kes Special 4-2022

Verlagsbeilage, August 2022 Die Zeitschrift für Informations-Sicherheit m i t L e s e p r o b e S p e c i a l a u s d e m H a u p t h e f t Special New Work: Gemeinsam arbeiten mit sensiblen Daten S. 10 Onlinezugangs- gesetz: Multi-Cloud- Umgebungen schützen S. 14 Sichere Digitalisierung für staatliche Infrastrukturen

CYBERSECURITY KANN SCHÖN SEIN. Cyberbedrohungen sind bösartig und hässlich. Die Welt wird immer komplexer. Deshalb benötigen Sie vernetzte Lösungen und Transparenz über Ihre gesamte IT-Infrastruktur. Mit Trend Micro können Sie sich besser schützen, mehr erkennen und schneller auf Bedrohungen reagieren. Denn wenn Sie das große Ganze im Blick haben, kann Cybersecurity schön sein. Das ist die Kunst der Cybersecurity. Erfahren Sie mehr unter TheArtofCybersecurity.com Das Kunstwerk zeigt die Erkennung und Bekämpfung Das Kunstwerk zeigt die Erkennung und Bekämpfung von Bedrohungen über mehrere Angriffsvektoren durch von Bedrohungen über mehrere Angriffsvektoren durch Trend Micro. Erstellt auf Basis echter Sicherheitsdaten Trend Micro. Erstellt auf Basis echter Sicherheitsdaten vom Künstler Brendan Dawes. vom Künstler Brendan Dawes.

Inhalt Modernes Arbeiten und Datenschutz müssen kein Widerspruch sein Die öffentliche Hand muss ihre IT-Systeme sicher und daten- schutzkonform betreiben. Sie muss aber auch die Anforde- rungen an modernes Arbeiten erfüllen. Wie sollte eine Soft- ware-Lösung aussehen, die das leistet? Seite 4 Sicherer Dokumentenaustausch für staatliche Einrichtungen So vielfältig die Einrichtungen der staatlichen Infrastruktur auch sind, eine grundlegende Gemeinsamkeit ist ihr Bedarf nach einem manipulationssicheren Informations- und Doku- mentenaustausch. Denn als potenzielles Einlasstor für Schad- programme ist der sichere Dokumentenaustausch ein elemen- tarer Baustein der Cybersecurity. Seite 8 Kollaborativ arbeiten mit sensiblen Daten Spätestens seit der Pandemie sind Kollaborationsdienste, die Präsenzmeetings komplett oder teilweise ergänzen können, zu einem festen Bestandteil der neuen ﬂexibleren und ortsunab- hängigeren Arbeitswelt geworden. SINA und SINA Workﬂow zeigen, dass der Umgang mit sensiblen oder eingestuften Daten Seite 10 dabei kein Hindernis sein muss. Ganzheitliche IT-Sicherheit dank Zero Trust Hybride Arbeitsmodelle, die Nutzung von Cloud-Services und eine steigende Bedrohungslage: All das macht es für Behörden komplex, eine umfassende Sicherheit zu gewährleisten. Mit der Umsetzung des Zero-Trust-Konzepts können sich Organisatio- nen ausreichend schützen. Seite 12 Security muss sich Bewegen Bis Ende des Jahres haben Bund, Länder und Kommunen noch Zeit, das Gesetz zur Verbesserung des Onlinezugangs zu Verwal- tungsleistungen (OZG) umzusetzen. Mit einem Plattform-An- Impressum satz gelingt es, Komplexität und Aufwand zu reduzieren und umfassende Security in der hybriden Multi-Cloud-Umgebung zu etablieren. Seite 14 Mehr Sicherheit durch Auto- matisierung Ein automatisierter Datenaustausch bietet Behörden zahlreiche Möglichkeiten, sensible Daten zu schützen, Angriffsﬂächen gegenüber Cyberattacken zu reduzieren und die Verwaltung digitaler, schlanker und zukunftssicher aufzustellen. Seite 16 Mit BSI 200-4 zum belastbaren BCM Die Einführung eines Business-Continuity-Management (BCM) ist ein komplexer und zeitaufwendiger Vorgang. Der BSI-Stan- dard 200-4 liefert dafür eine detaillierte Anleitung. Wer zusätz- lich vorhandene Datenbestände geschickt nutzt und bei der Toolauswahl die richtigen Schwerpunkte setzt, kann zügig ein Seite 17 Notfallmanagement etablieren. Digitalisierung im Arbeitsalltag: aber bitte sicher! Das Faxgerät ist weder DSGVO-konform, noch lässt sich damit nachvollziehen, wer die gesendete Datei empfangen hat. Wenn also wichtige Daten an Unbefugte gelangen oder einfach ver- loren gehen, ist das besonders ärgerlich und problematisch. Aus diesem Grund ist eine moderne Digital-Workplace-Lösung gefragt, die einen einfachen, sicheren und nachvollziehbaren Dateiaustausch gewährleisten kann. Seite 21 Cybersicherheit auf dem Prüfstand Vertrauen in Cybersicherheit ist nur durch maximale Trans- parenz und kontinuierliche Prozessüberprüfung möglich. Eindeutige, nachprüfbare Bewertungskriterien tragen zu einer sicheren, vertrauenswürdigen Digitalisierung bei. Ein Interview mit Christian Milde, Geschäftsführer Central Europe bei Kaspersky. Seite 18 Bankverbindung: UniCredit Bank AG, München, IBAN: DE34 7002 0270 0015 7644 54 Media-Daten: Unsere Media-Daten ﬁnden Sie online auf www.kes.info/media/. GmbH Augustinusstraße 9d, 50226 Frechen (DE) Tel.: +49 2234 98949-30, Fax: +49 2234 98949-32 redaktion@datakontext.com, www.datakontext.com Geschäftsführer: Dr. Karl Ulrich Handelsregister: Amtsgericht Köln, HRB 82299 Alle Rechte vorbehalten, auch die des aus- zugsweisen Nachdrucks, der Reproduktion durch Fotokopie, Mikroﬁlm und andere Ver- fahren, der Speicherung und Auswertung für Datenbanken und ähnliche Einrichtungen. Zurzeit gültige Anzeigenpreisliste: Nr. 40 vom 01. Januar 2022 Anzeigenleitung: Birgit Eckert (verantwortlich für den Anzeigenteil) Tel.: +49 6728 289003, anzeigen@kes.de Herstellungsleitung und Vertrieb: Dieter Schulz, dieter.schulz@datakontext.com, Tel.: +49 2334 98949-99 Satz: BLACK ART Werbestudio Stromberger Straße 43a, 55413 Weiler Druck: QUBUS media GmbH, Beckstraße 10, 30457 Hannover Titelbild: ga / stock.adobe.com © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 3

Management und Wissen Modernes Arbeiten und Daten- schutz müssen kein Widerspruch sein Die öffentliche Hand muss ihre IT-Systeme sicher und datenschutzkonform betreiben. Sie muss aber auch die Anforderungen an modernes Arbeiten erfüllen: Arbeiten aus dem Home-Office, Vernetzung mit Partnern und die ständige Verfügbarkeit von Daten und Prozessen. Wie sollte eine Software-Lösung aussehen, die das leistet? Von Michael Würdemann, HCL Software Die Datenschutzbeauftrag- ten der Länder schlagen schon länger Alarm: Die in Pandemiezeiten für Home-Schooling und Home-Ofﬁ ce geduldeten Lösungen wie Microsoft Teams oder Zoom dürfen nun nicht mehr eingesetzt werden, da sie aus datenschutzrechtlicher Sicht nicht sicher betrieben werden können. Das gilt weiter gefasst nicht nur für Vi- deokonferenzsysteme, sondern auch für das gesamte Paket von Microsoft 365. So hat der Landesbeauftragte für Datenschutz und Informations- freiheit in Baden-Württemberg im April 2022 festgestellt, dass es trotz einer „intensiven Prüfung und Zu- sammenarbeit mit den Beteiligten“ nicht gelang, „eine datenschutzkon- forme Lösung zu ﬁ nden“. Mit dabei waren auch hochrangige Mitarbeiter des Herstellers. Somit wird von den Schulen erwartet, dass sie bis zu den Sommerferien „Alternativen zum Cloud-Dienst MS 365“ anbieten. Alternativen gesucht Was bedeutet das für Schu- len, aber auch für den öffentlichen Dienst und Unternehmen im All- gemeinen? Es gibt Stimmen, die den Untergang der Volkswirtschaft heraufbeschwören, da man gänzlich auf den Fortschritt verzichten und wieder zu Stift und Papier greifen Abbildung 1: Mit HCL Sametime lassen sich Web-Meetings aus HCL Notes oder HCL Verse heraus einbinden. müsse, um den Anforderungen der Bedenkenträger im Datenschutz zu genügen. So weit muss man aller- dings nicht gehen, denn zuallererst sind es keine Bedenken, sondern kla- re Verstöße gegen den Datenschutz, denen man begegnen muss. Dazu kommt, dass es diverse Alternativen zu den Cloud-Angeboten diverser US-Hersteller gibt. Und hier kommt schon das nächste Stichwort ins Spiel: Cloud. Es geht bei der Frage des Datenschutzes eigentlich nicht um die Form des Betriebs. Auch eine lokal installierte Softwarelösung kann Da- ten an den Hersteller senden – meist als Telemetrie bezeichnet – mit der dieser die Nutzung oder Performan- ce analysieren kann. Genauso kann eine Cloud-Lösung auch komplett in der Kontrolle des Betreibers der Lösung, aber unabhängig vom Be- treiber der Cloud, bleiben. Sie muss nur darauf vorbereitet sein. Somit ist auch der Cloud-Betrieb datenschutz- konform möglich, was unter Sicher- heits- und Kostenaspekten durchaus sinnvoll sein kann. Was bedeutet „modern“ in Bezug auf Arbeit? Aber es geht insgesamt nicht darum, dass man ein bestimmtes Werkzeug, also in diesem Fall eine Softwarelösung, einsetzen möch- te. Vielmehr möchte man einen bestimmten fachlichen Prozess ab- bilden, die Zusammenarbeit an Dokumenten bewerkstelligen oder ein Meeting über mehrere Standorte hinweg abhalten können. 4 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

Hinzu kommen diverse Ne- benbedingungen: Von „Zusammen- arbeit soll auch auf mobilen Endge- räten möglich sein“, eventuell sogar mit „Bring your own device“, bis eben zu „Datenschutz muss gewähr- leistet werden“. „Modern Work“ beinhaltet nicht nur, aber auch: ––——— die Freiheit, überall arbei- ten zu können: Im Büro, unterwegs oder im Home-Ofﬁce, ––——— jederzeit alle Daten und Prozesse zur Verfügung zu haben – also kein „Das kann ich nur im Büro erledigen, das muss warten“, ––——— die Vernetzung von Kolle- ginnen und Kollegen und falls er- forderlich Geschäftspartnern – auch ohne physische Präsenz zu fördern, ––——— den Fokus auf Menschen und nicht auf Dokumente zu legen. Eine Softwarelösung, die alle diese Punkte unterstützt, muss zudem um Standard-Anwendungen und eigene individuelle Apps anpass- bar und erweiterbar sein. So ist dann auch gewährleistet, dass sie mit den sich ständig ändernden Anforderun- gen mitwachsen kann. Die Komponenten einer Software-Lösung Am Beispiel der HCL-Soft- ware-Produkte kann man sehr gut sehen, wie eine Software-Lösung für die Zusammenarbeit und das Netz- werken für moderne Wissensarbeiter aussehen sollte. So gibt es keine redundanten Funktionen: Doku- mente werden im sogenannten HCL Connections abgelegt und von dort für Communities, in den eigenen Dateien oder auch für den Versand als Link in einer E-Mail verwendet. Dadurch muss man nicht in mehre- ren „Töpfen“ suchen, wenn man ein Dokument wiederfinden möchte. Zudem bietet die Lösung ein gutes Zusammenspiel mit anderen Kom- ponenten der HCL Collaboration Suite – mit HCL Sametime können beispielsweise Web-Meetings be- quem aus HCL Notes oder HCL Verse heraus eingebunden werden. Beina- he alle HCL-Produkte lassen sich bei einem Cloud-Anbieter nach Wahl des Kunden oder auch im eigenen Rechenzentrum ohne Funktionsein- bußen betreiben. Kunden wie Bosch oder Continental setzen die Enterpri- se-Social-Network-Lösung HCL Connections seit Jahren ein, da hier zwar auch Dokumente abgelegt werden können, aber der Austausch und die Expertise der einzelnen Mit- arbeitenden im Unternehmen im Vordergrund steht: Man folgt Men- schen, nicht Dokumenten. So erfährt man sofort vom System, wenn ein Experte aus dem eigenen Netzwerk etwas Neues in einem Blog, Wiki oder eben auch als Dokument veröffent- licht. Das ermöglicht auch verteilten Teams die Zusammenarbeit und das Netzwerken, wie es sonst eventuell nur mit den Seitengesprächen in einer Kaffeeküche oder von Schreib- tisch zu Schreibtisch möglich wäre. Einen sehr breiten Einsatz nutzt die Landeshauptstadt Stutt- gart. Dort setzt man mit E-Mail und Kalender, über Web-Konferenzen bis hin zum Enterprise Social Network alle Komponenten von HCL Soft- ware ein, um den 15000 Mitarbei- tenden eine möglichst umfassende und integrierte Lösung anbieten zu können. Den Kern bildet dabei HCL Notes/Domino, als sichere und zu- verlässige E-Mail- und Anwendungs- plattform. Individuelle Anwendungen Fachverfahren und dazu passende Fachanwendungen gibt es als Standardlösungen am Markt. Al- lerdings gibt es genauso auch immer den Bedarf an individuellen Lösun- gen, die teilweise recht kurzfristig umgesetzt werden müssen. Beispiel- weise wurde bei der Flutkatastrophe im Ahrtal 2021 eine Anwendung basierend auf HCL Domino einge- Abbildung 2: Behörden können wählen, wie und wo sie den Domino-Server betreiben wollen. On-Premises, in der Cloud oder hy- brid, möglich sind alle Optionen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 5

Management und Wissen Abbildung 3: HCL Verse ist für Nutzer, die nur einen schlanken Browser- und App-Zugriff für E-Mail und Kalender benötigen. Der Fokus liegt auch hier auf der Person. Abbildung 4: Domino-Zertiﬁ- katsmanager setzt, um die Hilfe zu organisieren. Die sichere Infrastruktur sowie die Möglichkeit der Replikation von Da- ten – die den Einsatz der Anwendung auch bei zeitweisem Ausfall der Inter- netverbindung möglich machte – ha- ben sich als sehr hilfreich erwiesen. Hinzu kommt dann noch der Nachfragedruck in Richtung mo- biler Apps. Hier gibt es verschiedene Ansätze, wobei HCL Volt MX den Weg geht, existierende Datenquellen (z. B. ERP-Systeme, Datenbank und auch HCL Domino Daten) über be- stehende Konnektoren einzubinden und mit nur einem Quellcode native Anwendungen für den Browser (als sogenannte Progressive Web App) oder für mobile Betriebssysteme wie Android und iOS zu erzeugen. Das Unternehmen Henkel arbeitet damit im internen Betrieb, während Fir- men wie Michaels in den USA auch Endkunden mit einbinden. Eine der interessantesten Anwendungen ist jedoch die des Department of Motor Vehicles Licensing Authority (kurz: DMV): Hier kann man mit Volt MX Apps virtuell seinen Führerschein beantragen und Behördengänge organisieren. Das zeigt, dass nicht nur interne Anwendungsfälle, son- dern gerade auch die Kontakte zu Endkunden und Bürgern verbessert werden können. Das HCL Portfolio – eine datenschutzkonforme Alternative Für eine ganzheitliche Lö- sung gibt es bei HCL Software also folgende Komponenten: ––——— HCL Domino – als sicherer und zuverlässiger E-Mail- und An- wendungsserver ––——— HCL Notes – als E-Mail- und Anwendungsclient ––——— HCL Verse – als Anwen- dung für alle Nutzenden, die nur einen schlanken Browser- und App-Zugriff für E-Mail und Kalender benötigen ––——— HCL Sametime – als Lösung für Web-Meetings ––——— HCL Connections – für die Zusammenarbeit mit Expertinnen und Experten im eigenen und in anderen Unternehmen, auch an Dokumenten ––——— HCL Volt MX – als Entwick- lungsumgebung für mobile Anwen- dungen Hinzu kommen Lösungen für den Betrieb: ––——— HCL BigFix – zur Verwal- tung und Absicherung der Endgeräte (also PCs, Macs, Server, virtuelle Ma- schinen, Cloud-Server oder mobile Endgeräte) ––——— HCL AppScan – für Sicher- heitstests an Anwendungen ––——— HCL SecureDevOps – für die Entwicklung und den Betrieb von individuellen Anwendungen Somit zeigt sich, dass sich die oben genannten Kriterien für ein modernes Arbeitsumfeld mit einer Lösung erfüllen lassen, die nicht in einer öffentlichen Cloud eines US-amerikanischen Unternehmens laufen muss. Damit wird es deutlich einfacher, einen datenschutzkon- formen Betrieb zu gewährleisten, da die Lösungen – auch beispielsweise die mobile App zu HCL Sametime – keine Daten an HCL Software als Hersteller weiterleiten. Letzteres ist auch ein gutes Argument gegen Open-Source-Programme wie bei- spielsweise Jitsi, bei der die Hersteller der mobilen Apps oftmals Funktio- nen von Drittanbietern integrieren, die ihnen das Debugging oder auch die Nutzungsanalyse ermöglichen sollen, was unweigerlich zum Ab- ﬂuss von Daten führt. Hier punktet HCL also in Sachen Datenschutz erneut. n 6 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

Management und Wissen Sicherer Dokumenten- austausch für staat- liche Einrichtungen So vielfältig die Einrichtungen der staatlichen Infrastruktur auch sind, eine grundlegende Gemeinsamkeit ist ihr Bedarf nach einem manipulationssicheren Informations- und Doku- mentenaustausch. Ein nicht zu unterschätzender Aspekt, ge- rade im Zuge der zunehmenden Digitalisierung, denn als po- tenzielles Einlasstor für Schadprogramme ist der sichere Doku- mentenaustausch ein elementarer Baustein der Cybersecurity. Von Stephan Leschke, Ferrari electronic AG Die Digitalisierung staatli- cher Infrastrukturen sorgt für ein deutliches Plus an Komfort und Flexibilität – sowohl für deren Mit- arbeitende als auch für Bürgerinnen und Bürger, die Dienste der Einrich- tungen in Anspruch nehmen. Fakt ist aber auch, dass diese Entwicklung unweigerlich mit einer Vielzahl neuer Optionen für Cyberkriminelle einhergeht – und diese auch genutzt werden. Tatsächlich ist die Anzahl der Straftaten im Bereich Cybercrime in den vergangenen Jahren kontinu- ierlich angestiegen. Allein 2021 hat das Bundeskriminalamt mehr als 146 000 Delikte registriert, was einem Anstieg von rund 12 Prozent gegen- über dem Vorjahr entspricht. Umso wichtiger ist es, jegli- chen Angriffsmöglichkeiten gezielt entgegenzuwirken. Eine nicht zu unterschätzende Rolle kommt hier dem Austausch von Dokumenten zu. Sind diese weder zeitkritisch noch vertraulich und erfordern keinen Empfangsnachweis, ist ein Versand per E-Mail unkompliziert und ver- tretbar. Handelt es sich allerdings um sensible Dokumente, die einen rechtssicheren und DSGVO-konfor- men Transfer erfordern, sollte aus- schließlich auf passgenaue Lösungen zurückgegriffen werden. Ein Aus- tausch per E-Mail empﬁ ehlt sich nur bedingt, da das hier zur Anwendung kommende Serverhopping Angriffe und Manipulationen begünstigt. Manipulationssicherer Transfer Eine softwarebasierte Doku- mentenaustauschlösung, die einen manipulations- und rechtssicheren Transfer in IP-Umgebungen sicher- stellt, ist die Ofﬁ ceMaster Suite des Berliner Herstellers Ferrari electro- nic. Sie verbindet das vorhandene E-Mail-System mit den Kommu- nikationswegen Next Generation Document Exchange (NGDX), Fax, Voicemail und SMS zu einer intelli- genten und sicheren Uniﬁ ed-Com- munications-Lösung. Ihr Feature NGDX sorgt dafür, dass Dokumente im Original verlustfrei und End-to-end als PDF im E-Mail-Postfach des Empfängers eingehen. Formatierungen, Farben und selbst hohe Auﬂ ösungen bleiben erhalten. Metadaten und Schlag- worte werden ebenfalls übertragen, was eine weitere Bearbeitung in Dokumentenmanagementsystemen erleichtert. Potenziell schädliche aktive Inhalte wie Hyperlinks oder Applikationen sind hingegen von der Übertragung ausgeschlossen. Quittiert wird der erfolgreiche Transfer mit einem qualiﬁ zierten Sendebericht, der auch vor Gericht Bestand hat. An oberster Stelle steht bei all dem die Datensicherheit: Um zu verhindern, dass Inhalte mitgele- sen oder abgefangen werden, setzt NGDX auf ein Zusammenspiel aus asymmetrischer und symmetrischer Verschlüsselung. Damit sind sowohl das Dokument selbst als auch sein Transportweg kodiert. Ein Muss gerade für Einrichtungen der staat- lichen Infrastruktur, die mitunter große Mengen vertraulicher Daten verarbeiten. Papiergebundene und di- gitale Prozesse verbinden Neben der Möglichkeit eines manipulationssicheren Dokumen- tenaustauschs bietet die Ofﬁ ceMas- ter Suite einen weiteren entscheiden- den Mehrwert für die Digitalisierung: NGDX ist in der Lage, hybride Dokumente zu übertragen. Papierge- bundene Prozesse lassen sich so mit digitalen verbinden und das Prinzip des papierlosen Büros vorantreiben. Wird NGDX mit einem BPM-System gekoppelt, können die übermittelten Dokumente automatisch erfasst, Inhalte extrahiert und weitere Pro- zessschritte, wie das Hinterlegen von Informationen in Datenbanken oder ERP-Systemen, angestoßen werden. Die analoge Bürokratie ist auch in staatlichen Einrichtungen ein Auslaufmodell, so viel ist sicher. Damit das favorisierte Konzept der digitalen Verwaltung nicht auf Kos- ten der Sicherheit geht, muss der verantwortungsvolle Umgang mit digitalen Daten oberste Priorität ha- ben. Intelligente Dokumentenaus- tauschlösungen wie die Ofﬁ ceMaster Suite von Ferrari electronic legen hierfür die Basis. n 8 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

Sicherheitskonzept nach BSI-Grundschutz – wie Sie Fehler vermeiden Es kommt entscheidend darauf an den richtigen Scope zu wählen Das Scoping definiert sozusagen das Fundament. Dabei haben Unternehmen die Wahl zwischen zwei Herangehens- weisen Sie analysieren ihre gesamte Organisation Sie beschränken sich auf einen Teilbereich Wie Unternehmen hier am besten vorge- hen kann beispielsweise in einem Training der TÜV NORD Akademie erlernt werden. Alle Infos zu: BSI-Grundschutz Modellierung & Scoping Mehr Informationen rund um das Thema „Sicherheitskonzept nach BSI-Grundschutz“ finden Sie in unserer IT-Themenwelt: www.tuev-nord.de/wissen/it Unternehmen, die den IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) als Basis für ihr ISMS verwenden, müssen ein Sicherheitskonzept erstellen. Dabei stoßen sie oft schon im Anfangsstadium auf Schwierigkeiten. Besonders bei der Festlegung des Informationsverbundes und seines Geltungsbereichs, des soge- nannten Scopings. Hier werden Fehler begangen, die sich im Audit oder später bitter rächen können. Aber auch die auf den ersten Blick einfache Modellierung nach BSI-Grundschutz wird schnell zum Stolperstein. Ein weiterer wichtiger Aspekt im Rah- men der Sicherheitskonzeption ist die Assoziation der Objekte untereinander. Diese müssen in Form einer Kaskade miteinander verknüpft werden. Nur so lassen sich Abhängigkeiten für den Schutzbedarf und Auswirkungen von Schwachstellen abbilden. Zum Glück lassen sich böse Über- raschungen vermeiden. Um sich zurechtzufinden und keinen Baustein sowie kein Detail zu vergessen, können Schulungen bei der Umsetzung her- vorragend unterstützen. TÜV NORD Akademie Ihr Weiterbildungsspezialist für BSI Grundschutz-Seminare Mit unseren zertifizierten Seminaren im Bereich Informationsmanagement schaffen Sie Sicherheit für die digitalisierten Informationen Ihres Unternehmens Hier finden Sie alle IT-Seminare: www.tuev-nord.de/bsi-seminare L e r n e n S i e We i t e r b i l d u n g n e u k e n n e n !

Management und Wissen New Work im VS-Umfeld Kollaborativ arbeiten mit sensiblen Daten Spätestens seit der Pandemie sind Kollaborationsdienste, die Präsenzmeetings komplett oder teilweise ergänzen können, zu einem festen Bestandteil der neuen, flexibleren und ortsunabhängigeren Arbeitswelt geworden. SINA und SINA Workflow zeigen, dass der Umgang mit sensiblen oder eingestuften Daten dabei kein Hindernis sein muss. Von Christian Eisenried, secunet Security Networks AG Verschlusssachen (VS) im Spiel sind. Seit Beginn der Pandemie hat secu- net eine Vielzahl von Behörden, die mit eingestuften Daten umgehen und daher die Anforderungen der Verschlusssachenanweisung (VSA) umsetzen müssen, mit sicheren mobilen Arbeitsplätzen ausgestattet. Dabei kommt die Sichere Inter-Netz- werk Architektur (SINA) zum Einsatz. Als ganzheitliches Sicherheitssystem schützt sie nicht nur einzelne Kom- ponenten, sondern die komplette digitale Infrastruktur. Neben dem Si- cherheitsaspekt steht bei SINA auch die Benutzerfreundlichkeit im Fokus. So lässt sich mit SINA eine moderne Arbeitsumgebung einrichten, die all die Funktionalitäten bietet, die für die heutige dezentrale Arbeitswelt charakteristisch sind. Damit kön- nen alle, die mit Verschlusssachen arbeiten, von den erheblichen Erleichterungen der Digitalisierung proﬁtieren. Das notwendige hohe Sicherheitslevel bleibt gewahrt. SINA-Lösungen sind nach Bedarf für verschiedene Geheimhal- tungsgrade verfügbar. Ein zentraler Baustein vieler SINA-Lösungen auf dem Schutzniveau des Geheim- haltungsgrads VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) ist der Client SINA Workstation S. Er bietet Anwender:inne:n trotz hoher Si- Videokonferenzen aus dem Home-Ofﬁce ersetzen immer mehr physische Meetings. Laut einer repräsentativen Studie des Bitkom aus dem Jahr 2022 arbeitet derzeit rund die Hälfte aller Erwerbstätigen hierzulande teilweise oder sogar vollständig im Home-Of- ﬁce. Neun von zehn Teilnehmenden gaben zudem an, auch nach der aku- ten Pandemie am mobilen Arbeiten festhalten und zumindest teilweise zu Hause arbeiten zu wollen. Moderne Büro-IT bildet das Fundament für diesen Wandel. Kolla- borationsdienste bieten den Rahmen für ein effektives Zusammenarbei- ten, auch ohne persönlichen Kon- takt. Doch neben der erwünschten Flexibilität entstehen zugleich neue Angriffspunkte. Parallel zur Ausdeh- nung von Home-Ofﬁce-Angeboten ist auch die Anzahl der Malware-Va- rianten weiter angewachsen. Das BSI hat in der Zeit von Juni 2019 bis Mai 2020, also einschließlich der ersten Welle der Pandemie, einen Anstieg von mehr als 20 Prozent beobachtet – so steht es im aktuellen BSI-Lage- bericht. VSA-konformer Kollabo- rationsarbeitsplatz Dennoch müssen Sicher- heitsbedenken die Einführung von Kollaborationsdiensten nicht aus- bremsen – auch dann nicht, wenn 10 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

cherheit einen Home-Ofﬁce-fähigen, digitalen Arbeitsplatz mit den übli- chen, leicht bedienbaren Betriebssys- temen, auf denen sogar gängige Tools für VoIP- beziehungsweise Video-Te- lefonie und Messaging, wie Teams, Skype oder Zoom, nutzbar sind. Digitale Meetings via Telefon und Video- konferenzen Mit SINA können Mee- tings also bequem ins Home-Ofﬁce verlegt werden. VSA-konforme Telefonie mit Kolleginnen und Kollegen ermöglicht der Voice-over- IP-Client, der standardmäßig als Softphone-Anwendung in der SINA Workstation S integriert ist. Auch Videokonferenzen werden unter- stützt: Video-Clients können über dedizierte VPN-Kanäle in die interne Videoinfrastruktur geroutet werden. So werden die vorhandenen Band- breiten optimal genutzt und Störun- gen bei der Bild- und Tonübertragung vermieden. Messaging ohne Sicherheitsbedenken Mit dem sicheren Messen- ger-Dienst stashcat können Mitar- beitende sich nicht nur via Chats sicher austauschen und vernetzen, sondern auch Kalenderfunktionen nutzen, Umfragen durchführen und Videokonferenzen umsetzen. Eine Dateiablage ermöglicht es, Doku- mente in der Projektarbeit im Team oder bei Bedarf auch extern zu teilen. Alle Daten werden Ende-zu-Ende verschlüsselt und nach den Anforde- rungen der EU-Datenschutzgrund- verordnung (DSGVO) verarbeitet. Der Messenger kann mit SINA in eine VS-Infrastruktur eingebunden werden. Gemeinsam an ein- gestuften Dokumenten arbeiten Für die Zusammenarbeit mit Verschlusssachen auch höherer Ganzheitliche Sicherheit für eine neue Arbeitswelt Darüber hinaus lassen sich die vielfältigen Möglichkeiten ei- ner sicheren Kollaboration durch ergänzende Lösungen erweitern. Unternehmen und Behörden, die ihre sichere VoIP-Telefonie über die Grenzen des eigenen Netzes aus- dehnen möchten, erhalten mit dem secunet SBC eine Lösung zur inter- nen Netzkopplung und externen Netzanbindung. Für die hochsichere Sprach- und Datenkommunikati- on über IP-Netze bietet der SINA Communicator H eine passende Ergänzung zur SINA Workstation auf dem Schreibtisch. Dabei handelt es sich um ein modernes Endgerät im Telefonformat, das auch für hohe Ge- heimhaltungsstufen bis einschließ- lich GEHEIM zugelassen ist. Moderne Kollaboration ist heute auch mit besonders schüt- zenswerten oder eingestuften Daten möglich. Wie immer, wenn es um IT-Sicherheit geht, ist dabei ein ganzheitlicher Ansatz ratsam. Dann lassen sich Cybersicherheit und New Work gut verbinden. Die Lösungen dafür liegen vor, sicherheitstech- nische Herausforderungen wurden durch aktuelle Technologie wie zum Beispiel starke Verschlüsselung ge- löst. Der Zuwachs an Efﬁzienz, der durch die digitale Transformation entsteht, kommt den Mitarbeiten- den zugute und im Fall der digitalen Verwaltung letztlich auch den Bür- gerinnen und Bürgern. n Einstufungen bis GEHEIM bietet die Lösung SINA Workflow das derzeit einzige durchgängig digitale Dokumentenmanagementsystem. Letzte papiergebundene Schritte bei der VS-Bearbeitung gehören somit endgültig der Vergangenheit an. Eingestufte Dokumente lassen sich mit wenigen Mausklicks sicher ver- teilen. Nutzer:innen können auf der SINA Workstation unter anderem Inhalte kollaborativ ausarbeiten und interne Abstimmungsprozesse mit Mitzeichnungen umsetzen. Auch das Prinzip „Kenntnis nur, wenn nötig“ setzt SINA Workﬂow digital um, indem Willensbekundungen der Anwender:innen zur Kenntnis- nahme bestimmter Informationen zweifelsfrei dokumentiert werden. Zusätzlich dazu bietet die Lösung unter anderem eine Ende-zu-En- de-Verschlüsselung aller Inhalte und Metadaten und stellt sicher, dass jede Information im System belast- bare Nachweise darüber enthält, welche Verarbeitungs- und Ver- waltungsschritte damit ausgeführt wurden. Auch eine Interoperabilität mit der gewöhnlichen – also nicht eingestuften – eAkte lässt sich her- stellen. Grundsätzlich handelt es sich bei digitalen Verschlusssachen und gewöhnlichen eAkten um zwei getrennte Systeme. Daher mussten bislang eAkten, die später als VS eingestuft werden, neu angelegt werden. Um diesen unnötigen Arbeitsaufwand zu vermeiden und einen reibungslosen Übergang zu VS zu ermöglichen, haben secunet und Materna beispielhaft eine passende Schnittstelle zur Integration von SINA Workﬂow und dem eAkten-Sys- tem nscale von Ceyoniq entwickelt. Beim Übergang bleiben sämtliche Informationen erhalten. Der Prozess sieht vor, dass eine eAkte, sobald sie als VS eingestuft wird, in dem System für gewöhnliche eAkten gar nicht mehr verfügbar ist, sondern nur noch in den VS-Ablagen vorliegt – verschlüsselt und vor unbefugtem Zugriff geschützt. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 11

Management und Wissen Implizites Vertrauen wird zum Auslaufmodell Ganzheitliche IT-Sicherheit dank Zero Trust Hybride Arbeitsmodelle, die Nutzung von Cloud-Services und eine steigende Bedrohungs- lage durch Cyberattacken: All das macht es für Behörden höchst komplex, eine umfassende Sicherheit zu gewährleisten und dabei regulatorische Vorgaben einzuhalten. Mit der Umset- zung des Zero-Trust-Konzepts können sich Organisationen ausreichend schützen. Von Ralf Nemeyer, Computacenter Um die erforderliche Sicherheit zu gewährleisten, müssen Behörden ihren gesamten IT-Verbund unter Kon- trolle haben. Und genau hier liegt die Herausforderung: Da der Perimeter früher klar deﬁ niert war, ließen sich die internen IT-Systeme durch den Schutz der Netzwerkgrenze relativ einfach absichern. Doch mit hybriden Arbeitsmo- dellen, der Nutzung von Cloud-Services und zusätzlicher Hardware durch Bring your own device (BYOD) ver- schwimmen inzwischen zunehmend die Grenzen. Die Folge sind unbekannte IT-Systeme und Netz- werkzugänge, während sich die grundlegenden Schutzmaß- nahmen, wie Patching, Schutz der Arbeitsplatzrechner und der Infrastruktur sowie eine wirksame Cyberabwehr, nicht mehr kontrolliert umsetzen lassen. Somit reicht es nicht aus, Verbindungen am Perimeter abzusichern. Mit dem Si- cherheitsansatz Zero Trust lässt sich diese Problematik lösen. Segmentierung und durchgängige Kontrolle Zero Trust umfasst eine Reihe von Prinzipien, die in der NIST-Sonderveröffentlichung 800-207 beschrieben sind. Angefangen von Identity- und Access-Management (IAM), Assetmanagement und Netzwerksegmentierung sowie Systemhärtung bis hin zu Schwachstellen- und Patchmanagement. All diese Ansätze zielen darauf ab, sich vom impliziten Vertrauen zu lösen, das bisher durch abgesicherte Perimeter für die interne Netzwerkkommuni- kation bestand. Dadurch kommt die öffentliche Hand in die Lage, Sicherheit in modernen Rechenzentrums- und Applikationsumgebungen zu gewährleisten und regula- torische Vorgaben schnell sowie ﬂ exibel und mit hoher Efﬁ zienz umzusetzen. Zentrale Anforderung ist dabei die Einführung von Zero-Trust-Architekturen mit einer durch- gängigen Kontrolle der Verbindungen (Micro Segmenta- tion), der Anwenderberechtigungen und des Kontextes, unabhängig vom Ursprung der Kommunikation. Automatisierter Verbindungs- abbruch schützt Der Zero-Trust-Ansatz unterstützt dabei, Securi- ty-Lösungen schnell und agil anzupassen und betreibbar sowie effektiv zu gestalten. Denn Zero Trust begegnet den nicht beherrschbaren topologischen Komplexitäten, beispielsweise unbekannten Netzwerkzugängen oder IT-Systemen, indem einzelne Verbindungen abgesichert werden. Um das sicherzustellen, müssen alle Aspekte einer Zero-Trust-Architektur betrachtet werden und inei- nandergreifen. Auf dieser Basis lassen sich Verbindungen danach überprüfen, ob sie berechtigt sind, sich im Kontext ge- sicherter IT-Systeme zu beﬁ nden und keine Indicator of Compromise (IoC) – also Merkmale, die auf eine Kompro- mittierung hinweisen – vorliegen. Sind diese Bedingungen nicht erfüllt, werden die Verbindungen automatisch durch einen Policy Decision Point unterbrochen. Zero Trust – eine Geisteshaltung Zero Trust stützt sich auf viele verschiedene Grundlagen, wie digitale Identitäten und die Fähigkeit, den Zugang mithilfe von vertrauenswürdiger Automati- sierung schnell bereitzustellen und wieder zu deaktivieren und ist somit keine singuläre Lösung oder Technologie, sondern vielmehr eine Geisteshaltung. Unabhängig davon, welcher Use Case aktuell auf der Agenda einer Organisation steht: Computacenter besitzt in allen Berei- chen umfassendes Security-Know-how sowie langjährige Partnerschaften mit führenden Herstellern. Dadurch ist der IT-Dienstleister in der Lage, alle Themen zusammen- zuführen und das Zero-Trust-Konzept ganzheitlich und somit erfolgreich umzusetzen. Damit stellt Computacen- ter den dringend benötigten Schutz der IT-Infrastruktur in Behörden sicher. n 12 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

Ihr Digital Ofﬁce. Ihre Daten. Unter Ihrer Kontrolle. Digitale Zusammenarbeit zu jeder Zeit und von überall. Datenschutz steht dabei immer an erster Stelle, egal ob beim Betrieb auf Ihren eigenen Servern oder in einer beliebigen Cloud: Sie behalten stets die volle Kontrolle! Machen Sie sich unabhängig – mit HCL Software hclsw.de/DO Neue Version unserer Webmeeting-Lösung Mit HCL Sametime können Sie modern, sicher und dabei datenschutzkonform interne und externe Web-Meetings nutzen. Erfahren Sie mehr unter: https://hclsw.de/WebMeeting HCL Technologies Germany GmbH · Frankfurter Straße 63-69 · 65760 Eschborn @ V P N A P P S DOKUMENTE WEBMEETING

Management und Wissen On-Premises und in der Cloud Security muss sich bewegen Bis Ende des Jahres haben Bund, Länder und Kommunen noch Zeit, das Gesetz zur Verbesserung des Onlinezugangs zu Verwaltungsleistungen (OZG) umzusetzen. Eine große He- rausforderung ist dabei die Absicherung der digitalen Infra- struktur. Mit einem Plattform-Ansatz gelingt es, Komplexität und Aufwand zu reduzieren und umfassende Security in der hybriden Multi-Cloud-Umgebung zu etablieren. gen. Um den Kampf gegen Cyber- bedrohungen und Hackerattacken effektiv zu führen, lautet nun der Ansatz: Never Trust, Always Verify. Kommunikationsbeziehungen sind im Zero-Trust-Modell per se nicht mehr vertrauenswürdig, jeder Zugriff benötigt eine Authentifizierung. Nur so kann der Bund langfristig die digitale Souveränität bewahren. Das betrifft insbesondere Cloud-Infra- strukturen, sowohl die der großen Hyperscaler als auch die deutsche Verwaltungs-Cloud. Hierfür muss die IT-Security integraler Bestandteil sein und sollte bereits in der Kon- zeptionsphase einkalkuliert werden. Laut dem Service-Standard für die digitale Verwaltung sind dabei die Vorgaben nach BSI-Grundschutz einzuhalten. Zu den wichtigen tech- nischen Anforderungen zählen zum Beispiel Malware-Schutz, Patch- und Schwachstellen-Management sowie die Fähigkeit, Bedrohungen schnell zu erkennen und zu mitigieren. In der Praxis stellen sich bei der Absicherung der neuen digitalen Infrastruktur zahlreiche Herausfor- derungen. Zunächst einmal ist es wichtig, sich der eigenen Verant- wortlichkeiten bewusst zu werden. Was übernimmt der Cloud-Provider und worum müssen sich IT-Teams selbst kümmern? In der Public-Cloud gilt das sogenannte Shared-Res- ponsibility-Modell: Der Anbieter sorgt zwar für die Absicherung von Hardware, Software, Netzwerk und Einrichtungen, auf denen der Cloud-Service ausgeführt wird. Für den Schutz dessen, was Kunden innerhalb der Cloud betreiben, also ihre Applikationen, Daten und das Gesamtbetriebssystem, sind sie aber selbst zuständig. Cloud-Technologie. Allerdings gelten dabei gerade im Umfeld staatlicher Infrastrukturen hohe Anforderun- gen. Neben Datenschutz und Da- tensicherheit geht es vor allem um die Frage der digitalen Souveränität. Organe der öffentlichen Verwaltung dürfen sich nicht abhängig von einzelnen großen Cloud-Providern machen. Denn sonst läuft man im schlimmsten Fall Gefahr, auch poli- tisch erpressbar zu sein. Um solche Abhängigkeiten zu vermeiden, ha- ben die Regierungsparteien im Koa- litionsvertrag klar deﬁniert, dass bei der Cloud für die öffentliche Verwal- tung eine Multi-Cloud-Strategie mit offenen Schnittstellen und strengen Sicherheits- und Transparenzvorga- ben verfolgt werden soll. Indem man Cloud-Services verschiedener Provi- der kombiniert und auf die Möglich- keit achtet, Workloads zwischen den Umgebungen zu verschieben, bleibt die Entscheidungs- und Handlungs- freiheit gewahrt. Von Dirk Arendt, Trend Micro Während Bürgerinnen und Bürger in anderen Ländern schon viele Behördenprozesse online erle- digen können, hinkt die öffentliche Verwaltung in Deutschland noch hinterher. Nach wie vor bleibt in den meisten Fällen nur der Weg aufs Amt. Das soll sich ändern – so will es auch das Gesetz zur Verbesserung des Onlinezugangs zu Verwaltungsleis- tungen (OZG). Es verpﬂichtet Bund, Länder und Kommunen, ihre Diens- te auch elektronisch über Verwal- tungsportale anzubieten. Davon pro- ﬁtieren nicht nur die Bürger, die sich weite Wege und lange Wartezeiten sparen, sondern auch die Behörden. Denn durch die Digitalisierung las- sen sich Prozesse efﬁzienter gestal- ten, die Fehleranfälligkeit reduzieren und Ressourcen sparen. Bereits seit August 2017 ist das OZG in Kraft. Bis Ende 2022 haben Bund, Länder und Kommunen noch Zeit, es umsetzen. Der Countdown läuft also. Basis für die Digitalisierung bildet die passende IT-Infrastruktur. Diese muss es Nutzern ermöglichen, von jedem beliebigen Standort und Endgerät aus auf die Verwaltungs- leistungen zuzugreifen – und zwar möglichst einfach. Denn oberste Priorität hat laut OZG die Anwen- derfreundlichkeit. Das geht nur mit Zero Trust als neues Paradigma Systeme in zwei Welten managen Für die Umsetzung des OZG spielt außerdem die IT-Security eine zentrale Rolle. Dabei ist insbeson- dere der Paradigmenwechsel des Innenministeriums zu berücksichti- Mit der Cloud wächst die Security-Verantwortung also um eine neue Dimension. IT-Teams müssen sich jetzt neben der Absicherung der On-Premises-Umgebung auch noch 14 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

um die Cloud-Spaces kümmern. Sie müssen Security-Systeme in zwei verschiedenen Welten aufbauen, managen und Risiken individuell be- werten. Das ist aufwändig und erfor- dert spezialisiertes Know-how. Denn Cloud-Security funktioniert anders als On-Premises-Security. Hier gibt es neue Risiken zu berücksichtigen, allen voran Fehlkonfigurationen. Diese sind für den Großteil der Sicherheits- vorfälle in der Cloud verantwortlich. So sorgen zum Beispiel falsch ge- setzte Berechtigungen und fehlende Zugangsbeschränkungen dafür, dass sensible Daten öffentlich im Internet exponiert sind oder Cyberkriminelle Scripte in Cloud-Speichern manipu- lieren können. Dazu kommt, dass die Multi-Cloud alles noch schwieriger macht. Jeder Cloud-Provider hat seine eigenen Besonderheiten, mit denen man sich detailliert auskennen muss. Und für jeden gibt es wieder eine eige- ne Management-Konsole. So entsteht durch die hybride Multi-Cloud-Um- gebung eine enorme Komplexität, die kaum noch zu bewältigen ist – schon gar nicht in Zeiten des Fachkräfte- mangels. Wenn IT-Teams unzählige Silos im Auge behalten müssen, fehlt zudem ein zentraler Blick auf das Se- curity-Geschehen. Gerade der aber ist wichtig, um moderne Cyberangriffe schnell genug zu entdecken – denn diese erstrecken sich häufig über einen längeren Zeitraum und viele verschiedene Angriffsvektoren. Anforderungen an die Security Um diese Herausforderun- gen zu lösen und eine sichere Di- gitalisierung zu ermöglichen, ist es wichtig, Komplexität zu reduzieren, Silos aufzubrechen und Transparenz zu gewinnen. Alle erforderlichen Se- curity-Funktionen sollten sich zen- tral und einheitlich managen lassen. Ebenso sollten alle Security-Infor- mationen zentral zusammenﬂießen, sodass eine ganzheitliche Detection & Response über alle Angriffsvekto- ren hinweg möglich wird. Um das IT-Team weiter zu entlasten, emp- ﬁehlt es sich zudem, möglichst viele Security-Prozesse zu automatisieren. Eine der wichtigsten Anforderun- gen aber ist Flexibilität. Nur wenn Security-Funktionen unabhängig von der Infrastruktur überall gleich funktionieren, kann man Workloads sicher zwischen verschiedenen Umgebungen hin- und herschie- ben. Security muss ﬂexibel mit der digitalen Infrastruktur mitwachsen und Bewegungen in alle Richtungen ermöglichen. Denn auch bei fort- schreitender Digitalisierung wird es immer Workloads geben, die im eigenen Rechenzentrum bleiben. Vielleicht müssen manche Prozesse gar nicht agiler werden und sind gut dort aufgehoben, wo sie sich gerade beﬁnden. Hier gilt es, immer den jeweils besten Weg für den indivi- duellen Anwendungsfall zu wählen. Das kann auch bedeuten, bei Bedarf wieder Workloads aus der Cloud zurückzuholen. Ein Plattform-Ansatz ist gefragt Mit einer Cloud-Securi- ty-Plattform lassen sich die ge- nannten Anforderungen erfüllen. Trend Micro Cloud One vereint alles, was für die ganzheitliche Ab- sicherung der hybriden Multi-Cloud erforderlich ist: Endpoint-Security, Network-Security, Workload-Se- curity, Application-Security, Con- tainer-Image-Security, File-Stora- ge-Security und Cloud-Conformity. Die Security-Funktionen lassen sich zentral managen und wahlweise On-Premises oder in der Cloud be- reitstellen. Per API integriert sich die Plattform zudem nahtlos in AWS, Azure, Google Cloud oder auch in Clouds anderer Betreiber und die ei- gene Private-Cloud. Dadurch wird es möglich, auch verschiedene Clouds zentral zu überwachen. Vor Fehlkonﬁgurationen in der Cloud schützt Cloud Security Posture Management. Die Funktion scannt die gesamte Cloud-Umge- bung automatisiert auf Schwachstel- len und Compliance-Verstöße und gibt Schritt-für-Schritt-Anleitungen, um sie zu beheben. File-Storage-Se- curity sichert Cloud-Speicher ab. Die Module-Application-Securi- ty und Container-Image-Security ermöglichen es zudem, Sicher- heitsüberprüfungen bereits in die DevOps-Pipeline zu integrieren und Cloud-Applikationen von Grund auf sicher zu entwickeln. Komplettiert wird die Si- cherheitsaufstellung durch die um- fassende Threat-Defense-Plattform Trend Micro Vision One, die auf der Extended-Detection-and-Respon- se-(XDR)-Technologie basiert. XDR sammelt die Security-Informationen aller angeschlossenen Systeme in einem zentralen Data-Lake, sortiert False-Positives aus und korreliert die verbleibenden Alerts KI-gestützt zu verwertbaren Warnungen. IT-Teams sehen dann auf einen Blick, was in der IT-Umgebung passiert. Sie kön- nen Angriffe schnell erkennen und nachvollziehen, welche Systeme betroffen sind. Security muss Digitalisie- rungs-Enabler sein Mit einem ganzheitlichen, plattformbasierten Security-Konzept lässt sich die Digitalisierung der staatlichen Infrastrukturen zügig voranbringen. Security darf kein Hindernis sein, sondern muss viel- mehr den Weg bereiten. Sie sollte in der Lage sein, die Transformation in alle Richtungen zu begleiten – ob von On-Premises in die Cloud und wieder zurück oder von Cloud zu Cloud. Dabei gilt es, Risiken aller Um- gebungen zu adressieren, gleichzeitig aber Komplexität zu reduzieren und umfassende Transparenz zu schaffen. Das gelingt am besten mit einem Plattform-Ansatz. Trend Micro Cloud One im Zusammenspiel mit Trend Micro Vision One ermöglicht es Bund, Ländern und Kommunen, ihre Digitalisierung Schritt für Schritt und von Anfang an sicher zu gestal- ten. n © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 15

Management und Wissen Management und Wissen können Bürgerinnen und Bürger An- träge stellen und alle notwendigen Unterlagen sicher und verschlüsselt an die Behörde übertragen. Durch entsprechende Schnittstellen wer- den die Dokumente und Dateien di- rekt im zugehörigen System abgelegt und gespeichert – eine manuelle Be- arbeitung ist nicht mehr notwendig. Darüber hinaus eröffnet sich mit dem Absenden des Formulars automatisch ein sicherer und ver- schlüsselter Kanal zwischen Antrag- stellenden und Sachbearbeitenden. Hier können nun nach Bedarf En- de-zu-Ende-verschlüsselte Informa- tionen ausgetauscht und fehlende Unterlagen nachgereicht werden. Einklang von Usability und OZG-Konformität Bei der Software-Wahl soll- ten Behörden darauf achten, dass Anwendende keine umständlichen Programme nutzen müssen, sondern solche verwenden, die sich in die gewohnte Arbeitsumgebung nahtlos integrieren lassen. Denn die besten und innovativsten Lösungen brin- gen nichts, wenn sie nicht konse- quent genutzt werden. Mit der Secure Data Workﬂ ow Plattform von FTAPI (www.ftapi.com/ozg) beispielsweise lassen sich die optimal aufeinander abgestimmten Produkte flexibel miteinander kombinieren und ein- fach in den Arbeitsalltag der Mitar- beitenden integrieren. Das erhöht die Akzeptanz neuer Technologien und damit auch die Sicherheit von Systemen. Mit der Transformation zu einer digitalen, agileren Verwaltung haben Behörden schon einen Schritt in die richtige Richtung gemacht: Unnötige Amtsgänge werden bald ebenso der Vergangenheit angehö- ren wie umständliche Papierfor- mulare oder Rücksendeumschläge. Doch um rundum digital und vor allem sicher kommunizieren zu kön- nen, ist es noch ein weiter Weg. n Mehr Sicherheit durch Mehr Sicherheit durch Automatisierung Ein automatisierter Datenaustausch bietet Behörden zahl- reiche Möglichkeiten, sensible Daten zu schützen, Angriffs- flächen gegenüber Cyberattacken zu reduzieren und die Ver- waltung digitaler, schlanker und zukunftssicher aufzustellen. Von Ari Albertini, FTAPI Software GmbH Wenn es um Digitalisierung geht, hinken deutsche Behörden in- ternational hinterher. Die Bestrebun- gen der Regierung, wie etwa der Erlass des Onlinezugangsgesetzes (OZG) im Frühjahr 2017, um die Digitalisierung der Verwaltung voranzubringen, scheinen bislang nur ein Tropfen auf dem heißen Stein zu sein. Dabei klingt die Idee gut: Eine moderne, zukunftssichere Verwaltung zu schaf- fen, die Bürgerinnen und Bürger ins Zentrum stellt, die Potenziale der Digitalisierung nutzt und durch die Automatisierung digitaler Prozesse die Sicherheit von Systemen und Daten entscheidend erhöht. Sicherheitslücke E-Mail- Kommunikation Die öffentliche Verwaltung wird zunehmend Ziel von Angriffen von außen. Obwohl die Attacken immer ausgefeilter werden, bleiben die Methoden gleich: Am häuﬁ gs- ten sind es Malware-Angriffe. Dafür werden E-Mails so gefälscht, dass sie täuschend echt aussehen, um Mitar- beitende damit hinters Licht zu füh- ren. Bei sensiblen Informationen wie Gesundheits- oder Sozialdaten kann das einen sehr großen Schaden ver- ursachen. Haben sich Dritte Zugriff auf die Behörden-IT verschafft, ist es durch das Einschleusen von Schad- software möglich, ganze Systeme und die tägliche Arbeit für Wochen lahmzulegen. Für gefährliche Phishing- Mails benötigen Angreifende per- sönliche Informationen ihrer Opfer. Nur so ist es möglich, E-Mails zu verfassen, die vom Empfangenden kaum vom Original zu unterscheiden sind. Durch eine durchgängige En- de-zu-Ende-Verschlüsselung kann das unbemerkte Abﬂ ießen von Informa- tionen efﬁ zient verhindert werden. Neben der Verschlüsselung der Kommunikation können Be- hörden die sichere Automatisierung repetitiver Prozesse dazu nutzen, Hintertüren für Cyberkriminelle zu schließen und ein höheres Maß an Sicherheit zu erreichen. Ein konkreter Anwendungs- fall kann dabei so aussehen: Über ein abgesichertes Online-Formular 16 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

Management und Wissen Tipps zur Auswahl des richtigen Tools Mit BSI 200-4 zum belastbaren BCM Die Einführung eines Business-Continuity-Management (BCM) ist ein komplexer und zeit- aufwendiger Vorgang. Der BSI-Standard 200-4 liefert dafür eine detaillierte Anleitung. Wer zusätzlich vorhandene Datenbestände geschickt nutzt und bei der Toolauswahl die richtigen Schwerpunkte setzt, kann zügig ein Notfallmanagement etablieren. Von Silke Menzel, HiScout GmbH Mit dem BSI-Standard 200-4 können Organisationen so einfach wie nie ein Notfallmanagement aufbauen. Noch reibungsloser läuft es, wenn die verwendete Software vollständig an den neuen Standard angepasst ist und die besonderen Bedürfnisse des Unternehmens be- rücksichtigt. Ein etabliertes Informati- onssicherheitsmanagementsystem (ISMS) beinhaltet hochwertige Grundlagendaten, die für die Weiter- verwendung im BCM hervorragend geeignet sind. Eine BCM-Software mit ﬂexiblem Datenimport oder ge- meinsamer Datenbasis für verschie- dene Managementsysteme kann direkt auf diesen Daten aufsetzen. Sogar die in einer Risikoanalyse nach BSI-Standard 200-3 erstellten Risiko- und Maßnahmenkataloge können im BCM genutzt werden. Im besten Fall können Grundschutz- und BCM-Bearbeiter gemeinsam eine fachbereichsübergreifende Bewer- tung vornehmen. Komplexe Organisationen benötigen darüber hinaus ein Soft- waretool mit vorbereitetem Berech- tigungs- und Mandantensystem, das eine schnelle Inbetriebnahme mit Steuerung der Zugriffsrechte ermöglicht. Individuell konﬁgurieren Für die Bearbeiter steht die Business-Impact-Analyse (BIA) im Mittelpunkt. Zur Bewertung der Prozesse werden einzelne Scha- densszenarien wie „Finanzielle Auswirkungen“, „Beeinträchtigung der Aufgabenerfüllung“, „Negative Innen-/Außenwirkung“, „Compli- ance-Verstöße“ und „Persönliche Unversehrtheit“ benötigt. Dabei soll- ten unbedingt die besonderen Kri- tikalitätskriterien der Organisation Berücksichtigung ﬁnden, zum Bei- spiel für das Risikoakzeptanzniveau und die Bewertungshorizonte. Mit einer zweistuﬁgen Vorgehensweise lässt sich viel Zeit einsparen, weil nach der ersten Phase der Prozessbe- wertung nur noch die Ressourcen der zeitkritischen Prozesse zu betrachten sind. Im nachfolgenden Soll-Ist- Vergleich sollten die selbst gesetzten mit den real erreichbaren Wie- derherstellungszielen abgeglichen werden. Die Ergebnisse der Tests und Übungen ﬂießen direkt in den Soll-Ist-Vergleich zurück, um die behandlungsbedürftigen Ressourcen zu ermitteln. Überwachung und Zertiﬁzierung In einem KPI-Dashboard kann der aktuelle Stand des Manage- mentsystems auf einen Blick erfasst und dringender Handlungsbedarf identiﬁziert werden. Bei der Erstel- lung von Berichten kommt es darauf an, diese den prüfenden Behörden aktuell und in einem gut prüfbaren Format bereitstellen zu können. Ein integriertes BCM-Dokumentenma- nagement und das verschlüsselte Speichern der PDF-Dokumente in einer Cloud bieten zusätzliche Si- cherheit. Im Notfall sicher agieren Zur Absicherung eines Not- falls sollten im BCM Geschäftsfort- führungspläne, Wiederanlaufpläne und insbesondere IT-Wiederan- lauf-Koordinierungspläne bereitste- hen, die sowohl die Herstellung eines angemessenen Notbetriebes als auch die Wiederaufnahme des Normalbe- triebes regeln. Im Falle einer Krise wer- den Notfallteams oder Krisenstäbe benötigt. Diese werden am besten direkt in der BCM-Software als be- sondere Aufbauorganisation (BAO) mit Verantwortlichkeiten und auto- matisiert ablaufenden Alarmwegen beschrieben. Fazit Mit dem BSI-Standard 200-4 und einem dem Standard eng fol- genden Software-Tool lässt sich Schritt für Schritt ein belastbares Business-Continuity-Management aufbauen. In der neuen Version des Moduls HiScout BCM wurden Datenmodell und Workﬂows spezi- ell für den BSI-Standard 200-4 neu aufgesetzt. n © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 17

Interview Kaspersky erneuert SOC 2-Audit Cybersicherheit auf dem Prüfstand Vertrauen in Cybersicherheit ist nur durch maximale Transparenz und kontinuierliche Prozess- überprüfung möglich. Eindeutige, nachprüfbare Bewertungskriterien tragen zu einer sicheren, vertrauenswürdigen Digitalisierung bei. Ein Interview mit Christian Milde, Geschäftsführer Central Europe bei Kaspersky. Herr Milde, Cybersicherheit gewinnt gerade aufgrund der zu- nehmenden Digitalisierung immer mehr an Bedeutung. Welche Kriteri- en muss digitale Sicherheitstechno- logie Ihrer Meinung nach erfüllen, um IT-Infrastruktur und sensible Daten zu schützen? Grundlegend sind in diesem Zusammenhang insbesondere die Aspekte Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertrau- lichkeit und Datenschutz. Diese Parameter müssen uneingeschränkt erfüllt sein, um ein Maximum an Sicherheit zu gewährleisten. Hierbei legen wir Wert auf wiederkehrende Auditierungen nach internationa- len Standards. 2019 wurden die Entwicklungs- und Freigabeprozesse der Kaspersky-AV-Datenbanken nach den Richtlinien des vom Ame- rican Institute of Certiﬁed Public Accounts (AICPA) [1] entwickelten Standards SOC 2 erstmals erfolg- reich auditiert. Dabei analysieren die Prüfer die Beschreibungen und Dokumentationen, bewerten diese und evaluieren die Systemkontrollen im Produktivbetrieb. Dieser Auditie- rungsprozess wurde dieses Jahr von einer der vier großen Wirtschaftsprü- fungsgesellschaften wiederholt und wir haben erneut das Zertiﬁkat des AICPA erhalten. Auditierungen und Zertiﬁzierungen nach anerkannten Industriestandards leisten einen großen Beitrag zur Steigerung von Vertrauen und Sicherheit. Kunden und Partner erhalten darüber wich- tige Informationen und Argumente für eine Kaufentscheidung. Wie kann man sich einen derartigen Audit-Prozess im Detail vorstellen? Zunächst wurden die für die genannten Prozesse verantwortli- chen Führungskräfte, ﬁrmeninter- nen Prüfteams sowie unmittelbar beteiligten Mitarbeiter befragt. Zudem haben die Prüfer alle Unter- Eugene Kaspersky, CEO und Fir- mengründer von Kaspersky, im Daten- zentrum in Zürich lagen, Aufzeichnungen und Doku- mentationen geprüft. Dazu zählen beispielsweise Standardreports, wie im System konﬁgurierte, parameter- gesteuerte Berichte, die von unseren Systemen generiert werden. Weitere Beispiele sind benutzerdefinierte Berichte, die nicht zum Standard der Anwendung gehören. Welche Merkmale wurden im Laufe des Audits bewertet? Es ging hauptsächlich um den Systembetrieb, logische und physische Zugriffskontrollen, das Kontrollumfeld und die Kontroll- tätigkeiten. Außerdem wurden Kommunikation und Information, Change-Management, die Risikobe- wertung und die Risikominimierung bewertet. Könnten Sie auf einzelne Punkte etwas näher eingehen? Kaspersky setzt moderne Erkennungs- und Kontrollverfahren ein, um Änderungen an Konﬁgu- rationen zu identiﬁzieren, die zum versehentlichen oder bewussten Einbau von Schwachstellen führen können. Dabei überwacht Kaspersky die Systemkomponenten und den Betrieb dieser Komponenten auf Anomalien, die auf schädliche Hand- lungen, Systemstörungen und Fehler hinweisen, die die Fähigkeit des Un- ternehmens beeinträchtigen könn- ten, die Schutzziele zu gewährleisten. Jede Änderung am Quellcode durch- läuft ein dezidiertes Prüfverfahren, 18 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022

um ihre Integrität und Sicherheit zu bestätigen. Bei den Review-Pro- zessen zur Erstellung von Updates sind Kaspersky-Experten außerhalb Russlands immer mit einbezogen – einschließlich der Kaspersky-Teams in den USA und Kanada. Ein weiteres Beispiel ist die Risikominimierung: Kaspersky iden- tiﬁziert, entwickelt und setzt alle erforderlichen Risikominimierungs- maßnahmen um, die sich aus poten- ziellen Geschäftsunterbrechungen ergeben können. Dabei werden kontinuierlich alle Risiken mit Blick auf Zulieferer und die gesamte Sup- ply-Chain bewertet. Genau diese Prozesse hat der Auditor geprüft. Ist eine strikte Aufgaben- trennung innerhalb des Unter- nehmens der Schlüssel zu mehr Sicherheit? Absolut! Ein Schlüssel zu mehr Sicherheit liegt darin, wie der Zugriff auf Daten, Software, Funkti- onen und andere geschützte Infor- mationsbestände auf der Grundlage von Rollen, Zuständigkeiten oder des Systemdesigns autorisiert, geändert oder aufgehoben wird. Kaspersky verfolgt dabei stringent die Konzepte der geringsten Privilegien und der Aufgabentrennung, um höchste Schutzziele zu erreichen. IT-Sicherheit beruht auf Vertrauen – und Vertrauen auf Transparenz. Welche Maßnahmen ergreift Kaspersky neben dem be- sprochenen Audit zusätzlich? Wir haben in den vergange- nen Jahren als erstes Unternehmen unserer Branche wichtige Schritte unternommen und Maßnahmen implementiert, um technologische Transparenz und die Vertrauenswür- digkeit Kasperskys zu steigern. Die Verlagerung der Verarbeitung und Speicherung von Bedrohungsdaten in Rechenzentren in die Schweiz und die Eröffnung globaler Trans- parenzzentren, in denen der Quell- code unseres Unternehmens, die Software-Updates und die Regeln zur Bedrohungserkennung von ver- trauenswürdigen Partnern, Kunden und Regierungsbehörden eingese- hen werden können, sind für uns ein Grundpfeiler und ein Zeichen unserer Verpflichtung für mehr Transparenz. Da wir das schon seit 2018 machen, haben wir in diesem Bereich in der Cybersicherheit ein Benchmark gesetzt! Die Erneuerung des SOC-2-Typ-1-Berichts ist Teil un- serer globalen Transparenzinitiative und zeigt unser kontinuierliches En- gagement für Rechenschaftspﬂicht. Anfang dieses Jahres erneuerten wir zudem auch die Zertiﬁzierung nach ISO 27001:2013, einem internati- onal anerkannten Sicherheitsstan- dard, der von der unabhängigen Zertiﬁzierungsstelle TÜV AUSTRIA ausgestellt wird. Das BSI hat vor dem Hinter- grund des Kriegs in der Ukraine vor dem Einsatz von Kaspersky-Viren- schutzprodukten gewarnt. Können Sie dazu Stellung beziehen? Das BSI hat aus geopoliti- schen Gründen gewarnt, ohne die Kaspersky-Produkte und unsere Schutzmechanismen vor unberech- tigtem Zugriff technisch und orga- nisatorisch eingehend zu bewerten. Mit den jetzt erneut zertiﬁzierten Sicherheitsstandards und organisa- torischen Maßnahmen durch das SOC-2-Audit können Partner und Kunden weiterhin auf die Qualität und Integrität von Kaspersky und auf unsere Produkte und Services vertrauen. Zusätzliche eindeutige und nachprüfbare Bewertungskri- terien ﬁndet man auf der Website kas.pr/vertrauen. Wie können sich Unterneh- men wirksam vor Cyberbedrohun- gen schützen? Es sollten mehrstuﬁge Lösun- gen mit Next-Generation-Malware- Erkennung, proaktiven Abwehr- technologien sowie automatisierter Reaktion und Wiederherstellung zum Schutz vor zielgerichteten Angriffen eingesetzt werden. Sind intern nicht die nötigen Ressourcen vorhanden, können Cybersecuri- ty-Services die IT-Abteilung durch geschulte Cybersecurity-Experten in den Bereichen Threat Hunting, Mal- ware-Analyse, Reverse Engineering, Forensik, Incident Response und Notfallplanung unterstützen, um sich umfassend vor allen Arten von Bedrohungen zu schützen. Außer- dem sollten regelmäßig praxisnahe Security-Awareness-Schulungen, die in den Arbeitsalltag leicht integriert werden können, für alle Mitarbei- ter mittels einer interaktiven On- line-Trainingsplattform stattﬁnden, sodass diese Gelegenheit haben, sich mit typischen Angriffsszenarien auseinanderzusetzen. Im Rahmen der Kaspersky Automated Security Awareness Platform (ASAP) kann man derzeit kostenfrei an einem Online-Kurs rund um den sicheren Umgang mit sozialen Medien und Social Engineering teilnehmen (kas.pr/asap-some). Des Weiteren sollten die Organisationen Zugriff auf aktuelle Bedrohungsdaten haben, damit sie stets über die neuesten Taktiken und Methoden von Cyberkriminellen informiert sind. Kaspersky unter- stützt Institutionen etwa durch sein Threat-Intelligence-Netzwerk, das detaillierte Einblicke liefert. Kas- persky Threat Intelligence ermög- licht durch die Zusammenarbeit mit unserem weltweit führenden Branchen- und Analystenteam die neuesten und zuverlässigsten Infor- mationen über Malware- und Bot-Be- drohungen. Derzeit stellen wir unter kas.pr/threat-intelligence einen kos- tenfreien Zugang bereit. Durch die- sen mehrstuﬁgen Ansatz kann ein hohes Sicherheitsniveau erreicht werden. n Literatur [1] https://us.aicpa.org/interestareas/ frc/assuranceadvisoryservices/ aicpacybersecurityinitiative © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 19

Management und Wissen Digital-Workplace-Lösung für einen sicheren Dateiaustausch Optimierung des Arbeitsalltags Digitalisierung im Ar- beitsalltag: aber sicher! In öffentlichen Institutionen werden täglich wichtige und persönliche Daten verarbeitet, versendet und empfangen – häufig passiert das noch via Fax. Doch diese Form des Datei- austauschs ist längst nicht mehr zeitgemäß. Das Faxgerät ist weder DSGVO-konform, noch lässt sich damit nachvollziehen, wer die gesendete Datei empfangen hat. Wenn also wichtige Daten an Unbefugte gelangen oder einfach verloren gehen, ist das besonders ärgerlich und problematisch. Aus diesem Grund ist eine moderne Digital-Workplace-Lösung gefragt, die einen einfachen, sicheren und nachvollziehbaren Datei- austausch gewährleisten kann. Von Markus Gringel, SECUDOS Bauämter arbeiten Tag für Tag mit verschiedenen Dokumenten wie Fotos, Verträgen, Zeichnungen sowie Bauplänen. In öffentlichen Verwaltungen gilt das Faxen nach wie vor als Standardmethode, um diese Dokumente mit Partnern und Kunden auszutauschen. Doch das ist in Zeiten von Datenschutz keine gute Idee – es ist nicht nachweisbar, ob Dokumente wie Rechnungen oder Baugenehmigungen beim richtigen Empfänger angekommen sind und, viel wichtiger, wer das Dokument erhalten hat. Denn bei einem Faxgerät kann jeder Mitar- beiter das Dokument aus dem Gerät entwenden. Dadurch kann es schnell verloren gehen oder sogar gestohlen werden. Wenn wichtige Unterlagen in die Hände von unbefugten Per- sonen gelangen und beispielsweise Ideen für Bauprojekte gestohlen wer- den, wären die Folgen schwerwie- gend: Rufschädigung und vor allem Geldeinbußen. Bei dem Einsatz von professionellen digitalen Lösungen hingegen lässt sich genau deﬁnie- ren, wer auf welche Datei zugreifen darf. Vollständiger Überblick über gesendete Daten Als Alternative zum Faxgerät nutzen viele Unternehmen E-Mails, um Dokumente intern oder extern auszutauschen. Doch auch dort lau- ern Gefahren, und die Daten können in falsche Hände gelangen. Um das zu verhindern, sollte sich bei einer geeigneten Dateiaustausch-Platt- form genau deﬁnieren lassen, wer auf welche Dokumente zugreifen darf – beispielsweise mit einem Passwort, das nur befugten Personen bekannt gegeben wird. Darüber hinaus ist es wichtig, dass genau nachvollziehbar ist, wer wann welche Dateien über- tragen hat. Eine geeignete Lösung ist dabei auch DSGVO-konform und verschlüsselt die Daten – sowohl während der Übermittlung als auch beim späteren Archivieren. Mitarbeiter von öffentlichen Institutionen sind häuﬁg an ver- schiedenen Orten, da sie entweder zwischen Homeoffice und Büro wechseln oder auswärtige Dienstrei- sen antreten. Daher ist es besonders wichtig, eine digitale Arbeitsplatz-Lö- sung zu etablieren, die – anders als ein Faxgerät – von überall genutzt werden kann. Ein wichtiger Aspekt in einer zentralen Austauschplattform stellt die Sicherheit dar, aber auch ein persönlicher Speicherplatz sowie ei- nen Team-Transfer-Bereich sind von Vorteil. Dort können Dateien jeder Größenordnung einfach hochgela- den und mit anderen geteilt werden. Das ermöglicht verschiedenen Per- sonen, gemeinsam an Dokumenten, wie zum Beispiel Bauskizzen, zu arbeiten, ohne dass ständig Dateien hin- und hergeschickt werden müs- sen. Arbeitsprozesse werden dadurch vereinfacht sowie beschleunigt, und der Arbeitsalltag wird optimiert – ein Wettbewerbsvorteil für viele Unter- nehmen. Hier ist es wichtig, dass die Lösung benutzerfreundlich ist und ohne großes Know-how eingesetzt werden kann. Dabei laufen alle wich- tigen Funktionen im Hintergrund ab, ohne den Nutzer im Alltag zu stören. Fazit Eine geeignete Digital-Work- place-Lösung lässt sich problemlos in die vorhandene Umgebung imple- mentieren – über einen Desktop-Cli- ent oder als Outlook Add-in. Sie sollte einen einfachen, sicheren und nachvollziehbaren Dateiaustausch ermöglichen. Wenn öffentliche Ins- titutionen auf diese Lösungen setzen, verkleinern sie nicht nur ihren öko- logischen Fußabdruck, weil Papier eingespart wird, sondern verhindern auch Zettelchaos auf Schreibtischen. Schließlich gehen sie durch den elektronischen Dateiaustausch einen wichtigen Schritt in Richtung digita- ler Souveränität, da sie jederzeit Herr über die eigenen Daten bleiben. n © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Sichere staatliche Infrastrukturen, August 2022 21

Mitherausgeber

] B G R 0 2 P O D [ / n i l r e B l a t r o p o e G e : l l e u Q Damit Dienstgeheimnisse nicht in die falschen Kanäle geraten. Mit SINA sind Behörden- Netzwerke premiumsicher. Wo Behörden und Verwaltungen ihre Daten und IT-Infrastrukturen gegen Eindringlinge sichern müssen, steht secunet bereit. Als IT-Sicherheitspartner der Bundesrepublik Deutschland sind wir Spezialisten für den Schutz von Verschlusssachen. Expertenberatung und BSI-zugelassene SINA Technologie machen Netzwerke, Clients und Prozesse premiumsicher. secunet.com protecting digital infrastructures

+ SPECIAL Die perfekte Kombination für CISO & Co ✓ Verlagsbeilage mit wechselnden Mitherausgebern ✓ auf ein Thema fokussierte Beiträge der Mitherausgeber ✓ Printausgabe liegt <kes> bei ✓ digitales eMagazine kostenfrei verfügbar weitere Specials hier kostenfrei downloaden: kes.info/archiv/specials/ ✓ führende Fachzeitschrift in der IT-Sicherheit ✓ hohes technisches Niveau und redaktionell unabhängig ✓ offizielles Organ des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ✓ nur im Abonnement erhältlich unter: datakontext.com/kes <kes> genauer kennenlernen? Einfach kostenfreies Probeheft anfordern unter: kes.info/service/probeheft/ LESEPROBE <kes> AUF DEN FOLGESEITEN weitere Leseproben unter: kes.info/archiv/leseproben/

Bedrohung IP-Adress-Missbrauch Echte URL und falscher Server Übernahme von Domains durch „IP-Use-After-Free“-Attacken Wenn veraltete DNS-Einträge auf veraltete IP-Adressen verweisen, können Angreifer im Cloud-Umfeld an sich legitime URLs vertrauenswürdiger Domains übernehmen. Unser Autor erläutert solche „IP-Use-After-Free“-Attacken und mögliche Gegenmaßnahmen. Von Steffen Eid, Frankfurt/Main Nutzerdaten auf täuschend echten Websites abzugreifen, ist seit Langem hoch im Kurs. Bekanntestes Beispiel dafür sind Lookalike-Domains: Homonyme wie paypaI (mit großem „i“ statt kleinem „l“) leiten User in einem Moment der Unachtsamkeit schnell auf eine bös- artige Domain der Angreifer, die (mal mehr, mal weniger genau) so aussieht wie das Original – dort erfassen Cyber- kriminelle dann Anmeldedaten oder inﬁzieren den Rech- ner der Opfer mit Malware-Downloads. Dabei konnten Security-Architekten zumindest hoffen und bangen, dass Mitarbeiter vorsichtig sind und Links genau anschauen, bevor sie ihnen folgen. Doch Angreifer haben einen neuen „Endgegner“ für Security-Teams gefunden: sogenannte IP-Use-After- Free-Attacken. Bei dieser Variante sehen die Domains nicht nur täuschend echt aus, sondern sind es auch. Zumindest fast: Die betreffende IP-Adresse war es mal – die URL ist es immer noch. Und das machen sich die Angreifer zunutze. IP-Use-After-Free Was verbirgt sich hinter dem eher sperrigen Begriff „IP-Use-After-Free-Attack“? Alles fängt damit an, dass – ganz regulär – einer URL eine IP-Adresse zugewiesen wird. Spannend wird das für Kriminelle immer dann, wenn sich diese Zuordnung ändert: etwa bei einem Unterneh- men, das schnell die neueste Version eines bestimmten Programms auf einer temporären virtuellen Maschine in der Cloud testen möchte – und sobald alles läuft, wird die virtuelle Maschine wieder abgeschaltet und das Programm in die Live-Umgebung umgesetzt. Das Problem beginnt, wenn jemand bei dem- selben Cloud-Provider eine neue virtuelle Maschine er- öffnet und „aus Versehen“ dieselbe IP-Adresse zugewiesen bekommt, auf die im DNS noch die alte URL zeigt. Ist die andere Person ein normaler User, wird ihm das eventuell gar nicht weiter auffallen. Ist die andere Person nicht ganz so nett und tatsächlich ein Angreifer, stehen ihr jetzt viele neue Optionen zur Verfügung: vom Abgreifen gültiger Sicherheitszertiﬁkate bis hin zu extrem einfachen Phishing-Möglichkeiten. Das mit den ofﬁziellen Zertiﬁkaten für schädliche Seiten ist dabei einfacher, als man annehmen möchte: Der Angreifer muss nur einen Aussteller nutzen, der Zertiﬁ- kate auf Basis der Domain-Validierung ausgibt. Bei dieser Methode muss der Nutzer nur einen gewissen Grad an Kontrolle über die DNS-Domäne vorweisen können – was über veraltete DNS-Records ein Leichtes ist. Mit diesem Zertiﬁkat in der Tasche können Kriminelle dann weitere Hürden nehmen und das Vertrauen anderer Systeme in die missbrauchte Domain stärken und ausnutzen. Und auch beim Thema „aus Versehen“ geht es weniger zufällig zu, als man hoffen mag: Kriminelle, die in das Angeln nach der richtigen IP-Adresse nur ein we- nig Aufwand stecken, können sehr schnell IP-Adressen mit Missbrauchspotenzial unter ihre Fittiche bekommen. Tobias Fiebig hat das 2019 als Autor beim APNIC-Blog ausgetestet und die Zahlen sind erschreckend: Er fand damals 702 180 Domains, die allein bei den großen Cloud- Anbietern für IP-Use-After-Free-Attacken anfällig waren und hat in einem Proof-of-Concept-Versuch nur knapp 28 Minuten gebraucht, um von einem Cloud-Provider eine gewünschte IP-Adresse zugewiesen zu bekommen. Neuer Bedrohungsvektor für den Faktor Mensch Man kann IP-Use-After-Free-Attacken quasi als den heiligen Gral des Social-Engineerings verstehen: Selbst die vorsichtigsten User werden von den echten URL- Domains getäuscht und auch Sicherheitsvorkehrungen greifen nicht ein, wenn der digitale Leumund und die Zertiﬁkate glaubwürdig sind. Das wirkt auf den ersten Blick erschreckend – ist aber auch die Chance, DNS-Security neu zu denken und dringend benötigte Innovationen voranzutreiben. Während sich Security-Teams heute immer noch teilweise auf die Vorsicht der Anwender verlassen, zeigt 6 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2022#4

auch der neueste Infoblox State of Security Report 2022 [2], dass Mitarbeiter weiterhin ein großer Faktor bei der Absicherung des Firmennetzwerkes sind. Spätestens mit dem Aufkommen der IP-Use-After-Free-Attacken sollte man nun den „Faktor Mensch“ als grundlegend unsicher ansehen – egal wie vorsichtig Mitarbeiter auch sein mögen. In letzter Konsequenz kann man selbst vertrau- enswürdigen Domains nicht mehr unbedingt vertrau- en – „Zero Trust“ ist also angebrachter denn je. Zudem sollten Cloud-Anbieter und Zertiﬁkataussteller natürlich Maßnahmen treffen, um sicherzustellen, dass Domains und IP-Adressen immer noch zueinander gehören – aber auch Unternehmen können etwas gegen IP-Use-After- Free-Attacken auf ihre Domains tun. Hilfe zur Selbsthilfe Natürlich ist es ein Unterschied, ob man die eigene Domain proaktiv davor schützen will, für schädliche Zwe- cke missbraucht zu werden, oder ob es darum geht, den Schaden zu begrenzen, nachdem ein Mitarbeiter oder Kun- de eine missbrauchte URL besucht hat. In beiden Fällen sind aber Netzwerk-Übersicht und einfaches Management über moderne DNS-, DHCP- und IP-Adress-Management- Tools (DDI) der Schlüssel zum Erfolg. Diese können inzwischen sogar automatisiert verwaiste DNS-Einträge bereinigen (das sogenannte DNS-Scavenging) und sorgen so dafür, dass keine DNS-Records übersehen und vergessen werden, die Kriminelle dann missbrauchen können. Schutz der eigenen Domain über modernes IP-Adress-Management Als Domaininhaber gestaltet es sich schwierig, Einﬂuss beispielsweise auf Cloud-Provider zu nehmen. Trotzdem müssen die eigenen Domains sicher sein – denn ein Missbrauch einer URL, die dem Unternehmen zuge- ordnet ist, kann schnell dazu führen, dass auch andere Domains/URLs des Unternehmens in Security-Checks abgestraft werden. Will man Angriffe aufgrund veralteter DNS- Records verhindern, sollte man sich zunächst klar- machen, dass die Zeit überschaubarer Zahlen statischer IP-Adressen vorbei ist. Das mag sehr offensichtlich klin- gen, aber viele Security-Abteilungen nutzen noch immer Excel-Listen oder Wikis, um ihre IP-Adress-Bereiche zu organisieren. In einer Welt, in der eine immer größere Menge von – noch dazu oft dynamisch zugewiesenen – IP-Adressen sowie schnelle Wechsel zur Tagesordnung gehören, sind mit manueller Buchführung Fehlkon- ﬁgurationen vorprogrammiert. Je länger der Abgleich zwischen IP-Adressen und URLs dauert und je seltener dies geschieht, desto länger steht das Tor veralteter DNS- Einträge für Angreifer offen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2022#4 7

Bedrohung IP-Adress-Missbrauch Die nötige Einsicht in das eigene Netzwerk liefern erst moderne IP-Adress-Management-(IPAM)-Lösungen. Mit diesen kann – teils automatisiert – nach veralteten Zuweisungen gesucht werden, sodass die Spezialisten ihre IP-Adress-Bereiche unkompliziert direkt im Blick haben. Best Practices aus dem Arbeitsalltag des Autors zeigen, dass sich solche Lösungen in kürzester Zeit (teilweise nur ein bis zwei Tage) während des laufenden Betriebs und ohne Downtime implementieren lassen. Es gibt also eigentlich keine Ausreden mehr, warum Netzwerkmanagement- Teams an veralteten, statischen Protokollen ihrer IP- Adressen festhalten sollten. Angriffe frühzeitig erkennen und beenden – mit DNS als Security-Layer Moderne IPAM-Lösungen können aber auch noch helfen, wenn der Schaden schon angerichtet ist, weil beispielsweise Mitarbeiter über an sich vertrauenswürdige URLs auf bösartigen Websites gelandet sind. Letztlich ﬁnden Angreifer immer einen Weg in ihre Ziel-Systeme – wichtig ist also im Sinne des „Assume the Breach“- Modells, die Zeit zu verkürzen, bis man Angriffe erkennt. Eine gute DDI-Lösung kann heute alle Layer-2- und Layer-3-Geräte (etwa Router, Switches und Load- Literatur [1] Tobias Fiebig, Be careful where you point to: the dan- gers of stale DNS records, APNIC Blog, Januar 2019, https:// blog.apnic.net/2019/01/09/be-careful-where-you-point- to-the-dangers-of-stale-dns-records/ [2] Infoblox, Global State of Security Report 2022 Deutsch- land, Mai 2022, erhältlich via https://info.infoblox.com/ resources-whitepapers-germany-new-cyberrisk-alliance- and-infoblox-report-remote-workers-spell-trouble-for-in- fosec (Registrierung und Werbeeinwilligung erforderlich) Balancer) zentral und unkompliziert erfassen und so für Sichtbarkeit im Netzwerk sorgen. Die Integration von DDI-Metadaten in den Sicherheits-Stack eines Unterneh- mens kann dazu beitragen, Angreifer so früh wie möglich zu erkennen, da so der Datenverkehr und das Verhalten jedes Geräts im Netzwerk sichtbar werden. Darüber hinaus kann die sicherheitsorientierte Nutzung von DNS die Aufklärung verbessern, da mehr als 90 % der Malware auf ihrem Weg in und aus dem Netzwerk das DNS passiert – eine gut konﬁgurierte DNS-Sicherheits- lösung kann schädliche Kommunikation direkt an der Wurzel erkennen und helfen die richtigen Maßnahmen zu ergreifen, bevor Schlimmeres passiert. Klassische Firewalls haben hingegen quasi keine Chance, um beispielsweise Datenexﬁltration über DNS zu erkennen. Sollten sich Angreifer oder Malware auch ansonsten sehr unauffällig verhalten, besteht eine große Chance, dass ein Opfer nie mitbekommt, dass es kompromittiert wurde. Moderne Lösungen zur DNS-Security nutzen hingegen Machine-Learning, um regulären von verdäch- tigem DNS-Trafﬁc zu unterscheiden: So können IT-Teams verdächtige Kommunikation stoppen und weitere Ermitt- lungen oder auch Quarantäneanordnungen für Geräte werden möglich. Der Schlüssel zur optimalen Anwender- freundlichkeit sind dabei eine schnelle Bereitstellung und ein hoher Automatisierungsgrad. Egal, ob in der Cloud, „on Premises“ oder hybrid: Bei der Auswahl einer Lösung sollten sich Netzwerk- und Security-Verantwortliche für DDI-Plattformen entschei- den, die vor allem langwierige repetitive Aufgaben auto- matisieren – so werden auch die eher nervigen und Zeit fressenden Netzwerk-Housekeeping-Aufgaben zuverlässig erledigt. Das sorgt für mehr Übersicht und mehr Sicherheit – selbst, wenn Mitarbeiter schädliche Domains besuchen, die eigentlich zu 100 % vertrauenswürdig scheinen. ■ Steffen Eid ist Manager Solution Architects für Central Europe bei Infoblox.