IT-SICHERHEIT

IT-SICHERHEIT_2-2023

HZ214713 · ISSN 1868-5757 · www.itsicherheit-online.com April/Mai 2/2023 Vorbereitung auf den Ernstfall Wie Unternehmen einen Ransomware- Angriff überstehen INKLUSIVE SPECIAL IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT Schwerpunkt Identity- und Access-Management Souveränität statt Datendiktatur CIS Critical Security Controls Der unbeachtete Standard Post-Quantum-Strategie für das ISMS Schon heute für die Zukunft vorsorgen

VORBEUGEN IST BESSER ALS … EDITORIAL Der Mensch ist nicht für Vorsorge und Voraussicht geschaffen – jedenfalls oft nicht im erforderlichen Ausmaß. Im Prinzip ist es doch so: Wenn man keine unmittelbaren Konsequenzen spürt, priorisiert man ein Thema nicht besonders hoch beziehungsweise neigt dazu, es im Aufgaben-Stack nach unten zu schieben. Nicht ganz nach unten, aber falls etwas aktuell (vermeintlich) Wichtigeres auftaucht, kümmert man sich zuerst darum. Eindrucksvolle Beispiele für aufgeschobene Aufgaben sind der Klimawandel, die Rentenpolitik der Bundesregierung und leider auch oft die Cybersicherheit. So offenbarte die Ransomware-Welle ab dem Jahr 2016 – für Außenstehende eher unerwartet – überraschende Lücken in den Backup- sowie Business-Continuity-Strategien der Unternehmen. Viele trafen die Angriffe damals unvorbereitet, und auch heute noch sind sich einige der Gefahr nicht bewusst oder haben keinen Plan für den Ernstfall. Das ist ein Problem, denn hier ist besonnenes Handeln gefragt, da überhastete Aktionen in solchen Situationen eher schaden als nutzen. Was genau zu tun ist, damit Unternehmen einen Ransomware-Angriff überstehen können, haben unsere Autoren ab Seite 32 für Sie zusammengefasst. Auch beim Thema Quantentechnologie sollten Unternehmen vorsorgen. Denn durch besser verfügbare Quantencomputer, die um einiges schneller sind als aktuelle Rechner, können kryptografische Chiffrierungen bald nutzlos sein, die heute noch als sicher gelten. Cyberkriminelle und ausländische Geheimdienste sammeln schon jetzt fleißig verschlüsselte Daten ein, die sie später, wenn die Technik so weit ist, entschlüsseln können – sie sorgen also schon einmal für die Zukunft vor. Unternehmen sollten das Gleiche tun und eine Strategie in ihr Informationssicherheits- Managementsystem (ISMS) integrieren, die sie auf quantenkryptografische Angriffe vorbereitet, auch wenn solche Attacken bisher noch nicht akut sind (Seite 26). Darüber hinaus widmen sich mehrere Autorinnen und Autoren in dieser Ausgabe dem Thema Identity- und Access-Management (IAM). Wie Identitäten sicher festgestellt und nachgewiesen werden können, ist seit jeher eine wichtige Frage in der Informationstechnologie. Derzeit dominiert die zentrale Speicherung von Identitäten beim Identity-Provider oder beim Anbieter. Das ist zwar für Benutzer einfacher, schafft aber große Abhängigkeiten und Probleme, zum Beispiel beim Datenschutz. Die zentrale Speicherung vieler Identitätsdaten erhöht zudem die Gefahr von Angriffen durch Cyberkriminelle. Der Gegenentwurf dazu sind sogenannte dezentrale Identitäten: Hier speichert der Nutzer seine Daten selbst in einem Wallet. Will er sich irgendwo anmelden, kann er entscheiden, ob er die angeforderten Identitätsattribute herausgeben will oder nicht. Wie das genau funktioniert und welche weiteren Trends es im Umfeld des Access-Managements gibt, lesen Sie in unserem kleinen Schwerpunkt „IAM“ in dieser Ausgabe ab Seite 14. Ebenfalls in diesem Heft: ein Special zum Thema IT-Sicherheit in der Banken- und Finanzwelt – in Kooperation mit der Fachzeitschrift BANKMAGAZIN. Ihr Sebastian Frank Sebastian Frank twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_2/2023 3

SPECIAL: IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 35 EDITORIAL 3 Vorbeugen ist besser als … NEWS 6 Unternehmens-News 10 Produkt-News SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT 14 DEZENTRALE VS. ZENTRALE DIGITALE IDENTITÄTEN SECURITY MANAGEMENT 24 CIS Critical Security Controls: DER UNBEACHTETE STANDARD 26 Schon heute für die Zukunft vorsorgen VERANKERUNG DER POST-QUANTUM- STRATEGIE IM ISMS 30 Brandschutz im Rechenzentrum KEIN FEUER OHNE GENÜGEND SAUERSTOFF CYBERSICHERHEIT 32 Vorbereitung auf den Ernstfall WIE UNTERNEHMEN EINEN RANSOMWARE- ANGRIFF ÜBERLEBEN KÖNNEN 14 Datensouveränität statt Datendiktatur 35 SPECIAL: DEZENTRALE VS. ZENTRALE DIGITALE IDENTITÄTEN IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 18 Die Sicherung aller Zugänge ist Pflicht jedes Unternehmens IAM UND PAM IM VERBUND 22 IAM und Zutrittssteuerungssysteme: DIE ZUKUNFT LIEGT IN DER CLOUD IT-RECHT | DATENSCHUTZ 48 Post von der Datenschutzbehörde: BEST PRACTICE BEI AUSKUNFTSVERLANGEN UND VERWARNUNGEN 4 IT-SICHERHEIT_2/2023

INHALTSVERZEICHNIS 24 CIS CRITICAL SECURITY CONTROLS: DER UNBEACHTETE STANDARD VERANKERUNG DER POST-QUANTUM- STRATEGIE IM ISMS 26 CYBERSICHERHEIT 52 Angriffserkennung SELBER MACHEN ODER KAUFEN? 54 Vom Hype zur Lösung BEST PRACTICES FÜR XDR 48 BEST PRACTICE BEI AUSKUNFTSVERLANGEN UND VERWARNUNGEN SERVICES 47 Buchbesprechung RECHT DER INFORMATIONS SICHERHEIT 64 Buchbesprechung MANAGEMENT VON CYBER-RISIKEN: EIN HANDBUCH FÜR DIE UNTERNEHMENSLEITUNG 66 VORSCHAU: Ausblick auf Ausgabe 3 | 2023 CLOUD SECURITY 66 Impressum 56 Cloud-Sicherheit: Schutzmaßnahmen der ADVERTORIALS Anbieter allein genügen nicht UMSICHT IST BESSER ALS NACHSICHT AUS DER FORSCHUNG 58 Kriterien für das Vertrauen von Anwenderunternehmen in Hersteller und deren IT-Sicherheitslösungen OHNE VERTRAUEN GEHT ES NICHT 13 IT-NOTFALLMANAGEMENT/BUSINESS CONTINUITY MANAGEMENT 16 Deepfake-Attacken: BESSERER SCHUTZ AM SERVICE DESK 20 IAM Community trifft sich in Bonn bei der IAM EXCHANGE 2023 KONFERENZ IT-SICHERHEIT_2/2023 5

NEWS | UNTERNEHMEN TEAMDRIVE HAT HORNETDRIVE ÜBERNOMMEN Nachdem mehr als 90 Prozent der Nutzer von Hornetdrive ihre Zustim- mung erteilt haben, hat die Hamburger TeamDrive GmbH den Betrieb von Hornetdrive übernommen. Der Übergang erfolgte nach eigenen Angaben ohne Downtime und ohne Betriebseinschränkungen. An den Preisen und Leistungen habe sich nichts geändert. Alle verschlüssel- ten Daten bleiben laut Teamdrive weiterhin in deutschen Rechenzen- tren unter deutscher Kontrolle. Geschäftsführer Detlef Schmuck spricht von einer „sanften und reibungslosen Transformation“. Die Übernahme durch TeamDrive war erfolgt, nachdem sich der bisherige Betreiber Hor- netsecurity von dem Service trennen wollte, um sich auf sein Kernge- schäft zu konzentrieren. Im Laufe des Jahres 2023 werde TeamDrive den Hornetdrive-Anwendern anbieten, entweder ihre bestehenden Verträge zu unveränderten Preisen zu verlängern oder alternativ zum TeamDrive- Service überzugehen. n GENETEC WURDE ALS CVE NUMBERING AUTHORITY (CNA) AUTORISIERT Genetec wurde vom Common-Vulnerabilities-and-Exposures-(CVE)-Pro- gramm als CVE Numbering Authority (CNA) autorisiert. Damit ist das Un- ternehmen ein internationaler Partner bei der frühzeitigen Identifikation von Schwachstellen sowie dem Schutz gegen Cyberangriffe. Das CVE-Programm identifiziert, definiert und katalogisiert öffentlich bekannt gewordene IT-Sicherheitslücken. Es wird von der Cybersecurity and Infrastructure Security Agency (CISA) des U.S. Department of Home- land Security (DHS) finanziert und von der MITRE Corporation in enger Zusammenarbeit mit internationalen Experten aus Wirtschaft, Wissen- schaft und öffentlicher Hand betrieben. MITRE ist eine Organisation, die durch Abspaltung vom Massachusetts Institute of Technology entstan- den ist und verschiedene Forschungsinstitute im Auftrag der Vereinigten Staaten betreibt. Ein zentralisiertes System und Verfahren zur Katalogi- sierung von IT-Sicherheitslücken hilft Beteiligten wie Softwareentwick- lern, Geräteherstellern und IT-Teams, Informationen über Schwachstellen schnell zu entdecken und zu bewerten. Sie können dann Systeme besser vor Angriffen schützen. Als Partner des CVE-Programms ist Genetec berechtigt, CVE Records zu veröffentlichen, um einheitliche Beschreibungen von Schwachstellen zu kommunizieren. Die Verwendung dieser standardisierten und öffentlich zugänglichen CVE Records kann zu erheblichen Zeit- und Kosteneinspa- rungen führen. „Dass Genetec jetzt eine autorisierte CVE-Stelle ist, spiegelt unser fortwährendes Engagement für starke Cybersicherheitspraktiken wider“, sagt Christian Morin, CSO & Vice President of Product Enginee- ring bei Genetec. „Als Teil einer internationalen Gemeinschaft, auf die man sich bei der Identifi- zierung, Katalogisierung und Veröffentlichung von Schwachstellen verlässt, ermöglichen wir die schnelle Behebung dieser Sicherheitslücken. Dies gibt unseren Kunden die Gewissheit, dass ihre physischen Security-Lösungen geschützt sind und hohen Cybersicherheitsstandards entsprechen.“ n Christian Morin, CSO & Vice President of Product Engineering, Genetec (Bild: Genetec) 6 IT-SICHERHEIT_2/2023 KASPERSKY AKQUIRIERT ANBIETER FÜR CONTAINER-SECURITY Kaspersky hat 49 Prozent des Anbieters Ximi Pro übernommen, der die Lösung „Tron“ zum Schutz von Container-Infrastrukturen entwickelt. Durch die Akquisition könne Kaspersky Container-Infrastruktur, Anwendungen und die darauf basierenden Dienste mit Extended-Detection-and-Respon- se-(XDR)-Szenarien abdecken. Außerdem ermögliche sie dem Sicherheits- anbieter, zusätzliche Telemetrie von Containern und ihren Umgebungen zu erhalten, entsprechende Reaktionsmaßnahmen bereitzustellen und eine umfassendere Sicherheit für die Vermögenswerte von Organisationen zu gewährleisten. Das neue Produkt biete einen vollständigen Einblick in die Container-Infrastruktur und helfe Unternehmen dabei, verdächtiges Ver- halten zu erkennen und sich gegen Bedrohungsakteure zu verteidigen, die für ihre Angriffe Container-Fehlkonfigurationen verwenden. Ein weiterer Grund für die Übernahme sei der globale Markt für kom- merzielle Container-Software, der rasant wachse. Laut Gartner werden 70 Prozent der internationalen Unternehmen bis 2023 mindestens zwei containerisierte Anwendungen in der Produktion betreiben. Die zunehmende Beliebtheit ist darauf zurückzuführen, dass die Virtuali- sierungstechnologie IT-Infrastrukturen und Entwicklungsprozesse von Unternehmen optimieren kann. Jedoch wäre es aufgrund einer falschen Konfiguration möglich, dass die Container-Infrastruktur als erster Vektor für zielgerichtete Angriffe ausgenutzt wird. Um genau solchen Risiken zu begegnen, erweitere Kaspersky nun sein Portfolio. n TRELLIX STARTET GLOBALES CHANNEL- PARTNERPROGRAMM Das Unternehmen Trellix startet sein globales Channel-Programm Xtend. Das Programm soll den Einsatz der Trellix XDR-Plattform bei Partner- unternehmen steigern und so deren Rentabilität, Engagement und Wachstum stärken. Partner im Trellix-Ökosystem haben die Möglichkeit zur Entwicklung und Bereitstellung lukrativer Mehrwertdienste auf der XDR-Plattform. Trellix XDR verfolgt nach eigenen Angaben ein „Living Security“-Konzept und setzt hierfür auf umfangreiche und tiefe Integrationen mit nativen Providern und Drittanbietern. Die Partner profitieren von diesem Kon- zept, indem sie weltweite Absatzchancen nutzen und Trellix-Produkte problemlos in die IT-Umgebung ihrer Kunden einbinden können. Trellix XDR verringere die Komplexität, steigere die Effizienz und ermögliche die wirksame Erkennung und Bekämpfung von Cyber-Angriffen, wirbt das Unternehmen. n WALLIX UND KLEVERWARE KOOPERIEREN Die Unternehmen WALLIX und Kleverware haben eine technologische Allianz zur Stärkung der Sicherheit von Cloud-Infrastrukturen unterzeich- net. Durch die Integration ihrer Technologie bieten die beiden Anbieter nun eine Komplettlösung an, die den gesamten Zugang – ob menschlich oder maschinell – zu IT-Ressourcen, die von abonnierten Cloud-Diens- ten genutzt werden, abbildet, verwaltet und absichert. Auf diese Weise

wird der Schutz von in der Cloud gehosteten Daten, die Erkennung und Abwehr von Cyberangriffen, die Geschäftskontinuität von Cloud-Diens- ten und die Einhaltung von Cybersicherheitsvorschriften gewährleistet, so WALLIX. Mit der Lösung werden die Zugriffsrechte der Nutzer, die Zugang zu den Ressourcen der Cloud-Infrastruktur haben, kontinuier- lich überwacht. Sie ermögliche es zu wissen, wer berechtigt ist, auf was zuzugreifen, woher und warum. Zudem stelle sie sicher, dass die Nutzer die Rechte haben, die sie gemäß ihrem Profil haben sollen. WALLIX und Kleverware wollen nach eigenen Angaben Unternehmen damit helfen, die Cybersicherheit in der Cloud auf der Grundlage einer robusten Gover- nance digitaler Identitäten und des Zugriffs zu stärken und gleichzeitig die Einhaltung gesetzlicher Vorschriften zu gewährleisten. n ALEXANDRA HIENDLMEIER ZUR GESCHÄFTSFÜHRERIN VON NTT DATA ERNANNT Ab dem 1. April 2023 ist Alexandra Hiendlmeier neues Mitglied der Ge- schäftsführung bei NTT DATA. Diese besteht in Deutschland, Österreich und der Schweiz aus Stefan Hansen, Ralf Malter und eben Alexandra Hiendlmeier. Sie ist seit 16 Jahren in unter- schiedlichen Positionen für NTT DATA tätig. Ursprünglich kam sie von einer Management- beratung und hat im Unternehmen zunächst die Business Unit „Finance Transformation“ mit aufgebaut und geführt. Anschließend war sie im Business-Development sowie Marketing tä- tig. 2017 wechselte sie zurück zu den Finanzen, erst als Leiterin Controlling, dann im Jahr 2021 als Chief Financial Officer (CFO) für Deutschland, Österreich und die Schweiz. n Alexandra Hiendlmeier (Bild: NTT DATA) COMTEAM UND ENGINSIGHT ARBEITEN ZUSAMMEN Das Systemhaus comTeam und der Security-Software-Hersteller Enginsight arbeiten zukünftig zusammen. Gemeinsam wollen sie mit Lö- sungen made in Germany für mehr IT-Sicherheit in Deutschland sorgen. Beide Unternehmen ergänzen sich: comTeam verfügt über ein breites Netzwerk aus IT-Dienstleistern, die ihren Kunden Beratung und Imple- mentierung von Lösungen bieten, darunter auch IT-Security-Services. Enginsight wiederum bietet mit seiner Security-Plattform eine man- dantenfähige Software, auf deren Basis die comTeam-Partner eigene Managed-Services schaffen und den IT-Sicherheitszustand ihrer Kunden im Blick behalten können. n UNTERNEHMEN | NEWS Datenschutzfragen von Organisationen ein. Dazu gehören regelmäßige Online-Events zum Thema Datenschutz mit Gästen wie Edward Snow- den. „Wir wünschen uns, dass der Europäische Datenschutz-Standard weltweit Geltung erfährt. Die Datenschutzgrundverordnung (DGSVO) und die Charta der Grundrechte der Europäischen Union begreifen wir als einen Wettbewerbsvorteil. noris network setzt diesen Gedanken vor- bildlich um und passt so hervorragend in unsere Wirtschaftsinitiative für Datenschutz.“, kommentiert Niko Bender, Gründer von privacy provided die Partnerschaft. n SEMPERIS TRITT DER MICROSOFT IN- TELLIGENT SECURITY ASSOCIATION BEI Semperis gibt seinen Beitritt zur Microsoft Intelligent Security Associa- tion (MISA) bekannt, einem Ökosystem unabhängiger Softwareanbieter und Anbieter von verwalteten Sicherheitsdiensten, die ihre Lösungen integriert haben, um sich besser gegen die zunehmenden identitätsbe- zogenen Cyber-Bedrohungen zu schützen. Als Mitglied der MISA werde Semperis seine Zusammenarbeit mit Microsoft bei der Bereitstellung von Lösungen zur Erkennung von und Reaktion auf Identitätsbedrohungen (ITDR) ausbauen und dabei auf seiner Lösung Directory Service Protector (DSP) for Microsoft Sentinel aufbauen. Diese wird in Sentinel integriert, um Sicherheitsteams bei der Erkennung fortschrittlicher Bedrohungen zu unterstützen, die auf das Active Directory vor Ort abzielen. DSP für Microsoft Sentinel vereinfache die Erkennung von und Reaktion auf Be- drohungen durch eine sofortige Integration, indem es zuvor verborgene Active-Directory-Sicherheitsdaten in nutzbaren, vertrauten Ansichten für Sentinel-Benutzer in den Vordergrund rückt. n COMPUGEN UND OTORIO VERZAHNEN IHRE PRODUKTE Der IT-Service-Anbieter Compugen ist eine Geschäftspartnerschaft mit OTORIO, einem Anbieter von Security-Lösungen für Betriebstechnologie (OT) und digitales Risikomanagement, eingegangen. Mit diesem Schritt wird Compugen die Plattform von OTORIO in seinen OT-Lösungen nut- zen, um Kunden besser vor Cyberbedrohungen in industriellen Umge- bungen zu schützen. Da der Betrieb in Industrie und Fertigung immer intelligenter, datenge- steuerter und vernetzter wird, ist das Risiko von Cyberangriffen in die- sem Segment exponentiell gestiegen. So habe die Zahl der Vorfälle in den letzten fünf Jahren um 67 Prozent zugenommen. Solche Angriffe haben vielerorts bereits zu Ausfällen, Unterbrechungen und Schäden in Milli- onenhöhe geführt. Die Angreifer haben damit Unternehmen und Insti- tutionen sowie deren Fähigkeit, ihre Kunden zu bedienen, einen realen, spürbaren Schaden zugefügt. NORIS NETWORK IST NEUER PARTNER VON PRIVACY PROVIDED noris network ist neuer Logo-Partner der Wirtschaftsinitiative privacy provided. Diese wurde 2021 gegründet und richtet sich an Experten in Unternehmen aus den Bereichen IT, Compliance, Datenschutz und Recht. Die Interessengemeinschaft setzt sich europaweit für Aufklärung in Im Rahmen der Partnerschaft wird Compugen die OTORIO-Plattform RAM2 zur Überwachung der OT-Sicherheit und die Softwarelösung spOT Assessment zur Bewertung des Compliance-Risikos weiterver- kaufen. Compugen wird letztere Lösung auch nutzen, um den Kunden regelmäßige technische Risikobewertungen ihrer Betriebsnetzwerke anzubieten. n IT-SICHERHEIT_2/2023 7

NEWS | UNTERNEHMEN ILLUMIO TRITT DEM AWS-PARTNER- PROGRAMM FÜR DEN ÖFFENTLICHEN SEKTOR BEI Illumio Inc. ist dem Public-Sector-Partner-(PSP)-Programm von Amazon Web Services (AWS) beigetreten. Der Schritt baue auf der bestehenden Zusammenarbeit von Illumio mit AWS auf und werde Organisationen des öffentlichen Sektors in die Lage versetzen, Risiken zu reduzieren, Resilienz aufzubauen und die Verbreitung von Ransomware und anderen Sicherheitsverletzungen zu stoppen. Das PSP-Programm von AWS validiert AWS-Partner mit cloudbasierten Lösungen, die Erfahrung bei der Unterstützung von Behörden, Raum- fahrt, Bildung und gemeinnützigen Organisationen auf der ganzen Welt haben. Mit der Illumio Zero-Trust Segmentierungsplattform profitie- ren Kunden aus dem öffentlichen Sektor von einer erhöhten Visibilität der Kommunikation in ihren Netzwerken, einer konsequenten Einhal- tung der Sicherheitsvorschriften und einer Stärkung ihrer Cyberresili- enz. Die Aufnahme in das PSP-Programm folgt auf die Nachricht, dass Illumio Government Cloud auf der Stufe Moderate Impact den Status „In Process“ des Federal Risk and Authorization Management Program (FedRAMP) erhalten hat. n KPMG UND VECTRA KOOPERIEREN KPMG und Vectra gehen eine Partnerschaft ein. Mit der Beratung von KPMG und der Technologie von Vectra AI können Unternehmen einen besseren Einblick in ihre Sicherheitslage gewinnen, Risiken reduzieren und den Schutz ihrer kritischen Daten gewährleisten. Vectra AI ist ein Cybersicherheitsunternehmen, das die Leistungsfähigkeit von künstli- cher Intelligenz und maschinellem Lernen nutzt, um Cyberbedrohungen in Echtzeit zu erkennen und darauf zu reagieren. Die Vectra-Plattform mit ihrer „Attack Signal Intelligence“ wurde entwickelt, um Bedrohungen zu erkennen, die an herkömmlichen Sicherheitslösungen vorbeigehen. Vectra bezeichnet das als „erasing the unknown“. Effective Security Observability (ESO) ist der Ansatz von KPMG zur voll- ständigen Integration von Sicherheitslösungen in Cybersicherheitspro- zesse, Risikoprozesse und Reaktionsmöglichkeiten. Durch die Maximie- rung des kombinierten Wertes von Technologie und Menschen lassen sich Erkennungsprozesse effektiver gestalten, das Rauschen eliminieren sowie Kosteneinsparungen und Effizienz erzielen, so KPMG. Die „Attack Signal Intelligence“-Technologie passe perfekt zu diesen Zielen im Rah- men eines maßgeschneiderten und kosteneffizienten Sicherheitsbe- triebsmodells von KPMG. Dies ermögliche eine optimierte Identifizierung und Verfolgung fortschrittlicher Bedrohungen und minimierte Reaktions- zeiten. Mit anderen Worten: die Eliminierung von „Unbekanntem“ und die Steigerung der Effektivität. n HANNOVER MESSE BIETET LÖSUNGEN FÜR OT-SECURITY Vom 17. bis 21. April findet die Hannover Messe statt (www.hannover- messe.de). Speziell zum Thema Cybersicherheit hat der Veranstalter einen Gemeinschaftsstand „Industrial Security Circus“ und den Wettbe- werb HACK4INDUSTRY im Programm. Mit dem Industrial Security Circus möchte die Hannover Messe einen nie- derschwelligen Einstieg in die IT-Sicherheit bieten. Man wolle vor allem Besucher von kleinen und mittelgroßen Unternehmen ansprechen, um sie über die auf dem Markt verfügbaren Abwehrstrategien und Lösungen der IT-Sicherheitswirtschaft zu informieren. Dafür biete der Industrial Security Circus eine Mischung aus Entertainment, IT-Sicherheitstraining und neuen Wegen der Wissensvermittlung sowie Informationen über Produkte und Dienstleistungen. Im Mittelpunkt stehe dabei die Operati- onal-Technology-Security (OT-Security). 40 Aussteller beteiligen sich am Gemeinschaftsstand und setzen das Zirkuskonzept mit ihren Exponaten um. Hintergrund sei dabei der Gedanke, „dass zum Beispiel ein Zauberer im Zirkus ähnliche Methoden des Ablenkens, des Manipulierens und des Täuschens anwendet wie der versierte Cyberangreifer“. Begleitet wird der Gemeinschaftsstand von einem Forum. Dort gehe es um Themen wie „Bewältigung eines Cybersecurity-Verstoßes: Effektive Reaktion auf Vorfälle in OT-Umgebungen“, „IT-Security im Produktionsumfeld“ oder „Countdown bis zur Katastrophe: Wie Hacker ein Cyber-Fiasko auslösen, und was Sie dagegen tun können“. Der Wettbewerb HACK4INDUSTRY hat auf der Messe Premiere: Etablierte Unternehmen formulieren ihre Anforderungen, Start-ups entwickeln dann Lösungen in Form funktionierender Prototypen. Die Ergebnisse werden vor Ort gepitcht, und das Gewinnerteam erhält einen Folgeauftrag zur Umsetzung. Alle Aussteller der Hannover Messe können Challenges für den Wettbewerb einreichen. Siemens Energy habe das bereits getan: Das Erstellen eines Prototyps für eine Indoor-AR-Navigations-App für Benut- zer, die auf Android- und IOS-Mobiltelefonen funktioniert und Roboter mit wiederverwendbaren Karten von Einrichtungen versorgt. Damit kann das Unternehmen künftig Roboter orten, auch wenn sie offline sind. Es gibt bereits eine allgemeine Softwarelösung, allerdings muss diese noch mit einer Offline-Tracking-Funktion ausgestattet werden. Weitere Infor- mationen dazu gibt es unter www.prototype.club/hm-prototype-club. n Wirtschaftsminister Robert Habeck auf der Hannover Messe 2022. Auch für dieses Jahr ist sein Besuch angekündigt. (Bild: Deutsche Messe) 8 IT-SICHERHEIT_2/2023

NEWS | PRODUKTE 1PASSWORD FÜHRT „UNLOCK WITH SSO“ FÜR UNTERNEHMENSKUNDEN EIN 1Password bietet Unlock with Single Sign-on (SSO) an. Unternehmens- kunden können ihre 1Password-Konten jetzt mit Okta freischalten – Azure AD und Duo werden in den kommenden Monaten folgen. Da Unlock mit SSO tief in bestehende IT-Workflows integriert werden kann, können IT-Teams nicht nur ihre Sicherheitsstandards verbessern, son- dern auch die täglichen Login-Probleme und den damit verbundenen Aufwand für die Mitarbeitenden reduzieren, so das Unternehmen. „Der umfangreiche Schutz von Mitarbeitenden ist nichts, was sich so neben- bei erledigen lässt. Wir bei 1Password glauben, dass abgesicherte Mit- arbeitende die Grundlage der Unternehmenssicherheit bilden. Und wir folgen dem Grundsatz, dass Sicherheit vor allem eins sein muss: einfach“, so Steve Won, Chief Product Officer bei 1Password. „SSO spielt dabei eine zentrale Rolle. Unlock with SSO wurde mit einem „Trusted Device“-Mo- dell entwickelt. Damit stellen wir sicher, dass niemand auf fremde Treso- re zugreifen kann – auch nicht mit kompromittierten Anmeldedaten.“ n ERAMON PRÄSENTIERT DAS NEUE TOPOLOGY VIEW ERAMON hat seine Lösung Topology View grundlegend überarbeitet. Mit dem Tool können Anwender überschaubare Ansichten ihrer WAN- Infrastruktur erzeugen und darstellen. In der neuen Version kann nun das gesamte Netz automatisch abgebildet und überwacht werden. Auf diese Weise erhalten die IT-Verantwortlichen einen aktuellen und um- fassenden Überblick über die Gegebenheiten aller Datenleitungen und Netzwerkkomponenten des Unternehmens. Das ermögliche ihnen eine schnelle Reaktion auf Engpässe sowie die Identifikation wenig ausgelas- teter oder überflüssiger Netzwerkressourcen. Auf Basis von Open Street Map wird das gesamte Netzwerk durch die Verwendung von Geo-Koordinaten automatisch grafisch aufbereitet. Durch eine Zoomfunktion kann man von einer geografischen in eine sche- matische Darstellung wechseln, um alle Komponenten und Geräte der einzelnen Cluster unter die Lupe zu nehmen. In der neuen Version wurde zudem Wert auf gute Bedienbarkeit und die praxisgerechte Anordnung des Interfaces gelegt. So erhält man in der Performance-Übersicht einen schnellen Einblick in Auslastungen sowie Verfügbarkeiten des Netzwerks und kann über individuelle Sprungpunkte die Details der untergeordne- ten Anwendungen inspizieren und bei Bedarf Konfigurationsanpassungen vornehmen. Mit dem jüngsten Update können Nutzer nun auch externe Applikationen in das ERAMON-Layout einbinden. So können sich Kunden beispielsweise Funkmasten, GPS-Daten der Mitarbeiter oder aber auch Wetterdaten in die „Topology View“-Maske integrieren lassen. n Mit ERAMON lassen sich Netzwerkgeräte verschiedener Hersteller unter einem Dach harmonisieren. (Bild: ERAMON) 10 IT-SICHERHEIT_2/2023 SICHERHEIT IN DER LIEFERKETTE MIT IT-RISIKOMANAGEMENT LocateRisk stellt seine neue Vendor-Risk-Management-Plattform vor. Die Lösung ermöglicht eine IT- und DSGVO-Compliance-Prüfung von Geschäftspartnern, Dienstleistern und Lieferanten. Die voll automatisier- te Software-as-a-Service-(SaaS)-Plattform vereinfache so die Zusam- menarbeit, um die Sicherheit der Unternehmensnetze und Supply Chains zu schützen. Zur Kontrolle tragen vordefinierte Risikoprofile, kontext- bezogene Bewertungen und Managementfunktionen bei. So sorge ein Performance-Dashboard für den sofortigen Überblick über die auditier- ten Unternehmen. Anhand der Risikomatrix lässt sich ablesen, wie viele Firmen welches IT-Sicherheitsniveau erreichen und per Klick die entspre- chende Liste mit den einzelnen Security-Scores einsehen. Darüber hinaus sorgen Filter zum Entwicklungsverlauf für eine schnelle Orientierung bei der Kontrolle. Für die Zusammenarbeit stehen individuell bearbeitbare E-Mail-Entwürfe und drei Ergebnis-Formate zur Wahl. Geprüfte Firmen können ihren Bericht einen Monat lang kostenfrei einsehen, um poten- zielle Sicherheitslücken schnellstmöglich zu schließen. n CLOUDFLARE INTEGRIERT SECURITY- COACH VON KNOWBE4 KnowBe4 gibt bekannt, dass sein Produkt SecurityCoach in die Cloud- E-Mail-Security von Cloudflare eingebettet wird. Die beiden Sicherheits- unternehmen haben sich zusammengetan, um durch die Produktinte- gration zur Unterstützung von Sicherheitscoaching in Echtzeit riskantes Verhalten zu reduzieren. Die Lösung hilft IT-Sicherheitsexperten bei der Entwicklung einer guten Sicherheitskultur, indem es ein Sicher- heitscoaching in Echtzeit für ihre Benutzer als Reaktion auf riskantes Sicherheitsverhalten ermöglicht. IT-Sicherheitsexperten können ihre Echtzeit-Coaching-Kampagnen so konfigurieren, dass sie ihren Anwen- dern sofort einen Sicherheitstipp zu einem erkannten Ereignis geben können, indem sie den bestehenden IT-Security-Stack eines Unterneh- mens nutzen. „Cloudflare schließt sich unserem Ökosystem von Techno- logiepartnern an, das schnell wächst, um den Support für unsere Kunden zu bereichern und die ,Human Firewall‘ ihrer Organisation zu stärken“, sagt Stu Sjouwerman, CEO von KnowBe4. „KnowBe4 ist stolz darauf, mit Cloudflare zusammenzuarbeiten, um eine nahtlose Integration mit unserem SecurityCoach-Produkt zu ermöglichen.“ Man arbeite aktiv mit Cloudflare zusammen, um eine API-basierte Integration bereitzu- stellen, um die Plattform mit Systemen zu verbinden, die IT-Sicherheitsexperten bereits nutzen, damit die Einführung neuer Produkte für ihre Teams ein einfacher und einheitlicher Prozess wird. KnowBe4 wird Schritt-für-Schritt-Anleitungen und Empfehlungen veröffentli- chen, um IT-Sicherheitsexperten bei der schnellen und problem- losen Integration und Daten- synchronisierung während des Implementierungsprozesses zu unterstützen. n Stu Sjouwerman ist CEO von KnowBe4 (Bild: KnowBe4)

WORKFORCE PASSWORD MANAGE- MENT MIT NEUEN FUNKTIONEN Das Unternehmen CyberArk kündigt neue und erweiterte Funktionen für sein Produkt Workforce Password Management an. Die cloudbasierte Enterprise-Lösung für das Passwort-Management erlaubt es Mitarbeitern, ihre Passwörter und andere Zugangsdaten für Anwendungen sicher zu erfassen, zu speichern und zu verwalten. Zu den neuen Funktionen zählen eine Zugriffskontrolle für Anwendungen basierend auf Benutzernamen. So können Administratoren jetzt verhindern, dass Anwender sensible oder pri- vilegierte Accounts wie *root*, *admin* oder *dba* zum Workforce Pass- word Management Vault hinzufügen. Dadurch erhalten sie mehr Kontrolle über die Zugangsdaten, die Anwender speichern, und verringern das Risiko, das hochprivilegierte Accounts hinzugefügt, abgerufen und geteilt werden. Außerdem ist es Anwendern nun möglich, nahtlos auf Webseiten zuzugrei- fen, die beim Login ein Captcha erfordern, und beim Anmeldevorgang erfor- derliche Captchas von Drittanbietern lösen. Zudem habe man das Reporting für vom Benutzer hinzugefügte Anwendungen erweitert. Die Reports, die Workforce Password Management liefert, enthalten nun detaillierte Infor- mationen zu allen Anwendungen. Sie helfen Administratoren, regelmäßige Audits durchzuführen und etablierte Sicherheitsrichtlinien durchzusetzen. n BYE, BYE PASSWORT Auch wenn Banken den Umgang mit Passwörtern gut im Griff haben, wünschen sich viele Kunden einen bequemeren und trotzdem siche- ren Zugang zu ihren digitalen Services. Die Geldhäuser können diesem Bedürfnis nun besser nachkommen und die biometrische Authentifi- zierungslösung Convego AUTH-U von Giesecke+Devrient (G+D) benut- zen. Die Lösung setze dem Passwort-Chaos ein Ende. Die biometrische Authentifizierung vereinfache und verschlanke den Prozess nicht nur, sie beschleunige auch den Zugriff auf Mobile-Banking, erhöhe die Verweil- dauer und schaffe so einen unmittelbaren Mehrwert für die Nutzer. Convego AUTH-U ist eine skalierbare Plattform, die über Standard-APIs in die Legacy-Systeme von Banken eingebunden wird. Aufbauend auf den globalen Fast-IDentity-Online-(FIDO)-Standard erfolgt im Hintergrund eine Zwei-Faktor-Authentifizierung. Die Lösung ist nach G+D-Angaben kompatibel mit regulatorischen Vorgaben wie etwa der Zahlungsdiens- terichtlinie PSD2 der EU. n KI-GESTÜTZTE SOWIE VERHALTENS- UND SIGNATURBASIERTE ERKENNUNG VON CYBERBEDROHUNGEN Vectra AI hat die Einführung von Vectra Match bekannt gegeben. Vectra Match erweitert den Analyse-Kontext von Vectra Network Detection and Response (NDR) um Intrusion-Detection-Signaturen und ermöglicht es auf diese Weise Sicherheitsteams, die Entwicklung ihrer Security hin zu KI-gesteuerter Bedrohungserkennung und -reaktion zu beschleunigen, ohne die bereits getätigten Investitionen in signaturbasierte Sicherheit dafür aufzugeben. Mit der Ergänzung durch Vectra Match adressiere Vectra NDR zentrale Anwendungsfälle für Governance, Risk and Compliance (GRC) und Security-Operations-Center (SOC). Man ermögliche so eine genauere Korrelation und Validierung von Bedrohungssignalen sowie Compliance für PRODUKTE | NEWS netzwerkbasierte Common-Vulnerabilities-and-Exposures-(CVE)-Erken- nung mit kompensierenden Kontrollen und darüber hinaus Prozesse zur Bedrohungssuche, Untersuchungen und Reaktionen auf Vorfälle. „In dem Maße, wie sich Unternehmen ändern, indem sie digitale Iden- titäten, Lieferketten und Ökosysteme einbeziehen, sind GRC- und SOC-Teams gezwungen, mit dieser Entwicklung Schritt zu halten. Um den Anschluss an bestehende, sich entwickelnde und neu entstehen- de Cyber-Bedrohungen nicht zu verlieren, sind Sichtbarkeit, Kontext und Kontrolle sowohl für bekannte als auch für unbekannte Bedrohungen erforderlich. Die Herausforderung für viele Organisationen im Sicher- heitsbereich besteht darin, dies ohne zusätzliche Komplexität und Kosten zu erreichen", erklärt Kevin Kennedy, SVP Products bei Vectra. „Mit Vectra NDR können Sicherheitsteams jetzt Signaturen für bekannte Bedrohun- gen und KI-gesteuerte, verhaltensbasierte Erkennung für unbekannte Bedrohungen in einer einzigen Lösung zusammenführen." n NEUER FERNSIEGELDIENST D-Trust, der qualifizierte Vertrauensdiensteanbieter (qVDA) der Bundesdru- ckerei-Gruppe, hat im Februar die Zertifizierung für einen neuen Fernsiegel- dienst von der TÜV Informationstechnik GmbH erhalten und erweitert sein eIDAS-Portfolio im Bereich E-Government. Das qualifizierte Siegel ersetzt das Behördensiegel oder den Firmenstempel für juristische Personen in di- gitalen Verfahren. Der nach eIDAS zertifizierte Vertrauensdienst bietet einen Nachweis über die Herkunft und Unversehrtheit elektronischer Dokumente wie Bescheide, Rechnungen oder Geschäftskorrespondenz. Wie alle eIDAS- Vertrauensdienste ist nach eigenen Angaben der D-Trust Fernsiegeldienst auf der EU Trusted List gelistet. Zusätzlich werde jedes fernausgelöste Siegel von D-Trust automatisch mit einem qualifizierten Zeitstempel versehen. Die durch das Siegel bestätigte Integrität und Authentizität eines Dokuments werde damit langfristig prüfbar. „Da eine Hardware-Ausstattung mit Siegel- karte und Lesegeräte nun nicht mehr an jedem Arbeitsplatz benötigt wird, ist es für Behörden jetzt noch einfacher, Dokumente wie Bescheide digital und rechtssicher zu erstellen“, sagt Dr. Kim Nguyen, Geschäftsführer von D-Trust. Über eine Schnittstelle werde das digitale Siegel nahtlos in beste- hende Geschäfts- und Verwaltungsprozesse eingebunden. n SPEZIALISIERTE CYBERSECURITY- PRODUKTE UND SERVICES FÜR OT- UMGEBUNGEN Fortinet hat neue Produkte und Services veröffentlicht, mit denen Un- ternehmen ihre Operational-Technology-(OT)-Umgebungen besser schützen können. Die Lösungen sind nativ in die Fortinet Security Fabric integriert, um eine nahtlose Konvergenz und Konnektivität zwischen IT und OT zu ermöglichen. Das verbessere die Sichtbarkeit und Echtzeit- reaktion über die gesamte Angriffsfläche hinweg. Außerdem werden Security-Operations-Center-(SOC)-Teams in die Lage versetzt, effizien- ter und schneller in ihrer Reaktionszeit auf Fabriken, Anlagen, entfernte Standorte und Fahrzeuge zu reagieren. Zu den neuen Spezialprodukten gehören die FortiGate 70F Rugged Next-Generation Firewall (NGFW), die FortiDeceptor Rugged Appliance und die FortiPAM-Lösung für das Privi- leged-Access-Management für sicheren Remote-Zugriff. n IT-SICHERHEIT_2/2023 11

NEWS | PRODUKTE MULTI-STANDARD-LÖSUNG FÜR DAS MANAGEMENT DER DEZENTRALEN IDENTITÄT Ping Identity kündigt eine Multi-Standard-Lösung für das Management der dezentralen Identität an. PingOne Neo optimiere die Sicherheit der Daten, den Schutz der Privatsphäre und die Kontrolle der Einzelperson über ihre Daten, während es Unternehmen die Entlastung der Ressour- cen und die Einhaltung von Vorschriften verspricht. Viele digitale Dienste basieren auf verifizierten Angaben über Personen, um eine Geschäftsab- wicklung zu ermöglichen. Neo vereinfache den Erhalt von verifizierten Informationen aus einer vertrauenswürdigen Quelle über verifizierbare digitale Nachweise – ganz gleich, ob es sich um eine unternehmensin- terne oder externe Datenquelle handelt. Auf diese Weise können Unter- nehmen Verifizierungen ohne komplizierte und kostspielige Back-end- Integrationen, mit denen sich ihre Angriffsfläche vergrößert, vornehmen. Neo verringere damit die Wahrscheinlichkeit von Identitätsdiebstahl bei Einzelpersonen und verbessere die Sicherheit für Unternehmen, indem es sofort Gewissheit über Einzelpersonen anhand ihrer digitalen Nach- weise liefert. Die dezentrale Identität verringert die Gefahr von Transaktionsbetrug und Kontoübernahmen durch das Sicherstellen der Echtheit der per- sönlichen Identität hinter dem digitalen Nachweis. Im Rahmen von Neo fordert eine Person bei einer Organisation einen verifizierbaren digitalen Nachweis (Credential) an, der kryptografisch signiert und überprüfbar ist. Dieser verifizierbare digitale Nachweis wird dann der eigenen digitalen Brieftasche hinzugefügt und kann an das Unternehmen weitergereicht werden, das seine Vorlage verlangt. Die Person behält die volle Kontrolle darüber, welche Angaben weitergegeben werden. PingOne Neo ist Bestandteil einer offenen, interoperablen Plattform, die gängige Standards von dezentraler Identität des World Wide Web Con- sortiums (W3C), der OpenID Foundation und der International Organizati- on for Standardization (ISO) unterstützt. n Mit PingOne Neo erhalten Benutzer die Kontrolle über ihre Identitätsdaten zurück, so das Versprechen des Anbieters. (Bild: Ping Identity) 12 IT-SICHERHEIT_2/2023 NEUE TECHNISCHE RICHTLINIE ZU PUBLIC-KEY-INFRASTRUKTUREN Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Richtlinie BSI TR-03145-5 für den sicheren Betrieb einer Public-Key-Infra- struktur für technische Sicherheitseinrichtungen veröffentlicht. Im Zuge der Digitalisierung werden Geschäftsvorfälle immer häufiger elektro- nisch erfasst. Um nachträglichen Manipulationen entgegenzuwirken, müssen seit 2020 elektronische Aufzeichnungssysteme wie Registrier- kassen mit einer zertifizierten „Technischen Sicherheitseinrichtung“ ge- schützt werden, die in eine Public-Key-Infrastruktur (PKI) eingebettet ist. PKIs werden in unterschiedlichen Anwendungsbereichen eingesetzt. Das BSI legt in der Richtlinienreihe BSI TR-03145 grundsätzliche An- forderungen für verschiedene Bereiche fest. Die technische Richtlinie BSI TR-03145-1 ist die Basis der Reihe und definiert Anforderungen für den sicheren Betrieb von zertifikatsausgebenden Stellen in möglichst allgemeingültiger Form. In bestimmten Anwendungsbereichen kann es notwendig sein, die allgemeinen Anforderungen für den gegebe- nen Anwendungsbereich zu konkretisieren, wie bei der Absicherung von Aufzeichnungen elektronischer Aufzeichnungssysteme mit einer technischen Sicherheitseinrichtung. Mit der Veröffentlichung der Richt- linie TR-03145-5 ergänze und spezifiziere man die Vorgaben für diesen Anwendungsfall und ermögliche die einheitliche und vereinfachte Zertifizierung, so das BSI. n Die Richtlinienreihe ist kostenlos als PDF verfügbar: FTAPI-PRODUKTE BESTEHEN PENTEST FTAPI hat nach eigenen Angaben die Überprüfung durch die SySS GmbH aus Tübingen, einem unabhängigen Dienstleister für Penetrationstests, bestanden. Dem Test habe man sich unterzogen, um den wachsenden Anforderungen des Marktes und den eigenen Ansprüchen an die Sicher- heit gerecht zu werden. Der Pentest umfasste eine gründliche Überprü- fung der FTAPI Secure Data Workflow Platform und den dazugehörigen Produkten SecuMails, SecuRooms, SecuForms und SecuFlows. Bereits Ende 2022 wurde der erste Test von FTAPI in Auftrag gegeben. Dabei wurden wenige Schwachstellen aufgedeckt, die geschlossen wurden. Bei einer erneuten Prüfung Anfang 2023 konnten keine Sicherheitslücken mehr festgestellt werden. Der erfolgreiche Abschluss des Pentests bestä- tige, dass alle Lösungen des FTAPI-Produktportfolios ein hohes Maß an IT-Sicherheit bieten und das Unternehmen alle erforderlichen Maßnah- men ergriffen hat, um die Daten seiner Kunden zu schützen. „Die Überprüfung durch einen unabhängigen Pentest ist für uns von gro- ßer Bedeutung“, sagt Michael Krinniger, Chief Technology Officer (CTO) bei der FTAPI Software GmbH. „So konnten wir sicherstellen, dass unsere Produkte den höchsten Sicherheitsstandards entsprechen. Dabei war es uns wichtig, mit einem erfahrenen Dienstleister zusammenzuarbei- ten. Bei SySS waren wir uns sicher, dass die Überprüfung von Experten durchgeführt wird, die über die erforderliche Erfahrung und das Wissen verfügen, um mögliche Schwachstellen zu identifizieren.“ Um die Sicher- heit der Produkte kontinuierlich zu gewährleisten, wurde die Überprü- fung durch SySS in einen Prozess überführt, der ab sofort regelmäßig stattfindet. n

IT-Notfallmanagement/ Business Continuity Management und Vorgehensweise im Prinzip gleich geblieben ist. Bis zur Veröf- fentlichung der finalen Version des neuen Standards 200-4 bleibt der Standard 100-4 gültig. Dennoch können Anwenderinnen und Anwender bereits jetzt ihr BCMS an dem Community Draft des BSI- Standards 200-4 ausrichten, da keine wesentlichen Veränderungen vor der finalen Herausgabe des neuen Standards erwartet werden. Unser Weiterbildungsangebot im Bereich IT-Sicherheit Die Bitkom Akademie bietet zahlreiche Fortbildungen im Bereich IT-Sicherheit an und ist als anerkannter Schulungsanbieter des BSI in der Lage, die Maßnahmen und Empfehlungen aus dem BCM-Standard 200-4 in Unternehmen und Organisationen zu vermitteln. Unter anderem bildet der Zertifikatslehrgang zum Business Con- tinuity Manager (BCM) die konkreten Anforderungen des Bundes- ministeriums im Curriculum ab. Der ausgebildete BCM-Manager ist für die Erstellung eines Notfallkonzepts verantwortlich. n Für weitere Informationen kontaktieren Sie bitte Vincent Bergner: v.bergner@bitkom-service.de https://bitkom-akademie.de/seminare Fokus der IT-Sicherheit ist unter anderem, den Geschäftsbe- trieb und die Prozesse im Krisenfall möglichst abzusichern bzw. unterbrechungsfrei fortzuführen. Das Business Continuity Management (BCM) ist in diesem Zusammenhang mittlerwei- le ein festgesetzter Begriff. Es beinhaltet die Behandlung von Sicherheitsvorfällen mit zeitkritischen und existenzbedrohen- den Auswirkungen. Das Ziel ist es, zeitkritische Geschäfts- und Produktionsprozesse bereits vor Eintritt eines Schadensereignis- ses zu bewerten und abzusichern. Im Rahmen sich verändern- der Umwelteinflüsse ist es unabdingbar, das Konzept stets zu prüfen und zu überarbeiten. Neuer BSI-Standard 200-4 Als Hilfestellung hat das Bundesamt für Sicherheit in der Informa- tionstechnik (BSI) eine neue Anleitung zu dieser Thematik heraus- gebracht. Diese wurde mithilfe der anwendenden Zielgruppe modernisiert und weiterentwickelt. Der neue Standard 200-4 zum Notfallmanagement wird den BSI-Standard 100-4 ablösen und mit zahlreichen Anpassungen ergänzen. Laut BSI wurden dabei aktuelle Erkenntnisse und Entwicklungen im Bereich des BCM sowie Erfah- rungen aus der Corona-Pandemie berücksichtigt. Der Standard bietet eine fundierte Anleitung, um in der Praxis ein BCMS in der eigenen Institution aufzubauen und zu imple- mentieren. Im Vergleich zur Vorgängerversion wird das Thema durch den neuen BSI-Standard 200-4 ganzheitlicher betrach- tet und somit auch die Resilienz des Unternehmens gefördert. Das gelingt vor allem durch die Einbindung von Best Practices und Synergiepoten zialen zu anderen Sicherheitsthemen. Im Gesamten weist der überarbeitete Standard durch eine neue Kapitelstruktur eine höhere Übersichtlichkeit auf und konnte da- durch viele Redundanzen entfernen. Anwenderinnen und Anwen- der, die bereits mit dem vorherigen Standard arbeiten, können ohne Probleme mit dem neuen Regelwerk fortfahren, da die Methodik IT-SICHERHEIT_2/2023 13 Gorodenkoff - stock.adobe.com– ADVERTORIAL –

SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT Datensouveränität statt Datendiktatur DEZENTRALE VS. ZENTRALE DIGITALE IDENTITÄTEN U m online Serviceleistungen in Anspruch nehmen zu können – etwa die eines Shops, einer Bank oder einer Behörde – müssen Nutzer sich zuvor mit einer digitalen Identität ausweisen. Die unterschiedlichsten personenbezogenen Daten, wie Name, Anschrift, Telefonnummer, E-Mail-Adresse, Kunden-, Steuer- oder Mitar- beiternummer und vieles mehr, können Teil einer solchen digitalen Identität sein. Da die meisten Menschen mehrere Online-Services nutzen und jeder Service über eine eigene – mal interne, mal externe – Identitätsquel- le verfügt, besitzen sie eine Vielzahl digitaler 14 IT-SICHERHEIT_2/2023 Identitäten und haben diese nur selten wirk- lich unter Kontrolle. es um Datensicherheit und Datenschutz geht, ihm sogar vollumfänglich vertrauen. DER TRADITIONELLE ANSATZ – ZENTRALE IDENTITÄTEN Denn in aller Regel ist ihre jeweilige digitale Identität bei den Identity- und Service-Provi- dern abgespeichert. Nach der Anmeldung hat der Benutzer auf sie meistens keine direkte Einwirkungsmöglichkeit mehr. Zur Aktualisie- rung der eigenen Daten muss er mit der Identi- tätsquelle seines Anbieters kooperieren, wenn Dieser traditionelle Ansatz hat mehrere Nach- teile – nicht nur für die Identity- und Service- Provider, sondern auch für die Nutzer der Ser- viceleistungen selbst. Die Anwender … … sorgen sich um ihren Datenschutz: Leicht kann es bei Identity- und Service-Providern zu Datenschutzverletzungen kommen. Eine Kontrolle darüber, was mit den Daten ge- Um sich im Internet für die Inanspruchnahme einer Serviceleistung ausweisen zu können, benötigen Anwender eine digitale Identität. Derzeit werden diese zentral, entweder bei einem Identity-Provider oder beim Anbieter der Serviceleistung, ge-speichert und verwaltet. In aller Regel ergeben sich daraus für die Identity-Provider, die Service-Provider und für die Benutzer zahlreiche Nachteile. Vorteilhafter ist ein anderer Ansatz: die dezentrale Speicherung, Verwaltung und Nutzung der digitalen Identitäten – beim Endnutzer selbst.Bild: metamorworks - stock.adobe.com

schieht und wer sie einsehen kann, haben Nutzer meist nicht. Während der Interaktion mit dem Online-Service erzeugen die Nutzer zudem Daten, die der Anbieter dann ebenfalls in der digitalen Nutzeridentität hinterlegen, verwalten und nutzen kann. … erleben Mängel bei der Datensicherheit: Da alle Identitätsdaten zentral bei einer Iden- titätsquelle gelagert werden – ein lukratives Angriffsziel – ist das Risiko, dass Kriminelle diese attackieren, um an das gesamte Daten- paket zu kommen, relativ hoch. Außerdem bestehen beim Identity- und beim Service- Provider sowie beim Nutzer zahlreiche An- satzmöglichkeiten, Identitätsdaten einzelner Nutzer zu übernehmen und Identitätsbetrug zu begehen. … vermissen Nutzerfreundlichkeit: Die Ver- waltung der verschiedenen Identitätsdaten, zum Beispiel von Login-Namen und Pass- wörtern, ist umständlich und komplex. Nicht zuletzt, da die meisten Internetnutzer – schon bedingt durch die Vielzahl der Identity- und Service-Provider – eine erhebliche Zahl digita- ler Identitäten besitzen. Die Anbieter … … fürchten um Datenschutz und Daten- sicherheit: Da die Identitätsdaten beim Anbieter lagern, hat er die Verantwortung für die Einhaltung der Compliance-Vorgaben zu Datenschutz und Datensicherheit. Er trägt das Risiko, wenn den echten Daten eines Nutzers etwas zustoßen sollte oder ein Benutzer fal- sche Daten eingibt, um Betrug zu begehen. … vermissen Integrierbarkeit: Da die Struk- turen relativ starr sind, können mit zentra- len digitalen Identitäten nicht schnell und unkompliziert neue Geschäftsmöglichkeiten erschlossen werden. … sehen Nachteile für das Nutzungserleb- nis: Denn die strengen Authentifizierungs- prozesse bremsen die User und Customer Experience aus. DER AUSWEG: IDENTITÄTEN DEZENTRALISIEREN Diese Schwachstellen lassen sich mit dem An- satz der dezentralen Identitäten, auch als „De- centralized Identities (DCIs)“ bekannt, ausräu- SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT MEHMET YALIMAN ist Principal Solutions Architect bei Ping Identity. IT-SICHERHEIT_2/2023 15 men. Zunächst einmal kann der Nutzer hier von Dritt-Parteien (Issuers), wie Behörden, Banken, Universitäten, verifizierte Identitätsdaten anfor-dern, sogenannte „Verifiable Credentials“. Der Issuer sendet diese gemeinsam mit zusätzli-chen Daten, welche die Echtheit der Credentials bestätigen, an den Nutzer (Holder) in ein für Ser-vice-Anbieter (Verifiers) von außen zugängliches Register. Die verifizierten Daten kann der Benut-zer dann in einem verschlüsselten digitalen Wal-let auf seinem Smartphone sammeln, speichern, verwalten und bei Bedarf verwenden. Will er nun auf einen Service zugreifen, stellt er eine Anfrage, worauf der Service-Anbieter alle zur Erbringung dieser speziellen Leistung rele-vanten Identitätsattribute abfragt, zum Beispiel Alter und Führerscheinnummer. Der Nutzer selbst entscheidet dann, ob er diese Identi-tätsattribute als Beweis weiterleiten will. Wenn ja, werden auf Basis der vorhandenen Verifiable Credentials sogenannte dezentrale Identifika-toren (DIDs) als Beweis zusammengestellt und an den Anbieter verschickt. Der kann diese dann anhand des zuvor angelegten Registereintrags auf ihre Echtheit hin überprüfen. Wenn die Da-ten echt sind, erhält der Nutzer vom Service-Anbieter ein neues Credential, das er in seiner Wallet und der Service-Anbieter in seiner Iden-titätsquelle speichert. Ab sofort kann sich der Benutzer dann auch über das Credential beim Service-Anbieter einwählen, ohne dass dieser in irgendeiner Form personenbezogene oder per-sonenbeziehbare Daten abgespeichert hat.DEMOKRATISCHES IDENTI-TÄTSMANAGEMENT Die Nutzung dezentraler Identitäten bietet für Identity- und Service-Provider zahlreiche Vorteile: Datenschutz und Datensicherheit: Beides lässt sich effektiver und effizienter umsetzen. Da sich die Daten nicht mehr beim Anbieter befinden, sinkt sein Risiko, Opfer eines Angriffs zu werden und gegen Compliance-Vorgaben zu verstoßen. Da sich zudem die verifizierten Credentials mit einem Gesichtsscan oder Fin-gerabdruck kombinieren lassen, kann auch das Betrugsrisiko stärker eingedämmt werden. Integrierbarkeit: Dezentrale Identitäten können organisch wachsen. Neue Anwen-dungsfälle – und damit Geschäftsmodelle – können schnell und unkompliziert erschlossen werden. Letztlich kann jeder jedem Identi-tätsattribute, Zugangsberechtigungen und Zertifikate ausstellen, zum Beispiel ein Nach-bar einem anderen eine vorübergehende Nut-zungsberechtigung seiner Garage oder seines Autos einräumen. Nutzungserlebnis: Das Wegfallen von Pass-wörtern und strengen Authentifizierungspro-zessen und das Hinzukommen von Trans-parenz steigert sowohl die User als auch die Customer Experience.Aber auch Endnutzer profitieren: Datenschutz: Die Nutzer sind die alleinigen Besitzer und Verwalter ihrer Identitätsdaten. Nur sie können ihre personenbezogenen und personenbeziehbaren Daten einsehen und bei Bedarf teilen, ohne dass Dritte davon erfahren und nur insoweit, wie sie es möchten. Datensicherheit: Da ein Angriff auf die Iden-titätsdaten einzelner Nutzer weniger lukrativ ist, sinkt das Risiko, Opfer eines Identitäts-diebstahls zu werden. Auch ist die Angriffsflä-che weniger umfangreich. Nutzerfreundlichkeit: Mit einer Wallet wird die Verwaltung der eigenen digitalen Identität für Nutzer deutlich vereinfacht. Informationen werden zusammengeführt und für den Besit-zer transparent geführt und verwaltet.FAZITDezentrale Identitäten sind zentralen Identitä-ten in vierfacher Hinsicht überlegen: Datensi-cherheit, Datenschutz, Datensouveränität und Anwenderfreundlichkeit. Ihre Einführung wird die Online-Präsenz aller Branchen nachhaltig verändern, neue Geschäftsmodelle eröffnen und den Kunden die Souveränität über ihre Daten zurückgeben. n

Deepfake-Attacken: Besserer Schutz am Service Desk 16 IT-SICHERHEIT_2/2023 – ADVERTORIAL –Bild: ArtemisDiana - stock.adobe.comInstitute und Behörden empfehlen Multi-Faktor-AuthentifizierungAlle Unternehmen sind potenzielle Ziele für Cyberattacken. Social-Enginee-ring-Angriffe sind hierbei besonders skrupellos, da Kriminelle versuchen, die IT-Profis unter Druck zu setzen und gezielt zu manipulieren, um sie unwissentlich zu Komplizen des Verbrechens zu machen. Die EU-Agentur für Cybersicherheit ENISA stuft den Missbrauch von KI zur Manipulation als eine der größten Bedrohungen in den nächsten Jahren ein und erklärt: Eine mögliche Lösung dafür kann die Mehr-Faktor-Authentifizierung sein. Dabei helfen Tools wie der Specops Secure Service Desk den Helpdesk-Mitarbei-tern dabei, die Benutzerkonten und die Authentizität des Hilfesuchenden mit unterschiedlichen Identitätsdiensten zu verifizieren.Doch die Praxis sieht anders aus: Laut einer Studie von Specops Software, einem Anbieter von Passwortmanagement- und Authentifizierungslösun-Verfahren zur Manipulation von medialen Identitäten existieren bereits seit vielen Jahren. Lange Zeit war es sehr aufwendig, Videos und Audiomitschnitte qualita-tiv hochwertig zu manipulieren. Durch Methoden aus dem Bereich der künstlichen Intelligenz (KI) ist dies heute jedoch deutlich einfacher, und Fälschungen, sogenannte Deepfakes, können mit vergleichsweise wenig Aufwand in hoher Qualität erstellt werden. Das wissen auch Cyberkrimi-nelle und nutzen es, um täuschend echt wirkende, manipulierte Audio- oder Videoaufnahmen bei ihren Angriffen einzusetzen. Ihre Methode ist dabei Social Engineering, das heißt, es wird gezielt die Schwachstelle Mensch attackiert. Zunehmend sollen so auch IT-Administratoren und der Service Desk hinters Licht geführt werden: Das bekannte Gesicht oder die vertraute Stimme der Vorgesetzten sorgen dafür, dass das Misstrauen zur Seite geschoben wird und keine weitere Überprüfung erfolgt – ein erster, oftmals folgenreicher, Zugang zu den IT-Systemen des angegriffenen Unternehmens.

– ADVERTORIAL – Mehrere Optionen zur Authentifizierung können vom Servicedesk-Mitarbeiter ausgewählt werden und bieten so eine Vielzahl an Optionen zur Bestätigung der Identität. Der Authentifizierungsvorgang läuft ohne Möglichkeiten zur Einflussnahme durch den Servicedesk ab. Weitere Informationen: www.specopssoft.com Specops Software GmbH Gierkezeile 12 10585 Berlin Ansprechpartner: Patrick Lehnis Marketing Manager +49 160 3484013 Patrick.Lehnis@specopssoft.com Keine Authentifizierung – kein neues Passwort! Mit dieser Einstellung gehen Sie als Admin auf Nummer sicher. IT-SICHERHEIT_2/2023 17 gen, haben lediglich 48 Prozent der Unternehmen eine Benutzerüberprü-fungsrichtlinie für eingehende Anrufe am IT-Service-Desk. Doch diese ist dringend geboten. Darüber hinaus ergab die Erhebung, dass 28 Prozent dieser Unternehmen aufgrund von Sicherheits- und Usability-Problemen mit ihrer aktuellen Richtlinie unzufrieden sind. Schutz vor Manipulation und Täuschung: So hilft MFA am IT-Service DeskDabei würde die Durchsetzung der Benutzerüberprüfung am Service Desk es den Helpdesk-Agenten ermöglichen, legitime Anfragen der Mitarbei-ter von denen der Internetkriminellen zu unterscheiden. So wird bei der Verifizierung des Kontobesitzers nicht mehr auf klassische Sicherheitsfra-gen wie die nach der Mitarbeiter-ID oder auf weitere schwache Faktoren zurückgegriffen. Lösungen wie Specops Secure Service Desk mit denen die Benutzerkonten mit unterschiedlichen Identitätsdiensten verifiziert werden, erschweren gezielte Social-Engineering-Angriffe und verhindern die Täuschung der Helpdesk-Mitarbeiter durch Deepfakes. Allein die simulierte Stimme auf Audioaufnahmen oder das nachgeahmte Aussehen in Videos reichen nicht mehr für den Erfolg einer Cyberattacke aus. Weitere Sicherheitsfaktoren, die verlangt, aber nicht erbracht werden, enttarnen den Angriffsversuch. So wird eine sichere Benutzerverifizierung durch den Service-Desk-Agen-ten gewährleistet und geht über eine wissensbasierte Authentifizierung hinaus.Ein Beispiel: Wenn ein Benutzer ein mobiles Endgerät bei einem Service Desk registriert, können die Helpdesk-Agenten einen Mitarbeiter tele-fonisch kontaktieren und als Textnachricht einen Einmalcode an die ver-knüpfte Mobilfunknummer übermitteln. Durch diesen wird die Identität geprüft und verhindert so, dass unwissentlich wertvolle Daten an Betrü-ger und Cyberkriminelle weitergegeben werden.Zudem können Identitätsdienste wie Duo Security, Okta Verify, PingID oder Symantec VIP zusammen mit Secure Service Desk benutzt werden. In jedem Fall haben die Service-Desk-Mitarbeiter erst dann die Möglichkeit, Benutzerkonten sicher zurückzusetzen oder zu entsperren, nachdem der Benutzer erfolgreich und zweifelsfrei verifiziert wurde.ZusammenfassungCyberkriminellen gelingt es immer besser zu täuschen und ihre Opfer zu Handlungen zu verleiten, die weitere Attacken ermöglichen, durch die vertrauliche Daten preisgegeben und schließlich die Sicherheit einer IT-Infrastruktur gefährdet werden kann. Daher benötigt der IT-Service Desk eine geeignete Lösung, die bei einer Überprüfung der Identität am Help-desk via Mehr-Faktor-Authentifizierung unterstützt. n

SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT Die Sicherung aller Zugänge ist Pflicht jedes Unternehmens IAM UND PAM IM VERBUND Bisher galt privilegiertes Zugriffsmanagement für Unternehmen nur als „nice to have“. Getrieben durch Compliance und Regulierungsvorgaben wird sich das zukünftig ändern. Ein Identitäts- und Zugriffsmanagement (IAM) sowie das privilegierte Zugriffsmanagement (PAM) sind heute ein Muss für mehr Sicherheit. Der Bedarf an sicherem Zugang zu den Daten von Unternehmen war noch nie so groß wie heute. Man denke nur an die Standardisierung des Homeoffices, die massive Zunahme der Cloud- Dienste, das starke Wachstum der Zahl der mobilen Geräte und an vieles mehr. Diese An- wendungen erhöhen die Anzahl der Zugangs- punkte zur IT-Infrastruktur eines Unterneh- mens erheblich. Sie sind für Hacker potenzielle Einfallstore, deren Sicherung dringend umzu- setzen ist, um die dahinter verbogenen Daten und Anwendungen zu schützen. Die Basissicherheit beginnt in der IT mit einem Zugangsschutz zu den Systemen und somit auch zu allen Daten im Netzwerk. In der realen Welt bestätigen wir unsere Identität mit einem Per- sonalausweis. Online haben wir dafür Passwör- ter, PINs oder biometrische Merkmale wie den Fingerabdruck. Sie alle sind Bestandteil unserer sogenannten „digitalen Identität“, die uns den 18 IT-SICHERHEIT_2/2023 Zugang zu diversen persönlichen Accounts ge- währt: vom E-Mail-Konto über firmeninterne Portale bis hin zur Steuererklärung. Identity-Management ist die IT-Disziplin, die darüber wacht, wer Zugang zu einem Unter- nehmen bekommt und wer was tun darf. Die Identitätsverwaltung umfasst Systeme, Richt- linien und Prozesse, die die Benutzeridentität, Authentifizierung und Systemberechtigung überwachen. Sie umfasst auch die Verwaltung von privilegierten Benutzern, die berechtigt sind, Systemeinstellungen zu verwalten. Das kön- nen beispielsweise externe Dienstleister oder Administratoren sein. In der Praxis beinhaltet Identity-Management den Einsatz von Lösungen für das Identitäts- und Zugriffsmanagement (IAM) und das privilegierte Zugriffsmanagement (PAM). Um zu verstehen, wie die Identitätsver- waltung besser funktionieren könnte, muss man zunächst verstehen, wie IAM und PAM funkti- onieren. IDENTITÄTS- UND ZUGRIFFSMANAGEMENT Bei IAM geht es um zwei miteinander verbunde- ne, aber unterschiedliche Faktoren der Benutzer- identität. Erstens muss eine IAM-Lösung in der Lage sein, den Benutzer zu authentifizieren. Das ist die Frage „Ist diese Person wirklich die, die sie behauptet zu sein?“. Die Authentifizierung des Benutzers ist jedoch nur ein Teil des IAM-Prozes- ses. Die Lösung muss auch die Berechtigungen des Benutzers bestätigen. IAM-Lösungen überprüfen, ob Benutzer sind, wer sie behaupten zu sein und auf welche Systeme und Tools ein bestimmter Benutzer Zugriff hat. Idealerweise hat die IT-Abteilung IAM konfigu- riert, um den Zugriff auf alle IT-Ressourcen zu steuern. Dazu gehören Anwendungen, Daten- Bild: Apichet - stock.adobe.com

SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT banken, Speicherressourcen und Netzwerke so- wie Ressourcen von Partnern. IAM-Plattformen mindern somit Sicherheits- und Konformitäts- risiken, die aus einem unberechtigten Zugriff resultieren können. PRIVILEGIERTES ZUGRIFFSMANAGEMENT Ein privilegierter Benutzer ist jemand, der be- rechtigt ist, sich am administrativen Backend eines Systems anzumelden. Mit diesem Zugriff kann der berechtigte Benutzer andere Benutzer- konten einrichten, ändern oder löschen. Solche Personen können berechtigt sein, Systemkon- figurationen zu ändern oder sogar das ganze Programm zu deinstallieren. In einigen Fällen können privilegierte Benutzer auch auf Daten zugreifen, die auf dem System gespeichert sind. Der privilegierte Zugriff wird manchmal auch als „Root-Zugriff“ bezeichnet. Der privilegierte Zugriff birgt eine Reihe mög- licher Sicherheitsrisiken. Ein böswilliger Akteur, der sich beispielsweise als privilegierter Benut- zer ausgibt, könnte ein Unternehmen durch eine Abhöraktion, durch die Änderung von Produk- tionsdaten oder die Offline-Schaltung von Sys- temen zum Erliegen bringen. Eine PAM-Lösung mindert solche Risiken. PAM-Lösungen beruhen auf der Einrichtung einer sicheren, optimierten Methode zur Auto- risierung und Überwachung aller privilegierten Benutzer. Funktionen umfassen normalerweise die Möglichkeit, privilegierten Zugriff zu gewäh- ren und zu widerrufen. Sie können als Mittels- männer zwischen privilegierten Benutzern und den von ihnen verwalteten Systemen fungieren. Auf diese Weise hat der privilegierte Benutzer keinen direkten Backend-Zugriff. PAM-Lösungen bieten: eine umfassende Kontrolle darüber, wer Zu- griff auf kritische Systeme hat, die vollständige Sichtbarkeit aller Benutzerak- Unternehmen müssen alle Zugänge zum Netzwerk schützen (Bild: WALLIX). nicht sogar schon eine vollständige PAM-Lösung betreiben. Es besteht jedoch die Gefahr, dass IAM und PAM als Silos nicht integriert sind. So können leicht inkonsistente Zugriffsrichtlinien zwischen IAM- und PAM-Lösungen auftreten. Während IAM zum Beispiel möglicherweise Überprüfungen von Benutzerprivilegien erfor- dert, wird das von der PAM-Lösung eventuell nicht eingefordert. IAM und PAM sollte man daher idealerweise in eine einheitliche Identitätsverwaltung inte- grieren. Eine gemeinsame IAM-PAM-Lösung zentralisiert die Identitätsverwaltung, indem sie das privilegierte Zugriffsmanagement mit ei- nem einzigen maßgeblichen Identitätsspeicher zusammenführt. Die Zusammenführung beider Lösungen bietet einige Benefits: zentrale Kontrolle über die Bereitstellung des gesamten Identitätszugriffs im Unternehmen Erkennung von Benutzern mit übermäßig vie- nur die sensibelsten Konten. Die Kombination von IAM und PAM geht über die Sicherung pri- vilegierter Konten hinaus. Sie schützt nach dem Prinzip der geringsten Privilegien den Benutzer- zugang und die Arbeitsstationen, um eine Kon- tamination durch Malware oder Ransomware zu verhindern. Im Rahmen ihrer täglichen Arbeit benötigen alle Benutzer zu einem bestimmten Zeitpunkt Privilegien für den Zugriff auf be- stimmte digitale Ressourcen im Unternehmen. Die Herausforderung besteht darin, den Zugang zum richtigen Zeitpunkt und mit der richtigen Berechtigungsstufe zu gewähren, um die erwar- tete Aufgabe zu erfüllen, unabhängig davon, wo sich der Benutzer befindet, ob innerhalb oder außerhalb des Unternehmens. Daher stellt die Kombination von IAM und PAM einen wichtigen Schritt für mehr Sicherheit dar. n tivitäten sowie len Zugriffsrechten eine Passwortverschlüsselung und -verwal- Vereinfachung der Eingliederung und Ausglie- tung zur Durchsetzung sicherer Passwort- richtlinien. derung von Benutzern Überprüfung möglicher Unstimmigkeiten bei Zugriffskontrollen und Richtlinienverletzungen IAM UND PAM Die meisten Unternehmen haben eine IAM- Lösung wie das Active Directory. Und sie haben eine Möglichkeit, PAM durchzuführen, wenn sie FAZIT In der heutigen Zeit ist es für Unternehmen un- erlässlich, ihren IT-Zugang zu sichern und nicht STEFAN RABBEN ist Area Sales Director DACH and Eastern Europe bei WALLIX. IT-SICHERHEIT_2/2023 19

– ADVERTORIAL – IAM Community trifft sich in Bonn bei der IAM Exchange 2023 Konferenz Share your Insights! 20 IT-SICHERHEIT_2/2023 IAM-Architektur als essenzieller Teil der IT-Security Architektur – Wie kommt man zu einer optimalen Verzahnung? Multi-Cloud Identity Management – Sichere Konzepte für Berechtigungen im Multi-Cloud Umgebungen Passwortlose Multi-Faktor-Authentifizierung in der Praxis Segregation of Duties (SoD) und die Vermeidung problematischer Berechtigungskombinationen IAM Intelligence & Analytics – IAM im Kontext von Big Data Security Analytics zur Verbesserung des IT Risk Managements Identity-Lifecycle Management im Kontext von Nutzern mit Mehrfach-Identitäten im SaaS-UmfeldDie umfassende Expertise und die aussagekräftigen Erfahrungsberichte, die auf der IAM Exchange 2023 gebündelt sind, versorgen die Teilnehmen-den mit praxisnahen Einblicken in IAM-Strategien und -Lösungen. Außer-dem bieten die interaktiven Round Tables und Networking-Programm-punkte reichlich Gelegenheit, von den FachkollegInnen zu lernen und sich mit ihnen zu vernetzen. Nutzen Sie die Chance für einen intensiven fachli-chen Austausch und die Vernetzung mit unserer IAM-Community. nDie Anforderungen an Identity & Access Management (IAM) haben in den letzten Jahren stetig zugenommen. Der Grund dafür liegt unter anderem in der zunehmenden Nutzung von cloudbasierten Anwendungen und Services sowie in der Dezentrali-sierung von IT-Infrastrukturen. Hinzu kommt, dass IAM auch in Zeiten von Remote Working und der Einbindung von Partnern und Kunden in Geschäftsprozesse eine zentrale Rolle in der IT-Sicherheit von Unterneh-men spielt.Die IAM Exchange 2023 Konferenz, die am 26. und 27. September im AMERON Bonn Hotel Königshof stattfindet, bietet eine hervorragende Gelegenheit, sich mit ExpertInnen aus der Praxis auszutauschen und aktuelle Trends und Entwicklungen im Bereich des Identity & Access Managements zu diskutieren.Zielgruppe der Konferenz sind Verantwortliche und Führungskräfte aus den Bereichen Identity & Access Management, User Provisioning, IT Security, IT Risk Management, IT Compliance und IT Auditing. Auf der Konferenz referieren hochkarätige ExpertInnen aus verschiedenen Branchen und namhaften Unternehmen, darunter Commerzbank, Festo, Fortum Fraunhofer IAO, KfW Bankengruppe, Munich RE und die Schweizerische Post. Die IAM Exchange Konferenz 2023 bietet ein umfangreiches Programm mit Vorträgen, Diskussionen und interaktiven Break-Out Session, in denen die hochaktuellen Themen in kleiner Runde besprochen werden. Einige der Kernthemen, die auf der Konferenz behandelt werden, sind: Angriffstrends im IAM-Bereich – worauf sollten Unternehmen vorbereitet sein? Welche First Response Maßnahmen sollten beherrscht werden? IAM Governance im Umfeld von Managed Cloud Services und Datenmanagement in der Cloud Umsetzung von NIS 2 und die Auswirkungen auf IAM-Prozesse Zero Trust im IAM-Umfeld effektiv nutzen Authentifizierungsprozesse und Identitätskontrollen für multiple Identitäten und Devices

SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT IAM und Zutrittssteuerungssysteme: DIE ZUKUNFT LIEGT IN DER CLOUD Die Datenschutzgrundverord- nung (DSGVO) hat einen starken Einfluss auf fast alle Bereiche des Privat- und Arbeitslebens, einschließlich des Identity- und Access-Managements (IAM) und damit auch auf Systeme zur Zutrittssteue- rung. Denn um Zutritts- und Zugriffsberechti- gungen sicherheitswirksam definieren und ma- nagen zu können, müssen personenbezogene Daten gespeichert werden und abrufbar sein. Die Herausforderung besteht einerseits im datenschutzkonformen Umgang mit persön- lichen Informationen und andererseits in der möglichst effektiven und nutzerfreundlichen Handhabung von Zutrittskontrollsystemen – das Thema ist somit hoch aktuell. Dank IAM können Unternehmen die Identität von Nutzern und Geräten verwalten und sicherstellen, ten: Ein System zur Zutrittssteuerung ver- hindert unbefugten Zutritt zu Gebäuden oder 22 IT-SICHERHEIT_2/2023 dass nur autorisierte Personen auf ihre Ressour- cen zugreifen können. In Kombination mit cloud- basierten Zutrittssteuerungssystemen haben sie die Möglichkeit, den Zugang zu ihren Räumlich- keiten und Ressourcen ortsunabhängig über eine Schnittstelle zu verwalten und zu überwachen. bestimmten Bereichen und somit auch den Diebstahl von Eigentum oder Vandalismus und Sabotage. Ebenso schützt es Personen, indem es den Zugang von unautorisierten Personen zu sensiblen Bereichen wie Server- räumen oder Produktionsstätten unterbindet. ZUTRITTSSTEUERUNG – WICHTIGER BESTAND- TEIL DER SICHERHEITS- STRATEGIE Ein System zur Zutrittssteuerung ist heute aus verschiedenen Gründen ein wichtiger Bestand- teil der Sicherheitsstrategie von Unternehmen und Organisationen: Schutz von Personen und Vermögenswer- Erfüllung von Sicherheitsvorschriften: Für viele Unternehmen und Organisationen gilt es, bestimmte von Regierungen oder Indus- trieverbänden festgelegte Sicherheitsstan- dards einzuhalten. Ein System zur Zutritts- steuerung trägt dazu bei, diese Standards zu erfüllen und somit auch Bußgelder oder rechtliche Konsequenzen zu vermeiden. Notfallvorsorge: Eine Zutrittssteuerung un- terstützt in Notfällen wie Feuer, Naturkatas- trophen oder Terroranschlägen eine schnelle und gezielte Evakuierung. Die cloudbasierte Zutrittssteuerung bietet eine attraktive Option für Unternehmen, die eine flexible, skalierbare und zuverlässige Zutrittskontroll-Lösung suchen. Durch ihren Einsatz können sie sich sicher und zukunftsfähig aufstellen.Bild: © iStock/matejmo

Verbesserung der Gesundheit und Sicher- heit: In der COVID-19-Pandemie hat die Zu- trittssteuerung eine noch größere Bedeutung erlangt. Mit einem Besuchermanagement- system kann der Zutritt von Personen kont- rolliert und eine Überwachung der Gesund- heitszustände von Besuchern ermöglicht werden. Das trägt dazu bei, die Ausbreitung von Krankheiten zu verhindern. Steigerung der Effizienz: Branchenstandards, Vorschriften oder Gesetze verpflichten viele Unternehmen und Organisationen zur Im- plementierung eines Besuchermanagement- systems. So wird nicht nur die Einhaltung von Vorschriften gewährleistet, sondern darüber hinaus die Effizienz im Umgang mit Besuchern gesteigert. Eine Registrierung der Gäste vor Besuchsantritt beispielsweise, beschleunigt und erleichtert den Check-in-Prozess am Tag des Besuchs. Das reduziert Wartezeiten und verbessert die Besuchererfahrung. Eine optimale und vollumfängliche Zutrittssteu- erung schafft somit die Grundlage für ein effizi- entes Besuchermanagement. BESUCHERMANAGEMENT UND ZUVERLÄSSIGE ZUTRITTSSTEUERUNG Ein Besuchermanagement ist ein wichtiger Be- standteil eines umfassenden Zutrittskontroll- systems. Es regelt und kontrolliert den Zugang von Besuchern oder Lieferanten und Gästen zu einem Gebäude oder zu einem bestimmten Be- reich innerhalb des Gebäudes. Wer befindet sich gerade auf dem Gelände? Wel- che Besucher werden noch erwartet? Welche Besucherdaten fehlen und müssen nachgetra- gen werden? Ein vollumfängliches Besucherma- nagementsystem fasst all diese Informationen transparent zusammen und dokumentiert sämt- liche Besucheraktivitäten, einschließlich der Ein- und Ausgangszeiten sowie der besuchten Berei- che. Dadurch ist es möglich, auf einen Blick eine genaue Übersicht darüber zu erhalten, wer sich zu welcher Zeit in welchem Bereich aufgehalten hat. Das kann besonders in sicherheitsrelevan- ten Bereichen in Unternehmen oder öffentlichen Einrichtungen von großer Bedeutung sein, um im Ernstfall schnell handeln zu können. Eine sol- che Dokumentation trägt auch dazu bei, mögli- che Haftungsfragen zu klären oder unautorisier- te Zugriffe auf sensible Bereiche zu verhindern. SCHWERPUNKT: IDENTITY- UND ACCESS-MANAGEMENT KATHARINA VAN MEENEN-RÖHRIG ist CEO der GFOS mbH. IT-SICHERHEIT_2/2023 23 Ein Besuchermanagementsystem kann darüber hinaus auch Alarmfunktionen enthalten, die es dem Sicherheitspersonal ermöglichen, schnell auf ungewöhnliche Aktivitäten oder Bedrohun-gen zu reagieren. Es trägt somit insgesamt zur Sicherheit und Transparenz bei, indem es den Zugang von Besuchern zu bestimmten Berei-chen kontrolliert und dokumentiert. Solche Sys-teme können dabei sowohl cloudbasiert als auch On-Premises betrieben werden.CLOUD-LÖSUNGEN Innovative und cloudbasierte Lösungen im Be-reich der Zutrittssteuerung prägen zunehmend den Markt. Dieser Trend ist wenig überraschend, denn die Kombination aus Cloud-Services und Zutrittssteuerung liefert zahlreiche Vorteile. So können Unternehmen die Zugriffsrechte von Benutzern und Geräten zentral verwalten und aktualisieren. Dadurch wird es einfacher, Richt-linien durchzusetzen und Compliance-Vorgaben einzuhalten.Darüber hinaus bieten cloudbasierte Lösungen eine hohe Skalierbarkeit – neue Benutzerli-zenzen und Geräte können schnell und einfach hinzugefügt oder entfernt, die benötigte Re-chenleistung und Speicherkapazität dynamisch angepasst werden. Zur Erweiterung der Infra-struktur muss das Unternehmen keine zusätzli-che Hardware oder Software erwerben. Qualitativ gute Cloud-Lösungen bieten eine hohe Verfügbarkeit und Ausfallsicherheit, da sie auf einer verteilten Infrastruktur betrieben wer-den, die redundante Systeme und automatisier-te Wiederherstellungsmechanismen umfasst. Neben Skalierbarkeit, Flexibilität und Sicherheit wird durch die Nutzung von Cloud-Computing-Technologie die Effizienz und Effektivität der Zutrittskontrolle verbessert. Plattformen, die auf in Deutschland stehenden Rechenzentren ba-sieren und darüber hinaus ISO 27001-zertifiziert sind, erfüllen höchste Sicherheitsstandards und Datenschutzauflagen. Denn im Fokus muss immer der Datenschutz stehen, damit Sicherheitslücken nicht zum Boomerang werden. Um das zu gewährleisten, müssen angemessene Datenschutzrichtlinien und Sicherheitsmaßnahmen umgesetzt werden. Dazu gehören Penetrationstests zur Überprü-fung der Sicherheit von Computersystemen, Netzwerken oder Anwendungen durch Simu-lation eines Angriffs von außen oder von innen, um Schwachstellen im System zu identifizieren, bevor Angreifer sie ausnutzen können. Ebenso gehören die Verwendung von sicheren Authen-tifizierungs- und Autorisierungsmethoden, der Einsatz von Verschlüsselungstechnologie, die Durchführung von regelmäßigen Sicherheits-audits und die Implementierung von Zugriffs- und Zutrittskontrollen dazu. Unternehmen müs-sen sicherstellen, dass personenbezogene Daten geschützt und sicher verarbeitet werden und dass die Rechte von Mitarbeitenden, Kundinnen und Kunden sowie allen anderen „Stakeholdern“ respektiert werden. Datenschutzlücken können zu schwerwiegenden Folgen für Unternehmen und Einzelpersonen führen, einschließlich Ver-lust von Daten, Finanz- und Imageverlust. Daher ist eine Balance zwischen Datenschutz und IT-Si-cherheit zu finden, um die besten Ergebnisse für alle Beteiligten zu erzielen.Die Zukunft der Zutrittssteuerung liegt zweifel-los in der Cloud. In Kombination mit IAM und als Bestandteil der Unternehmensstrategie erhöhen cloudbasierte Zutrittssteuerungssysteme nicht nur die Sicherheit, sondern sichern auch die Zu-kunftsfähigkeit eines Unternehmens. nhasan - stock.adobe.com

Wenn es eine wichtige Erkenntnis aus vielen Jahren des Beraterlebens gibt, dann das Motto „lieber gut gestohlen als schlecht selbst erfunden“. Das soll heißen, dass es häufig eine zeitsparende und nervenscho- nende Vorgehensweise ist, sich an Standards zu orientieren und deren Inhalte zu verwen- den. So lassen sich zeitraubende Diskussionen vermeiden, ob diese oder jene Forderung oder Maßnahme wirklich nötig und angemessen ist. Wenn es im Standard aufgeführt ist, muss man sich darum kümmern. wahl, um mit einer Menge an Maßnahmen zu starten, die nicht alle unvorbereiteten Projektbe- teiligten überfordert. Auf der anderen Seite kann ein Standard auch so vage oder generisch sein, dass seine universelle Anwendbarkeit es schwer macht, konkrete Forderungen oder Maßnah- men daraus abzuleiten. Ein Beispiel hierfür ist die ISO 27002, deren neue Fassung mehr Fragen aufwirft als beantwortet. STANDARDS HINSICHT- LICH AUFGABENSTELLUNG BETRACHTEN Das Problem der Nutzung vieler Standards als Vorlage ist jedoch, dass ihre sinnvolle Anwen- dung Vorwissen erfordert. Dazu kommt oft, dass etablierte Standards mit den Jahren und ihrer Fortschreibung immer umfangreicher oder auch immer beliebiger werden. Ein Beispiel für „um- fangreich“ ist der IT-Grundschutz des Bundes- amts für Sicherheit in der Informationstechnik (BSI). Dessen Systematik und die über 100 Bau- steine erfordern eine kenntnisreiche Voraus- Auch mit Blick auf die eigentliche Aufgabenstel- lung – diese lautet, Cybersicherheit zu schaf- fen – darf man skeptisch auf die etablierten Standards schauen: IT-Grundschutz, ISO 27000 und weitere sind Managementstandards. Das heißt, sie befassen sich ausführlich mit der Or- ganisation, Steuerung und Überwachung von Prozessen, die sich mit dem Thema Sicherheit befassen. Das wiederum bedeutet, dass bei der Umsetzung eines solchen Standards viel Ener- gie in die Themen Organisation, Richtlinien und Prozesse gesteckt wird. Es besteht die Gefahr, dass die technischen Aspekte, also die wirksa- men Maßnahmen an Hard- und Software, dabei hinter zig Richtlinien, die zu schreiben sind, und etlichen Prozessdiagrammen, die zu malen sind, zurückstehen. CRITICAL SECURITY CONTROLS Aus dieser Erwägung heraus verdienen die bislang in Deutschland wenig beachteten CIS Critical Security Controls (www.cisecurity.org/ controls) eine nähere Betrachtung. Sie sind eine systematische Zusammenstellung konkreter, priorisierter Sicherheitsmaßnahmen, die bei der Erkennung und der Abwehr von Cyberangriffen auf Systeme und Netze dienen. Der Anbieter des Standards ist das Center for Internet Security (CIS). Dabei handelt es sich um eine gemeinnützige Organisation, die die CIS Controls veröffentlicht und für deren Weiterent- 24 IT-SICHERHEIT_2/2023 CIS Critical Security Controls:DER UNBEACHTETE STANDARDDie kontinuierliche Verbesserung der Cybersicherheit sollte höchste Priorität im Sicherheitsmanagement eines jeden Unternehmens haben. Es muss ein Weg gefunden werden, mit vertretbarem Aufwand einen bestmöglichen Schutz gegen Angriffe zu etablieren. Eine große Hilfe können dabei bestehende Standards sein. Diese sind jedoch oft sehr umfangreich oder werfen mehr Fragen auf, als sie beantworten. Im Gegensatz dazu ist der weniger bekannte Standard CIS Critical Security Controls technisch orientiert und damit einfacher in der Anwendung. Bild: tippapatt - stock.adobe.comSECURITY MANAGEMENT | STANDARDS

SECURITY MANAGEMENT | STANDARDS wicklung verantwortlich ist. Kern aller Veröffent- lichung des CIS ist die Aufstellung der „Critical Security Controls“, aktuell vorliegend in der Ver- sion 8. Die Controls umfassen 153 Sicherheits- maßnahmen (bei CIS „safeguards“ genannt) in 18 „Controls“. Damit sind thematisch zusammenge- hörende Maßnahmen bezeichnet: Control 1: Bestandsführung der Werte des Unternehmens (Hardware) Control 2: Bestandsführung der Werte des Unternehmens (Software) Control 3: Schutz von Informationen Control 4: Sichere Konfiguration von Hard- und Software Control 5: Rechteverwaltung Control 6: Zugriffskontrolle Control 7: Kontinuierliches Schwachstellenmanagement Control 8: Verwaltung von Logs und Protokollen Control 9: Schutz von E-Mails und Webbrowsern Control 10: Schutz vor Schadsoftware WERNER METTERHAUSEN, Diplom-Informatiker, ist Sicherheits- berater der VON ZUR MÜHLEN’SCHE (VZM) GmbH mit den Spezialgebie- ten RZ-Zertifizierung, Datenschutz, Informationssicherheit (ISO 27001 Lead-Auditor). IT-SICHERHEIT_2/2023 25 Control 11: Daten-Wiederherstellung Control 12: Verwaltung der Netz-Infrastruktur Control 13: Netzüberwachung und -verteidigung Control 14: Security-Awareness und fachliche Schulung Control 15: Service-Provider-Management Control 16: Sicherheit der Anwendungssoftware Control 17: Incident-Management Control 18: PenetrationstestsTECHNISCHE AUSRICHTUNGAllein die Überschriften der 18 Controls zeigen, dass dieser Standard technisch ausgerichtet ist. Richtlinien und organisatorische oder personel-le Themen spielen keine wichtige Rolle. Anders gesagt, es wird unter Control 3 „Schutz von In-formationen“ keine Richtlinie zum Einsatz von Verschlüsselung empfohlen, sondern einfach gefordert: Daten auf Endgeräten müssen ver-schlüsselt werden!Die auf den ersten Blick bedenklich hohe Zahl von über 150 Maßnahmen in den 18 Themen-gruppen wird relativiert, wenn man die Klassi-fikation aller Maßnahmen in den sogenannten Implementierungsgruppen beachtet. Diese drei Gruppen zeigen die Priorität der Implemen-tierung der einzelnen Controls an und sind ein Leitfaden, an dem sich Anwender orientieren können: IG1: Die Implementierungsgruppe 1 (IG1) be-inhaltet die Mindestanforderungen an die Informationssicherheit von Unternehmen. Die Gruppe besteht aus einer Reihe von 56 grundlegenden Sicherheitsvorkehrungen zur Cyberverteidigung. Die in IG1 enthaltenen Schutzmaßnahmen sollten laut Webseite der CIS von jedem Unternehmen angewendet werden, um sich gegen die häufigsten Angrif-fe zu schützen. Zielgruppe sind hier kleine bis mittelgroße Unternehmen mit begrenztem Cybersicherheits-Know-how. IG2: Diese Gruppe besteht aus 74 zusätzli-chen Schutzmaßnahmen und baut auf den 56 in IG1 genannten Maßnahmen auf. Die IG2-Schutzmaßnahmen erfordern Sicher-heitstechnik und spezielles Fachwissen für die Installation und Konfiguration. Unternehmen, die diese Stufe umsetzen sollten, speichern und verarbeiten häufig sensible Kunden- oder Unternehmensdaten und können kurze Un-terbrechungen ihrer Dienste verkraften, so die Empfehlung der CIS. IG3: Auch diese Stufe baut auf den Imple-mentierungsgruppen 1 und 2 auf und wurde zusätzlich um 23 Schutzmaßnahmen ergänzt. Zielgruppe sind Unternehmen, die Sicher-heitsexperten beschäftigen und der Aufsicht von Behörden und besonderer Compliance-Anforderungen unterliegen. Ein solches Unternehmen muss die Verfügbarkeit von Diensten sowie die Vertraulichkeit und Inte-grität sensibler Daten sicherstellen. Erfolgrei-che Angriffe können dem öffentlichen Wohl erheblichen Schaden zufügen. Eine ausführliche Beschreibung der drei Gruppen findet man auf der CIS-Webseite unter www.cisecurity.org/controls/implementation-groups. Dort ist auch beschreiben, welche Controls in die jeweilige Implementierungsgruppe gehören. FAZITBesonders hilfreich ist die Implementierungs-gruppe 1, die einen leichten und systematischen Einstieg in das Thema Cybersicherheit bietet. 56 Maßnahmen, von denen wahrscheinlich eine beachtliche Anzahl direkt als „bereits um-gesetzt“ gewertet werden kann, sind weder abschreckend schwierig noch unübersichtlich. Vor allem für Organisationen, die sich bislang nur punktuell mit dem Thema Cybersicherheit befasst haben, bieten die CIS-Veröffentlichungen eine wertvolle Orientierungs- und Starthilfe. n

SECURITY MANAGEMENT | KRYPTOGRAFIE Schon heute für die Zukunft vorsorgen VERANKERUNG DER POST-QUANTUM- STRATEGIE IM ISMS Die Quantentechnologie wird einen großen Einfluss auf die Sicherheit von Informationen haben. Durch leichter verfügbare Quantencomputer werden Daten, die heute noch als sicher verschlüsselt gelten, schon in naher Zukunft gefährdet sein. Unternehmen sollten daher vorbereitet sein und schon heute eine geeignete Strategie in ihr Informationssicherheits-Managementsystem (ISMS) integrieren. Unser Beitrag zeigt, wie das gehen kann. Die Quantentechnologie bietet enorme Chancen: Dieser neue Ansatz der Informationsver- arbeitung, bei dem Daten nicht nur in Bits (0 oder 1) verarbeitet werden, sondern auch in den Zuständen quantenmechanischer Systeme, die gleichzeitig 0 und 1 sein können, ermöglicht eine viel schnellere Lösung bestimmter Pro- bleme im Vergleich zu herkömmlichen Com- putern. Gleichzeitig steigt das Sicherheitsrisiko exponentiell. Viele Verschlüsselungsmethoden basieren auf der Tatsache, dass bestimmte mathematische Probleme für herkömmliche 26 IT-SICHERHEIT_2/2023 Computer schwer zu berechnen und damit praktisch unknackbar sind. Quantencomputer können jedoch in der Lage sein, diese Aufgaben viel schneller zu lösen. Heute gängige und häu- fig genutzte Verschlüsselungsverfahren können in naher Zukunft zur Sicherheitslücke werden. Gefährlich sind bereits sogenannte „Harvest Now, Decrypt Later“-Verfahren, bei denen Cyberkriminelle, ausländische Geheimdienste oder konkurrierende Unternehmen schon jetzt verschlüsselte Daten stehlen und sie dechiff- rieren, sobald Quantencomputer leistungsstark genug und einfacher zugänglich sind. Im Folgenden werden praktische Ansätze und Verankerungspunkte in einem organisations- weiten Informationssicherheits-Management- system aufgezeigt, um sich auf quantenkrypto- grafische Angriffe der Zukunft vorzubereiten. DEN KRYPTOGRAFISCHEN FUSSABDRUCK ERMITTELN Der erste Schritt zur Verbesserung der IT-Sicher- heit im Kontext von Quantencomputing besteht darin, eine umfassende Inventarisierung der heute vorhandenen sensiblen Daten und Infor-

SECURITY MANAGEMENT | KRYPTOGRAFIE 2. Inventarisierung der Systeme: Erstellung einer Liste aller Systeme, die Krypto-Techno- logie einsetzen, einschließlich Informationen zu Versionen, Anwendungen und Daten, die verarbeitet werden. 3. Bewertung der Krypto-Technologie: Über- prüfung der Krypto-Technologie, um heraus- zufinden, ob sie gegen künftige Quantencom- puter-Angriffe geschützt ist. Nebenbei lässt sich hier gleich feststellen, ob die eingesetzte Krypto-Technologie und Schlüssel- länge überhaupt aktuellen Sicherheitsanforde- rungen entspricht oder ob sie eventuell jetzt schon als veraltet oder geknackt gelten. Der Verankerungspunkt im ISMS für die Be- standsaufnahme aller Systeme, die Kryptografie einsetzen, können die „ISO/IEC 27001:2022“-Kon- trollen A.5.9 und A.5.10 sein, die das Asset-Ma- nagement und den Umgang mit Assets regeln. Alternativ kann, wenn nach IT-Grundschutz vorgegangen wird, die Modellierung des Infor- mationsverbunds des Unternehmens oder der Behörde den Ausgangspunkt für die Bestands- aufnahme darstellen. Um eine schnelle Übersicht zu erhalten, sollten die entsprechenden Asset-Register, Enterprise- Architektur-Management-Systeme oder Con- figuration-Management-Datenbanken (CMDB) um geeignete Attribute hinsichtlich der künfti- gen Quantenanfälligkeit erweitert werden. So kann man sicherstellen, dass sich gefährdete Systeme später schnell identifizieren lassen. mationen durchzuführen, die auch in fünf bis zehn Jahren noch geschützt sein müssen. Einbettung in die Data-Governance Innerhalb der Organisation sollten die Verant- wortlichen eine Initiative starten, die sich mit der Einrichtung einer effektiven Data-Gover- nance und einer angemessenen Klassifizierung von Informationen beschäftigt. Um eine quan- tensichere Datenverarbeitung zu gewährleisten, sollte diese Initiative auch quantenkryptogra- fische Bedrohungen als Teil der Risikoanalyse berücksichtigen. Das Ziel sollte sein, die „Kron- juwelen“ der Organisation zu identifizieren, um sicherzustellen, dass sie künftig gegen Angriffe quantencomputerbasierter Kryptoanalysen ge- schützt sind. Eine praktische Möglichkeit, in den Prozess der Inventarisierung einzusteigen, sind die „ISO/IEC 27001:2022“-Kontrollen A.5.12, A.5.13 und A.5.14 zur Klassifizierung, Kennzeichnung und Übertra- gung von Informationen im Rahmen des ISMS. Eine nach IT-Grundschutz durchgeführte Schutz- bedarfsanalyse für Prozesse und Informationen kann ebenfalls ein geeigneter Einstieg sein. Sie sollte ein entsprechendes Attribut enthalten, das die Notwendigkeit unterstreicht, die betreffen- den Informationen auch über einen längeren Zeitraum gegen Quantenbedrohungen zu schüt- zen. Zudem können die „ISO/IEC TR 38505“-Nor- men und -Richtlinien wertvolle Unterstützung beim generellen Aufbau einer Data-Governance sowie eines Datenmanagements und eines Klas- sifizierungsschemas bieten. Bestandsaufnahme eingesetzter Krypto-Technologie Die Organisation sollte durch eine sorgfältige Prüfung feststellen, in welchen Systemen sie unsichere Kryptografie im Einsatz hat. Diese sollten als „quantenanfällig“ gekennzeichnet werden, um damit darauf aufbauende Risiko- analysen und spätere Maßnahmenplanungen strukturiert zu unterstützen. Eine Bestandsauf- nahme aller Systeme, die Krypto-Technologie einsetzen, kann man in mehreren Schritten durchführen: 1. Dokumentationsanalyse: Überprüfung aller technischen Systemdokumentationen, um die verwendete Krypto-Technologie zu identifi- zieren. EINEN KRYPTO-AKTIONS- PLAN AUFSTELLEN Die nächste Stufe des Prozesses ist die Be- wertung der Risiken, die sich aus der Verwen- dung quantenanfälliger Kryptografie ergeben, sowie die Priorisierung der Verbesserung des Krypto-Einsatzes auf der Grundlage der Ziele und Anforderungen der Fachbereiche. Basie- rend darauf sollte ein Krypto-Aktionsplan für die Umstellung der Systeme und Anwendun- gen aufgestellt werden. Es ist auch wichtig zu prüfen, ob und ab wann geltende Vorgaben für die Beschaffung, Auslagerung der Datenverar- beitung, Cybersicherheit und Datensicherheit angepasst werden sollten, um sich voraus- schauend auf die Anforderungen der Post- Quantum-Zeit vorzubereiten. Der Krypto-Aktionsplan sollte Teil eines größe- ren Programms zur Verbesserung der Informa- tionssicherheit im Unternehmen sein oder sollte in den kontinuierlichen Überprüfungs- und Verbesserungsprozess des bestehenden ISMS integriert werden. Auf diese Weise kann man regelmäßig überwachen, wie weit die Realisie- rung vorangeschritten ist. Die Verknüpfungspunkte im ISMS beziehen sich auf die Kontrollen ISO/IEC 27001:2022 zur Verwendung von Kryptografie, einschließlich des kryptografischen Schlüsselmanagements. Der entsprechende IT-Grundschutzbaustein ist „CON.1 Kryptokonzept“. Die genannten Normen greifen die Bedrohungen durch Quantencomputer zwar nicht explizit auf, aber zusammen mit einer robusten Risikoanalyse bieten sie einen umfassenden Überblick über die praktischen Aspekte der sicheren Umsetzung von Kryptografie in der Organisation. Hier besteht in vielen Bereichen noch ein großer Nachholbedarf. Zusätzlich sollten die Regulierung in verschiede- nen Ländern und die Übertragung verschlüsselter Informationen berücksichtigt werden. KRYPTOAGILITÄT VERANKERN CISOs und IT-Sicherheitsverantwortliche be- nötigen für eine erfolgreiche Post-Quantum- Strategie die Hilfe aller Geschäftsbereiche. Sie müssen die Bestandsaufnahme, Risikoanalyse, Planung und Umsetzung von Maßnahmen voll unterstützen. IT-SICHERHEIT_2/2023 27 ) . i l ( . m o c . e b o d a k c o t s - h c h s i l B r d n a s k e O l ; ) . e r ( . m o c . e b o d a k c o t s - a n a D s i i m e t r A : r e d l i B

SECURITY MANAGEMENT | KRYPTOGRAFIE POST-QUANTEN-KRYPTOGRAFIE UND QUANTENBASIERTE SCHLÜSSELVERTEILUNG ren ausgewählt, um die aktuellen Algo- rithmen zu ersetzen: CRYSTALS-KYBER (für Schlüsselherstellung) und CRYS- TALS-Dilithium (für digitale Signaturen). Das Verfahren FALCON soll ebenfalls vom NIST standardisiert werden, da es für bestimmte Anwendungsfälle eine Alternative zu den CRYSTALS-Dilithium- Signaturen bieten kann. SPHINCS+ wird ebenso standardisiert, um sicherzustel- len, dass bei Signaturen nicht nur auf gitterbasierte Kryptograﬁe zurückge- griffen wird. Zum anderen ﬁndet auch ein alternati- ver Ansatz, die quantenbasierte Schlüs- selverteilung (QKD), weltweit großes Interesse. Bei QKD werden quantenme- chanische Effekte genutzt werden, um einen sicheren Schlüssel für die Daten- verschlüsselung auszutauschen. Sowohl in der EU als auch in Deutschland wird intensiv an QKD-Netzwerken geforscht und entwickelt. Die Gesetzgeber beginnen bereits zu re- agieren: Im Juli 2022 verabschiedete der US-Kongress den „Quantum Computing Cybersecurity Pre-paredness Act“, der die US-Behörden dazu verpﬂichtet, ihre Cybersicherheit zu verbessern, um sich auf die Bedrohungen durch Quanten- computer vorzubereiten. Für Deutsch- land hat das BSI einen Leitfaden und Überblick herausgegeben: Einige der durch die Quantentechno- logie drohenden Cybergefahren lassen sich bereits heute absehen. So werden bestimmte gängige kryptograﬁsche Chiffrierungen in naher Zukunft so gut wie nutzlos sein, da sie von Quantensys- temen leicht geknackt werden können. Der Shor-Algorithmus ist zum Beispiel ein Algorithmus zur Primzahlzerlegung, der 1994 von Peter Shor entwickelt wur- de. Er kann auf einem Quantencompu- ter ausgeführt werden und ist in der Lage, große Primzahlen in Bruchteilen von Sekunden zu zerlegen, während es auf einem klassischen Computer sehr viel länger dauern würde. Das hat Auswirkungen auf die Sicherheit von asymmetrischer Kryptograﬁe, die auf der Faktorisierung großer Primzahlen basieren, wie zum Beispiel RSA, Difﬁe- Hellman oder elliptische Kurven. Der Grover-Algorithmus ist ein Such- algorithmus für Quantencomputer, der von Lov Grover im Jahr 1996 vorgestellt wurde. Der Algorithmus nutzt quanten- parallele Verarbeitung, um in einer Reihe nach einem bestimmten Wert zu suchen. Der Algorithmus kann dies in O(√N)- Schritten tun, im Gegensatz zu klassi- schen Algorithmen, die O(N)-Schritte benötigen würden. Ein Quantencompu- ter könnte mit ihm einen symmetrischen Schlüssel mit 128-Bit Schlüssellänge in 264 Iterationen knacken. Wichtige Hinweise darauf, wie Unter- nehmen und Behörden ihre Daten auch mit asymmetrischen Verfahren sicher verschlüsseln können, gibt die Diszi- plin der Post-Quanten-Kryptograﬁe. Sie beschäftigt sich mit der Entwicklung kryptograﬁscher Verfahren, die nach ak- tuellem Kenntnisstand auch leistungs- starken Quantencomputern standhal- ten. Das National Institute of Standards and Technology (NIST) hat vier Verfah- 28 IT-SICHERHEIT_2/2023 Bei der Entwicklung von Anwendungen und Systemen sollten Verantwortliche besonde- res Augenmerk auf die Flexibilität kryptografi- scher Mechanismen legen, um auf zukünftige Entwicklungen reagieren zu können und den Übergang zu quantensicheren Algorithmen zu meistern. Diese Fähigkeit wird allgemein als Kryptoagilität bezeichnet. Um eine erfolgreiche Umsetzung zu gewähr- leisten, müssen die Geschäftsbereiche die Be- drohungen durch Quantencomputer verstehen und in ihre Anforderungsanalysen einbeziehen. Da rüber hinaus muss das Personal geschult wer- den, um ein Verständnis für die Bedrohungen und die Grundlagen quantensicherer Kryptogra- fie zu entwickeln. Die Steuerung der Post-Quantum-Strategie, ob als projektbezogene Taskforce oder durch die Einrichtung eines dauerhaften „Cryptographic Center of Excellence“, hängt von den organisato- rischen Rahmenbedingungen und Fähigkeiten ab. Es ist jedoch wichtig, dass CISOs frühzeitig handeln, um teure Folgekosten im Übergang zur Post-Quantum-Ära zu vermeiden. FAZIT Die Quantentechnologie bietet große Chancen für Firmen, aber sie bringt auch erhöhte Sicher- heitsrisiken mit sich. Es ist daher wichtig, kon- krete erste Maßnahmen zu ergreifen, um sich vor quantenkryptografischen Angriffen in der Zukunft zu schützen. Das kann durch eine um- fassende Inventarisierung und Klassifizierung sensibler Daten, die Einbindung in die Data- Governance, die Verankerung im ISMS und durch Risikoanalysen schon heute erreicht werden. Im Rahmen des kontinuierlichen Verbesserungspro- zesses sollte jede Organisation die eingesetzte Krypto-Technologie regelmäßig überprüfen und gegebenenfalls anpassen. n MATTHIAS BANDEMER leitet den Consulting-Bereich Cybersecurity & Privacy Services von EY in Deutschland.

SECURITY MANAGEMENT | RECHENZENTRUM Brandschutz im Rechenzentrum KEIN FEUER OHNE GENÜGEND SAUERSTOFF Die sicherste Methode, um Schä- den durch Feuer zu vermeiden, ist die aktive Brandvermeidung mittels Sauerstoffreduktion. Eine Brandvermei- dungsanlage reduziert den Sauerstoffgehalt permanent, kontrolliert und reguliert die At- mosphäre in einem oder mehreren definierten Schutzbereichen automatisch und verhindert, dass ein Brand entstehen kann. 30 IT-SICHERHEIT_2/2023 Im IT-Bereich beschränkt sich der Schaden, den ein Brandereignis auslösen kann, nicht nur auf den Materialwert der Geräte und Gebäude. Viel schwerer kann ein Ausfall der Server wiegen, wenn der Kontakt mit zusammenhängenden Systemen, Maschinen und vor allem zum Kun- den verloren geht. Warenwirtschaftssysteme, Onlineshops, Maschinensteuerung – die Server sind oft das Gehirn des Unternehmens. Je mehr Server, desto höher auch das Brandrisiko und die Brandlast. In Rechenzentren, die Anforde- rungen an die Hochverfügbarkeit stellen, kann selbst ein kleiner Brandschaden massive wirt- schaftliche Folgen nach sich ziehen. In keinem anderen Bereich innerhalb eines Unterneh- mens ist ein Ausfall der Infrastruktur, verur- sacht durch einen Brandschaden, so kritisch wie in der IT. Ein Brandereignis in einem Serverraum oder Rechenzentrum bringt verheerende Konsequenzen mit sich. Der Brand selbst verursacht zunächst immense Schäden an der Infrastruktur, die durch den Einsatz konventioneller Brandbekämpfungssysteme noch vergrößert werden. Das führt neben dem eigentlichen Materialschaden zu lan-gen Betriebsausfällen. Aber warum überhaupt einen Gedanken an die Folgen eines Feuers verschwenden, wenn man es auch gar nicht so weit kommen lassen kann?Bild: aﬁshman64 - stock.adobe.com

SECURITY MANAGEMENT | RECHENZENTRUM WASSER IST AUCH KEINE LÖSUNG Löschwasser aus Sprinkleranlagen kann elek- trische Geräte beschädigen und führt im schlimmsten Fall zum vollständigen Verlust des Funktionsumfangs. Sprinkler reagieren erst, wenn ein Feuer bereits ausgebrochen ist. In den meisten Fällen ist es dann schon zu spät. Der Server ist nicht mehr intakt, und die techni- sche Infrastruktur steht still. Zusätzlich muss bei einem Löschvorgang beachtet werden, dass der Raum stromlos geschaltet wird. Wenn das nicht passiert, kommt es in vielen Fällen durch den Lichtbogen eines Kurzschlusses zum Wie- derentzünden des gelöschten Brandes. Mit der Technologie der Sauerstoffreduktion ist das Stromlosschalten hinfällig. Es kann sich keine Flamme bilden – auch nicht durch stark erhitzte Kabel oder Platinen. Eine Überhitzung durch einen Kurzschluss kann zwar einzelne Bautei- le beeinträchtigen, jedoch nicht mehr zu einem Brandereignis führen. Ein längerer Ausfall der Server aufgrund eines Brandereignisses ist aus- geschlossen. DAS PRINZIP DER BRAND- VERMEIDUNG Damit ein Feuer entstehen kann, sind drei Komponenten erforderlich: Ein brennbarer Stoff, eine genügend hohe Zündtemperatur und ein ausreichender Sauerstoffanteil in der Umgebungsluft. Für einen Brand braucht es einen brennbaren Stoff, eine genügend hohe Zündtemperatur und einen ausrei- chenden Sauerstoffanteil in der Umgebungsluft. Fehlt davon etwas, kann sich keine Flamme bilden. Bild: © Wichmann Brandschutzsysteme GmbH & Co. KG MICHAEL SAUERWALD Leitung Technik & Projektmanage- ment bei der Wichmann Brand- schutzsysteme GmbH & Co. KG. IT-SICHERHEIT_2/2023 31 Fehlt eine dieser Zutaten oder stimmt das Ge-misch nicht, kann sich keine Flamme bilden. Dieses Prinzip macht sich die Brandvermeidung zunutze: Durch Reduktion des Sauerstoffgehal-tes in einem definierten Schutzbereich kann ein Brandereignis nicht mehr entstehen.Die brandvermeidende Atmosphäre wird er-schaffen, indem Stickstoff mit geeigneten technischen Anlagen aus der Umgebungsluft gewonnen wird. Die Umgebungsluft wird da-durch weder verschlechtert noch manipuliert. Jedes ausgesonderte Stickstoffmolekül, das in den Schutzbereich gelangt, kehrt je nach Dicht-heit des Schutzbereiches früher oder später wieder dahin zurück, wo es hergekommen ist. Um den in der Luft reichlich vorhandenen Stick-stoff auszusondern, braucht es nichts weiter als (Luft)-Druck und einen Filter. Hierfür stehen drei unterschiedliche Methoden beziehungsweise Techniken zur Verfügung: Membrantechnik Pressure-Swing-Adsorption- (PSA)-Technik Vacuum-Pressure-Swing-Adsorption-(VPSA)-TechnikAlle drei Verfahren wurden speziell dazu ent-wickelt, Stickstoff aus der Umgebungsluft herauszufiltern. Die Unterschiede im Energie-bedarf sind allerdings beträchtlich. Darüber hinaus ist nicht jede Methode für jede Anwen-dung gleichermaßen geeignet. Im Vorfeld der Anschaffung einer Sauerstoffreduktionsanlage sollte daher gründlich geprüft werden, welcher Anlagentyp für den gewünschten Einsatz der Richtige ist.Die Sauerstoffmessung erfolgt mithilfe einer Steuerzentrale und optischer Sensoren. Sie er-fassen die Konzentration des Luftgemisches mit maximaler Präzision. JE DICHTER DER RAUM, DESTO ZUVERLÄSSIGER DER BRANDSCHUTZDamit der Sauerstoffgehalt auch unter wirt-schaftlichen Aspekten erfolgreich reduziert und aufrechterhalten werden kann, ist es notwendig, den Luftaustausch im Raum so niedrig wie mög-lich zu halten. Gleiches gilt im Übrigen auch bei der Verwendung von Gaslöschanlagen – die Hal-tezeit des Löschgases im Raum nach Auslösen der Löschanlage muss über eine definierte Zeit gewährleistet sein. Was trotz ordnungsgemäßer Einrichtung des Schutzbereichs passieren kann: Über die Jahre können Risse in Wänden und Decken entstehen. Es können sich Setzfugen bil-den. Vor allem aber nachträgliche Installationen von Kabeln und Leitungen führen zu Verände-rungen der Raumdichtigkeit. Bei einer Gaslösch-anlage können diese Änderungen gravierend sein: Ist die Haltezeit nicht mehr gewährleistet, ist die Löschfunktion nicht gegeben.Der entscheidende Vorteil der Brandvermeidung: Bereits unmittelbar nach der Inbetriebnahme der Anlage kann jeder Betreiber Veränderun-gen an der Raumdichtigkeit feststellen, denn die Laufzeit der Anlage ist abhängig von der Luftaustauschrate. Da die Laufzeit der Anlage im Vorhinein berechnet und definiert wird, sind Veränderungen an der Laufzeit somit ein klares Signal für eine veränderte Raumdichtigkeit. n

Eine Szenerie, wie sie sich bereits in zahllosen Unternehmen abgespielt hat: Die ersten Mitarbeitenden kommen an einem typischen Montagmorgen zur Arbeit ins Büro. Nachdem der Kaffee aufge- setzt ist, stellt der Erste fest, dass sich ein Do- kument mit einem Angebot für einen Kunden nicht öffnen lässt. Schnell häufen sich Berichte dieser Art: Eine Kollegin aus der Geschäftslei- tung kann eine Excel-Tabelle nicht mehr öffnen und ein Außendienstmitarbeiter beschwert sich, dass er an keine seiner Kontaktlisten kommt. IM MITTELPUNKT EINES WIRBELSTURMS Innerhalb von Minuten steht fest: Eine Ransom- ware hat weite Teile des Netzwerkes lahm- gelegt. Für das IT-Team ist der Wochenbeginn gleichzeitig Auftakt zu einem Rennen um das Überleben des Unternehmens. Meldungen ge- nervter Kolleg:inn:en aus Vertrieb, Buchhaltung und Geschäftsleitung überschlagen sich. Hier die Übersicht zu behalten, fällt schwer. Auf jedem Desktop im Unternehmen liegt eine Textdatei, die jeglichen Zweifel ausräumt. Der Inhalt ist unmissverständlich: Alle Dateien im Netzwerk seien verschlüsselt und um wieder Zugriff zu erhalten, solle jemand aus dem Unternehmen Kontakt zu einer bestimmten Mailadresse auf- nehmen. Unterdessen steht plötzlich der Ge- schäftsführer in der Tür und will wissen, wann wieder normal gearbeitet werden kann. Damit ist die Szene komplett und das Chaos auch. Wie geht es jetzt weiter? Besonnenes Handeln ist nun von großer Wich- tigkeit. Überhastete Aktionen können hier mehr schaden als nutzen. In einer Akutsituation sind die folgenden Dinge entscheidend. 1. RUHE BEWAHREN In einer solchen Situation darf man nicht dem Adrenalin das Ruder überlassen. Die Umstände machen es einem nicht einfach – Leute aus allen nur erdenklichen Richtungen stürmen auf einen ein und wollen ihr individuelles Problem sofort gelöst haben. Einzelne überbieten einander mit Superlativen über Kritikalität und Dringlichkeit (und manchmal auch mit bloßer Lautstärke), in der Hoffnung, schneller an die Reihe zu kommen. Das ist normal – und darf hier keine Rolle spielen. Ab sofort sind die Verantwortlichen im Krisen- modus, wo harte und bisweilen unpopuläre Ent- scheidungen ins Haus stehen. Der Normalbetrieb, in dem normale Probleme auf normale Art gelöst werden, ist bis auf Weiteres ausgesetzt. Wer am lautesten schreit, bekommt nicht auto- matisch die größte Aufmerksamkeit. Es ist wie in einer Triage mit einer großen Anzahl an Verletz- ten nach einem großen Schadensereignis. Wer schreit, ist nicht bewusstlos, hat Puls und atmet noch – ist also erst einmal nicht in unmittelbarer Lebensgefahr. Die wirklich schweren Fälle sind meistens stumm oder sagen zumindest nicht viel – hier müssen alle Kräfte zuerst zum Ein- satz kommen. Dass Menschen, die laut um Hilfe schreien, in so einem Fall erst einmal ignoriert werden, wirkt für Außenstehende unmensch- lich und kalt – ist aber hier erst einmal das einzig Richtige. 2. ÜBERSICHT BEHALTEN So wie in jedem Science-Fiction-Film der kom- mandierende Offizier nach jedem Torpedotreffer „Schadensbericht!“ ruft, muss schnell festste- hen, was alles etwa von einem Ransomware- Angriff betroffen ist. Ebenso wichtig ist es, zu etablieren, was alles NICHT betroffen ist und noch funktioniert. Können Nutzer:innen sich noch normal anmelden? Sind eventuell vorhan- dene virtuelle Maschinen (VM) betroffen oder funktionieren diese noch? Von welchen Anwen- dungen oder Dateien ist gesichert, dass sie be- troffen sind? Wie aktuell sind die Backups? Ant- worten auf diese Fragen können einen ersten Eindruck vermitteln, wie schlimm der Schaden tatsächlich ist. Dafür muss aber überhaupt erst einmal bekannt sein, was alles an Komponenten im Netzwerk vorhanden und was davon absolut unternehmenskritisch ist. Das klingt lapidar, ist jedoch einer der größten Stolpersteine auf dem Weg zu einer geeigneten Reaktion. Hier braucht es vor allem eine Teamleitung, die den einzelnen Teammitgliedern den Rücken freihält, damit sie ihre Arbeit machen können. CYBERSICHERHEIT | RANSOMWARE 3. KOMMUNIZIEREN Gerade vor der eigenen Belegschaft lässt sich ein weitreichender IT-Sicherheitsvorfall kaum verbergen. Daher ist es wichtig, sofort alle Mit- arbeitenden mit Informationen abzuholen. So lassen sich Gerüchte vermeiden und Falsch- informationen schnell einfangen. Dazu muss eine Stabsstelle eingerichtet werden – nur diese darf Auskünfte nach innen oder außen kom- munizieren. Es müssen nicht immer „perfekte“ Informationen sein. Diese zu generieren, kostet Zeit – ein Luxus, den man in dieser Situation sehr wahrscheinlich nicht haben wird. Wer frühzeitig kommuniziert, kann das Anfrageaufkommen re- duzieren und gleichzeitig die Informations- und Gesprächshoheit behalten. Wenn alle wissen, dass es ein Problem gibt und die IT bereits da- ran arbeitet, erledigen sich viele Anfragen von selbst. Zeitangaben sind hier ebenfalls hilfreich, etwa in der Art von „Wir haben derzeit ein tech- nisches Problem. Wir arbeiten daran, können aber derzeit noch nicht abschätzen, wann das Problem beseitigt sein wird. Zwischen XX und YY Uhr melden wir uns mit weiteren Informatio- nen“. Gleiches gilt auch für die externe Kommu- nikation. Zugleich muss aber sichergestellt sein, dass keine Informationen nach außen dringen, die (noch) nicht für die Öffentlichkeit bestimmt sind – etwa in Form von Posts auf den privaten Social-Media-Kanälen der Mitarbeitenden. 4. DELEGIEREN Ein dramatischer Zwischenfall wie eine Ransom- ware-Infektion wächst einer IT-Abteilung schnell über den Kopf. Einerseits hat natürlich die Wie- deraufnahme des Produktivbetriebes Priorität – andererseits ist Schadensbegrenzung ebenfalls das Gebot der Stunde, ebenso wie eine Unter- suchung, wie es überhaupt zu dem Vorfall kom- men konnte. All diese Bedürfnisse sind legitim, aber stehen teilweise im Widerspruch zueinan- der. Koordination ist hier dringend erforderlich. Diese kann auch durch externe Dienstleistungs- unternehmen erfolgen, die auf solche Fälle spe- IT-SICHERHEIT_2/2023 33

CYBERSICHERHEIT | RANSOMWARE zialisiert sind. Es ist keine Schande zu delegieren. Die Bewältigung dieser Krise ist kein Alleingang und braucht erst recht keine Helden. Wenn es um die externe Kommunikation geht, dann ist oft Personalstärke gefragt, um etwaige eingehende Anfragen anzunehmen oder Be- stellungen manuell zu erfassen, sofern möglich. Hier könnten Unternehmen auch diejenigen Mitarbeitenden mit einspannen, deren Systeme von der Attacke betroffen sind und die gerade sowieso nicht normal arbeiten können. Fakt ist: Wer sich unvermittelt in einem Sicher- heits-Incident wiederfindet, muss zunächst einmal Mangelverwaltung betreiben, bis mehr Ressourcen verfügbar sind. 5. KONSOLIDIEREN Ungeklärte Zuständigkeiten sind ein wesentli- cher Faktor, die die Reaktion auf einen Sicher- heitsvorfall verzögern können. Sofern Zuständig- keiten für Notfälle nicht im Vorhinein festgelegt sind, muss dies nun ad hoc passieren. Sollte es erforderlich werden, bestimmte unternehmens- 34 IT-SICHERHEIT_2/2023 kritische Systeme vom Netz zu nehmen, dann muss diese Entscheidung oft schnell getroffen werden, ohne Zeit für Überlegungen, wer sie treffen kann oder darf. Und wer auch immer die Entscheidungsgewalt erhält, muss diese unan- gefochten haben. Entscheidungen müssen final sein, ohne Raum für Diskussionen mit anderen Bedürfnisträgern innerhalb des Unternehmens. 6. SORTIEREN Bereits während eines Incidents ergeben sich Erkenntnisse über dessen Hergang. Wichtig ist, dass diese Informationen auf keinen Fall verlo- ren gehen. Zwar lassen sich hier noch nicht un- bedingt sofort neue „Lessons learned“ ableiten, aber es ist von größter Wichtigkeit, Informati- onen zunächst zu sammeln. Diese werden im Nachgang wichtig werden. Ebenso entscheidend ist, dass keiner der Mitar- beitenden auf eigene Faust versucht, Dinge zu reparieren. So gut das auch im Einzelfall gemeint sein mag, kann sich ein fehlgeschlagener Re- paraturversuch bitter rächen – etwa, indem er unbeabsichtigt Spuren vernichtet, die für eine Aufklärung wichtig sind. Ebenso fatal wäre es, unstrukturiert Systeme wieder in den Produk- tivbetrieb zu überführen. Schlimmstenfalls führt das zu einem erneuten Ausbruch einer Infektion, die eigentlich bereits eingedämmt war. 7. LEKTIONEN LERNEN Der vielleicht wichtigste Teil eines Incidents ist, aus ihm zu lernen. Selbst wenn wir von einem idealen Szenario ausgehen, bei dem keine Daten verloren gegangen sind, alle Datensicherungen erfolgreich wiederhergestellt werden konn- ten und die Ausfallzeit minimal war: Auch hier lassen sich für die Zukunft wertvolle Lektionen lernen, die künftige ähnlich gelagerte Vorfälle verhindern oder zumindest unwahrscheinlicher machen können. Hier muss neben der internen IT-Abteilung und involvierten Dienstleistern auch die Geschäftsführung mit involviert sein – nur so ist sichergestellt, dass alle denselben Informationsstand haben und basierend da- rauf Entscheidungen über neue oder erweiter- te Sicherheitsmaßnahmen treffen können. Das schlechtmöglichste Ergebnis ist, zu sagen „Hat doch alles gut funktioniert – zurück zur Tages- ordnung“. Wohl gemerkt: Dies wäre unter den glimpflichen möglichen Ausgängen eines Inci- dents der ungünstigste. Sind Dinge gravierend schiefgelaufen, versteht es sich von selbst, dass hier Handlungsbedarf besteht. Diese Erkenntnis ist glücklicherweise eine, die sich immer weiter durchsetzt. FAZIT Wie bereits in der Einleitung geschrieben: Viele wirksame Sicherheitsmaßnahmen kosten nicht einen Cent an zusätzlichem Invest, weil sie sich mit vorhandenen Mitteln umsetzen lassen. Wer jedoch stur ist und keine Lehren aus einem Inci- dent zieht oder ziehen will, bekommt schlimms- tenfalls keine weitere Chance dazu – bereits der nächste Zwischenfall kann für ein Unternehmen das Aus bedeuten. Dann sind diese Überlegun- gen ohnehin müßig. n TIM BERGHOFF ist Security Evangelist bei der G DATA CyberDefense AG. Illustrationen: hasan - stock.adobe.com

EDITORIAL Sebastian Frank 36 SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT IMPRESSUM www.itsicherheit-online.com in Kooperation mit www.bankmagazin.de SPECIAL: IT-Sicherheit in der Banken- und Finanzwelt Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 11 A · 50226 Frechen www.datakontext.com Chefredaktion: Sebastian Frank (S.F.) E-Mail: s.frank@kes.de Online-Redaktion: Jessica Herz (Leitung Online) herz@datakontext.com +49 2234 98949-80 Lisa Bieder Konstantin Falke Silvia Klüglich Janek Mazac Chiara Schönbrunn Gründer: † Bernd Hentschel Grafik/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 29 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 129,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln künd- bar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschick- te Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Ver- öffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber- rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Genderhinweis: Gleichberechtigung ist uns wichtig! Für eine bessere Lesbarkeit unserer Fachtexte verzichten wir jedoch auf die gendergerechte Schreibweise und nutzen das generische Maskuli- num als neutrale grammatikalische Form. Personenbezeichnungen beziehen sich auf alle Geschlechter. Titelbild: Ar_TH - stock.adobe.com, Who is Danny - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; iStock.com/Drazen_ ; Parradee - stock. adobe.com, vegefox.com - stock.adobe.com, Xilon - stock.adobe.com 29. Jahrgang 2023 · ISSN: 1868-5757 Cybersicherheit im Finanzwesen: Herausforderungen und ProblemeDie Banken- und Finanzwelt ist bei der Digitalisierung vergleichsweise weit vorn, nicht zuletzt, um den Wünschen ihrer Kunden gerecht zu werden – und natürlich auch, um Kosten für teure Filialen einsparen zu können. Hinzu kommt der Innovationsdruck durch neue FinTechs, die zum Beispiel Banking und Trading nur noch per Smartphone-App anbieten. Die zunehmende Zahl digitaler Prozesse führt jedoch dazu, dass sich die Angriffsﬂächen für Cyber-kriminelle immer mehr vergrößern.Vor dieser Gefahr – die Finanzbranche gehört immerhin zu den am häuﬁgs-ten angegriffenen Zielen – versuchen sich die Banken zu schützen. Laut einer Studie von YesWeHack setzen sie dabei erwartungsgemäß vor allem techni-sche Maßnahmen ein. Zudem führen 66 Prozent der 208 befragten Experten aus Banken, Versicherungen oder Finanzdienstleistern in ihren Unternehmen regelmäßig Sicherheitsschulungen für neue und bestehende Mitarbeiter durch. An dritter Stelle folgen laut Studie punktuelle Sicherheitsaudits und Penetra-tionstests. Darüber hinaus fragte man die Experten, für wie effektiv sie bestimmte Maß-nahmen halten. Das Ergebnis: Wie häuﬁg Sicherheitsmaßnahmen im Einsatz sind, sagt noch nichts darüber aus, als wie wirksam sie angesehen werden. So halten der Studie zufolge 73 Prozent die Datenverschlüsselung für sehr wirksam, obwohl nur 57 Prozent der Befragten diese Methode einsetzen. An-wendungs- und Gerätekontrollen werden von 68 Prozent als wirksam oder sehr wirksam eingeschätzt, aber nur von 49 Prozent umgesetzt. Die Probleme, mit denen die Finanzbranche bei der Abwehr von Cyberangrif-fen zu kämpfen hat, sind – wie in anderen Branchen auch – heraus fordernd. Für mehr als die Hälfte der Befragten (51 Prozent) steht laut Studie dabei der Faktor Mensch im Vordergrund: Es fehlen vor allem Cybersicherheits-Experten in den Teams. 49 Prozent sehen in der stetig steigenden Zahl von Cyberatta-cken die größte Herausforderung, 47 Prozent in den zusätzlichen potenziellen Angriffspunkten, die durch Homeofﬁce und andere hybride Arbeitsmodelle entstehen.Mit unserem Banken- und Finanz-Special in Kooperation mit der Zeitschrift BANKMAGAZIN können Sie sich einen Einblick in aktuelle Themen und praxisnahe Lösungen rund um die Cybersicherheit verschaffen. Viel Freude mit dem gemeinsamen Produkt! IhrSebastian Frank

Inhalt 36 Editorial 38 Warum E-Mail-Archivierung im Bankensektor Teil der IT-Strategie sein sollte Business-Continuity ist mehr als nur ein Backup Anbieter 40 Ganzheitliches Management- system und internes Kontroll- system (IKS) nach BaFin VAIT bei der HanseMerkur Krankenversicherung AG 41 Sicher und einfach: biometrische Authentifizierung für Banken 42 „Security as a Service“ als wirksamer Hebel zum besseren IT-Schutz von Banken 44 Sicher aufbewahrt, schnell gefunden: Professionelle E-Mail- Archivierung für Banken SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 37 Bild: Ar_TH - stock.adobe.com, Who is Danny - stock.adobe.com

Warum E-Mail-Archivierung im Bankensektor Teil der IT-Strategie sein sollte Business-Continuity ist mehr als nur ein Backup Wie die meisten Unternehmen in Deutschland, Österreich und der Schweiz sind auch Banken als Teil der Finanzbranche dazu verpflichtet, wichtige Dokumente über lange Zeit hinweg zugänglich aufzubewahren – einschließlich des elektronischen Schriftverkehrs. Was dabei zu beachten ist und welche Rolle professionelle E-Mail-Archivierungs lösungen dabei spielen, erläutert unser Beitrag. J ahr für Jahr steigt durch die Digitalisierung das Volumen von strukturierten und unstrukturierten Daten sowie sensiblen und personenbezogenen Inhalten. Darüber hinaus haben sich die IT-Infrastrukturen in Unternehmen – unter anderem bedingt durch das Aufkommen dezentra- ler und flexibler Arbeitsmodelle – in den letzten Jahren deut- lich verändert. IT-Manager müssen stark fragmentierte In- formationslandschaften verwalten, und die Daten sind heute auf verschiedene lokale sowie Multi- und Hybrid-Cloud-Sys- teme verteilt. Für IT-Verantwortliche sind diese Rahmenbe- dingungen eine echte Herausforderung und erfordern ein gut durchdachtes Informationsmanagement inklusive E-Mail- Management. Erschwerend kommt hinzu, dass der Gesetzgeber von den meisten Unternehmen verlangt, steuer- und handelsrechtlich relevante Daten – unabhängig ihres Speicherortes – lückenlos aufzubewahren. Das schließt auch elektronische Dokumente mit ein und wird in Deutschland unter Berücksichtigung der „Grundsätze zur ordnungsmäßigen Führung und Aufbewah- rung von Büchern, Aufzeichnungen und Unterlagen in elek- tronischer Form sowie zum Datenzugriff (GoBD)“ geregelt. Strenge gesetzliche Vorgaben Von diesen Vorgaben sind Unternehmen des Finanzwe- sens nicht ausgeschlossen. Beispielsweise müssen Banken in Deutschland Bücher, Aufzeichnungen, Inventare, Jahresab- schlüsse, Lageberichte, Eröffnungsbilanzen und Buchungs- belege mindestens zehn Jahre verfügbar halten. Bankkunden können demnach Kontoauszüge der letzten zehn Jahre bei der Bank anfragen. Bei Handels- und Geschäftsbriefen liegt die Aufbewahrungsfrist bei sechs Jahren. Da der Bankensektor ein Teil der regulierten Finanzbran- che ist, greifen noch weitere gesetzliche Auflagen. Die zweite Fassung der EU-Direktive zum Wertpapierhandel „Markets in Financial Instruments Directive (MiFID II)“ aus dem Jahr 2018 verpflichtet im EU-Finanzsektor tätige Unternehmen, alle er- brachten Services und durchgeführten Geschäfte sauber und lückenlos zu dokumentieren. Die Aufzeichnungen sollen bei- spielsweise Aufsichtsbehörden oder der Rechtsabteilung dau- erhaft zugänglich sein. Darüber hinaus sind Unternehmen, die personenbezoge- ne Daten erheben und verarbeiten, grundsätzlich dazu ver- pflichtet, die Grundsätze der europäischen Datenschutzgrund- verordnung (DSGVO) einzuhalten – darunter Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Die geschäftskritischen Dokumente und Korrespondenzen von Unternehmen im Bankensektor ent- halten solche sensiblen und personenbezogenen Inhalte, die es besonders zu schützen gilt. Daher greifen neben den für den Finanzmarkt spezifischen Regularien selbstverständlich auch die datenschutzrechtlichen Vorgaben der DSGVO. Im Üb- rigen gibt es in der Schweiz mit dem Datenschutzgesetz (DSG) sehr ähnliche Regularien. Datenhoheit und Datenschutz Bei der Verarbeitung und Speicherung von Daten – und in diesem Kontext besonders E-Mails und ihre Anhänge – müs- sen sich Unternehmen zwischen eigenen Servern, Software- as-a-Service-(SaaS)-Alternativen oder einer Hybridlösung entscheiden. Ist die Cloud Teil der Informationsmanagement- strategie, müssen sie prüfen, wo sich die jeweiligen Rechen- zentren befinden, ob sie dort ausreichend geschützt sind und von wo Instanzen darauf zugreifen können. Gemäß Arti- kel 44 ff. DSGVO dürfen personenbezogene Daten nur dann an ein Drittland übermittelt werden, wenn das Datenschutz- niveau den Anforderungen der EU entspricht. Zudem sind die Richtlinien der Europäischen Bankenaufsichtsbehörde (EBA) m o c . e b o d a k c o t s - n o . l i X : d l i B 38 SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT

sowie der Europäischen Aufsichtsbehörde für das Versiche- rungswesen und die betriebliche Altersvorsorge (EIOPA) zu berücksichtigen. Im Zuge eines Vertragsabschlusses mit einem SaaS-An- bieter empfiehlt es sich, einen zusätzlichen Auftragsverarbei- tungsvertrag (AVV) abzuschließen, um den Anforderungen des Artikels 28 DSGVO nachzukommen. Dieser ist erforderlich, wenn personenbezogene Daten im Auftrag an Dritte („Auf- tragsverarbeiter“) weitergegeben und verarbeitet werden. Business-Continuity: Backups sind nicht genug Vom Gesetzgeber vorgeschriebene Regularien sind jedoch nicht die einzigen Aspekte, die Unternehmen im Bankensek- tor in ihrer Informationsmanagementstrategie bedenken sollten. Ebenso empfiehlt es sich, potenzielle Systemausfälle aufgrund von Problemen mit der hauseigenen IT-Infrastruk- tur, Ausfälle aufseiten von IT-Service-Providern, Anwender- fehler, Manipulation durch das absichtliche Löschen von Da- ten sowie die immer häufiger vorkommenden Cyber-Angriffe zu berücksichtigen. Diese Risiken können nicht nur den allge- meinen Geschäftsbetrieb beeinträchtigen, sondern ebenfalls zu einem erheblichen Datenverlust führen – einschließlich geschäftskritischer und sensibler E-Mail-Inhalte wie Rech- nungen, Angebote oder Verträge. Kreditinstitute, Kapitalanla- gegesellschaften, Leasinggesellschaften und sonstige Unter- nehmen des Bankensektors – dazu zählen im Übrigen auch Unternehmen aus dem Versicherungswesen – sollten daher eine entsprechende Lösung implementieren, um im Ernstfall eine umfangreiche Wiederherstellung betroffener Daten vor- nehmen zu können. Ansonsten drohen ihnen unter anderem juristische Konsequenzen, da entsprechende Aufsichtsbehör- den prüfen, ob Datenschutzvorgaben und Aufbewahrungs- pflichten eingehalten wurden. Wenig überraschend: Bei ei- nem schwerwiegenden Ausfall des E-Mail-Servers ist die Wahrscheinlichkeit hoch, dass dies nicht der Fall ist. Oftmals gehen Unternehmen davon aus, dass ein Backup- System ausreicht, um sich vor einem Datenverlust zu schüt- zen und die Geschäftskontinuität zu wahren. Das ist jedoch ein Trugschluss. Ein Backup-System legt in vordefinierten, regelmäßigen Abständen Kopien der E-Mail-Daten bezie- hungsweise des ganzen E-Mail-Servers in der Cloud oder auf einem anderen externen Speichermedium ab. Neue Datenbe- stände, die nach einem durchgeführten Backup entstanden sind, werden erst im darauffolgenden Backup-Zyklus gesi- chert und sind bis zu diesem Zeitpunkt dem Risiko ausge- setzt, dauerhaft verloren zu gehen. Ein erfolgreiches Backup kann den E-Mail-Server wieder verfügbar machen, ist aber keine Garantie für eine lückenlose Wiederherstellung des his- torischen E-Mail-Bestandes. Im Sinne der Disaster-Recovery mag dies für die akute Wiederherstellung von Daten aus- reichen, ist jedoch nicht konform mit rechtlichen Vorgaben, die eine vollständige und revisionssichere Aufbewahrung voraussetzen. Zwar sollten Unternehmen im Bankensek- tor Backup-Lösungen in ihrer Business-Continuity-Strategie selbstverständlich einplanen, sie brauchen ergänzend aber noch eine weitere Lösung, die E-Mails revisionssicher vor- hält, bewahrt und dauerhaft verfügbar macht – und das Roland Latzel ist Senior Director of Marketing bei der MailStore Software GmbH. SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 39 unter Berücksichtigung von datenschutzrechtlichen Rah-menbedingungen.Revisionssichere E-Mail-Archivierung Eine professionelle, unabhängige E-Mail-Archivierungs-lösung bietet sich als Ergänzung zu herkömmlichen Backup-Systemen an. Sie erstellt kontinuierlich Kopien von einzelnen E-Mails samt Anhängen und speichert diese lückenlos, revi-sionssicher und über einen langen Zeitraum hinweg in einem zentralen Archiv.Professionelle E-Mail-Archivierungslösungen bieten die Möglichkeit, je nach Bedarf zwischen verschiedenen strate-gischen Archivierungsansätzen zu wählen. Wenn die rechts-konforme E-Mail-Archivierung im Vordergrund steht, ist die Journalarchivierung die beste Archivierungsoption. Wenn die Entlastung des E-Mail-Servers das Hauptziel ist, ist die Archi-vierung von Postfächern in Verbindung mit definierbaren Löschregeln die bessere Wahl. Auch eine Kombination beider Ansätze ist möglich, sodass Unternehmen des Bankensektors von beiden Archivierungsansätzen profitieren und die E-Mail-Archivierungslösung als unverzichtbaren Teil ihrer IT-Strate-gie einsetzen können.Ein weiterer Vorteil ist, dass die Einsicht in und der Zugriff auf das Archiv auch bei Ausfall des E-Mail-Dienstes möglich ist. Hier erweisen sich Such- und Exportfunktionen besonders im Rahmen von Compliance-Audits oder in Rechtsstreitigkei-ten (Stichwort „E-Mail als Beweis vor Gericht“) als hilfreich. Auch Mitarbeiter können je nach Konfiguration E-Mail-Be-stände eigenständig durchsuchen und Daten bei Bedarf in ein Standardformat exportieren oder wiederherstellen. Dafür müssen sie keine Anfragen mehr an die IT-Abteilung stellen.FazitEine E-Mail-Archivierungslösung unterstützt Unterneh-men in stark regulierten Branchen dabei – wie in diesem Fall Unternehmen des Bankensektors als Teil der Finanzbranche – rechtlichen und damit auch datenschutzrechtlichen Anforde-rungen nachzukommen. Sie kann die vollständige und re-visionssichere Aufbewahrung aller relevanten E-Mails über mehrere Jahre hinweg gewährleisten – Mitarbeiter und Prü-fer gleichermaßen können kontinuierlich auf den gesamten archivierten E-Mail-Bestand zugreifen. Diese Vollständigkeit ist ein wichtiger Baustein jeder Business-Continuity-Strategie. Daher sollte eine professionelle E-Mail-Archivierungslösung, ergänzend zu Backup- und Security-Lösungen, in keinem Unternehmen fehlen. n

– ADVERTORIAL – Ganzheitliches Management- system und internes Kontroll- system (IKS) nach BaFin VAIT bei der HanseMerkur Kranken- versicherung AG Autorin: Ellen Wüpper, Geschäftsführung Vertrieb/Marketing der WMC GmbH A ls Versicherungsunternehmen unterliegt die HanseMerkur ne- ben den grundsätzlich geltenden Anforderungen an Informati- onssicherheit und Datenschutz ergänzend den regulatorischen Bestimmungen der BaFin (Bundesanstalt für Finanzdienstleistungsauf- sicht). Im Kontext der Informationssicherheit hat die BaFin die versiche- rungsaufsichtlichen Anforderungen an die IT, abgekürzt VAIT, im März 2019 veröffentlicht. Bereits vor dem Inkrafttreten der VAIT-Anforderungen hat sich die Hanse- Merkur seit 2017 auf künftig steigende Herausforderungen zu Daten- schutz, Informationssicherheit und Risikomanagement vorbereitet. Wäh- rend der intensiv betriebenen IST-Analyse in diesen Themenbereichen wurde deutlich, dass nachhaltige Verfahren und Prozesse für zukünftige Anforderungen mit den bis zu diesem Zeitpunkt etablierten Bordmitteln wie Word, Excel oder PowerPoint nicht sinnvoll und ressourcensparend abgebildet werden können. Es wurde klar, dass die komplexen Anforderungen toolgestützt deutlich besser zu managen sein würden. Für die Auswahl eines geeigneten Lö- sungsanbieters war die erklärte Anforderung, einen Partner zu finden, der nicht nur eine im Markt gut etablierte Managementlösung für Daten- schutz und Informationssicherheit nach allen Anforderungen der Versi- cherungsbranche anbietet, sondern auch den gewünschten Zusatznutzen zum Aufbau eines ganzheitlichen internen Kontrollsystems (IKS) innerhalb der Software darstellen kann. Das im Finanzbereich vielfach eingesetzte GRC und Information Security Management System (ISMS) QSEC bildet die Datenschutz- und ISMS-Anfor- derungen lückenlos ab und unterstützt unter Berücksichtigung der versi- QSEC-Datenmodelldarstellung-Banken und Finanzen cherungsrechtlichen Aspekte aus der BaFin VAIT. Dabei integriert sich das System in die IT-Landschaft des Unternehmens und bereits vorhandene, für die Umsetzung erforderliche Daten, können aus den führenden Syste- men übernommen werden. Die Funktionalitäten von QSEC reichen über Datenschutz und ISMS weit hinaus und bieten alle Möglichkeiten eines internen Kontrollsystems (IKS) unter Berücksichtigung der versicherungsrechtlichen Aspekte nach VAIT. QSEC bietet: die Nachweisbarkeit der Compliance die transparente und nachhaltige Darstellung von Risiken (reduziert, akzeptiert etc.) Best Practice Prozesse (die Methodik wird von QSEC zur Verfügung gestellt) Synergien durch die Verbindung von Informationssicherheit und Datenschutz die Effizienz im Sicherheitsmanagement bei gleichzeitiger Optimierung von Ressourcen und Investitionen Imagegewinne und Wettbewerbsvorteile QSEC überzeugte u.a. dadurch, dass die HanseMerkur ihre aus der Ge- schäftsstrategie abgeleiteten Vorgehensweisen zur IT-Strategie in QSEC komfortabel über die Standardfunktionalitäten implementieren konnte. QSEC ermöglicht HanseMerkur die IT Governance, das effiziente Steuern, Überwachen und Weiterentwickeln, aller erforderlicher Maßnahmen. Mit QSEC hat die HanseMerkur heute deutlich mehr Transparenz über po- tenzielle Risiken und deren Auswirkungen und kann effizient angemesse- ne Maßnahmen zur Verbesserung und Weiterentwicklung des Reifegrads für alle Anforderungen aus Datenschutz, Informationssicherheit, IKS-Kon- trollen und VAIT-Vorgaben entwickeln. „Mit WMC haben wir einen Partner gewonnen, der unsere „Sprache“ spricht und offen auf unsere Anforderungen und Ideen reagiert. Die Partnerschaft mit WMC hat mich durch die gesamte Laufzeit der Zu- sammenarbeit überzeugt“, so Thomas Prigge, Informationssicherheits- beauftragter der HanseMerkur Die komplette Case Study: „Ganzheitliches Managementsystem und internes Kontrollsystem (IKS) nach BaFin VAIT bei der HanseMerkur Krankenversicherung AG“ finden Sie hier. Kontaktinfo: WMC GmbH Zimmerstraße 1, 22085 Hamburg Tel: +49 40 650336-0 E-Mail: info@wmc-direkt.de · www.wmc-direkt.de 40 SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT

– ADVERTORIAL – Sicher und einfach: biometrische Authentifizierung für Banken Autor: Stephan Schweizer O nlinebanking wird bei Bankkunden immer beliebter. Im Jahr 2022 lag der Anteil der Personen, die ihre Bank- geschäfte über das Internet abwickelten, bei rund 49 Prozent. Sicherheit ist dabei das wichtigste Thema für die Kunden. In einer Studie von SurePay in Zusammenarbeit mit dem ECC Köln gaben knapp 50 Prozent der Befragten an, dass sie einen Wechsel in Betracht ziehen würden, wenn sie sich bei ihrem Finanzinstitut nicht sicher fühlen. Wichtig ist den Kunden auch, dass die Anmelde- und Transaktionsprozes- se möglichst reibungslos funktionieren. Ein wichtiger Bereich ist dabei die Kundenauthentifizierung. Hier gibt es einige Herausforderungen, die aber gelöst werden können. Stolpersteine bei der Authentifizierung Bei der Authentifizierung gibt es bei vielen, aber nicht bei allen Banken Probleme. So setzen nicht alle Finanzinstitute auf die aktuelle Form der passwortlosen Authentifizierung nach dem aktuellen und international anerkannten FIDO-Standard. Viele nutzen noch das mTAN-Verfahren oder Hardware-Token. Beides ist weder für die Sicherheit noch für die Benut- zerfreundlichkeit ideal. Ähnliches gilt für Sicherheitsmaßnahmen, die nach dem Login-Prozess etabliert werden. Hierzu zählen insbesondere kontextbasierte Verifika tio- nen wie Device Fingerprint oder verhaltensbiometrische Merkmale. Die Sicherheitssysteme der Banken müssen in der Lage sein, diese Merk male auszuwerten und bei Abweichungen zum Beispiel durch eine erneute Authentifizierung einzugreifen. Solche Sicherheitsmaßnahmen, die beim Login eines Kunden oder während der Kontositzung implementiert wer- den, setzen nur die Hälfte der großen Banken ein. Zu groß ist die Angst vor False Positives, die zur ungerechtfertigten Sperrung von Kundenkonten führen können. . m o c . e b o d a k c o t s - e e d a r r a P : d l i B Diese Angst ist jedoch unbegründet, da durch ein sicheres und FIDO-kon- formes Login die zusätzlichen Maßnahmen weniger streng ausfallen kön- nen. Diese greifen dann nur bei extremen Abweichungen. Das Kundener- lebnis wird dadurch nicht beeinträchtigt. Ein reibungsloses Kundenerlebnis und hohe Sicherheit sind kritische Er- folgsfaktoren für Banken. Eine schlechte User Experience kann ausreichen, um 20 Prozent der eigenen Kunden dauerhaft zu verlieren. Eine gute User Experience wird daher heute von den Kunden erwartet – fehlt sie, ist das für die Banken ein handfester Wettbewerbsnachteil. Dies liegt zum einen am Mangel an qualifiziertem Personal. Zum anderen wird gerade im Bankensektor häufig Individualsoftware eingesetzt, um den hohen Sicherheitsanforderungen gerecht zu werden. Doch meist ge- hen die bankinternen Richtlinien noch deutlich über die regulatorischen Anforderungen hinaus. Dies führt dazu, dass der Aufwand den Nutzen übersteigt. Entsprechend schwierig ist es, die so entstandenen, sehr si- cheren, aber auch extrem abgeschotteten Datensilos zu öffnen, um bei- spielsweise neue Dienstleistungen anbieten zu können. Herausforderungen für die Modernisierung abbauen Banken und Finanzinstitute können es sich auf Dauer nicht leisten, die Modernisierung ihrer Software zu vernachlässigen. Die Lösung liegt im Einsatz modularer CIAM-Software. In den letzten Jahren ist das Angebot in diesem Bereich stark gewachsen und wird von externen Dienstleistern entwickelt. Sie bieten den Banken die notwendige Sicherheit, können aber „out of the box“ eingesetzt werden, ohne dass unzählige Erweiterungen programmiert werden müssen. Das vereinfacht Release-Zyklen und ei- lige Upgrades, wie sie zum Beispiel zur Behebung einer Sicherheitslücke notwendig sein können. So steht einer reibungslosen Customer Journey nichts mehr im Wege. n Kontaktinfo: Nevis Security AG Birmensdorferstrasse 94 8003 Zürich Tel.: +41(0)43.50806-81 marketing@nevis.net www.nevis.net SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 41

– ADVERTORIAL – – ADVERTORIAL – „Security as a Service“ als wirksamer Hebel zum besseren IT-Schutz von Banken Der Finanzsektor schaut auf ein interessantes Jahr 2023 voller Chancen und Herausforderungen. Was sich ak- tuell als Baustelle, aber auch als Chance mit lang- fristiger Wirkung erweist, sind die anstehenden Resilienzvorschrif- ten wie DORA (Digital Operational Resilience Act), NIS-2(Netz- und Informationssicherheitssysteme)-Richtlinie, Richtlinie (EU) 2022/2555 zur Änderung betroffener Richtlinien und Richtlinie (EU) 2022/2556 bezüglich der Resilienz kritischer Einrichtungen. Sie fordern Banken dazu auf, ihre IT-Sicherheit auszubauen und sich dadurch robuster, vertrauenswürdiger und widerstandsfähiger zu gestalten. Sicherheit nicht in Form von „noch mehr Sicherheits-Tools hinzufügen“, sondern als unternehmensübergreifende Sicherheitsstrategie, welche die Führungsebene und alle Abteilungen bis hin zum einzelnen Mitarbeiter einbindet. Die Geldinstitute unterliegen – als kritische Infrastrukturen – bereits strengen Kontrollen und Vorschriften. Regelmäßige Stresstests haben dafür gesorgt, dass die Banken bereits über einen soliden Grund- schutz verfügen. Der Finanzsektor gehört nach wie vor zu den Top-5-Zie- len von Cyberkriminellen. Die Komplexität und die Präzision der Angriffe nehmen immens zu. „Zweifellos werden Banken von Straftätern für eine Vielzahl von kriminel- len Aktivitäten ins Visier genommen. Das liegt auch an der immer größe- ren Verfügbarkeit von Hacking-Instrumenten im Dark Web. Es ist einfa- cher denn je, fertige Module zu kaufen und selbst einen gezielten Angriff durchzuführen oder damit sogar spezialisierte, kriminelle Gruppen für maximale Ausbeute zu beauftragen. Hinzu kommt, dass nicht nur Banken, sondern auch ihre Kunden und Partner immer häufiger gehackt werden, 42 SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT Bild: iStock.com/Drazen_

– ADVERTORIAL – kategorisiert. Er erkennt sensible Informationen, wie beispielsweise eine Kreditkarten- oder Sozialversicherungsnummer. Der Spam-Filter ver- wendet dann die Content Disarm and Reconstruction-Technologie (CDR), um alle bösartigen Makros aus den Anhängen zu entfernen und die Datei in ein sicheres PDF-Format zu konvertieren. Das ist besonders nützlich bei der großen Anzahl von Ausweisdokumenten, die eine Bank erhält. Die iQ.Suite gibt Phising und den aktuellen Hacker-Trends, wie bösartige OneNote-Anhänge und Ransomware-E-Mails, die auf intermittierender Verschlüsselung basieren, keine Chance. Wird eine E-Mail als bösartig er- kannt, wird sie in Quarantäne gestellt und der Empfänger benachrichtigt. Wenn ein Bankangestellter eine E-Mail verschickt, unterliegt diese E-Mail ebenfalls den gleichen hohen Sicherheitsstandards. Zunächst wird die E-Mail durch das Data Loss Prevention Tool analysiert. Anomalien im Datenverkehr, die Art der angehängten Dateien, das Dateivolumen oder verdächtige Textmuster können auf unzulässige Vorgänge hinweisen. Unbefugte Mitarbeiter können so keine vertraulichen Informationen – versehentlich oder absichtlich – versenden. Wenn die E-Mail sauber und sicher ist, wird sie automatisch verschlüsselt, um zu verhindern, dass sie von außen abgefangen und manipuliert werden kann. Der Absender wird durch die iQ.Suite sehr entlastet, da alle Schritte automatisch erfolgen. „Was die iQ.Suite so großartig macht, ist ihr vollautomatischer und selbst- ständiger Betrieb. Wie ich es gern nenne, ist dies eine ,walk away security‘ – man drückt den Knopf und kann gehen, denn sie funktioniert von selbst. Es besteht kein Bedarf an permanenter Betreuung und Überwa- chung. Wenn Sie es als Dienstleistung erwerben, müssen Sie es nicht ein- mal einrichten, da die gesamte Einstellung, Überwachung, Wartung und die Updates von unserem Team übernommen werden. Gleichzeitig haben Sie alle Auswertungen und Statistiken über die Leistung in der Hand, die Sie in Ihre Sicherheitsberichte integrieren und den Aufsichtsbehörden vor- legen können. Außerdem erkennen Sie die Leistungstrends und Sicher- heitsschwachstellen, beispielsweise sobald eine bestimmte Abteilung plötzlich mehr kompromittierte E-Mails erhält oder bestimmte Benutzer eine erhöhte Anzahl von E-Mails mit sensiblen Informationen empfan- gen“, fasst Dingerkus zusammen. n Kontaktinformationen: GBS Europa GmbH Zur Giesserei 19-27B 76227 Karlsruhe Deutschland Tel.: +49 721 4901-0 E-Mail: info@gbs.com Internet: https://www.gbs.com wie zum Beispiel beim Bankspoofing. Dadurch geraten die Banken unfrei- willig in die Position eines Beteiligten an diesem Betrug und ihre Vertrau- enswürdigkeit wird beeinträchtigt“, kommentiert Uwe Dingerkus, Service Owner bei der Sicherheitsfirma GBS. Die Stärkung der Sicherheit ist ein Muss, jedoch hat sie bekanntlich ihren Preis. Wir untersuchen einige kritische Faktoren, die berücksichtigt wer- den müssen. Da ist zunächst die Verschärfung der staatlichen Kontrol- len über Governance, Compliance und Datenschutz, die die Banken dazu verpflichten, Risiken zu überwachen, den Schutz vor Cyberbedrohungen zu intensivieren und einen umfassenden Überblick sowie eine bessere Kontrolle über alle ihre Sicherheitsmechanismen zu schaffen. Gleichzeitig gibt es (nicht nur) in Deutschland einen Mangel an qualifizierten IT-Fach- kräften und einen Bedarf an technischem Know-how in verschiedenen Sicherheitsbereichen. Die hohen Bildungs- und Unterhaltungskosten zur Aufrechterhaltung eines starken Sicherheitsteams kommen erschwerend hinzu. Eigenes Team versus SaaS Eine der Alternativen zum Aufbau eines eigenen Sicherheitsteams ist Security SaaS (Software as a Service). Dies kann mehrere Probleme auf einmal lösen. Unternehmen sind oft besorgt wegen der Kosten für Saas-Lösungen. „Hier geht es nicht um den Vergleich der Anfangskosten, sondern um den Langzeiteffekt sowie die Spanne der erhaltenen Leistungen“, so Dinger- kus. Ein 24/7-Support für die sofortige Reaktion auf einen Vorfall ist sehr kostenintensiv. SaaS substituiert den Aufbau eines eigenen und teuren IT- Teams. Ein externes Serviceteam verfügt bereits über zahlreiche Experten mit tiefgreifenden Kenntnissen in allen relevanten Sicherheitsbereichen. Dadurch erhalten die Kreditinstitute auch einen Zugang zu erweiterten Technologien, welche das Sicherheitsniveau der Banken deutlich erhöhen. Ein weiteres Kosteneinsparungspotenzial von SaaS ist die Flexibilität, die Services zu ändern oder zu skalieren. Es wird nur die Leistung bezahlt, die tatsächlich genutzt wird. Mit den bevorstehenden Vorschriften, insbeson- dere DORA, die mehr Audits und Pentests voraussetzt, erweist sich die Transparenz als ein entscheidendes Kriterium für die Sicherheitsreife einer Bank. Die Überwachung der Performance einzelner Sicherheitsmaßnah- men durch zentral verwaltete Analysetools und Dashboards verschafft daher den nötigen Überblick. Der Verwaltungsaufwand und die Gefahr durch Supply-Chain-Angriffe werden durch die Bereitstellung mehrerer Sicherheitsfunktionen von einem Drittanbieter verringert. Praxisbeispiel für eine E-Mail Security SaaS Wie ein SaaS-Produkt in der Praxis funktionieren kann, erläutert Uwe Dingerkus am Beispiel von iQ.Suite, eine GBS-Lösung für umfassende E-Mail-Sicherheit. Die iQ.Suite bietet mehrstufigen Schutz vor jeder Art von Malware und Spam, welche von eingehenden E-Mails stammen, und verhindert dabei, mithilfe von Verschlüsselungen und Kontrollen gegen den Verlust von sensiblen Daten, den Missbrauch von Daten. Wenn eine infizierte E-Mail bei der Bank eingeht, wird sie von der iQ.Suite in Echtzeit mit bis zu vier namhaften Scannern geprüft. Die E-Mail wird, durch Spam-Filter, nach dem Inhalt und den internen Richtlinien der Bank SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 43

– ADVERTORIAL – Sicher aufbewahrt, schnell gefunden: Professionelle E-Mail- Archivierung für Banken Der überwiegende Teil der Unternehmen in Deutschland muss Bücher, Aufzeichnungen, Inventare, Jahresabschlüs- se, Lageberichte, Eröffnungsbilanzen und Buchungsbe- lege mindestens zehn Jahre sicher aufbewahren und die Verfügbarkeit dieser Unterlagen gewährleisten. Handels- und Geschäftsbriefe müssen sechs Jahre aufbewahrt werden. Gemäß GoBD (GoBD = Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeich- nungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) müssen steuer- und handelsrechtlich relevante Daten lückenlos archiviert werden. In Österreich und der Schweiz gelten ähnliche Anforderungen. Neben diesen allgemeinen Vorgaben gelten für den streng regulierten Finanzsektor noch weitere Vorgaben. Die zweite Fassung der EU-Direktive zum Wertpapierhandel „Markets in Financial Instruments Directive“ (Mi- FID II) aus dem Jahr 2018 sieht beispielsweise eine Dokumentationspflicht für getätigte Geschäfte, erbrachte Services und Leistungen vor. Diese Auf- zeichnungen müssen sowohl der eigenen Rechtsabteilung als auch den Aufsichtsbehörden zugänglich sein. Andererseits fallen die personenbezogenen Daten von Bankkunden unter die Datenschutzgrundverordnung (DSGVO), beziehungsweise das Schweizer Datenschutzgesetz (DSG) und müssen dementsprechend be- handelt werden. Das bedeutet, Unternehmen müssen Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertrau- lichkeit gewährleisten. Vor diesen Hintergründen kommt der Archivierung von E-Mails als wich- tigstem elektronischen Kommunikationsmittel eine entscheidende Be- deutung zu. Zu bedenken ist auch, dass einerseits das Datenwachstum ungebrochen anhält und sich andererseits Arbeitsmodelle in den letzten Jahren verändert haben. Gerade Remote Work hat die „Cloudifizierung“ von Unternehmen enorm beschleunigt. Viele Tools werden mittlerweile als Service aus der Cloud (SaaS) bezogen. Für Anwender und Fachabtei- lungen, die sich unkompliziert passende Werkzeuge aussuchen können, mag das praktisch sein. Für IT-Manager bedeutet es allerdings, dass sie stark fragmentierte Informationslandschaften verwalten müssen. Daten können sich auf mehrere Server und verschiedene Clouds verteilen. Diese 44 SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT Bild: vegefox.com - stock.adobe.comBanken sind wie andere Unternehmen auch dazu verpflichtet, relevante Dokumente sicher und zugänglich aufzubewahren. Darunter fällt auch die elektronische Kommu-nikation via E-Mail. Roland Latzel, Senior Director Marketing bei MailStore, zeigt, was es zu beachten gilt und welche Rolle dabei professionelle E-Mail-Archivierung spielt. Autor: Roland Latzel, Senior Director Marketing bei MailStore

– ADVERTORIAL – Rahmenbedingungen verlangen ein ausgeklügeltes Informationsma- nagement einschließlich einer ordentlichen E-Mail-Archivierung. MailStore Server: was eine E-Mail-Archi- vierungslösung bieten muss Nachdem IT-Entscheider die Rahmenbedingung für die E-Mail-Archi- vierung gemeinsam mit allen relevanten Stakeholdern wie CISOs/CIOs, Datenschutzbeauftragten oder dem Betriebsrat abgesprochen haben, gilt es, die für ihre Ansprüche beste E-Mail-Archivierungslösung zu finden. MailStore Server verfügt bereits über ein umfangreiches Funktionsreper- toire, mit dem Banken und Finanzdienstleister die Archivierung sensibler Kommunikation rechtssicher realisieren können: Revisionssicher, langfristig, individuell: Mit MailStore Server können IT-Mitarbeiter individuelle Archivierungs- und Löschregeln definieren, die den gesetzlichen Vorgaben zur revisionssicheren und langfristigen Aufbewahrung von E-Mail-Daten entsprechen. Zugänglich und effizient: Banken und Finanzdienstleister müssen den permanenten Zugriff auf archivierte Daten ermöglichen. Dafür verfügt MailStore Server über eine leistungsstarke Volltextsuche sowie weitere Funktionen, mit denen sich Daten einfach wiederherstellen und expor- tieren lassen. Dies spielt vor allem in Compliance-, Audit- und Rechts- angelegenheiten eine große Rolle. Aber auch sobald ein Kunde seine Auskunftsrechte gemäß DSGVO geltend machen möchte, unterstützt die Suchfunktion bei der schnellen Umsetzung. Zudem können Anwen- der über die Self-Service-Funktion selbstständig auf ihr persönliches Archiv zugreifen und Daten wiederherstellen, ohne die IT-Abteilung involvieren zu müssen. Somit wird auch die Produktivität der Anwen- der gesteigert. Sicher und zertifiziert: MailStore Server nutzt moderne Hash- und Verschlüsselungsverfahren, um den archivierten Datenbestand vor Manipulation und Verlust zu schützen. Manuelle Änderungen, die ein Mitarbeiter am Archiv vornimmt, werden via Audit Log dokumentiert und lassen sich dadurch nachverfolgen. MailStore Server ist zudem unabhängig nach DSGVO und IDW PS 880 zertifiziert und verspricht somit ein hohes Sicherheitsniveau. Kontakt: MailStore Software GmbH Clörather Straße 1–3 • 41748 Viersen (Deutschland) Tel.: +49-(0)2162-50299-0 • Fax: +49 (0)2162-50299-29 E-Mail: sales@mailstore.com www.mailstore.com/de Cloud oder On-Premises? Unternehmen, die eine E-Mail-Archivierungslösung für ihr E-Mail-Ma- nagement implementieren möchten, müssen sich zunächst entschei- den, ob sie die Bereitstellung mittels eigener Server umsetzen oder einen Cloud-Service von einem Managed-Services-Provider oder einem der großen Public-Cloud-Anbieter beziehen wollen. Die Kombination von SaaS-Angeboten und Inhouse-Infrastruktur im eigenen Rechenzentrum ist ebenfalls möglich. Cloudbasierte Lösungen haben unter anderem den Vorteil, dass der physische Speicherort der Daten vom eigenen Rechen- zentrum entkoppelt ist. Sollte es dort zu Zwischenfällen kommen, sind die in der Cloud archivierten Daten nicht betroffen. Ist die Cloud-Lösung dann auch noch redundant ausgelegt, hat man ein sehr sichereres, hoch- verfügbares System. Aber auch Cloud-Anbieter sind nicht vor Systemaus- fällen geschützt – als Beispiele wären hier der Brand im Straßburger Rechenzentrum von OVHCloud im Jahr 2021 und der weltweite Ausfall der Hosted-Exchange-Umgebungen des Hosting-Providers Rackspace im Jahr 2022 genannt, Letzteres bedingt durch eine Ransomware-Attacke. Vor dem Hintergrund der DSGVO ist allerdings zu beachten, wo sich die Rechenzentren befinden. Gemäß Artikel 44 ff. EU-DSGVO dürfen perso- nenbezogene Daten nur dann in ein Drittland übertragen werden, wenn das Datenschutzniveau den Anforderungen der EU entspricht. Dazu kommen noch weitere Regularien der europäischen Bankenaufsicht EBA. Bei einem Vertragsabschluss mit einem SaaS-Anbieter bietet es sich an, einen zusätzlichen Auftragsverarbeitungsvertrag (AVV) abzuschließen, um den Anforderungen des Artikels 28 EU-DSGVO nachzukommen. Dieser ist notwendig, wenn personenbezogene Daten zur Verarbeitung an Dritte weitergegeben werden. Mehr als nur Backup Neben gesetzlichen Vorgaben spricht auch aus der Sicht der Business Con- tinuity vieles für eine professionelle Archivierungslösung. Unternehmen im Finanzsektor müssen Systemausfälle aufgrund von Problemen mit der hauseigenen Hardware, Ausfälle aufseiten von IT-Service-Providern, Anwenderfehler, Manipulation durch das absichtliche Löschen von Daten sowie die immer häufiger vorkommenden Cyberangriffe berücksichtigen und sich dagegen wappnen. Regelmäßige Backups sind wichtig – doch sie allein reichen nicht aus, um sich umfassend vor Datenverlust zu schützen. Das liegt daran, dass Backups immer zyklisch erfolgen und zu einem bestimmten Zeitpunkt eine Momentaufnahme des Systems abbilden. Neue Daten, die nach dem Backup hinzugekommen sind, werden demzufolge erst im nächsten Zyk- lus gesichert. So kann es bei einem Systemausfall zu Lücken im Datenbe- stand kommen. Um die lückenlose Wiederherstellung des historischen E-Mail-Bestandes zu gewährleisten, benötigen Unternehmen zusätzlich noch eine E-Mail-Archivierung, die alle relevanten E-Mails direkt, das heißt, noch vor der Zustellung in die Postfächer, in ein eigens dafür vorge- sehenes Archiv kopiert und eine vollständige, revisionssichere und lang- fristige Aufbewahrung der Daten sicherstellt. Nur so können sie rechts- sicher arbeiten und alle Dokumentationspflichten erfüllen. Dabei ist aber nicht zu vergessen: Auch das Archiv sollte Teil des Backup-Plans sein. SPECIAL_2/2023 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 45

BUCHBESPRECHUNG Recht der Informations- sicherheit Der Kommentar zum „Recht der Informationssicherheit“ befasst sich mit den aktuellen Rechtsgrundlagen der IT-Sicherheit in Deutsch- land und in Europa. Herausgegeben wurde er von Prof. Dr. Dennis-Kenji Kipker, Philipp Reusch und Steve Ritter. Als erster Kommen- tar dieser Art bietet er eine systematische Aufschlüsselung der relevanten Gesetze und Rechtsvorschriften, stellt kompakt dar, welche Anforderungen diese vermitteln und wie sie interessengerecht umzusetzen sind. Die Herausforderungen im Informationssi- cherheitsrecht sind vielfältig: Es fehlt an einer einheitlichen und umfassenden Regelung des Rechtsgebiets, und begleitende Literatur der vielfach neuen Regelungen ist rar gesät. Zudem sind im Rahmen der compliance- und praxis- gerechten Umsetzung der Regelungen starke Überschneidungen mit technisch-organisatori- schen Anforderungen zu berücksichtigen. Hinzu kommt die zunehmende Vielfalt an Rechtsvor- schriften mit einem nicht immer klar ersicht- Kipker / Reusch / Ritter Recht der Informationssicherheit C.H.BECK, 2023 XXXV, 1032 S., Hardcover (Leinen) 139,00€ ISBN 978-3-406-78339-5 lichen Bezug zur Informationssicherheit, die durch den deutschen und den europäischen Ge- setzgeber erlassen wurden und werden. Das Werk bietet daher erstmals in einem Band alle wichtigen Vorschriften zum Recht der Infor- mationssicherheit übersichtlich und detailliert aufbereitet sowie eine verständliche, problem- orientierte und systematische Darstellung. Da- mit ist es insgesamt ein gutes Hilfsmittel bei der täglichen Arbeit sowie der rechtswissenschaftli- chen Forschung zur Informationssicherheit. Der Kommentar berücksichtigt bereits die Neu- erungen durch das IT-Sicherheitsgesetz 2.0, Telekommunikationsmodernisierungsgesetz und die 2. Änderungsverordnung zur BSI-KRITIS- Verordnung. Zielgruppe des Buchs sind zum Bei- spiel IT-Sicherheitsberater und -verantwortliche, CISOs, Zertifizierer, Behörden und Compliance- Verantwortliche. n IT-SICHERHEIT_2/2023 47

IT-RECHT | DATENSCHUTZ Post von der Datenschutzbehörde: BEST PRACTICE BEI AUSKUNFTSVERLANGEN UND VERWARNUNGEN D ie Durchsetzung der Datenschutzgrundver- ordnung (DSGVO) beruht im Wesentlichen auf zwei Säulen. Die erste bilden die in Art. 58 DSGVO vorgesehenen Aufsichtsbefugnisse der Daten- schutzbehörden. Das Auskunftsrecht und die Verwar- nung fallen als aufsichtsrechtliche Instrumente unter diesen Begriff. Innerhalb des Artikels kann zwischen Untersuchungs-, Durchsetzungs- und Beratungs- bezie- hungsweise Genehmigungsbefugnissen unterschieden werden. Die Beratungs- und Genehmigungsbefugnisse betreffen dabei besonders risikobehaftete Datenverar- beitungsvorgänge und sind somit auf spezielle Situ- ationen zugeschnitten. Die im Rahmen der Untersu- chungs- und Durchsetzungsbefugnisse vorgesehenen behördlichen Rechte können dagegen bei jeder poten- ziell denkbaren Verarbeitungstätigkeit Anwendung finden. Die Untersuchungsbefugnisse des Art. 58 Abs. 1 DSGVO dienen – wie bereits ihr Name verrät – in erster Linie der Ermittlung von Datenschutzverstößen. Hier- unter fällt etwa auch das behördliche Auskunftsrecht. Die in Art. 58 Abs. 2 DSGVO normierten Durchsetzungs- befugnisse zielen dagegen in der Regel auf die Abhilfe bereits stattgefundener Datenschutzver stöße. Bei der Verwarnung handelt es sich um eine solche Durchset- zungsbefugnis. Als zweite Säule der DSGVO-Durchsetzung dient die in Art. 31 DSGVO verankerte Pflicht zur Zusammenarbeit. Danach müssen Verantwortliche und Auftragsverarbei- ter die Behörde auf Anfrage bei der Erfüllung ihrer Auf- gaben zu unterstützen. Diese Pflicht korrespondiert eng mit den vorab genannten Untersuchungsbefugnissen. Art und Maß der Zusammenarbeit können entscheiden- den Einfluss auf die Verhängung und Höhe eines Bußgel- des haben. Fehlende Zusammenarbeit ist nach Art. 83 Abs. 4 lit. a DSGVO selbst bußgeldbewehrt. 48 48 IT-SICHERHEIT_2/2023 IT-SICHERHEIT_2/2023 Auskunftsverlangen und Verwarnungen seitens der Datenschutzbehörde sorgen bei den verantwortlichen Unternehmen meist für Unsicherheit und Aufregung. Regelmäßig steht ein solches Schreiben erst am Anfang eines langwierigen behördlichen Verfahrens. Die richtige Herangehensweise und eine gelungene Kommunikation mit der Aufsichtsbehörde sind für die Adressaten deshalb Gold wert. Der folgende Beitrag navigiert Sie durch die rechtlichen Rahmenbedingungen und Best Practices im Umgang mit der behördlichen Post.

BEHÖRDLICHE AUSKUNFTS- VERLANGEN Auskunftsverlangen seitens der Datenschutzaufsicht fußen auf der behördlichen Anweisungsbefugnis des Art. 58 Abs. 1 lit. a DSGVO. Danach können Behörden von einem Verantwortlichen oder Auftragsverarbeiter die Bereitstellung aller für die Erfüllung ihrer Aufga- ben notwendigen Informationen verlangen. Parallel zu der DSGVO-Vorschrift hat der nationale Gesetzge- ber eine generelle Auskunftspflicht nicht öffentlicher Stellen und ihrer Leitungspersonen in § 40 Abs. 1 S. 1 BDSG normiert. Leitungspersonen sind die gesetzlich oder satzungsgemäß benannten Führungspersonen eines Unternehmens, beispielsweise Geschäftsführer, Vorstände und Inhaber. Das Auskunftsverlangen enthält in der Regel eine Aufforderung zur Mitteilung aller für einen konkreten Sachverhalt relevanten Informatio- nen. Als Verwaltungsakt ist das Ersuchen vollstreckbar und kann mittels Verwaltungszwanges – etwa einem Zwangsgeld – durchgesetzt werden. VORGEHENSWEISE BEI BEHÖRD- LICHEN AUSKUNFTSERSUCHEN Das oberste Gebot im Umgang mit behördlichen Schrei ben aller Art lautet: Ruhe bewahren und die vorgegebenen Fristen beachten. Auch bei Eingang ei- nes aufsichtsbehördlichen Auskunftsersuchens muss die Beantwortungsfrist eingehalten und ein Termin zur rechtzeitigen Wiedervorlage gesetzt werden. Für eine umfassende und sachgerechte Antwort müssen schnellstmöglich der betriebliche Datenschutzbeauf- tragte oder sonstige beratende Stellen, zum Beispiel die Rechtsabteilung oder der externe Datenschutzberater, über das Schreiben informiert werden. Darüber hinaus muss ein Team aller benötigten Stakeholder zusammen- gestellt, und interne Fristen für alle beteiligten Stellen müssen festgelegt werden. Als Nächstes ist die Festlegung einer konkreten Her- angehensweise für eine gelungene Behördenkommu- nikation unerlässlich. Dafür müssen die Verantwortli- chen den Inhalt des behördlichen Anliegens möglichst konkret nachvollziehen. Das Schreiben der Behörde ist daher sorgfältig zu prüfen und alle für die Beantwortung entscheidenden Anhaltspunkte herauszufiltern. Sofern Unklarheiten oder Fragen bestehen, sollte unverzüglich eine Nachfrage bei der Behörde erfolgen. Im nächsten Schritt sollte eine interne Sachverhaltser- mittlung erfolgen. Dafür müssen sämtliche relevante In- formationen zusammengetragen werden. Unter Umstän- den ist es deshalb ratsam, alle in Betracht kommenden Abteilungen und Unternehmensbereiche in die Ermitt- lung einzubeziehen. IT-RECHT | DATENSCHUTZ Das oberste Gebot im Umgang mit behördlichen Schrei ben aller Art lautet: Ruhe bewahren und die vorgegebenen Fristen beachten. Wenn sich im Rahmen der Ermittlung weitere Fragen ergeben, kann bei der Aufsichtsbehörde Akteneinsicht genommen werden. Bei absehbaren Verzögerungen sollte außerdem rechtzeitig eine Fristverlängerung be- antragt werden. Sobald die Ermittlung aller relevanten Informationen abgeschlossen ist, kann die Vorbereitung des Antwort- schreibens erfolgen. INHALT DES ANTWORTSCHREIBENS Die Pflicht zur behördlichen Zusammenarbeit gilt um- fassend und ist auf Kooperation angelegt. Grundsätz- lich kann die Behörde jede zur Erfüllung ihrer Aufgaben notwendige Information anfragen. Der Gegenstand des Auskunftsverlangens muss jedoch ausreichend konkret beschrieben und begründet sein. Die Begründung dient dazu, dem Betroffenen den Zusammenhang zwischen erteilter Information und Aufgabenerfüllung hinrei- chend deutlich zu machen. Auf diese Weise soll bei- spielsweise willkürlichen Auskunftsverlangen vorge- beugt werden. Bei der Beantwortung sollte das betroffene Unterneh- men ausschließlich zu den gestellten Fragen Rückmel- dung geben. Eine Pflicht zur Selbstoffenbarung besteht nicht. Da die Übergänge zwischen Kooperationspflicht und Selbstbelastung häufig fließend sind, gilt folgende Faustformel: so viel wie nötig und so wenig wie möglich. Das Antwortschreiben sollte deshalb vor Versendung unbedingt auf überschießende Informationsgehalte ge- prüft werden. Eine weitere Grenze des Auskunftsumfangs bildet das spezifische Auskunftsverweigerungsrecht des § 40 Abs. 4 S. 2 BDSG. Die auskunftspflichtige Person kann dann die Auskunft verweigern, wenn sie sich oder Angehörige mit IT-SICHERHEIT_2/2023 49

IT-RECHT | DATENSCHUTZ der Preisgabe der Information der Gefahr straf- oder ord- nungswidrigkeitenrechtlicher Verfolgung aussetzt. § 40 Abs. 4 S. 2 BDSG gewährt insofern kein generelles oder umfassendes Schweigerecht. Nur einzelne Personen, denen eine konkrete persönliche Gefahrenlage droht, können sich darauf berufen. Die generelle Auskunfts- pflicht des Unternehmens bleibt selbst bei der Gefahr einer Geldbuße für das Unternehmen unberührt. Auch Unternehmensgeheimnisse müssen der zuständigen Datenschutzaufsicht im Zweifel offengelegt werden. Die Aufsichtsbehörde ist ihrerseits zur Belehrung über das Auskunftsverweigerungsrecht verpflichtet. DSGVO-VERWARNUNGEN Im Umgang mit bereits eingetretenen Datenschutzver- stößen stellt die Verwarnung gemäß Art. 58 Abs. 2 lit. b DSGVO das mildeste Mittel dar. Während eine Warnung rein präventiv auf die Vermeidung eines zu erwartenden Verstoßes gerichtet ist, hat die Verwarnung dessen Fest- stellung zum Gegenstand. Im Gegensatz zu weiterrei- chenden Befugnissen wird durch eine Verwarnung selbst keine Verhaltenspflicht auferlegt. Bei ihrer rechtlichen Natur handelt es sich deshalb um einen feststellenden Verwaltungsakt – ohne vollziehbaren Inhalt. Als Adressaten einer Verwarnung kommen sowohl Ver- antwortliche als auch Auftragsverarbeiter in Betracht. Die einzige Voraussetzung einer behördlichen Verwar- nung ist ein DSGVO-Verstoß des Verantwortlichen. Die Art des Verstoßes, seine Intensität gegenüber dem Betroffenen oder subjektive Merkmale des Adressaten werden damit ausdrücklich offengelassen. DSGVO-Ver- stöße können neben ungerechtfertigter Datenverarbei- tung beispielsweise auch die Verletzung von Betroffe- nenrechten oder Informationspflichten sein. Ob im Fall einer Datenschutzverletzung eine Verwarnung oder eine schärfere Sanktion, etwa ein Bußgeld, folgt, ist deshalb ausschließlich eine Frage der pflichtgemäßen Ermessen- sausübung durch die Datenschutzaufsicht. Die Behörde ist dabei an keine bestimmte „Sanktionsreihenfolge“ ge- bunden. Ein Anspruch auf „Herabstufung“ einer schwer- wiegenderen Maßnahme auf eine Verwarnung besteht deshalb grundsätzlich nicht. Die Aufsichtsbehörde kann ihre Entscheidung dennoch nicht nach Belieben fällen, sondern ist an die Einhaltung bestimmter Ermessensregeln gebunden. Insofern spielt der Grundsatz der Verhältnismäßigkeit eine entschei- dende Rolle. Die Verwarnung muss nicht nur hinrei- chend effektiv der Beseitigung des Datenschutzversto- ßes dienen, sondern diesbezüglich auch angemessen sein. Da die Verwarnung im Fall einer rechtswidrigen Verarbeitung das mildeste Mittel ist, dürfte dies – bei nicht vollständig bagatellhaften Verstößen – regelmäßig zu bejahen sein. 50 IT-SICHERHEIT_2/2023 m o e.c b o d k.a c er - sto H. Bra u

WELCHE KONSEQUENZEN HAT EINE DSGVO-VERWARNUNG? Wie bereits angesprochen, hat eine Verwarnung die Fest- stellung eines DSGVO-Verstoßes zum Gegenstand. Die Verwarnung sieht somit selbst keine umsetzbaren Maß- nahmen vor, sondern zielt auf die verbindliche rechtli- che Bewertung einer bestimmten Sachlage. Sofern sie nicht angefochten wird, erlangt die Verwarnung binnen eines Monats ab Bekanntgabe – unabhängig von ihrer Rechtmäßigkeit – Bestandskraft. Die Rechtswidrigkeit der gerügten Verarbeitung gilt damit – ob zutreffend oder nicht – als festgestellt. Der Umgang mit einer Ver- warnung hat deshalb entscheidenden Einfluss auf die Verhängung weiterer Sanktionen. Besondere Bedeutung entfaltet sie insofern im Rahmen eines Bußgeldverfahrens. Mit der Verwarnung wird ihr Adressat auf sein – aus Sicht der Behörde – rechtswid- riges Handeln hingewiesen. Setzt er seine Verarbeitung dennoch fort, kann die Verwarnung nach Art. 83 Abs. 2 lit. e) DSGVO im Bußgeldverfahren Berücksichtigung fin- den. Danach wirken sich früher ergangene Verwarnungen bei der behördlichen Entscheidung hinsichtlich des Ob und Wie eines Bußgeldes zulasten des Adressaten aus. WANN IST EINE ANFECHTUNG SINNVOLL? Gegen eine Verwarnung kann der Adressat binnen ei- nes Monats ab Bekanntgabe Anfechtungsklage vor dem zuständigen Verwaltungsgericht erheben. Dabei ist vor allem der zeitliche Aspekt der Klageerhebung entschei- dend. Eine umfassende Klagebegründung kann nach fristgerechter Klageerhebung auch im Laufe des Verfah- rens nachgereicht werden. Die Klageerhebung bewirkt, dass die verbindliche Fest- stellung des Datenschutzverstoßes bis zum Ende des Klageverfahrens aufgeschoben ist. Dies kann sich mit- telbar auch auf die Verhängung weiterer Maßnahmen auswirken. Die Behörde ist für deren Erlass zwar nicht an eine zuvor festgestellte Rechtswidrigkeit gebunden, jedoch kann es im Sinne der Prozessökonomie und Ver- hältnismäßigkeit geboten sein, die ausstehende Klärung der Rechtsfrage abzuwarten. Das gerichtliche Verfahren hat schließlich die Frage nach der Rechtmäßigkeit der erlassenen Verwarnung zum Gegenstand. Implizit wird so auch geprüft, ob der gerügte Verarbeitungsvorgang tatsächlich gegen die DSGVO verstoßen hat. Da in man- chen Fällen Rechtsmittel gegen die Gerichtsentschei- dung eingelegt werden, kann sich ein solches Verfahren praktisch über Jahre hinweg ziehen. Ob eine Anfechtung sinnvoll ist, beurteilt sich in erster Linie nach der mutmaßlichen Rechtmäßigkeit einer Ver- IT-RECHT | DATENSCHUTZ warnung. Besteht die hinreichend begründete Vermu- tung, dass die Verwarnung rechtswidrig ergangen ist, sollte man in jedem Fall rechtliche Schritte ergreifen. Soweit dies auf den ersten Blick nicht zweifelsfrei bejaht werden kann, müssen betroffene Unternehmen Prozess- und Verarbeitungsrisiko sorgfältig gegeneinander abwä- gen. Ergibt die rechtliche und strategische Abwägung, dass auf eine Klage verzichtet werden sollte, müssen die gerügten Mängel der Verarbeitungstätigkeiten schnell und nachhaltig angegangen werden. Die Handhabung einer DSGVO-Verwarnung sollte keinesfalls ohne die Einholung anwaltlichen Rats geschehen. FAZIT: RUHE BEWAHREN UND BERATUNG EINHOLEN Im Umgang mit Auskunftsverlangen und Verwarnungen lohnt es sich, einen kühlen Kopf zu bewahren. Auch wenn die behördliche Post auf den ersten Blick drastisch scheint, verbleibt dem verantwortlichen Unternehmen in der Regel einiger Handlungsspielraum. Strategisches Vorgehen und eine lückenlose rechtliche Beratung sind insofern ausschlaggebend. Das adressierte Unterneh- men sollte der zuständigen Aufsichtsbehörde durch kooperative Kommunikation signalisieren, dass es datenschutzrechtliche Belange ernst nimmt. Gleichzei- tig ist es sinnvoll, überschießende Informationsgehalte zu vermeiden und sich gegen rechtswidrige Maßnahmen zu verteidigen. Im Anschluss an das Verfahren sollten Datenschutzlücken geschlossen, der Prozessablauf eva- luiert und mögliches Verbesserungspotenzial diskutiert werden. n JAN O. BAIER ist Rechtsanwalt und Associated Partner der Technologiekanz- lei SCHÜRMANN ROSENTHAL DREYER Rechtsanwälte und spezialisiert auf das Urheber-, Medien-, IT-, Datenschutz- und Wettbewerbsrecht sowie den gewerblichen Rechtsschutz. Er berät Unternehmen zu rechtlichen und strategischen Fragen der Digitalisierung und ist überdies ein geschätzter Ansprech- partner bei der Vertragsgestaltung im Medienbereich, für IT- Projekte, Cloud Computing und SaaS. Auch zu Fragen von IT-Wartungsverträgen und Lizenzverträgen verfügt er über eine ausgewiesene Expertise. Sein Mandantenstamm ist unter anderem in den Branchen E-Commerce, Internet und Informationstechnolo- gie, Marketing, Design & PR, Medien, Streaming Services und Software tätig. THORSTEN MEHL ist Rechtsanwalt der Technologiekanzlei SCHÜRMANN ROSENTHAL DREYER Rechtsanwälte und spezialisiert auf das Datenschutzrecht, Wettbewerbsrecht, Marketing, Vertrieb, IT-Recht und Digitales Business. www.srd-rechtsanwaelte.de IT-SICHERHEIT_2/2023 51 Foto: Kanzlei SRDFoto: Kanzlei SRD

CYBERSICHERHEIT | XDR Angriffserkennung SELBER MACHEN ODER KAUFEN? V om IT-Sicherheitsgesetz 2.0 sind alle Unternehmen und Organisationen betroffen, die kritische Infrastrukturen betreiben. Dazu gehören die Branchen Energie, Informati- onstechnik und Telekommunikation, Wasser und Ernährung. Ergänzt werden sie durch die KRITIS-Verordnung um die Sektoren Gesund- heit, Finanz- und Versicherungswesen sowie Transport und Verkehr. Hiervon betroffen sind 52 IT-SICHERHEIT_2/2023 seitdem auch Apotheken mit einem Absatz von 4,65 Millionen Arzneimittelpackungen im Jahr, Krankenhäuser mit über 30 000 sta- tionären Fällen und Flughäfen mit mehr als 20 Millionen Passagieren jährlich. Als zusätz- licher Sektor wurden im aktualisierten IT- Sicherheitsgesetz (IT-SiG) die Siedlungsabfal- lentsorgung und als zusätzliche Klassifikation „Unternehmen im besonderen öffentlichen Interesse“ aufgenommen. Aber es geht noch weiter: Von der NIS-2-Richt- linie der EU sind ab 1. Oktober 2024 wesentlich mehr Firmen betroffen. Es gilt also nicht nur auf- grund der Deadline am 1. Mai 2023 für Unterneh- men aktiv zu werden und Systeme zur Angriffs- erkennung und -abwehr zu implementieren. Sollten KRITIS-Betreiber aus den genannten Sektoren nicht die Anforderungen des IT-SiG 2.0 erfüllen, so werden je nach Tatbestand Bußgel- Aufgrund der zunehmenden Cyberangriffe verlangt der Gesetzgeber von Unter-nehmen, die Teil der kritischen Infrastruktur sind, bis Anfang Mai die Einführung von Systemen zur Erkennung und Abwehr von Angriffen. Aber wie lässt sich das in der Praxis möglichst schnell umsetzen? Unser Autor erklärt, was Angriffserkennung bedeutet, wer vom IT-Sicherheitsgesetz 2.0 betroffen ist und warum Unternehmen eher einen Managed-XDR-Service für die Umsetzung nutzen sollten. Bild: Skórzewiak - stock.adobe.com

der zwischen 100 000 Euro und 20 Millionen Euro bei Verfahren gegen juristische Personen fällig. WAS IST EINE ANGRIFFS- ERKENNUNG? Die Angriffserkennung bezieht sich auf die Überwachung von Netzwerken, Systemen und Anwendungen, um – wie der Name schon sagt – potenzielle Angriffe zu erkennen, bevor sie Schaden anrichten können. Durch die Ver- wendung von verschiedenen Techniken, wie bei- spielsweise Intrusion-Detection-Systems (IDS), Intrusion-Prevention-Systems (IPS) und Securi- ty-Information-and-Event-Management (SIEM), können Bedrohungen entdeckt werden. Eine Angriffserkennung ist ein wichtiger Be- standteil einer umfassenden IT-Sicherheitsstra- tegie. Sie kann dazu beitragen, die Auswirkun- gen von Sicherheitsverletzungen zu minimieren und die Betriebskontinuität aufrechtzuerhalten. Dabei werden nur 20 Prozent der Angriffe durch die oben genannten technischen Maßnahmen detektiert, den Rest müssen IT-Security-Spe- zialisten finden und abwehren. Genau hierbei können Managed-XDR- und Incident-Response- Services helfen. HERAUSFORDERUNGEN BEI DER IMPLEMENTIERUNG Auf die Frage, ob es besser ist, ein internes IT- Sicherheitsteam aufzubauen oder einen Ma- naged-XDR-Dienstleister zu engagieren, gibt es keine eindeutige Antwort. Jeder Ansatz hat sowohl Vor- als auch Nachteile. Jedoch spre- chen Herausforderungen wie der Fachkräfte- mangel im Bereich IT-Sicherheit und die Kosten für den Aufbau einer IT-Security-Abteilung eher dafür, sich für einen externen Dienstleister zu entscheiden. Folgende Gründe können hier ausschlaggebend sein: Ressourcen und Kosten Ein internes IT-Security-Team erfordert hohe Investitionen. Das Unternehmen muss in die Einstellung und Schulung von Fachleuten, den Kauf von Technik und Tools sowie die Einrich- tung einer Infrastruktur zur Unterstützung des Teams investieren. Hier fallen schnell Kosten im sechsstelligen Bereich pro Monat an. Weiter- hin müssen die entsprechenden Fachleute erst CYBERSICHERHEIT | XDR MARCEL VAN ASPERDT ist Direktor Operation Deutschland bei Eye Security. Er verfügt über mehr als 30 Jahre an Erfahrung als Cyber-Security-Spezialist, die er in mehreren Rollen, unter anderem als CyberOperationsleiter, beim nieder- ländischen Geheimdienst gesam- melt hat. IT-SICHERHEIT_2/2023 53 einmal gefunden werden, was sich im aktuellen Arbeitnehmermarkt eher schwer bewerkstel-ligen lässt und in ländlichen Gegenden nahezu unmöglich ist. Ein Managed-XDR-Dienstleister kann hier ein günstiger Ausweg sein, da Unternehmen nur für die Dienstleistungen zahlen, die sie benötigen und nicht für den Aufbau einer internen Infra-struktur oder den Kauf von Produkten. Darüber hinaus verfügen Managed-XDR-Dienstleister aufgrund ihrer Größe und Erfahrung oft über bessere Technologie und Tools als Unternehmen, die versuchen, ein internes IT-Security-Team aufzubauen.Erfahrung und ExpertiseEin erfahrener Managed-XDR-Anbieter verfügt über das Fachwissen und die Erfahrung, um Unternehmung bei der Überwachung ihrer IT-Infrastruktur und Angriffserkennung zu unterstützen. Wohingegen ein internes IT-Sicherheitsteam möglicherweise viel Zeit und Ressourcen investieren muss, um das gleiche Niveau aufzubauen. Auch ist es für viele Un-ternehmen wenig sinnvoll und schlichtweg zu teuer, ein IT-Sicherheitsteam 24 Stunden an 365 Tagen vorzuhalten. Davon abgesehen, dass sich die Mitarbeiter sehr schnell langweilen würden und andauernd für neue Entwicklun-gen im Bereich Cybercrime geschult werden müssten. Managed-XDR-Dienstleister können sich aufgrund ihrer Erfahrung in der Regel schnell auf die sich ständig weiterentwickeln-de Bedrohungslandschaft einstellen und sind besser in der Lage, Unternehmen vor Cyberan-griffen zu schützen.FlexibilitätEin Managed-XDR-Dienstleister bietet eine hö-here Flexibilität, da er seine Dienstleistungen an die spezifischen Anforderungen und Bedürf-nisse eines Unternehmens anpassen kann. Ein internes IT-Sicherheitsteam kann hier mögli-cherweise nicht mithalten, besonders wenn es um die Integration neuer Technologie oder die Reaktion auf sich schnell entwickelnde Bedro-hungen geht. Gerade für kleine Unternehmen ist es aber wichtig, eine Lösung zu verwenden, die rund um die Uhr im Einsatz ist, Angriffe er-kennt und auch abwehrt. Es ist daher zu empfehlen, auf einen Managed-XDR-Anbieter zu setzen, der auf Angriffe re-agieren und diese neutralisieren kann, also auch einen Incidence-Response-Service gleich mit anbietet. FAZITDas IT-Sicherheitsgesetz 2.0 fordert Unterneh-men auf, bestimmte Sicherheitsmaßnahmen zu implementieren, um ihre IT-Infrastruktur und damit auch ihre Daten zu schützen. Eine umfas-sende Lösung zur Angriffserkennung ist hierbei ein wichtiger Bestandteil. Wie beschrieben, müssen Unternehmen, die unter das IT-SiG 2.0 fallen, bis zum 1. Mai 2023 technische Maßnahmen zur Angriffserkennung implementiert haben. Diese Deadline ist für viele aufgrund des herrschenden Fachkräftemangels im Bereich IT-Sicherheit und der anfallenden Kosten kaum zu bewältigen. Eine Lösung bieten hier Managed-XDR-Services. Insgesamt sind aufgrund der Anforderungen des IT-SiG 2.0 und der NIS-2-Richtlinie zukünftig Sys-teme wichtig, die skalierbar, einfach zu installie-ren und leicht zu warten sind. Die Lösung muss immer an die Bedürfnisse des Unternehmens angepasst sein. n

CYBERSICHERHEIT | XDR Vom Hype zur Lösung BEST PRACTICES FÜR XDR Sicherheitsteams haben heute mit einer Vielzahl von Bedrohungen im Cyberraum zu kämpfen, ein- schließlich Ransomware, Kryptojacking, Mal- ware, Phishing und diversen anderen Arten von Angriffen. Auch neuartige Techniken wie Deep Fakes und KI-gestützte Attacken nehmen zu und werden in Zukunft zu einer ernst zu neh- menden Gefahr, die sich immer schwerer ab- wehren lässt. Um dieser Bedrohungslage Herr zu werden, setzen Unternehmen oft auf spe- zialisierte Lösungen für einzelne Angriffsvek- toren, was jedoch nicht nur zu hohen Kosten, sondern auch zu einem Wildwuchs isolierter Tools führt und den Überblick erschwert. Zu- dem sind Sicherheitsdaten häufig in getrennten Silos gespeichert, und es fehlt der unverzicht- 54 IT-SICHERHEIT_2/2023 bare Kontext. Eine sinnvolle Integration all die- ser Tools und Elemente ist schwierig, teuer und oft schier unmöglich. In den letzten Jahren hat sich auf dem Markt der XDR-Ansatz etabliert, der es sich zur Aufgabe macht, diese Probleme zu lösen. Die Technik geht aus dem Endpoint-Detection-and-Res- ponse-(EDR)-Konzept hervor und erweitert die ursprünglich auf Endpunkte ausgelegte Funk- tionalität der Erkennung und Reaktion auch auf zusätzliche Elemente des Netzwerks wie Cloud- Workloads und -Anwendungen sowie IoT-Geräte. Während XDR zwar in der Regel als weitgehend autonome Lösung angepriesen wird, so ist es dennoch kein Selbstläufer, der auf Knopfdruck vollumfängliche Sicherheit garantiert. Es gilt einige Dinge zu beachten, wenn es darum geht, den bestmöglichen Nutzen aus der Technologie zu ziehen. Folgende Best Practices sollen Auf- schluss darüber geben, wie CISOs und Sicher- heitsteams XDR einsetzen sollten, um ihre Arbeit zu erleichtern und eine effektive Security-Strate- gie umzusetzen. 1. EIN SOLIDES EDR- FUNDAMENT ALS BASIS FÜR XDR XDR profitiert von einem starken EDR-Funda- ment. Es kann sich die Vorteile der Vorgänger- technologie – wie beispielsweise die detaillierte Telemetrie sowie Echtzeit-Erkennung und -Be- Innovationen in der IT-Branche sind allgegenwärtig und versprechen oft viel. Extended Detection and Response (XDR) ist ein Tool, das in den letzten Jahren an Bekanntheit gewonnen hat und zum neuen Schlagwort in der Sicherheitsbranche geworden ist. Es wird häufig als Lösung für die Schwächen vorhandener Securitywerkzeuge gesehen. Doch handelt es sich dabei nur um den nächsten kurzlebigen Hype oder tatsächlich um eine sinnvolle Technik? Wenn man sich an einige Best Practices hält, kann XDR Sicherheitsteams bei ihrer Arbeit in vielen Bereichen unterstützen und entlasten.Bild: ArtemisDiana - stock.adobe.com

hebung von Bedrohungen – zunutze machen und über den Endpunkt hinaus einen besseren Überblick und mehr Kontext bei der Bedro- hungsabwehr des gesamten Netzwerks schaf- fen. Warnungen, die sonst übersehen werden könnten, werden so frühzeitig erkannt und die Verantwortlichen können Maßnahmen ergrei- fen, bevor sich ein Problem ausweitet. Mit XDR lassen sich aggregierte Ereignisinformationen aus verschiedenen Tools und Services zu einem einzigen kontextualisierten Zwischenfall zusam- menfassen, um einen aussagekräftigen Über- blick über die IT des gesamten Unternehmens zu erhalten und autonome Prävention, Erkennung und Reaktion zu ermöglichen. Sicherheitsteams können auf diese Weise Cybervorfälle mit ein- heitlichen Maßnahmen angehen. Sicherheitsverantwortliche sollten auf einen so- liden Endpunktschutz als Basis für ein effektives XDR setzen. Mithilfe der zusätzlichen Fähigkei- ten von XDR können dann automatisierte Vor- gänge auf alle Ebenen des Netzwerks ausge- weitet werden und für ganzheitlichen Schutz sorgen, der den vielseitigen und ausgeklügelten Bedrohungen des Cyberraums Einhalt gebieten kann – über den Endpunkt hinaus auf allen po- tenziellen Angriffsflächen. 2. INTEGRATION DIVERSER TOOLS IN EINE ZUSAM- MENHÄNGENDE XDR-UMGEBUNG Mithilfe von XDR können bereits getätigte Si- cherheitsinvestitionen besser genutzt werden. Denn viele Unternehmen verfügen über isolierte Tools und Technologie in ihrem Security-Opera- tions-Center (SOC), deren Nutzen normalerweise begrenzt ist, durch die Integration in ein XDR- Konzept jedoch optimiert werden kann. Diese einzelnen Sicherheitstools decken jeweils einen bestimmten Bereich ab, erfordern aber intensi- ve Schulungen und belasten die SecOps-Teams zusätzlich. Außerdem kosten sie wertvolle Zeit. Der ständige Wechsel von Tool zu Tool bedeutet, dass jedes Mal eine neue Lernkurve begonnen wird, die mit eigenen Belastungen verbunden ist. Mit XDR können vorhandene Tools gemein- sam genutzt und über standardmäßige Integra- tionen vernetzt werden. Mithilfe von Appstore-ähnlichen XDR-Market- places ist es möglich, Integrationen für Dritt- anbietersysteme wie Security-Information- CYBERSICHERHEIT | XDR MATTHIAS CANISIUS ist Regional Sales Director Central Europe bei SentinelOne. IT-SICHERHEIT_2/2023 55 and-Event-Management-(SIEM)- oder „Security Orchestration, Automation and Response“-(SOAR)-Lösungen in Einklang mit XDR zu nutzen. Auch Lösungen für E-Mail-Sicherheit, Identi-tätsverwaltung und Cloud-Services können so mit wenigen Klicks in das XDR-System integriert werden. Das vereinfacht das Absichern jedes einzelnen Systems und ermöglicht die Ver-waltung von Warnungen über ein einziges Dashboard. Ein weiterer Vorteil ist, dass sich Integrationen auf diese Weise aktivieren und au-tomatisieren lassen, ohne dafür komplexen Code schreiben zu müssen.3. OPTIMIEREN DER EFFIZIENZ VON SICHER-HEITSTEAMSBedrohungen nehmen ständig zu, was zu einem enormen Arbeitsaufwand für Sicherheitsana-lysten führt. Der Mangel an qualifizierten Fach-kräften verschärft die Situation zusätzlich. Aus diesem Grund ist es wichtig, über Tools wie XDR zu verfügen, die die Arbeit der Sicherheitsanalys-ten durch Automatisierung erleichtern können. KI-basierte Verhaltensmodule ermöglichen es, automatisch zusammenhängende Aktivitäten zu erkennen und als einheitliche Warnungen zu korrelieren. Das reduziert die Anzahl der War-nungen, Klicks und Benutzeroberflächen und verbessert dadurch die Effizienz des SOC.Durch Integrationen von Threat-Intelligence-In-formationen aus Tausenden von Quellen können Bedrohungen schneller untersucht und kategori-siert werden. Zudem bietet XDR umfangreiche Bibliotheken mit kuratierten Threat-Hunting-Abfragen, die kontinuierlich aktualisiert werden, um neue und aktuelle Methoden und Bedrohun-gen schnell aufzudecken. XDR ist in der Lage, jedes Ereignis in Echtzeit zu indexieren und zeigt damit einen unmittelbaren Überblick über das Geschehen und die betroffenen Bereiche. Da-durch müssen Ereignisse nicht mehr aufwendig nachträglich zusammengestellt werden, wenn es bereits zu spät ist.4. EINFÜHRUNG MESS-BARER ERGEBNISSEEin nicht zu vernachlässigender Aspekt einer XDR-Lösung ist, dass sie einen definierten Zweck verfolgt und diesen auch in Form von konkre-ten Leistungskennzahlen (KPIs) messen und nachweisen kann. Angesichts der zunehmen-den Bedenken hinsichtlich Cyberbedrohungen fordern Vorstände vermehrt Belege dafür, dass ihr Unternehmen zuverlässig vor den neuesten Bedrohungen geschützt ist und Investitionen in die IT-Sicherheit angebracht sind. XDR bietet ein effektives Hilfsmittel zur Erkennung von Angriffstechniken und Taktiken. Die Technologie ist in der Lage, selbst gut getarntes Verhalten zu überwachen und dateilose Angriffe, laterale Be-wegungen und aktive Rootkits zu entdecken.Dank dieser Funktionen und Vorteile kann XDR die mittlere Erkennungsdauer (MTTD), die mitt-lere Untersuchungsdauer (MTTI) und die mittlere Reaktionsdauer (MTTR) verkürzen. Das gibt dem Vorstand die notwendige Sicherheit, dass das Unternehmen zuverlässig geschützt ist. Darüber hinaus steigert XDR die Effizienz und senkt die Kosten – vor allem im Vergleich zu kostspieligen und schlecht optimierten Silo-Lösungen.KEIN WUNDERMITTEL – ABER MEHR ALS EIN HYPEDie Welt der Cybersicherheit ist ständig im Wandel, weshalb es wichtig ist, neuen Trends skeptisch gegenüberzustehen. Trotzdem ist XDR mehr als nur ein kurzlebiger Hype, sondern ein neuer, moderner Ansatz, der Unternehmen dabei hilft, den Anforderungen der heutigen Cy-bersicherheit gerecht zu werden. Angesichts von unterbesetzten Teams und einer Überlastung durch Warnungen und Daten ist ein moderni-sierter Ansatz dringend notwendig. XDR bietet Unternehmen jeder Größe messbare Ergebnisse und ist insofern ein wichtiger Bestandteil mo-derner SOCs. Dafür müssen die Verantwortlichen ihre XDR-Tools allerdings richtig implementieren und später auch aktiv nutzen. n

CLOUD SECURITY | BASISSCHUTZ Cloud-Sicherheit: Schutzmaßnahmen der Anbieter allein genügen nicht UMSICHT IST BESSER ALS NACHSICHT L aut IBM kosten Datenschutzver- letzungen Unternehmen in den USA durchschnittlich 4,85 Millio- nen US-Dollar. Deutschland landet hinter den USA, dem Nahen Osten, Kanada und Groß- britannien auf dem fünften Platz. Doch nicht nur die hohen Kosten sollten Unternehmens- verantwortlichen zu denken geben, sondern auch, dass knapp die Hälfte aller Datenschutz- verstöße weltweit (45 Prozent) in der Cloud erfolgten. Umgebungen – wie passt das zusammen? Zum einen muss Unternehmensverantwortlichen bewusst sein, dass Cyberangriffe keine Frage des „ob“ sind, sondern des „wann“. Sie müssen damit rechnen, ins Visier von Betrügern zu ge- raten, unabhängig davon, ob sie in der Cloud oder mit einer lokal gehosteten Infrastruktur arbeiten. Das heißt, die Tatsache, dass fast je- der zweite Angriff in der Cloud stattfand, sagt zunächst wenig über die Sicherheit der Cloud aus. Dabei ist ein Versprechen der Cloud, dass sie mehr Sicherheit bieten soll als On-Premises- Stattdessen kommt es viel mehr auf den Reife- grad der Cloud-Sicherheit an. Nicht einmal ein Viertel der Unternehmen (23 Prozent) gibt laut IBM-Studie an, dass sie sich in einem ausgereif- ten Stadium befinden – sprich, dass sie Sicher- heitspraktiken konsequent in allen Bereichen anwenden. Dagegen haben 43 Prozent noch gar nicht damit angefangen oder befinden sich der- zeit in der Anfangsphase. Entsprechend höher sind ihre Kosten im Falle eines Datenschutzver- stoßes, genau wie die Zeit, die notwendig ist, um diese zu identifizieren und zu beheben. Ein Unternehmen mit hohem Reifegrad benötigt für beides im Durchschnitt 237 Tage, eine Firma ohne Cloud-Sicherheitspraktiken 345 Tage, also über 100 Tage länger. 56 IT-SICHERHEIT_2/2023 Nicht zuletzt hat die COVID-19-Pandemie Remote-Work und damit der Nutzung cloud basierter Kollaborationstools Auftrieb gegeben. Doch auch wenn Cloud-Lösun-gen oft sicherer sind als On-Premises-Infrastrukturen, bieten sie Kriminellen einige Angriffspunkte. Dennoch verlassen sich viele Unternehmen ausschließlich auf die Sicherheitsmaßnahmen der Cloud-Anbieter. Unser Autor erklärt, warum das keine gute Idee ist und welche grundlegenden Schutzvorkehrungen für die Cloud nötig sind.

Die Konsequenz sollte für Unternehmen daher sein, baldmöglichst umfassende Sicherheits- maßnahmen für ihre Cloud-Umgebungen zu implementieren und sich nicht allein auf die Basisschutzvorkehrungen der Cloud-Anbieter zu verlassen. Denn diese können sich im Fall ei- nes Cyberangriffs schnell als nicht ausreichend erweisen. KOMPLEX UND TEUER? Eine aktuelle GBS-Studie zeigt allerdings, dass die zunehmende Komplexität durch die Einfüh- rung neuer Lösungen (40 Prozent) sowie dro- hende hohe Kosten (23 Prozent) die Unterneh- men dabei vor Herausforderungen stellen. Das gilt besonders für kleine und mittlere Unterneh- men, die oft über vergleichsweise geringe per- sonelle und finanzielle Ressourcen für IT-Sicher- heit verfügen. Doch sie können sich nicht darauf verlassen, dass sich Cyberkriminelle ausschließ- lich auf Konzerne konzentrieren. Auch kleine und mittlere Unternehmen können bekanntlich ein attraktives Ziel sein. Dementsprechend sollten Unternehmen jeder Größe ihre Cloud-Sicherheit priorisieren und die notwendigen Ressourcen bereitstellen. Der finanzielle Aufwand mag dabei hoch erschei- nen, doch die Kosten im Falle eines erfolgreichen Angriffs und Datenschutzverstoßes sind oft ungleich höher. Und ein möglicher Reputations- und Vertrauensverlust unter Kunden, Mitarbei- tenden und Partnern kann ebenfalls schwerwie- gende Konsequenzen haben. ROLLEN UND ZUGRIFFE MANAGEN Welche Maßnahmen aber sind am wichtigs- ten und schränken die Mitarbeitenden in ihrem Arbeitsalltag nicht zu sehr ein? Beispielsweise verbieten 15 Prozent der von GBS befragten Un- ternehmen grundsätzlich die Zusammenarbeit mit externen Nutzern auf ihren digitalen Platt- formen. Das erschwert den Austausch mit Part- nern oder Kunden und Mitarbeitende weichen häufig auf andere Kommunikationswege aus, die schlechter oder gar nicht geschützt sind. Folglich ist der überwachte Zugang für externe Nutzer zu den internen IT-Strukturen im Grunde sicherer, oft aber mit höherem Kommunika- tions- und Arbeitsaufwand verbunden. Für sol- che Unternehmen, in denen mehrere Rollen und Zugriffsarten wichtig sind, ist daher ein Iden- CLOUD SECURITY | BASISSCHUTZ THOMAS BRUSE ist Senior Vice President bei GBS Europa GmbH (Tochter- unternehmen von DIGITALL). IT-SICHERHEIT_2/2023 57 tity-and-Access-Management-(IAM)-System sinnvoll, um zu kontrollieren, was mit Nutzern und Zugängen geschieht. Ein IAM ermöglicht es, Prozesse, Richtlinien und Systeme einzu-richten, um Identitäten nahezu in Echtzeit und automatisch zu verwalten – sowohl für externe (Customer-Identity-and-Access-Management, CIAM) als auch interne Nutzer (IAM). Gleichzeitig können die Verantwortlichen so sicherstellen, dass Rollen und Zugriffsrechte den richtigen Be-nutzern im richtigen Kontext zugewiesen oder entzogen werden. Damit hat beispielsweise ein Buchhalter nicht dieselben Zugriffsrechte wie ein Vertriebsspezialist, auch wenn sie dieselben Tools verwenden.Beim IAM müssen sich die Nutzer zunächst au-thentifizieren, wobei einfache Abfragen von Be-nutzername und Passwort, aber auch eine Mul-ti-Faktor-Authentifizierung eingesetzt werden können. Die Autorisierung definiert, auf welche Systeme, Anwendungen oder Daten sie zugrei-fen dürfen. Die entsprechenden Regeln und Rollenkonzepte sind meist in einer Datenbank hinterlegt und können von Administratoren an-gepasst werden. Eine gute IAM-Implementie-rung verbessert sowohl Sicherheitsprozesse als auch Arbeitsabläufe. Gleichzeitig ermöglicht es der IT-Abteilung, flexibel und agil auf Änderun-gen zu reagieren sowie Sicherheitsrichtlinien und Konformitäten einzuhalten. Auf diese Weise gibt das IAM mehr Kontrolle über die Identitäten in- und außerhalb des Unternehmens, erhöht die Sicherheit und verringert die Arbeitsbelas-tung der IT-Abteilung.E-MAILS SCHÜTZENDa Unternehmen die Cloud aber oft nicht nur als Kollaborationsplattform nutzen, sondern zu-dem als E-Mail-Server und -Archiv, gilt es auch hierfür Sicherheitsmaßnahmen zu implemen-tieren. Viele verschlüsseln beispielsweise ihre Daten oder überprüfen automatisch importierte Dateien mithilfe des internen Virenscanners des Cloud-Anbieters, um sicherzustellen, dass sie keine Malware enthalten. Um Lücken einzel-ner Hersteller auszuschließen, können Unter-nehmen auch mehrere Anti-Malware-Scanner parallel einsetzen. Zudem lassen sich mithilfe von Spam-Engines als weitere Sicherheitsstu-fe eingehende E-Mails mit bekannten Spam-Signaturen vergleichen. Diese Schritte erfolgen, ohne dass die Mitarbeitenden involviert sind. Erst wenn (potenziell) risikobehaftete E-Mails entdeckt werden, müssen sie eingreifen: Diese E-Mails werden unter Quarantäne gestellt, da-mit anschließend die IT-Abteilung oder eben der Adressat selbst entscheidet, ob sie tatsächlich eine Gefahr darstellen.SICHERHEITSBEWUSST-SEIN SCHAFFENNeben konkreten Maßnahmen, die die Sicher-heit der Cloud erhöhen sollen, müssen Unter-nehmen aber auch ihre eigenen Mitarbeitenden in den Blick nehmen. Denn Cyberkriminelle ma-chen sich oft deren Unwissenheit, Unsicherheit oder Unbedachtheit zunutze, um sich Zugang zu internen Systemen zu verschaffen. Regel-mäßige Trainings sind daher zielführend, um ein Bewusstsein für entsprechende Risiken zu schaffen und dauerhaft hochzuhalten. Hier zeigt die GBS-Studie Nachholbedarf: Nicht einmal jedes zweite Unternehmen (46 Prozent) führt Schulungen für sicherheitsbewusstes Verhalten durch. Immerhin 55 Prozent setzen (auch) auf eine kontinuierliche Kommunikation zu diesem Thema, doch praktische Beispiele und Übungen können den Lerneffekt deutlich erhöhen. 16 Pro-zent glauben dagegen, dass sie über technische Maßnahmen bereits ausreichend geschützt sind. Doch Cyberkriminelle sind immer geschickter darin, ihre Opfer zu manipulieren, sodass diese die technischen Hürden umgehen. Unternehmen sollten sich deshalb nicht allein auf die Technologie verlassen – egal, wie aus-gereift diese ist. Ein Höchstmaß an Sicherheit erreichen sie nur, wenn Mensch und Technologie zusammenarbeiten und im gesamten Unter-nehmen ein großes Bewusstsein für mögliche Vorgehensweisen und Einfallstore der Cyber-kriminellen besteht. Nur dann können Angriffe erfolgreich erkannt und schnellstmöglich abge-wendet werden. nBild: losmostachos - stock.adobe.com; kanpisut - stock.adobe.com

AUS DER FORSCHUNG | VERTRAUENSWÜRDIGKEIT Kriterien für das Vertrauen von Anwenderunternehmen in Hersteller und deren IT-Sicherheitslösungen OHNE VERTRAUEN GEHT ES NICHT Die Beschaffung von IT-Sicherheitslösungen ist für Unternehmen oft eine Herausforderung. So führt die Komplexität der Systeme dazu, dass die für eine Kaufentscheidung erforderlichen Kompetenzen und Informationen nicht immer vorhanden sind. Grundvoraussetzung für eine erfolgreiche Geschäftsbeziehung ist deswegen ein valides Vertrauensverhältnis zwischen Anwender- und Herstellerunternehmen. Das setzt jedoch voraus, dass die Herstellerunternehmen vertrauenswürdig auftreten und im Interesse ihrer Kunden handeln. Eine Studie der Westfälischen Hochschule Gelsenkirchen hat untersucht, welche Vertrauenskriterien Kunden bei Herstellern und deren Produkten wichtig sind. So ist zum Beispiel ein Hersteller bei den Kunden unten durch, wenn er zu viele Buzzwords nutzt. 58 IT-SICHERHEIT_2/2023

Vertrauen gilt als hoffnungsvoller Vorschuss hinsichtlich bestimmter Erwartungen, den allgemein jemand bereit ist, zu geben. Somit kann Vertrauen auch als Bereitschaft des Anwenders/Kunden (als Ver- trauensgeber) deﬁniert werden, sich durch die Interaktion mit einem Hersteller- unternehmen und seiner IT-Lösung (als Vertrauensnehmer) einem bestimmten Risiko auszusetzen, da er nicht weiß, ob seine Annahme zutreffend und gerecht- fertigt ist. Vertrauenswürdigkeit kann sich grundsätzlich sowohl auf Herstellerunter- nehmen als auch auf IT-Sicherheitslösungen beziehen. Vertrauenswürdigkeit basiert auf der Annahme, dass es möglich ist, sich auf etwas Bestimmtes verlas- sen zu können. . m o c . e b o d a k c o t s - n r o k n u h k : d l i B Abbildung 1: Vertrauenswürdigkeits-Modell Einer IT-Sicherheitslösung kann man bezüglich verbriefter Attribute und/oder Funktionalität vertrauen, wenn Herstellerunternehmen einen Nachweis für die Erfüllung der zugesicherten Ei- genschaften vorlegen. Die Vertrauenswürdigkeit eines Herstellerunternehmens entsteht dadurch, dass diesem zugetraut wird, geeignete Maß- nahmen durchzuführen sowie (Management-) Strukturen zu etablieren, um die Erwartungen ihrer Kunden/Anwender zu erfüllen. IT-SICHERHEIT_2/2023 59 AUS DER FORSCHUNG | VERTRAUENSWÜRDIGKEITwürdigkeits-Aspekte für die Anwenderunter-nehmen sowie eine gute Innenansicht bezüglich deren spezifischer Ausgestaltung. Grundsätzlich hat sich eines gezeigt: Anwenderunternehmen haben ein großes Interesse daran, dass ihnen sowohl für die Herstellerunternehmen als auch für deren Produkte definierte Kriterien – die sie im Sinne der Vertrauenswürdigkeit als wichtig erachten – mittels eines objektivierbaren Sche-mas präsentiert werden. Während es in der Ver-gangenheit Anwendern genügte, dass Hersteller-unternehmen eine gewisse Größe hatten und gut etabliert waren, erfordert die zunehmende Digitalisierung und die daraus resultierende Komplexität, dass künftig der Vertrauenswür-digkeit ein weitaus höherer Stellenwert einge-räumt werden muss. Doch worauf gründet sich das Vertrauen der Kunden und wie ist es für Herstellerunternehmen möglich, ihre Vertrau-enswürdigkeit zu demonstrieren[1]? Eine verbreitete These ist, dass sich Vertrauens-würdigkeit nicht nachweisen lässt. Um das zu widerlegen und die relevanten Kriterien für ein valides Vertrauensverhältnis identifizieren zu können, haben Mitarbeiter des if(is) in einer se-lektiven Befragung Anwenderunternehmen um ihre Einschätzung hierzu gebeten. Insgesamt nahmen 35 IT-Verantwortliche teil, darunter befanden sich sowohl Start-ups mit weniger als zehn Mitarbeitern als auch Tech-nologiekonzerne mit mehreren Milliarden Euro Umsatz pro Jahr. Ein Auswahlkriterium bestand darin, ein breites Spektrum an Anwenderun-ternehmen abzudecken – unter anderem aus den Branchen Telekommunikation, Energie, Gesundheit und Bildung – um einen möglichst umfassenden Eindruck zu erhalten. Methodisch wurden zunächst offene Fragen zur Vertrau-enswürdigkeit gestellt, um einen unvoreinge-nommenen Einblick zu erhalten. Anschließend bewerteten die Befragten anhand geschlossener Fragen ihre substanziellen Kriterien zu verschie-denen Kategorien. Basis für die Befragung bildet ein wissenschaft-liches Modell (vgl. Abbildung 1), in dem die re-levanten Aspekte und Schnittstellen zwischen Anwendern und Herstellern mit dem Ziel mo-delliert wurden, ein Höchstmaß an Vertrauen zu schaffen [2]. Die definierten Aspekte wurden den Anwenderunternehmen vorgelegt, um deren Signifikanz in Bezug auf Vertrauenswürdigkeit zu ermitteln.Trotz des nicht repräsentativen Stichprobenum-fangs konnten interessante Erkenntnisse her-auskristallisiert werden:Insgesamt gewährt die Befragung einen tieferen Einblick in die Relevanz einzelner Vertrauens-

AUS DER FORSCHUNG | VERTRAUENSWÜRDIGKEIT DAS BEDÜRFNIS AN CYBER-SICHERHEIT IST HOCH Besonders augenfällig ist das ausgeprägte Cyber-Sicherheitsbedürfnis der An- wenderunternehmen. Zertiﬁzierungen der Herstellerunternehmen und IT- Sicherheitslösungen, ganzheitliche IT-Sicherheitskonzepte und unabhängige Prüfberichte zählen zu den fünf am häuﬁgsten genannten Kriterien. So ist eine schnelle Versorgung mit Informationen rund um die elementaren IT-Sicher- heitsthemen für die meisten Anwenderunternehmen zwingend erforderlich. Dabei wünschen sich die Anwender vor allem eine Aufklärung über neue Bedro- hungen und Restrisiken. Durch den offenen Umgang mit diesen Informationen handeln die Hersteller verantwortungsvoll und beweisen Mut, da diese Offen- heit auch eine potenzielle Angriffsﬂäche bieten könnte. Abbildung 2: Wichtige Vertrauenswürdigkeits-Aspekte der Hersteller 60 IT-SICHERHEIT_2/2023 Im Folgenden werden die wichtigsten Ergebnis-se der Anwenderbefragung dargestellt. DIE VERTRAUENS-WÜRDIGKEITS-ASPEKTE DES UNTERNEHMENSDie Vertrauenswürdigkeits-Aspekte, die bei einem Unternehmen für das Aufbauen von Ver-trauenswürdigkeit eine substanzielle Rolle spie-len, sind: Zutrauen, Zuverlässigkeit, Integrität und Sicherheit. Abbildung 2 zeigt die wichtigsten Vertrauenswürdigkeits-Aspekte für die Herstel-ler insgesamt und die Bewertungen der Anwen-derunternehmen.Zutrauen Generell kann Zutrauen zu einem Hersteller im Hinblick auf die Funktionalität der IT-Sicherheits-lösung dadurch erzeugt werden, dass er sowohl über die Fähigkeit als auch die entsprechenden Mittel verfügt, um qualitativ hochwertige und verlässliche IT-Sicherheitslösungen bereitzu-stellen. Dazu zählen qualifizierte Mitarbeiter, Qualitätsstandards in der Entwicklung, die ver-fügbaren Betriebsmittel und Ausgaben für die IT-Sicherheit. Qualifizierte Mitarbeiter sind aus Sicht der Be-fragten das wichtigste Kriterium im Hinblick auf den Vertrauenswürdigkeits-Aspekt Zutrauen. Sie stehen für die Kompetenzen, die bei der Entwicklung, aber auch für den Betrieb der IT-Sicherheitslösung zur Verfügung stehen. Zur notwendigen Qualifizierungsoffensive gehö-ren unter anderem regelmäßige Trainings und Schulungen, um möglichst schnell auf Verän-derungen reagieren zu können. Zwischen der Beschäftigungsdauer der Befragten und ihrer Einschätzung der Relevanz von qualifizierten Mitarbeitern ist eine deutliche Korrelation zu erkennen – je länger die IT-Verantwortlichen schon in der entsprechenden Position sind, des-to mehr Bedeutung maßen sie diesem Kriteri-um bei. Auch die Höhe der Qualitätsstandards in der Entwicklung ist ein substanzieller Indikator für eine verlässliche IT-Sicherheitslösung. Kun-denreferenzen und Case-Studies stellen Praxis-bezug her und erhöhen so zusätzlich das Zu-trauen. Die Markt-Etablierung und Bekanntheit des Herstellers spielen eine eher untergeordne-te Rolle und werden meist nur dann betrachtet, wenn keine anderen verlässlichen Kriterien zur Verfügung stehen.Unseriöse Angebote und aggressive Marktstra-tegien wirken sich negativ auf das Zutrauen aus ebenso wie die häufige Verwendung von Buzz-words. Anwender bevorzugen Hersteller, die sich transparent und seriös präsentieren.ZuverlässigkeitDie Zuverlässigkeit eines Herstellers zeichnet sich dadurch aus, dass deren IT-Sicherheitslö-sungen nur Prozesse ausführen, die seitens des Anwenders gewünscht sind. Das impliziert, dass Hersteller grundsätzlich wohlwollend sind und im besten Sinne ihrer Anwender handeln, anstatt ihre eigenen Bedürfnisse in den Mittelpunkt zu

AUS DER FORSCHUNG | VERTRAUENSWÜRDIGKEIT WELCHE BEDEUTUNG HABEN ZERTIFIZIERUNGEN? Während Zertiﬁzierungen bei den offenen Fragen mit am häuﬁgsten genannt werden, wird ihnen im direkten Vergleich zu anderen Kriterien eine deutlich geringere Relevanz beigemessen. Der Ursprung dieses vermeintli- chen Widerspruchs könnte daran liegen, dass Anwenderunternehmen meist keine anderen aussagekräftigen Bewertungsgrundlagen zur Verfügung stehen. So werden transparente Informationen über eine langfristige IT-Si- cherheitsstrategie [3] oder die verwendeten Cyber-Sicherheitsmechanismen als deutlich relevanter für die Bewertung der Vertrauens- würdigkeit angegeben. Sicherlich sind Zerti- ﬁkate in besonders kritischen Anwendungs- fällen absolut notwendig, doch letztendlich nicht maßgeblich an der Vertrauensbildung zwischen Anwender- und Herstellerunter- nehmen beteiligt. m o c . e b o d a k c o t s - v o . l i g a m s i s i n e d : d l i B IT-SICHERHEIT_2/2023 61 stellen. Dabei sind vor allem zwei Faktoren von Relevanz: Erstens kooperatives Handeln, um die wahren Bedürfnisse der Anwender besser identifizieren zu können und bei Problemstel-lungen den Anwender individuell zu unterstüt-zen. Zweitens verantwortliches Handeln, um durch den richtigen Einsatz von Funktionen – die zum Vorteil der Anwender sind – für diese einen Mehrwert zu schaffen.Das zeitnahe Kommunizieren von Informatio-nen über gravierende Schwachstellen und die schnellstmögliche Bereitstellung von Sicher-heitspatches sind, laut der Befragten, die wich-tigsten Kriterien für die Vertrauenswürdigkeit des Herstellers. Über 80 Prozent der Anwender bewerteten dies als sehr wichtig. Mit dieser offenen Form der Kommunikation beweisen die Hersteller Verantwortungsbewusstsein im Sinne ihrer Anwender. Ebenfalls ist es aus Sicht der Anwender elementar, dass Hersteller sie über neu aufgetretene Angriffsmöglichkeiten in Kenntnis setzen. Insgesamt hat für Anwen-der das Informationsmanagement eine hohe Bedeutung – sie erwarten eine unmittelbare Aufklärung über neuartige Angriffsvektoren und einen strategischen Überblick über den Produktlebenszyklus. Zudem ist ein ausgewogenes Verhältnis zwi-schen den Interessen der Anwender auf der einen und des Herstellers auf der anderen Seite entscheidend. Durch eine partnerschaftliche Ko-operation auf Augenhöhe ergibt sich eine Win-Win-Situation, also beide Parteien partizipieren gleichermaßen. Ein zu hoher Fokus auf Shareholder Value bezie-hungsweise Eigeninteressen sowie aggressive Marktstrategien sprechen aus Sicht der Anwen-der gegen die Zuverlässigkeit eines Herstellers und sorgen für einen Vertrauensverlust.IntegritätUnter dem Aspekt Integrität werden insbeson-dere ethische Dimensionen betrachtet. Dabei ist es wichtig, dass ein Hersteller prinzipiell in der Lage ist, alle Versprechen, die er gegeben hat, auch einhalten zu können. Das betrifft sowohl den Umgang mit Kundendaten als auch die Berücksichtigung von Normen und Werten der Gesellschaft. Die Integrität eines Herstellers ist aus Sicht der Anwender eng mit seiner Transparenz verknüpft – hier wird in erster Linie die Offenlegung des Geschäftsmodells als sehr wichtig erachtet. Hiervon betroffen sind primär datengetriebe-ne Geschäftsmodelle, die die Auswertung von Nutzerinformationen miteinschließen. Des Wei-teren spielt sowohl die Einhaltung der ethischen Grundsätze als auch der Datenschutzrichtlinien eine bedeutende Rolle für die Anwender. Eine gemeinsame rechtliche Basis ist für die Anwen-der eine Grundvoraussetzung, besonders die Einhaltung der Datenschutzgrundverordnung. Informationen über die Einschränkung der IT-Sicherheitsfunktionen – etwa schwache Zu-

AUS DER FORSCHUNG | VERTRAUENSWÜRDIGKEIT Abbildung 3: Wichtige Vertrauenswürdigkeits-Aspekte von IT-Sicherheitslösungen 62 IT-SICHERHEIT_2/2023 . m o c . e b o d a k c o t s - n n a m k r e B l i e n a D : n o i t a r t s u l l I fallszahlengeneratoren, Verschlüsselungen oder weitere Kryptografie-Verfahren sowie einge-baute Backdoors – sind extrem relevant und sollten den Anwendern definitiv vorliegen, damit sie eine informierte Entscheidung bezüglich der Nutzung fällen können. Aufgrund der Nichtbe-achtung von Datenschutz und das Geheimhal-ten von IT-Sicherheitsvorfällen klassifizieren Anwender einen Hersteller als nicht vertrauens-würdig ein. IT-SicherheitDer Vertrauenswürdigkeits-Aspekt IT-Sicherheit beinhaltet alle Maßnahmen, die ein Hersteller ergreifen muss, um sowohl das Unternehmen als auch die IT-Sicherheitslösung vor potenziel-len Angreifern zu schützen. Dies umfasst unter anderem eine adäquate IT-Sicherheitsrichtlinie, um den bestmöglichen Schutz gewährleis-ten zu können – dabei sollten auch regelmä-ßige Überprüfungen der IT-Sicherheitslösung und des Herstellerunternehmens zur Reduzie-rung möglicher Angriffsvektoren berücksichtigt werden. Die generelle Erwartungshaltung der Anwender ist, dass IT-Sicherheit nicht nur auf die IT-Sicherheitslösung angewandt, sondern als fester Bestandteil der Unternehmenskultur des Herstellers etabliert wird. Zudem sollten sich die Hersteller bei der Umsetzung an europäischen Sicherheitsstandards orientieren.Speziell im Kontext der Unternehmenssicher-heit erachten die Anwender eine langfristige IT-Sicherheitsstrategie als substanziell. Sie ist zwingend notwendig, um die kontinuierliche Leistungsfähigkeit und den Schutz der IT-Si-cherheitslösung gewährleisten zu können – hier insbesondere durch das Schwachstellen- und Incident-Management. Das insgesamt große Cy-ber-Sicherheitsbedürfnis spiegelt sich darin wi-der, dass sie von einem Herstellerunternehmen ganzheitliche IT-Sicherheitskonzepte erwarten sowie Zertifizierungen und unabhängige Prüf-berichte. Aber auch das aktive und regelmäßi-ge Überprüfen auf Schwachstellen mithilfe von Penetrationstests, Red-Teams und Bug-Bounty-Programmen – auch innerhalb der IT-Sicher-heitslösung – betrachten sie als wichtig. VERTRAUENSWÜRDIG-KEITS-ASPEKTE DER IT-SICHERHEITSLÖSUNGDie Vertrauenswürdigkeits-Aspekte der IT-Sicherheitslösung sind Transparenz, Leistungs-fähigkeit und Zweckprägnanz. In Abbildung 3 werden die wichtigsten Vertrauenswürdigkeits-Aspekte für die IT-Sicherheitslösungen und die Bewertungen der Anwenderunternehmen dar-gestellt.TransparenzTransparenz bedeutet in diesem Kontext, dass alle relevanten Informationen zur Gewährleis-tung der Cybersicherheit durch die IT-Sicher-heitslösung beschrieben werden. Dies beinhaltet auch die Aufklärung über potenzielle und vor-handene Restrisiken. Ein wesentlicher Bestandteil für die Transparenz der IT-Lösung ist die Darstellung von ange-wandten Cyber-Sicherheitsmechanismen, die zum Schutz der Lösung beitragen. Die Aufklä-rung über die verbleibenden Restrisiken erach-ten die Anwender als das wichtigste Kriterium für die IT-Sicherheitslösung im Allgemeinen. Das ermöglicht, potenzielle Gefährdungen im geplanten Einsatzszenario frühzeitig zu erken-nen und geeignete Maßnahmen zu planen. Die Anwenderunternehmen legen ebenfalls großen Wert darauf, dass sie sowohl über Sys-temberechtigungen als auch den Einsatz von Online-Updates informiert werden. Auch eine transparente Darstellung von Zertifikaten der IT-Sicherheitslösungen ist wünschenswert. Ein hohes Maß an Intransparenz verhindert den Aufbau von Vertrauen zum Hersteller. Um das zu verhindern, sollten diese möglichst genaue Auskunft über IT-Sicherheitsmechanismen, ver-wendete Code-Bausteine und Systemberech-tigungen geben. Dadurch werden eventuelle Inkompatibilitäten für den Anwender schnell erkennbar. LeistungsfähigkeitLeistungsfähigkeit beschreibt, was die Anwen-derunternehmen unmittelbar erfassen und auch kontrollieren können. Daraus ergeben sich die messbaren Kriterien für eine Beurteilung, ob die IT-Sicherheitslösung für den beabsichtigten Einsatzzweck tatsächlich geeignet ist. Dazu zäh-len im Weiteren auch die Bedienbarkeit und die Interoperabilität. Bei der Leistungsfähigkeit erwarten die Anwen-derunternehmen an erster Stelle eine detaillierte Leistungsbeschreibung und eine darauf ange-passte Anleitung. Dabei sollten diese auch die entsprechenden Informationen zu Limitationen der IT-Sicherheitslösung enthalten. Analog zu den möglichen Restrisiken ist die Offenlegung von Einschränkungen essenziell für die Planung des Einsatzes und gibt Auskunft über potenziel-

DIE GRENZEN DER FUNKTIONALITÄT KLAR VERDEUTLICHEN Nicht nur die Darstellung von dem, was die IT-Sicherheitslösung tat- sächlich leistet, sondern beson- ders Informationen darüber, was sie nicht erfüllt, welche Restrisiken noch bestehen und wie Anwen- derunternehmen damit umgehen können, tragen einen beachtlichen Anteil zur Bewertung der Vertrau- enswürdigkeit bei. Ebenso wird die Bereitstellung von Informationen zu potenziellen Angriffsvektoren und Darstellung von Limitationen und Kompatibilitäten von Anwendern für sehr relevant befunden. Die exakte Deﬁnition und Abgrenzung der Rah- menbedingungen und Offenheit über den Umfang der Funktionali- tät demonstriert, dass die Hersteller sich verantwortlich fühlen und im besten Sinne der Anwender handeln möchten. MARCEL BRAUER studiert im Master Internet-Sicherheit an der Westfälischen Hochschule Gelsenkirchen und beschäftigt sich im Rahmen des Studiums mit Vertrauen und Vertrauenswürdigkeit. ULLA COESTER ist Doktorandin und Leiterin des Forschungsprojektes „Vertrauenswür- digkeits-Plattform für KI-Anwendun- gen und Datenräume im Institut für Internet-Sicherheit – if(is) an der Westfälischen Hochschule in Gelsen- kirchen. Literatur [1] N. Pohlmann: Grundlagen zur Vertrauenswürdigkeit und Vertrauenswürdigkeitsmodell, https://norbert-pohlmann.com/glossar-cyber- sicherheit/vertrauenswuerdigkeit/ [2] U. Coester, N. Pohlmann: „Vertrauenswürdigkeit schafft Vertrauen – Vertrauen ist der Schlüssel zum Erfolg von IT- und IT- Sicherheitsunternehmen“, DuD Datenschutz und Datensicherheit – Recht und Sicherheit in Informationsverarbeitung und Kommunikation, Vieweg Verlag, 2/2022 [3] N. Pohlmann: „Cyber-Sicherheit – Das Lehrbuch für Konzepte, Mechanismen, Architekturen und Eigenschaften von Cyber- Sicherheitssystemen in der Digitalisierung“, Springer-Vieweg Verlag, Wiesbaden 2022 [4] Website des if(is) zum Thema Vertrauenswürdigkeit und Vertrauenswürdigkeits-Plattform: https://vertrauenswürdigkeit.com/ NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet-Sicher- heit – if(is) an der Westfälischen Hoch schule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundesver- bands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverbandes – eco. IT-SICHERHEIT_2/2023 63 le Inkompatibilitäten von Hard- und Software. Geeignete Benchmarks unterstützen die An-wender bei der Wahl einer adäquaten IT-Sicher-heitslösung. Werkzeuge, die diese Funktionalität bereitstellen, sind ebenfalls sehr gefragt. Unzu-verlässige oder fehlerhafte Software schaden nicht nur dem Anwenderunternehmen, sondern wirken sich auch negativ auf die Reputation des Herstellers aus. ZweckprägnanzDie Zweckprägnanz manifestiert sich im Ver-wendungszweck der IT-Sicherheitslösung. Das bedeutet, dass bei der Entwicklung von Funktio-nen die Intention der IT-Sicherheitslösung genau definiert ist. Inkludiert eine IT-Sicherheitslösung neben der eigentlichen Anwendung weitere Features, die nur im Sinne des Herstellerunter-nehmens oder dritter Parteien sind, müssen die-se klar dargestellt und beschrieben werden. Die Offenlegung aller Funktionen, besonders wenn diese die Verarbeitung von Nutzerinfor-mationen einschließen, ist ein zentraler Be-standteil der Zweckprägnanz. Der Einsatzzweck der IT-Sicherheitslösungen muss aus Sicht der Anwenderunternehmen exakt dargestellt wer-den. Generell sollten dabei nur Funktionen zum Einsatz kommen, die im Rahmen der Erfüllung der Leistungsbeschreibung notwendig sind. Insbesondere bei der Verarbeitung von Nutze-rinformationen – zu denen zählen in diesem Fall neben persönlichen Daten auch sensible Firmeninterna – ist es aus Sicht der Anwender als vertrauensbildende Maßnahme wichtig, über entsprechende Vorgänge informiert zu werden. Zudem ist es für Anwender elementar, dass Herstellerunternehmen sie frühzeitig darüber in Kenntnis setzen, wenn sie neue Features ein-führen. Sie erwarten ebenfalls eine transparen-te Auskunft über verwendete Algorithmen mit künstlicher Intelligenz, einschließlich der dafür verwendeten Daten. Den Abfluss von sensiblen Nutzerdaten erachten Anwenderunternehmen als kritisch für die Ver-trauenswürdigkeit. Daher sollte die Verarbeitung von Nutzerinformationen klar dokumentiert und kommuniziert werden.FAZIT Die Fähigkeit zu Vertrauen ist tief in uns ver-wurzelt und lässt sich auch auf den digitalen Raum übertragen. Dazu ist es allerdings not-wendig, eine Vielzahl von Informationen bereit-zustellen, die Anwenderunternehmen dabei un-terstützen, Vertrauen zum Hersteller aufbauen zu können. Aus den Ergebnissen der selektiven Befragung geht hervor, dass die zur Verfügung gestellten Informationen den objektiven Nut-zen für den Anwender klar darstellen, aber auch Risiken detailliert aufgeführt werden müssen. Zudem sehen die meisten Anwenderunterneh-men eine Vertrauenswürdigkeits-Plattform[4], auf der sich Herstellerunternehmen mit ihren IT-Sicherheitslösungen transparent gemäß den Vertrauenswürdigkeits-Aspekten präsentieren, als sehr hilfreich an, um die Vertrauenswürdig-keit eines Herstellers detailliert einschätzen zu können. nAUS DER FORSCHUNG | VERTRAUENSWÜRDIGKEIT

BUCHBESPRECHUNG Management von Cyber- Risiken: Ein Handbuch für die Unternehmensleitung Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das Handbuch „Management von Cyber-Risiken" umfassend aktualisiert. In der neuen Fassung wurde ein weiteres Prinzip zum Schutz ganzer Branchen eingeführt und eine Toolbox ergänzt. C yber-Angriffe auf Unternehmen sind an der Tagesordnung, die Bedrohungslage ist so hoch wie nie zuvor. Unternehmensleitungen müssen sich dessen bewusst sein und Cyber-Sicherheit zu einem festen Bestandteil des Risikoma- nagements machen. Denn IT-Sicherheitsver- antwortliche benötigen die Unterstützung und das richtige Verständnis seitens der Unter- nehmensleitung. Dafür ist eine ganzheitliche Betrachtung von Cyberrisiken notwendig. Dies spiegele sich, so das BSI, in den sechs Cyber- Sicherheitsprinzipien wider, die das Handbuch präsentiert: PRINZIP 1 Die Unternehmensleitung muss die Cyber-Si- cherheit nicht nur als IT-Risiko, sondern als stra- tegisches Unternehmensrisiko verstehen und angehen. PRINZIP 2 Die Unternehmensleitung sollte die rechtlichen Auswirkungen von Cyber-Risiken in Bezug auf die individuellen Anforderungen ihres Unterneh- mens verstehen. 64 IT-SICHERHEIT_2/2023 PRINZIP 3 Die Unternehmensleitung sollte einen angemes- senen Zugang zu Cyber-Sicherheits-Expertise fordern. Diskussionen über Cyber-Risikoma- nagement sollten regelmäßig und in angemes- senem Umfang auf die Tagesordnung gesetzt werden. PRINZIP 4 Die Unternehmensleitung sollte die Erwartung formulieren, dass das Management einen un- ternehmensweiten Rahmen für das Cyber-Risi- komanagement mit adäquater Personalausstat- tung und angemessenem Budget schafft. PRINZIP 5 Im Austausch zwischen Unternehmens leitung und Management über Cyber-Sicherheit sollte die Identifizierung und Quantifizierung der finanziellen Kosten in Bezug auf Cyber-Risiken diskutiert werden. Insbesondere sollte die Frage besprochen werden, welche Risiken akzeptiert, gemindert oder übertragen werden sollen, zum Beispiel durch eine Versicherung, sowie spezifische Pläne, die mit jedem Ansatz verbunden sind. PRINZIP 6 Die Unternehmensleitung sollte die Zusammen- arbeit innerhalb ihrer Branche und mit öffentli- chen und privaten Akteuren fördern, um sicher- zustellen, dass jede Institution die Resilienz aller unterstützt. Die zweite Auflage wird zudem von einem „Toolkit für das Management von Cyber-Risiken“ begleitet. Darin werden die Cyber-Sicherheits- prinzipien mit konkreten Handlungsempfehlun- gen untermauert und näher erläutert. So gibt es beispielsweise zum Prinzip 1 ein Tool „10 Fragen, die ein Mitglied der Unternehmensleitung zur Cyber-Sicherheit stellen sollte“ und zum Prinzip 2 unter anderem die Tools „Reaktionen auf Vorfäl- le“ und „Risiken in der Lieferkette und gegen- über Dritten“. Das Handbuch wurde vom BSI im Rahmen der Allianz für Cyber-Sicherheit in Zusammenarbeit

BUCHBESPRECHUNG Die sechs Prinzipien stellen einen allgemeinen Ansatz für das Management der Cybersicherheit dar. Das dazugehörige Toolkit bietet praktische Anleitungen für die Umsetzung dieser Prinzipien. Das PDF ist kostenfrei verfügbar: Management von Cyber-Risiken Ein Handbuch für die Unternehmensleitung PRINZIP 1 PRINZIP 4 Cyber-Sicherheit nicht nur als IT-Thema, sondern als Baustein des unternehmens- weiten Risikomanagements verstehen Umsetzung geeigneter Rahmenbedin- gungen sowie Ressourcen für das Cyber- Risikomanagement sicherstellen Die Unternehmensleitung muss die Cyber-Sicherheit nicht nur als IT-Risiko, sondern als strategisches Unternehmens- risiko verstehen und angehen. Die Unternehmensleitung sollte die Erwartung formulieren, dass das Management einen unternehmensweiten Rahmen für das Cyber-Risikomanagement mit adäquater Personal- ausstattung und angemessenem Budget schafft. PRINZIP 2 PRINZIP 5 Rechtliche Auswirkungen von Cyber- Risiken verstehen Die Unternehmensleitung sollte die rechtlichen Aus- wirkungen von Cyber-Risiken in Bezug auf die individuel- len Anforderungen ihres Unternehmens verstehen. Risikoanalyse erstellen sowie Definition von Risikobereitschaft in Abhängigkeit von Geschäftszielen und -strategien formulieren Im Austausch zwischen Unternehmensleitung und Manage- ment über Cyber-Sicherheit sollte die Identifizierung und Quantifizierung der finanziellen Kosten in Bezug auf Cyber- Risiken diskutiert werden. Insbesondere sollte die Frage besprochen werden, welche Risiken akzeptiert, gemindert oder übertragen werden sollen, z. B. durch eine Versicherung, sowie spezifische Pläne, die mit jedem Ansatz verbunden sind. PRINZIP 3 PRINZIP 6 Zugang zu Cyber-Sicherheitsexpertise so- wie regelmäßigen Austausch sicherstellen Unternehmensweite Zusammenarbeit und den Austausch von Best Practice fördern Die Unternehmensleitung sollte einen angemessenen Zugang zu Cyber-Sicherheits-Expertise fordern. Diskus- sionen über Cyber-Risikomanagement sollten regelmäßig und in angemessenem Umfang auf die Tagesordnung gesetzt werden. Die Unternehmensleitung sollte die Zusammenarbeit innerhalb ihrer Branche und mit öffentlichen und privaten Akteuren fördern, um sicherzustellen, dass jede Institution die Resilienz Aller unterstützt. mit der Internet Security Alliance (ISA) und deut- schen Expertinnen und Experten aus der Wirt- schaft für die deutsche IT-Sicherheitslandschaft angepasst und für die zweite Auflage 2022/2023 aktualisiert. „Cyber-Sicherheit bedeutet Schutz von Unternehmenswerten und Cyber-Sicherheit in der Lieferkette kann ganze Branchen schüt- zen. Mehr denn je ist die Informationssicherheit ◂ Die sechs Cybersicherheits- prinzipien hat das BSI auf einem Onepager zusammengefasst. Das PDF ist kostenfrei verfügbar: eine Grundvoraussetzung für eine nachhaltige, sichere Digitalisierung – insbesondere in Unter- nehmen. Das BSI unterstützt mit diesem Ma- nagement-Handbuch Unternehmensleitungen dabei, auf die Bedeutung des Themas hinzuwei- sen und ihnen echte Hilfestellungen an die Hand zu geben“, so Dr. Gerhard Schabhüser, Vizepräsi- dent des BSI. Larry Clinton, Präsident der ISA, er- gänzt dazu: „Die ISA hat in den letzten zehn Jah- ren mit globalen Partnern zusammengearbeitet, um ein kohärentes Paket von Grundsätzen und Hilfsmitteln für Unternehmensvorstände zu ent- wickeln, die diese bei der Wahrnehmung ihrer Verantwortung für die Überwachung von Cyber- risiken einsetzen können. Eine vom Weltwirt- schaftsforum und dem Massachusetts Institute of Technology (MIT) veröffentlichte Studie ergab, Allianz für Cyber-Sicherheit (Hrsg.) Management von Cyber-Risiken Ein Handbuch für die Unternehmensleitung Stand: Oktober 2022, 36 Seiten Das Buch ist kostenfrei als PDF auf der Webseite der Allianz für Cyber- sicherheit verfügbar: dass die Nutzer der Handbücher mit 82 Prozent weniger Cyber-Vorfällen rechnen können, ohne dass die Kosten steigen. Mit der Veröffentli- chung dieser beiden neuen Ausgaben gibt es nun zehn angepasste Versionen der Handbücher auf vier Kontinenten in fünf Sprachen.“ n S.F. IT-SICHERHEIT_2/2023 65

VORSCHAU Ausgabe 3|23 JUNI/JULI SPECIAL: IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG Weltweit nimmt die Gefahr von Ransomware-Attacken in digital agierenden Unternehmen und öffentlichen Institutionen ein beunruhigendes Ausmaß an. Was haben Behörden in Sachen Cyberangriffe in nächster Zeit zu erwarten? Wo liegen die besonderen Herausforderungen für die IT-Sicherheit? Was können öffentliche Verwaltungen tun, um auch bei verschärften Angriffen handlungsfähig zu bleiben? Dies sind einige der Fragen, welchen wir in der nächsten Ausgabe der IT-SICHERHEIT nachgehen werden. Das Special entsteht in Zusammenarbeit mit dem Magazin Innovative Verwaltung (Springer Fachmedien). Beitragsangebote für das Special senden Sie bitte an wolfgang.scharf@datakontext.de. Weitere geplante Themen: Schwerpunkt: Managed Security Services Firewalls E-Mail- und Web-Security Abwehr von Hackerangriffen SOC … Zero Trust für KRITIS-Betreiber IN UNSEREM VERLAG ERSCHEINEN AUSSERDEM NOCH FOLGENDE ZEITSCHRIFTEN 66 IT-SICHERHEIT_2/2023 Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 11 A · 50226 Frechen www.datakontext.com Chefredaktion: Sebastian Frank (S.F.) E-Mail: s.frank@kes.de Online-Redaktion: Jessica Herz Leitung Online herz@datakontext.com +49 2234 98949-80 Lisa Bieder Konstantin Falke Silvia Klüglich Janek Mazac Chiara Schönbrunn Gründer: † Bernd Hentschel Grafik/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 29 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 129,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln kündbar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschickte Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Veröffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Genderhinweis: Gleichberechtigung ist uns wichtig! Für eine bessere Lesbarkeit unserer Fachtexte verzichten wir jedoch auf die gendergerechte Schreibweise und nutzen das generische Maskulinum als neutrale grammatikalische Form. Personen- bezeichnungen beziehen sich auf alle Geschlechter. Beilagen: DATAKONTEXT GmbH, Frechen Titelbild: oz - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; iStock/matejmo; (afishman64, Apichet, ArtemisDiana, ArtemisDiana, ArtemisDiana, Daniel Berkmann, denisismagilov, Gorodenkoff, H. Brauer, hasan, hasan, kanpisut, khunkorn, losmostachos, metamorworks, Oleksandr Blishch, Skórzewiak, tippapatt) - stock.adobe.com 29. Jahrgang 2023 · ISSN: 1868-5757