. ABGRENZUNG ZU ANDEREN GESETZEN Nach seinem Inkrafttreten wird der CRA Teil einer Reihe von Gesetzen sein, die sich mit ähnlichen Regelungs- gegenständen befassen, besonders mit der Cybersicher- heit. Dazu zählt unter anderem die NIS-2-Richtlinie. Sie ist bereits im Januar 2023 in Kraft getreten und bezweckt ebenso wie der CRA, die Cyberresilienz von Unterneh- men in der EU zu steigern. Bis Oktober 2024 haben die EU-Mitgliedsstaaten Zeit, sie in nationales Recht um- zusetzen. Der deutsche Gesetzgeber hat im Sommer 2023 bereits einen Entwurf für ein Umsetzungsgesetz der NIS-2-Richtlinie vorgelegt. Die Richtlinie aktuali- siert die vorangegangene erste NIS-Richtlinie von 2016. Anders als der CRA ist sie nicht auf gewisse Produkte beschränkt, sondern soll allgemein die Cybersicherheit von Unternehmen in der EU erhöhen. Sie stellt dafür umfangreiche Anforderungen für Unternehmen aus ei- ner Vielzahl von Branchen auf. Im Gegensatz dazu dient der CRA in erster Linie dem Schutz von Endverbrau- chern und Unternehmen. Gleichzeitig mit der NIS-2-Richtlinie wurde die Richtli- nie über die Resilienz kritischer Einrichtungen (CER- Richtlinie) verabschiedet. Auch sie hat das Ziel, die Cy- bersicherheit in der EU zu stärken, besonders mit Blick auf die physische Widerstandsfähigkeit kritischer Ein- richtungen. Die Wirtschaftszweige, die dabei normiert werden sollen, überschneiden sich teilweise mit denen der NIS-2-Richtlinie. Vor allem soll die CER-Richtlinie das Ausfallrisiko von Prozessen mindern. Sie gibt dafür Pflichten zur Risikobewertung, Maßnahmenkataloge, Überprüfungsmaßnahmen und Meldepflichten vor. Bei Nichteinhaltung können die Aufsichtsbehörden Sanktio- nen verhängen. Abzugrenzen ist der kommende CRA zudem von Rechts- akten, die ebenfalls Verbraucher schützen sollen. Zu nennen sind dahingehend etwa die Digitale-Inhalte- Richtlinie, die in Deutschland durch das „Gesetz zur Umsetzung der Richtlinie über bestimmte vertrags- rechtliche Aspekte der Bereitstellung digitaler Inhalte RECHT | CYBER RESILIENCE ACT und digitaler Dienstleistungen“ umgesetzt ist, und die Warenkauf-Richtlinie. Anders als bei den Regelungen aus dem CRA bedarf es für die Anwendbarkeit der Vorgaben aus den beiden Richtlinien jedoch eines Verbraucherver- trages über digitale Produkte. Es muss also ein Vertrag vorliegen, der den entgeltlichen Erwerb digitaler Inhalte und Dienstleistungen durch Verbraucher:innen zum In- halt hat. Die Verpflichtungen, die die Regelwerke enthal- ten, lauten jedoch teilweise gleich. Beispielsweise sehen die beiden Richtlinien wie auch der CRA eine Aktualisie- rungspflicht für betroffene Waren oder Produkte vor. FAZIT UND PRAKTISCHES Der CRA wird umfassende Cybersicherheitsanforderun- gen für Produkte mit digitalen Elementen enthalten. Die Anforderungen werden sich dabei an einen breiten Adressatenkreis richten und ihre Einhaltung kann je nach Produkt sehr anspruchsvoll sein. In vielen Fällen weisen die Vorschriften jedoch auch Parallelen oder Überschneidungen zu bereits bestehenden Vorgaben aus anderen gesetzlichen Regelungen im Bereich Cyber- sicherheit und Verbraucherschutz auf. Es empfiehlt sich daher eine ganzheitliche Behandlung der regula- torischen Anforderungen. Unternehmen können ihre Compliance-Prozesse erheblich vereinfachen, wenn sie Synergieeffekte identifizieren und nutzen. Das Gesetz- gebungsverfahren zum CRA befindet sich aktuell auf der Zielgeraden und eine politische Einigung könnte noch in diesem Jahr erfolgen. Unternehmen sollten den CRA daher in jedem Fall im Blick behalten. n YAKIN SURJADI LL.M. (HONG KONG) ist Rechtsanwalt bei der Kanzlei Schürmann Rosenthal Dreyer und spezialisiert auf die rechtlichen Herausforderungen der Di- gitalisierung, insbesondere der Künstlichen Intelligenz. Er be- rät Unternehmen bei der Vertragsgestaltung von IT-Projekten, zu den Themen Künstliche Intelligenz, Cloud Computing, Soft- ware as a Service oder Datenhandel und Schnittstellennutzung. www.srd-rechtsanwaelte.de VALENTIN TANCZIK LL.M. (GRONINGEN) verfügt über umfangreiche Erfahrungen im Bereich moderner und digitaler Technologien. Neben seiner Expertise in der Sicherheit und Regulierung von KI-Systemen sowie den rechtlichen Herausforderungen für Unternehmen im digitalen Zeitalter, liegt sein besonderer Schwerpunkt im internationalen öffentlichen Recht und im Schutz der Menschenrechte. IT-SICHERHEIT_6/2023 59 Foto: Kanzlei SRD

AUS DER FORSCHUNG | DATENRÄUME beschriebenen Systemkomponenten weitere Funktionen, die den Datenaustausch vereinfa- chen sollen. Dazu gehören unter anderem ein Berechtigungsmanagementsystem, OCR-Bild- erkennung, Zertifizierungen und Wasserzeichen, Datenanalysetools und vieles mehr. Je nach Datenraum kann die Anzahl der Funktionen va- riieren [1]. EIGENSCHAFTEN Gaia-X und die International Data Spaces Asso- ciation (IDSA) veröffentlichen Publikationen, in denen die notwendigen Eigenschaften eines Datenraums definiert werden. Es gibt Eigenschaften, die einen Datenraum ausmachen. So hat er notwendigerweise einen räumlichen und zeitlichen Umfang. Er sollte eine bestimmte Datenmenge und eine bestimmte Anzahl von Teilnehmenden über einen bestimm- ten Zeitraum umfassen. Ein Datenraum hat dezentral zu sein, es gibt also keine zentral ge- speicherten Datensätze außerhalb des eigentli- chen Kataloges. Um einerseits eine Dezentrali- sierung von Datenräumen zu ermöglichen und andererseits sicherzustellen, dass möglichst viele Teilnehmende miteinander in Austausch treten können, setzen die wichtigsten Datenrauminitia- tiven auf eine föderierte Struktur. Datenräume werden entsprechend inter operabel gestaltet und müssen notwendigerweise ein gewisses Maß an Transparenz aufweisen. Diese Transpa- renz bemisst sich an der Menge der Informa- tionen, die über die Vorgänge im Datenraum, die tatsächlichen und potenziellen Beteiligten sowie betroffenen und nicht betroffenen Drit- ten zur Verfügung steht. Da ein Datenraum den Austausch von Daten voraussetzt, muss er ein gewisses Maß an Souveränität für die Teilneh- menden aufweisen. Im Zusammenhang mit Transparenz und Sou- veränität steht der Begriff des Vertrauens [2]. Je mehr Transparenz besteht, sei es in Bezug auf die Datenqualität oder den Nachweis der Daten, und je größer die souveräne Kontrolle über die Daten ist, desto mehr können die Teilnehmenden dem Datenraum vertrauen. Die Vertrauenswürdigkeit von Datenräumen und deren Betreiber ist eine wesentliche Eigenschaft. Um eine Vertrauens- basis zwischen den Nutzern und dem Betreiber zu schaffen, sind Dienste nötig, die Zertifikate ausstellen und die Erfüllung von Vorschriften und Standards überprüfen. Die Befolgung der IT-SICHERHEIT_6/2023 61 . m o c . e b o d a k c o t s - n n o g i ; . m o c . e b o d a k c o t s - p d a c u l : d l i B Frameworks veröffentlicht und Softwarepro-gramme zur Einhaltung des Frameworks zur Verfügung stellt. Alle Ressourcen stehen unter einer Open-Source-Lizenz und können daher von jedem genutzt werden.BESTANDTEILE EINER DATENRAUMLÖSUNGEine Datenraumlösung kann aus verschiedenen Systemelementen, Systemkomponenten und Teilnehmern bestehen.Der Datenraum selbst wird als eine Sammlung von Systemkomponenten definiert und verwen-det, die für den sicheren Austausch von Daten und Diensten erforderlich sind. Verschiedene Datenräume können innerhalb eines Dienstes regelkonform koexistieren. Neben dem Datenraum spielen die Teilnehmer eine entscheidende Rolle: ƒDer Anbieter ist eine Person oder Institution, die Daten im Datenraum anbietet. ƒDer Konsument ist jene Partei, die Daten er-werben möchte [1].Um die Systemelemente zu validieren und die Interoperabilität zu gewährleisten, werden Compliance-Services eingesetzt. Damit sich An-bieter und Konsument am Datenraum anmelden können, werden Identity-Services benötigt. Ein Katalog listet alle in einem Datenraum angebo-tenen Daten auf. In diesem Verzeichnis können Anbieter ihre Daten veröffentlichen und Konsu-menten nach verfügbaren Angeboten suchen. Für den Datenaustausch stehen Dienste zur Verfügung, die die Transaktion zwischen Anbie-ter und Konsument unterstützen, einschließlich Vertragsabschluss, Registrierung und Daten-übertragung. Ein Datenraum kann ergänzende Systemkom-ponenten enthalten, die den Benutzerkomfort erhöhen und in bestimmten Bereichen zusätzli-che Funktionen bieten. So ist ein Webportal ein wesentliches Systemelement, das einen benut-zerfreundlichen Zugang zu einem Datenraum ermöglicht. Dazu gehört der einfache Zugriff auf die Konten der Teilnehmer sowie die Bereit-stellung und Nutzung von datenrauminternen Diensten. Heutige Datenräume bieten neben aktuellen IT-Sicherheitsstandards und den oben Mithilfe von Datenräumen kön-nen Unternehmen und Orga-nisationen Informationen und damit verbundene Dienste sicher austauschen und nutzen. Voraussetzung für den Betrieb eines Datenraums ist ein rechtlicher und tech-nischer Standard.Erste Konzepte für Datenräume gibt es in der Informatik bereits seit 15 Jahren. Der Begriff „Datenraum“ bezieht sich auf eine Art Daten-beziehung zwischen vertrauenswürdigen Partnern, die sich an die gleichen Standards und Richtlinien für die Speicherung und den Austausch von Daten halten. Ein entscheidender Aspekt des Konzepts ist jedoch, dass die Daten nicht zentral, sondern an der Quelle gespeichert und nur bei Bedarf übertragen werden. Ein Da-tenraum ist die Summe aller seiner Teilnehmer, die Datenanbieter, Nutzer und Vermittler sein können.Die Forschung des Fraunhofer ISST führte diese Idee weiter und gipfelte 2015 in der Gründung der International Data Spaces Association und der Entwicklung erster Konzepte und Standards für Datenräume.GAIA-X-PROJEKT Gaia-X geht noch einen Schritt weiter als das Datenraumkonzept und berücksichtigt gängige datenbezogene Dienste wie Speicher und Web-server, um Interoperabilität zwischen verschie-denen Cloud-Anbietern und IT-Infrastrukturen herzustellen. Dabei ist Ziel des Gaia-X-Projektes, einen Rahmen zu schaffen, der es allen Beteilig-ten aus unterschiedlichen Branchen ermöglicht, sich auf ein einheitliches Regelwerk und die Ein-haltung von gemeinsamen Grundwerten im Da-tenraum zu einigen. Grundlegende Werte sind: Datensouveränität, Datenschutz, Vertraulichkeit, IT-Sicherheit, Technologieneutralität und Inter-operabilität. Für die Cybersicherheit besteht die Mindestanforderung darin, die Anforderungen des European Cybersecurity Scheme-Basic Level der European Union Agency for Cybersecurity (ENISA) zu erfüllen [1]. Es gibt drei Anforderungsstufen (European Cy-bersecurity Scheme): Basic Level, Substantial Level, High Level. Jedes Level wird durch das Cy-ber-Sicherheitsframework der ENISA kontrolliert. Gaia-X hat sich zu einer europäischen Initiati-ve entwickelt, die Spezifikationen des Gaia-X-

AUS DER FORSCHUNG | DATENRÄUME EDC GXFS Web3 Identität und Vertrauen IAM-Modul (oauth, daps) Authentifizierungs- und Autorisierungsdienste DID im Gen-X-Chai SSI-Wallet Identity Hub Beglaubigungsmanager für Organisationen Beglaubigungsmanager für Personen Katalog Föderierter Katalog Föderierter Katalog Selbstbeschreibungs- Tool Austausch Datenebene mit Erweiterungen für ver- schiedene Protokolle Steuerungsebene für Vertragshandlung Datenvertragsaktions- dienst Datenaustauschproto- kollierungsdienst Einhaltung der Vorschriften Trust Framework Adoption Policy Engine Validierung als Teil der Authentifizierung/Auto- risierung Kontinuierlicher auto matisierter Über- wachungsdienst Beglaubigungsdienst Föderierter Katalog: On Chain smart Contracts für Metadaten Cache für Metadaten Aquarius: Cache für Metadaten Datenvertragsdienst: Smart Contracts mit Datentoken Datenaustausch-Proto- kollierungsdienst: Prüfpfad on chain Compute to Data- Umgebung Validierung als Teil einer SSI-Schicht Andere Datendashboard Portal Portal Registration Service Notarisierungsdienst Tabelle 1: Gegenüberstellung Datenraumlösungen IT-SICHERHEIT_6/2023 63 Protokollierung. Die einzige Aufgabe der Date-nebene besteht darin, Daten nach erfolgreicher Vertragsverhandlung zu übertragen.Dienste innerhalb des IDS sind modular und können somit kombiniert und erweitert werden. Dadurch ist es möglich, weitere Datenraum-Ver-binder-Implementierungen mit in den Daten-raum einzubauen.Die drei wichtigsten Datenraum-Lösungen, die zum Aufbau eines eigenen Datenraums verwen-det werden, sind: Eclipse Dataspace Kompo-nente (EDC), Gaia-X Federation Services (GXFS), Gaia-X Web3 Ecosystem (Web3) [1].Der Eclipse Dataspace Konnektor und die zu-gehörigen Dataspace-Komponenten bieten ein modulares, erweiterbares Framework, das auf dem IDS-Framework basiert und gleichzeitig kompatibel zu Gaia-X ist. Die Gaia-X-Födera-tionsdienste stellen die technischen Mindest-anforderungen und Dienste dar, die für den Betrieb föderierter Gaia-X-Ökosysteme aus Infrastruktur und Daten benötigt werden. GXFS wird vom Bundesministerium für Wirtschaft und Klimaschutz (BMWK) auf der Grundlage eines Beschlusses des Deutschen Bundestages gefördert. Einen etwas anderen Ansatz für die technische Umsetzung eines Gaia-X-Ökosystems verfolgt Pontus-X, das Gaia-X Web3-Ökosystem und GEN-X-Netzwerk der deltaDAO AG. Dieses Ökosystem basiert auf Web3-Technologien und nutzt eine Blockchain und Smart Contracts als sicheren, verteilten Speicher [1]. Tabelle 1 stellt die drei Systeme gegenüber.Derzeit ist die Interoperabilität zwischen ver-schiedenen Referenzarchitekturen begrenzt möglich, besonders auf der Ebene der einzelnen Dienste und Komponenten. Allerdings gewähr-leisten gemeinsame Standards zur Beschreibung von Diensten und Architekturen ein gewisses Maß an Kompatibilität. Alle Datenraumlösungen verstehen die gleichen maschinenlesbaren Me-tadaten. Identifizierungs-Vertrauensanker kön-nen auch gemeinsam genutzt werden, sodass dieselben Anmeldeinformationen zur Identifizie-rung von Akteuren in verschiedenen Datenräu-men verwendet werden können. Interoperabili-tät ist ein wichtiges Ziel für alle Organisationen, die an der Entwicklung einer verteilten Daten-wirtschaft beteiligt sind [1].Um Datenräume zu schaffen, ist es unerlässlich, die Offenheit und Zusammenarbeit zwischen den Teilnehmern zu optimieren. Die technische Umsetzung sollte an die spezifischen Bedürf-nisse jedes Teilnehmers angepasst werden und gleichzeitig die vereinbarten Richtlinien und rechtlichen oder geschäftlichen Anforderungen der jeweiligen Branche oder des jeweiligen Be-reichs einhalten.Der Beitritt zu den Communities der entspre-chenden Open-Source-Projekte ist nicht nur für die Entwickler von Vorteil, sondern auch für die Nutzer, um Unterstützung zu erhalten und die zukünftige Entwicklung mitzugestalten. Dies fördert die bestehende aktive Community sowie die technische Konvergenz für eine wirklich of-fene Datenwirtschaft.Mit dem Data Governance Act hat die Europäi-sche Kommission den Grundstein für die Schaf-fung eines europäischen Datenaustauschmo-dells gelegt. Das Hauptziel dieser Maßnahme ist es, Vertrauen in die gemeinsame Datennutzung zu schaffen, indem klare Vorschriften und Re-geln festgelegt werden.Ein Schlüsselelement der Verordnung ist die Verpflichtung, die gesammelten Daten aus-schließlich für die Zwecke der Datenvermittlung zu verwenden. Des Weiteren wurde festgelegt, dass die initialen Datenformate nicht verän-dert werden dürfen. Um die Einhaltung dieser Pflichten zu garantieren, sind Überwachungs-einrichtungen notwendig, die sicherstellen, dass

Der neue Themenguide IT-Sicherheit Wir bedanken uns bei unseren Partnern: Jetzt teilnehmen und Firmenpartner werden: wolfgang.scharf@datakontext.com www.itsicherheit-online.com Bild: comauthor - stock.adobe.com

. m o c . e b o d a k c o t s - f f o k n e d o r o G © Nelelena Verantwortliche für IT-Sicherheit direkt erreichen ▪ Newsletter ▪ Content- Marketing ▪ Webinare & Webkonferenzen Schreiben Sie uns: wolfgang.scharf@datakontext.com www.itsicherheit-online.com | www.kes.info IT-SICHERHEIT_6/2023 67