kes 5-2019

Ausbildungen mit Personenzertifikat | Seminare | Inhouse-Veranstaltungen Ausbildungen mit Personenzertiﬁ kat » Das Seminar hat mich neben der ausgesprochen guten Präsentation und auch sehr guten Unterlagen durch den stets freundlichen und zuvorkommenden Umgang der Mitarbeiter, als auch durch den liebevoll durchdachten Ablauf von Wohlfühlfaktoren überzeugt. Insgesamt sehr empfehlenswert! « » Sehr fundiertes Seminar, meine Erwartungen wurden voll erfüllt. Übersichtlicher und logischer Aufbau der Präsentation. Man konnte immer Fragen stellen, die ausführlich beantwortet wurden. Herzlichen Dank! « V. Ostfeld | Legitimis GmbH Teilnehmer IT-Sicherheitsbeauftragter C. Haase | PRO Klinik Holding GmbH Teilnehmer Datenschutzbeauftragter Lead Auditor ISO 27001 (DGI®) 17. - 20. Februar 2020 | 21. - 24. September 2020 Der Schwerpunkt der Ausbildung liegt auf der Vermittlung von Fachbegriﬀ en aus dem Bereich der Durchführung eines Audits gemäß ISO 19011, der Aufgabenbeschreibung des Lead Auditors ISO 27001 und des erforderlichen Fachwissens für die Auditierung eines ISMS. IT-Sicherheitsbeauftragter / Chief Information Security Oﬃ cer (DGI®) gemäß ISO 27001 und BSI IT-Grundschutz 28. - 31. Oktober 2019 | 18. - 21. November 2019 BSI IT-Grundschutz-Praktiker (DGI®) 09. - 12. Dezember 2019 | 13. - 16. Januar 2020 BSI IT-Grundschutz-Berater (DGI®) Business Continuity Manager (DGI®) gemäß ISO 22301 und BSI IT-Grundschutz 02. - 04. Dezember 2019 | 27. - 29. Januar 2020 IT Risk Manager (DGI®) gemäß ISO 31000, ISO 27005 und BSI IT-Grundschutz 25. - 27. November 2019 | 27. - 29. Januar 2020 Kryptographie Security Expert (DGI®) 04. - 06. Dezember 2019 | 09. - 11. März 2020 Datenschutz-Auditor (DGI®) 21. - 23. Oktober 2019 | 03. - 05. Februar 2020 Datenschutzbeauftragter (DGI®) gemäß DSGVO und BDSG 20. - 22. Januar 2020 | 14. - 16. April 2020 13. - 15. November 2019 | 16. - 18. Dezember 2019 ICS Security Manager (DGI®) gemäß IEC 62443, ISO 27001 und BSI IT-Grundschutz Datenschutzbeauftragter im Gesundheitswesen (DGI®) 04. - 06. Februar 2020 | 08. - 10. Juni 2020 14. - 15. Oktober 2019 | 16. - 17. Januar 2020 m o c . e b o d a . k c o t s | H M © : k ﬁ a r g d n u r g r e t i n H - t r e h c e R i l u a P | 4 6 k c o d : o t o F Hohe Anerkennung des Personenzertiﬁ kats Rezertiﬁ zierung des Personenzertiﬁ kats Personalisiertes Siegel Registrierung in unserem Zertiﬁ katsregister Besuchen Sie uns auf der it-sa 2019 Nürnberg 08. - 10. Oktober 2019 Halle 9 / 9-210 www.DGI-AG.de Kurfürstendamm 57 | D - 10707 Berlin | +49 30 31 51 73 89 - 10 | akademie@dgi-ag.de

Besuchen Sie uns Halle 9 Stand 9-326 Editorial Faceliftings Dark Themes sind ja derzeit angeblich eines der meist- nachgefragten Features in Software und Apps und gar nicht selten episch breitgetretener Gegenstand bahnbrechender Release- Announcements – warum auch immer. Sehnt sich der eine oder andere alte EDV-Hase womöglich nach einer Rückkehr von 24 mal 40 pixeligen Buchstaben in grün auf schwarz? Retro hin oder her – das dürfte wohl kaum der Grund sein, auch wenn die damalige Übersichtlichkeit (wirklich?) einen in der postfaktischen Verklä- rung schon etwas nostalgisch stimmen könnte. Gehts um ein wenig Matrix-Flair auf dem Handy? Oder manifestieren sich an dieser Stelle düstere Aussichten angesichts der Security im Cyberspace und der digitalen Transformation unserer Gesellschaft? Schlägt hier gar ein allgemeiner Weltschmerz in depressive Verstimmung um? Honi soit qui mal y pense ... mea culpa. Der neue, „dunkle“ Titel(-kopf) der <kes> ist jedenfalls erst unsere zweite modische Anpassung in diesem Jahrtausend, die erste nach dem Redesign von 2003. Und bei uns ist der Hintergrund des neuen Hintergrunds auch ganz einfach zu erklären: Unsere (nicht mehr ganz so) neue Heimat Datakontext hat sich ein neues Corporate Design verpasst – da mochten wir uns, logo!, nicht hinter alten Weißheiten verstecken, sondern haben die Gelegenheit gern genutzt, um ein kleines Facelifting zu betreiben. Und wo wir grade bei Gesichtern sind: Auch der Chef- redakteur der <kes> sieht nach über hundert Ausgaben und di- versen Jahren im Dienste dieser Zeitschrift nicht mehr ganz so aus wie „damals“, als das vormalige Foto für die Seite 3 aufgenommen wurde. Mit dem neuen Bild komme ich nach Jahren der Prokras- tination nun endlich den Bitten (und noch mehr wohlgemeinten Lästereien!) vieler lieber Kolleg:inn:en nach, doch endlich mal eine aktuellere Ablichtung meiner Wenigkeit herauszurücken. Zeitgeist- gemäß wurde hierfür ein Selﬁe gewählt. Und ja, zugegeben, das hat auch bereits eine minimale Patina und sein Hintergrund ist zwischenzeitlich schon Geschichte – so viel CeBIT-Gedenken und Lokalkolorit möge man dem hannöverschen Heimarbeiter bitte nachsehen. Zur Interpretation des möglicherweise als skeptisch einzuschätzenden Blicks verweise ich auf den ersten Absatz dieses Textes ... Abschließend zwei Entwarnungen: Im Innenteil der <kes> bleibt natürlich schwarz auf weiß zu lesen, was CISO & Co. wissen sollten – und ab jetzt drehen sich unsere Inhalte auch wieder um die Informations-Sicherheit und nicht um uns selbst oder die Frage, ob blau auf weiß besser wäre als weiß auf blau. Versprochen! © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Norbert Luckhardt

Inhalt it-sa 2019 Messevorschau Vom 8. bis 10. Oktober 2019 ﬁndet die erneut gewachsene it-sa – IT-Security Messe und Kongress in Nürnberg statt. Unser Vorbericht liefert einen Ausblick auf die Veranstal- tung, ihre Aussteller und gezeigte Produkte. Seite 30 Management und Wissen Geistige Barrieren Neben zu wenig Technik oder Personal ist womöglich die Denkweise mancher Manager und Führungskräfte der größte Feind der Informationssicherheit, warnt unser Autor und erörtert, was Entscheider falsch machen und Seite 6 wie sich das ändern lässt. Data-Leakage-Tracking durch digitale Wasserzeichen Datenlecks sind immer noch eine der größten Heraus- forderungen für Unternehmen, Behörden und sonstige Organisationen. Der vorliegende Beitrag präsentiert ein alternatives Lösungskonzept, um mittels digitaler Wasserzeichen im Fall des Falles Sicherheits- oder Daten- schutzbrüche nachvollziehen und aufklären zu können. Seite 12 SD-WAN vorausschauend planen Ein software-basiertes Wide-Area-Network (SD-WAN) kann mit relativ wenig Aufwand für Entlastung angesichts einer immer größer werdenden Datenlast sorgen. Bei der Wahl der passenden Lösung sind jedoch einige Kriterien zu bedenken. Seite 17 Stellenanzeige Termine Events & Weiterbildung (Anzg.) News und Produkte Wer bietet was? (Anzg.) Impressum Seite Seite 11 42 Seite 19, 43–45, 47 Seite Seite Seite 83 87 88 Bestandsaufnahme Risikomanage- ment (2) Aus Sicht unseres Autors bergen verschiedene gängige Ansätze im Risikomanagement fundamentale Schwä- chen. Sein umfassender Artikel diskutiert diese Problem- zonen und mögliche Lösungsansätze für eine bessere Identiﬁkation, Analyse und Bewertung von IT-Risiken. Seite 49

Schwerpunkt: Security-Operations-Center (SOC) Der SOCste Sinn Security-Operation-Center (SOC) sind ein wichtiges Mit- tel im Kampf gegen Cyberattacken. Doch mitunter kön- nen sie auch selbst zum Risiko werden, besonders wenn au- tomatische Reaktionen implementiert sind, mahnt unser Autor. In seinem Artikel identiﬁ ziert er SOC-Risiken und schlägt „Objektivität“ als Qualitätsgröße vor. Seite 64 Der Wunsch nach Hirn vom Himmel Die aktuelle Debatte um den Einsatz künstlicher Intel- ligenz in Sachen Sicherheit und die seltsam hitzigen Diskussionen um ihr Für und Wider stehen heute nicht selten einer effektiven Arbeit mit KI im Weg, meint unser Autor und wirft einen augenzwinkernden Blick auf derzeit übliche Streitgespräche. Seite 75 Dos and Don’ts des Incident- Response Dieser Beitrag beschreibt erprobte Konzepte und typische Fehler bei der Vorbereitung zum Umgang mit Sicher- heitsvorfällen. Was sich in der Praxis bewährt hat und was nicht, steht auf Seite 78 Systeme und ihr Umfeld Volatility-Workshop (2) Im Nachgang zum Überblicksbeitrag zu Prozessen und Open-Source-Tools für Incident-Response und Forensik behandelt eine Reihe von Workshop-Beiträgen den kon- kreten Einsatz entsprechender Softwarewerkzeuge. Als Erstes steht die Hauptspeicherforensik mit Volatility auf Seite 22 dem Programm. IT-Grundschutz Grundschutz-Zertiﬁ zierung für kleine Unternehmen Viele kleinere Unternehmen fragen sich angesichts des Umfangs des Grundschutz-Kompendiums, ob eine Zer- tiﬁ zierung auf Basis von IT-Grundschutz für sie grund- sätzlich machbar ist. Unsere Rubrizisten wollen hier Mut machen und sehen mehr Interpretationsspielraum als bisher allgemein bekannt ist. Seite 46 Recht Videoüberwachung post DSGVO Unsere Rechtsrubrik erläutert, wie der rechtliche Rah- men für den Einsatz von Videokameras nach dem Inkrafttreten der Datenschutzgrundverordnung (DSGVO) aussieht. Denn aufgrund der tiefen Eingriffe in Persönlich- keitsrechte sind an solche Maßnahmen strikte Maßstäbe anzulegen. Seite 59 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Bild links oben: NuernbergMesse/Thomas Geiger Bild links Mitte: AirITSystems Bild rechts oben: Andreas Heller – www.hellergraﬁ k.de BSI Forum ofﬁ zielles Organ des BSI Inhalt Das BSI auf der it-sa 2019 25 Jahre IT-Grundschutz Amtliche Mitteilungen kurz notiert Seite 35 Seite 36 Seite 38 Seite 41

Management und Wissen Hindernisse für IT-Security Geistige Barrieren Was Führungskräfte falsch machen und wie sich das ändern lässt. Es gibt viele Gründe, warum IT-Security oft nicht so funktio- niert, wie man sich das vorgestellt hat. Aber neben Dingen, wie zu wenig Technik oder Personal, ist die Denkweise von Managern und Führungskräften vielleicht der größte Feind der Informationssicherheit. Von Sebastian Broecker, Bad Soden Als vor mehreren Jahren die Konstrukteure einer kanadischen Keksfabrik gefragt wurden, was sie sich als Folge eines Hackerangriffes auf die Fabrik vorstellen konnten, antworteten sie lapidar „versalzenen Keksteig“ [1]. Mit dieser Einschät- zung lagen sie komplett daneben: Der bald darauf erfolgte Cyberangriff auf die Produktionsstraße ließ den Keksteig in den Rohren aushärten, was einen sehr aufwendigen Aus- tausch von Teilen der Fertigungs- straße notwendig machte und den kompletten Stillstand des Werkes über einen längeren Zeitraum auslös- te. Ein schönes Beispiel für „geistige Barrieren“ im Management. Das kann jeder Eine weitere solche Barriere beziehungsweise ein weiteres Hin- dernis auf dem Weg zu einer besseren IT-Security ist die bis heute andauern- de Einstellung ungeeigneter CISOs. Um das zu verstehen, muss man sich kurz die Geschichte der IT-Sicherheit in Deutschland vergegenwärtigen. 1983 kam der erste Compu- tervirus auf. Damals war ein Virus noch etwas Exotisches, genauso wie der BTX-Hack des Chaos Computer Clubs am Vorläufer des Onlineban- kings im folgenden Jahr. In den 90ern sind nur wenige Viren erwäh- nenswert; Ausnahmen sind zum Beispiel Michelangelo oder Melissa. Ende der 80er-Jahre gibt es dann auch erste Antivirenprogramme, die aber noch keine Selbstverständlichkeit sind. Insgesamt ist es eine Zeit der „digitalen Unschuld“ (Phase 1). In Phase 2, Anfang der 2000er, geschehen jedoch mehrere Dinge parallel: E-Mail und Internet verbreiten sich stark, Banken müs- sen verstärkt Rücklagen für Vorfälle jeglicher Art – dazu gehören auch Cyberattacken – bilden und das Ha- cking kommerzialisiert sich. Zudem rücken Cyberangriffe durch weitver- breitete Viren wie Loveletter in den Fokus der Öffentlichkeit und verur- sachen in den Unternehmen große Schäden. Daher beginnen sie sich für das Thema Cybercrime-Bekämpfung zu interessieren und stellen die erste Welle CISOs ein, die meist entweder technikafﬁn oder auch nur BWLer sind – also fachlich meistens eher weit weg vom Thema Cybersecurity. So fällt dem Autor ein Zitat eines Gruppenleiters ein, der ihn damals irgendwann fragte, wann das Trust- center, das sich um hausinterne E-Mail-Verschlüssselung kümmerte, endlich zu einem „Proﬁt-Center“ werde. Der nächste große Wandel (Phase 3) kommt mit dem BSI-Gesetz im Jahr 2017, das circa 2000 Firmen in Deutschland, die nun als kritische Infrastruktur bezeichnet werden, – es aber vorher schon waren (!) – zwingt, massive Sicherheitsmaßnahmen umzusetzen und entsprechende Nachweise zu erbringen. Das führ- te zu einer starken Nachfrage an Sicherheitsexperten. So wurden beispielsweise im Juni diesen Jahres auf einem großen Online-Jobportal rund 300 Vollzeitstellen für das Schlagwort „IT Security“ angebo- ten – und das nur in Frankfurt am Main. Das zeigt, wie schwer es den Unternehmen fällt, qualifizierte Arbeitnehmer zu ﬁnden. Dieser Engpass und ein feh- lendes Verständnis für IT-Security auf der Management-Ebene bewirkt jedoch, dass auch in dieser Phase oft nicht ein profundes Securitywissen, sondern andere Faktoren Grundlage für die Einstellung von CISOs sind. Aus Gesprächen mit Dritten sind dem Autor Fälle bekannt, bei denen zum Beispiel Projektleiter, Personen mit einem militärischen Nicht-IT- Werdegang, Informatiker ohne Secu- ritybezug oder Juristen zum Leiter IT- Security eingesetzt wurden. In einer aktuellen Stellenausschreibung für einen Information-Security-Ofﬁcer einer Firma in Hamburg heißt es beispielsweise: „Sie verfügen über ein abgeschlossenes Studium der Nachrichtentechnik, Informatik (FH, BA) […] oder über eine andere Ausbildung mit vergleichbaren fachlich wertvollen Kenntnissen. Idealerweise haben Sie im Laufe Ihrer Karriere unterschiedliche Zertiﬁkate zum Thema Informationssicherheit 6 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

erworben“. Mehr muss man dazu eigentlich nicht sagen. Natürlich gibt auch hoch qualiﬁzierte und engagierte Mitar- beiter, dennoch belegen die Beispie- le, wie die Topmanagement-Ebene über IT-Security-Jobs denkt: Es ist ein beliebig austauschbarer Job, für den anscheinend jeder qualiﬁziert ist. So wichtig ist das nicht Darüber hinaus haben viele Entscheider die Bedeutung des Pos- tens selbst noch immer nicht ver- standen. So hörte der Autor von ei- nem Fall, bei dem eine ausländische kleine Bank in Deutschland einen CISO suchte, die erst wenige Jahre zuvor Opfer eines digitalen Raubs in Millionenhöhe war. Der einzustel- lende CISO sollte als Ein-Personen- Abteilung nicht nur für den Schutz der deutschen Zweigstelle sorgen, sondern auch noch die zusätzliche Jobrolle als Datenschutzbeauftragter innehaben. Von Verständnis für die Cybersecurity – gerade nach einem schweren Vorfall – kann hier wohl nicht die Rede sein. Auch ein großer deutscher Reiseveranstalter fusio- niert die Aufgaben des relativ hoch bezahlten CISOs mit anderen Din- gen, wie dem Lizenzmanagement – zwei völlig unterschiedliche Auf- gaben. Somit wird der Sicherheitsbe- auftragte zu einer Teilzeitstelle. Ein weiteres Beispiel: Ein Unternehmen aus dem Bereich Lo- gistik mit zigtausenden Mitarbeitern sucht derzeit bundesweit zahlreiche IT-Security-Experten. Wie der Autor im Bekanntenkreis hörte, dauert es zwischen „moderner Online-Ver- sendung des Lebenslaufes durch den Bewerber“ und einer Einladung zu einem Gespräch durch den Arbeitge- ber durchaus vier Monate – und das trotz Fachkräftemangel. Das deutet nicht gerade darauf hin, dass das Unternehmen auf Personalebene die Bedeutung von IT-Security wirklich versteht. Noch unverständlicher ist das, da die Firma vor kurzer Zeit in den Fokus der Presse geriet, weil ein Befall mit der Wannacry-Malware an für den Kunden sehr exponierter Stelle stattfand. CISOs nerven nur rum Auch ein Problem ist das negative Image der Securityexperten: Sie sind Bedenkenträger beziehungs- weise Verhinderer. In einem kürzlich gehörten Vortrag nannte der Vortra- gende die IT-Security das „NO“ in Innovation. Kein Wunder also, dass man diesen Dauerprotestierern in vielen Unternehmen wenig Gehör schenkt. Inzwischen gibt es Vorträge auf Konferenzen, die sinngemäß den Titel tragen „So bringen Sie als CISO den Vorstand dazu, Ihnen wenigs- tens 5 Minuten zuzuhören“ – das sagt vieles. Business Cyber-Versicherung Absichern, was nicht steuerbar ist steuerbar ist steuerbar ist Die Häuﬁ gkeit digitaler Angriﬀ e nimmt ständig zu. Laut einer Umfrage sind rund 30 % der mittelständischen Unternehmen bereits einmal Opfer einer Cyber-Attacke geworden – oft mit schwerwiegenden Folgen. Umso wichtiger ist die richtige Absicherung! Die CYBER-VERSICHERUNGEN VON AXA bieten passgenaue Lösungen für Unternehmen jeder Größe. Ganz egal, ob vor, während oder nach einer Cyber-Attacke: Ein breites Netzwerk von Spezialisten kümmert sich ganz persönlich um Ihr Unternehmen. Besuchen S ie uns au f der it-sa : Stand 10 .0 -419 Mehr Infos zu Cyber-Versicherungen unter www.axa.de/cyber

Management und Wissen Hindernisse für IT-Security Allerdings ist es die Aufgabe der IT-Security, un- bequem zu sein und sich damit Gehör zu verschaffen. Ansonsten machen die Vorteile eines Projektes oder Systems die Entscheider eventuell blind für die Gefahren. Das Problem dabei ist, dass es bei vorsätzlichen Taten, wie Hacking, keine belastbaren Wahrscheinlichkeiten gibt. Somit ist manche Gefahr, auf die ein Securitybeauftragter hinweist, vielleicht durch einen glücklichen Zufall länger nicht real geworden. Was jedoch nicht bedeutet, dass es diese Gefahr nicht gibt und sie nicht vielleicht morgen schon real wird. In dem Kinoﬁlm „World War Z“ übersteht die Hauptstadt eines Landes die Zombieapokalypse etwas länger, da es im Gremium der Entscheider die Jobrolle des Bedenkenträgers gab, der auf unwahrscheinliche Gefahren hinweist und damit Gehör für proaktive Gegen- maßnahmen fand. In der Tat zeigt die Realität, dass für Cybersecuity viele Bedenken gar nicht stark genug sein können. So entstand dem Unternehmen FedEx durch die Malware NotPetya im Jahre 2017 ein Schaden von 300 Millionen Dollar. Aber leider ﬁndet die „kritisch-vorrausschauende“ IT-Security oft keine Akzeptanz. Termindruck von Projek- ten, die mit der Realisierung verbundenen Vorteile und der digitale Transformationsdruck stehen oft im Wider- spruch zum mäßigenden Einﬂuss der Cybersicherheit. Ein Beispiel hierfür ist das Internet of Things: So werden inzwischen Fahrstühle für eine einfachere Wartung mit dem Internet verbunden. Wie der Hersteller aber in 50 Jahren – eine durchaus realistische Lebensdauer eines Aufzugs – ein Patchmanagement garantieren will, bleibt unklar [2] . Auf dem Papier sieht es gut aus Viele Firmen neigen dazu, IT-Security nicht aus Selbstschutz zu betreiben, sondern aus Compliance- Gründen oder weil es für die Kunden wichtig ist. Ein ISO- 27001-Zertiﬁkat erzeugt gegenüber der Aufsichtsbehörde, den Kunden und beim Management des Unternehmens das wohlige Gefühl von Sicherheit. Selbstverständlich weist ein solches Zertiﬁkat oder auch das Vorhandensein vieler Policies darauf hin, dass das Unternehmen geeignete und viele Schutzmaßnahmen getroffen hat. Es bietet aber trotzdem keinen völligen Schutz. Zum Beispiel dann nicht, wenn die Prozesse nicht kontinuierlich gepﬂegt und überarbeitet werden. Deswe- gen ist, wie oben besprochen, qualiﬁziertes Personal so überaus wichtig: Ein CISO, der mal zu Übungszwecken ein System gehackt hat, vertraut nicht auf den Papierschutz. Ein Sicherheitsexperte, der eher fachfremd ist, neigt eher dazu, einem Papier als Schutzmaßnahme zu vertrauen. Die Technik wird uns schon retten Ein weiterer großer Fehler in den Köpfen von Entscheidern ist der Glaube an die Allmacht der Technik und das Vertrauen in die Schutzmaßnahmen. Neu ist das sicher nicht, schon im Mittelalter schützte das Gefühl, in einer Ritterrüstung zu stecken, mehr als die Rüstung selbst. So setzten in der Schlacht von Hastings 1066 die Normannen erstmals im größeren Maße Armbrüste ein, die auch Rüstungen durchschlagen konnten. Die digitalen Ritterrüstungen unserer Zeit hei- ßen beispielsweise Security-Information-and-Event- Management (SIEM), Virenscanner und Firewall. Diese bieten auch einen gewissen Schutz, sind aber sicher nicht undurchdringlich. Denn ein einzelner Mitarbeiter, der einen E-Mail-Anhang mit Malware darin anklickt, kann das gesamte Netzwerk eines Unternehmens inﬁzieren. Leider können wir als Träger der Rüstung den Angreifern nicht – wie die katholische Kirche es 1139 für die Armbrust tat – die Verwendung von besonders durchdringenden Hilfsmitteln verbieten. Da jedoch, wie weiter oben beschrieben, viele Entscheider leider keine praktische Hackererfahrung haben, neigen sie dazu, sich durch technische Maßnahmen in Sicherheit zu wiegen – ein Irrtum! Auf die Prozesse ist Verlass Neben dem Glauben an die Technik ist der Glaube an organisatorische Maßnahmen etwas, das oft falsche Si- cherheit vermittelt. So wollen Manager häuﬁg eine Aware- nesskennzahl bestimmen, etwa im Sinne von „nach der Awareness-Aktion im Intranet klicken nur noch 10 % der Benutzer auf eine Phishing-E-Mail“. Das mag zwar interes- sant klingen, wenn vor der Schulung 20 % darauf geklickt haben, aber wie man bei der aggressiven Malware Emotet sieht, reicht ein Mitarbeiter, um ein Firmennetzwerk zu inﬁzieren [3]. Auch das Vertrauen in einen hohen Schutz durch ein Security-Operations-Center (SOC) ist ein Irrweg. Selbstverständlich ist ein SOC etwas, das nicht jedes Unternehmen bieten kann und das die Sicherheit stark erhöht – aber es ist nicht fehlerfrei. Nehmen wir ein Gedankenbeispiel: Ein Benutzer wendet sich an den IT-Support der eigenen Firma, da er eine seltsame E-Mail mit einem Link bekommen hat. Nachdem er den Link angeklickt hat, kommen ihm dann doch Bedenken, da er den Absender nicht kennt und die oben genannte Awarenesskampagne vielleicht etwas gefruchtet hat. Es ist durchaus denkbar, dass der Supportmitarbeiter hier kurz auf das Ergebnis des Virenscanners sieht und entwe- der feststellt, dass der Virenscanner nichts gefunden hat 8 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Rethink Cyber Security Cyber Security Fairevent – for Professionals Only Dortmund, 04. – 05. März 2020, Halle 8 Dortmund, 04. – 05. März 2020, Halle 8 Dortmund, 04. – 05. März 2020, Halle 8 Cyber Security Solutions neu entdecken – das Fairevent in Dortmund erleben! Neuer Standort: Dortmund und NRW – eine Region mit viel neuem Potenzial. Neuer Termin: 04. März – 05. März 2020. Innovative Cyber Security Solutions, gleich zum Jahresbeginn. Neues Konzept: Messe & Event mit Kongress – eine Business-Plattform für Aussteller & Besucher. Neues Erlebnis: Solution Panels, C-Level Network Area, Ausstellung & Foren, Show Acts u. v. m. Neue Kontakte: Angebot & Nachfrage-Matching für zukünftige Geschäftsanbahnungen. Erleben Sie mehr auf dem Fairevent! Entdecken Sie Cyber Security Solutions, die Sie weiterbringen: www.cybersecurity-fairevent.com Messe Messe Messe Event Event Event Kongress Kongress Kongress Erlebniswelt Erlebniswelt Erlebniswelt Unsere Medienpartner Unsere Medienpartner Unsere Medienpartner & Eine Veranstaltung von Waveline-Mar.Com

Management und Wissen Hindernisse für IT-Security oder er die Malware erkannt und die heruntergeladene Software gelöscht hat. Im Fall der gefundenen Malware wurde von der Antivirensoftware aber vielleicht nur ein Teil erkannt. Bei ausgeklügelten Viren kann die Software auch gar nichts ﬁnden und fälschlicherweise behaupten, alles sei in Ordnung. Was aber wirklich auf der Maschine passiert, weiß niemand. Angenommen, der Support wäre nun „security aware“ (hoffen darf man), so könnte er zwei Dinge tun: Beim SOC die IP-Adresse des Ziels des Malwarelinks sperren lassen und den Rechner des Benut- zers neu aufsetzen. Jetzt ist es aber auch denkbar, dass das SOC keinen Handlungsbedarf sieht, zum einen weil der Virenscanner nichts anzeigte, zum anderen weil man sich auf die tägliche Aktualisierung der Malwarepattern verlässt. Schon hat man zwar – auf das mittelalterliche Beispiel übertragen – eine Burg mit Burgwächtern und Türmen (SOC), aber diese sehen die Angreifer, die nachts ohne Fackeln kommen, nicht. was das SOC-Team ihm erläutert? Ist eine derartige Be- richterstattung nach oben denn gewollt? Wie der Autor von vielen Bekannten hörte, gibt es oft den sogenannten Melonen-Effekt: Dinge werden auf Arbeitsebene als tiefrot dargestellt, als gelb weitergemeldet und kommen beim Vorstand als grün an. Die hohe Komplexität von Angriffen ist ein weiteres Hindernis für eine bessere IT-Sicherheit. Fazit Die aufgeführten Beispiele zeigen, dass der größte Feind der Cybersecurity nicht der Hacker ist, sondern die „Mindwall“ in den Köpfen der Entscheider. Diese basiert vor allem auf folgenden Fehlern: Personalabteilungen besetzen CISO-Posten mit fachfremden, nicht hackerafﬁnen Managern. Unternehmen nehmen die IT-Sicherheit und den CISO nicht ernst genug. Wer versteht denn das? Manager vertrauen blind Zertiﬁkaten, Technik In der Regel sind einfach strukturierte Angriffe leicht zu erkennen und abzuwehren. Selbst echte Vorfälle sind meist mühelos behebbar. Sofern sie überhaupt an die Geschäftsführung berichtet werden (Tagesgeschäft), fallen sie in die Kategorie „kleiner Vorfall, abgewehrt, Schulter- klopfen für den CISO verdient“. Doch leider gilt das nicht für alle Angriffe, so gab es 2016 eine sehr rafﬁnierte Attacke auf die Firma Thyssen-Krupp [4]. Der Wettlauf mit den Ha- ckern erstreckte sich über Wochen – faszinierend ist dabei die Professionalität des Vorgehens. Wie erklärt der CISO so etwas dem Vorstand? Versteht der CISO denn überhaupt, Literatur [1] Uli Ries, Cyberattacke in der Keksfabrik, Spiegel Online, August 2015, www.spiegel.de/netzwelt/web/ erpressung-durch-cyberattacken-angriffsziel-industriean- lage-a-1048034.html [2] Sebastian Broecker, Wie patcht man eigentlich eine Stadt?, Das IoT befeuert ein „Internet of Threats“, <kes> 2017#4, S. 6 [3] Jürgen Schmidt, Trojaner-Befall: Emotet bei Heise, c‘t, Juni 2019, www.heise.de/ct/artikel/Trojaner-Befall- Emotet-bei-Heise-4437807.html [5] Jürgen Berke, Großalarm hätte die Risiken erhöht, Wirtschaftswoche, Dezember 2016, www.wiwo.de/un- ternehmen/industrie/spionageangriff-auf-thyssenkrupp- grossalarm-haette-die-risiken-erhoeht/14948264.html und Organisationsprozessen. Das Führungspersonal (inklusiver einiger CISOs) versteht die hohe Komplexität von Security-Incidents nicht. Was kann man nun dagegen tun? Unternehmen können zum Beispiel ihre IT-Security aufwerten – an- gefangen bei der Ausschreibung (Warum muss das vier Monate dauern, bis man den Kandidaten einlädt?), über die Einstellungskriterien (Fachwissen schadet nicht), die Bezahlung (Wer nur mit Zitronen zahlt, darf sich nicht über Limonensaft wundern) bis hin zum „Gehör schen- ken“ und einen kritischen Verstand erwarten. Ferner sollten Unternehmen nicht nur der Tech- nik, den Zertiﬁkaten und organisatorischen Strukturen vertrauen. Security ist mehr! Stattdessen sollten sie eine offene Firmenkultur entwickeln, in der Mitarbeiter alles ansprechen können, egal wie unbequem es ist. Manager sollten nicht fragen, was der CISO für sie tun kann, son- dern eher, was sie für den CISO tun können. An dieser ■ Stelle: Wann wurde er das letzte Mal gelobt? Dr. Sebastian Broecker ist Referent bei der Deutschen Flug- sicherung und nebenberuﬂich als freier Autor/Journalist tätig. 10 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019 #5

Was wir wollen: Deine digitale Seite i r e g r e p p R s n e J © g n i s o p m o C ; r e g e F s u k r a M © o t o F Als nationale Behörde für Cyber-Sicherheit kümmern wir uns darum, dass die Menschen in Deutschland der digitalen Welt vertrauen können. Mit derzeit rund 940 Beschäftigten gestalten wir IT-Sicherheit in Deutschland – aber auch in Europa und der Welt. Eine große Aufgabe für engagierte Fachleute, deren Herz auf der digitalen Seite schlägt. Erfahren Sie mehr: www.bsi.bund.de/karriere Weitere Informationen: bewerbung@bsi.bund.de oder unter Tel.: 0228 99 9582 6388. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 11

Management und Wissen Data-Leakage-Tracking Data-Leakage-Tracking durch digitale Wasserzeichen Datenlecks sind ein bekanntes und immer noch herausforderndes Problem für Unternehmen und staatliche Organisationen. Entgegengewirkt wird solchen Lecks beispielsweise durch Document-Rights-Management-Lösungen, die Dokumente an Systeme und Identitäten bin- den. Der Beitrag stellt ein alternatives Lösungskonzept mittels digitaler Wasserzeichen vor, um im Fall des Falles Data-Leakage nachvollziehen und aufklären zu können. Von Sascha Zmudzinski und Martin Steinebach, Darmstadt Viele Studien zum Thema Data-Leakage haben gezeigt: Die Bedrohung besteht durch externe Aggres- soren (Cyberkriminelle, andere Nationalstaaten), durch böswillige Geschäftspartner und Innentäter sowie durch versehentliche Unachtsamkeit der Mitarbeiterinnen gleichermaßen [1]. Das betrifft den Datenverlust von Arbeitsplatz-PCs und -Laptops, physischen oder virtuel- len Servern, Netzwerkkomponenten, Mobilgeräten und externen Datenträgern. Zudem bleiben viele Datenlecks wochenlang oder gar jahrelang unentdeckt, bevor sie aufgeklärt und erfolgreich geschlossen werden [2]. Unternehmen und Institutionen stemmen sich gegen den unkontrollierten Abﬂuss vertraulicher Daten mithilfe zahlreicher technischer und organisatorischer Maßnahmen. So nutzen sie beispielsweise Data-Leakage- Prevention-(DLP)-Systeme, die vorhandene Assets be- züglich ihrer Vertraulichkeit klassiﬁzieren (z. B. intern, geheim, public) sowie die Einhaltung der Zugriffsrichtli- nien für diese Assets überwachen und durchsetzen („Wer darf was?“). Technische DLP-Komponenten können dabei auf den Endgeräten (Endpoint-DLP) und im Unternehmens- netzwerk (Network-DLP) platziert werden. DLP-Systeme bieten häuﬁg auch eine Verhaltenserkennung von ver- dächtigem Nutzerverhalten (User and Entity Behavior Analytics, UEBA) und nutzen Machine-Learning, um In- nentäter und sorglose Mitarbeiter schneller zu erkennen, die bewusst oder unbewusst ein Sicherheitsrisiko für die eigene Organisation darstellen können. Rights-Management Eine DLP-unterstützende Methode ist das Rights- Management zum Kopierschutz und der Nutzungskon- trolle. Es wird realisiert, indem zu schützende Daten innerhalb eines proprietären Dateicontainers in verschlüs- selter Form abgelegt und eventuell bewegt werden. Sie können nur über kompatible Softwarekomponenten auf dem Endgerät temporär entschlüsselt und somit nutzbar gemacht werden. Diese überprüfen die Nutzungsrechte anhand einer lokalen oder zentralen Zugriffsrichtlinie und schalten bei positivem Prüfungsergebnis die Entschlüsse- lung temporär frei. Selbst wenn der Dateicontainer die geschützte Umgebung der Organisation verlässt, sind die darin ge- speicherten Informationen für einen Angreifer aufgrund der Verschlüsselung wertlos. Rights-Management ist daher eine geeignete DLP-Funktionalität im Zusammenspiel mit Endpoint-DLP-Lösungen. Dieser technische Ansatz ist unter der Bezeichnung Enterprise-Rights-Management (ERM) – mit Schwerpunkt auf Unternehmensdaten – und als Digital-Rights-Management (DRM) – in der Unterhal- tungsbranche für Spielﬁlme und Musik – bekannt. Digitale Wasserzeichen Ein alternativer Ansatz dazu sind digitale Wasser- zeichen (Digital Watermarking); ein Standardverfahren, mit dem sich Multimediainhalte markieren lassen, indem innerhalb eines Mediums eine Nachricht versteckt wird. Wasserzeichen-Systeme sind für viele gängige Medien- typen bekannt. Die Verfahren darf man jedoch nicht verwechseln mit dem Einblenden von sichtbaren Logos oder Markierungen, wie sie etwa Druckertreiber beim Ausdrucken ermöglichen. Wird ein digitales Wasserzeichen in eine Datei eingebettet, werden an den Bild-, Video- oder Audiodaten oder auch dem Textinhalt Veränderungen im Original-Me- 12 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

dium vorgenommen. Diese Modiﬁkationen repräsentie- ren die eingebettete Wasserzeichen-Nachricht, meistens als kurze Bitsequenz. Sie sind so gestaltet, dass sie für einen Menschen nicht wahrnehmbar sind, für einen Computer aber erkennbare statistische Auffälligkeiten darstellen. Die eingebettete Wasserzeichen-Nachricht ent- hält meistens wichtige Metadaten über das markierte Medium: Beim sogenannten Quellen-Wasserzeichen ent- hält die Nachricht Informationen über den Ursprung des Mediums, zum Beispiel über den Ersteller, Urheber, Absender oder das Unternehmen. Beim Transaktions-Wasserzeichen bettet man in unterschiedliche Kopien desselben Originalmediums individuell verschiedene Nachrichten ein. Diese repräsen- tieren zum Beispiel eine Benutzerkennung des Empfängers oder eine fortlaufende Transaktions-ID (siehe Abb. 1). Nach der Markierung sind die Datei-Kopien nur noch für den menschlichen Betrachter identisch – rein binär unterscheiden sie sich. Zu jedem Wasserzeichen-System gehört ein Aus- lesealgorithmus, der „Wasserzeichen-Detektor“. Dieser kann die eingebettete Markierung zu einem späteren Zeitpunkt auslesen und damit helfen, einen Leakage- Vorfall aufzuklären (siehe Abb. 2). Üblicherweise benötigt der Detektor keinen Zugriff auf die Originaldatei, er kann allein aus der markierten Kopie das Wasserzeichen ablei- ten. Man spricht hier von blinden Wasserzeichen. Eigenschaften Heutige am Markt verfügbare Wasserzeichen- Verfahren haben meistens die folgenden Eigenschaften, die Unternehmen bei der Beschaffung einer geeigneten Lösung beachten sollten: Transparenz: Die Wasserzeichen-Nachrichten stecken unwahrnehmbar in den sichtbaren beziehungs- weisen hörbaren Nutzdaten. Markierte und unmarkierte Medien sind vom Menschen in der Regel nicht unter- scheidbar. Robustheit: Die Markierungen sind bei vielen Ver- fahren robust gegenüber den meisten digitalen Nachverar- beitungsschritten; bei Bild-Wasserzeichen beispielsweise gegenüber Skalierung, Beschneiden oder JPG-Kompres- sion in gewissen Maßen. Einbettungsstärke: Bei vielen Algorithmen kann man regeln, wie stark die Veränderungen im Medium sein dürfen. Einbettungskapazität: Bei robusten Verfahren können zumeist kurze Wasserzeichen-Nachrichten von einigen Dutzend Bit eingebettet werden. Sicherheit: Bei gängigen Wasserzeichen-Lösungen sind Zugriff und die Vertraulichkeit der eingebetteten Nachricht durch einen geheimen „Wasserzeichen- Schlüssel“ geschützt. Ohne Kenntnis des Schlüssels sind markierte und unmarkierte Medien (bei vielen Verfahren) auch technisch nicht unterscheidbar. Diese Parameter beeinﬂussen sich teilweise ge- genseitig: Je größer beispielsweise die Einbettungsstärke gewählt wird, desto robuster ist die Nachricht eingebet- tet. Je nachdem können sie sogar analoge Übertragung überleben, zum Beispiel das Abfotograﬁeren, Abﬁlmen oder eine Mikrofonaufnahme. Die Robustheit kann man auch zulasten der Einbettungskapazität optimieren, in- dem intern eine stärkere Redundanz bei der Einbettung durchgeführt wird. Anwendungsfall: Wasserzeichen für E-Mails Als Anwendungsfall für digitale Wasserzeichen betrachten wir nun folgendes Szenario: Ein Projektmit- arbeiter verschickt eine E-Mail mit vertraulichen Infor- Abbildung 1: Transaktions- Wasserzeichen Abbildung 2: Wasserzeichen- Detektion © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 13

Management und Wissen Data-Leakage-Tracking Abbildung 3: Condition-Beispiel in XACML-Sprache: Die Wasserzeichen- Markierung wird ausgeführt, falls die E-Mail-Adresse des Empfängers nicht („not“) zur eigenen Domain („mydo- main.de“) gehört. Abbildung 4: Transaktions- Wasserzeichen für E-Mails. Im Beispiel: (nur) eine E-Mail an externen Empfän- ger wird markiert. mationen als PDF im Dateianhang. Empfänger sind einige Kollegen im Haus und auch Mitarbeiter bei mehreren externen Projektpartnern. Einer der Empfänger gibt dieses PDF unerlaubt weiter und es taucht später im Internet auf oder wird bei Strafer- mittlungen sichergestellt. Wie kann man nun zu- rückverfolgen, welcher der E-Mail- Empfänger als Verursacher infrage kommt? Genau hiefür sind digitale Wasserzeichen einsetzbar: Beim Ver- schicken einer E-Mail lassen sich die Dateianhänge mit einem digitalen Transaktions-Wasserzeichen unsicht- bar markieren. Um das zu erreichen, kön- nen Access-Control-Richtlinien um eine Wasserzeichenfunktion erwei- tert werden – eine Forschungs- gruppe des Fraunhofer SIT hat das prototypisch in der Policysprache „eXtensible Access Control Markup Language (XACML)“ realisiert [3, 4]. Eine simple Regel könnte zum Bei- spiel festlegen, dass alle Dateianhän- ge verpﬂichtend markiert werden sollen (als sogenannte Obligation). In XACML kann man aber auch komplexere Richtlinien regelrecht „programmieren“. Denkbar ist, dass diese Obligation nur unter der Bedin- gung (Condition) gilt, dass die Objektattribute die fraglichen Dateien als besonders schützenswert kennzeichnen (z. B. als vertraulich oder geheim). dass die E-Mail-Adresse des Empfängers zu einer externen Do- main gehört, dass wir also nur E-Mails an externe Personen schüt- zen und per se den eigenen Kollegen vertrauen (siehe Abb. 3). Integration in ein XACML-Framework Das Konzept wurde nun pro- totypisch in ein XACML-Framework implementiert (siehe Abb. 4): Absenden: Der Absender möchte eine E-Mail an zwei Emp- fänger versenden; an eine Kollegin und an einen externen Kontakt. Er benutzt dabei sein übliches E-Mail- Programm und bemerkt nichts von den folgenden Schritten. Policy-Enforcement: Der eigene Mailserver nimmt die E-Mails entgegen und wirkt als Policy- Enforcement-Point (PEP) und setzt die Richtlinie durch. Policy-Decision: Der Mail- server löst hierzu, bevor die E-Mails weiter zugestellt werden, die Prüfung der Conditions auf einem DLP-Server aus. Dieser entscheidet als Policy-De- cision-Point (PDP) über den Einsatz eines Wasserzeichens. Wasserzeichen-Markierung: Jeder Dateianhang oder Bodytext, der gemäß der Richtlinie markiert werden soll, wird an einen separaten Wasserzeichen-Server übertragen und dort markiert. Bei jedem Mar- kiervorgang wird eine neue Trans- aktions-ID vergeben und als Was- serzeichen-Nachricht eingebettet. Die Metadaten zu jeder Transaktion (z. B. User ID des Absenders, Empfän- ger-Adresse, Datum und Uhrzeit, ggf. Dateihashes, Signaturen, IP-Adres- sen) werden in einer Transaktions- Datenbank gespeichert. Markierte Daten beziehungs- weise Dateien ruft der Mailserver vom Wasserzeichen-Server ab und kompiliert sie zu neuen, vollstän- digen E-Mails. Erst dann stellt er sie zu. 14 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Falls mit einem Wasserzei- chen markierte Daten zu einem belie- bigen Zeitpunkt im Zusammenhang mit einer unerlaubten Weitergabe aufgefunden werden, lassen sich nun über die eingebettete Transaktions- ID die ursprünglichen Empfänger identiﬁ zieren. Besonderheiten Allerdings sollten Instituti- onen einige Besonderheiten beach- ten, wenn sie DLP-Watermarking einsetzen. Begrenzte Einbettungs- kapazität So betragen typische Nach- richtenlängen nur einige Dutzend Bits, was meistens nicht ausreichend ist, um die vollständigen Meta- daten des Vorgangs einzubetten. Stattdessen dient die eingebettete Transaktions-ID als Datenbankindex für den jeweiligen Vorgang. In vielen Szenarien ist das jedoch mehr als ausreichend: beispielsweise reichen bereits 32-Bits aus, um mehr als vier Milliarden Transaktionen einer Datei zu indizieren. Die Indizierung ist gleichzeitig eine Maßnahme zum Datenschutz der betroffenen Kommunikationspartner, denn falls der geheime Wasserzeichenschlüssel kompromittiert werden sollte, könn- ten Dritte aus den Wasserzeichen der geleakten Dateikopien keine direk- ten Rückschlüsse auf die beteiligten Personen ziehen. Begrenzte Markierbarkeit Eigene Tests haben gezeigt, dass ein kleiner Prozentsatz an Mediendateien für robuste Wasser- zeichenmarkierung ungeeignet ist. Beispiele sind sehr kleine Bilder (in Pixel gemessen). Die DLP-Richtlinie muss dem Rechnung tragen – da- her sollte in der Policy per Attribut unterschieden werden können, ob der Markierungsvorgang im engeren Sinne „obligatorisch“ ist oder ob im Einzelfall toleriert werden kann, dass ein Medium optional auch unmar- kiert bleibt. Konformität mit anderen Schutzverfahren Wasserzeichenmarkierun- gen verändern aktiv das Datenma- terial. Die Veränderungen finden innerhalb der sichtbaren/hörbaren „Nutzdaten“ statt und nicht im Speicherplatz für Metadaten, die das jeweilige Dateiformat möglicher- weise bietet. Problematisch kann das werden, wenn aufgrund anderer Schutzverfahren keine nachträg- lichen Änderungen an den Daten möglich oder zulässig sind. Das be- schriebene Schutzkonzept ist daher nicht konform mit clientseitiger Ende-zu-Ende-Verschlüsselung, Sig- naturverfahren zur Echtheitsprüfung oder Datenklassiﬁ zierung in DLP- Systemen per Kryptohashes. Mehrfachmarkierung Wasserzeichenalgorithmen sind sehr unterschiedlich geeignet, mehrfache Markierungen im glei- chen Medium nacheinander auszu- führen. Das ist etwa dann relevant, wenn Arbeitskopien während ihrer Bearbeitung durch viele Hände ge- hen, bevor das Dokument ﬁ nalisiert wird. Je nach Design würde bei jeder Weitergabe, zum Beispiel per E-Mail, ein weiteres Transaktions-Wasser- zeichen eingebettet. Bei manchen Algorithmen führen mehrfache Mar- kierungen prinzipiell zu einem Trans- parenzverlust: Die Markierung einer Bilddatei oder eines Bildes in einem PDF-Dokument würde beispielsweise für das bloße Auge sichtbar. Manche Verfahren haben auch eine Art „Ein- weg-Eigenschaft“, sodass die erste und eventuell anschließende Markie- rungen sich gegenseitig „stören“ und schließlich keine der Nachrichten ausgelesen werden können. Symmetrischer Schlüssel Letztlich nutzen Wasserzei- chenlösungen in der Regel ein sym- kritis. ihr฀update. Was฀erwartet฀Sie? > im฀Fokus:฀IT฀und฀physische฀Sicherheit > 2฀Tage฀hochkarätiges฀Fachprogramm,฀฀ ฀ Best-Practices฀&฀Workshops > eine฀einzigartige฀Plattform฀mit฀฀ ฀ garantiertem฀Informations-฀und฀฀ ฀ Wissensaustausch >฀Treffpunkt฀für฀Betreiber฀kritischer฀฀ ฀ ฀ Vertreter฀aus฀Sicherheitsindustrie฀ ฀ und฀Regulation Infrastrukturen฀aller฀Sektoren,฀฀ ฀ ฀ Buchen฀Sie฀jetzt฀Ihr฀Ticket! © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 www.protekt.de

Management und Wissen Data-Leakage-Tracking metrisches Vorgehensmodell bezüglich des Schlüssels. Die geheimen Schlüssel müssen also durch geeignete Maß- nahmen vor unerlaubter Kompromittierung geschützt werden. Asymmetrische Wasserzeichen sind weiterhin Forschungsgegenstand, aber nicht als kommerzielle Lö- sungen verfügbar. Fazit und Ausblick Insgesamt verhindert ein eingebettetes Trans- aktions-Wasserzeichen zwar nicht aktiv die unerlaubte Weitergabe von vertraulichen Dateien. Es wirkt viel- mehr wie das Autokennzeichen bei einem Pkw, das eine Nachverfolgung erlaubt. So können Unternehmen ihre Mitarbeiter zu verantwortungsvollem Umgang mit den ihnen anvertrauten Daten anhalten und Innentäter oder externe Partner werden vor unerlaubtem Datenabﬂuss ab- geschreckt. Hierzu müssen Unternehmen alle Beteiligten vorab über den Einsatz von Wasserzeichen informieren. Vergleicht man E-Mail-Verschlüsselung, DLP und DRM miteinander, so lässt sich feststellen, dass eine Literatur [1] InfoWatch Analytics Center, A Study on Global Data Leaks in 2018, April 2019, https://infowatch.com/re- port2018 [2] Verizon Communications Inc., The 2019 Data Breach Investigations Report, Mai 2019, https://enterprise. verizon.com/resources/reports/2019-data-breach-inves- tigations-report-emea.pdf [3] Erik Rissanen (Editor), XACML v3.0 Core and Hierar- chical Role Based Access Control (RBAC) Proﬁle Version 1.0 – Speciﬁcation 02, OASIS Consortium, XACML Techni- cal Committee, Oktober 2014, http://docs.oasis-open.org/ xacml/3.0/rbac/v1.0/xacml-3.0-rbac-v1.0.html [4] John Tolbert, Richard Hill, Crystal Hayes, David Bros- sard, Hal Lockhart und Steven Legg, XACML Data Loss Prevention / Network Access Control (DLP/NAC) Proﬁle Version 1.0 – Committee Speciﬁcation 01, XACML Techni- cal Committee, OASIS Consortium, Februar 2015, http:// docs.oasis-open.org/xacml/xacml-3.0-dlp-nac/v1.0/cs01/ xacml-3.0-dlp-nac-v1.0-cs01.pdf [5] Shabtai, Asaf, Yuval Elovici und Lior Rokach, A Taxono- my of Data Leakage Prevention Solutions, In: A Survey of Data Leakage Detection and Prevention Solutions, Sprin- gerBriefs in Computer Science, S. 11 ff., 2012, Springer US E-Mail-Verschlüsselung wirksam die Vertraulichkeit des Mailtextes und der Dateianhänge während der E-Mail- Zustellung und der Speicherung auf Mailservern und ihrer Kopien auf Client-Rechnern schützt. Allerdings sind die E-Mails nach der Entschlüsselung ungeschützt. Die unerlaubte Weitergabe der Dateien kann somit technisch nicht kontrolliert werden – das gilt vor allem für E-Mails an externe Empfänger. Das Gleiche gilt auch für eingesetzte DLP-Systeme oder DRM: Eine Weitergabe von Daten, die – legitimer- weise – per E-Mail zirkulieren, können diese Lösungen außerhalb der eigenen Organisation nicht beeinﬂussen oder nachvollziehbar machen. Digitale Wasserzeichen bieten einen zusätzlichen Schutz bei der Aufklärung von Datenlecks und der Ab- schreckung vor künftigen Vorfällen dieser Art. Ein einge- bettetes Transaktions-Wasserzeichen kann als „psycholo- gischer Kopierschutz“ wirken; auch außerhalb der eigenen Organisation und prinzipiell auch für analoge Kopien. Verfahren dieser Art sind bereits in der Film- und Musikbranche im Einsatz und schützen Previews und Promo-Kopien. Im Unternehmensumfeld lässt sich das Konzept beispielsweise im Kontext von Access-Control- Richtlinien zum Schutz von E-Mails anwenden. Auch die technische Parametrisierung von Wasserzeichen-Algo- rithmen kann regelrecht „programmiert“ werden, zum Beispiel für die Steuerung der Einbettungsstärke oder die Wahl des geheimen Schlüssels. In Policy-Beschreibungssprachen wie XACML kann man auch DLP-Proﬁle für weitere Exﬁltrationswege festlegen, etwa für Data-Leakage aus Fileservern, Cloud- speichern oder mobilen Datenträgern. ■ Dr. Sascha Zmudzinski ist im Fraunhofer Institut für sichere Informationstechnologie SIT zuständig für die Themen Multi- media-Forensik und Data-Leakage-Prevention. E-Mail: sascha. zmudzinski@sit.fraunhofer.de Prof. Dr. Martin Steinebach leitet am Fraunhofer SIT die Ab- teilung „Media Security and IT Forensics“. Er ist Honorarpro- fessor der TU Darmstadt in Multimedia-Sicherheit und leitet zahlreiche Projekte zu IT-Forensik, Big-Data-Sicherheit und maschinellem Lernen für Industrie und die öffentliche Hand. E-Mail: martin.steinebach@sit.fraunhofer.de 16 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Management und Wissen SD-WAN Sichere und stabile Netzwerke SD-WAN vorausschauend planen Unternehmen haben mit einer immer größer werdenden Datenlast zu kämpfen: Der zunehmende Vernetzungsgrad etwa durch das Internet of Things und Industrie 4.0 führt zu riesigen Daten- strömen, die durch die Unternehmensnetze ﬂießen. Ein software-basiertes WAN (SD-WAN) sorgt mit wenig Aufwand für Entlastung. Bei der Wahl der passenden Lösung sind jedoch einige Kriterien zu bedenken. Von Tim Cappelmann, Langenhagen Die digitale Transformation stellt hohe Ansprüche an die bestehenden Wide Area Networks (WANs). Wenn es darum geht, mehr Netzwerkleistung bereitzustellen, sind sie jedoch zu langsam und unﬂexibel. Bisher war deswegen bei höherem Bedarf der Zukauf von Multiprotocol-Label- Switching-(MPLS)-Leitungen nötig. Der Aufbau solcher MPLS-Netze ist jedoch zeitintensiv, teuer und schwer skalierbar. Als Mittel der Wahl setzen daher immer mehr Unternehmen auf die SD-WAN-Technologie, die mehr Leistung, Verfügbarkeit und Transparenz verspricht. Gartners „Hype Cycle for Midsize Enterprises, 2018“ erstellte eine Prognose für SD-WAN-Produkte und gab an, dass sie spätestens im kommenden Jahr ihren Marktdurchbruch erreichen. Die Anbieter haben dement- sprechend ihre Konzepte standardisiert und ermöglichen so einen immer leichteren, zielgerichteteren Einsatz. Hier spielt ihnen der voranschreitende Digitalisierungsgrad der Unternehmen in die Hände: Die IT-Abteilungen stehen zunehmend vor der Aufgabe, immer mehr Services und Anwendungen schnell und störungsfrei an unterschiedli- chen Standorten bereitzustellen. Gerade auch die Migration in die Cloud führt zu einem stetig wachsenden Bedarf an Bandbreite. So gibt der Cloud-Monitor 2019 von Bitkom Research an, dass im Jahr 2018 rund 73 Prozent der befragten Unternehmen Cloud- Computing nutzten. Im Vorjahr waren es noch 66 Prozent. 85 Prozent sehen die Cloud-Nutzung als treibende Kraft der Digitalisierung – doch Software as a Service (SaaS), In- frastructure as a Service (IaaS), Platform as a Service (PaaS) sind nur dann erfolgreich, wenn ein stabiles WAN einen zuverlässigen Zugriff auf die Cloud-Services ermöglicht. Ein SD-WAN ist eine mögliche Lösung für dieses Problem; es schafft ein stabiles Netz und sorgt so für eine höhere Ausfallsicherheit. Die SD-WAN-Technologie bündelt unterschied- liche Leitungen wie MPLS, DSL und LTE-Dienste zu einer virtuellen Verbindung und spannt über alle nutzbaren Übertragungswege ein Overlay-Netzwerk. Dieses setzt auf das physische IP-Underlay-Netzwerk auf, das die Datenpa- kete transportiert. Das SD-WAN weist den Daten automa- tisch die passende Netzwerkleistung zu. Dafür überprüft es kontinuierlich die verfügbaren Leitungen und routet die Datenpakete über den jeweils bestmöglichen Pfad. Der passende Pfad Auch bei Pfadausfällen oder sinkender Perfor- mance reagiert das SD-WAN und lenkt den Trafﬁc au- tomatisch um. Diese Failover-Mechanismen greifen in Zeitspannen weit unterhalb einer Sekunde – Anwender bekommen davon also nicht viel mit. Der Betrieb verläuft dabei störungsfrei, ohne dass sie ihre Programme oder Systeme neu starten, verbinden oder sich wiederholt anmelden müssen. Die IT-Prozesse laufen somit ohne Unterbrechung und deutlich stabiler. Für Unternehmen bedeutet das auch eine erhöhte Betriebssicherheit: Das SD-WAN berücksichtigt den si- cheren Transfer von Daten, entsprechend ihrer Relevanz und der Unternehmensrichtlinien. Über die privaten MPLS-Leitungen schickt es beispielsweise Daten mit hoher Priorität oder besonders vertrauliche. Weniger sensible Da- tenpakete routet das SD-WAN über öffentliche und somit preiswertere Internetverbindungen. Trotzdem bleibt der Datenverkehr über die Tunnelverschlüsselung geschützt. SD-WAN vereinfacht darüber hinaus die Kon- ﬁguration von Routern und Edge-Geräten: Mitarbeiter der IT-Abteilungen verwalten die Geräte mit SD-WAN nicht mehr einzeln, sondern über eine zentral steuernde Instanz. So sind Netzwerk- und Sicherheitsrichtlinien in wenigen Klicks auf allen Geräten installiert. Der Aufwand, ein SD-WAN in Betrieb zu nehmen, ist daher minimal und der Service steht schnell bereit. Auch volatilen An- © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 17

Management und Wissen SD-WAN forderungen an Leitungsparameter oder agile Bereitstellungsprozesse begegnet SD-WAN sofort. Mehr Transparenz Die SD-WAN-Technologie eröffnet einen ständigen Überblick über die Datenströme und schafft so Transparenz darüber, wie die Leitun- gen ausgelastet sind. Außerdem ist ersichtlich, welche Anwendungen und Netzteilnehmer mit welcher Netzqualität versorgt sind – histo- risch und in Echtzeit. Bevor der An- wender es überhaupt merkt, sieht der Administrator, wo sich Engpässe an- bahnen oder wo die Orchestrierung nicht aufeinander abgestimmt ist. Da es diese Einblicke in Legacy-WANs nicht gibt, ziehen Leitungsprobleme hier oftmals eine längere Fehlersuche nach sich. Die SD-WAN-Technologie erhöht die Reaktionsgeschwindig- keit bei Problemen somit erheblich und unterstützt damit die gesamte Geschäftsagilität. Aber das bessere Monitoring erlaubt nicht nur, auf die Netzwerk- auslastungen zu reagieren. Es ermög- licht auch, größeren Datentransfer, der etwa bei Updates anfällt, vor- ausschauend zu planen. Ein weiterer Vorteil der software-deﬁnierten Lö- sung liegt darin, dass sie durch das Echtzeit-Monitoring Security-Risiken senkt. Die Übersicht der Datenströme hilft beispielweise Distributed-Deni- al-of-Service-(DDoS)-Attacken oder den physischen Abzug von Daten frühzeitig zu erkennen und abzuweh- ren. Potenzielle Schäden werden so auf ein Minimum begrenzt. Passende Produkte Aktuell haben sich ver- schiedene Anbieter mit SD-WAN- Produkten und einer ergänzenden Service-Ökonomie auf dem Markt positioniert. Führend sind hier be- kannte Anbieter wie Citrix, Cisco oder Aruba. Bei der Auswahl eines Providers sollten Unternehmen ge- nau hinschauen: Hinter dem Begriff SD-WAN versteckt sich oft ein unter- schiedliches Verständnis. Der Kern der Technologie ist das dynamische Routing der Anwendungsklassen über das Over- lay-Netzwerk. Das heißt, es ﬁndet ein kontinuierlicher Abgleich der Netzwerkknoten untereinander statt. Das funktioniert, wenn sich alle Knoten miteinander austauschen und Kenntnisse von der Lastsituati- on aller Netzwerkknoten haben. Auf diese Weise leitet das SD-WAN den Daten-Trafﬁc intelligent um – SD- WAN-Produkte, die dieses Prinzip beinhalten, schaffen die gewünschte Netzﬂexibilität. Einige Hersteller schließen in ihr Produkt zusätzlich eine WAN- Optimierungs-Technologie ein, Ein SD-WAN bündelt virtuell unterschiedliche Leitungen und Dienste und spannt ein Overlay-Netz- werk. die unter anderem Datenkompri- mierung, Traffic-Engineering und Bandbreiten-Management umfasst. So ermöglichen die Produkte bei- spielsweise eine Kompressionsrate von 1:10 000, sobald die Leitung wiederkehrende Bitmuster trans- portiert. Damit verringert sich der Daten-Trafﬁc und analog dazu der Leitungsbedarf. Das gilt besonders bei vielen Protokollen, die ursprüng- lich nicht für den latenzbehafteten WAN-Betrieb konzipiert wurden (CIFS, NFS etc.). Vor dem Kauf eines SD- WAN-Produkts sollten Unterneh- men daher zwingend den Bedarf ih- rer Bandbreite ermitteln. Dann gilt es grundsätzlich zu entscheiden, ob sie eine WAN-Optimierung im Overlay- Netzwerk des SD-WANs integrieren möchten. Die Anschaffungskosten liegen dabei höher als bei einem SD-WAN ohne diese Technologie. Meist zahlt sich die Investition aber dadurch aus, dass die Netze besser ausgelastet sind. Außerdem ist weni- ger Netzvolumen bei den beteiligten Providern nötig. Eigenregie oder Dienst- leistung? Nun stellt sich dem Unter- nehmen die nächste Frage: Installiert und verwaltet die eigene IT-Abteilung das SD-WAN oder übernimmt das ein Managed-Service-Partner? Der Knackpunkt liegt dabei hauptsäch- lich bei der Betreuung des SD-WANs: Die Standard-Installation selbst hat oftmals einen Plug-and-Play-Cha- rakter und wird vom Techniker des Herstellers begleitet. Sobald es dann aber um die individuelle Konﬁgura- tion, vor allem bei der Optimierung, und das tägliche Monitoring geht, ist das für Unternehmen zeit- und ressourcenintensiv. Denn die Admi- nistratoren haben die Aufgabe, die Anwendungslandschaft der konkre- ten Organisation anzupassen und die Kommunikationsmatrix entspre- chend zu adaptieren. 18 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Der Einsatz eines Managed-Service-Partners ist deswegen gerade für kleine und mittlere Unternehmen (KMU) sinnvoll. Die Service-Provider sind mit der Technik vertraut und überwachen das software-deﬁnierte WAN rund um die Uhr – sobald unregelmäßige oder ungewöhn- liche Datenströme auftreten, kann der Dienstleister so entsprechende Maßnahmen einleiten. Hersteller von SD- WAN-Produkten gehen immer mehr dazu über, System- häuser als Service-Partner einzubeziehen, um die Kompati- bilität zu verbessern. Wenn diese den Partnerstatus tragen, besitzen sie entsprechende Expertise. Außerdem stehen sie mit dem SD-WAN-Anbieter in direktem Austausch, was die Qualität des Services nochmals erhöht. Bessere Security-Sensorik Damit die Installation des SD-WANs reibungs- los verläuft, gilt es spezielle Eckpunkte zu bedenken. Grundlegend sollte man prüfen, ob die Schnittstellen der Unternehmens-IT mit denen des SD-WAN-Produkts kom- patibel sind. Ist das gegeben, greifen im übrigen Verlauf die standardisierten Schnittstellen des Underlayer-Netzwerks. Hersteller wie Cisco, Aruba und Citrix veröffentlichen dazu Deployment Guides, die die Installationsschritte detailliert beschreiben. Im laufenden Betrieb sind die gesamten Komponenten des SD-WANs dann über das Overlay miteinander verbunden. Zusätzlich zur WAN- Optimierung verbessert das unter bestimmten Vorausset- zungen die IT-Sicherheit: Über das Overlay lässt sich der Datenverkehr in der gesamten Organisation abgreifen und schlussendlich auf potenzielle Gefahren untersuchen – obwohl der Datenverkehr verschlüsselt ist. Ein SD-WAN erleichtert darüber hinaus auch die Installation der Security-Sensorik. Will ein Unternehmen beispielsweise ein zusätzliches Intrusion-Detection-Sys- tem (IDS) implementieren, lässt sich dieses ganz leicht über die SD-WAN-Technologie integrieren, da das mühsame Forschen nach den nötigen Netzwerkpunkten komplett entfällt. Das vereinfacht es, Sicherheitsbausteine wie ein IDS in einem verzweigten Netzwerk durchzusetzen. Entscheiden sich Unternehmen für einen SD- WAN-Betrieb mithilfe eines Managed-Service-Partners, sollten sie vorab darauf achten, dass der Dienstleister über die nötige Security-Expertise verfügt. Ist der Provider im Security-Bereich erfahren, sind Unternehmen in der Lage, die gesamte Bandbreite der SD-WAN-Technologie auszuschöpfen. Damit die Systeme effektiv greifen, ist eine 24/7-Überwachung notwendig – das stellen spezielle Managed-Security-Service-Provider (MSSP) sicher. Idealer- weise sind dabei Lösungen wie ein IDS ein Baustein eines umfänglichen Security-Operation-Centers (SOC), dessen Verwaltung dem MSSP obliegt. Auch Hersteller von SD- WAN-Komponenten richten ihren Fokus verstärkt auf das Sicherheitsthema und integrieren in ihren Produkten zum Beispiel Firewall-Technik. Der Betrieb der Sicherheits- komponenten läuft hierbei mithilfe virtueller Maschinen (VMs) – zusätzliche Kosten für Erwerb und Installation von Hardware entfallen dadurch. Fazit Spätestens mit dem ﬂächendeckenden Einsatz von Cloud-Services stehen Unternehmensnetzwerke unter Leistungsdruck. Ein SD-WAN ist „State of the Art“, wenn es darum geht, Daten schnell, sicher und kosten- sparend an ihre Zielorte zu transportieren. Im täglichen Einsatz gilt es vor allem, die Vorteile des umfänglichen Monitorings zu nutzen. Hier sollten Unternehmen ab- wägen, ob die eigene IT-Abteilung das SD-WAN verwaltet oder ob sie dafür einen Dienstleister engagieren. Besonders bei der Installation ist es für Unternehmen ratsam, den Sicherheitshinweisen der Hersteller zu folgen. Um das Security-Level der gesamten Unternehmens-IT zu steigern, bieten Hersteller oftmals bereits Sicherheits-Features in ihren Produkten an. Über ein SD-WAN-Overlay lassen sich diese dann einfach implementieren. Unternehmen sollten prüfen, ob sie auf spezialisierte Managed-Security- Service-Provider zurückgreifen, um alle Lösungen am Ende miteinander zu verknüpfen. ■ Tim Cappelmann ist Leiter Managed Services bei AirITSystems. Rethink Cyber Security Dortmund, 04. – 05. März 2020 Dortmund, 04. – 05. März 2020 Dortmund, 04. – 05. März 2020 Cyber Security Fairevent – for Professionals Only Neuer Standort | Neuer Termin | Neues Konzept Neues Erlebnis | Neue Kontakte Cyber Security Solutions, die Sie weiterbringen: www.cybersecurity-fairevent.com © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Messe Messe Messe Event Event Event Kongress Kongress Kongress Erlebniswelt Erlebniswelt Erlebniswelt

Anzeige Langfristig Aufwand und Kosten reduzieren ISMS-Software löst manuelle Datenpﬂege ab Aufgrund zunehmender Cyberattacken investieren Unternehmen immer mehr in ihre IT-Sicherheit. Die IT-Abteilung integriert Firewalls, Antiviren- Software und Monitoring-Systeme. Zusätzlich landet bei den IT-Abteilungen immer häufiger die Aufgabe ein ISMS (Informationssicherheits-Manage- mentsystem) einzuführen. Doch dies ist leichter gesagt als getan; denn gerade beim Thema Informationssicherheit stehen die Projektverantwort- lichen vor einer großen Herausforderung. Sie sollen ein ganzheitliches ISMS auf die Beine stellen – und das natürlich schnell und möglichst ressourcen- schonend. Da ihnen in diesem Bereich die Erfahrung fehlt, scheint hier die einfachste und günstigste Lösung in Office-Vorlagen zu liegen. Diese ent- puppen sich allerdings schnell als aufwendig, kostenintensiv und nicht zum eigenen Unternehmen passend. Autor: Jörg Kretzschmar, Geschäftsführer CONTECHNET Deutschland GmbH Die meisten kritischen und schützenswerten Informationen wer- den heute mittels IT verarbeitet, gespei- chert und abgerufen. Um den Schutz dieser Informationen zu gewährleisten, sind natürlich verschiedene technische Maßnahmen erforderlich. Aber auch wenn die Einführung eines ISMS häu- ﬁg in die IT-Abteilung abgegeben wird, beginnt dieses Thema nicht erst bei der Technik. Letzten Endes werden die Maßnahmen von Menschen angesto- ßen, durchgeführt und kontrolliert. Diese Personen müssen entsprechend geschult sein, das nötige Fachwissen erhalten sowie ihre Aufgaben lückenlos kennen und erfüllen. Diese organisa- torischen Maßnahmen gelten also als unabdingbare Rahmenbedingung für die technische Sicherheit. Doch was be- deutet das konkret? Wer ist nun für die Einführung eines ISMS verantwortlich, welche Abteilungen und Prozesse sind betroffen und wie wirkt sich ein ISMS auf die Organisationsstrukturen aus? Ohne Plan kein ISMS Im Idealfall beschäftigt das Unternehmen einen CISO, also einen Gesamtverantwortlichen für Informati- onssicherheit, der sich um alle Themen in diesem Bereich kümmert. Die Realität ist jedoch meist eine andere: Unterneh- men wissen zwar, dass sie etwas für ihre Sicherheit tun müssen, allerdings haben sie meist genug mit ihrem Arbeitsalltag zu tun. Gerade in mittelständischen Unternehmen fehlen die Zeit und das nötige Personal, um sich intensiv mit Themen wie Informationssicherheit zu beschäftigen. Stattdessen wird ein Mitarbeiter mit der Aufgabe betraut, doch für ihn ist Informationssicherheit häuﬁg Neuland. Ofﬁce-Anwendungen als einfache Lösung? Der Projektverantwortliche steht nun der Frage gegenüber, wie er am besten vorgehen und wo er anfangen soll. Als Antwort wird ihm oft entgegnet, dass man das Projekt doch schnell und günstig mit bereits vorhandenen Anwendungen abwi- ckeln kann. Bei der Recherche stößt der zuständige Mitarbeiter schnell auf verschiedene Angebote mit Word- und Excel-Vorlagen, die es „nur“ noch auf das Unternehmen anzupassen gilt - und das alles zu relativ niedrigen Anschaf- fungskosten. Bei dieser Vorgehensweise müssen die Personalveränderungen, die ständige Veränderung der Technik und der Prozesse händisch aktuell gehalten werden, was den Aufwand im Arbeitsall- tag in die Höhe treiben lässt. Werden die Daten bei Änderungen im Unter- nehmen aber nicht stets angepasst, sind sie weder für die eigene Nutzung geeignet – also zum Beispiel im Ernstfall, sollten Informationen durch Manipu- lation abhandenkommen, noch halten sie einer Rezertifizierung souverän stand. Auch wenn es zunächst nach einer einfachen und schnellen Lösung aussieht, helfen diese Vorlagen dem- nach nicht, das gesamte Projekt zu organisieren, Regelungen zu erstellen, ein Risikomanagement zu etablieren oder auch Awareness-Schulungen durchzuführen. Bereits nach kurzer Zeit wächst dem Verantwortlichen die Steuerung, Verwaltung und Aktualisie- rung der Dokumente über den Kopf. Die fehlende Automatisierung bei der Datenpﬂege und der damit konstant

Anzeige hohe Aufwand lassen die vermeintlich geringe Anfangsinvestition schnell zu einer Kostenfalle werden, die sich nicht kalkulieren lässt. Eine andere Lösung muss her, und die bisherige Arbeit war vergebens. Der Berater wird’s schon richten An diesem Punkt wird häuﬁg ein Beratungsunternehmen beauftragt. Der Berater übernimmt die Durchfüh- rung und somit die Verantwortung für das Projekt. Verläuft alles nach Plan, er- hält das Unternehmen als Ergebnis eine einmalige Zertiﬁzierung und zahlreiche Ordner mit Dokumenten. Nun ist die Ar- beit des Beraters getan, das Projekt allem Anschein nach abgeschlossen – und das Know-how bleibt beim Berater. Aber wie geht es im Unternehmen nach der Zer- tiﬁzierung weiter? Noch immer ist kein ganzheitliches Managementsystem etabliert. Zudem muss jede Änderung im Managementsystem wieder durch den Berater erfolgen. Spätestens bei der Rezertiﬁzierung nach drei Jahren oder bei den jährlichen Überwachungsaudits steht das Unternehmen also wieder vor der gleichen Herausforderung und das Spiel geht von vorne los. Software-Unterstützung als dauerhafte Lösung Nun hält es der Verantwortliche doch für das Beste, eine Software zu erwerben, um nicht nur schnell den gesetzlichen Anforderungen gerecht zu werden, sondern auch eigenständig das Projekt umsetzen zu können. Aufgrund der höheren Anschaffungskosten stößt er bei der Management-Ebene jedoch häuﬁg auf Ablehnung. Aber im Gegen- satz zu Ofﬁce-Vorlagen führt der hohe Standardisierungsgrad einer Softwarelö- sung zu einer schnelleren Lernkurve und damit langfristig zu deutlich gerin- geren Kosten. Eine solche Lösung, wie IN- DITOR von CONTECHNET, weist eine hohe Beratungsintelligenz auf, lässt sich intuitiv bedienen und bietet zahlreiche unterstützende Funktionen sowie Vorlagen für die Erstellung von Dokumenten. So können zum Beispiel rungsrelevante Informationen und hält diese aktuell. Die identiﬁzierten Risiken lassen sich viel einfacher managen und die so entstehende Transparenz spart zusätzlich Kosten ein. Einer der wesentlichen Mehr- werte ist, dass eine solche Tool-Unter- stützung nach der Implementierungs- phase die tägliche Arbeit erleichtert. Damit ist das Unternehmen in der Lage, ein ISMS nicht nur selbstständig einzuführen, sondern den gesamten Managementprozess in die Unterneh- menskultur zu integrieren. CONTECHNET Deutschland GmbH Mehrumer Straße 8 c + d | 31319 Sehnde Tel.: +49 5138 70255 0 sales@contechnet.de www.contechnet.de Besuchen Sie uns auf der it-sa in Halle 9, Stand 9-338 Gegenüberstellung Ofﬁce – Softwarelösung in Euro im Unternehmen bereits vorhandene Informationsquellen sowie Systeme eingebunden werden. Die Daten lassen sich daraus automatisch in die Soft- warelösung importieren und zentral verwalten. Damit sind die Informati- onen immer auf dem aktuellen Stand. Darauf aufbauend werden die Risikoa- nalyse, -beurteilung sowie -behandlung vollintegrativ durchgeführt. Mithilfe der ISMS-Software werden Prozesse transparent, da die Abhängigkeiten sichtbar gemacht und damit optimiert werden können. Inve- stitionen lassen sich zielsicher tätigen und auf diese Weise Kosten einsparen. ISMS als Chance sehen Um das Projekt ISMS so schnell und so kostengünstig wie möglich abzu- schließen, greifen die Verantwortlichen meist auf Ofﬁce-Vorlagen zurück. Doch sie bedenken nicht, dass die meisten Informationen beim Eintippen quasi schon nicht mehr aktuell sind. Auch wenn an dieser Stelle ein Berater tätig wird und das Projekt übernimmt sowie das Unternehmen zu einer einmaligen Zertiﬁzierung bringen kann, geht es bei der Einführung eines ISMS doch um viel mehr. Mit einer entsprechenden Soft- warelösung kann der zuständige Mitar- beiter nicht nur die Implementierung eigenständig durchführen, sondern auch langfristig den Betrieb des ISMS sicherstellen. Über eine Zertiﬁzierung hinaus liefert die Softwarelösung steue-

Systeme und ihr Umfeld Hauptspeicherforensik mit Volatility Volatility-Workshop (2) Der Weg von Prozessen zu Spuren und Artefakten von Malware Im Nachgang zu seinem Überblicksbeitrag [1] zu Prozessen und Open-Source-Tools für Inci- dent-Response und Forensik behandelt unser Autor in einer Reihe von Workshop-Beiträgen den konkreten Einsatz entsprechender Softwarewerkzeuge. Als erstes steht die Hauptspei- cherforensik mit Volatility auf dem Programm. Von Jochen Schlichting, Karlsruhe Dieser Workshop stellt verschiedene grundle- gende Volatility-Plugins vor, die es ermöglichen, ein gutes Verständnis zu Ereignissen auf einem kompromittierten System zu gewinnen und dadurch einen ersten Einblick in mögliche Aktivitäten von Schadsoftware zu erhalten. Im Folgenden werden typische Eigenschaften von Windows- Prozessen aufgeführt, die sich mit Volatility analysieren und extrahieren lassen, um irreguläres Verhalten zu identi- ﬁzieren und einem forensischen Analysten eine Handhabe für weitere Schritte zu liefern. Auﬂisten von Process-Handles Sobald man einen schädlichen Prozess identiﬁ- ziert hat, möchte man während einer Untersuchung viel- leicht wissen, auf welche Objekte (z. B. Prozesse, Dateien, Registrierungsschlüssel usw.) er zugreift, um eine Vorstel- lung von mit der Malware verbundenen Komponenten und einen Einblick in ihre Funktionsweise zu erhalten. So könnte etwa ein Keylogger auf eine Protokolldatei $ vol.py handles -p 1496 zugreifen, um erfasste Tastenanschläge zu protokollieren, oder ein Schadprogramm möglicherweise aktiven Zugriff auf eine Konﬁgurationsdatei besitzen. Um auf ein Objekt zuzugreifen, muss ein Prozess zunächst ein sogenanntes Handle für dieses Objekt öffnen, indem er eine API wie CreateFile oder CreateMutex aufruft. Ein Handle ist eine indirekte Referenz auf ein Objekt: Die Objekte beﬁnden sich im Kernelspeicher (Kernel-Space), während der Prozess im Benutzerbereich (User-Space) abläuft. Durch diese Trennung bedingt, kann ein Prozess nicht direkt auf Objekte zugreifen und benötigt daher ein Handle, das ein Objekt repräsentiert. Sobald ein Prozess ein solches Handle öffnet, verwendet er es, um nachfolgende Operationen auszuführen – beispielsweise zum Schreiben in oder Lesen aus einer Datei. Zu jedem Prozess gibt es eine private Handle- Tabelle, die sich im Kernelspeicher beﬁndet – sie enthält alle Kernelobjekte wie Dateien, Prozesse und Netzwerk-So- Details ––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––– MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS KnownDlls KnownDlls32 \Device\HarddiskVolume1\Windows MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS KnownDlls32 Service-0x0-3e7$ Default Service-0x0-3e7$ MACHINE\SYSTEM\CONTROLSET001\CONTROL\NLS\CUSTOMLOCALE USER\.DEFAULT Abbildung 1: Auﬂistung aller Handles eines Prozesses mit dem Plugin handles Pid Handle 0x4 0x8 0xc 0x10 0x100020 File 0x9 Key 0x14 0x18 0x3 Directory Offset(V) Access Type ––––––––––––––––––– –––– –––––– –––––––– –––– 0x9 Key 0xfffff8a00120e3e0 1164 0x3 Directory 0xfffff8a003e97bd0 1164 0xfffff8a003f10d70 1164 0x3 Directory 0xfffffa8019f1fbc0 1164 0xfffff8a001238c40 1164 0xfffff8a003f10d70 1164 [...] 0xfffffa8019d6e4e0 1164 0xfffffa8019d6fb60 1164 0xfffffa8019d6e4e0 1164 0xfffff8a001534290 1164 0xfffff8a001346370 1164 0xfffffa801a1e12d0 1164 0xfffffa801941f7d0 1164 0xfffff8a003f81740 1164 0xfffffa8019f15290 1164 0xfffffa801a275060 1164 [...] 0x64 0xf016e WindowStation 0x68 0xf00cf Desktop 0x6c 0xf016e WindowStation 0x70 0x1 Key 0x74 0xf003f Key 0x804 EtwRegistration 0x78 0x7c 0x1f0003 Event 0x80 0x84 0x1f0001 Mutant 0x88 0x1fffff Thread 0xf Directory BaseNamedObjects DBWinMutex TID 2136 PID 1164 22 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

ckets, die diesem speziﬁschen Prozess zugeordnet sind. Wenn der Kernel von einem Prozess die Anforderung erhält, ein Objekt zu erstellen (über eine API wie CreateFile), wird das Objekt im Kernelspeicher angelegt. Ein Zeiger (Pointer) auf das Objekt wird in den ersten verfügbaren Slot in der Prozess-Handle-Tabelle platziert und der entsprechende Indexwert an den Prozess zurückgegeben. Dieser Indexwert ist das Handle, welches das Objekt repräsentiert. Auf einem laufenden System kann man die Kernel-Objekte, auf die ein bestimmter Prozess zugreift, mit dem Werkzeug Process Explorer über- prüfen (aus der Sysinternals Suite, siehe https://docs.microsoft.com/de- de/sysinternals/). Dazu startet man den Process Explorer als lokaler Admi- nistrator, klickt mit der linken Maus- taste auf einen beliebigen Prozess und aktiviert dann in der GUI mit View -> Lower Pane View -> Handles (oder per Tastatur mit Ctrl-H) die Handle- Übersicht im unteren Bereich. Erinnerung: csrss.exe csrss.exe ist ein legitimer Betriebssystemprozess, der bei der $ vol.py handles -p 1164 -t Mutant Volatility Foundation Volatility Framework 2.6.1 Offset(V) ––––––––––––––––––– 0xfffffa801a1c0d00 0xfffffa801a0ce3f0 0xfffffa8019f15290 0xfffffa8019efee60 0xfffffa8019f58500 0xfffffa801a2f41c0 0xfffffa801a2ded10 0xfffffa801a3552f0 Pid Handle –––– –––––– 0x1c 1164 0x4c 1164 0x84 1164 0x294 1164 1164 0x298 0x2e8 1164 0x2f0 1164 1164 0x6b0 Access Type –––––––– –––– 0x1f0001 Mutant 0x1f0001 Mutant 0x1f0001 Mutant 0x1f0001 Mutant 0x1f0001 Mutant 0x1f0001 Mutant 0x1f0001 Mutant 0x1f0001 Mutant Details –––––––––––––––––––––––––––––– RasPbFile DBWinMutex ZonesCacheCounterMutex ZonesLockedCacheCounterMutex jghfhjdghgfhfdghfghfgh Abbildung 2: Mutex-Auﬂistung eines Malware- prozesses aus einem EternalBlue- inﬁzierten Haupt- speicherabbild Erstellung eines jeden Prozesses und Threads eine Rolle spielt. Aus diesem Grund sieht man, dass er offene Handles für die meisten Pro- zesse (außer für sich selbst und seine übergeordneten Prozesse) besitzt, die auf dem System laufen. Eine der Methoden, die das bereits in Teil 1 vorgestellte Volatility-Plugin psxview verwendet, basiert darauf, die Handle-Tabelle von csrss.exe zu durchlaufen, um Prozessobjekte zu identiﬁzieren (vgl. [2]). Wenn es mehrere gestartete Instanzen von cs- rss.exe gibt, analysiert psxview die Ta- bellen aller dieser Instanzen auf dem IT-System, um die laufenden Prozesse aufzulisten (mit Ausnahme von csrss. exe und seiner übergeordneten Pro- zesse smss.exe und „System“). Das Plugin handles Mithilfe des handles-Plugins kann man aus einem Hauptspeicher- abbild eine Liste aller Kernel-Objekte erhalten, auf die von einem Prozess zugegriffen worden ist. Abbildung 1 zeigt beispielsweise die Handles des Prozesses mit PID 1496 – ruft man das Plugin ohne die Option „-p“ (für speziﬁsche PIDs) auf, zeigt es Handle-Informationen für alle Pro- zesse an. Mit der Option „-t“ lassen sich die Ergebnisse zudem für einen bestimmten Objekttyp (Event, File, Key, Mutant, Port, Process, Thread oder Token) ﬁltern. Beim Beispiel in Abbildung 2 wurde das handles-Plugin gegen $ vol.py handles -p 1164 -t File Volatility Foundation Volatility Framework 2.6.1 Offset(V) Pid Handle ––––––––––––––––––– –––– –––––– 0xfffffa8019f1fbc0 1164 0x10 [...] 0xfffffa801a2d54e0 1164 0xfffffa801a3c5660 1164 0xfffffa801a356e30 1164 0xfffffa801a366c00 1164 0x210 0x510 0x53c 0x58c Access Type –––––––– –––– 0x100020 File Details ––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––– \Device\HarddiskVolume1\Windows 0x120089 File 0x12019f File 0x100080 File 0x100001 File \Device\HarddiskVolume1\Windows\Registration\R000000000018.clb \Device\HarddiskVolume1\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\ Windows\Temporary Internet Files\counters.dat \Device\Nsi \Device\KsecDD Abbildung 3: Im inﬁzierten Bei- spiel-Speicherab- bild teilen sich zwei Malware-Prozesse zwei Dateien $ vol.py handles -p 1236 -t File Volatility Foundation Volatility Framework 2.6.1 Access Type –––––––– –––– 0x100020 File 0x100020 File 0x12019f File Offset(V) Pid Handle ––––––––––––––––––– –––– –––––– 0x10 0xfffffa8019f7ab20 1236 0x1c 0xfffffa8019f7a070 1236 0xfffffa8019f90880 1236 0x140 0x100080 File 0x1ac 0xfffffa8019fad070 1236 0x100001 File 0x244 0xfffffa8018e28a10 1236 0x2a0 0xfffffa8018d75740 1236 0x120089 File 0x2f0 0x212019f File 0xfffffa801a195500 1236 0xfffffa801a378610 1236 0x368 0x16019f File [...] Details ––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––––– \Device\HarddiskVolume1\Windows \Device\HarddiskVolume1\Windows\SysWOW64 \Device\HarddiskVolume1\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\ Windows\Temporary Internet Files\counters.dat \Device\Nsi \Device\KsecDD \Device\HarddiskVolume1\Windows\Registration\R000000000018.clb \Device\Afd\AsyncConnectHlp \Device\Afd\Endpoint © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 23

Systeme und ihr Umfeld Hauptspeicherforensik mit Volatility das bereits aus Teil 1 bekannte, mit EternalBlue infizierte Hauptspei- cherabbild ausgeführt, um die soge- nannten Mutexe – kurz für Mutual Exclusions – aufzulisten, die durch den bösartigen Prozess CPUInfo. exe (PID 1164) geöffnet wurden. Der Ausgabe kann man entnehmen, dass eine Mutex namens „jghfhjdgh- gfhfdghfghfgh“ erstellt wurde, um die Anwesenheit der Schadsoftware auf dem System zu markieren. Eine solche Mutex kann ein guter host- basierter Indikator für die Verwen- dung im Monitoring sein. Wie eine Suche nach Datei-Objekten zeigt, teilen sich im betrachteten Beispiel des EternalBlue-kompromittierten IT-Systems zwei Schadsoftwarepro- zesse (PID 1164/CPUInfo.exe und PID 1236/mssecsvc.exe) die Konﬁ- gurationsdateien counters.dat und R000000000018.clb (Abb. 3). verwenden, das auch den vollstän- digen Pfad anzeigt, der einem Prozess zugeordnet ist. Auﬂisten von DLLs mit dlllist Ein neues Beispiel-Speicher- abbild zeigt, wie die Schadsoftware Stuxnet ihre bösartige Funktionalität als Service-DLL implementiert (C:\ WINDOWS\system32\KERNEL32. DLL.ASLR.0360b7ab), die vom Prozess lsass.exe geladen wird. Ab- bildung 4 ist die Ausgabe des dlllist- Plugins, in der man ein verdächtiges Modul mit der Nicht-Standard- Erweiterung „.0360b7ab“ sieht, das vom Prozess lsass.exe (PID 1928) ge- laden wurde. Die erste Spalte „Base“ gibt dabei die Adresse im Speicher an, in der das Modul geladen wird (Basisadresse). DLLs – unauffällig und wirksam Hintergrund: Process Environment Block (PEB) Eine gebräuchliche Möglich- keit, um sich im IT-System dauerhaft zu verankern, ist die Nutzung soge- nannter „Dynamic Link Libraries“ (DLL), die von regulären Prozessen und ihrem privilegierten Security- kontext nachgeladen werden. Um alle geladenen Module (ausführbare Dateien und DLLs) aufzulisten, kann man das dlllist-Plugin von Volatility dlllist bezieht seine Infor- mationen über die geladenen Mo- dule aus dem „Process Environment Block“ (PEB). Die PEB-Struktur be- ﬁndet sich im Prozess-Speicher (im User-Space) und enthält Metadaten darüber, wo eine ausführbare Pro- zessdatei geladen wird, sowie ihren vollständigen Pfad auf der Festplatte und Informationen über die gela- $ vol.py dlllist -p 1928 Volatility Foundation Volatility Framework 2.6.1 ************************************************************************ lsass.exe PID: 1928 Command line : „C:\WINDOWS\\system32\\lsass.exe“ Service Pack 3 Size LoadCount LoadTime Path Base ---------- ------- --------- -------- ---------------------------------------------- 0x01000000 0x6000 0x7c900000 0xaf000 0x7c800000 0xf6000 0x77dd0000 0x9b000 0x77e70000 0x92000 0x77fe0000 0x11000 0x7e410000 0x91000 0x77f10000 0x49000 0x00870000 0x138000 0x76f20000 0x27000 0x77c10000 0x58000 [...] C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\ntdll.dll C:\WINDOWS\system32\kernel32.dll C:\WINDOWS\system32\ADVAPI32.dll C:\WINDOWS\system32\RPCRT4.dll C:\WINDOWS\system32\Secur32.dll C:\WINDOWS\system32\USER32.dll C:\WINDOWS\system32\GDI32.dll C:\WINDOWS\system32\KERNEL32.DLL.ASLR.0360b7ab C:\WINDOWS\system32\DNSAPI.dll C:\WINDOWS\system32\msvcrt.dll 0xffff 0xffff 0xffff 0xffff 0xffff 0xffff 0xffff 0xffff 0x1 0x2 0x27 denen Module (ausführbare Dateien und DLLs). Das Plugin ﬁndet die PEB-Struktur eines jeden Prozesses durch Rückgriff auf die _EPROCESS- Struktur im Kernelspeicher: Sie be- sitzt ein Feld namens „Peb“, das den Zeiger auf den PEB enthält. Der PEB enthält noch eine weitere Struktur namens „Ldr“ (vom Typ _PEB_LDR_DATA), die dreifach- doppelt verknüpfte Listen verwaltet – nämlich die InLoadOrderModu- leList, InMemoryOrderModuleList und InInitializationOrderModule- List. Jedes Element darin ist eine Struktur vom Typ _LDR_DATA_TA- BLE_ENTRY, die Informationen über die geladenen Module enthält (Process-Executable und DLLs). Es ist daher möglich, Infor- mationen zu sammeln, indem man einer dieser dreifach-doppelt verlink- ten Listen folgt: InLoadOrderModu- leList organisiert Module in der Reihenfolge, in der sie geladen wer- den, InMemoryOrderModuleList in der Reihenfolge, in der sie sich im Prozess-Speicher beﬁnden und InInitializationOrderModuleList or- ganisiert Module in der Reihenfolge, in der ihre DllMain-Funktion ausge- führt wurde. Alle drei PEB-Listen enthal- ten Informationen über die gela- denen Module – die Basisadresse, Größe, den vollständigen Pfad, der dem Modul zugeordnet ist et cetera. Es ist jedoch wichtig, zu beachten, dass die InInitializationOrderModu- leList keine Informationen über die ausführbare Prozessdatei enthält, da diese im Vergleich zu den DLLs anders initialisiert wird. Das Problem beim Ermitteln der Modulinformationen aus einer dieser drei PEB-Listen ist, dass sie anfällig für Direct-Kernel-Object- Manipulation-(DKOM)-Angriffe sind: Denn sie alle beﬁnden sich im User-Space – ein Angreifer kann also eine bösartige DLL in den Adress- raum eines Prozesses laden und 24 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Abbildung 4: Die Ausgabe des dlllist-Plugins belegt in einem Stuxnet-inﬁzierten Speicherabbild das Nachladen einer eigenartigen Library durch den lsass-Prozess

sie von einer oder allen PEB-Listen trennen (unlink), um sich vor Tools zu verstecken, die diese Listen sowie ihre Beziehungen untereinander aus- werten. Um dieses Problem zu umge- hen, kann man das ldrmodules-Plugin verwenden, das anders vorgeht. Erkennung einer versteckten DLL mit ldrmodules ldrmodules vergleicht Mo- dulinformationen aus den drei PEB- Listen (im Prozessspeicher) mit den Informationen aus einer anderen Datenstruktur im Kernelspeicher, den „Virtual Address Descriptors“ (VADs). Der Speichermanager ver- wendet VADs, um virtuelle Adressen im Prozessspeicher zu verfolgen, die reserviert (oder frei) sind. Es handelt sich dabei um eine binäre Baumstruktur, die Informationen über sogenannte „nahezu zusam- menhängende“ Speicherbereiche im Prozess-Speicher vorhält. Für jeden Prozess verwaltet der Speichermanager einen Satz von VADs und jeder VAD-Knoten beschreibt einen nahezu zusam- menhängenden Speicherbereich. Wenn der Prozessspeicherbereich eine speicherabgebildete Datei (z. B. eine ausführbare Datei, DLL) enthält, speichert der VAD-Knoten zudem Informationen über seine Basisadresse, den Dateipfad und den Speicherschutz. Um die Informationen des DLL-Moduls zu erhalten, zählt das ldrmodules-Plugin alle VAD-Knoten auf, die gemappte ausführbare Images enthalten und vergleicht die Ergebnisse mit den drei PEB-Listen, um Abweichungen zu identiﬁzieren. Abbildung 5 zeigt die Mo- dulliste eines Prozesses aus einem Hauptspeicherabbild, das mit Stux- net inﬁziert ist. Man kann erkennen, dass das Plugin (mit der Option „-v“) in der Lage ist, eine bösar- tige DLL namens KERNEL32.DLL. ASLR.0360b7ab zu identifizieren, die sich vor allen drei PEB-Listen (In- Load, InInit und InMem) versteckt, wie die entsprechenden Boole-Aus- gaben des ersten Befehls verraten. Programmcode- Extraktion Hat man erst einmal ver- dächtige Prozesse und DLLs identi- ﬁziert, besteht ein wichtiger Schritt der Analyse darin, diese Binärdaten aus dem Hauptspeicherabbild zu extrahieren, um sie anschließend genauer untersuchen zu können (z. B. in einer Sandbox oder Labor- umgebung – bspw. zum Extrahieren von Zeichenketten, Ausführen von Yara-Regeln, Disassemblierung oder Scannen/Prüfen mit Anti-Viren- Software). Dass sich Strukturen in Hauptspeicherabbildern häufig während der Erhebung des Abbilds verändern, ist dabei ein nicht zu unterschätzendes Problem. Darüber hinaus veröffentlicht Windows- Update fortlaufend neue Kernelver- sionen, die dazu führen können, dass Binärdaten nicht korrekt extra- hierbar sind. Dumping ausführbarer Dateien und DLLs mit procdump/dlldump Um eine ausführbare Prozess- datei aus dem Hauptspeicher auf die Festplatte zu übertragen (dumpen), kann man das procdump-Plugin ver- wenden – dazu muss entweder die zugehörige Prozess-ID oder ihr Offset im Speicher bekannt sein. Abbildung 6 zeigt, wie man aus einem Stuxnet-inﬁzierten Spei- cherabbild per procdump die inﬁ- zierte, ausführbare Prozess-Datei lsass.exe (PID 1928) extrahiert. Nach der Option „-D“ (oder „--dump-dir“) steht der Name des Verzeichnisses, in den der Dump erfolgen soll. Der Standard-Dateiname der Ausgabe lautet – basierend auf der PID des gedumpten Prozesses – executable. PID.exe. Um einen Prozess mithilfe seines physischen Offsets zu dum- pen, dient die Option „-o“ (oder $ vol.py ldrmodules -p 1928 Volatility Foundation Volatility Framework 2.6.1 Pid Process Base InLoad InInit InMem MappedPath -------- -------------------- ---------- ------ ------ ----- ---------- [...] 1928 lsass.exe 0x00080000 False False False [...] 1928 lsass.exe 0x01000000 True False True [...] $ vol.py ldrmodules –v -p 1928 Volatility Foundation Volatility Framework 2.6.1 1928 lsass.exe 0x00080000 False False False Load Path: C:\WINDOWS\system32\KERNEL32.DLL.ASLR.0360b7ab : KERNEL32.DLL.ASLR.0360b7ab Init Path: C:\WINDOWS\system32\KERNEL32.DLL.ASLR.0360b7ab : KERNEL32.DLL.ASLR.0360b7ab Mem Path: C:\WINDOWS\system32\KERNEL32.DLL.ASLR.0360b7ab : KERNEL32.DLL.ASLR.0360b7ab $ vol.py procdump -p 1928 --dump-dir=. Volatility Foundation Volatility Framework 2.6.1 Process(V) ---------- 0x81c47c00 ImageBase ---------- 0x01000000 Name --------- lsass.exe Result ----------------------- OK: executable.1928.exe $ file executable.1928.exe executable.1928.exe: PE32 executable (GUI) Intel 80386, for MS Windows © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 25 Abbildung 5: Suche nach versteckten DLLs mithilfe des ldrmo- dules-Plugins – hier am Beispiel eines Stuxnet-verseuch- ten Speicherabbilds Abbildung 6: Extraktion einer ausführbaren Datei mittels prodump

Systeme und ihr Umfeld Hauptspeicherforensik mit Volatility $ vol.py psxview Volatility Foundation Volatility Framework 2.6.1 Offset(P) Name PID pslist psscan thrdproc ------------------ -------------------- ---- ------ ------ -------- [...] 0x00000001767b5980 dllhost.exe 4752 False True True [...] Abbildung 7: Extraktion einer ausführbaren Datei mithilfe des Speicheroffsets $ vol.py procdump –o 0x00000001767b3980 --dump-dir=. Volatility Foundation Volatility Framework 2.6.1 Process(V) ---------- 0x723ba450 ImageBase -------- 0x00400000 Name ---------- dllhost.exe Result ----------------------- OK: executable.4752.exe Abbildung 8: Extraktion einer DLL mithilfe von dlldump $ vol.py dlllist -p 1928 Volatility Foundation Volatility Framework 2.6.1 ************************************************************************ lsass.exe PID: 1928 Command line : „C:\WINDOWS\\system32\\lsass.exe“ Service Pack 3 Base Size LoadCount LoadTime Path ---------- -------- --------- -------- ---- [...] 0x00870000 0x138000 0x1 C:\WINDOWS\system32\KERNEL32.DLL.ASLR.0360b7ab [...] $ vol.py dlldump -p 1928 -b 0x00870000 --dump-dir=. Volatility Foundation Volatility Framework 2.6.1 Process(V) Name Module Base Module Name Result ---------- ----------- ----------- -------------------- ------ 0x81c47c00 lsass.exe 0x000870000 KERNEL32....0360b7ab OK: module.1928.1e47c00.870000.dll „--offset“). Das ist etwa nützlich, wenn man einen versteckten Prozess aus dem Speicher extrahieren möch- te. Das Beispiel der Abbildung 7 zeigt, wie man zuvor den Offset mithilfe des psxview-Plugins ermittelt – man kann ihn aber auch aus der Ausgabe von psscan erhalten (vgl. Teil 1). Gibt man bei der Verwen- dung des procdump-Plugins weder die Optionen „-p“ (bzw. „--PID“) oder „-o“ (bzw. „--offset“) an, werden die ausführbaren Dateien aller aktiven Prozesse ausgegeben, die auf dem untersuchten System liefen. Dies ist je nach Situation hilfreich, wenn man möglichst alle einfach extra- hierbaren Programme schnell wei- teren Analyseschritten (z. B. einem Malware-Scan) zuführen möchte. Ganz ähnlich lässt sich per dlldump-Plugin auch eine (ggf. bösartige) DLL auf einen Datenträ- ger extrahieren. Dazu muss man Prozess-ID (Angabe über Option „-p“) des Prozesses, der diese DLL geladen hat, sowie die Basisadresse der DLL mit der Option „-b“ (bzw. „--base“) angeben. Die Basisadresse einer DLL kann man den Ausgaben der Plugins dlllist oder ldrmodules entnehmen. Abbildung 8 illustriert dies erneut anhand eines mit Stuxnet inﬁzierten Speicherabbilds, bei dem die bösartige DLL vom Prozess lsass. exe (PID 1928) geladen wurde. Wege ins Netz Sind erst einmal verdächtige Prozesse direkt oder indirekt über Artefakte identiﬁziert, stellt sich die Frage nach den (identiﬁzierbaren) Kommunikationsmöglichkeiten der Schadsoftware und ihrer Prozesse. Denn heutzutage gilt der Grundsatz: Es kommt über das Netz, es geht über das Netz – und es nimmt etwas mit! Die meisten schädlichen Programme kommunizieren mit der Außenwelt, um entweder zusätzliche Komponenten nachzuladen, Befehle vom Angreifer zu empfangen, Daten Abbildung 9: connscan kann auch bereits beendete Netzwerkverbin- dungen in einem Speicherabbild ﬁnden. $ vol.py connections Volatility Foundation Volatility Framework 2.6.1 Offset(V) Local Address Remote Address Pid ---------- ------------------------- ------------------------- --- $ vol.py connections connscan Volatility Foundation Volatility Framework 2.6.1 Offset(P) Local Address Remote Address Pid ---------- ------------------------- ------------------------- --- 0x01a25a50 0.0.0.0:1026 172.16.98.1:6666 1956 $ vol.py pslist -p 1956 Volatility Foundation Volatility Framework 2.6.1 Offset(V) Name PID PPID Thds Hnds Sess Wow64 Start Exit ---------- ---------------------- ---- ---- ----- ----- ----- ----------------------------------- 0x813bcda0 explorer.exe 1956 1884 18 322 0 0 2017-10-10 17:04:39 UTC+0000 26 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

$ vol.py netscan Offset(P) Proto Local Address Foreign Address State Pid Owner Created 0x7e9127a0 TCPv4 -:0 152.68.231.24:0 CLOSED 1284 mssecsvr.exe 0x7e9513f0 TCPv4 -:0 24.107.29.26:0 CLOSED 1284 mssecsvr.exe [...] 0x7e9d2a90 TCPv4 -:0 152.68.231.24:0 CLOSED 1236 mssecsvc.exe 0x7e9eccf0 TCPv4 -:0 152.68.231.24:0 CLOSED 1236 mssecsvc.exe 0x7e9fca90 TCPv4 -:0 -:0 CLOSED 1236 mssecsvc.exe 0x7f28acf0 TCPv4 -:0 152.68.231.24:0 CLOSED 1284 mssecsvr.exe Abbildung 10: Die Ausgabe des netscan-Plugins (Auszug) zeigt auch die Ziel-IPs bereits beendeter Verbin- dungen. zu exﬁltrieren oder eine Hintertür (Remotezugang) auf dem System be- reitszustellen. Die Überprüfung der Netzwerkaktivitäten hilft dem Ana- lysten, Datenverbindungen einer Malware auf dem inﬁzierten System zu bestimmen. In vielen Fällen ist es sinnvoll, auf dem inﬁzierten System laufende Prozesse den im Netzwerk erkannten Aktivitäten zuzuordnen. Auﬂistung auf Legacy-Systemen Ein Plugin zur Anzeige von Netzwerkverbindungen auf Pre- Vista-Systemen ist connscan: Es verwendet dazu den bereits in Teil 1 vorgestellten sogenannten Pool- Tag-Scan-Ansatz und kann so auch bereits terminierte Verbindungen erkennen. Im Beispiel von Abbil- dung 9 eines mit dem R2D2-Rootkit infizierten Speicherabbilds liefert beispielsweise das connections-Plug- in keine Ergebnisse, während das connscan-Plugin eine Netzwerkver- bindung anzeigt. Das bedeutet al- lerdings nicht unbedingt, dass diese Verbindung versteckt wurde, son- dern legt zunächst nur nahe, dass sie beim Erfassen des Speicherabbildes nicht aktiv (oder beendet) war. Der im Beispiel darüber identiﬁzierte Pro- zess (PID 1956/explorer.exe) ist für Netzwerkkommunikation unüblich und daher auffällig. Möchte man Informationen über offene Sockets und die damit verbundenen Prozesse für die Ana- lyse nutzen, kann man diese auf Pre-Vista-Systemen inklusive der offenen Ports mithilfe der sockets- und sockscan-Plugins abrufen: sockets gibt eine Liste aller offenen Sockets aus. Das sockscan-Plugin verwendet wiederum Pool-Tag-Scanning, um auch geschlossene Ports erkennen zu können. netscan listet Netzwerk- verbindungen und Sockets Einfacher geht es auf Vista und neueren Systemen (z. B. Win- dows 7 oder Server 2012): Dort kann man sich per netscan sowohl Netz- werkverbindungen als auch Sockets anzeigen lassen – dieses Plugin ver- wendet ebenfalls Pool-Tag-Scanning. Abbildung 10 zeigt einen Teil der netscan-Ausgabe eines Hauptspei- cherabbilds, das durch Eternal Blue kompromittiert wurde. So werden die abgehend kontaktierten IPs er- kennbar, die vom inﬁzierten Prozess mssecsvr.exe (PID 1284) ausgingen. Extraktion der Befehlshistorie Nach der Kompromittierung eines IT-Systems führen Angreifer meist verschiedene Befehle auf der Kommando-Shell aus, um Benutzer, Security ist ein Wettlauf und Sie liegen vorne! Ihr Vorsprung heißt Wissen! Wissen, wer im Netz ist. Wissen, wer sich ungewöhnlich verhält. Wissen, was passiert. Behalten Sie die Kontrolle: Der cognitix Threat Defender überwacht mit modernster KI-Technologie und Data Analytics Ihr Netzwerk und bietet – Echtzeit-Analyse – Treﬀ sichere Angriﬀ s-Detektion – Automatische Reaktion Bedrohungen sofort erkennen und schneller abwehren: cognitix Threat Defender Mehr unter www.genua.de/threat-defender Vorne bleiben: Besuchen Sie uns auf der it-sa, 8. – 10. Oktober 2019 in Nürnberg und gewinnen Sie ein Hacking Bootcamp für Ihr IT-Team. D E Y T I R U C E I N ED F N E T W O R KING

Abbildung 11: Die von cmd- scan gelieferte Befehlszeilenhi- storie ermöglicht im Beispiel die Identiﬁkation eines bösartigen Dienstes. Abbildung 12: Das consoles-Plugin liefert auch die Ausgaben von Kommandozeilen- befehlen Systeme und ihr Umfeld Hauptspeicherforensik mit Volatility Gruppen und Freigaben im Netzwerk aufzulisten. Ein „Shoulder-Surﬁng“ kann hier wertvolle Hinweise über Art und Ziele des Angreifers liefern. Durch die Analyse des Be- fehlsverlaufs lassen sich etwa aus- geführte Befehle, aufgerufene Pro- gramme sowie die von einem $ vol.py cmdscan Volatility Foundation Volatility Framework 2.6.1 ************************************************** CommandProcess: csrss.exe Pid: 608 CommandHistory: 0x11132d8 Application: cmd.exe Flags: Allocated, Reset CommandCount: 2 LastAdded: 1 LastDisplayed: 1 FirstCommand: 0 CommandCountMax: 50 ProcessHandle: 0x4c4 Cmd #0 @ 0x4e1eb8: sc query malwar Cmd #1 @ 0x11135e8: sc query malware Subkeys: (S) Security (V) Enum Values: REG_DWORD Type : (S) 1 REG_EXPAND_SZ ImagePath : (S) \??\C:\WINDOWS\system32\drivers\winsys32.sys REG_SZ DisplayName : (S) malware2 $ vol.py consoles Volatility Foundation Volatility Framework 2.6.1 ************************************************** ConsoleProcess: csrss.exe Pid: 608 Console: 0x4e2370 CommandHistorySize: 50 HistoryBufferCount: 2 HistoryBufferMax: 4 OriginalTitle: %SystemRoot%\system32\cmd.exe Title: C:\WINDOWS\system32\cmd.exe AttachedProcess: cmd.exe Pid: 544 Handle: 0x4c4 ---- CommandHistory: 0x1113498 Application: sc.exe Flags: CommandCount: 0 LastAdded: -1 LastDisplayed: -1 FirstCommand: 0 CommandCountMax: 50 ProcessHandle: 0x0 ---- CommandHistory: 0x11132d8 Application: cmd.exe Flags: Allocated, Reset CommandCount: 2 LastAdded: 1 LastDisplayed: 1 FirstCommand: 0 CommandCountMax: 50 ProcessHandle: 0x4c4 Cmd #0 at 0x4e1eb8: sc query malwar Cmd #1 at 0x11135e8: sc query malware ---- Screen 0x4e2a70 X:80 Y:300 Dump: Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp. C:\Documents and Settings\Administrator>sc query malwar [SC] EnumQueryServicesStatus:OpenService FAILED 1060: The specified service does not exist as an installed service. C:\Documents and Settings\Administrator>sc query malware SERVICE_NAME: malware TYPE : 1 KERNEL_DRIVER STATE : 4 RUNNING (STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 0 (0x0) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0 Angreifer genutzten Dateien und Ordner ermitteln. Die beiden Vo- latility-Plugins cmdscan (bzgl. cmd. exe) und consoles dienen dazu, die Befehlshistorie aus dem Hauptspei- cherabbild zu extrahieren – Letzteres nutzt dazu die Prozesse csrss.exe (vor Windows 7) beziehungsweise conhost.exe (Windows 7 und spätere Versionen). Das cmdscan-Plugin listet die Befehle auf, die innerhalb der Eingabeaufforderung cmd.exe aus- geführt werden. Das Beispiel in Abbildung 11 gibt einen Einblick in Aktivitäten zum Diebstahl von Berechtigungen auf dem System: Aus der Ausgabe kann man ersehen, dass eine Diensteabfrage (Service) über die Befehlszeile (cmd.exe) aufgerufen wurde – den extrahierten Befehlen kann man die zugehörige Konﬁgura- tion entnehmen und den genutzten bösartigen Systemtreiber (winsys32. exe) im regulären Systemtreiberver- zeichnis identiﬁzieren. Das cmdscan-Plugin zeigt im Beispiel die von einem R2D2 nut- zenden Angreifer ausgeführten Be- fehle („sc query malware“). Um eine Vorstellung davon zu bekommen, ob ein solcher Befehl erfolgreich war oder nicht, kann man das console- Plugin verwenden: Seine Ausgabe (Abb. 12) zeigt sowohl die Rückmel- dung auf die erste fehlerhafte Einga- be („malwar“) als auch die korrekte Ausführung („malware“). Überprüfung der Registry Die Registry kann aus fo- rensischer Sicht ebenfalls wertvolle Informationen über den Kontext ei- ner Malware liefern – so werden bei- spielsweise installierte Services (wie „malware“ im Beispiel der Abb. 11 und 12) dort eingetragen. Bösartige Programme können zudem der Registrierung Einträge hinzufügen, um einen Neustart zu „überleben“ (Abb. 13). 28 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Zusätzlich zu dieser Per- sistenz verwendet Malware die Registry häuﬁg, um Konﬁgurations- daten, Krypto-Keys und so weiter zu speichern. Um Registrierungs- schlüssel, Unterschlüssel und ihre Werte zu extrahieren, kann man das printkey-Plugin verwenden, indem der gewünschte Schlüsselpfad mit dem Argument „-K“ (bzw. „--key“) angeben wird. Es gibt noch andere Regis- trierungsschlüssel, die forensisch wertvolle Informationen in binärer Form speichern. Volatility-Plugins wie userassist, shellbags und shimca- che analysieren Registrierungsschlüs- sel, die Binärdaten enthalten, und geben Informationen in einem gut lesbaren Format aus. Der Userassist-Registrie- rungsschlüssel enthält beispiels- weise eine Liste der Programme, die ein Benutzer auf dem System ausgeführt hat – und die Zeit, zu der das geschah. Im Beispiel der Abbildung 14 zeigt ein Auszug des zugehörigen Volatility-Plugins, dass am 2017-12-08 um 07:53:39 Uhr eine verdächtig benannte ausführ- bare Datei (backup-fileserver.bat) vom Laufwerk W:\ (möglicherweise ein USB-Speicher) ausgeführt wurde – die ebenfalls dargestellten Roh- daten belegen eindrücklich, welch hilfreiche „Übersetzungsleistung“ das Plugin hier erbringt. Auch shimcache und shellbags können bei der Untersuchung eines Malware-Vorfalls nützlich sein: Das shimcache-Plugin kann dabei helfen, die Existenz einer Malware auf dem System (und seine Laufzeit) nach- zuweisen. shellbags kann indessen Informationen über den Zugriff auf Dateien, Ordner, externe Speicherge- räte und Netzwerkressourcen liefern. Fazit und Ausblick Die Hauptspeicherforensik ist eine sehr effektive Technik, um $ vol.py printkey -K „Software\Microsoft\Windows\CurrentVersion\Run“ Volatility Foundation Volatility Framework 2.6.1 Legend: (S) = Stable (V) = Volatile ---------------------------- Registry: \??\C:\Users\Smith\ntuser.dat Key name: Run (S) Last updated: 2017-05-03 12:27:17 UTC+0000 Subkeys: Values: REG_SZ MicroUpdate : (S) C:\Users\Smith\AppData\Local\Temp\MSDCSC\runddl32.exe ---------------------------- $ vol.py userassist ---------------------------- Registry: \??\C:\Users\nbcwerd\ntuser.dat [...] REG_BINARY W:\backup-fileserver.bat : Count: 2 Focus Count: 0 Time Focused: 0:00:00.500000 Last updated: 2017-12-08 07:53:39 UTC+0000 Raw Data: 0x00000000 20 00 00 00 02 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000010 00 00 00 00 00 00 00 00 1b f4 b9 3d 00 00 00 00 ...........=.... 0x00000020 a5 d3 cf 3d 00 00 00 00 e5 1b 9d 3d ab b8 c3 3d ...=.......=...= 0x00000030 00 00 00 00 00 00 00 00 01 00 00 00 b0 d7 bd a8 ................ 0x00000040 f9 6f d3 01 00 00 00 00 .o...... Abbildung 13: Registry-Abfrage eines inﬁzierten Speicherabbilds mit dem printkey-Plugin – im Beispiel hat sich eine Malware im User-Temp-Verzeich- nis eingenistet, die über den Regis- trierungsschlüssel „Run“ bei jeder Systemanmeldung des Benutzers ausge- führt wird Abbildung 14: Abfrage des Userassist-Regis- trierungsschlüssels (Auszug) mit dem gleichnamigen Plugin forensische Artefakte im Speicher eines IT-Systems zu ermitteln und sie daraus zu extrahieren – denn viele Angriffe versuchen, möglichst wenig Spuren auf Festplatten zu hinterlas- sen. Neben dem Einsatz zur Malware- Suche kann sie auch im Rahmen der eigentlichen Malware-Analyse hel- fen, um zusätzliche Informationen über das Verhalten und die Eigen- schaften eines (ggf. unbekannten) Schadprogramms zu ﬁnden. Die beiden bisherigen Work- shop-Teile haben die Grundlagen des Möglichen aufgezeigt und gewisser- maßen an der Spitze des Schadsoft- ware-Eisbergs gekratzt. Im Herbst/ Winter 2019 wird voraussichtlich die Volatility-Version 3.0 mit signi- ﬁkanten Weiterentwicklungen er- scheinen, die dann zu gegebener Zeit in einem eigenen Workshop-Beitrag mit Fokus auf Malware betrachtet werden sollen. ■ Jochen Schlichting (CISA, CISM, Audit- teamleiter auf Basis von IT-Grundschutz) arbeitet als Consultant, Forensic Lead und Incident Responder bei der Secorvo Security Consulting in Karlsruhe (jochen. schlichting@secorvo.de – auch auf XING und LinkedIn). Literatur [1] Jochen Schlichting, Für alle (Vor-) Fälle, Prozesse und Open-Source- Tools für Incident-Response und Forensik, <kes> 2019#2, S. 27 [2] Jochen Schlichting, Volatility- Workshop (1), Der Weg in den Hauptspeicher und zu den Prozessen, <kes> 2019#4, S. 18 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 29

it-sa 2019 Messevorschau Messevorschau it-sa 2019 i r e g e G s a m o h T / e s s e M g r e b n r e u N : o t o F Vom 8. bis 10. Oktober 2019 findet die it-sa in Nürnberg statt. Wir geben einen Ausblick auf Messe und Aussteller. Abermals braucht die Messe mehr Platz: Nachdem im letzten Jahr die Hallen voll belegt waren, musste der Veranstalter dieses Jahr eine weitere hinzunehmen, um dem Andrang der Unternehmen und dem Wunsch nach größeren Ständen gerecht zu werden. So präsentieren über 700 Aussteller aus 25 Ländern in nun vier Messehallen ihre Produkte und Lösungen: in der neuen Halle 11.0 sowie in den bereits bekannten 9, 10.0 und 10.1 (siehe Hallenplan auf S. 32). Inmitten der Ausstellung und für Besucher frei zugänglich beﬁnden sich auch weiterhin die fünf of- fenen Foren mit rund 350 Kurzvorträgen – besondere, produktneutrale Vorträge und Diskussionsrunden sind im Programm als it-sa insights ausgewiesen. Themen sind hier beispielsweise die zivilrechtliche Haftung bei Cyber- sicherheitsvorfällen, Datenschutzfragen beim Einsatz künstlicher Intelligenz, IoT-Anwendungen und Big Data oder Automatisierung und Visualisierung für Forensik und Monitoring. Die „Special Keynote“ hält dieses Jahr der Autor und Journalist Misha Glenny am dritten Messetag (12 Uhr, Forum International, Halle 11.0). In seinem Vortrag „The Vitruvian Paradox: The Changing Face of the Human in Cyber Security“ will er mit der gängigen Vorstellung bre- chen, der Mensch sei das schwächste Glied einer stabilen IT-Sicherheitskette und argumentiert, dass von der zuneh- menden Komplexität unserer digitalen Infrastruktur eine noch größere Gefahr ausgehe. Das begleitende Kongressprogramm congress@it-sa umfasst 30 Veranstaltungen, die teilweise kostenpﬂichtig sind und bereits am Montag vor Messebeginn starten – das Programm ist somit umfangreicher als im vorigen Jahr (2018: 20 Veranstaltungen). Deswegen werden die Events auch nicht mehr nur im NCC West stattﬁnden, sondern zusätzlich im NCC Mitte. Mit zum Programm gehören heu- er wieder zwei „Evergreens“: der IT-Grundschutztag des Bundesamts für Sicherheit in der Informationstechnik (BSI) und die Jahrestagung der IT-Sicherheitsbeauftragten in Ländern und Kommunen. Darüber hinaus informiert das Unternehmen cirosec bereits am 7. Oktober über den „Mythos KI“. Ebenfalls am Tag vor der Messe treten beim Start-up-Wettbewerb UP19@it-sa zwölf Gründer aus dem IT-Sicherheitsbereich an, um potenzielle Investoren in einem Speed-Pitch zu überzeugen. Alle weiteren Veranstal- tungen sind auf www.it-sa.de/congress zu ﬁnden. Öffnungszeiten: Di, Mi 9–18 Uhr, Do 9–17 Uhr Tageskarte: Dauerkarte: Parkticket: Web: www.it-sa.de/de/ausstellerprodukte www.it-sa.de/de/events www.it-sa.de/de/messeinfo/app 40 e 70 e 10 e/Tag Vorverkauf über www.messe-ticket.de/Nuernberg/it-sa2019/Shop Besuchen Sie uns auf der it-sa: Die <kes> ﬁnden Sie dieses Jahr in Halle 9, Stand 353 (Datakontext). Wir freuen uns auf Ihre Fragen und Anregungen rund um die Zeitschrift. <kes>-Abonnenten erhalten mit dieser Ausgabe ein Messe- Special (Verlagsbeilage) frei Haus; auf der it-sa selbst ist es am <kes>-Stand kostenfrei erhältlich. 30 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Halle 9 Stand 405 Produkte und Aussteller Ende-zu-Ende-Verschlüsselung und automatisier- tes Zertiﬁkatsmanagement sind die Themen am Messe- stand von Secardeo. Das Unternehmen biete großen Mittelständlern und international operierenden Konzer- nen mit der TOPKI-Plattform einen vertrauenswürdigen Dienst zur automatisierten Verteilung digitaler Zertiﬁkate und Schlüssel sowie deren Management. Die Plattform sei offen und modular konzipiert, sodass Unternehmen vor- handene Einzellösungen je nach Anforderung auch mit einzelnen Komponenten der Plattform sinnvoll ergänzen könnten. Außerdem sei sie kompatibel mit der Microsoft- PKI sowie Open-Source- und vertrauenswürdigen öffent- lichen Zertiﬁzierungsstellen (CAs) – Kunden könnten so ihre präferierte CA frei wählen oder wechseln. „Unsere Lö- sungen sind in der Lage, den gesamten Zertiﬁkatslebens- zyklus abzubilden und zwar für beliebige Zertiﬁkatstypen wie SSL/TLS, S/MIME, VPN oder IEEE 802.1x Zertiﬁkate“, erläutert Dr. Gunnar Jacobson, Geschäftsführer der Secar- Halle 9, Stand 645 deo GmbH. www.secardeo.de Auch in internen Netzen wird immer häuﬁger TLS eingesetzt, berichtet Secorvo Security Consulting. Die Einrichtung und Erneuerung von Serverzertiﬁkaten könne nun auch ohne eigene Public-Key-Infrastructure (PKI) über eine Clientsoftware vorgenommen werden, die kompatibel mit öffentlichen Trustcentern ist. Mit Certiﬁcates ready2go übernehme ein Automatic-Certi- ficate-Management-Environment-(ACME)-Proxy die Domain-Validierung und ermögliche so auch Servern im gesicherten internen Netz den vollautomatisierten Bezug und die Erneuerung von Zertiﬁkaten, beispielsweise von Let’s Encrypt. Mit dem zugehörigen Dashboard EaSy sollen Unternehmen dabei den Überblick über den Status aller internen Zertiﬁkate behalten – so lassen sich laut Anbieter komplexe Beantragungsverfahren, abgelaufene Zertiﬁkate und Zertiﬁkatswarnungen im Browser verhindern. Halle 10.1, Stand 630 www.secorvo.de E-Mail-Verschlüsselung Cloudbasierte Verschlüsselungskonzepte stehen bei SEPPMail im Mittelpunkt des Messeauftritts. So zeige man unter anderem das Secure E-Mail Gateway, eine Si- gnatur- und Verschlüsselungslösung, welche die elektro- nische Kommunikation einer gesamten Firma sichere. Es unterstütze alle gängigen Verschlüsselungsstandards wie S/MIME, OpenPGP, TLS und Domainverschlüsselung und prüfe vor jedem Versand, ob der Empfänger bereits eines der Standardverfahren nutzt. Wenn nicht, setze die soge- nannte GINA-Technologie ein: Die verschlüsselte Datei werde dann ausgeliefert, ohne zusätzliche Technik auf der Empfängerseite zu benötigen – der Kommunikationspart- © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019 #5 FREIE RECHENZENTRUMSFLÄCHEN | MÜNCHEN | NÜRNBERG | HOF noris.de/unsere-rechenzentren

it-sa 2019 Messevorschau ner brauche lediglich ein Endgerät, einen E-Mail-Client, eine Internetverbindung sowie einen Internetbrowser und könne automatisch über einen verschlüsselten Rückkanal antworten. Das Secure E-Mail Gateway biete neuerdings auch denjenigen Firmen alle Funktionen, die ihren E-Mail- Server als Online-Exchange in der Cloud verwenden. Halle 9, Stand 416 www.seppmail.de Auch Reddoxx stellt neben seinen E-Mail- und Antispam-Lösungen mit Reddcrypt eine neue Lösung vor, mit der Unternehmen ihre E-Mails verschlüsseln können. Reddcrypt erfordere weder die komplexe Einrichtung von S/MIME oder PGP noch den häuﬁg aufwendigen Umgang mit Zertiﬁkaten. Das erleichtere besonders auch den sicheren Austausch von E-Mails mit Kommunikati- onspartnern, die bislang keine Verschlüsselung einset- zen. Bei der ersten Registrierung per E-Mail-Adresse und Passwort werde automatisch ein OpenPGP-Schlüsselpaar generiert, ohne dass der Benutzer hierbei aktiv eingreifen müsste – vor dem Versand wird die E-Mail vom System verschlüsselt. Sofern der Empfänger ebenfalls bereits Reddcrypt nutzt, werde automatisch dessen öffentlicher Schlüssel verwendet – ein Austausch der Schlüssel im Vor- feld sei dann nicht erforderlich. Handelt es sich bei dem Empfänger um einen neuen Anwender, werde für die erste E-Mail eine beliebige individuelle Passphrase festgelegt, die dem Empfänger zum Beispiel telefonisch oder per SMS übermittelt werden könne. Nach der Anmeldung stehen dann auch diesem Nutzer alle Funktionen offen. Die deﬁ- nierte Passphrase sei für die weitere Kommunikation nicht erforderlich, da die Ver- und Entschlüsselung von nun an komplett automatisiert im Hintergrund erfolge. Die Lösung könne von jedem Rechner oder mobilen Endgerät aus per Webapp genutzt werden und biete dabei die Funk- tionen eines typischen Webmailers. Ein Outlook-Plugin sei ebenfalls verfügbar. Halle 11.0, Stand 412 www.reddoxx.com Identity- und Access-Managment LastPass informiert über seine neue Identity-Ma- nagement-Lösung, die Unternehmen jeder Größe ein voll- Diese Jahr ﬁndet die it-sa in vier Hallen statt – neu ist Halle 11.0 ständiges, sicheres Identitätsmanagement aus der Cloud ermöglichen soll. Die erweiterte LastPass-Business-Suite besteht aus LastPass Enterprise, das neben der Passwortver- waltung eine Single-Sign-on-(SSO)-Lösung samt Katalog von gut 1200 Anwendungen umfasse, aus der Multifaktor- Authentiﬁzierungslösung (MFA) LastPass MFA, die bio- metrische und kontextuelle Authentiﬁzierungsfaktoren nutze, sowie aus LastPass Identity, das Passwortverwaltung, SSO und MFA in einer einzigen Lösung kombiniere. Die Business-Suite lässt sich laut Anbieter leicht in bestehende Infrastrukturen integrieren und entlaste so auch IT-Teams. Halle 9, Stand 444 https://lastpass.com/de/ APIIDA präsentiert die Lösung APIIDA Mobile Authentication für die 2-Faktor-Authentiﬁzierung. Die in Deutschland entwickelte Lösung nutze für die Authen- tiﬁzierung das Smartphone und biete Unternehmen so eine komfortable, kostengünstige und sichere Alternative zu Smartcards, Tokens und Co. Neben der bestehenden Enterprise Edition werde APIIDA Mobile Authentication künftig auch als SaaS-Lösung zur Verfügung stehen. Mit im Gepäck habe man nicht zuletzt auch die cloudbasierte SSO-Lösung APIIDA Intelligent SSO, das Lösungspaket APIIDA PSD2 Solution Pack für API-Services im Rahmen von PSD2-Implementierungen zur erneuerten Zahlungs- diensterichtlinie (Payment Services Directive, PSD2) sowie den APIIDA API Gateway Manager, der ein zentrales Monitoring und die Migration von Services in verteilten API-Gateway-Umgebungen ermögliche. Durch die seit Juli bestehende Tier-1-Partnerschaft mit CA Inc. könnten sich Besucher zudem am Stand der APIIDA auch über die Lö- sungen von CA informieren, zum Beispiel aus dem Bereich Security und Integration. Halle 10.1, Stand 329 https://apiida.com Endpoint-Protection und Threat-Detection Über die Bedeutung von „Continuous Response“ als Antwort auf die geschäftsschädigenden Auswirkungen von Cyberangriffen informiert F-Secure interessierte Besu- cher auf der Messe. Gemeint sei damit eine Methodik zur Erkennung und Reaktion, die jedes Unternehmen – un- abhängig von der Entwicklungsstufe der Sicherheit – um- setzen könne, um seine Prozesse besser zu deﬁnieren und zu optimieren. Denn während die Qualität der Angriffser- kennung in den letzten Jahren sprunghaft angestiegen sei, vergehe oft zu viel Zeit zwischen der Erkennung eines Angriffs und der entsprechenden Reaktion. F-Secure stelle dazu neben seinen bekannten Lösungen zur Früherken- nung von Bedrohungen, F-Secure Rapid Detection Response Service (RDS) und F-Secure Rapid Detection Response (RDR), die neue Managed-Detection-and-Response-Lösung F-Se- cure Countercept vor. Bei Countercept überwachen laut An- bieter spezialisierte Threat-Hunter laufend den Status der Systeme, während in IT-Forensik trainierte und erfahrene 32 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Sie haben Ihre Daten im Griff? Sicher? EU-DSGVO konform? Search Server NetworkLock DeviceLock k c o L t n e t n o C y r e v o c s i D n e t a d s n e m h e n r e t n U Wer Was Wann Wie Wohin Welcher Inhalt Network Channel Removable Media Local Syncs Printing Channel Daten können unbemerkt verloren gehen, entwendet oder manipuliert werden. Schützen Sie sich mit DeviceLock! sensible IT-Security ■ State of the Art DLP für hoch- ■ Modular skalierbar für jede Unter- ■ Schutz vor unerkannten Daten- ■ Kontrolle von lokalen Schnitt- nehmens- und Netzwerkgröße abﬂüssen und Datenlecks stellen, Web- und Netzwerk- kommunikation, SMB, MAPI, IBM Notes, Webmail, sozialen Netzwerken, Cloud-Diensten, Instant Messenger, Skype, Torrent, Jobbörsen, etc. reguläre Ausdrücke, Wort- listen, Texterkennung mit OCR ■ Kontext- und Inhalts-Prüfung - Dateitypen auf binärer Ebene, - Auditing & Shadowing, ■ Fingerprinting ■ Bolden James Klassiﬁzierungen ■ BYOD durch virtuelle DLP ■ macOS Unterstützung erkennen und für die inhaltliche Filterung verwenden Volltextsuche ruhende Daten mit unterneh- menskritischem Inhalt ■ DeviceLock Discovery ﬁndet ■ Über 8 Mio. Installationen ■ Internationale Kundenbasis in ■ Echtzeitüberwachung und ■ Individuelles Reporting mit vielen Branchen weltweit Logging Berichten und graﬁscher Darstellung der Auswertungen DeviceLock Europe GmbH Halskestr. 21 40880 Ratingen Tel.: (02102) 13184-0 [www.devicelock.de]

it-sa 2019 Messevorschau Incident-Responder bereitstehen und im Angriffsfall die Eindringlinge unschädlich machen. Die Lösung umfasse überdies eine weltweite Rund-um-die-Uhr-Bereitschaft nach dem Prinzip der „kontinuierlichen Reaktion“. Halle 9, Stand 216 www.f-secure.com Das Unternehmen Tuxguard aus Saarbrücken präsentiert auf der Messe seine modularen Security-Lö- sungen. Man habe aber auch ein ganzheitliches Konzept entwickelt: So könnten IT-Administratoren, die bereits die TUX-Firewall im Einsatz haben, ab sofort auch die neue TUX-Endpoint-Protection in ihrem zentralen Tuxguard Management Center (TGMC) verwalten. Die Endpoint- Protection-Lösung kombiniere künstliche Intelligenz und Machine-Learning und erkenne so frühzeitig auch neue Malware, Exploits und schädliche Aktivitäten, um sie an- schließend automatisch zu stoppen. Dabei berechne man das Schadrisiko von ausführbarem Code und entscheide so, ob eine Datei sicher ausgeführt werden kann oder in Quarantäne verschoben beziehungsweise entfernt werden muss. Durch den modularen Aufbau der Lösung erhalte der Anwender nur die Komponenten, die er wirklich für seine tägliche Cyberabwehr benötigt: Die Module der Tuxguard-Lösungen lassen sich im Management-Center individuell ein- und ausschalten, um Unternehmen zu ermöglichen, die Technik an ihre Compliance-Anforde- rungen anzupassen. Halle 9, Stand 333 www.tuxguard.com Wie sich durch eine tiefe und breite Transparenz industrielle Netzwerke und kritische Infrastrukturen wirkungsvoll vor Cyberbedrohungen schützen lassen, will Claroty zeigen. Vorgestellt werde die neue Version der Operational-Technology-(OT)-Sicherheitslösung Con- tinuous Threat Detection (CTD). Version 3.5 ermögliche es Unternehmen, ihre IoT-Geräte aufzuspüren und zu überwachen: Die Lösung erkenne IoT-Geräte im Netzwerk automatisch und klassiﬁziere jedes Gerät anhand sta- tischer und verhaltensbezogener Attribute. Anschließend identiﬁziere sie bekannte Schwachstellen und andere mit diesen Assets verbundene Risiken und überwache die Umgebung kontinuierlich auf Bedrohungen und Richtli- nienverletzungen. So biete die neue Version eine größere Netzwerktransparenz, während gleichzeitig die Bereitstel- lungszeit reduziert und das „Rauschen“ durch zahlreiche nicht kritische Warnmeldungen eliminiert werde. Halle 11.0, Stand 320 www.claroty.com Compliance Die neuen Compliance-Anforderungen bezüglich Sicherheits-, Datenschutz- und Industriestandards habe Infopulse in der Lösung Infopulse Standards Compliance Manager 7.0 (SCM) vereint. Als integrierte Governance- Risk-und-Compliance-(GRC)-Plattform unterstütze SCM das Management der Einhaltung mehrerer Standards: ISO-27k-Serie, ISO 22301, DSGVO/GDPR sowie IT-Grund- schutz. Neben diesen grundlegenden Sicherheitsstandards integriere die Plattform auch andere wie ASPICE, PCI-DSS, ISO 27701:2019 und DPIA/PIA. Zusätzlich unterstütze SCM den Import branchenspeziﬁscher oder individueller Standards und Anforderungen. Damit sei das Produkt eine universelle Plattform, die die Zusammenarbeit erleichte- re, menschliche Fehler minimiere und die Kosten für die Einhaltung von Vorschriften senke. Halle 10.0, Stand 405 www.infopulse.com Das Unternehmen Intervalid präsentiert seine gleichnamige Datenschutzmanagement-Software. Das Tool führe Unternehmen Schritt für Schritt zur lücken- losen Umsetzung der Datenschutzgrundverordnung (DSGVO) inklusive aller EU-weiten Anpassungen und sei in Kooperation mit Juristen und IT-Experten entwickelt worden. Mit der Software-as-a-Service-Lösung lasse sich das unternehmensweite Datenschutzmanagement umset- zen, kontrollieren und dokumentieren. Betrieben werde sie in einem zertiﬁzierten Rechenzentrum – Unternehmen benötigten so nur eine Internetverbindung. Halle 10.1, Stand 524 https://intervalid.com Awareness „Aufgedeckt statt gehackt“ lautet das Credo von Blue Frost Security auf der it-sa. „Wir möchten in erster Linie aufklären und sensibilisieren. Dies tun wir unter anderem anhand von Live-Demos, wie beispielsweise an dem speziell hierfür aufgestellten Geldautomaten. Unse- re Mitarbeiter werden live Angriffe auf dem Automaten durchführen. Gleichzeitig haben die Besucher die Mög- lichkeit, das Innere des Gerätes zu erkunden und durch verschiedene Spiele Preise zu gewinnen“, erklärt Lukas Hermann, Geschäftsführer von Blue Frost Security. Außer- dem informiere man über neue Angriffsmethoden sowie bisher unbekannte Schwachstellen in Hard- und Software. Das Leistungsspektrum des Unternehmens erstrecke sich über Sicherheitsanalysen, Penetrationstests, Applikations- sicherheit, Forschung und Entwicklung sowie individuelle Halle 10.0, Stand 313 Schulungen. www.bluefrostsecurity.de ■ 34 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

BSI Forum 2019#5 27. Jahrgang BSI Forum ofﬁzielles Organ des BSI Das BSI auf der it-sa 2019 Inhalt Das BSI auf der it-sa 2019 25 Jahre IT-Grundschutz Amtliche Mitteilungen Vom 8. bis 10. Oktober 2019 ist das BSI mit einem Stand und kurz notiert diversen Vortragsaktivitäten auf der it-sa in Nürnberg ver- treten. Abermals fungiert das BSI gemeinsam mit dem Bun- desverband Informationswirtschaft, Telekommunikation und neue Medien (BITKOM e. V.) als ideeller Träger der Messe. 35 36 38 41 Am BSI-Stand in Halle 10, Stand 308, können sich Besucher zu aktuellen Themen rund um die IT-Sicherheit informieren. Schwerpunkte am Messestand sind: Impressum Allianz für Cyber-Sicherheit (www.allianz-fuer-cybersicherheit.de) IT-Sicherheitszertiﬁzierung (www.bsi.bund.de/zertiﬁzierung) IoT-Security (www.bsi-fuer-buerger.de/IoT) Sicheres mobiles Arbeiten (www.bsi.bund.de/MobileSicherheit) 25 Jahre IT-Grundschutz (www.bsi.bund.de/grundschutz) Informationssicherheitsberatung (www.bsi.bund.de/sicherheitsberatung) 4. IT-Grundschutz-Tag Am Mittwoch, 9. Oktober, ﬁndet im Saal Brüssel der 4. IT-Grundschutz- Tag 2019 statt. Die Veranstaltung steht unter dem Motto „25 Jahre IT-Grund- schutz“. Experten aus dem BSI und aus der Wirtschaft werden aus der Praxis berichten und beschreiben, wie sie die Entwicklung des IT-Grundschutzes wahrgenommen haben und aktuell wahrnehmen. Fachvorträge durch BSI-Experten sind für den 9. und 10. Oktober ge- plant. Unter anderem stellt Dr. Patrick Grete, Referat Virtualisierung und Cloud- Sicherheit, den Community-Draft des revisionierten C5-Anforderungskatalogs vor (Forum in Halle 10.0, Mittwoch, 09.10., 09:30 Uhr). ■ Redaktion: Nora Basting (verantwortlich) E-Mail: nora.basting@bsi.bund.de Bundesamt für Sicherheit in der Informationstechnik (BSI) Referat Öffentlichkeitsarbeit Postfach 20 03 63 53133 Bonn Hausanschrift: Godesberger Allee 185–189 53175 Bonn Telefon: +49 228 999582-0 Telefax: +49 228 999582-5455 Web: www.bsi.bund.de www.bsi-fuer-buerger.de Das BSI-Forum, Organ des Bundesamtes für Sicherheit in der Informationstechnik in Bonn, ist Bestandteil der <kes> – Die Zeitschrift für Informations-Sicherheit 27. Jahrgang 2019 © BSI · 53133 Bonn · <kes> 2019#5 35

BSI Forum IT-Grundschutz Bewährter Begleiter in der Informations- sicherheit Gut aufgestellt für die Zukunft Im Internet surfen mit dem Netscape Navigator, das Betriebssystem Linux wurde auf den Weg gebracht und Farbmonitore wurden zum Standard – die Informationstechnik in den 90er-Jahren wirkt heute beinahe schon wie aus einer fast vergessenen Zeit. Im Kontext dieser technischen Entwicklungen brachte das BSI 1994 den IT-Grundschutz auf den Weg mit dem Ziel, Behörden und Unternehmen den Aufbau und Betrieb einer sicheren IT-Landschaft zu erleichtern. Inzwischen beleuchtet der IT-Grundschutz seit 25 Jahren neue Entwicklungen und Schwerpunkte in der Informationssicherheit und überführt sie in praktikable Sicherheitsempfehlungen. Der Weg zum IT-Grundschutz- Berater Zertiﬁzierter IT-Grundschutz-Berater Übergangsregelung bis zum 31.12.2019 Zertiﬁzierter IT-Grundschutz- Auditor Zusätzliche Nachweise über: Berufserfahrung Bildungsabschluss Praxiserfahrung Prüfung beim BSI Aufbauschulung bei Schulungsanbieter IT-Grundschutz- Praktiker Prüfung bei Schulungsanbieter Basisschulung bei Schulungsanbieter Selbststudium Das Thema Informationssicherheit auf ein so- lides Fundament zu stellen, übernahm zunächst eine kleine Projektgruppe. Die erste Veröffentlichung des IT- Grundschutzes war eine FAQ, die kontinuierlich ergänzt wurde und schließlich in dem Ansatz mündete, den Anwendern Hilfe zur Selbsthilfe zu geben. Hierfür wurde der IT-Grundschutz in Komponenten wie die IT-Grund- schutz-Bausteine strukturiert, die bis heute – neben den BSI-Standards – die zentralen Veröffentlichungen sind. Die ersten 15 Pilot-Bausteine wurden verfasst und das IT- Grundschutz-Referat gegründet. Heute arbeiten rund 15 BSI-Mitarbeiter in dem Referat und schreiben unter ande- rem die rund 100 IT-Grundschutz-Bausteine fort. Damit die Texte zu den einzelnen Fachthemen stets aktuell und praxisnah sind, ﬁndet ein regelmäßiger Austausch mit weiteren BSI-Experten und Anwendern statt. Die IT-Grundschutz-Methodik hat in dieser Zeit den Wandel zahlreicher Entwicklungen begleitet und in den letzten Jahren stetig neue Herausforderungen durch die Digitalisierung und Cyber-Bedrohungen in den grund- legenden Veröffentlichungen wie den BSI-Standards und dem IT-Grundschutz-Kompendium abgebildet. Neben der Bundesverwaltung und Großunternehmen arbeiten auch immer mehr kleinere Behörden und Betriebe mit den Angeboten des IT-Grundschutzes. Dabei ist der IT- Grundschutz durch seine Kompatibilität zur ISO 27001 auch international angesehen. Das BSI tauscht sich dazu auf Länderebene regelmäßig mit Österreich, Luxemburg und der Schweiz aus. In Estland wird der IT-Grundschutz bereits seit vielen Jahren erfolgreich angewandt und auch 36 © BSI · 53133 Bonn · <kes> 2019#5

BSI Forum und Behörden dabei begleiten, erste Schritte in der Absicherung von Informationen und Daten zu vollzie- hen. Sie unterstützen und beraten Institutionen bei der Einführung eines ISMS auf Basis des IT-Grundschutzes. Auch die Vorbereitung auf ein Audit und mithin auf eine Zertiﬁzierung gehören zu ihren Aufgaben. Das Schulungsangebot wurde in den ersten Mo- naten bereits vielfach nachgefragt: Rund zwei Dutzend Anbieter von Schulungen zum Thema Informationssi- cherheit haben die Abschlüsse zum IT-Grundschutz-Prak- tiker und IT-Grundschutz-Berater bereits in ihr Portfolio aufgenommen. Unternehmen und Behörden können bereits aus einem großen Expertenpool zertiﬁzierter IT- Grundschutz-Berater auswählen. IT-Grundschutz-Berater können mit ihrer nachge- wiesenen Expertise zum IT-Grundschutz-Experten einen wichtigen Beitrag zur Erhöhung des Sicherheitsniveaus in deutschen Unternehmen und Behörden leisten. Denn jede einzelne Maßnahme, jede umgesetzte Empfehlung ist ein wichtiges Teilchen, das dazu beiträgt, Institutionen robuster gegen jede Art von Gefährdungen zu machen. Der IT-Grundschutz bleibt eine wichtige Säule für die Informationssicherheit in Deutschland. ■ Weitere Informationen: www.bsi.bund.de/grundschutz www.bsi.bund.de/gsberater Zertiﬁzierung zum IT-Grundschutz- Berater – Schulungskonzept mit Mehrwert für IT-Sicherheitsexperten, die sich noch besser zum IT-Grundschutz ausbilden und qualiﬁzieren wollen für Institutionen, die sich einen ausgewiesenen IT-Grundschutz-Experten an die Seite holen wollen für Schulungsanbieter, die künftig noch besser die Qualität ihrer IT-Grundschutz-Schulungen gewährleisten können international agierende Konzerne setzen auf die praxiser- probten Empfehlungen und lassen sich zertiﬁzieren. Kontinuität und Wandlungsfähigkeit Das breite Wissensfundament und Rüstzeug, das der IT-Grundschutz zum Aufbau eines Managementsy- stems für Informationssicherheit (ISMS) mit den BSI- Standards und dem IT-Grundschutz-Kompendium bietet, ist die zuverlässige Arbeitsgrundlage, auf die Anwender immer wieder zurückkommen können. Neben diesen Angeboten wird der IT-Grundschutz kontinuierlich the- menbezogen und auf Basis der Anregungen der Anwender weiterentwickelt und neue Ideen umgesetzt. Diese Wand- lungsfähigkeit hat sich zuletzt 2018 in der Umstellung der IT-Grundschutz-Kataloge auf das IT-Grundschutz- Kompendium gezeigt: Neue Formate, zusätzliche Themen und Inhalte haben den IT-Grundschutz zu einem noch besseren Begleiter bei der täglichen Auseinandersetzung mit allen Fragen der Informationssicherheit gemacht. Fundiert, praxisnah und aktuell adressieren sie Anwender vom Einsteiger bis zum Proﬁ für Informationssicherheit. Ein weiteres Ergebnis aus der Modernisierung sind die IT-Grundschutz-Proﬁle: Diese Schablonen zur Er- stellung von Sicherheitskonzepten werden für bestimmte Szenarien von einer Anwendergruppe geschrieben – häu- ﬁg von mehreren Institutionen einer Branche – und im Anschluss weiteren Interessierten zur Verfügung gestellt. So können Anwender, die ähnliche Sicherheitsanforde- rungen haben, anhand der Vorlage ressourcenschonend das Sicherheitsniveau überprüfen oder damit beginnen, ein ISMS nach IT-Grundschutz aufzubauen. Neue Personenzertiﬁzierung Die Nachfrage nach Beratungsleistungen zum Thema ISMS, Daten- und Cybersicherheit nimmt sowohl in der Verwaltung als auch in Unternehmen stetig zu. Be- sonders Institutionen, die nur wenige Kapazitäten für das Thema Informationssicherheit intern vorhalten können, benötigen kompetente Berater an ihrer Seite. Als Lösung für diese Herausforderung bietet das BSI seit Mai 2019 zwei neue Schulungskonzepte an, die auf diese Tätigkeiten vorbereiten. Das zweistuﬁge Schulungsangebot bildet Teil- nehmer erst einmal zum IT-Grundschutz-Praktiker aus. Im nächsten Schritt ist eine Schulung zum IT-Grundschutz- Berater möglich, nach der eine gleichnamige Personenzer- tiﬁzierung erworben werden kann. Ziel ist es, mit einem Curriculum und einer Abschlussprüfung durch das BSI ein einheitliches und hohes Niveau in der Schulung zum IT-Grundschutz zu schaffen und damit ein Qualitätsmerkmal für die Arbeit als IT-Grundschutz-Berater anzubieten. Die IT-Grundschutz- Berater können die Verantwortlichen in Unternehmen © BSI · 53133 Bonn · <kes> 2019#5 37

BSI Forum Amtliche Mitteilungen 1. Im Vergleich zur letzten Ausgabe dieser amtlichen Mitteilungen sind inzwischen folgende Zertiﬁzierungen des BSI gemäß Common Criteria und ITSEC abgeschlossen worden: Amtliche Mitteilungen Hersteller/Vertreiber Produkt NXP Semiconductors NXP Secure Smart Card Controller N7021 VA including IC Dedicated Germany GmbH Software Produkt-Typ Ergebnis ID Zertiﬁzierungsdatum Smartcard Controller EAL 6+ BSI-DSZ-CC-0977-V2-2019 2019-07-31 MaskTech International GmbH MaskTech International GmbH MaskTech International GmbH MTCOS Pro 2.5 SSCD / SLE78CLFX400VPHM/BPHM/7PHM (M7892) Sichere Signatur- erstellungseinheit EAL 5+ BSI-DSZ-CC-1036-2019 2019-07-23 MTCOS Pro 2.5 EAC with PACE / SLE78CLFX400VPHM/BPHM/7PHM (M7892) (BAC) Smartcard mit MRTD BAC Anwendung EAL 4+ BSI-DSZ-CC-1034-2019 2019-07-23 MTCOS Pro 2.5 EAC with PACE / SLE78CLFX400VPHM/BPHM/7PHM (M7892) Smartcard mit MRTD EAC/PACE Anwendung EAL 5+ BSI-DSZ-CC-1033-2019 2019-07-23 NXP Semiconductors NXP Secure Smart Card Controller P6021y VB* including IC Dedicated Germany GmbH Software NXP Semiconductors NXP Secure Smart Card Controller P6022y VB* including IC Dedicated Germany GmbH Software NXP Semiconductors NXP Secure Smart Card Controller Germany GmbH N7121 with IC Dedicated Software and Crypto Library Smartcard Controller EAL 6+ BSI-DSZ-CC-1072-V2-2019 2019-06-27 Smartcard Controller EAL 6+ BSI-DSZ-CC-1059-V2-2019 2019-06-24 Smartcard Controller EAL 6+ BSI-DSZ-CC-1040-2019 2019-06-14 Giesecke+Devrient Mobile Security GmbH Sm@rtCafé ® Expert 7.0 C4 Smartcard Betriebssystem EAL 5+ BSI-DSZ-CC-1084-2019 2019-06-12 Anmerkung: – Die zugehörigen Zertiﬁzierungsreporte mit Zertiﬁkaten sind auf der Web-Seite www.bsi.bund.de/zertiﬁzierungsreporte einzusehen. 38 © BSI · 53133 Bonn · <kes> 2019#5

BSI Forum 2. Im Vergleich zur letzten Ausgabe dieser amtlichen Mitteilungen ist inzwischen für folgende Produkte eine Zertiﬁzierung beantragt worden: Antragsteller Produktname Produkttyp Zertiﬁzierungs-ID Bundesdruckerei GmbH Hoheitliche Dokumente Software mit Hardware BSI-DSZ-CC-1125 Bundesdruckerei V-Änderungs- terminal in Verbindung mit der Bundesdruckerei Document Application with tamper-evident casing, | Document Application Version 2.2.1, Firmware: Version 1.1.12, Gerät: Version 0 ROHDE & SCHWARZ SIT GmbH NAVICS MLS Boundary Protection Boundary Protection System BSI-DSZ-CC-1123 Anmerkungen: – Eine Veröffentlichung dieser Angaben erfolgt hier nur, sofern der Antragsteller damit einverstanden ist und die Evaluierung begonnen wurde. In der Liste vorhandene Nummerierungslücken betreffen beantragte Zertiﬁzierungen, – Bei einigen Produkten handelt es sich um eine Re-Zertiﬁzierung eines bereits zertiﬁzierten Produktes wegen Änderungen am Produkt oder Wechsel der Prüfkriterien. für die die genannten Voraussetzungen fehlen. 3. Vom BSI erteilte Standortzertiﬁkate Antragsteller Advanced Mask Technology Center GmbH & Co. KG Entwicklungs-/ Produktionsstandorte Advanced Mask Technology Center, Rähnitzer Allee 9, 01109 Dresden ID Ausstellungsdatum gültig bis BSI-DSZ-CC-S-0133-2019 2019-07-10 2021-07-09 4. Vom BSI zertiﬁzierte und registrierte Schutzproﬁle Entwickler Bundesamt für Sicherheit in der Informationstechnik Proﬁlbezeichnung Protection Proﬁle Conﬁguration Cryptographic Service Provider – Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl) Version 0.9.4 ID Ausstellungsdatum BSI-CC-PP-0108-2019 2019-06-18 gültig bis 2029-06-17 © BSI · 53133 Bonn · <kes> 2019#5 39

BSI Forum Amtliche Mitteilungen 5. Vom BSI erteilte ISO-27001-Zertiﬁkate auf der Basis von IT-Grundschutz Zertiﬁkatsnummer Institution Untersuchungsgegenstand BSI-IGZ-0378-2019 Die ]init[ AG ist Application-, Service- und Hosting-Provider für bundesweit und international agierende Kunden aus der ]init[ AG für Digitale Kommunikation öffentlichen Verwaltung und der Wirtschaft. Der Unter- suchungsgegenstand der ]init[ AG am Standort Berlin umfasst den Betrieb aller für eine Internet-Plattform erforderlichen Komponenten der Netzwerk- und Virtualisierungsinfrastruktur sowie Netzwerk- und Infrastrukturdienste für den sicheren Betrieb von Content Management Systemen und Fachanwen- dungen mit erhöhtem Schutzbedarf. BSI-IGZ-0370-2019 AKDB – Anstalt Das Zertiﬁkat umfasst die IT-Infrastruktur der AKDB für das des öffentlichen Outsourcing-RZ, in dem die Verfahren der AKDB betrieben Rechts werden, und für das elektronische Personenstandsregister und Sicherungsregister sowie automatisiertes Abrufverfahren für die Standesämter (ePR) in Bayern. Neben den Rechenzentrums- systemen und den darauf betriebenen Anwendungen und Diensten für die genannten Aufgaben sind die Administrations- arbeitsplätze und Netzzugänge vom Geltungsbereich umfasst. Örtlich umfasst das Zertiﬁkat die Rechenzentren in der Geschäftsstelle Oberfranken (in Bayreuth) und in der Haupt- verwaltung München sowie die Administrationsarbeitsplätze in den Geschäftsstellen Oberfranken (Bayreuth) und Unter- franken (Würzburg) sowie der Hauptverwaltung München. gültig bis 2022-07-28 2022-07-07 BSI-IGZ-0362-2019 neu-itec GmbH Der Untersuchungsgegenstand umfasst Infrastruktur, Anlagen 2022-07-02 und Leistungen der neu-itec GmbH Neubrandenburg, die für die Erbringung von IT-TK und im Zusammenhang stehender Dienstleistungen entsprechend des Produktportfolios wesent- lich sind. Dazu gehören Server, Netze, Netzkomponenten und Arbeitsplatzsysteme in den von der neu-itec GmbH betriebenen Räumen und alle unterstützenden Prozesse wie z. B. Continuity Management, Netzmanagement und Systembetreuung. BSI-IGZ-0340-2019 BSI-IGZ-0369-2019 2022-06-26 Pixelpark GmbH Die Pixelpark GmbH im Bereich „Hosting und Betrieb“ stellt am Standort Berlin Webservices in Form von Webanwendun- gen und -portalen zur Verfügung. Diese Webservices umfassen Hosting und Betrieb von IT-Systemen und -Applikationen, sowie die Bereitstellung von Internet-Infrastruktur. Dazu gehören Serversysteme, aktive Netzwerkkomponenten, Fire- walls, Loadbalancer und die für den Betrieb notwendigen Monitoringsysteme. Der IT-Verbund besteht im Wesentlichen aus zwei Teilen. Zum einen dem allgemeinen Teil der IT-Infra- struktur, die zentralisiert implementierte Dienste bereitstellt, die zum Betrieb der individuellen Kundenlösungen verwendet werden. Dieses sind IT-Systeme, die der „Pixelpark Hosting Infrastructure“ zugeordnet sind. Der zweite Teil sind die IT-Systeme der individuellen Kundenlösung. Diese Systeme werden eindeutig den jeweiligen Kunden zugeordnet und sind von anderen Kundensystemen abgegrenzt. (1) Betrieb des zentralen Internet- und NdB-Übergangs für das 2022-06-10 Landesamt für Digitalisierung, bayrische Behördennetz (BYBN), (2) Betrieb der zentralen Breitband und Vermessung (LDBV) Exchange-Infrastruktur für die staatliche Verwaltung des Frei- staats Bayern, (3) technischer Datenbank- und Anwendungs- betrieb für die EU-Zahlstelle und (4) Betrieb der zugehörigen Infrastruktur. 40 © BSI · 53133 Bonn · <kes> 2019#5

BSI Forum 6. Fingerprints der V-PKI-Zertiﬁkate Informationen zum Wurzelzertiﬁkat PCA-1-Verwaltung-11 Fingerprint über das Wurzelzertiﬁkat nach SHA1 42 : F6 : 1E : 44 : 3D : 63 : 1D : 97 : 8A : BA : 37 : 33 : 73 : E0 : 52 : 03 : 3A : FF : 99 : 86 Informationen zum Wurzelzertiﬁkat PCA-1-Verwaltung-14 Fingerprint über das Wurzelzertiﬁkat nach SHA1 D6 : 4F : BE : AE : 2C : D1 : 61 : 6F : D7 : 01 : C7 : 7F : 7A : 20 : 4F : 60 : F7 : 7E : 08 : A4 Informationen zum Wurzelzertiﬁkat PCA-1-Verwaltung-15 Fingerprint des Wurzelzertiﬁkats nach SHA1 8E : D4 : A9 : 36 : A8 : BD : E9 : 4E : 8C : 88 : FA : 25 : 1E : E2 : A9 : 11 : 07 : F9 : 89 : 82 Fingerprint des Wurzelzertiﬁkats nach SHA256 7D : CF : 11 : EF : 4E : 8D : 73 : 25 : 2B : 52 : F2 : 9E : B5 : 26 : DD :82 : C8 : AA : 6F : E5 : 47 : A3 : E6 : 06 : 2C : 8E : 3B : BD : 18 : C8 : 10 : F7 Informationen zum Wurzelzertiﬁkat PCA-1-Verwaltung-17 Fingerprint des Wurzelzertiﬁkats nach SHA1 97 : 74 : 0F : 27 : 83 : B9 : 85 : 4D : AD : 72 : 4B : 13 : F3 : D6 : C7 : 52 : F7 : F4 : 6C : C3 Fingerprint des Wurzelzertiﬁkats nach SHA256 6F : 17 : 78 : 7C : ED : E0 : 50 : 86 : 16 : 1C : B4 : CD : F9 : 19 : D4 : A7 : B9 : 51 : 03 : 70 : DE : 02 : 83 : EA : DA : 52 : FC : 50 : 73 : A6 : 5B : 69 Neu in den Amtlichen Mitteilungen des BSI: Fingerprints der V-PKI-Zertiﬁkate kurz notiert Elementar für elektronische Verwaltungs- und Geschäftsprozesse bei der Benutzung von offenen Netzen ist eine behördenübergreifende Absicherung der Kommu- nikationsplattform. Hinreichende Sicherheit (Integrität und Vertraulichkeit der Daten) und eine aussagekräftige Authentizität (Identiﬁkation und Unabstreitbarkeit) kön- nen auf der Grundlage einer Public-Key-Infrastruktur (PKI) erreicht werden. Das BSI betreibt die Public-Key-Infrastruktur der Verwaltung (V-PKI) und bietet diese Basistechnologie als zertiﬁkatsbasierte Sicherheitsdienstleistung für Bundes- und Landesbehörden, Kommunen sowie öffentliche Institutionen an. Ziel der Verwaltungs-PKI ist es, den elektronischen Geschäftsverkehr zwischen Verwaltung, Wirtschaft und Bürgern mindestens auf IT-Grundschutz- Niveau zu ermöglichen. Ab sofort veröffentlicht das BSI die Fingerprints der V-PKI-Zertiﬁkate ein bis zwei Mal pro Jahr im BSI-Fo- rum (siehe oben). Der Fingerprint eines Zertiﬁkats ist eine Folge von Zahlen und Buchstaben, mit der ohne weitere technische Unterstützung die Echtheit des erhaltenen Zertiﬁkats überprüft werden kann. Zum Wurzelzertiﬁkat können, abhängig von den verwendeten mathematischen Verfahren, verschiedene Fingerprints generiert werden. Im BSI-Forum werden die Fingerprints für die gängigen Verfahren SHA1 und SHA256 in Datenblock-Notation dargestellt. Ein Datenblock besteht dabei aus zwei Zeichen, zum Beispiel A4 oder 23, die durch einen Doppelpunkt voneinander getrennt sind. ■ Mehr Informationen zur Verwaltungs-PKI unter www.bsi.bund.de/VPKI. © BSI · 53133 Bonn · <kes> 2019#5 41

. r h ä w e G e n h o n e b a g n A e l l A Veranstaltungen Messen / Kongresse / Konferenzen Cybersecurity Conference Rhein-Neckar, 2019-10-24/25, Mannheim, www.cybersecurityconference.de 9. Handelsblatt Jahrestagung Cybersecurity, 2019-11-05/06, Berlin, http://veranstaltungen.handelsblatt.com/cybersecurity/ DefCamp 10, 2019-11-07/08, Bukarest, https://def.camp/ protekt – Konferenz für den Schutz kritischer Infrastrukturen, 2019-11-12/13, Leipzig, www.protekt.de 5. Data Leader Days, 2019-11-13/14, Berlin, www.dataleaderdays.com IT-Sicherheitsrechtstag, 2019-11-14, Berlin, www.it-sicherheitsrechtstag.de Hinweis: Die Datumsangaben entsprechen ISO 8601 bzw. EN 28601. Die Angabe erfolgt in der Reihenfolge Jahr-Monat-Tag. Bei Zeiträumen steht das Enddatum hinter einem Schrägstrich, wobei unveränderte Datumsteile entfallen. SANS CyberThreat Summit, 2019-11-25/26, London, www.sans.org PMRExpo – Netzwerk sichere Kommunikation, 2019-11-26/28, Köln, www.pmrexpo.de DeepSec/DeepINTEL, 2019-11-26/29, Wien, https://deepsec.net / https://deepintel.net Blackhat Europe, 2019-12-02/05, London, www.blackhat.com/eu-19/ IDC Conference Workplace of the Future, 2019-12-03, München, www.idc.com/events/ 8. DFN-Konferenz Datenschutz, 2019-12-05/06, Berlin, www.dfn-cert.de 35th Annual Computer Security Applications Conference (ACSAC), 2019-12-09/13, San Juan (PR), www.acsac.org SANS European Security Awareness Summit, 2019-11-20/21, London, www.sans.org German OWASP Day, 2019-12-10, Karlsruhe, https://god.owasp.de eco://kongress, 2019-11-21, Köln, www.eco.de Interdisziplinäre Jahreskonferenz Forum Privatheit – Aufwachsen und Lernen in überwachten Umgebungen, 2019-11-21/22, Berlin, www.forum-privatheit.de SANS Threat Hunting & IR Summit, 2020-01-13, London, www.sans.org Omnisecure, 2020-01-20/22, Berlin, www.omnisecure.berlin Seminare / weitere Termine Roadshow Predictive Maintenance, Face Recognition und Cloud, Geutebrück, 2019-10-22, Berlin (weitere Termine/Orte im Web), www.geutebrueck.com Professioneller Umgang mit schwierigen Charakteren, Management Forum Starnberg, 2019-11-19/20, Frankfurt/Main, www.management-forum.de be.digital Roadshow, bintec elmeg, 2019-10-22, Stuttgart (weitere Termine/Orte im Web), https://be-digital.bintec-elmeg.com AI Experience Tour, Arrow Electronics, 2019-10-24, Hamburg (weitere Termine/Orte im Web), www.arrow.com Mit dem Grundschutztool „Verinice“ zum IT-Sicher- heitskonzept, Datenschutzakademie Schleswig-Holstein, 2019-12-02/03, Leck (DE), www.datenschutzzentrum.de/akademie/ Sichere Entwicklung von Webanwendungen, usd, 2019-12-03, Neu-Isenburg, www.usd.de Now at Work, ServiceNow, 2019-10-30, Frankfurt, www.servicenow.de/now-at-work/ T.I.S.P. Community Meeting, TeleTrusT, 2019-11-05/06, Berlin, www.teletrust.de/tisp/ PKI – Grundlagen, Vertiefung, Realisierung, Secorvo, 2019-11-18/21, Karlsruhe, www.secorvo.de/seminare/ Cyber Security Training Event, SANS, 2019-11-18/23, München, www.sans.org Implementierung eines zertiﬁzierungsfähigen ISMS nach ISO/IEC 27001, is-its – International School of IT Security, 2019-12-17/19, Bochum, www.is-its.org/seminare/ Weitere Termine ﬁnden Sie online unter www.sicherheitstermine.de 42 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Events und Weiterbildung Anzeigenrubrik Veranstaltungen iamInside Identity & Access Management MEDIENPARTNER UNLOCK YOUR POTENTIAL 11./12.11.2019 www.leaderscontact.com 44 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Events und Weiterbildung Anzeigenrubrik VIren & co erfolgreich abwehren Stadthalle Hagen 04.12.2019 www.IT-sicherheitstag-nrw.de DIGITIZE PU B LIC SERVICES Congress / Workshops / Expo CityCube Berlin, 22.— 24.10.2019 www.smartcountry.berlin Veranstalter Schirmherrschaft Partnerland 28.–30. Oktober 2019 Kongresszentrum CCD | Düsseldorf Deutscher IT-Leiter-Kongress 2019 IT geht in Führung – mit mehr als 2.000 Teilnehmern, 100 Vorträgen & Workshops und über 80 Top-Referenten ist der DILK der größte Fachkongress für IT-Entscheider in ganz Deutschland. Seien Sie dabei und lernen Sie von den Besten! JETZT anmelden und einen der limierten Plätze sichern! Eine gemeinsame Veranstaltung von: Medien-Partner: www.deutscher-it-leiterkongress.de © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 45

IT-Grundschutz Zertifizierung Grundschutz-Zertiﬁzierung für kleine Unternehmen Zu komplex oder durchaus möglich? Der BSI IT-Grundschutz ist umfangreich: Allein das Grundschutz-Kompendium hat bisher 800 Seiten, hinzu kommen die vier Standards und unzählige andere relevante Dokumente im Internet. Deswegen fragen sich viele kleine Unternehmen, ob eine Zertiﬁzierung auf Basis von IT-Grundschutz für sie grundsätzlich machbar ist. z t u h c s d n u r G - T I Von Andreas Floß, Berlin Bei Beratungen kleiner Unternehmen zeigt sich oft das gleiche Bild: Es gibt ein rudimentäres IT-Sicher- heitsmanagement, das meist wenig strukturiert, kaum formalisiert und erst recht nicht dokumentiert ist. Zudem ist ein Großteil der IT-Systeme nicht selbst betrieben, da sie ausgelagert worden sind – über die Umsetzung und den Stand der Sicherheit ist vom Dienstleister jedoch nichts bekannt. Trotzdem soll für Kunden und Partner ein Zertiﬁkat her, das dem Unternehmen ein ausreichendes Sicherheitsniveau bescheinigt. Eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnologie (BSI) steht grundsätzlich allen Organisationen offen. Formal ist nur ein Antrag bei der BSI-Zertiﬁzierungsstelle nötig, indem man den Informa- tionsverbund und den zu betrachtenden Gegenstand für das BSI darstellt. Zudem muss man einen vom BSI ausgebil- deten und akzeptierten Auditor für das Zertiﬁzierungsau- dit engagieren. Mit der Erteilung der Verfahrensnummer kann das Unternehmen nun in einem genau deﬁnierten Zeitrahmen das Zertiﬁzierungsaudit vorbereiten. Der gesamte Prozess wird detailliert im Zertiﬁzierungsschema [1] beschrieben. Reif für die Zertiﬁzierung? Bis zur Anmeldung sollte eine Organisation eine gewisse Zertiﬁzierungsreife erreicht haben. Grundlage dafür ist ein Informationssicherheitsmanagement als fes- te Instanz; jedoch gibt es das in kleinen Organisationen selten bis gar nicht. Wenn allerdings ein IT-Sicherheitsbe- auftragter vorhanden ist oder zumindest ein im Thema Sicherheit engagierter Chef oder Mitarbeiter und es even- tuell Gremien oder regelmäßige Abstimmungen dieser Personengruppen gibt, dann ist in vielen Fällen bereits eine gute Basis gegeben. Beim folgenden Aufbau und Ausgestalten des im BSI-Standard geforderten Informationssicherheitsma- nagementsystems (ISMS) hilft die IT-Grundschutz-Vorge- hensweise, die im BSI-Standard 200-2 [2] dokumentiert ist. Dort ist das gesamte Vorgehen detailliert beschrieben, sodass es auch kleine Unternehmen gut umsetzen können. Entscheidet man sich, ein ISMS einzuführen und dafür die IT-Grundschutz-Vorgehensweise zu nutzen, ist eine Zertiﬁzierung in greifbarer Nähe – unabhängig von der Größe der Institution. Was muss in den Verbund? Zudem kennt der modernisierte IT-Grundschutz neben der klassischen Vorgehensweise Standardabsiche- rung nun auch die Basis- und die Kernabsicherung. Bei der Kernabsicherung werden beispielsweise nur besonders schützenswerte Zielobjekte/Assets aufgenommen – somit können kleinere Unternehmen die bisherige Hürde der Vollständigkeit und der daraus folgenden Komplexität des Informationsverbundes umschiffen. Für die stark reduzier- te Basisabsicherung gibt es allerdings keine Möglichkeit, ein Zertiﬁkat zu erlangen – ein Auditor kann lediglich ein Testat [3] erteilen. Darüber hinaus darf man die eigenen IT- Dienstleister nicht vergessen. Meistens ist über die dort umgesetzten Schutzmaßnahmen bis auf die Marketing- aussagen zur IT-Sicherheit nichts weiter bekannt. Will ein Unternehmen den BSI IT-Grundschutz anwenden, muss sich das ändern. Denn für die Zertiﬁzierung relevante Zielobjekte aufseiten des Dienstleisters sind Teil des In- 46 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

formationsverbundes und müssen somit im Rahmen der IT-Grundschutz-Vorgehensweise analog zu den eigenen betrachtet werden. Für das Zertiﬁ kat wählt das BSI einen ganzheitlichen Ansatz. Das Auslagern von Geschäftspro- zessen und Dienstleistungen ist beim IT-Grundschutz durch den Begriff Outsourcing deﬁ niert. Stolperstein Outsourcing Wie Outsourcing im IT-Grundschutz abgesichert wird, ist beispielsweise im Hilfsmittel zum Outsourcing [4] aktuell und detailliert beschrieben. Das zertiﬁ zie- rungsrelevante Dokument besagt, dass Prüfungen beim Dienstleister (Lieferanten-Audits) durchgeführt werden müssen. Nur wenn der IT-Dienstleister ebenso nach IT- Grundschutz zertiﬁ ziert ist, kann man auf Lieferanten- Audits ganz verzichten, da in diesem Fall das BSI von einem vergleichbaren Sicherheitsniveau ausgeht. Sollte der Dienstleister ein Zertiﬁ kat nach ISO 27001 ohne den Zusatz „auf Basis von BSI IT-Grundschutz“ haben, dann reduziert sich der Aufwand zumindest hinsichtlich der externen Bausteinprüfungen. Unter Umständen reicht es dann aus, den Outsourcing-Baustein anzuwenden. Weiter gibt es im IT-Grundschutz-Kompendium zwei Bausteine, mit denen sich das Outsourcing ebenfalls absichern lässt: OPS.2.1 Outsourcing für Kunden und OPS.3.1 Outsourcing für Dienstleister. Ziel des Bausteins für Kunden ist es, entstandene Risiken möglichst zu minimieren, das Sicherheitsniveau beim Outsourcing dauerhaft aufrechtzuerhalten und es kontinuierlich zu verbessern. Deshalb müssen für jedes Outsourcing-Vor- haben anfänglich Sicherheitsanforderungen festgelegt, Regelungen getroffen und das Vertragsverhältnis von Anfang bis Ende sicher ausgestaltet werden. Der Baustein für Dienstleister deﬁ niert Anforde- rungen, die umzusetzen vorrangig in seinem Interesse sind. Risiken, die aus der Geschäftsbeziehung kommen, sollen vermieden werden. Somit verlangt das Kompen- dium in seinen Vorschriften zur Modellierung, dass ein Dienstleister den Baustein in seinem ISMS umsetzen muss, sofern er eine Zertiﬁ zierung nach BSI IT-Grundschutz anstrebt. Das Audit naht Gemäß Zertiﬁ zierungsschema muss nach der Anmeldung ein strikter Zeitplan für die nächsten drei Jahre eingehalten werden. Frühestens einen Monat nach Abgabe des vollständigen Zertiﬁ zierungsantrags kann das Audit beginnen. Mit Beginn des Audits tickt die Uhr, denn alle Prüfungen der Auditoren müssen innerhalb von drei Monaten an das BSI übermittelt werden. Eine Prüfung des BSI führt gegebenenfalls zu Nachforderungen, die wiede- rum innerhalb von einem Monat erfüllt werden müssen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Mit Erteilung des Zertiﬁ kates gilt dieses unter Vorbehalt für genau drei Jahre. Damit es gültig bleibt, muss der Auditor jedes Jahr ein Überwachungsaudit durchführen. Nach drei Jahren muss sich das Unternehmen dann wieder neu zertiﬁ zieren beziehungsweise rezertiﬁ zieren lassen. Das Audit beginnt immer mit einem Dokumen- tenaudit: Sogenannte Referenzdokumente müssen auf sicherem Wege an den Auditor vollständig übermittelt werden. Es folgt eine formale Prüfung, ob alle zertiﬁ zie- rungsrelevanten Dokumente vorliegen – hier kann es schon zu den ersten Abweichungen und Empfehlungen durch den Auditor kommen. Ist das Dokumentenaudit er- folgreich beendet, muss nun die Vor-Ort-Prüfung geplant und durchgeführt werden. Nach der Zertiﬁ zierung ist vor der Zertiﬁ zierung Nach einer erfolgreichen Zertiﬁ zierung muss man den Status der Zertiﬁ zierung aufrechterhalten und darf sich nur bedingt auf die faule Haut legen. Eine Zertiﬁ - zierung ist nämlich nie wirklich erreicht, sondern muss immer aufrechterhalten werden. So ist bei gewichtigen Änderungen im Informationsverbund das BSI zu infor- MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MACHEN SIE IHR TEAM FIT MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! MIT DER CYBER TEAM CHALLENGE! DAS ERLEBNISPROJEKT FÜR SECURITY AWARENESS. Wissen für den richtigen Umgang mit digitalen Risiken vermitteln Bewusstsein schaffen für sicherheitsrelevante Ereignisse Richtlinien kennenlernen und Verhaltensweisen trainieren Losgelöst und flexibel von Ihrer Infrastruktur IT-Sicherheit schulen CYBERTEAMCHALLENGE.COM CYBERTEAMCHALLENGE.COM CYBERTEAMCHALLENGE.COM Treffen Sie uns auf der it-sa 2019! Halle: 10.0 Messestand: 10.0-520 47

IT-Grundschutz Risikoanalyse Literatur [1] BSI, Zertifizierungsschema, www.bsi.bund.de/DE/ Themen/ZertiﬁzierungundAnerkennung/Management- systemzertiﬁzierung/Zertiﬁzierung27001/Zertiﬁzierungs- schema/schema_node.html [2] BSI, BSI-Standard 200-2, November 2017, www.bsi. bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/ Kompendium/standard_200_2.pdf [3] BSI, Prüfschema für die Erteilung eines Testats nach der Basis-Absicherung gemäß IT-Grundschutz, Version 1.0, März 2019, www.bsi.bund.de/SharedDocs/Downloads/ DE/BSI/Grundschutz/Testat/Pruefschema.pdf [4] BSI, Zertiﬁzierung nach ISO 27001 auf der Basis von IT-Grundschutz - Outsourcing, Version 2, Oktober 2017, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ Grundschutz/Zertifikat/ISO27001/Outsourcing_Kom- pendium.pdf mieren. Das wäre zum Beispiel der Fall, wenn der gesamte IT-Betrieb umgestaltet werden würde oder die Organisa- tion an eine andere angeschlossen und sich dadurch ein Großteil der Prozesse und Anwendungen im Verbund ändern würde. Unter bestimmten Voraussetzungen muss somit eine erneute Zertiﬁzierung früher als nach drei Jah- ren durchgeführt werden. Ebenso kann es sein, dass der Auditor zur Zer- tiﬁzierung oder in einem späteren Überwachungsaudit Abweichungen zum Standard vorﬁndet. Die können ent- weder geringfügig oder schwerwiegend sein. Geringfügige Abweichungen sind in einem vom Auditor bestimmten Zeitraum innerhalb der Zertiﬁkatsgültigkeit zu beheben und haben nur indirekt Auswirkungen auf das Votum eines Auditors zur Zertiﬁkatserteilung. Schwerwiegende Abweichungen sind hingegen innerhalb kürzester Zeit zu beheben, da hier die Funktion des ISMS nicht gegeben ist und die daraus resultierenden gravierenden Risiken für den Auditor nicht tragbar sind. Ein Zertiﬁkat kann man bei einer bestehenden schwerwiegenden Abweichung auch ganz verlieren. Um es erneut zu erhalten, müsste sich das Unternehmen für einen neuen Zyklus anmelden und proﬁlieren. Allerdings gibt es die Möglichkeit, ein Zertiﬁkat für eine bestimmte Zeit auszusetzen – so verliert man es auch bei schwerwie- genden Problematiken nicht gleich vollständig. Fazit Der mittlerweile modernisierte Standard bietet alle wichtigen Informationen kostenlos an. Das BSI stellt darüber hinaus einige wichtige Hilfsmittel für Organisa- tionen und Auditoren zur Verfügung, sodass genügend Transparenz hinsichtlich einer Zertiﬁzierung herrscht. Geschäftsführer und Leiter von kleinen Organisationen können ihre IT nach IT-Grundschutz kompakt und auf die Bedürfnisse ausgerichtet zertiﬁzieren – gegebenenfalls auch mit einer größtenteils ausgelagerten IT-Infrastruktur. Gerade der modernisierte Grundschutz kann durch neue Eigenschaften und Betrachtungswinkel seine Stärken aus- spielen. Weg von den Anfängen als „Behördenstandard“ gibt es nach über 25 Jahren eine ausgereifte Vorgehens- weise, die mehr Interpretationsspielraum bietet als bisher allgemein bekannt ist und sich durchaus auch für kleinere Unternehmen eignet. ■ Andreas Floß ist Berater im Bereich Security Consulting der HiSolutions AG.

Management und Wissen Risikomanagement Bestandsaufnahme Risikomanagement (2) Problemzonen und Lösungsansätze Heute übliche Vorgehensweisen im IT-Risikomanagement haben deutliche Schwächen, mahnt unser Autor und ergründet ausführlich Probleme und Lösungsansätze aus der Perspektive des Praktikers. Der zweite Teil behandelt weitere Aspekte der Risiko-Analyse inklusive einer Diskussion der Gefahren für die Informations-Sicherheit. Von Bastian Angerstein, Besigheim Der erste Teil dieser Reihe hat allem voran we- sentliche Schwächen bei häuﬁg eingesetzten Methoden zur Risikoidentiﬁkation sowie Probleme durch verteilte Verantwortlichkeiten identiﬁziert und für die folgenden Teile einen Werte- und Risikobegriff deﬁniert. Außerdem wurde ein Ansatz zur Risikoidentiﬁkation grundlegend eingeführt, der „top-down“ vorgeht. Quantitative und qualitative Risikoanalyse Quantitative Ansätze zum Risikomanagement sind dort sinnvoll, wo man auf eine Menge gesicherter Erfahrungswerte zugreifen kann, sich etwa valide Erkennt- nisse zu Ausfällen (z. B. Defektraten elektronischer oder mechanischer Bauteile) erheben lassen oder diese bereits vorliegen. Wo man über kein ausreichendes Volumen qua- litätsgesicherter Daten für eine quantitative Risikoanalyse verfügt (und das wird bei der Informationssicherheit der Regelfall sein), bleibt der Rückgriff auf ein qualitatives Vorgehen. Der Unterschied wird am Beispiel klarer: „Server X fällt oft für kurze Zeit aus“ ist eine qualitative Beschrei- bung, „Server X fällt 3 mal pro Woche für 5 Minuten aus“ eine quantitative Beschreibung. Auf den ersten Blick wirkt die quantitative Beschreibung deutlich präziser – und wenn man diese Ausfallrate und -dauer auf Basis langfri- stiger Beobachtungen festgestellt und sich nichts an der Situation geändert hat, dann ist sie das auch. Zieht man hierfür jedoch nur die Daten einer einzigen Woche heran, entsteht ein stark verzerrtes Bild der Ausfallrate. Auch der Umfang der Prüfgruppe ist von großer Wichtigkeit (Stichwort „Gesetz der großen Zahl“): Im einen Extrem liegt eine sehr große heterogene Mess- gruppe vor, beispielsweise Erfahrungsdaten von 20 000 unterschiedlichen Servern über 10 Jahre – dann besitzt eine hieraus gewonnene Aussage eine gewisse Allgemein- gültigkeit. Im anderen Extrem könnte man ein Modell für einen einzigen, sehr speziﬁschen Server betrachten. Datenqualität ist jedoch ein weitläuﬁges Feld, das ein Fachbeitrag wie dieser unmöglich in aller Tiefe behan- deln kann. Eine zentrale Schwäche der qualitativen Risi- koanalyse soll allerdings nicht unerwähnt bleiben: Die qualitative Bewertung fußt auf einer Ordinalskala, deren Intervall jedoch in aller Regel nicht klar zu benennen ist. Sowohl quantitative als auch qualitative Metho- den stützen sich auf die Wahrscheinlichkeit des Eintretens (Feasibility, Probability, Likelihood etc.) eines Risikos und den resultierenden Schaden (Damage, Impact, Conse- quence). Eine weitere relevante Größe (aus der FMEA-Me- thode) ist die Detektionswahrscheinlichkeit: ein qualita- tiver Wert für die Wahrscheinlichkeit der Entdeckung eines Fehlers vor der Manifestation eines Risikos. Ein Beispiel: Vor Antritt einer Fahrt mit einem PKW ist der Fahrer an- gehalten, eine Sichtprüfung des Fahrzeugs vorzunehmen, unter anderem des Zustands und Drucks der Reifen. Hält man sich daran, ist die Detektionswahrscheinlichkeit eines Reifendefekts sehr hoch (und erhält damit den Wert 1 „sicher“ oder 2 „sehr wahrscheinlich“, s. u.) – die Wahr- scheinlichkeit des Eintritts eines katastrophalen Schadens durch ein Reifenproblem wird (mittelbar) reduziert. Zu beachten ist, dass die Detektionswahrschein- lichkeitskennzahl mit einer absteigenden Wahrscheinlich- keit ansteigt: Bei einem Wertbereich von 1–5 entspricht eine „sichere“ Detektion dem Wert „1“, ist eine Detektion hingegen „unmöglich“, wird der Wert „5“ verwendet. Das © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 49

Management und Wissen Risikomanagement Produkt aus Risikohöhe, Auftritts- und Detektionswahrscheinlichkeits- wert stellt in der klassischen „Failure Mode and Effects Analysis“ (FMEA, [1,2] – vgl. Kasten auf S. 52) den so- genannten Risikoprioritätswert dar. Eine bekannte Schwäche hängt dabei mit dem Algorithmus zur Ermittlung dieses Wertes zusammen – diese lässt sich aber, wie in [3] beschrieben, recht einfach umgehen. Weder qualitative noch quantitative Methoden sagen übri- gens etwas zur Ursache (Root-Cause) oder zur Bedeutung für den Prozess aus (qualitativ: „macht nix, startet ja gleich wieder“ – quantitativ: „wir verlieren ca. 20 Mann-Minuten pro Monat“), der den betreffenden Wert integriert. Statistische Erfahrungswerte Das logische Vorgehen zur Planung des Risikomanagements wäre, zunächst qualitativ hochwer- tige statistische Daten zu beschaffen und zu analysieren. Entscheidend für die Planung wären die Frequenz von Ereignissen und Verteilung nach Schweregraden, idealerweise in Or- ganisationen, die vergleichbar zum eigenen Haus sind. Die verfügbare Menge belastbarer Daten fällt bei der Cyber-Sicherheit jedoch erstaunlich gering aus. Sollte man den Schutz vor häuﬁgen kleinen Vorfällen demjeni- gen von seltenen großen Vorfällen vorziehen? Arbeitet man besser auf eine Absenkung des Schweregrads hin oder sollte eine Reduktion der Summe an Vorfällen im Mittelpunkt stehen? Sind große Vorfälle über- haupt seltener als kleine? All das sind eigentlich Fragestellungen, die jeder Anwender der ISO 27001 zur Gestal- tung des ISMS nach dem Paradigma der Angemessenheit zwingend klä- ren sollte. Umso überraschender ist es, dass solche essenziellen Daten nur in fragmentarischen Teilbe- trachtungen aufﬁndbar sind (etwa in Verizons Data Breach Investiga- tion Reports [4], Accentures Cost of Cyber Crime [5] oder IBMs Cost of a Data Breach Studies [6] oder auch den <kes>-Sicherheitsstudien für den deutschsprachigen Raum). Als besonders hilfreiche Quelle soll hier „An Empirical Ana- lysis of Cyber Security Incidents at a Large Organization“ [7] genannt sein: Auch wenn die Darstellung für Nicht-Mathematiker nicht gerade eingängig ist, ermöglicht das Papier doch interessante Rückschlüsse sowohl in Hinblick auf die Dimen- sionierung der technischen Forensik wie auch der strategischen Aus- richtung der SecOp-Teams. Hierzu wurden 60 000 „echte“, mit quanti- tativen Daten unterlegte Vorfälle aus einem Zeitraum von über 6 Jahren betrachtet – einschränkend ist aller- dings auch hier anzumerken, dass es sich um Daten einer einzigen Orga- nisation aus einer nicht genannten Branche handelt. Und branchenspe- ziﬁsche Unterschiede sind sehr wohl vorhanden und signiﬁkant, wie etwa Tabelle 1: Beispiele zur Sicht- barkeit von Ereignis- sen und Wirkungen vor und hinter dem eigenen „Risiko- Horizont“ Szenario Beispiel Ursache vor dem Risiko-Horizont, Folgen dahinter Folgen vor dem Risiko-Horizont, Ursachen dahinter Ursache und Folgen vor dem Risiko-Horizont Ursachen und Folgen hinter dem Risiko-Horizont technischer Defekt eines eigenen Servers – Kunden können den Server nicht nutzen durch Kunden hervorgerufene Überlastung des Internetübergangs Ihrer Organisation Ausfall der Buchhaltungssoftware – Organisation kann keine Rechnungen erstellen Partner stoppt versehentlich seine Applikation auf einem bei Ihnen gehosteten Server – und kann dadurch nicht arbeiten die Durchsicht des DBIR 2018 [4] zeigt – auch wenn dort wiederum ein so geringes Volumen von Werten be- trachtet wurde, dass Ergebnisse dieser statistischen Analyse mit Vorsicht zu genießen sind. Scoping Um die Größe oder das Gewicht eines Risikos zu erheben, ist seitens der Prozessarchitektur eine horizontale und gegebenenfalls auch eine vertikale Begrenzung des Betrachtungsraums (Scope) vor- zunehmen, um eine transparente, schlüssige und folgerichtige Bewer- tung zu erhalten. Für das Scoping ist der Risiko- Horizont entscheidend: Alles was davor liegt, können wir im Detail überblicken – das schließt Abhängig- keiten, Auswirkungen, Kosten, Schä- den und Folgeschäden ein. Liegen Prozesse oder Prozessanteile hinter dem Risiko-Horizont, lassen sich die- se Parameter nicht oder nicht ohne Weiteres erkennen – sie liegen zum Beispiel außerhalb der Organisation oder des Unternehmens. Innerhalb des Horizonts liegen jedoch auch (und dies ist von Bedeutung!) Leistungen, die von externen Organisationen für den betrachteten Service zugeliefert wer- den: Auch wenn der Gesamtprozess zur Erbringung dieser Leistungen au- ßerhalb der eigenen Sichtlinie liegt, sind doch zumindest die Schnittstel- le sowie ihre Zustände und Parameter transparent zu erhalten. Allerdings wird das Stichwort „Lieferantenma- nagement“ in ISMS-Standards wie der ISO/IEC 27001:2015 leider nur angeschnitten. Es ist jedenfalls wichtig, sich des Risiko-Horizonts bewusst zu sein! Gegebenenfalls ist es sogar empfehlenswert, einen künstlichen Horizont, etwa auf vertraglicher Basis (z. B. per Leistungsbeschreibung) zu deﬁnieren. Einige konkrete Beispiele benennt Tabelle 1. 50 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

— IDENTITY & IDENTITY & IDENTITY & ACCESS ACCESS ACCESS IDENTITY & ACCESS MANAGEMENT MANAGEMENT MANAGEMENT MANAGEMENT MADE IN GERMANY — Maßgeschneiderte Lösungen Maßgeschneiderte Lösungen Maßgeschneiderte Lösungen Maßgeschneiderte Lösungen für Ihre Identitäts- und für Ihre Identitäts- und für Ihre Identitäts- und für Ihre Identitäts- und Zugriffsverwaltung Zugriffsverwaltung Zugriffsverwaltung Zugriffsverwaltung Mit daccord entscheiden Sie sich für eine praxiserprobte Software, in der über 15 Jahre Projekterfahrung steckt. D R E I E D I T I O N S ACCE S S GOVE RNANCE E D I T I ON #CONTROL M I CROSOF T E D I T I ON #M ADEFORMICROSOF T ADVANCE D E D I T I ON #M ANAGE Zugriffsberechtigungen Berechtigungen kontrollieren in Ihrer Microsoft Umgebung Globale Auswertung und Zertiﬁ zierung Ihrer Berechtigungen www.daccord.de/control Analyse und Überwachung der Berechtigungen im Active Directory und im NTFS Filesystem www.daccord.de/microsoft IAM »out of the box« – das full-stack IAM Skalierbares Identity und Access Management System inkl. Access Governance www.daccord.de/manage T E R M I N E — BESUCHEN SIE UNS AUF DER IT-SA! — Live-Demos an unserem Stand 517 in Halle 10.0. vom 8. bis 10.10.2019 — WIR BIETEN IHNEN REGELMÄSSIGE WEBINAR-TERMINE — www.daccord.de/webinar daccord ist eine Marke der G+H Systems GmbH Ludwigstraße 8, D-63067 Offenbach am Main, www.daccord.de

Management und Wissen Risikomanagement FMEA zur Risikoidentiﬁkation und -analyse Die „Failure Mode and Ef- fects Analysis“ (FMEA) ist eine Grup- pe von Methoden zur Vermeidung von Fehlern und Steigerung der Zuverlässigkeit, die vergleichsweise einfach zu erlernen und anzuwen- den sind ([1,2], s. a. www.risknet. de/wissen/rm-methoden/fmea/). FMEA-Methoden können auch in kleinen Gruppen genutzt werden, um wertvolle Erkenntnisse zu Feh- lerbildern und damit verbundenen Risiken zu erheben. Das vorrangige Ziel ist die Vermeidung von Fehlern und Schwachstellen sowie hieraus entstehenden Konsequenzen. Der mit einer FMEA ver- bundene Arbeitsaufwand hängt stark von dem betrachteten Produkt oder Prozess sowie der Tiefe der Analyse ab. Die Methodik wird ty- pischerweise bereits in der Design-, Planungs- oder Entwicklungsphase angestoßen, um (kritische) Fehler, Schwachstellen und Konsequenzen kosten- und aufwandsoptimiert zu erkennen und ihnen zu begegnen. Eine spätere Anwendung ist zwar we- niger efﬁzient, die Effektivität bleibt jedoch gewahrt. Passendes Arbeitsmaterial von Excel-Sheets bis zu unterstüt- zenden Modellierungswerkzeugen ﬁndet man teilweise auch kostenlos und in guter Qualität im Internet (sie- he etwa www.business-wissen.de/hb/ werkzeuge-fuer-das-fmea-projekt/ oder https://www.kvp.de/fmea/). Es ist dabei immer hilfreich, einen erfahrenen „Verfahrensmode- rator“ in die Gruppe aufzunehmen: Seine Aufgaben sind die Überwa- chung der formalen Richtigkeit in der Anwendung der Methode, die Dokumentation (z. B. in Spezial- software) sowie allem voran die Moderation der Gruppe in Bezug auf Themenrelevanz, Redezeiten und Teilnehmerkreis. Kriterien, Gewichtung und Kritikalität eine tiefe Integration und einen ho- hen Grad von Abhängigkeiten hin. Die Anzahl der Verbindun- gen (Referenzen) im Prozessdia- gramm zu einem Wert der Organisa- tion, einer Funktion, Prozedur oder Schnittstelle ist, wie schon in Teil 1 angemerkt, ein Indikator, der für eine Gewichtung herangezogen werden kann. Eine hohe Anzahl von Verbin- dungen zu einer Funktion deutet auf Prozessseitig ist die Position eines Werts in dieser Topograﬁe eben- falls ein Indikator: Typischerweise sind Funktionen, die weit vorne in Prozessketten beziehungsweise un- ten in der Prozesshierarchie (nahe der Wurzel) stehen, höher zu gewich- ten. Dies trifft meist auf „fundamen- tale“ Funktionen zu – ein Beispiel für einen solchen unterstützenden Wert wären typische Basisdienste der IT, etwa das Standort-LAN. Die Relevanz einer Funktion, Prozedur oder eines Prozesses für ein oder mehrere Prozessketten ist ein Parameter, der manuell erhoben wer- den muss. Hierzu können nach NIST SP 800-30 ein Tier-2-Assessment oder die FMEA-Methode Anwendung ﬁnden (vgl. Kasten). Zu klären ist, ob der integrierende übergeordnete Prozess seine Funktion erfüllen kann, wenn die untergeordnete Prozedur beeinträchtigt ist, oder ob diese obligatorisch für die Erreichung des Prozessziels ist (vgl. Abb. 1). Ist eine Funktion von erheb- liche Relevanz für das Erreichen eines Prozessziels, ist diese Abhängigkeit entsprechend hoch zu gewichten – ist eine untergeordnete Prozedur hingegen von geringer Relevanz oder irrelevant für die Zielerreichung, kann eine Abwertung erfolgen. Lässt sich eine Prozedur durch eine andere substituieren, besteht also Redun- danz, kann ebenfalls eine Abwertung erfolgen. Abhängigkeiten über die Zeitachse Zeitliche Größen spielen in solchen Abläufen ebenfalls eine große Rolle: Nicht jeder Verlust einer Funktion hat gleich eine unmittel- bare Auswirkung auf eine Prozess- kette. Zwei Zeitfenster sind hier von besonderem Interesse: Time to Impact: Zeitraum vom Eintreten eines Funktionsver- lusts bis zu einer spürbaren Auswir- kung auf die Prozesskette oder den Prozess höherer Ordnung Time to Occurrence of Risk: Zeitraum vom Eintreten eines Funk- tionsverlusts bis zum Auftreten eines Risikoeintritts in der Prozesskette oder dem Prozess höherer Ordnung In Anbetracht der zeitlichen Koordinate tritt die bereits vorgestell- te Detection-Probability erneut ins 52 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Abbildung 1: Top-down-Analyse möglicher Auswir- kungen auf Prozesse und Prozeduren mit Blick auf die Kritikalität von Werten

Rampenlicht: Eine hohe Detektions- wahrscheinlichkeit wirkt abwertend auf die Kritikalität, eine geringe Wahrscheinlichkeit aufwertend. Einordnung in Risiko- kategorien Eine sinnvolle Granularität der Risikokategorien sowie die Be- rücksichtigung weiterer Faktoren neben monetären Auswirkungen (z. B. Gefahren für Leib und Leben) ergibt sich aus dem Scoping. In der Praxis ﬁndet man typischerweise 3–5 Kategorien, die bei quantitativem Vorgehen entweder durch Schwel- lenwerte oder eine Wertespanne deﬁ- niert sind. Von Bedeutung ist hierbei die Entscheidung, konstante oder inkonsistente Intervalle einzusetzen: konstante Intervalle verein- fachen die Arbeit mit Risikowerten deutlich, reduzieren die Komplexität und erhöhen die Präzision inkonsistente Intervalle er- leichtern hingegen oft eine Katego- risierung von Risiken Ein häuﬁg auftretender Feh- ler bei der quantitativen Deﬁnition von Risikoklassen ist eine zu niedrig- schwellige Deﬁnition beispielsweise schon ab 0 e: Ist denn ein Schaden von wenigen Euro wirklich ein Risiko für Unternehmensziele? Alles, was als Risiko erfasst wird, muss man schließlich auch verwalten, validie- ren, wiederholt prüfen, evaluieren und (ggf. kostspielig) behandeln, vermeiden oder transferieren. Daher sollte als untere Grenze ein Schwel- lenwert dienen, der auch tatsächlich ein (kleines) Risiko für den Prozess- erfolg darstellt! Einen geringfügigen Schaden wird man hingegen igno- rieren oder schlicht tragen – als erste quantitative Risikokategorie wäre so beispielsweise 2.500–10.000 e denkbar. Immer wieder Diskussions- gegenstand sind Reputationsschä- den, deren (qualitative oder quan- titative) Klassiﬁzierung in der Praxis kaum möglich erscheinen. Wo keine eindeutigen und ernst zu nehmen- den Hinweise auf einen möglichen Reputationsschaden durch ein Si- cherheitsrisiko vorliegen, empﬁehlt es sich, von einer Betrachtung dieser Größe gänzlich abzusehen. Bei einem qualitativen Vor- gehen deﬁniert man indessen eine Ordinalskala. Intervalle oder Schwel- lenwert lassen sich dabei nicht nut- zen, Relationen sind aber durchaus verwendbar – beispielsweise hin- sichtlich von „Tragweite“ oder „Kon- sequenzen“. Ein semiquantitatives Vorgehen, das etwa die Tragweite auf Basis des Volumens betroffener Kunden/Nutzer deﬁniert, ist sogar recht üblich und lässt sich oft gut quantiﬁzieren, da zugehörige Werte technisch oder buchhalterisch viel- fach gut zu ermitteln sind. Holistische Risikoanalyse Für eine holistische quali- tative Risikoanalyse sollte man eine Reihe von Informationen zu den Werten (Informationen), den un- terstützenden Werten (z. B. Server, Personal, Gebäude) sowie mitwir- kenden Prozessen und Organisati- onen zusammentragen. Ein Inventar der konsumierten Prozesse, der eingebundenen unterstützenden Werte sowie Informationen (bzw. zu verarbeitenden Informationska- tegorien) stellen hier einen guten Ausgangspunkt dar. Es bietet sich an, mittels Methoden aus dem FMEA-Umfeld die folgenden Daten zu erheben: Relevanz (bzw. funktionale Kritika- lität), Gewichtung und Kritikalität wertebezogener Sicherheitsziele, die Zeitfenster vom Eintreten eines Ereignisses bis zu dem Eintreten (a) einer Auswirkung, (b) eines Risikos sowie (c) der Wiedererreichung des Zielzustands, Aufwand und Kosten zur Wiedererreichung des Zielzu- stands sowie zur Behandlung der Fol- gen eines Ereignisses und schließlich die Detektionswahrscheinlichkeit eines Ereignisses. Tabelle 2 liefert einige Beispiele hierzu. Risikomodell Ein Risiko besteht auch in der Informationssicherheit immer aus Kategorie(n) Werte Beispiele availability, integrity availability, integrity availability, integrity availability, integrity availability, integrity conﬁdentiality conﬁdentiality conﬁdentiality conﬁdentiality conﬁdentiality high, medium, low, none seconds, minutes, hours, days, weeks, months seconds, minutes, hours, days, weeks, months mandatory, optional, none relevance of supporting process to integrating processes incident: time to impact on the integrating processes incident: time to occurrence of risk functional criticality of assets from the perspective of the support process functional criticality of assets from the perspective of the mandatory, optional, none integrating processes types of data assets of the integrating processes criticality of asset conﬁdentiality weight of conﬁdentially time to regeneration effort/cost to regeneration creditcards, accounting, test data, GDPR/privacy relevant, HIPAA, ... protection class 0–9 or special use-cases like GDPR, toxicity, ... none, recoverable, irretrievable none, short term, medium term, long term, lasting/permanent none, low, medium, high, very high © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 53 Tabelle 2: Beispielhafte Werte, die der Risikokate- gorisierung dienlich sind

Management und Wissen Risikomanagement Abbildung 2: Basisbeziehungs- modell (ohne Prozess- perspektive) Abbildung 3: Beziehungsmodell mit Prozessper- spektive einem Trigger/Auslöser (Bedrohung, Threat), einer Anfälligkeit, Schwä- che oder Schwachstelle (Vulnerabi- lity) eines unterstützenden Werts oder einer Funktion (Supporting Asset) und einem Schadenspoten- zial (Damage-Potential). Nur wenn Bedrohung, Verwundbarkeiten, Ge- fährdungs- und Schadenspotenzial zusammentreffen, besteht ein Risiko. Ohne Schadenspotenzial gibt es kein Risiko, ohne Schwachstelle ebenfalls nicht, ohne Gefährdungspotenzial ist eine Schwachstelle irrelevant und so weiter. Dabei ist zu beachten, dass es zwar in der Natur von primären Werten (Primary Assets) liegt, Schwä- chen aufzuweisen, man auf diese jedoch nicht unmittelbar einwir- ken kann. Die Anfälligkeiten eines primären Werts entstammen den Zielparametern (z. B. Verfügbarkeit, Integrität, Vertraulichkeit), mit de- nen wir ihn attribuieren und können pauschal als „Veränderlichkeit von Eigenschaften“ aggregiert werden. Die Einwirkung durch Bedrohungen erfolgt vielmehr, wie in Abbildung 2 visualisiert, mittelbar über Schwach- stellen (technischer wie organisato- rischer Natur), die unterstützende Werte und Funktionen aufweisen. Unabhängig von ihrer Auswirkung auf primäre Werte können unter- stützende Werte zudem auch einen „eigenen“ Schaden (DP) erleiden, der aufgrund eines Gefahrenszenarios (PH) ausgelöst wird. Der umschließende Prozess (siehe Abb. 3) besitzt darüber hinaus eine steuernde Rolle, er regelt die Exposition von (unterstützenden) Werten zur Minimierung von Risiken und Ermöglichung von Chancen – außerdem kann er auch selbst Schwachstellen und Schadenspoten- zial besitzen. Wer noch genauer modellieren möchte, kann in das Beziehungsmodell weitere unter- stützende Werte und wirkneutrale Objekte als sogenannte Forwarder (F) aufnehmen oder/und es um tech- nisch/organisatorische Maßnahmen zur Risikoreduktion (Mitigation) er- weitern, die als Widerstandsfaktoren (R) zwischen verschiedenen Assets wirken. Ob eine identiﬁzierte Kette von einer Bedrohung bis hin zum Schadenspotenzial für den Scope ein Risiko im unternehmerischen Sinne darstellt, legt man letztlich über die quantitativen Schwellenwerte oder qualitativen Kategorien fest. Neben der Höhe eines individuellen Scha- dens wird oft die Häuﬁgkeit des (vo- raussichtlichen) Auftretens herange- zogen, um die Gesamtschadenshöhe innerhalb eines Zeitfensters zu anti- zipieren – etwa qualitativ „sehr sel- ten, selten, gelegentlich, regelmäßig, häuﬁg, sehr häuﬁg“ oder quantitativ „jährlich, monatlich, wöchentlich, täglich, stündlich“. Wo keine umfänglichen his- torischen und idealerweise organi- sationsspeziﬁschen Daten herange- zogen werden können, ist allerdings auch dieses Vorgehen oft mehr „Kaf- feesatzleserei“ als „Wissenschaft“. Als zeitlichen Horizont ﬁndet man in der Praxis dabei alles zwischen einem und zehn Jahren. Nach den Erfahrungen des Autors sollte man jedoch eine Zeitspanne von minde- stens fünf Jahren ansetzen – das ist dann übrigens auch konform zum Risikomanagement nach BSI 200-3. Bedrohungsanalyse Hinsichtlich den Bedrohun- gen sei an dieser Stelle nur angemerkt, dass sich (auch) ein Cyber-Threat aus unterschiedlichen Aspekten zusam- mensetzt (vgl. Abb. 2), von denen zwar Täter/Akteur, Befähigung, Mo- tivation und Gelegenheit an sich die Wichtigsten sind – entsprechende Betrachtungen in der Praxis aller- dings oft eher akademisch bleiben: Zu viele unbekannte Faktoren liegen dabei außerhalb jeder organisato- rischen Kontrolle – Sichtbarkeit und Messbarkeit spielen hierbei eine zu große Rolle. Und um die schnellle- bigen Faktoren der IT-Welt zu be- trachten, ist ein Risikomanagement oft zu träge. Außerdem gehören zu den prominentesten Vertretern der Täter- gruppe das „Raumzeitkontinuum“ und unveränderliche physikalisch- chemische Eigenschaften der Mate- rie, die zu Gefahren durch Alterung von Systemen und Algorithmen (bis 54 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

hin zu kryptograﬁschen Verfahren), aber oft auch schlicht zu Abnutzung, statischer Entladung, Überﬂutung et cetera führen – hinzu kommen Fahrlässigkeit und menschliches Versagen als wichtige „Täter“. Für all das ist eine Ausmodellierung der Bedrohungen kaum zielführend. Lohnende Quellen für die Suche nach IT-Bedrohungen sind neben den bereits angesprochenen „Fallstudien“ [4,5,6] auch die jähr- lich veröffentlichten Analysen des BSI [8] und der ENISA [9] sowie der „Cisco Annual Cybersecurity Re- port“ [10]. Gefahren für Informationen Die drei Klassiker unter den Gefahren für die Informationssi- cherheit sind der Verlust der Ver- fügbarkeit (Availability), Integrität (Integrity) und/oder Vertraulichkeit (Confidentiality). Im Kontext ei- ner Organisation können weitere Attribute eine Rolle spielen, unter anderen etwa Nicht-Abstreitbar- keit, Authentizität, Zuverlässigkeit, Nachweisbarkeit (z. B. in der Buch- haltung), Pünktlichkeit (z. B. bei Transaktionen), Korrektheit und Genauigkeit (Abweichung, Toleranz, Varianz). Die Gefahr besteht immer in einem Verlust, einer Minderung oder Beeinträchtigung gegenüber einem definierten Zielwert mit einem (ggf. potenziell) negativen oder auch unbekannten Effekt auf das Ergebnis oder die Zielerreichung. Gleichlauf von Schutzzielen Verfügbarkeit bedeutet, dass eine Information erhebbar oder zu- gänglich ist; sie kann in Wissen und Besitz übergehen. Das verlangt eine Interpretation, also die Verknüp- fung aus Kontext und Datum (vgl. Kasten). Integrität ist als ein abstra- hiertes Attribut zu verstehen – auf der Metaebene der „Makellosigkeit“ umfasst sie etwa Nachvollziehbarkeit und Korrektheit. Die genaue Deﬁ- nition erschließt sich nur aus dem Kontext. keit zu einem deutlich einfacheren (und für Laien verständlicheren) Vorgehen. Der Verlust der Verfügbar- keit sowie der Verlust der Integrität des primären Wertes „Information“ führen beide zu einem Verlust der Information – beziehungsweise zu einem Zustand, der ihre Erhebung unmöglich macht. Die Integrität und Verfügbarkeit von Information lassen sich über Aspekte der Reprä- sentation von Daten, Kontext und Interpretation beeinﬂussen – jede Modiﬁkation dieser Aspekte verän- dert die resultierende Information. Die Ähnlichkeiten zwischen den beiden Schutzwerten zeigen sich auch bei Schäden durch Kryptotro- janer (Ransomware): Handelt es sich dabei vorrangig um einen Verlust der Verfügbarkeit von Daten oder einen Integritätsverlust? Beide Perspekti- ven sind legitim, für den Weg entlang der Kausalkette jedoch irrelevant – und die Folgen bleiben identisch. Auch in vielen anderen Szenarien führt eine Zusammenfassung der Schutzziele Integrität und Verfügbar- Ein Verlust der Vertraulich- keit einer Information ist eine Folge des Verlusts der Kontrolle über die Information oder der Steuerbarkeit ihrer Erhebbarkeit/Auswertung – an- ders ausgedrückt eine Veränderung der vorgesehenen Verarbeitung, also der Integrität des verarbeitenden „Systems“. Die Vertraulichkeit einer Information ist jedoch erst dann kompromittiert, wenn Unbefugte neben der Kontrolle über gespei- cherte Daten auch die Befähigung zu deren Interpretation erlangt haben (aber Achtung: teilweise ist eine Rekonstruktion dieses Wissens durch Korrelation oder Beobachtung möglich). Den Übergang (durch In- terpretation) von Daten, Kontext und Wissen zu Information auszu- schließen, ist nach einem (ggf. auch nur teilweisen) Verlust der Kontrolle nur bedingt möglich, jedoch ist die Wahrscheinlichkeit hierfür beein- ﬂussbar. Sie hängt unter anderem daraus ein Signal zur Regelung des Verkehrsflusses. Die Information, die ein solches Lichtsignal in diesem Kontext trägt, ist eine verbindliche Anweisung zum Anhalten und Ab- warten – das muss man gelernt haben (Wissen). Daten und Informationen Auch wenn die Begriffe nicht selten synonym gebraucht werden, bezeichnen sie doch eigentlich ver- schiedene Dinge: Ein Datum ist ein Satz, der zum Beispiel aus Symbolen, Signalen oder auch Lauten besteht. Kontextuelles Wissen ermöglicht eine subjektive Interpretation von Daten und verleiht ihnen Bedeutung – es ist quasi die „Anleitung“ zur Daten- Verarbeitung. Information entsteht erst durch diese Verknüpfung (Inter- pretation) von Daten mit kontextu- ellem Wissen. Ein Beispiel: Ein rotes Licht ist ein Datum. Erst durch den Kon- text „Straßenverkehr“ sowie die Art und Weise seiner Installation wird © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 55

Management und Wissen Risikomanagement Abbildung 4: BCG-Matrix zum Wert von Information von der Repräsentation der Daten, dem Grad ihrer Abstraktion, dem Grad der Entfremdung zwischen Kontext und Datum (Transparenz/ Evidenz/Intuitivität oder Verborgen- heit des Zwecks) sowie der Obskurität (Umfang des aus den Daten selbst erhebbaren Kontexts) ab. Bewertung von Informationen Der Wert einer Information und der Wert ihrer Qualitäten und Eigenschaften (C/I/A) ist oft sehr schwer zu quantiﬁzieren. Informati- on gilt als neue Währung – das bedeu- Literatur [1] Deutsche Gesellschaft für Quali- tät (DGQ, Hrsg.), FMEA – Fehlermög- lichkeits- und Einﬂussanalyse, Beuth, 2012, ISBN 978-3-410-32333-4 [2] Martin Werdich (Hrsg.), FMEA – Einführung und Moderation, Durch systematische Entwicklung zur übersichtlichen Risikominimierung, Springer Vieweg, 2012, ISBN 978-3- 8348-1787-7 [3] Jens Braband, A Remedy for a Seri- ous Flaw in the Risk Priority Number Concept, Vortragsfolien, Februar 2004, www.rvs.uni-bielefeld.de/Biele- schweig/third/Braband-B3-2004.pdf [4] Verizon, Data Breach Investiga- tions Report, Portalseite, https:// enterprise.verizon.com/de-de/re- sources/reports/dbir/ [5] Accenture, Cost of Cybercrime Study, Portalseite, www.accenture. com/us-en/insights/security/cost- cybercrime-study [6] IBM, Cost of a Data Breach Re- port, Portalseite, https://www.ibm. com/security/data-breach [7] Marshall A. Kuypers, Thomas Maillart, Elisabeth Paté-Cornell, An Empirical Analysis of Cyber Security Incidents at a Large Organization, Working Paper, 2016, https://fsi. stanford.edu/publication/empirical- analysis-cyber-security-incidents- large-organization [8] BSI, Die Lage der IT-Sicherheit in Deutschland, Portalseite, www.bsi. bund.de/Lageberichte/ [9] ENISA, Threat Landscape, Portal- seite, www.enisa.europa.eu/topics/ threat-risk-management/threats- and-trends/enisa-threat-landscape [10] Cisco, Annual Cybersecurity Re- port, Portalseite, www.cisco.com/c/ de_de/products/security/security- reports.html tet aber auch, dass der Markt ihren Wert bestimmt. Eine häuﬁg genann- te „Dimension“ dieses Werts sind die Kosten der Informationsgewinnung (z. B. Forschung und Entwicklung oder der Aufwand hinsichtlich der Validierung von Daten). Aus der Perspektive des Angreifers und somit auch aus dem Blickwinkel des Informations- Sicherheits-Managements sind die folgenden Dimensionen ebenfalls von besonderem Interesse: Vielseitigkeit: Kann man die Information in einer Vielzahl mög- licher Prozesse (bzw. Use-Cases) ver- wenden – ist sie vielseitig anwendbar oder eröffnet sie besonders vielfältige und große Chancen? Detaillierungs-/Reifegrad sowie Tiefe: Ist die Information ho- lotisch (vollständig/abgeschlossen, z. B. Benutzername und Passwort), fragmentarisch (z. B. Benutzername oder Passwort) oder auch synonym (z. B. Eigenschaften eines Finger- abdrucks, Checksumme eines Pass- worts oder Ciphertext)? Informationen mit hoher Detailtiefe und hoher Vielseitigkeit (z. B. umfassende Nutzerprofile oder Bonitätsbewertungen) stellen einen höheren Wert dar als reine Sammlungen von Klar- und Nut- zernamen oder E-Mail-Adressen. Je tiefer, speziﬁscher und/oder reifer eine Information ist, desto größer ist in der Regel der Mangel am „Markt“ – weniger Personen/Organisationen haben Zugang zu dieser Information, verfügen über sie oder sind fähig, sie zu erzeugen. Zur Visualisierung kann man ein „magisches Quadrat“ bilden (nach der Boston Consulting Group auch als BCG-Matrix bekannt), in dem die X-Achse die Vielseitigkeit und die Y-Achse die Informationstie- fe repräsentiert (Abb. 4). Dann sind unsere „Stars“ Informationen, die in beiden Bereichen hohe Werte erzie- 56 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

len und somit große Chancen eröffnen (z. B. umfassende Fertigungsdaten) – „Cashcows“ sind vielseitig verwendbar (z. B. validierte Adress- und Kreditkartendaten oder Be- nutzerproﬁle). Bei „Poor Dogs“ handelt es sich hingegen um unspeziﬁsche oder als solche wertlose Informationen (z. B. Handbücher). „Questionmarks“ sind Informationen mit hoher Tiefe (bzw. hohen Erhebungskosten), deren praktische Anwendbarkeit jedoch – zumindest noch – unbekannt ist (z. B. aktuelle Forschungsdaten oder auch unveröffentlichte Pressemittteilungen). Aus diesen „Marktwerten“ ergibt sich einerseits ein Schutzwert und andererseits – bei wirtschaftlicher Betrachtung – auch der maximal sinnvolle Einsatz für die Beschaffung der bewussten Information. Aus dem Blickwinkel der Akteure staatlich oder privatwirtschaftlich ﬁnanzierter Wirtschaftsspionage muss der „dunkle Kanal“ gegenüber der klassischen Erhebung der Information (z. B. durch Forschung/Entwicklung oder Akquise) Vorteile bie- ten, also etwa schneller, zuverlässiger oder günstiger sein. Das Ziel der Informations-Sicherheit in Wirtschaft und Industrie ist es daher auch, die Wirtschaftlichkeit missbräuchlicher Methoden zur Informationsbeschaffung über diesen Kostenfaktor zu regulieren und so einzugren- zen oder dem Akteur Motivation oder Geschäftsmodell zu entziehen, indem man dafür sorgt, dass (Angriffs-) Kosten oder Zeit den Nutzen übersteigen (evtl. auch durch An- drohung/Anwendung rechtlicher Mittel). Hierbei können neben dem Erschweren des direkten Wegs zur Information auch ein „Spiel auf Zeit“ oder gezielt gestreute/platzierte Desinformation (Honigtöpfe) helfen. ■ Bastian Angerstein (T.I.S.P, ISO 27001 Lead Auditor) ist ehema- liger Softwareentwickler und seit 2008 zunehmend im Bereich der Informationssicherheit und Risikoverwaltung tätig – heute im Cloud-Umfeld bei der Robert Bosch GmbH. Der dritte und letzte Teil der Reihe wird in der nächsten <kes> auf Gefährdungen von unterstützenden Werten und Prozessen sowie Standardisierungsaspekte eingehen. Anzeige protekt 2019: Konferenz für den Schutz kritischer Infrastrukturen Stellen. Das sächsische IT-Sicherheits- gesetz soll den Schutz der IT-Netze der Verwaltungen im Freistaat verbes- sern. Die protekt bietet deshalb am 12.11.2019 für Behörden, Institutionen, Einrichtungen und Unternehmen ei- nen Workshop zu diesem neuen Gesetz an, der von Vertretern der Sächsischen Staatskanzlei und vom Sächsischen Si- cherheitsnotfallteam geleitet wird. www.protekt.de Der Schutz kritischer Infrastruk- turen wird in der globalisierten und vernetzten Welt zu einem Schwerpunkt der Sicherheitsbemühungen. Vorfälle, die zu Beeinträchtigungen im Betrieb oder sogar vorübergehenden Ausfällen führen, können schnell Wirtschaft und Gesellschaft enorm gefährden. Die Konferenz protekt, die am 12. und 13. November 2019 in Leipzig zum vierten Mal stattﬁndet, widmet sich diesem Thema und gibt Betreibern kritischer Infrastrukturen eine zentrale Plattform für den Wissenstransfer und zum ge- meinsamem Fachaustausch. Sie wendet sich als einzige Fachveranstaltung an alle KRITIS-Sektoren und verzahnt IT- Sicherheit und physischen Schutz. In Vorträgen werden sowohl Schwerpunktthemen der beiden Be- reiche beleuchtet, als auch übergrei- fende Fragestellungen ausführlich behandelt. Die Teilnehmer erwartet ein hochkarätiges Konferenzprogramm, das aktuelle gesetzliche Regelungen genauso in den Fokus nimmt wie die Themen Krisenvorsorge und -manage- ment, Bedrohungsszenarien, Risiko- management und Notfallplanung. In diesem Jahr sind erstmals Workshops Teil des Konferenzprogramms, bei de- nen wichtige Fachthemen anschaulich zur Sprache kommen, vertieft und dis- kutiert werden. Dabei steht unter anderem das Gesetz zur Neuordnung der Informati- onssicherheit im Freistaat Sachsen im Fokus. Denn die notwendige Digitalisie- rung der Verwaltung hat zur Folge, dass immer mehr elektronische Einfallstore für Cyberkriminelle entstehen. Immer wichtiger werden dabei auch die Sensi- bilisierung von Mitarbeitern sowie die Zusammenarbeit unterschiedlichster

Recht Videoüberwachung Videoüberwachung post DSGVO Wie der rechtliche Rahmen nach dem Inkrafttreten der Datenschutzgrundverordnung aussieht Meist kann oder will man nicht so viele Mitarbeiter einsetzen, wie es nötig wäre, um alles zu beobachten, was sehenswert ist – dann liegt der Einsatz von Videokameras nahe. Doch das ist technisch viel einfacher als die rechtliche Zulässigkeit zu bewerten. Denn aufgrund der damit verbundenen hohen Eingriffstiefe in Persönlichkeitsrechte sind strikte Maßstäbe anzulegen. § t h c e R Von Stefan Jaeger, Wiesbaden Videoüberwachung spielt in vielen Unternehmen eine wichtige Rolle zur Überwachung sensibler Bereiche. Durch moderne Systeme wird sie immer preiswerter und leichter zu administrieren, sodass die technischen Hür- den für ihren Einsatz sinken. Selbst Mitarbeiter – oder auch Privatleute – können heute ohne großen Aufwand „stille Winkel“ mit einer Kamera versehen (Stichwort „Schatten-IT“). Dabei bedeuten Videokameras einen erheblichen Eingriff in die Rechte derjenigen, die geﬁlmt und deren Verhalten vielleicht auch noch aufgezeichnet wird – etwa Mitarbeiter, Lieferanten, Besucher oder Kunden. Jegliche solche Überwachung, sei sie erkennbar oder versteckt, stellt einen Eingriff in das grundrechtlich geschützte Recht auf informationelle Selbstbestimmung dar. Deswegen hat sich die Rechtsprechung auch schon relativ früh mit der Rechtmäßigkeit von Video- überwachungsmaßnahmen beschäftigen müssen. Nach Einführung der EU-Datenschutzgrundverordnung (DSG- VO) stellt sich die Frage, ob sich die Grundlagen hierfür geändert haben: Denn mit der DSGVO ist auch das (deut- sche) Bundesdatenschutzgesetz (BDSG) durch das Daten- schutz-Anpassungs- und -Umsetzungsgesetz EU (Art. 1 DSAnpUG-EU) komplett neu gefasst worden. Aus der vormaligen nationalen Regelung zur Videoüberwachung (§ 6b BDSG-alt) wurde der fast wortgleiche § 4 BDSG-neu (siehe www.gesetze-im-internet.de/bdsg_2018/__4.html). die DSGVO ergänzt, weil sie die konkreteren Regelungen enthält oder dieser Paragraf der DSGVO sogar „vorgeht“. Abweichung im öffentlichen Bereich Die DSGVO erlaubt den Mitgliedstaaten zwar, speziﬁschere Regelungen in nationales Recht umzusetzen, als sie in der Verordnung zu ﬁnden sind (Art. 6 Abs. 2 und 3 DSGVO). Doch diese Öffnungsklausel gilt nur für be- stimmte Fälle (Art. 6 Abs. 1 lit. c und e) – nämlich wenn die entsprechende Datenverarbeitung eine Aufgabe betrifft, die im öffentlichen Interesse liegt oder in Ausübung öf- fentlicher Gewalt erfolgt, die dem Verantwortlichen über- tragen wurde. Für die Videoüberwachung durch private Unternehmen oder Privatleute kann also keine nationale Gesetzgebung die DSGVO konkretisieren. Eine parallele Geltung von EU- (DSGVO) sowie nationalem Recht (BDSG – bzw. dessen Vorrang bei spe- ziﬁscheren Regelungen) kann somit bei der Videoüber- wachung nur in den genannten Fällen infrage kommen. So sieht es im Ergebnis richtigerweise auch eine aktuelle Entscheidung des Bundesverwaltungsgerichts (Urteil vom 27. März 2019 [1]). Hiernach ist § 4 BDSG nicht anwend- bar auf die Videoüberwachung Privater (Privatpersonen und Unternehmen) – diese ist alleine an Art. 6 Abs. 1 lit. f DSGVO zu messen. Allgemeine Anforderungen Die DSGVO selbst enthält keine eigene ausdrück- liche Regelung zur Videoüberwachung. Eine generelle Regelung zur Verarbeitung von Daten (und damit auch Videodaten) enthält lediglich Artikel 6 (Abs. 1 lit. f DSGVO, siehe https://dsgvo-gesetz.de/art-6-dsgvo/). Dennoch darf man aber daraus nicht den Schluss ziehen, dass § 4 BDSG Grundsätzlich sind bei der rechtlichen Bewer- tung einer Videoüberwachung aber auch noch andere Rechtsgrundlagen zu beachten, beispielsweise das Recht am eigenen Bild (§ 22 KunstUrhG), das Recht auf infor- mationelle Selbstbestimmung [2], das Grundrecht der freien Persönlichkeitsentfaltung (Art. 2 Abs. 1 GG), das © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 59

Recht Videoüberwachung Strafgesetzbuch (§ 201a StGB), Bestimmungen der Lan- desdatenschutzgesetze sowie bei Beschäftigten zusätzlich noch das betriebliche Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Videoaufnahmen sind also in vielfältiger Weise gesetzlich reglementiert. Das Strafrecht greift mit § 201a StGB allerdings nur in Ausnahmefällen ein, wenn die dort genannten besonderen Voraussetzungen erfüllt sind – vor allem, wenn eine hilﬂose Person aufgenommen oder durch die Bildaufnahme der höchstpersönliche Lebens- bereich eines Betroffenen verletzt wird. Selbst auf Privatgrund kann man nicht einfach Videoaufnahmen herstellen (etwa durch Überwachung der Eingangstür, eines Foyers oder Hausﬂurs), denn es besteht immer die Gefahr, dass ein Dritter dort berech- tigterweise „eindringt“ – etwa ein Paketbote oder Besu- cher. Ohne Einwilligung, entweder durch konkludentes Verhalten oder sogar ausdrücklich, wären solche Video- aufnahmen bereits verboten. Und einwilligen kann man natürlich nur dann, wenn man von der Überachung weiß. Heimliche oder nicht erkennbare Videoüberwachung ist damit bereits unzulässig. Beispielsweise darf ein Haus-, Wohnungs-, Ge- schäfts- oder Büroeigentümer nur dann Videobilder erfas- sen, wenn er vor dem Betreten des Überwachungsbereichs ein deutliches Schild mit dem eindeutigen Hinweis auf die Videoüberwachung so anbringt, dass jeder, der diesen Bereich betritt, das Schild sehen muss, zur Kenntnis neh- men kann und dann beispielsweise durch das Betreten des Bereichs seine konkludente Einwilligung gibt. Auf keinen Fall zulässig ist es, solche Maßnahmen beispielsweise auf angrenzende Grundstücke oder (ggf. auch öffentliche) Bereiche auszudehnen und das Gesche- hen dort ebenfalls zu erfassen – denn davon würden Be- sucher des fremden Bereiches ebenso tangiert wie dessen Besitzer, der dies selbstverständlich unterbinden darf. Überwachenden vorliegen (§ 4 Abs. 1 Nr. 3 BDSG; Art. 6 Abs. 1 lit. f DSGVO; Leitlinien EU 3.1.1). Sodann muss die Videoüberwachung insofern erforderlich sein, als es keine alternativen Möglichkeiten gibt, um zum gleichen Ergebnis zu kommen (§ 4 Abs. 1 Satz 1 BDSG; Art. 6 Abs. 1 lit. f DSGVO; Leitlinien EU 3.1.2). Abschließend muss die Videoüberwachung mit dem Recht der überwachten Personen und deren schutzwürdigen Interessen abgewogen werden, denn diese haben aus ihrem Grundrecht auf informationelle Selbstbestimmung das Recht, eben nicht überwacht zu werden (§ 4 Abs. 1 BDSG; Art. 6 Abs. 1 lit. f DSGVO, Leitlinien EU 3.1.3). Ob Videodaten aufgezeichnet werden oder nicht, spielt übrigens keine Rolle, was jüngst das Bundesver- waltungsgericht in dem genannten Urteil [1] nochmals ausgeführt hat. Dies liegt auch auf der Hand, denn alleine schon das Beobachten eines Menschen greift in seine Rechte ein – ob die erfassten Videobilder auch später noch wiedergegeben werden können, ist nicht entscheidend (siehe auch die Erwägungsgründe zu § 6b BDSG-alt [4], S. 38). Deswegen spricht auch § 4 BDSG von „Beobach- tung“ und nicht von Aufzeichnung. Berechtigtes Interesse Es reicht für die Zulässigkeit einer Videoüber- wachung nicht aus, dass beispielsweise eine Firma oder Privatperson ein generelles Interesse hat, etwa den Außen- bereich ihres Grundstücks zu überwachen oder per Video aufzuzeichnen, wer wann das Haus betritt oder verlässt. Erforderlich ist vielmehr, dass konkrete Tatsachen vor- liegen, die eine solche Überwachung begründen. Wenn also beispielsweise schon mehrfach eingebrochen oder eine Außenwand mit Grafﬁtis besprüht wurde, könnte ein solches berechtigtes Interesse vorliegen (vgl. Leitlinien EU [3] 3.1.1 „Existence of legitimate interests“). Eine generelle Neugier reicht ebenso wenig aus wie das Argument, dass es in einem Ladengeschäft eben „praktisch“ sei, wenn man sieht, wann Personen es betreten. Leitlinien Erforderlichkeit Diese Grundzüge sind informierten Kreisen im Prinzip seit Jahren bekannt. Doch wie sieht es in der Praxis nach der Einführung der DSGVO aus und welche Bestim- mungen sind zu beachten? Hierzu hat die Europäische Union im Juli einen Entwurf für Leitlinien zur Videoüber- wachung gemäß DSGVO veröffentlicht [3]. Betrachtet man diese Leitlinien, wird schnell klar, dass sich nicht mit einem Satz sagen lässt, wann eine Videoüberwachung zulässig ist oder nicht. Denn sowohl BDSG als auch DSGVO sehen verschiedene Abwägungen vor, die naturgemäß keine klaren Grenzen setzen. Zum einen muss grundsätzlich ein berechtigtes Interesse des Bevor man eine Überwachungsmaßnahme star- tet, muss man prüfen, ob es andere Möglichkeiten gibt, zum gleichen Ziel zu gelangen. Gibt es alternative Mög- lichkeiten, so sind diese der Videoüberwachung vorzuzie- hen, denn diese Überwachung greift, wie angemerkt, in Grundrechte überwachter Personen ein (vgl. EU Leitlinien [3] 3.1.2 „Necessity of processing“). Dabei ist die Frage der Verhältnismäßigkeit zu stellen, denn natürlich könnte man beispielsweise auch Wachleute abstellen, um eine Wand vor Grafﬁti-Sprayern zu schützen, was allerdings hinsichtlich von Kosten und tatsächlichem Aufwand in keinem Verhältnis zu einer angebrachten Videokamera stünde. 60 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Besuchen Sie uns auf der it-sa: Halle 10.0, Stand 10.0-423, Oktober 8-10, Nürnberg, Germany Axis End-to-End Sicherheits- und Überwachungslösungen Wir haben unsere Lösungen für Unternehmen mit den unterschiedlichsten Anforderungen konzipiert. Kleine Unternehmen bis hin zum Mittelstand profitieren von unseren End-to-End Lösungen. Alles aus einer Hand > Video Management Software > Umfangreiches Portfolio an Netzwerk-Kameras > Netzwerk-Audiosysteme > Netzwerk-Video-Türstationen > Aufzeichnungslösungen: Netzwerk-Videorekorder oder SD-Karten > Health Monitoring zur Fernwartung > Und vieles mehr ...

Recht Videoüberwachung Schutzwürdige Interessen überwachter Personen abwägen Zuletzt ist abzuwägen, ob gegebenenfalls schutz- würdige Interessen der Überwachten den berechtigten Interessen des Überwachenden überwiegen (vgl. Leit- linien EU [3] 3.1.3 „Balancing of interests“). Eine Video- überwachung kann ja ganz unterschiedliche Lebensbe- reiche überwachter Personen betreffen: Dabei ist es ein Unterschied, ob man nur beim Betreten eines Gebäudes kurz aufgezeichnet wird oder als Mitarbeiter eines Unter- nehmens während der gesamten Arbeitszeit unter Video- überwachung steht. Fallbeispiele Aktuell wird viel über Videoüberwachung in öf- fentlichen Schwimmbädern diskutiert. Dies könnte etwa im Rahmen der Überwachung des Schwimmbeckens selbst erfolgen, um festzustellen, ob jemand Hilfe benötigt, oder in anderen Bereichen, um eine eventuelle Gefähr- dung Dritter auszuschließen. Es ist leicht einzusehen, dass ersteres unproblematischer ist, als wenn Umkleidekabinen oder ein Saunabereich überwacht werden sollen. Da in die- sen Fällen massiv in die Intimsphäre eingegriffen würde, ist dort eine Videoüberwachung auf jeden Fall unzulässig und unter keinen Umständen zu rechtfertigen. Generell wird eine Videoüberwachung schwie- rig zu rechtfertigen sein, wenn tatsächlich noch nichts passiert ist, sondern man sie prophylaktisch installieren möchte, um beispielsweise besonders schützenswerte Firmendaten vor dem Zugriff Dritter zu bewahren. Denn: Auch wenn eine Videoüberwachung generell auf viele abschreckend wirkt, muss man bedenken, dass der phy- sische Zugriff auf die zu schützenden Güter hierdurch ja in keiner Weise unterbunden wird – wenn die Täter etwa eine Maske tragen, wäre eine Videoüberwachung zudem relativ nutzlos, um die Tat aufzuklären. Kommt man zu dem Ergebnis, dass etwa das Anbringen von physischen Schutzmechanismen oder Alarmanlagen die geheimen Daten besser schützt, muss man im Ergebnis wohl die Zulässigkeit einer Videoüberwachung verneinen. Die <kes>-Rubrik „Recht“ gibt Tipps zu Rechtsfragen der ITK sowie der Informationssicherheit und informiert über aktuelle Urteile aus diesem Bereich. Rechtsanwalt Stefan Jaeger betreut diese Kolumne seit 2013. Er ist Partner bei SIMON und Partner und referiert über IT-Rechtsfragen seit Jahren an der Deutschen Richterakademie und beim Deutschen Richterbund. Er ist darüber hinaus Referatslei- ter Datenschutz bei der GenoServ eG. Nach den EU-Leitlinien ([3] Randziffer 21) kann es daher hilfreich sein, etwa Daten über Einbrüche bei den Nachbarn eines Geschäfts zu erfassen. Häufen sich Straf- taten in der eigenen Straße, ließe sich eine prophylaktische Videoüberwachung eher begründen. Anders sähe es lediglich im rein privaten Bereich aus: Denn die DSGVO macht eine Ausnahme, wenn natür- liche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten eine solche Überwachungs- maßnahme vornehmen wollen – dann ﬁndet die DSGVO überhaupt keine Anwendung (Art. 2 Abs. 2 lit. c DSGVO). Eine gleichlautende Regelung ﬁndet man in § 1 Abs. 1 BDSG. Auch hier gelten jedoch trotzdem die allgemeinen Vorschriften (auch des Strafrechts), sodass es natürlich nicht zulässig ist, etwa im Gästezimmer eine heimliche Videoüberwachung zu installieren. Auch eine Videoüberwachung von allgemein zugänglichen Räumlichkeiten oder Bereichen wie Bahnsteigen, Zapfsäulen einer Tankstelle oder etwa der Parfümerieabteilung eines Kaufhauses ist nicht grund- sätzlich zulässig, sondern muss immer einer Abwägung der Interessen unterworfen werden. Allerdings darf man dabei berücksichtigen, dass das schutzwürdige Interesse überwachter Personen an vielen solchen Orten gering ist, da heutzutage in vielen Fällen schon mit einer solchen Überwachung zu rechnen ist und in diesen Bereichen rechtfertigende Gründe vorliegen – etwa die Gefährdung von Reisenden am Bahnsteig durch einfahrende Züge, eine besonders hohe Diebstahlswahrscheinlichkeit bei Parfüm oder auch bekanntermaßen häuﬁge Überfälle auf Tankstellen. Insofern wird man bei Abwägung aller Interessen in diesen Fällen wohl die Zulässigkeit einer Videoüberwachung annehmen dürfen. Eigene Mitarbeiter zu beobachten oder gar auf- zuzeichnen ist nur in Ausnahmefällen zulässig: Sollen sie bei der Arbeit beobachtet werden, so ist dies unzulässig. Soll ein Bereich überwacht werden, in dem nachweislich schon öfter Firmeneigentum gestohlen wurde, so ist eine Überwachung nur zulässig, wenn andere Mittel nicht wirken und die dort verkehrenden Personen über die Überwachung informiert sind (vgl. <kes> 2019#2, S. 73) – und nur, wenn auch dies nicht greift, ist unter Umständen eine heimliche Überwachung statthaft. Informationspﬂichten Bei jeder Videoüberwachung müssen überwachte Personen im rechtlich erforderlichen Maße über diese Maßnahme informiert werden (Art. 12 und 13 DSGVO, vgl. EU-Leitlinien [3] Kapitel 7 „Transparency and In- formation Obligations“. Während das BDSG lediglich verlangt, dass der Umstand der Überwachung unmittelbar bekannt gegeben und über die Kontaktdaten mit Namen 62 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

der verantwortlichen Person informiert werden muss (§ 4 Abs. 2 BDSG), verlangt Artikel 13 DSGVO hier deutlich mehr, sodass eine Videoüberwachung gesetzlich nur dann zulässig ist, wenn man ein gut erkennbares Schild vor die überwachte Zone installiert, welches als Muster bei vielen Datenschutzbehörden unentgeltlich heruntergeladen werden kann. Interessanterweise ﬁndet man heute solche Schil- der im Alltag noch so gut wie gar nicht. Dies verwundert umso mehr, als Verantwortliche mit hohen Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresum- satzes des Unternehmens belegt werden können (Art. 83 Abs. 5 b DSGVO). Ein einfaches Schild, etwa mit dem Hin- weis „Videoüberwachung“, reicht nach den Vorschriften der DSGVO bei Weitem nicht mehr aus! Vielmehr verlangt Artikel 13 DSGVO die Angabe folgender Informationen: Namen und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters gegebenenfalls Kontaktdaten des Datenschutzbe- auftragten Zwecke, für welche die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage der Verarbeitung sofern die Verarbeitung auf Artikel 6 Abs. 1 lit. f beruht: die berechtigten Interessen, die von dem Verant- wortlichen oder einem Dritten verfolgt werden gegebenenfalls Empfänger oder Kategorien von Empfängern der personenbezogenen Daten gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der EU-Kommission oder bei bestimmten Übermittlungen einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist oder wo diese verfügbar sind (Übermittlungen gem. Art. 46, 47 oder 49 Abs. 1 Unterabsatz 2). Darüber hinaus müssen Betroffene auch über Folgendes informiert werden: die Dauer, für die personenbezogene Daten ge- speichert werden oder, falls eine konkrete Angabe nicht möglich ist, die Kriterien für die Festlegung dieser Dauer das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personen- bezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Wi- derspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit wenn die Verarbeitung auf einer Einwilligung (Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO) beruht: das Bestehen eines Rechts, diese Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde Speicherdauer Auch wenn die Verantwortlichen nach diesen Regelungen über die Speicherdauer von Videodaten in- formieren müssen, heißt dies nicht, dass sie diese Dauer beliebig festlegen dürften – sie ist letztlich nach den bereits genannten Kriterien abzuwägen. Dient die Über- wachung etwa dem Schutz vor Einbruch, so sind diese Daten bereits überﬂüssig, wenn man feststellen kann, dass kein Einbruch stattgefunden hat. Das bedeutet, dass ein Unternehmen solche Daten am nächsten Tag bereits löschen müsste. Dient eine Videoaufzeichnung jedoch beispiels- weise dazu, berechtigterweise auch im Nachhinein noch bestimmte Aspekte überprüfen zu können, so ist auch eine längere Speicherung zulässig – dabei kommt es auf die Begründung des Einzelfalls an. Auf jeden Fall ist es unzulässig, Daten ohne jegliche Abwägung beispielsweise nach dem „First-in-ﬁrst-out“-Prinzip auf einer Festplatte zu speichern. ■ Literatur [1] Bundesverwaltungsgericht, Urteil vom 27. März 2019 (Az. 6 C 2.18), www.bverwg.de/270319U6C2.18.0 [2] Bundesverfassungsgericht (BVerfG), Urteil vom 15. Dezember 1983 (Az. 1 BvR 209/83), www.bverfg.de/e/ rs19831215_1bvr020983.html [3] European Data Protection Board (EDPB), Guidelines 3/2019 on processing of personal data through video devices, „Version for public consultation“, Juli 2019, https://edpb.europa.eu/our-work-tools/public-consulta- tions/2019/guidelines-32019-processing-personal-data- through-video_en [4] Deutscher Bundestag, Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze, BT-Drs. 14/4329, Oktober 2000, http://dip21. bundestag.de/dip21/btd/14/043/1404329.pdf © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 63

Management und Wissen Security-Operation-Center Auf dem Weg zu automatischen Reaktionen Der SOCste Sinn Gefahrenindikator „Objektivität“ am Beispiel BaFin-relevanter IT Security-Operation-Center (SOC) gehören mittlerweile zum strategischen Standard großer Unternehmen. Mitunter sind sie allerdings selbst ein potenzielles Risiko für die Cyber- sicherheit, besonders wenn automatische Reaktionen im- plementiert sind. Unser Autor identifiziert SOC-Risiken und schlägt „Objektivität“ als wichtige Qualitätsgröße vor. Von Stephen Fedtke, Zürich Im Fall sehr großer oder gar systemischer Infrastrukturen ist ein SOC heute schlichtweg Pﬂ icht, um IT-Sicherheitsvorfälle schnell und qualiﬁ ziert an das Computer- Emergency-Response-Team (CERT) zu melden. Ziel eines SOC ist die Vereinigung von Know-how und Technik in einer geeigneten Orga- nisation, um negative Sachverhalte über alle Plattformen hinweg schnell sichtbar zu machen. Wesentlich sind IT-Sensorik, Analysefähigkeiten und der Leitstand mit seinen Spezialisten und dem SOC-Handbuch. Das SOC beobachtet und meldet aber nicht nur, es reagiert auch und greift bei Sicherheitsvorfällen entsprechend ein. Durch diese aktive Rolle ergeben sich SOC-eigene Risikoebenen. Im schlimmsten Fall können Angreifer beispielsweise das SOC selbst umge- hen oder auch gezielt beschäftigen. Aufbau und Betrieb eines SOC stellen für die Unternehmen einen erheblichen ﬁ nanziellen Auf- wand dar: geeignete Räumlichkeiten, Beschaffung und Implementierung notwendiger Monitoring-, Analyse- und Visualisierungslösungen und schließlich das Personal für einen 24/7-Betrieb – und das alles eventuell mehrfach für verschiedene Zeitzo- nen. Abgerundet werden die Auf- wände durch Zertiﬁ zierungen und regelmäßige Audits. Entsprechend anspruchsvoll ist die Erwartungs- haltung – auch an die jeweiligen Verantwortlichen. Für eine hohe Sicherheit ist ein SOC mit schneller Reaktionsge- schwindigkeit und zugleich perso- nalschonender 24/7-Handlungsfä- higkeit das Ziel. Verständlicherweise liegen deshalb große Hoffnungen auf hochgradig automatisierten Detektionen und am Ende auch auf automatischen Reaktionen. Die SOC-eigenen Risiken wachsen jedoch mit jeder weiteren Automati- sierungsstufe seiner Architektur. Risiko-Ansatzpunkte Neben der Technik entsteht der „intellektuelle Aufwand“ beim Aufbau eines SOC in Form des umfangreichen SOC-Handbuchs, das einen Katalog aller relevanten Vorkommnisse ausreichend und vor allem auch verständlich beschreiben muss. Es enthält zudem sämtliche wichtigen Handlungsanweisungen und dokumentiert die organisato- rische Integration der SOC-Abläufe, zum Beispiel in Form von Eskalati- onsstufen und -wegen für eine dem Risiko angemessene Reaktion. Im Kern geht es im SOC-Regelwert um sehr konkrete und weniger um ab- strakte Fragen, die gleichzeitig auch Ansatzpunkte für Risiken sind: Einstufung: Wie dringlich ist ein Vorfall? Eskalation: Welche Eskalati- onsmöglichkeiten stehen zur Ver- fügung? Ab „wann“ (Schweregrad, Risikolevel, Uhrzeit etc.) werden die Spezialisten angerufen, um einen Vorfall zu melden und abzuklären? Hilfestellung: Wer kann bei Problemen welcher Komplexitäts- stufe überhaupt helfen? Wen zu we- cken macht Sinn? Ist er intern oder extern? Was passiert, wenn niemand passendes erreicht werden kann? Reaktion: Wann und von wem darf eine entsprechende Re- aktion im Sinne des Erhalts der 64 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

produktiven Systeme überhaupt abverlangt und aus- geführt werden? Welche Abwägungen sind vor einer Entscheidung für eine Reaktion vorzunehmen? Wer trägt die Verantwortung? Automatische Reaktion: Können Reaktionen zur Entlastung aller und für maximale Reaktivität eventuell auch automatisch erfolgen? Wie riskant sind diese Auto- matismen? Inhärent hat die IT stets zum Ziel, auch die auf sich bezo- genen Workﬂows hochgradig zu automatisieren. Im Fall des SOC geht es zugleich um adäquate Reaktionszeiten, die Entlastung der Mitarbeiter und um maximale Kom- plexitätsreduktion bezüglich der Erfassung und Behand- lung eigentlich sehr komplexer Abläufe. Man kann ein SOC daher nicht als bloßes Upgrade einer klassischen Arbeitsvorbereitung betrachten – Letztere beschäftigt sich mit exakt geregelten und geplanten Ereignissen, ein SOC kämpft mit hochgradig Unerwartetem. Die Kom- plexitätsreduktion ist somit Dreh- und Angelpunkt eines erfolgreichen SOC-Teams. Deswegen wäre es auch wunderbar, wenn das Security- Information-and-Event-Management (SIEM) beziehungs- weise die nachgelagerten Systeme oder lokalen Agenten einen Vorfall einfach selbstständig und ohne manuelle Eingriffe lösen könnten, also präzise nur den ursächlichen Prozess abbrechen, eine potenziell missbrauchte Verbin- dung stoppen, einen verdächtigen User sperren, einen befallenen Server herunterfahren. Das 24/7-SOC-Team kann so aus bezahlbarem Personal bestehen und am Mor- gen, gut ausgeschlafen dank ausgebliebener Anrufe, lesen die Spezialisten stressfrei die zur automatischen Reaktion begleitend erstellten E-Mails oder Ticket-Kommentare und studieren nachträglich die Sachlage. Ein bisschen können die technischen und algorith- mischen Herausforderungen automatischer SOC-Abläufe mit denen des autonomen Fahrens verglichen werden: Das Ziel steht fest, der technologische Aufbruch fand auch schon statt, aber der Weg dahin wird Opfer im Sinne des Fortschritts fordern. Analog zur ethischen Grundfrage der künstlichen Intelligenz, wen überfährt das selbstfahrende Auto im Ernstfall oder opfert es sich ehrenhaft selbst, muss auch eine automatische SOC-Reaktion zwischen Verfüg- barkeit und Sicherheit eine Entscheidung treffen [1]. Die vollständige Automatisierung des SOC-bezogenen Incident-Managements ist allerdings heute noch unrealis- tisch, jedenfalls solange man nicht das Risiko „ausgeblie- bene“ durch „vollkommen überzogene“ Reaktion ersetzen will. Es fällt schwer, einer SOC-/SIEM-Architektur zu erlau- ben, Applikationen bei kleinsten Anzeichen selbstständig zu stoppen oder Systeme vom Netz zu nehmen, indem auf ein „Hüsteln“ bereits übereifrig reagiert wird oder nur um nachts niemanden wecken zu müssen – die Reaktionen hätten eventuell ein höheres Schadenspotenzial als der Angriff selbst. Immanente Risiken Vor lauter positiver Zielsetzung und Begeisterung kann eine wichtige Frage eventuell unbewusst übersehen werden: Welche Risiken gehen möglicherweise von einem SOC selbst aus beziehungsweise welchen Risiken sind die Pfeiler eines SOC selbst unterworfen, einschließlich der Entscheidungen über seine Architektur? Das wären zum Beispiel: Wirkungslosigkeit, Kostenexplosion oder Image- Sorgen durch „Versagen“ Infragestellung der Compliance, wenn das SOC notwendige Anforderungen nicht erfüllt („lieber keins als ein non-compliant SOC“) physisch wie psychische Überbeanspruchung des SOC-Teams und anderer Spezialisten durch zu viele und/ oder falsche Alarme zu eventuell ungünstigen Zeitpunkten Wissensabﬂuss durch das SOC nach draußen, zum Beispiel beim SOC-Outsourcing potenzieller Schaden durch falsche Entschei- dungen und Reaktionen im Ernstfall, bis hin zu „Fokushima“-ähnlichen Szenarien dank automatisch eskalierter Kettenreaktionen [2] Nach der Basis-Implementierung unterliegt das SOC mit seinen technischen wie auch organisatorischen Implementierungen einem typischen „Lifecycle“ und wird einer stetigen Bewertung und Verbesserung unter- worfen. In größeren Installationen ergibt sich das implizit durch praktiziertes Change-Management, Revision, Audi- toren, Compliance-Auﬂagen, Jahresabschluss oder BaFin- Audits. Eines steht jedoch schon fest, auf dem Weg des SOC in automatisierte Zustände kann und wird noch eine Menge schiefgehen. Bezogen auf das reine Monitoring und Detektieren stehen folgende Risiken im Vordergrund: ausbleibende Alarme falsche Alarme und Feststellungen übersehene Alarme zu viele oder irreführende Alarme Handlungsunfähigkeit oder Überlastung des SOC-Teams und der Linie dahinter fälschlicherweise oder zum falschen Zeitpunkt ausgelöste Reaktionen überzogene Reaktionen vollautomatisch ausgelöste fehlerhafte Maßnahmen © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 65

Management und Wissen Security-Operation-Center Von dem einen oder anderen Falschalarm auf einem Dashboard fällt natürlich kein SOC um, wenn menschlicher Verstand und Kompetenz ausreichend vor einer Handlungsauslösung eingesetzt werden. Spätestens beim Einsatz automatischer Reaktionen ist jedoch der ge- samte Audit-Trail mit all seinen Phasen maximal objektiv und damit kritisch zu hinterfragen. Denn Reaktionen mit faktisch „terminierender Wirkung“ erfordern höchste Präzision und „vollstes Vertrauen“. Im Fall von externen Mitarbeitern gibt es ein deﬁ- nitiv höheres Risiko. Aber auch bei internen Mitarbeitern mit verbliebener hoher inhaltlicher beziehungsweise in- teressenbezogener Bindung zu Dritten, wie Software-Her- stellern, gilt es, stets auch die notwendige Objektivität im Auge zu behalten, wenn diese am SOC mitwirken. Konkret stellen sich Fragen, ob Dinge schöngeredet werden, damit sie passend wirken oder Lösungen zum Einsatz kommen sollen, um eigene Interessen damit zu fördern. Mitwirkende Ein gravierendes Problem resultiert auch aus dem Mangel an Fachkräften im Bereich der IT-Sicherheit – ganz zu schweigen von Mitarbeitern mit einem gewissen „Guru-Faktor“, die einen breiten Überblick bei gleich- zeitigem Tiefgang mitbringen. Kandidaten dieser Klasse sind am Arbeitsmarkt kaum verfügbar und entsprechend teuer. Hat man sie dann, stellt sich zudem die Frage, ob das SOC das wertschöpfend optimale Einsatzumfeld für sie ist. Daraus ziehen die meisten Unternehmen zwei Schluss- folgerungen: mögliches Outsourcing und der Wunsch nach nachhaltigen Automatismen, um Ressourcen und Mitarbeiter zu schonen. SOC-Spezialisten entscheiden über Techniken und Logiken und implementieren sie – ohne selbst später in ihrem täglichen Leben in den 24/7-Betrieb involviert zu sein. Entsprechend verfügen sie zugleich über eine hohe Macht und können oft nur durch wenige andere Mitarbeiter hinterfragt werden. Dadurch gewinnen sie durchaus eine Kritikalität wie die der „Privileged User“ und man muss hinterfragen, welches Risiko von ihren Entscheidungen, Empfehlungen und Aktivitäten ausgeht. Es ist somit eine laufende Objektivitätsbewertung notwendig – schließlich besitzen die Experten nachhal- tiges Wissen über das SOC und seine Wirkungsweise, was, nebenbei erwähnt, bei externen Mitarbeitern sehr strenge Vertraulichkeitsvereinbarungen mit Vertragsstrafe erforderlich macht. Für eine Risikoanalyse solcher „intel- lektuell“ extrem privilegierter Nutzer können durchaus die pragmatischen Überlegungen des EPIS-Konzepts an- gewendet werden [3]. Automatische Reaktion vs automatische Security-Controls Es gibt sie schon in hoher Zahl und Vielfalt, die automatischen Reaktionen in der IT-Sicherheit – und das risikoarm. Was macht sie im SOC so risikoreich? Hierzu ist eine klärende Abgrenzung hilfreich: Worin liegt der Unterschied zwischen einer automatisierten SOC-Reak- tion im Sinne der Incident-Response und den regulären automatischen Security-Controls einer IT, wie sie bereits zahllos im Einsatz sind? Zu Letzteren gehören typischerweise Authenti- ﬁzierungsverfahren, Firewall-basierte Zugriffsblockaden, Rittal Lösungen für die Technologie der Zukunft. Mit Edge Computing verarbeiten Sie große Datenmengen am Ort der Entstehung. Sicher und in Echtzeit. Wie Sie Ihre IT-Infrastruktur flexibel, wirtschaftlich und international auf die neuen Herausforderungen vorbereiten, entdecken Sie bei Rittal: www.rittal.com/it-solutions. Besuchen Sie uns: it-sa in Nürnberg Halle 9, Stand 9-411

Access-Listen oder File-Permissions zum gezielten Schutz von Files und Directories. Ihnen ist gemein, dass sie sich alle auf vorab deﬁnierte und als relevant eingestufte Situa- tionen des regulären und inhaltlich bekannten IT-Betriebs beziehen. Das heißt, es handelt sich um ein relativ über- raschungsfreies und interpretationsfreies Umfeld. Zwei- felsohne stellen auch hier fehlerhafte Entscheidungen betriebliche Probleme dar, diese wurden meistens aber initial bei der Implementierung und Produktivnahme des Controls etabliert und eventuell korrigiert. Sie treten vor- wiegend in kontrollierten und geplanten zeitlichen Mo- menten auf, beispielsweise bei geplanten Änderungen im Rahmen eines Wartungsfenstern – „no change, no drama.“ Im Vergleich dazu muss ein automatisches SOC- Control, zum Beispiel das einer Angriffsdetektion, in einer sehr viel offeneren, undeﬁnierteren und überraschenden Situation entscheiden, agieren und mit dem Ergebnis zu- rechtkommen. Die Logik entsprechender Entscheidungs- ﬁndungen – in Form eines „Situation X liegt vor“- oder „liegt nicht vor“-Urteils – muss mit einer sehr viel höheren Unschärfe zurechtkommen und es muss zur Risikomini- mierung wesentlich mehr Aufwand betrieben werden. Deshalb liegen in diesem Bereich große Hoffnungen auf Verfahren der künstlichen Intelligenz. Risikoanalyse entlang des „Audit Trails“ Die qualitative Hinterfragung eines nach Auto- mation strebenden SOC-Konzepts oder -Betriebs im Sinne einer Risikoanalyse erfordert eine Wanderung entlang des gesamten Verarbeitungspfades, verbunden mit einer genauen Betrachtung der möglichen positiven wie nega- tiven Einﬂussfaktoren an wichtigen Wegpunkten: Phase 1: Detektion In der ersten Phase detektieren und sammeln die Systeme zeitnah relevante Eventdaten auf den Clients und Servern. Das reicht von elementaren Ereignissen, wie Logins, bis hin zu den Ergebnissen eventueller Threat- Detektoren, wie Virenscanner, Vulnerability-Scanner und ATP-Detektoren. Herausforderungen: „Anzapfen“ der Event-Quellen; Echtzeitfähigkeit; Identiﬁkation und Detektion wirklich aller relevanten Ereignisse, also aller Events, die aus Com- pliance-, Security-, Detektionszielsetzungspﬂicht wichtig und notwendig sind Risiken: Unkenntnis über relevante beziehungs- weise verfügbare Events; Event-Verlust (z. B. durch Flutung oder „out of disk space“-Situationen); Software-Schwä- chen; für das Monitoring nachteilige Systemänderungen durch operative Abteilungen (z. B. Änderung der OS- bzw. Audit-Konﬁgurationen) gezielt bösartige Einﬂussnahmen: gezielte Event- Unterdrückung (z. B. durch einen Angreifer oder privile- gierte Software); Erzeugung von falschen Events zwecks Anschuldigung, Ablenkung oder gezielte Auslösung von Reaktionen; Stoppen der Agenten oder der Überwa- chungssoftware Praxisempfehlung: Überwachung der Eventquel- len in Bezug auf Manipulationen oder gezielte Fake- Discover the Edge.

Management und Wissen Security-Operation-Center Anwendung; eventuell Redundanz in der Überwachung schaffen Phase 2: Weiterleitung Die von Servern und Clients gesammelten Event- Daten werden an die zentrale Archivierung weitergeleitet und als forensisches Fundament abgespeichert. Herausforderungen: unverfälschter, abhörsicherer, zuverlässiger und für die Echtzeitfähigkeit schneller Transfer; anschließende garantierte Entgegennahme der Eventdaten, verbunden mit der grundsätzlichen Registrie- rung und Speicherung sowie der Erkennung von Ausfall oder Lücken in der Belieferung; Synchronisierung aller auftretenden Timestamps Risiken: Verlust oder Verzögerung beim Transfer beziehungsweise beim Empfang (z. B. UDP statt TCP, Collector ist „unten“, „out of xxx“-Fehler); Verschlüs- selungsprobleme (z. B. abgelaufene Zertiﬁ kate); Lücken bleiben unbemerkt gezielt bösartige Einﬂ ussnahmen: Blockieren oder Verzögern des Transferwegs durch Angriffs- oder Manipu- lationstechnik; Einschleusen von falschen Events Praxisempfehlung: Von Anfang an wie im Kontext eines Service-Level-Agreements (SLAs) denken – das ver- einfacht auch späteres eventuelles Outsourcen; bei der Implementierung stets alle notwendigen Überlegungen auf Client- und Server-Ebene für den Fall einschließen, dass Events nicht abgeliefert werden können (Für welchen Zeitraum ist ein Zwischenspeicher vorzusehen? Wie oft wird eine Nachlieferung probiert? Auf welche alternativen Empfänger könnte man ausweichen?) Phase 3: Analyse In dieser Phase analysiert das SIEM die Events über alle Gattungen und über alle Plattformen hinweg. Das erfolgt mithilfe schwellwertbasierter Verfahren, Kor- relationen und eventuell mit Methoden der künstlichen Intelligenz und dient der Ableitung und damit Detektion speziﬁ scher Sachverhalte oder Phänomene von unter- schiedlicher Signiﬁ kanz und Kritikalität. Das kann von einem möglichen Verdacht bis hin zur „glasklaren“ Fest- stellung reichen. Herausforderungen: Scannen der diversen Log- und Meldungsformate; ausreichendes (plattformbezogenes) Wissen über die für eine hohe Sicherheit notwendigen Analysen; die in der Praxis für das konkrete IT-Umfeld möglichen Szenarien kennen, inklusive firmenspe- ziﬁ sches operatives Wissen; die genannten Bereiche bezüglich der Relevanz risikomindernd einordnen; im Fall KI-basierter Verfahren über eine geeignete Lernbasis verfügen – vor dem Anlernen müssen alle Ebenen perfekt funktionieren, sonst wird Falsches antrainiert; Berück- sichtigung und Kompensation von Latenzzeiten bei der Event-Anlieferung und unterschiedlicher Zeitzonen bei Timestamps Risiken: Wissenslücken, Denk- und Logikfehler; bisher unbekannte Event- oder Format-Varianten (z. B. ändern sich Meldungsformate in Verbindung mit Updates (Phase 1) oder es ergeben sich plötzlich Zeilenumbrüche aufgrund unüblich langer Namen); fehlende Vorstellungs- oder Willenskraft der Mitarbeiter, die die Detektion imple- mentieren; schlechtes Testen; potenzielle Unmöglichkeit des Testens in Form realen Nachstellens; im Fall genera- lisierter Detektionen (z. B. Failed-Logins), dass wirklich alle genutzten Plattformen „angekoppelt“ sind, also alle entsprechenden Event-IDs, alle Formate…; ungünstige Entscheidung zwischen White- und Blacklist-Verfahren (z. B. ist positives Auswählen relevanter Fälle fehlersensib- ler gegenüber Match-Fehlern oder Formatabweichungen als der Ausschluss irrelevanter Fälle) gezielt bösartige Einﬂ ussnahmen: gezieltes Ausspä- hen und Analyse der Regeln, um unter dem Radar zu bleiben, zum Beispiel eigene Prozesse analog zu Whitelist- Kandidaten benennen oder die Anzahl der Angriffsver- suche pro Zeiteinheit durch Verteilung gezielt unter dem Schwellwert halten Praxisempfehlung: sämtliche Details über das SOC streng geheim halten; alle Mitwirkenden zu Vertraulich- keit verpﬂ ichten, besonders externe Mitarbeiter (Vertrau- lichkeitsvereinbarung mit Vertragsstrafe) Phase 4: Melden Die Ergebnisse müssen entsprechend visuali- siert und an den First-Level-Verantwortlichen und das 24/7-SOC-Team weitergeleitet werden. Dazu gehören die inhaltliche Vermittlung der jeweiligen Sachverhalte und eventuelle Handlungsnotwendigkeiten (SOC-Handbuch). Herausforderungen: adäquate Medien und Darstel- lungsformen auswählen; die Erkenntnisse korrekt klassi- ﬁ zieren und priorisieren; für das SOC-Team verständliche Dokumentationen zu den einzelnen Detektionen und den sich in ihnen begründenden Sachverhalten; ausreichende Anleitung zur Abwägung der Situation vor deren Eska- lation beziehungsweise der Einleitung von Reaktionen; laufende fachliche Weiterbildung des SOC-Teams Risiken: Detektion wird übersehen; Sachverhalt wird nicht oder falsch verstanden; falsche Rückschlüsse und damit inadäquate Maßnahmen; Team wird zu schnell nervös oder eskaliert zu schnell, um Verantwortung zügig 68 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

und in Breite weiterzureichen; sprachliche Missverständ- nisse gezielt bösartige Einﬂ ussnahmen: gezielte Beschäfti- gung und Ablenkung des SOC-Teams durch vorsätzlich er- zeugte Events, zum Beispiel damit ein Top-10-Dashboard nur „Nebelkerzen“ umfasst; Auslösung nächtlicher Fehla- larme, gefolgt von eigentlicher Aktivität Praxisempfehlung: In den Dokumentationen sind klar beide Extreme zu beschreiben: wann in jedem Fall und wann keinesfalls reagiert werden muss. Die Negativ- abgrenzung ist ebenso essenziell, um zu verhindern, dass fehlendes Wissen oder schlichtweg Verallgemeinerungen in der Dokumentation zu Fehlentscheidungen führen. Phase 5: Automatische Reaktion In dieser Phase ﬁ ndet eine automatische Reaktion statt. Das heißt, ein Sicherheitsprozess entscheidet auto- nom, ob es notwendig, sinnvoll und verhältnismäßig ist, auf den jeweiligen Vorfall zu reagieren, und leitet je nach Ergebnis vorbereitete Reaktionen ein. Dabei löst er diese direkt aus oder unterbreitet dem SOC-Team zunächst nur einen Vorschlag, den es dann bestätigen muss. Herausforderungen: Implementierung absolut signiﬁ kanter Detektionen und Reaktionsregeln; ab einer bestimmten Kritikalität der ausgelösten Reaktion muss False-Positive-Freiheit quasi garantiert sein, ansonsten wird es teuer; die Logik muss „fail-safe“ sein in Bezug auf die aus den vorangehenden Phasen eventuell nicht erhal- tenen Informationen – schwächelt das SOC operativ, z. B. liefern relevante Agenten seit geraumer Zeit keine Daten, darf auch nicht mehr automatisch reagiert werden Risiken: Detektionen sind falsch oder unscharf; Reaktionen bewirken echten Schaden oder lösen eine Kettenreaktion aus; es gibt keine Limits für Reaktionsvo- lumen, -breite oder -dauer und es kommt zu einer „sich aufschaukelnden Schwingung“ („Fokushima“) gezielt bösartige Einﬂ ussnahmen: gezieltes Auslösen von Reaktionen durch Vorgaukeln entsprechender Events, auf welchen die automatischen Reaktionen beruhen (eine Unterdrückung von Detektionen wäre ein Risiko in den Phasen 1 und 2); bei der Portierung der Detektionen und Reaktionen vom Test- oder Evaluierungssystem in die Produktion werden relevante Details übersehen Praxisempfehlung: Entsprechende Reaktionen zunächst in einem „Warnmodus“ laufen lassen, statt sie gleich scharf zu schalten. Es gilt zu beachten, dass auch eine zeitlich lange Evaluierung im Testumfeld keinerlei Signiﬁ kanz für den produktiven Betrieb bewirkt (stets wieder „bei null Vertrauen“ beginnen). Phase 6: Evaluierung Es sollte regelmäßig durch Simulationen oder Testfälle evaluiert werden, dass das SOC wirksam arbeitet. Eine solche Prüfung muss auch erfolgen, wenn keinerlei Änderungen im SIEM, den Korrelationsregeln oder in anderen Systemen vorgenommen wurden, da sich das Umfeld beeinﬂ ussend geändert haben könnte. Herausforderungen: Events zu testen, die eigent- lich und hoffentlich niemals eintreten. Hierzu kann es notwendig sein, selbst das SIEM mit falschen Events zu befüllen. Praxisempfehlung: so viele Tests wie möglich via Test-Jobs, -Prozeduren, -Skripte vornehmen, das erleich- tert die Wiederholbarkeit; wie im Software-Test sollten für eine hohe Objektivität auch Mitarbeiter einbezogen werden, die nichts über die Details der Filter wissen INFORMATIONSSICHERHEITS-MANAGEMENTSYSTEM (ISMS) & NOTFALLMANAGEMENT (BCM) Grundschutz (BSI 200-2, 200-3) Notfallmanagement (BSI 100-4, ISO 22301) ISMS (ISO 27001, 27005) ISMS (ISIS12, VdS 10000) PCI DSS DIN EN 50600 EU-DS-GVO, VdS 10010 IKS (IDW PS 261, 951, ISAE 3402) Verfahrensdokumentation (GoBD) Schauenburgerstraße 116 24118 Kiel Tel.: 0431 53033 990 info@docsetminder.de docsetminder.de

Management und Wissen Security-Operation-Center Ein generelles Risiko stellen Latenzzeiten und Timestamp-Unterschiede dar, die sich mit jeder Phase und jedem Übergang potenziell verbinden – beispielsweise ver- tragen zeitnahe Korrelationen keine zu sehr verspäteten Anlieferungen oder unkoordinierte Timestamps. Risikovermeidung durch Objektivität Es versteht sich für SOC-Mitarbeiter von selbst, dass jegliches Wissen über die Verfahren und Regeln des SOC streng vertraulich sind. Ansonsten können Angrei- fer Prozesse, Benutzer oder Dateien gezielt benennen oder Zeitpunkte auswählen, um in Whitelists einen „segnenden“ Match zu erzielen oder einen in Blacklists zu verhindern und so unentdeckt bleiben. Externe Mitar- beiter sind in ein SOC-Projekt nur im Rahmen einer sehr strengen Vertraulichkeitsvereinbarung mit Vertragsstrafe und „need to know“-Wissenszugriff einzubinden. Achtung sollte man darüber hinaus auch dem nicht weniger wichtigen Güte- und Erfolgsfaktor für ein risikoarmes SOC schenken: ein sehr hohes Objektivitäts- niveau [4]. Eigenbezüge, Verﬂechtungen und fehlende Unabhängigkeit haben „Schwäche“ zur Folge. So ist ein Security-Administrator, der gleichzeitig auch die Aufgabe des Auditors innehat, nicht objektiv. Problematisch ist auch ein Plattform-Outsourcing, bei dem der Auftrag- nehmer zugleich sämtliche Details und Techniken der für ihn vorgesehenen Überwachung mitbestimmt. Aber auch externe oder interne Entscheidungsträger oder „Meinungsmacher“, die verdeckt weiterhin früheren In- teressen und Verpﬂichtungen folgen und entsprechende Entscheidungen treffen oder vorantreiben, mindern die Objektivität auf dem jeweiligen Gebiet. Insgesamt gibt es viele Gründe, wie sich in der SOC-Praxis ein Mangel an Objektivität einschleicht – von Vorsatz abgesehen, sind die Hauptursachen hierfür jedoch Kompetenzmangel oder Pragmatismus. Im Rahmen einer SOC-Implementierung treten Objektivitätsmängel potenziell entlang des gesamten Pha- senmodells in Form von Technik und Beteiligten auf, zum Beispiel bei der Auswahl der Scanner und Agenten. Die feh- lende Objektivität und damit einhergehend die eventuell geringe Wirksamkeit resultiert daraus, dass die erhoffte Kraft und Stärke sich nur auf sich selbst bezieht. Man könnte auch vom „Münchhausen-Faktor“ einer Technik, Konzeption oder Organisation sprechen, wenn deren Wirksamkeit (Kraft) auf einem hohen Grad an Eigenbezug beruht – also einer Pseudokraft und -wirksamkeit analog zu Baron Münchhausen, der sich bekanntlich an den eigenen Haaren hat aus dem Sumpf ziehen können. Die Objekti- vität einer Überwachung schwindet beispielsweise, wenn deren Code und sogar die Administrationsdaten im über- wachten Umfeld selbst enthalten sind, statt getrennt und damit neutral und geschützt zu sein. Es gibt verschiedene mögliche Ansätze, um einen Objektivitätsfaktor (OF) mathematisch auszudrücken, also ein Maß für die Unabhängigkeit, Unbefangenheit und Neutralität einer Software-Komponente, eines Ent- scheidungsträgers oder auch Beraters zu ﬁnden. So bieten sich Key-Performance-Indikatoren (KPIs) aus dem Bereich „Software Reuse Metrics“ an – steigt die Reusability doch direkt mit ihrer Unabhängigkeit [5]. Denkbare Ansätze für einen Objektivitätsfaktor (OF) wären: „Codezeilen zur Überwachung direkt lokalisiert im überwachten System“ OF (Detektor) =1– „Gesamte Codezeilen zur Überwachung“ OF (Prüfer) = 1– OF (Gremium) = „Anzahl Berechtigungen/ Aktivitäten im Prüfbereich“ „Gesamter Prüfbereich“ „Nachhaltig etwas wissende und zugleich neutrale Personen“ „Gesamtheit mitentscheidender Personen“ Der OF ist skaliert zwischen 0 und 1. Ein hoher OF bringt eine hohe Objektivität zum Ausdruck und damit einen hohen Grad an Unabhängigkeit und Entﬂechtung. Aber was sollte den Leiter eines SOC oder einen Auditor veranlassen, über so etwas Abstraktes wie einen möglicherweise zu geringen Objektivierungsfaktor der Komponenten und Mitwirkenden nachzudenken? Es sind das hohe Vertrauen und die durch seine Gesamtkosten hervorgerufenen sehr hohen Erwartungen, denen ein SOC gerecht werden muss – schließlich sind in ihm alle Kräfte und damit Aufwände gebündelt worden. Spätestens mit der Implementierung automatischer Reaktionen steigt die Verantwortung in allen Phasen um ein Vielfaches, und entsprechend die Pﬂicht zur Suche nach versteckten Risiken – und das geht nur durch strikte Objektivierung. Ursachen mangelnder Objektivität Welche Rahmenbedingungen fördern nun das Risiko einer zu geringen Objektivität? In der Praxis lassen sich unter anderem folgende Faktoren identiﬁzieren: Oft fehlt es an Offenheit für verschiedene Herstel- ler im Bereich der Sicherheitslösungen. Eine solche Vielfalt ist sehr wichtig, allerdings ist sie nicht für alle Plattformen durch den sie umgebenden Software-Markt gegeben. Vielfalt bedeutet nämlich Wettbewerb, Unvoreinge- nommenheit, Unabhängigkeit, Druck zum Fortschritt, kurzum Objektivität dank Meinungsvielfalt. Während „alles integriert und aus einem Hause“ für das operative Zusammenspiel von Software ideal und dienlich ist, muss 70 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

man im Bereich Sicherheit teilweise einem inversen Denkansatz folgen. Nicht ohne Grund bewertete das Bundesamt für Sicherheit in der In- formationstechnik (BSI) im Bereich der Virenscanner [6]: „Je nach vor- liegender Systemlandschaft können diese Ziele unter Umständen nicht durch die Auswahl eines einzelnen Viren-Schutzprogramms erreicht werden, sondern es müssen gegebe- nenfalls mehrere unterschiedliche Produkte beschafft und eingesetzt werden.“ Man hängt vollständig von externem Personal ab oder auch von einer einzelnen internen Person, die mit ihrem Wissen oder Willen fak- tisch alle Entscheidungen dominiert (siehe Abb. S. 72) Das exzessive Einbinden externer Parteien birgt Objektivi- täts- und Sicherheitsrisiken zugleich, wenn strenge Spielregeln und trans- parente Interessen fehlen. Zu hoher Herstellerglaube und im Ansatz „verliebte Kritiklosig- keit“ gegenüber den Lösungen und Services. Im Rahmen einer Outsour- cing-Vertragsverhandlung sollte der Arbeitsort der später für das System faktisch verantwortlichen Spezi- alisten aufgesucht werden. Auch hier gilt es, zu objektivieren und zu prüfen, in welchen politisch oder korruptionsbelasteten Regionen die Dienstleister ansässig sind. Fördern eventuell Großraumbüros mit ma- ximaler Packungsdichte potenziell massive Ausfälle durch Grippe, Pandemie, physische Zerstörung? All das kann zu einem hohen Risikopo- tenzial führen und ist im Fall eines SOC nur noch mit bewußt wenig Objektivierung akzeptabel. Viel allgemein zugängliches Wissen über eine Sicherheitslösung und deren interne Funktionsweise macht es Angreifern deﬁnitiv leich- ter, einen optimalen Angriffsvektor zu ﬁnden. Ist eine solche Lösung objektiv betrachtet optimal sicher? Beispiel Mainframe Für eine Beispielanalyse der Objektivität eignet sich der Main- frame besonders gut, da er wichtig ge- nug ist und gegebenenfalls einen IT- kritischen Charakter aufweist, zum Beispiel im Fall des Finanzsektors. In die Bewertung von Risiken ﬂießen zwei wesentliche Faktoren ein, die Eintrittswahrscheinlichkeit und die Tragweite. In der Finanzindustrie ist die Tragweite meistens hoch und damit auch das Risiko, hier ist also „eigentlich alles riskant“. Glückli- cherweise fördert die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) seit Jahren, dank ihrer Neu- tralität und den regelmäßigen Rund- schreiben, nachhaltig den Geist der risikomindernden Objektivierung. Ihre Audits werden nicht unbe- gründet gefürchtet. Dieses Streben mündete zuletzt in den sogenannten „Bankaufsichtlichen Anforderungen an die IT (BAIT)“ [7]. Der Mainframe gilt als wich- tige Plattform – die Erwartungen sind entsprechend hoch, nicht zuletzt wegen der grundsätzlich höheren Betriebskosten. Bei der Absicherung der Mainframe-Plattform ist auch deshalb auf besonders hohe Objekti- vität zu achten. Von den oben aufge- führten Risikofaktoren treffen in der Praxis einige auf den Mainframe zu. So hat den Mangel an Spezialisten das Bundeskartellamt in seiner im Juni diesen Jahres getroffenen Entschei- dung über den Zusammenschluss von IBM und T-Systems auf dem Mainframe-Infrastruktur-Markt so- gar offen zum Ausdruck gebracht [8]: „Für die Erbringung der Mainframe- Infrastruktur-Dienstleistungen ist geschultes und erfahrenes Personal von großer Bedeutung, aber auf dem betroffenen Markt wegen fehlenden Nachwuchses für die Legacy-Systeme sowie längerer Ausbildungszeiten © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Zukunftssicherer IT-Grundschutz mit HiScout ISMS-Tool inkl. Vorgehen nach BSI 200-2 und BSI 200-3 Umsetzung aktueller und zukünftiger Anforderungen des BSI IT-Grundschutzes Migration der Daten aus GSTOOL 4.8 Integriertes Risiko-, Notfall- und Auditmanagement Unterstützung operativer Prozesse im Sicherheits- management Einbringung individueller Compliance Anforderungen Anpassbares Datenmodell Zertifizierungsfähige Dokumente auf Knopfdruck Revisionssicher m o c . a i l i o t o F - o d u t s _ 2 a r © : o t o F www.hiscout.com

Management und Wissen Security-Operation-Center knapp und gesucht.“ Das schwächt insgesamt die Chance für ein objektives Hinterfragen. Als Beispiel für eine Eigenüberwachungstechnik mit potenziell geringerem Objektivierungsfaktor und möglicherweise fehlender Wirksamkeit bei hoher Pro- fessionalität im Angriffsvektor kann die Accessor-Envi- ronment-Element-(ACEE)-Manipulationsdetektion aufge- führt werden, die mit dem neuen Betriebssystemlevel z/OS 2.4 eingeführt wird [9]. Das ACEE ist ein Security-Kontroll- block, der sämtliche Berechtigungen und Privilegien des Benutzers in Form von Bits und Bytes kodiert beinhaltet. Das ACEE eines Benutzers wird mit dem Login anhand der Security-Datenbank aufgebaut. Mitunter ist es ein einzelnes Bit, das einen Benutzer zum Security-Admini- strator macht. Folglich ist es das Ziel eines professionellen Angreifers, das ACEE seines Prozesses so zu manipulieren [10], dass er danach mit allumfänglichen Rechten versorgt ist. Um das zu verhindern, liegt das ACEE in einem für normale Prozesse schreibgeschützten und nur lesbaren Speicher, den ausschließlich privilegierte Prozesse ändern können, zum Beispiel das Betriebs- oder Securitysystem selbst. Deswegen benötigt ein Angreifer entweder einen Exploit oder er ist ein Systemprogrammierer. Die Ursachen für die potenziell geringe Ob- jektivität dieser neuen Eigenüberwachung zur ACEE- Manipulationsdetektion sind in der hohen Verquickung von Programmcode beziehungsweise Steuerung und überwachtem Sicherheitssystem begründet: Die Manipulationsüberwachung wird über das Security-System selbst ein- und ausgeschaltet, nämlich über die Aktivierung einer Ressourcen-Klasse. Whitelists werden mithilfe ganz normaler Proﬁle im Securitysystem selbst deﬁniert, wie für gewöhnliche Ressourcen. Die Protokollierung erfolgt in einer so allgemeinen Form, dass Angreifer das Format imitieren und so falsche Events erzeugen können. Im Fall etablierter automatischer Reaktionen können diese gezielt ausgelöst werden. Generell bestehen wesentliche Teile eines An- griffsvektors in der Ausnutzung von Schwachstellen. Lässt sich durch einen Exploit das Sicherheitssystem ziel- gerichtet außer Kraft setzen, schwächelt durch die enge Verﬂechtung, also der geringen Objektivität, mit hoher Wahrscheinlichkeit auch seine Eigenüberwachung. Denn hat der Angreifer erst einmal ein bestimmtes Privilegien- Niveau erreicht, kann er durch Ändern von ein paar Bits gleich noch die Eigenüberwachung des Sicherheitssystems deaktivieren. Ein in der Zielsetzung grundsätzlich positiv zu bewertendes Sicherheitsfeature verliert somit durch fehlende Objektivität seine Schutzfunktion. Würde man diese Punkte in die obigen Formeln „einset- zen“, käme durch die hohe Verﬂechtung ein sehr geringer Objektivitätsfaktor (OF) heraus. Die Verantwortlichen hät- ten so die Möglichkeit, das im Rahmen eines SOC-Audits oder -Neuaufbaus zu thematisieren. Die hier angestellten Überlegungen zur Messung von Objektivität lassen sich auch analog auf andere Plattformen, Lösungen oder Ver- arbeitungsphasen übertragen. Angriffsbeispiele Wichtig für ein sicheres SOC ist, dass die Ver- antwortlichen die Qualität ständig hinterfragen: Wie unabhängig arbeitet das SOC? Wie eng sind Techniken, Mitarbeiter, Outsourcing-Dienstleister miteinander verzahnt? Das folgende Beispiel eines Angriffs auf eine IT-Infrastruktur zeigt, wie breit ausgelegt solche Risiko- überlegungen aussehen können. Ziel Wenn Angreifer eine Administrator-User-ID ge- kapert haben, können sie die notwendigen Whitelist-De- ﬁnitionen im Sicherheitssystem sogar selbst hinzufügen. Kriminelle wollen einen Angriff auf die kritische IT-Infrastruktur eines größeren Unternehmens unbemerkt ausüben, indem sie das „Radar des SOC unterﬂiegen“. Kernherausforderungen Von wem und wie können notwendige interne Security- und SOC-Details in Erfahrung gebracht werden? Wer kann sogar direkt im privilegierten Bereich Aktivi- täten ausführen? Ausgangslage Eine negative Intention in Bezug auf das Unter- nehmen geht von einer oder mehreren IT-Fachleuten aus, nachfolgend „Angreifer“ genannt, von denen einer entweder a) im internen systemnahen IT-Betriebsumfeld 72 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 Objektive Macht der „Gurus“

(System-Technik) oder b) im Support eines der Software- Hersteller arbeitet. Beispiel-Szenario 1: Outsourcing Der Angreifer ist ein direkt am System arbeitender privilegierter Mitarbeiter des Outsourcing-Dienstleisters, zum Beispiel mit Sitz in politisch zu 99 Prozent stabilen Verhältnissen. Das Unternehmen hat viel nach außen vergeben und lebt das Motto „endlich alles weg“ (inkl. Know-how). Aufgrund des allgemeinen Spezialistenman- gels beﬁndet sich das betreuende Personal mit sehr hoher Wahrscheinlichkeit im osteuropäischen Ausland. Durch die per Job vorhandenen Privilegien ist es für den Angreifer einfach, die notwendigen Informationen zu erhalten oder entsprechende Konﬁgurationen vorzunehmen. Beispiel-Szenario 2: Support Der Angreifer ist ein im Software-Support-Umfeld tätiger Mitarbeiter, weltweit irgendwo lokalisiert. Bedingt durch einen Software-Fehler wird ein System-Dump von einem Produktionssystem des Unternehmens „gezogen“ und routinemäßig an das Service- und Support-Umfeld des zuständigen Herstellers übertragen. Grundsätzlich wurde vom Hersteller eine zur Datenschutzgrundverordnung (DSGVO) konforme Speicherung der Diagnosedaten in Europa garantiert. Das Risiko besteht nun darin, dass eine weltweit verteilte größere Anzahl Mitarbeiter auf diese in Europa gespeicherten Diagnosedaten zugreift, um aufgetretene Probleme zeitnah und kostenoptimal zu lösen. Werden diese Dokumente vor dem Versand nicht anonymisiert, kann der Angreifer die essenziellen Securi- ty-Konﬁgurationen und mögliche Systemschwachstellen ermitteln [11]. Faktisch mutieren Software-Hersteller und ihre Subunternehmer im Fall nicht anonymisierter Diagnosedokumente oder direktem Systemzugriff zu Insidern. Im Fall der Nutzung von Lösungen mit hoher allgemeiner Transparenz ihrer Interna steht dank des nicht anonymisierten Dumps eventuell auch Wissen über die Detektions- und Korrelationsregeln bereit. Welche Rückschlüsse lassen sich nun aus den Bei- spielen ableiten? Für eine Absicherung des SOC gegen das Risiko verdeckter Informationspreisgabe und faktischer Insider sind folgende Schritte wichtig: strenge Grundre- geln zur Geheimhaltung, strikte Anonymisierung von Logs und Dumps vor der Weiterreichung an Dritte und ergänzende Nutzung einer technisch unabhängigen und damit „OF-hohen“ Überwachungslösung. Fazit und Kernempfehlungen unumgänglich, denn SOC-eigene Risiken wachsen mit jeder weiteren Architekturstufe. Im Beitrag wurden be- sonders mit Blick auf automatische Reaktionen mögliche Risiken aufgezeigt und Beispiele präsentiert, wie sich diese reduzieren lassen. Dazu wurde der „Objektivitätsfaktor“ als Qualitätsgröße vorgestellt – und zwar als Idee für eine faktisch-sachliche Betrachtung von Technologie, Organi- sationen und Mitentscheidern. Der Faktor Objektivität ist besonders wichtig bei Vorhandensein großer fachlicher Abhängigkeiten und Herstellergläubigkeit, wie sie in der IT dank Spezialistenmangel und Outsourcing zunehmend vorkommt. Insgesamt lassen sich folgende Kernempfeh- lungen zur Absicherung eines SOC zusammenfassen: Detektion Für Tests auch mal besonders lange und komplexe Meldungsinhalte erzeugen, um den möglichen Impakt zu ermitteln, zum Beispiel durch Zeilenumbrüche oder Textverluste. Überwachte Systeme gezielt stressen, um die Auswirkungen von schlechter Performance, Platten- platzmangel oder ähnlichen Beeinträchtigungen auf das Monitoring zu prüfen. Filter und Korrelationen von objektiven Spezia- listen testen lassen – also von solchen Personen, die aus praktischer Erfahrung und operativer Verantwortung wissen, was alles passieren kann, aber die Detektionen nicht konzipiert haben. Prüfen, ob und in welchen gutartigen Fällen ähnliche oder dieselben Sachverhalte auftreten, um eine Meldung, Alarmierung oder gar automatische Reaktion zu unterbinden. Meldungsbasierte Detektionen gegen gefälschte Events absichern. Prüfen, wie sich solche Events erkennen lassen, zum Beispiel setzen manche Betriebssysteme spezi- elle Kontrollzeichen vor eine Meldung, wenn diese nicht vom privilegierten Systemkern ausgegeben wurden. Die Meldungsﬁlter sollten das beachten und einen „Match“ umgehen, unter Abgabe eines „possible fake event“-Alerts. Reaktionen Einen Test- oder Warn-Modus vorsehen, in dem Reaktionen noch nicht faktisch erfolgen, sondern – wie ein Alert – nur gemeldet werden. In der Praxis haben noch nicht alle Security- Operation-Center die höchste Reifestufe erreicht. Um ein sicheres SOC betreiben zu können, ist eine Risikoanalyse Im Test-System beginnen, dann Entwicklung und schließlich Produktion; bei jedem Übergang ist wieder neu im Test-Modus zu beginnen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 73

Management und Wissen Security-Operation-Center Literatur Auftakt mit semi-automatischen Reaktionen, das heißt die ﬁnale Entscheidung liegt noch beim SOC-Team. [1] Jürgen Schreier, KI allein schafft noch keine perfekte Cybersicherheit, Industry of Things, August 2018, www. industry-of-things.de/ki-allein-schafft-noch-keine-per- fekte-cybersicherheit-a-745105/ Im Fall vollautomatischer Reaktionen ist Perfekti- on Voraussetzung. Somit sollten die Filter auch erkennen, dass ihre Entscheidungsgrundlage suboptimal war und nur melden statt zu reagieren. Generell sind vollautomatische Reaktionen auf ihr „Fukushima-Potenzial“ hin zu überprüfen und ent- sprechende Limitierungen einzubauen, zum Beispiel eine maximale Anzahl stoppbarer Systeme oder Benutzer, um rekursive (Endlos-)Loops zu verhindern. Planung, Auswahl und Organisation Das SOC-Handbuch ist Dreh- und Angelpunkt für ein erfolgreiches SOC und damit ein wichtiges Invest- ment. Es erlöst insbesondere die Spezialisten vor unnöti- gen Nachteinsätzen. Wissen über SOC-Details sind streng geheim zu halten, auch vor einem Plattform-Dienstleister. Vertraulichkeitsvereinbarungen mit allen invol- vierten externen Parteien sind obligatorisch und immer mit Vertragsstrafen zu kombinieren. Stets nachhaltig objektivieren und zu hohe exter- ne Abhängigkeiten vermeiden. Gedankengut analog des Service-Level-Agree- ments eines Dienstleisters auch auf das SOC anwenden. ■ [2] Oliver Rochford, Security Automation is About Trust, Not Technology, Security Week, Juli 2017, www. securityweek.com/security-automation-about-trust-not- technology [3] Stephen Fedtke, Epische Macht, „Extremely Privileged IT Staff“ (EPIS) erfordert spezielle Zuverlässigkeits- oder Sicherheitsüberprüfungen, <kes> 2010#6, S. 6 (Zugriff nur für Abonnenten) [4] Wirtschaftspsychologische Gesellschaft, Objektivität als Gütekriterium, In: Forschungsergebnisse interpretie- ren, https://wpgs.de/fachtexte/ergebnisinterpretation/ objektivitaet-als-guetekriterium/ [5] Dr. P. K. Suri, Neeraj Garg, Software Reuse Metrics: Measuring Component Independence and its applica- bility in Software Reuse, Mai 2009, https://pdfs.seman- ticscholar.org/3d44/60e875e3abbd88fe6468f406c4b8b4 a97b1c.pdf [6] BSI, IT-Grundschutz-Kataloge, 15. Ergänzungsliefe- rung, 2016, https://download.gsb.bund.de/BSI/ITGSK/ IT-Grundschutz-Kataloge_2016_EL15_DE.pdf [7] PricewaterhouseCoopers GmbH, Internationale Bedrohung durch Cyberangriffe nimmt zu, Neue Ha- ckermethoden erfordern flexibel agierende Security Operation Center (SOC), Oktober 2018, www.pwc.de/de/ ﬁnanzdienstleistungen/digital/regelmaessige-soc-sicher- heitschecks-gegen-cyberattacken.html [8] Bundeskartellamt, Fallbericht: Bundeskartellamt prüft Auswirkungen eines geplanten Vermögenserwerbs der IBM an T-Systems auf den Mainframe-Infrastruk- tur-Outsourcing-Markt, Juni 2019, www.bundeskar- tellamt.de/SharedDocs/Meldung/DE/AktuelleMel- dungen/2019/19_06_2019_IBM_T_Systems.html [9] IBM, Mark Nelson, RACF for z/OS V2.4 Update, Mai 2019, https://cutt.ly/AwWuaXb [10] Stuart Henderson, How To Break Into z/OS Systems, Oktober 2013, www.stuhenderson.com/XBRKZTXT.PDF Dr. Stephen Fedtke ist Spezialist für die Risikoanalyse und Absicherung kritischer und systemischer IT-Infrastrukturen. Kontakt: stfedtke@enterprise-it-security.com [11] Stephen Fedtke, Datenleck Dumps – Speicheraus- züge und Protokolldateien als Geheimnisverräter, <kes> 2014#3, S. 26 (Zugriff nur für Abonennten) Einige der dargestellten Szenarien wurden erfolgreich durch- geführt. Für weitere Details können sich Leser direkt an den Autor wenden. 74 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Management und Wissen Künstliche Intelligenz Der Wunsch nach Hirn vom Himmel Über fehlgeleitete Hoffnungen und überhöhte Erwartungen an die künstliche Intelligenz (KI) Die Grenzen des KI-Einsatzes in der Informationssicherheit hat die <kes> jüngst in mehreren Beiträgen ausgelotet und für einen realistisch geplanten Einsatz geworben. Dennoch lohnt ein erneuter augenzwinkernder Blick darauf, wie stark die aktuelle Form der KI-Debatte und die seltsam hitzigen Diskussionen um ihr Für und Wider einer effektiven Arbeit mit der viel, aber eben nicht alles versprechenden KI im Weg stehen. Von Johannes Wiele, München Techies lieben Plug&Play: Es ist noch gar nicht lange her, da machte sich die IT-Branche mit der Suche nach Plug&Play-Mitarbeitern lächerlich: höchstens 17-jährige Hochschulabsolventen mit mindestens 3 Aus- landssemestern, 2 Fremdsprachen, 5 einschlägigen Prak- tika und selbstverständlich erster Projekterfahrung. So hat sie denn auch die vollgepackten Master-Studiengänge und eine nie gekannte Schmalspurigkeit der Ausbildungsgänge mit heraufbeschworen. Aktuell folgt Wunschdenken 2.0: Jetzt will die IT-Security künstliche Plug&Play-Intelligenz (KI) auf CISO-Niveau von der Stange – KI, die alles kann, nichts lernen muss, keine Konﬁguration benötigt und schon gar keine Wartung. Wenn „Machine-Learning“, dann bitteschön „selbstlernend“ – schau zu, aber nerv nicht mit Fragen! Diskussionen über den KI-Einsatz in der Informa- tionssicherheit können deshalb zu den nervigsten Erleb- nissen gehören, die die Branche derzeit bietet. Selten liegt der Grund dafür in einer kategorischen Ablehnung der KI – meist sind es extrem überzogene positive Erwartungs- haltungen oder ebenso extreme Ansichten über die beste Ausprägung der brandneuen Systeme, die eher nüchterne Mitstreiter schier auf die Palme bringen können. KI scheint technische Fantasien auszulösen – und je schwerer es fällt, die Technik zu verstehen, desto halsstarriger hängen die Disputanten an ihren Meinungen über das Phänomen. Ursachenunterstellung Was den Grund der in die Irre führenden KI- Einschätzungen betrifft, so seien schon zum Einstieg zwei Thesen erlaubt: These eins ist einfach und unspektakulär: KI soll dort zum Zuge kommen, wo es an hochqualiﬁzierten Fach- kräften fehlt und die Spezialisten entsprechend teuer sind. Darüber reden muss man nur, weil die Erwartungshaltung in diesem Bereich die Tatsache verkennt, dass Intelligenz immer Lernprozesse und Anleitungen benötigt – gleich, ob sie nun menschlich oder künstlich ist. These zwei ist interessanter: Techniker wünschen sich KI gerne an Stellen, wo sie selbst zur Erfüllung einer Aufgabe in komplexe Interaktionen mit dem Management und/oder „normalen“ Anwendern treten müssten. Hier hofft man wohl, das alte Kommunikationsproblem an der User-Techniker-Schnittstelle einfach durch eine super ausgefeilte Technik überwinden zu können – und ergeht sich deshalb in teils skurrilen Anwendungsideen. Das Erkennungswunder Wie schon in [1] ausführlich dargestellt, eskaliert bei der Planung von KI-Einsätzen in der Angriffserken- nung gern der Streit darüber, ob Anomalie-Detektion oder regelbasiertes Aufspüren von schädlichen Verhaltenswei- sen besser sei. „Besser“ heißt dabei: mit weniger Aufwand für Konﬁguration und Lernphasen verbunden. Das Thema ist deshalb virulent, weil eine Angriffs-Erkennungs-KI die Teams in Security-Operations-Centers (SOCs) entlasten soll, wo diese wegen des Fachkräftemangels häuﬁg mit zu geringer Personalstärke arbeiten. Mithin trifft hier The- se 1: KI als Ersatz für Personal, das nicht zu bekommen ist. Dabei ist schon die Erwartung falsch, „Ersatz“ zu bekommen: KI sollte den menschlichen SOC-Kräften beim Erledigen von für Menschen ungeeigneten Tätigkeiten helfen, nicht aber als vollwertiger Mitarbeiter 4.0 zwischen ihnen sitzen (siehe [2]). Dass man dies trotzdem erwartet oder erhofft, mag daran liegen, dass bei einer echten Kooperation zwischen Mensch und KI wieder Kommuni- kationsvorgänge und Umstellungen in der Arbeitspraxis anstünden, die man genauso gern hat wie ... na, sagen wir mal, wie man minderbemittelten PC-Anwendern die Welt erklärt. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 75

Management und Wissen Künstliche Intelligenz Was erwarten die Leute denn? Soll die KI ein- fach als der Über-Nerd daherkommen, dem man nichts erklären muss und der alles, was menschliche IT-Freaks umtreibt, einfach mal von Anfang an versteht? Bloß nicht ausbilden müssen! Die Arbeitgeber-Allergie gegen Lernbedarf trifft heute einfach die künstlichen Mitarbeiter. Lustig ist dann der Wettstreit zwischen der An- omalie- und der Regelfraktion. Man kann es hier kurz machen: Die Anomalie-Vertreter erwarten, dass eine Er- kennungslogik eine komplexe IT-Umgebung einfach eine Weile beobachtet, das Gesehene dann als normal ansieht und fortan immer dann Alarm schlägt, wenn sich etwas Ungewöhnliches tut. Dass auch „gute“ Anomalien zu Warnungen führen, sodass ohne Feinjustierung leidige False Positives entstehen, wird tapfer ausgeblendet. Die Verheißung eines Wächters, den man nicht erst in seine neue Arbeitswelt einführen muss, ist einfach zu schön. Die Regel-Enthusiasten gehen hingegen davon aus, dass ihre Korrelationsmaschinen von außen einfach „Indicators of Compromise“ (IoC) und Verhaltensmuster eingespeist bekommen, die jeden denkbaren Angriff abde- cken. Da keine allgemeine Anomalie-Erkennung erfolgt, sollte es, so meinen sie, auch wenig False Positives geben – so kann man sich im SOC entspannt zurücklehnen. Dumm nur, wenn dann ein Angreifer kommt, der eine individuelle und kreative Vorgehensweise wählt – denn der schlüpft dann durch die Maschen dieser Erkennungs- technik. „Da könnte man doch ...“, möchten Sie jetzt als interessierter Leser vielleicht einwerfen, „... einfach beides kombinieren?“ – Nein, niemals, auf keinen Fall! Spalter! Wo käme man denn da hin, das wäre ja ein Kompromiss, igitt! Wie diese schwammige Idee der „ausgewogenen Ernährung“ beim Menschen. So etwas ganz ohne scharfe Abgrenzung und Konsequenz – so ein Gemenge kann ja wohl nicht optimal sein! Es ist kaum nachvollziehbar, mit welcher Vehe- menz die Vertreter beider Lager an ihrer Lieblingstechnik hängen – fast so wie Veganer und Fleischesser oder Kohlen- hydrathasser und Fettvermeider bei der Einschätzung und Verteidigung ihrer Vorlieben. Der Mensch neigt offenbar einfach dazu, schlichte Ansätze gegenüber mehrdimen- sionalen zu bevorzugen. Allerdings darf man auch nicht vergessen, dass der Kombinationsgedanke zumindest teilweise die Lieblingsidee von der schnell einsetzbaren Technik ohne Konﬁ gurations- und Lernbedarf unterwan- dern würde. Die Discovery-Utopie Mindestens ebenso spannend sind die himmel- hohen Erwartungen mancher Informationssicherheits- spezialisten an die Discovery-Fähigkeiten von KI – oder speziﬁ scher von semantischen Suchmaschinen à la IBMs Watson. Folgendes soll sie „mal eben“ bewerkstelligen können: Aufspüren und Klassiﬁ zieren unstrukturierter Daten im ganzen Netz Aufspüren und Klassiﬁ zieren von Informations- und Infrastruktur-Assets für eine Konﬁ gurationsdaten- bank (CMDB) Aufspüren von Policy- und Standard-Dokumenten nebst Prüfung auf Konsistenz Schaut man sich die Aufgabengebiete an, fällt sofort auf, dass es sich ausschließlich um Tätigkeiten han- delt, bei denen die IT-Security eng mit Fachabteilungen, Information- und Application-Owners, Risiko-Managern und anderen Menschen zusammenarbeiten müsste, die nicht zum auserwählten Kreis der Security-Nerds gehören. Ohne KI sind allgemeinverständliche Erklärungen und intensive Kommunikation nötig, um die Aufgaben zu bewältigen. Und nicht nur das: Für Klassiﬁ zierungen und den Betrieb einer CMDB müsste man regelmäßige Kom- munikationsvorgänge planen und einhalten – eine gewal- tige Anstrengung für so manchen Bit-und-Byte-Strategen. Aber was ist falsch daran, hier auf KI zu setzen? Nun ja: Für alle genannten Vorgänge müsste die dazu eingesetzte KI erst einmal lernen, woran sie erkennt, was sie klassiﬁ zieren oder auswerten soll. Sicherlich ist es auf einem gewissen Niveau möglich, unstrukturierte Doku- mente automatisch – etwa anhand von Stichwörtern – zu rubrizieren. Je genauer dies aber erfolgen soll, desto mehr Musterdokumente für unterschiedliche Typen von Infor- mationen müsste die Such- und Klassiﬁ zierungsmaschine zuvor verinnerlichen. Dazu müssten Menschen sie füt- tern – und das müsste wiederum in Kooperation mit den Mitarbeitern aus den Fachabteilungen geschehen, denen man (und hier kommt die Krux) diese Aufgabe und die Klassiﬁ zierungstechnik zuvor erst einmal erklären müsste. Kein Plug&Play, sorry! Und dann ist da noch das Big-Brother-Dilemma: Wie kommt die Discovery-Engine an die Rechte, sich überall im Netz umzusehen? Wie verhindert man, dass sie etwas aufbereitet, was sie womöglich nicht einmal sehen dürfte, oder – gottbewahre! – sich von Dritten für deren Zwecke einspannen lässt? Der Streit wird wohl bleiben, bis sich Kombilö- sungen auf dem Markt durchsetzen und zeigen, was sie können. Schade, dass das ein Trend ist, der sich an den Streithähnen vorbeimogeln muss! Völlig abgehoben ist die Idee der quasi automa- tisierten CMDB-Befüllung: Technisches Discovery mag ja noch möglich sein, aber an der treffsicheren Bewertung von Assets, Informationen und Risiken scheitert heutige 76 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

KI kläglich. Hier ist der Vater des Gedankens deﬁ nitiv die Verzweiﬂ ung der IT-Abteilungen angesichts der Komple- xität und kommunikativen Vielschichtigkeit des Aufbaus einer brauchbaren CMDB. Tatsächlich könnte KI den Menschen dabei helfen, aber eben nur in Assistenzfunk- tion und ohne Beseitigung der abteilungsübergreifenden Kommunikation, die für diese Aufgaben notwendig ist. Und wieder leiten die Anwender die Entwicklung der KI für den entsprechenden Einsatzzweck eventuell in die falsche Richtung. Das Faszinosum KI braucht offenbar noch etliche Erfolge und Misserfolge, bis es von Anwendern (und zwar den professionellen!) richtig eingeschätzt wird. Die derzeitige Diskussion zeigt jedenfalls alle Merkmale der Auseinandersetzung um ein Phänomen, zu dem zwar viele theoretische Überlegungen, aber nur wenig praktische Erfahrungen existieren. Was überwiegt, ist die Hoffnung, Lästiges auf die neuen „künstlichen Kollegen“ einfach abwälzen zu können. Bis sich der Assistenzgedanke durch- setzt, dürfte noch einige Zeit vergehen. ■ Fazit Dr. Johannes Wiele (johannes@wiele.com) ist freier Autor sowie GDD-geprüfter Datenschutzbeauftragter und arbeitet als Senior-Manager in der Cybersecurity-Beratung. Plug&Play hat Grenzen: Baby Regenwurm kann sich noch ohne Schule und Erziehung durchs Gartenbeet pﬂ ügen – Baby Katze und Baby Hund brauchen schon die Tierfamilie zum Abgucken (und für ein weniger wildes Leben auch menschenkompatible Erziehung). Spätestens ab Orang Utan wird mühsam gelernt, wie man zum Bei- spiel mit Werkzeug arbeitet. Und Menschen gehen nicht grundlos in Kindergarten, Schule, Uni – je mehr Intelli- genz, desto größer der Lernbedarf! IBMs Watson wurde etwa von hochspezialisierten Hochschulteams trainiert, bevor man ihn auf die IT-Security losgelassen hat. Bei KI gibts nur Train&Play, nicht Plug&Play! Literatur [1] Bettina Weßelmann, Johannes Wiele, KI braucht Zu- wendung, Über die Arbeit mit regelbasierter und anoma- liegestützter Bedrohungserkennung, <kes> 2019#3, S. 70 [2] Bettina Weßelmann, Johannes Wiele, Künstlich muss nicht menschlich sein, Über die „anderen“ Grenzen von Security-KI, <kes> 2019#4, S. 13 Die Leitmesse für Sicherheit 22. – 25. September 2020, Essen 22. 25. September 2020, Essen [ ] SEIURE YOUR BUSIJESS Cyber-Security/Wirtschaftsschutz B U I H E J S I E J E T Z T ! www.security-essen.de

Management und Wissen Incident-Management Dos and Don’ts des Incident-Response Ein Security-Incident kann jede Organisation treffen. Doch die richtige Vorbereitung und das korrekte Vorgehen entscheiden oftmals darüber, ob der Vorfall lediglich eine relativ harmlose Erfahrung bleibt oder zum veritablen Notfall eskaliert. Unsere Autoren beschreiben, was sich in der Praxis bewährt hat und was nicht. Von Christoph Baumgartner und Tobias Ellenberger, Thalwil Kurz nach Arbeitsbeginn wird der IT-Servicedesk mit Anrufen von Mitarbeitern überschwemmt. Die Erst- analyse ergibt, dass hunderte Systeme der Ofﬁce-IT und einzelne Systeme der Produktions-IT mittels Ransomware verschlüsselt sind und die Anzahl laufend zunimmt. Die Geschäftsleitung entscheidet, nicht auf die Lösegeldfor- derung einzugehen und dass die IT-Abteilung den Vorfall selbst lösen solle. Diese kappt diverse Netzwerkverbin- dungen, um eine weitere Ausbreitung der Malware zu verhindern, und versucht, Backups wieder einzuspielen. Währenddessen informiert die Geschäftsleitung die Poli- zei und den Vorstand. Derweil schicken einzelne Abtei- lungsleiter ihre Mitarbeiter nach Hause und informieren Kunden und Geschäftspartner nach Gutdünken über die zu erwartenden Verzögerungen. Zu diesem Zeitpunkt er- kennt die IT-Abteilung, dass nicht für alle Systeme Backups verfügbar sind. In den nächsten Stunden und Tagen werden deshalb einige Systeme manuell wieder aufgesetzt. Nach über 16 Stunden im Dauereinsatz müssen die ersten IT- Mitarbeiter ihre Aufgaben aufgrund von Übermüdung unterbrechen und der IT-Leiter engagiert für die Wieder- herstellungsarbeiten externe Unterstützung. Drei Tage nach dem Ereignis kann wieder normal gearbeitet und der Vorfall analysiert werden. Weil keine speziﬁschen Logﬁles vorliegen und die betroffenen IT-Systeme neu aufgesetzt wurden, gibt es jedoch keine Spuren mehr. Somit kann man nur vermuten, wie es zur Infektion mit der Ransomware kam. Aufgrund von Produktionsunterbrechungen, Schadenersatzzahlungen, geforderten Preisnachlässen und der ausgefallenen Arbeitszeit entstand erheblicher Schaden. Glücklicherweise hat das Unternehmen eine Cyberversicherung abgeschlossen. Die Versicherungsge- sellschaft weigert sich jedoch, den gesamten entstandenen ﬁnanziellen Schaden zu decken, weil sie dem Unterneh- men vorwirft, zumindest teilweise fahrlässig gehandelt zu haben. Was ist wichtig, was nicht? Der Vorwurf der Versicherungsgesellschaft in unserem Beispiel ist schwer von der Hand zu weisen. Das betroffene Unternehmen war in mehrfacher Hinsicht nicht optimal vorbereitet und hat demzufolge bestenfalls nach bestem Wissen und Gewissen gehandelt. Denn aus Sicht der IT-Abteilung waren alle IT-Systeme gleichwertig. Es war nicht klar, welche Systeme kritischer oder wichtiger als andere waren und sinnvollerweise mit höherer Priorität behandelt werden sollten. Ausserdem wurde keine profes- sionelle Datensicherung betrieben. Damit Unternehmen es bei einem IT-Vorfall bes- ser machen können als im Beispiel, sollte eine Business- Impact-Analyse (BIA) durchgeführt werden, die auch die Grundlage jedes Business-Continuity-Managements (BCM) oder des IT-Service-Continuity-Managements (ITSCM) bilden sollte. Hierbei darf nicht vernachlässigt werden, dass die BIA in erster Linie den Fokus auf die Business-Sicht legt, also welche Prozesse inklusive der benötigten Ressourcen, wie beispielsweise Personal, In- formationen/Daten und IT-Systeme, wie lange maximal ausfallen dürfen und wie lange die Prozesswiederherstel- lung höchstens dauern darf. Außerdem deﬁniert man in der BIA, welcher maximale Datenverlust toleriert wird. Diese beiden Dimensionen bestimmen üblicherweise, ob IT-Systeme redundant ausgelegt werden, wie lang die Backup-Zyklen sind und welche weiteren Sicherheitsmaßnahmen im Einsatz sind. Aus IT-Sicht darf die Kritikalität einzelner IT-Komponenten wie Netzwerkkomponenten – ohne 78 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

die ein Großteil der für die Prozesse benötigten Systeme nicht miteinander kommunizieren kann – dabei nicht vernachlässigt werden. Selbstverständlich müssen auch gesetzliche Anforderungen zwingend berücksichtigt werden, zum Beispiel das Datenschutzgesetz, Vorgaben betreffend Revision und steuerliche Auﬂagen. Nachdem die BIA vorliegt, können die Verant- wortlichen sämtliche IT-Systeme inventarisieren und klassiﬁzieren. Hierbei empﬁehlt sich ein ABC-Schema, wobei in Kategorie A sämtliche geschäftskritischen Systeme fallen. Kategorie B umfasst Systeme, welche für die Organisation zwar wichtig sind, deren „nicht-zur- Verfügung-stehen“ aber erst nach einem längeren Zeit- raum einen signiﬁkanten Einﬂuss auf den Betrieb hat. In Kategorie C gehören sämtliche „nice to have“-Systeme. Bei der ABC-Zuordnung sollte man auch bedenken, wie viele Personen von einem Ausfall des einzuordnenden Systems betroffen sind. Ein Plan muss her Im Fallbeispiel haben die IT-Mitarbeiter ihr Mög- lichstes getan, den Normalbetrieb wiederherzustellen. Es war aber nicht klar, ob und welche Personen spezielle Tätigkeiten wahrnehmen sollen und wer in einem Notfall welche Weisungs- und Entscheidungskompetenzen hat. Erschwerend kommt hinzu, dass die Nerven bei einem Security-Incident aufgrund der ungewohnten Situation bei allen Beteiligten blank liegen und der Zeitdruck nicht gerade zur Entschärfung beiträgt. Deshalb gilt es zu vermeiden, dass sich wichtiges Know-how in der Organisation nur auf wenige Personen verteilt. Denn diese werden bei einem Security-Incident die lange Belastung nicht aushalten, da erfahrungsgemäß die Aufarbeitung des Vorfalls noch länger dauert als der Sicherheitsvorfall selbst. Damit IT-Abteilungen die Vorfallsbehandlung nicht nach dem „Trial and Error“-Prinzip betreiben, sind klare Strukturen unerlässlich. Hilfestellung hierfür bie- ten diverse Incident-Prozess-Modelle. In Tabelle 1 sind beispielsweise die Incident-Prozessphasen von NIST und SANS einander gegenübergestellt. Aber auch das Bun- desamt für Sicherheit in der Informationstechnik (BSI) und die ISO haben entsprechende Prozessmodelle und Normen verfasst. Es spielt allerdings keine Rolle, für welches Modell man sich entscheidet – solange die Vorfallsbehandlung nicht als Monolith, sondern als aus verschiedenen Phasen bestehender Prozess verstanden und systematisch vorge- gangen wird. Die Eckpfeiler für ein erfolgreiches Incident- Management sind: Prävention, Erkennung, Behebung und Verbesserung (siehe auch Abb. 1). Ohne Checklisten geht nichts Darüber hinaus macht es wenig Sinn, wenn bei- spielsweise Applikationsserver wieder online gehen, aber die zugehörigen Datenbanken und Netzwerkverbindun- gen noch nicht zur Verfügung stehen. Aus Systemsicht gilt es deswegen, die Systemabhängigkeiten zu analysieren und zu dokumentieren. Anschließend wird die Business-Sicht mit den Ergebnissen der BIA und der ABC-Klassiﬁkation eingebracht – und schon ist die Wiederanlaufreihenfolge der gesamten IT-Landschaft deﬁniert, welche die techni- sche Grundlage für den Incident-Response-Prozess bildet. Im nächsten Schritt sollten Unternehmen ver- schiedene Anwendungsfälle deﬁnieren, zum Beispiel Malware-Pandemie, Datenklau oder Hackerattacke. Da- nach wird Schritt für Schritt festgelegt, wie im speziﬁschen Beispiel vorzugehen ist, und in sogenannten „Play Books“ dokumentiert – dabei gibt es nur eins pro Anwendungsfall. Darin sollte beispielsweise stehen: Wer macht wann was? Wer darf und muss unter welchen Umständen was in welcher Frist entscheiden? Dürfen Systeme abgeschaltet oder vom Netz ge- trennt werden? Unter welchen Voraussetzungen? Sollen betroffene Systeme neu aufgesetzt, also möglichst rasch wieder verfügbar auf Kosten der Ursa- chenerkennung sein (keine IT-forensische Spurensuche mehr möglich) oder müssen immer möglichst alle Spuren erhalten bleiben? Wer kommuniziert im Namen der Organisation mit wem? 1. Prävention Abbildung 1: Prozessschritte für ein erfolgreiches Incident-Manage- ment. 4. Verbesserung 2. Erkennung 3. Behebung © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 79

Management und Wissen Incident-Management Wer entscheidet, ob und wann Dritte zur Lösung hinzugezo- gen werden sollen? Je detaillierter diese Check- listen sind, desto verlässlicher sind sie im Ernstfall. Empfehlenswert ist auch die Erarbeitung einer Incident-Response-Kommunikati- onsstrategie und der zugehörigen Pressemitteilungen und das von der Geschäftsleitung vorweg absegnen zu lassen. So gibt es im Ernstfall we- niger zu diskutieren – und prompte, koordinierte Kommunikation wird von Dritten generell als professionell bewertet. Weiterhin ist es sehr wichtig, dass alle relevanten Dokumente und Checklisten in Papierform vorliegen, damit sie in jedem Fall bei Bedarf griffbereit sind. Denn was nützen die schönsten Prozessdokumentationen im Intranet, wenn die IT-Infrastruk- tur aufgrund des zu lösenden einge- tretenen Incidents nicht mehr zur Verfügung steht? Außerdem müssen die recht- lichen Vorgaben eingehalten wer- den: So fordert die Börsenaufsicht zwecks Verminderung von Insider- handel, dass börsennotierte Unter- nehmen im Fall eines eingetretenen Schadens über den Vorfall infor- mieren müssen, weil dieser einen Einﬂuss auf den Börsenkurs haben könnte. Laut Datenschutzverord- nung muss Diebstahl von Personen- daten zeitnah gemeldet werden. In diesen Fällen macht sich die Or- ganisation beziehungsweise deren Geschäftsleitung strafbar, wenn sie der Informations- und Meldepﬂicht nicht nachkommt. Gemeinsam sind wir stark Kaum ein IT-Mitarbeiter wird in der Lage sein, sämtliche zur Lösung eines IT-Sicherheitvorfalls nötigen Aufgaben auszuführen. Aus diesem Grund haben sich in der Pra- xis sogenannte Computer Security Incident Response Teams (CSIRT) be- währt, die aus Spezialisten verschie- dener IT-Disziplinen bestehen. Die Experten kennen die IT-Landschaft der Organisation und können sie auf Administratorebene betreuen. Allerdings wollen und kön- nen sich die wenigsten Unterneh- men ein dediziertes Vollzeit-CSIRT leisten – vor allem, wenn aufgrund der BIA eine 24/7-Leistungserbrin- gung nötig ist. Deshalb haben viele das Problem so gelöst, dass einige IT- Mitarbeiter ein Doppelberufsleben führen: Im Normalbetrieb gehen sie ihren üblichen IT-Tätigkeiten nach; tritt ein Security-Incident ein, lassen sie alles stehen und liegen und behe- ben den Vorfall. Geleitet wird das CSIRT in den meisten Fällen vom Chief (In- formation) Security Ofﬁcer – er und sein Stellvertreter sind auch die Schnittstelle zum Management. Eine meistens kostengünstige Option, um das eigene IT-Team mit weiteren Spezialisten zu ergänzen oder Zei- ten außerhalb der Regelarbeitszeit abzudecken, ist, einen darauf spezi- alisierten externen Dienstleister zu beauftragen. Her mit den Tools Die IT-Mitarbeiter im Fall- beispiel haben nur aufgrund der Tabelle 1: Gegenüberstellung der Incident- Response-Prozesse von NIST und SANS. NIST 1) Preparation 2) Detection & Analysis 3) Containment, Eradication & Recovery 4) Post-Incident Activity SANS 1) Preparation 2) Identiﬁcation 3) Containment 4) Eradication 5) Recovery 6) Lessons Learned Meldungen der Mitarbeiter erkannt, dass ein Security-Incident vorliegt. Wenn ein Monitoring im Einsatz gewesen wäre, dann hätten die Sen- soren des Monitoring-Systems Alarm geschlagen – und zwar bevor ein ge- nervter Anwender den IT-Servicedesk kontaktiert hätte. Alle bisher beschriebenen Maßnahmen sind Teil der Präven- tionsphase. Dort gehören auch die klassischen Maßnahmen System- härtung, Security-Patching und die Ur-Security-Tools Firewall und Anti- Malware-Programme hinein. Ergänzt wird das Arsenal durch Logging, das auf den kritischen Systemen aktiviert wird, und einem entsprechenden Monitoring-Tool, welches bei korrek- tem Setup und sinnvoller Einstel- lung den IT-Mitarbeitern die Arbeit abnimmt, sämtliche Logﬁles konti- nuierlich nach Anomalien zu durch- forsten. Beispiele für Anomalien sind: massiv erhöhte Kommunikation im Netzwerk, Malware-Erkennung, nicht protokollkonforme Datenpakete, er- höhte Anzahl an erfolglosen Login- Versuchen, erhöhte Anzahl an Pass- wort-Zurücksetzen-Anfragen beim IT- Servicedesk, Zugriffe auf Systeme oder Systemressourcen wie Verzeichnisse oder Datenbanktabellen, auf wel- che in der Vergangenheit nicht zuge- griffen wurde, oder schlicht die Nicht- verfügbarkeit von IT-Ressourcen. Die Kombination eines CSIRT mit entsprechenden Sicher- heitstools bildet ein Security-Opera- tions-Center (SOC). Ob eine Organi- sation ein eigenes SOC aufbaut und betreibt oder diesen Service extern bezieht, hängt primär von den geltenden gesetzlichen Vorgaben, den individuellen Anforderungen und den zur Verfügung stehenden personellen und ﬁnanziellen Res- sourcen der Organisation ab. Übung macht den Meister Wenn das Incident-Respon- se-Management, also das CSIRT, und 80 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

die Prozesse deﬁ niert, die Checklis- ten ausgearbeitet und die Tools kon- ﬁ guriert sind und laufen, dann ist es Zeit für eine Notfallübung oder Neu- deutsch Incident-Response-EXercise (IREX). Erfahrungsgemäß läuft beim ersten Durchlauf so ziemlich alles schief: Die involvierten Mitarbeiter kennen die Prozesse nicht, trauen sich nicht, zeitnah Entscheidungen zu fällen, oder verfallen in Schock- starre. Aus diesem Grund ist es ratsam, den Übungsaufbau vorerst sehr simpel zu halten. Sinnvoll ist beispielsweise, erst einmal einen Walkthrough durch die Incident- Prozesse zu machen und mit jeder erneuten IREX-Durchführung die Komplexität zu erhöhen. In jedem Fall müssen vorher die Rahmenbedingungen und das Übungsszenario im sogenannten Storybook deﬁ niert werden. Ein Bei- spiel dafür ist: Es soll der Use-Case „Malware-Befall“ geübt werden. Involviert sind die Teams/Abtei- lungen/Standorte A, B und C. Die Geschäftsleitung und nicht beübte Organisationsbereiche sind darüber informiert, dass eine IREX läuft und sie bei Anfragen von A, B und C an den Übungsleiter verweisen sollen. Die Inﬁ zierungen erfolgen mittels ﬁ ngierten E-Mails, die deutlich als IREX-E-Mails gekennzeichnet sind. Im Storybook steht genau, was um welche Zeit passiert, z. B.: Am 10. Oktober 2019, 7:30 Uhr wird Injection 1 ausgelöst; E- Mail von Y an das CSIRT: Meldung Virenbefall von acht Kernsystemen. Um 8:15 Uhr wird Injection 2 ausgeführt; E-Mail von Z an das CSIRT: Meldung Virenbefall von zwei Produktionssystemen. Im Storybook soll auch die inhaltliche und zeitliche Idealreakti- on auf die einzelnen Inputs stehen. Um zu verhindern, dass das IREX versandet oder aus der Spur kommt, weil einzelne beübte Stellen nicht, falsch oder viel zu spät reagieren, sollten auch Wiedereinstiegspunkte deﬁ niert werden, zum Beispiel „Wir gehen jetzt davon aus, dass A die Geschäftsleitung informiert hat.“ oder „Wir gehen davon aus, dass B die Untersuchung der Malware in Auftrag gegeben hat“. Bei jeder IREX ist es enorm wichtig, dass dokumen- tiert wird, wer wann was gemacht beziehungsweise veranlasst oder eben unterlassen hat. Für die meisten Betroffenen ist ein echter Security-Incident eine Extremsituation und es zählt in den meisten Fällen jede Minute. Darum ist es gut zu wissen, dass sich das CSIRT auf in diversen Übungen bewährte Prozesse, Checklisten und IT-Tools verlassen kann. So bleibt zudem die Zahl von nicht berück- sichtigten Ad-hoc-Entscheidungen und -Aktivitäten überschaubar und das wiederum verringert potenzielle Risiken und tatsächliche Schäden signiﬁ kant. Wie konnte es nur dazu kommen? Um zu verhindern, dass ein Vorfall kurz nach seiner Behebung erneut auftritt, beispielsweise durch abermaliges Anklicken eines mit Malware verseuchten E-Mail-An- hangs, sollte die Ursache untersucht werden – im Idealfall von unab- hängigen Spezialisten. Auch wenn aufgrund erster Handlungen wie im obigen Beispiel keine stichfeste Aussage über den genauen Hergang gemacht werden kann, wird so ein erneutes Auftreten verhindert. In jedem Fall sollten zu diesem Zeitpunkt bekannte Sicher- heitslücken umgehend durch das Einspielen von Sicherheitspatches, das Einführen neuer Sicherheitsme- chanismen und Sicherheitsmaßnah- men geschlossen und potenzielle Schadsoftware aus allen Quellen gelöscht werden, bevor man zum Normalbetrieb zurückkehrt. Denn Informationen über erfolgreiche © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Management und Wissen Incident-Management Angriffe können nicht nur den Medien entnommen wer- den, sondern Angreifer teilen sie auch im Darknet. So ist es möglich, dass Nachahmungstäter auftauchen und die Angriffe wiederholen oder sich an eine laufende Attacke dranhängen. oder eine ähnliche Attacke auch in der eigenen Organi- sation eintreten könnte. Die notwendigen Mittel dazu sollten ihm zur Verfügung gestellt werden, seien es interne oder externe Ressourcen. So lässt sich beispielsweise die Ausbreitung einer großen Angriffswelle verhindern. ■ Wissen ist Macht Nach jeder IREX und jedem Security-Incident hat die Organisation die Chance, den Vorfall und die Vorfalls- behandlung des Unternehmens zu analysieren, um sich kontinuierlich zu verbessern. Wenn sich das Unterneh- men im Fallbeispiel an diesen Grundsatz gehalten hätte, dann wäre die Schadenssumme nur ein Bruchteil gewesen. Wird eine Attacke der Öffentlichkeit bekannt, sollte der Sicherheitsverantwortliche prüfen, ob dieselbe Christoph Baumgartner und Tobias Ellenberger verfügen über langjährige Beratungserfahrung und leiten die auf Cyber- Security-Consulting, DFIR und Penetration Test / Red Teaming spezialisierte Oneconsult Unternehmensgruppe (www.onecon- sult.de) mit Büros in Deutschland und der Schweiz. Wir bedanken uns für die nachhaltige Unterstützung unserer Verlagsprojekte VIP-Partner PLATIN-Partner GOLD-Partner SILBER-Partner Sie interessieren sich für die Vorteile einer VIP-Partnerschaft? Wir informieren Sie gerne! Birgit Eckert, DATAKONTEXT GmbH, Telefon 06728 / 289 003, b.eckert@kes.de

Anstieg „dateiloser“ Angriffe Firmen, Finanzen & Fusionen Einen massiven Anstieg von dateilosen Angriffen stellt Trend Micro in seinem Bericht zur Lage der Cybersicherheit im ersten Halbjahr 2019 fest. Die Zahl solcher Bedrohungen stieg demnach im Vergleich zum Vorjahreszeit- raum um 265 %. „Sowohl die Technologie in den Unternehmen als auch die Angreifer werden immer vernetzter und intelligenter. Umso mehr setzen diese auf ausgefeilte und heimliche Angriffe“, sagt Udo Schneider, Security-Evangelist bei Trend Micro. Der beobachtete Anstieg bedeute, dass Cyberkriminelle zuneh- mend auf Angriffe setzen, die nicht von klassischen Security-Filtern erkannt werden, da sie innerhalb des Arbeitsspeichers ablaufen, sich in der Registry verstecken oder eigentlich gutartige Tools missbrauchen. Darüber hinaus hät- ten auch Exploit-Kits wieder an Popularität gewonnen und verzeichnen einen Zuwachs von 136 % im Vergleich zum Vorjahreszeitraum. Die Zahl erkannter dateiloser Bedrohungen stieg im Vergleich zur ersten Hälfte 2018 stark an. Quelle: Trend Micro Die am häuﬁgsten entdeckte Malware-Art blieben auch in der ersten Jahreshälfte 2019 Kryptowährungs-Miner, die Angreifer laut Trend Micro zunehmend in Server und Cloud-Umgebungen einschleusen. Auch die Zahl von Routern, die in mögliche Angriffe involviert wurden, sei im Vergleich zur ersten Hälfte 2018 um 64 % gestiegen – verantwortlich dafür seien mehrere Mirai-Varianten, die nach exponierten Geräten suchen. Zudem nahmen laut Bericht digitale Erpressungsversuche um 319 % zu und auch CEO-Fraud bleibe eine große Bedrohung – die Zahl entdeckter Versuche stieg im Vergleich zu den vergangenen sechs Monaten um 52 %. Einen Zuwachs von 77 % im gleichen Zeitraum verzeichneten Dateien, E-Mails und URLs mit Ransomware-Bezug. Insgesamt blockierte Trend Micro nach eigenen Angaben in der ersten Jahreshälfte über 26,8 Milliarden Bedrohungen – 6 Milliarden mehr als in den ersten sechs Monaten 2018. Auffällig sei, dass 91 % dieser Bedrohungen über E-Mails in die Unternehmen kamen. Der vollständige Bericht steht unter: www.trendmicro.com/vinfo/de/security/research-and-analysis/threat-reports/ roundup/evasive-threats-pervasive-effects kostenfrei zur Verfügung. (www.trendmicro.com) ■ Mittelstand verbessert sich Einer VdS-Studie zufolge verbessern sich kleinere und mittlere Unter- nehmen (KMU) im Bereich IT-Sicherheit. Demnach haben sie zum Beispiel das Zugriffsmanagement und ihre Berechtigungsstrukturen gut im Griff: So seien adesso as a service koope- riert mit edgescan: Durch die Zusam- menarbeit erweitere adesso sein An- gebot an Managed-Security-Services um ein umfassendes Lösungsport- folio zur Aufdeckung von Sicher- heitsschwachstellen und biete ab Mitte Juli Services auf Basis der Vul- nerability-Management-Lösungen des irischen IT-Security-Dienstleisters an. Dessen SaaS-Plattform unter- suche gehostete Applikationen kon- tinuierlich auf Schwachstellen – die Ergebnisse der Scans würden an- schließend von Experten überprüft, die auch regelmäßige Penetrations- tests durchführen können. (www.adesso.de / www.edgescan.com) Barracuda erwirbt indisches Startup InﬁSecure Technologies: Damit will der Sicherheitsanbieter seinen erst kürzlich vorgestellten Service Advanced Bot Protection für die Barracuda-WAFaaS-Plattformen sowie seine Web-Application-Fire- wall mit erweiterten Funktionen ausstatten. InﬁSecure Technologies hat sich nach Firmenangaben auf die Erkennung und Minimierung fortschrittlicher Bots mit niedriger Latenzzeit spezialisiert. (www.barracuda.com / www.inﬁsecure.com) Canon kooperiert mit Mc- Afee für mehr Sicherheit in Druck- prozessen: Künftig sollen Multifunk- tionsdruck-, Scan- und Kopiersyste- me der imageRunner-Advance-Serie durch eine Embedded-Control-Soft- ware von McAfee für ein kontinu- ierliches Whitelisting autorisierter Anwendungen im laufenden Betrieb geschützt werden. (www.canon.de / www.mcafee.com) Neue Zusammenarbeit mit koreanischen Partnern: CISPA Helm- holtz Center for Information Secu- rity strebt eine enge Zusammenarbeit mit dem Korea Advanced Institute of Science and Technology (KAIST) © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 83

News und Produkte Firmen, Finanzen & Fusionen sowie der KIST Europe Forschungs- gesellschaft an. Eine Ende August unterzeichnete Absichtserklärung habe Kernthemen und gemeinsame Ziele festgelegt. Zukünftig wolle man sich in gemeinsamen Projekten zu Themen der System- und Websicher- heit sowie Kryptograﬁe engagieren. (www.cispa.saarland / www.kaist.edu / www.kist-europe.de) Security-Operation-Center (SOC) von CONET nimmt Betrieb auf: Den Aufbau eines eigenen SOC hatte das Hennefer IT-Beratungshaus bereits im November 2018 ange- kündigt. Nach intensiven Vorberei- tungen und erfolgreichen Abschluss- tests begleite das Unternehmen nun seit Mitte August das „Onboarding“ der ersten Kunden. Bereits Mitte Juli habe man die Fachexpertise des Hauses rund um die Themen strategische Cybersecurity, operative IT-Sicherheit und Managed-Security in einem eigenen Geschäftsbereich „Cyber Security Consulting“ gebün- delt, um einen integrierten Ansatz für mehr Sicherheit zu stärken. (www.conet.de) FERNAO gründet Geschäfts- bereich für Information-Security- Consulting (ISC): So wolle man zum Full-Service-Provider für IT-Security werden und Unternehmen bei der Konzeption und Umsetzung von Managementsystemen in den Bereichen Informationssicherheit, Risikomanagement und Business- Continuity beraten. Basierend auf den Rahmenwerken der ISO/IEC 27001, 22301, 31000 sowie dem BSI Grundschutz-Kompendium erarbei- te man gemeinsam mit den Kunden angepasste Managementsysteme, die nach standardisierten Vorgehenswei- sen gemeinsam umgesetzt werden. Auf Wunsch erfolge eine Unterstüt- zung bis hin zur Zertiﬁzierungsreife. (www.fernao.com/de/) Infosys erweitert strategi- sche Partnerschaften: Das Unter- administrative Zugänge bei 89 % wirklich auf Administratoren beschränkt (2018: 84 %, 2017: 83 %) und 85 % gewähren Zugänge zu ihrem Netzwerk nur dann, wenn es unbedingt notwendig ist (2018: 82 %, 2017: 78 %). Weiter verbessert habe sich auch die Dokumentation in Form interner Richtlinien: 70 % regeln den Umgang mit IT und Unternehmensdaten für ihre Mitarbeiter – allerdings nur 54 % für ihre IT-Dienstleister. Weniger gut: Trotz eines Anstiegs von 39 % (2018) auf 52 % (2019) hinke jedoch die schriftliche Verpﬂichtung des Topmanagements zur Gesamtverantwortung für die Informationssicherheit noch immer hinterher – auch das Prinzip der Funktionstrennung bleibe bei der Hälfte der Unternehmen unberücksichtigt. Der Zugriff auf die interne IT-Infrastruktur über öffentliche oder draht- lose Netze ist der Studie zufolge bei 86 % der Unternehmen verschlüsselt. Kri- tisch sei jedoch bei der Mehrzahl der Unternehmen der Umgang mit mobilen Geräten und Datenträgern: Die Daten auf mobilen Geräten seien mittlerweile bei 67 % der Firmen vor unberechtigtem Zugriff geschützt (2018: 59 %, 2017: 57%), etwa die Hälfte habe allerdings keine gültigen Richtlinien formuliert, die den Umgang mit solchen Geräten festlegen. Auch eine Regelung, welche Informationen auf mobilen Datenträgern gespeichert werden dürfen, gebe es bei knapp der Hälfte nicht. Den besten Wert der gesamten Studie erzielt die Datensicherung, die 95 % durchführen. Auch die örtliche Trennung von Servern und gesicherten Daten setzen 86 % der KMU um und wappnen sich damit vor einem Gesamt- verlust von Daten. Besonders schwach und ohne gravierende Verbesserung zu den Vorjahren falle hingegen der Umgang mit Sicherheitsvorfällen und System- ausfällen aus: Bei über 65 % der Firmen scheitere es direkt an der Basis, wo kein gemeinsames Verständnis dazu existiere, was unter einem Sicherheitsvorfall zu verstehen sei (2017/18: 24 %). Nur 57 % wüssten außerdem, was in Fällen dieser Art zu tun ist. Ähnlich alarmierend verhält es sich laut Studie bei einem Ausfall kritischer Systeme: Wiederaufbaupläne besitzen nur 45 % (im Vorjahr 41 %) der Unternehmen – einen Übersichtsplan zur geregelten Inbetriebnahme der Systeme sogar nur 36 % (im Vorjahr 34 %). Das Management von IT-Outsourcing und Cloud-Computing bleibt laut VdS trotz einer breiteren Nutzung weit abgeschlagen: Nur 33 % der Fir- men (im Vorjahr: 27 %) haben für das Thema Cloud-Computing notwendige Anforderungen an die Sicherheit deﬁniert. Über konkrete Sicherheitsvorgaben für Outsourcing-Projekte verfügen ebenfalls nur 38 % (2018: 33 %, 2017: 30 %). Basis der Studie ist eine Selbstbewertung von Unternehmen zur Cybersicherheit anhand von 39 Fragen. Insgesamt ﬂossen die anonymisierten Angaben von rund 1700 teilnehmenden Firmen in den letzten 12 Monaten in die VdS-Untersuchung ein. (https://vds.de) ■ Unternehmen fehlt klare KI-Strategie Künstliche Intelligenz (KI) sei eine entscheidende Schlüsseltechnologie und werde bereits in den kommenden Jahren großen Einﬂuss auf Geschäfts- modelle und Unternehmensprozesse haben, stellt eine Studie von Lünendonk fest. Die befragten Unternehmen trauen der KI zudem das Potenzial zu, ihre gesamte Branche disruptiv zu verändern. Erstaunlich sei angesichts dieser Einschätzung jedoch, dass nur jedes vierte der analysierten Großunternehmen über eine dedizierte KI-Strategie (27 %) oder überhaupt über eine Deﬁnition für KI verfüge (24 %). 84 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Weiterhin beﬁnde sich weniger als jedes zweite der wenigen KI-Projekte im Produktivbetrieb der befragten Unternehmen. Gründe hierfür seien unter anderem fehlende oder schlechte Daten, fehlendes Know-how sowie Hür- den innerhalb der Organisation. Dazu gehöre beispielsweise die mangelnde fachbereichsübergreifende Zusammenarbeit, die bei KI-Projekten in der Regel unabdingbar ist. Denn damit Unternehmen gut auf die Entwicklungen der künstlichen Intelligenz vorbereitet sind, benötigen sie eine unternehmensweite Strategie, um die Unternehmens-IT einerseits gezielt zu modernisieren und andererseits Schritt für Schritt KI-Kompetenz innerhalb des Unternehmens auf- zubauen. Darüber hinaus müssen organisatorische Voraussetzungen geschaffen werden, damit Fach- und Führungskräfte über ein solides Basiswissen im The- menfeld KI verfügen, eine fachbereichsübergreifende Zusammenarbeit möglich ist und ein internes Kompetenzzentrum für künstliche Intelligenz existiert, das den Fachbereichen bei der Umsetzung zur Seite steht, betont Lünendonk. Insgesamt sei künstliche Intelligenz längst nicht mehr so abstrakt, wie gelegentlich vermutet wird. In zahlreichen Unternehmensbereichen, wie Kundenservices, Marketing und Vertrieb sowie Produktion und Entwicklung, gebe es bereits Anwendungsfälle. Besonders stechen dabei Kundenservice sowie Marketing und Vertrieb als Aktionsfelder hervor. Generell hätten die Interview- partner festgestellt, dass KI in vielen Fällen der Entscheidungsvorbereitung dienen soll, aber am Ende der Mensch die Entscheidung trifft. Für die Studie „Künstliche Intelligenz – Anwendungsfelder, Herausforde- rungen und Ziele von KI-Projekten in Großunternehmen und Konzernen“ wurden 33 CIOs, CDOs und KI-Verantwortliche aus Großunternehmen und Konzernen be- fragt. Sie ist über www.luenendonk.de/portfolio/luenendonk-studie-2019-ku- enstliche-intelligenz kostenfrei als PDF verfügbar. (www.luenendonk.de) ■ Deutsche Industrie noch nicht vernetzt Kaspersky hat die Ergebnisse seines „The State of Industrial Cybersecurity 2019“-Reports vorgestellt: Die deutsche Industrie hinke demnach im weltwei- ten Vergleich bei der Digitalisierung ihrer Betriebstechnik beziehungsweise industrieller Kontrollsysteme hinterher. So habe hierzulande nur knapp jedes sechste Unternehmen (15,9 %, international: 41 %) seine Operational Techno- logy (OT) und industriellen Kontrollsysteme (ICS) mit der Cloud verbunden, um die „vorausschauende Wartung“ (Preventive Maintenance) oder digitale Firmen, Finanzen & Fusionen nehmen kooperiere einerseits mit Microsoft und Johnson Controls International (JCI), um intelligente Gebäude- und Raumlösungen (Smart Buildings and Spaces Soloutions – SB&S) anzubieten, welche die Kon- vergenz von physischer und digitaler Infrastruktur beschleunigen sollen. Andererseits werde Infosys durch eine erweiterte Partnerschaft zum Google Cloud Managed Service Provider (MSP) und könne so seinen Kun- den zukünftig einen umfassenden Applications-Lifecycle-Service anbie- ten, der auf der breiten Cloud- und Datenanalyse-Expertise von Google basiert. (www.infosys.com / www.microsoft.com / www.johnsoncontrols.com / https://cloud.google.com) Kaspersky eröffnet weiteres Transparenzzentrum: Im Zuge seiner globalen Transparenzinitiative hat das Unternehmen die Eröffnung des weltweit dritten Code-Überprüfungs- zentrums bekanntgegeben. Nach Zürich und Madrid stehe nun auch in Menara (Malaysia) eine Einrichtung zur Verfügung, die Partnern und Regierungsverantwortlichen ermög- liche, den Quellcode von Kaspersky- Lösungen vor Ort einer intensiven Überprüfung zu unterziehen. Der neue Standort werde zudem als Brieﬁng-Zentrum fungieren, in dem Gäste mehr über die Engineering- digitalDefense protect your business München Berlin Innsbruck IT SICHERHEIT FÜR UNTERNEHMEN • Emailverschlüsselung & PKI Services • Vulnerability Management • SOC Services & Managed Security • Security Consulting Services • Security Monitoring & Alarmierung • Firewall Optimierung & Audits digitalDefense Information Systems GmbH - Zeppelinstraße 71-73 - D-81669 München - Tel. + 49 (89) 550 6944-0 - www.digitadefense.de

News und Produkte Firmen, Finanzen & Fusionen Zwillinge zu nutzen – weitere 29,5 % planen dies dem Report zufolge in den nächsten 12 Monaten. und Datenverarbeitungspraktiken des Cybersicherheitsanbieters erfah- ren können sollen. (www.kaspersky.de/ about/transparency/) Microsoft eröffnet neue Cloud-Regionen in Deutschland: Die neuen Angebote kombinieren nach Firmenangaben „die hohen welt- weiten Standards mit zusätzlichen deutschen Sicherheitsanforderungen und -zertiﬁkaten“. Die Azure-Ange- bote der neuen Rechenzentren in Berlin und Frankfurt seien ab Ende August für erste Kunden und Partner offen und sollen im Laufe des vierten Quartals sukzessive für weitere Nutzer zur Verfügung stehen. Ofﬁce 365 mit einer Speicherung der Kundendaten in Deutschland soll im ersten Quartal 2020 folgen – Dynamics 365 im Laufe des kommenden Jahres. (www.microsoft.com/security/) Proﬁcio erweitert Partner- schaft mit Qualys: Im Rahmen der Kooperation würden nun Cloud- Lösungen von Qualys vollständig mit den Managed-Detection-and- Response-Funktionen von Proﬁcio integriert, melden die Unternehmen. Damit stärke Proﬁcio seine Strategie, Bedrohungen kontinuierlich sicht- bar zu machen und vor ihnen zu (www.proﬁcio.com / schützen. www.qualys.com) Splunk kauft SignalFx: Durch die Integration der Technolo- gie des Anbieters von SaaS-Lösungen für Echtzeit-Überwachung und -Metriken für Cloud-Infrastrukturen, Mikroservices und Anwendungen sei Splunk künftig in der Lage, eine besonders leistungsfähige Cloud- Monitoring-Plattform anzubieten. Durch die Übernahme mit einem Volumen von 1,05 Mrd. US-$ werde das Unternehmen ein Marktführer von Monitoring- und Observability- Lösungen in großem Maßstab. (www.splunk.com / www.signalfx.com) Darüber hinaus stellt die Studie fest, dass mehr als zwei Drittel (68,1 %) der 44 befragten deutschen Industrieunternehmen die Digitalisierung ihrer OT als wichtige oder sehr wichtige Aufgabe für dieses Jahr sehen. Im internationa- len Vergleich (81 %) liege man aber auch hier zurück – weltweit wurden 282 Unternehmen befragt. Das bei der Vernetzung entstehende Cyberrisiko scheint den Industrie- unternehmen dabei durchaus bewusst zu sein: Denn fast zwei Drittel (63,6 %) der deutschen Unternehmen sagen, dass OT-Security oberste Priorität habe. Um das erforderliche Schutzniveau zu erreichen, sollten sie jedoch in spezielle Maßnahmen investieren und über qualiﬁzierte Fachkräfte verfügen, mahnt Kasperky – obwohl das als Priorität eingestuft wird, verfüge nur etwa die Hälfte (45,4 %) über ein eigenes Budget für industrielle Cybersicherheit. Zudem über- wachen in fast einem Drittel der Unternehmen (31,8 %) die für die Sicherheit der IT-Infrastruktur zuständigen Mitarbeiter auch die Sicherheit der OT/ICS- Netzwerke – 29,5 % verfügen über ein eigenes OT/ICS-Team. „Unsere diesjährige Studie zeigt, dass Unternehmen versuchen, den Schutz industrieller Netzwerke zu verbessern“, kommentiert Georgy Shebul- daev, Brand-Manager bei Kaspersky Industrial Cybersecurity. „Dies kann jedoch nur erreicht werden, wenn die Risiken, die mit dem Mangel an qualiﬁziertem Personal und Mitarbeiterfehlern verbunden sind, angegangen werden.“ Der vollständige Report ist als PDF unter https://ics.kaspersky.com/the-state-of- industrial-cybersecurity-2019 kostenfrei verfügbar. (www.kaspersky.de) ■ Wie schützen Unternehmen ihre Cloud? Bitglass hat 674 IT-Security-Experten befragt, um herauszuﬁnden, wie gut es Unternehmen gelingt, Daten in der Cloud zu schützen. Dabei kam heraus, dass 67 % Cloud-Apps für mindestens so sicher halten wie lokale Anwendungen. 75 % nutzen mehrere Cloud-Lösungen; jedoch nur 20 % verfügen über einen App-übergreifenden Überblick, um Auffälligkeiten zu identiﬁzieren. Immer mehr Betriebe speichern demnach sensible Informationen wie Kundendaten (45 %), Mitarbeiterdaten (42 %) oder geistiges Eigentum (24 %) in der Cloud. Um ihre Daten in der Cloud zu schützen, setzen die meisten Unterneh- men eine Zugriffskontrolle (52 %) und Anti-Malware-Funktionen (46 %) ein. Über eine Data-Loss-Prevention (DLP) verfügen 20 % der Befragten – Single- Sign-on-Lösungen nutzen 26 %. 31 % der Unternehmen setzen nach Angaben von Bitglass mittlerweile Cloud-Access-Security-Broker-(CASB)-Lösungen zum Schutz vor Malware ein (2018: 20 %). Für Unternehmen, welche die Einführung solcher Lösungen beabsich- tigen, spiele der Kostenaspekt die größte Rolle. Weitere entscheidende Faktoren seien die Einfachheit der Implementierung, die Cloud-„Nativität“ der Lösung, die Umsetzbarkeit cloudübergreifender Sicherheitsrichtlinien und die Möglich- keit zur Integration der Lösung in verschiedene Cloud-Plattformen. Die vollständige Studie „Guardians of the Cloud“ ist unter https://pages. bitglass.com/CD-FY19Q2-Guardians-of-the-cloud-report_LP.html verfügbar (Registrierung erforderlich). (www.bitglass.com) ■ 86 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

IT-Branchenwegweiser Wer bietet was? Akademie Ausbildungen mit Personenzertiﬁ kat (DGI®) Lead Auditor ISO 27001 IT-Sicherheitsbeauftragter / Chief Information Security Oﬃ cer BSI IT-Grundschutz-Praktiker BSI IT-Grundschutz-Berater ICS Security Manager Business Continuity Manager IT Risk Manager www.DGI-AG.de Kurfürstendamm 57 | 10707 Berlin +49 30 31 51 73 89 - 10 Applikationssicherheit Ullsteinstraße 130, Turm B/8. Stock 12109 Berlin office-berlin@sec-consult.com www.sec-consult.com 9 Cyber- und Applikationssicherheit 9 Cyber-Defence 9 interne & externe Sicherheitstests 9 DDoS-Tests M E D I A D A T E N www.kes.info/media Datenschutz/Informationssicherheit Datenschutz/Informationssicherheit Vorschau Ausbildung WBW • Qskills 55x40 Kopie.pdf 1 16.11.11 08:46 C M Y CM MY CY CMY K Datenrettung Dezember 2019 Erscheinungstermin: 09. Dezember 2019 Anzeigenschluss: 13. November 2019 Themenplan u.a.: — it-sa Nachlese — Physische Sicherheit für die IT <kes>-Special: IT-Sicherheit für Industrie 4.0 Für weitere Informationen: Birgit Eckert Tel.: 06728 289003 b.eckert@kes.de © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 87

IT-Branchenwegweiser BSI IT-Grundschutz IT-Sicherheit BSI IT-Grundschutz mit HiScout www.hiscout.com Datenträgersicherheit Wir sind Ihr Partner im Bereich IT- und SAP-Sicherheit! IBS Schreiber GmbH Zirkusweg 1, 20359 Hamburg, Tel.: + 49 40 69 69 85-0 Fax: + 49 40 69 69 85-31 info@ibs-schreiber.de www.ibs-schreiber.de Sicher. Besser. Wirtschaftsschutz Notfallmanagement Informationssicherheit www.hisolutions.com Digitale Signatur/ digitale Zertifikate C e r t i f i c a t e M a n a g e m e n t M E D I A D A T E N www.kes.info/media Impressum <kes> – Die Zeitschrift für Informations-Sicherheit 35. Jahrgang 2019 – ISSN 1611-440X Die <kes> wurde im Jahre 1985 als „KES – Zeitschrift für Kommunika- tions- und EDV-Sicherheit“ gegründet. Der 2003 angepasste Untertitel reﬂ ektiert die begrifﬂ ichen Veränderungen in der Computertechnik und den Paradigmenwechsel von EDV-/IT-Sicherheit (Sicherheit der Informati- ons-Technik) hin zur Informations-Sicherheit: Vorrangiges Schutzziel sind die Daten als unternehmenskritische Ressourcen, egal wo und in welchem Zustand sie sich gerade beﬁ nden. Die <kes> erscheint sechsmal im Jahr bei der GmbH Augustinusstraße 9d, 50226 Frechen (DE) Tel.: +49 2234 98949-30, Fax: +49 2234 98949-32 redaktion@datakontext.com, www.datakontext.com Geschäftsführer: Hans-Günter Böse, Dr. Karl Ulrich Handelsregister: Amtsgericht Köln, HRB 82299 Bankverbindung: UniCredit Bank AG, München, IBAN: DE34 7002 0270 0015 7644 54 Redaktion: Norbert Luckhardt (Chefredakteur, verantwortlich für den redaktionellen Teil), Sebastian Frank (Stellv., verantwortlich für den Online-Auftritt), redaktion@kes.de, weitere Kontaktinfos: http://kontakt.kes.info Alle Rechte vorbehalten, auch die des auszugsweisen Nachdrucks, der Reproduktion durch Fotokopie, Mikroﬁ lm und andere Verfahren, der Spei- cherung und Auswertung für Datenbanken und ähnliche Einrichtungen. Anzeigenleitung: Birgit Eckert (verantwortlich für den Anzeigenteil) Tel.: +49 6728 289003, anzeigen@kes.de Herstellungsleitung: Dieter Schulz, dieter.schulz@datakontext.com, Tel.: +49 2334 98949-99 Vertrieb: Jürgen Weiß, weiss@datakontext.com, Tel.: +49 2334 98949-71, Fax: -32 Abo-Service: durch die Verlagsgruppe Hüthig Jehle Rehm GmbH, aboservice@kes.de, Tel.: +49 89 2183-7110, Fax: -7620 Bezugspreise (ab 2019): Jahresabonnement (6 Ausgaben) e 139,00 (DE), e 163,30 (Ausland), Studenten-Abo e 70,00 (DE), e 94,30 (Ausland), Preisangaben jeweils inkl. Porto und MWSt. Einzelheft: e 25 zzgl. Versandkosten Der Bezugszeitraum beträgt ein Jahr, der Abonnementspreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraums gekündigt wird. Im Jahresabonnement inbegriffen ist ein Passwort zur Nutzung des ge- schützten Abo-Bereichs auf www.kes.info mit allen aktuellen Beiträgen und dem <kes>-Archiv. Für Mitglieder der ASW – Arbeitsgemeinschaft für Sicherheit der Wirt- schaft e. V. bzw. deren Mitgliedsverbände erfolgt die Lieferung der <kes> im Rahmen ihres Mitgliedsbeitrages bzw. zum Mitgliederbezugspreis. Mitglieder der Gesellschaft für Informatik e. V. (GI) und des Bundesver- bands KH-IT e. V. können die <kes> zum ermäßigten Mitgliederbezugs- preis abonnieren. Satz: BLACK ART Werbestudio Stromberger Straße 43a, 55413 Weiler bei Bingen Zurzeit gültige Anzeigenpreisliste: Nr. 37 vom 02. Januar 2019 <kes>-Design: Andreas Heller, www.hellergraﬁ k.de Media-Daten: Unsere Media-Daten ﬁ nden Sie online auf www.kes.info/media/. Druck: BWH GmbH Beckstr. 10, 30457 Hannover 88 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

IT-Branchenwegweiser Wer bietet was? Netzwerksicherheit Security Level Management Weiterbildung Steigern Sie die Wirksamkeit der IT-Sicherheit Weiterbildung IT-Sicherheit Spezielle Prüfverfahrenskompetenz für § 8a BSIG 14. - 15.10.2019 www.ampeg.de VdS 10000 IT-Sicherheitsbeauftragter (TÜV) 11. - 15.11.2019 T.I.S.P. TeleTrusT Information Security Professional 18. - 22.11.2019 www.is-its.org IT-Grundschutz Automatisierung: Prüfung auf Einhaltung von Maßnahmen Export-Schnittstelle für Datenübernahme Permanente Überwachung im Hintergrund: www.greenbone.net Tel +49 541 760278-0 Alarm bei Verstoß oder Sicherheitslücke Penetrationstest Fürholzener Strasse 5a · 85386 Eching Tel.: 089 - 45217100 · Fax: 089 - 45217109 welcome@nesec.de · www.nesec.de Vertrauensdienste Penetrationstests Web-Sicherheit Code-Analysen www.hisolutions.com WIR BIETEN LÖSUNGEN. Fragen Sie uns. Wir liefern Antworten. www.bank-verlag.de Drescleier GmbH Informationssicherheit Datenschutz Lichtvolle Arbeit Aktuelle und neue Seminare: Informationssicherheit - Grundlagen, crinzipien, Methoden IT-Grundschutz - Zusammenfassung für Manager IT-Grundschutz-craktiker (gemäß BSI-Curriculum) Datenschutz und Informationssicherheit - kurz Lichtvolles Zeit- und Lebensmanagement Cursus Lichtvolle Arbeit www.Drescleier.de Wir freuen uns auf Ihre sehr geschätzte Teilnahme! Sicherheitsberatung und -planung Zertifizierungsstelle Fürholzener Strasse 5a · 85386 Eching Tel.: 089 - 45217100 · Fax: 089 - 45217109 welcome@nesec.de · www.nesec.de Pinbriefe/Pinmailer Lise-Meitner-Straße 3 · 28816 Stuhr Tel. 0421 56905-0 · Fax 0421 56905-55 MEDIA-DATEN www.kes.info/media BDS AG, Security Management Muristr. 96, CH-3006 Bern, Tel. (031) 3508680 www.bds-bern.ch © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5 89

IT-Branchenwegweiser IT-Branchenwegweiser Wer bietet was? Firmen im Branchenwegweiser Inserenten in dieser Ausgabe isits AG International School of IT Security, Huestr. 30, 44787 Bochum Tel. 0234 927898-0, Fax 0234 927898-20 www.is-its.org J. Kupfrian MSS-Media GmbH, Lösbacher Landstr. 57, 88515 Lüdenscheid, Tel. 02351 79635, Fax 02351 786149 www.mss-media.com Koopmanndruck GmbH, Lise-Meitner-Str. 3, 28816 Stuhr Tel. 0421 56905-0, Fax 0421 56905-55 www.koopmann.de NESEC Ges. für angewandte Netzwerksicherheit mbH Fürholzener Str. 5a, 85386 Eching, Tel. 089 45217-100, Fax 089 45217-109 www.nesec.de PRESENSE Technologies GmbH, Sachsenstr. 5, 20097 Hamburg Tel. 040 2442 407-0, Fax 040 2442 407-24 www.pre-sense.de qSkills GmbH & Co KG, Süd-West-Park 65, 90449 Nürnberg, Tel. 02207 3096 www.qskills.de Rohde & Schwarz SIT GmbH, Am Studio 3, 12489 Berlin, Tel. +49 30 658842-22, Fax +49 30 65884-183 www.rohde-schwarz.com Secardeo GmbH, Hohenadlstr. 4, 85737 Ismaning, Tel. 089 18935890 www.secardeo.de SEC Consult Deutschland Unternehmens- beratung GmbH, Ullsteinstraße 130 Turm B / 8. Stock, D-12109 Berlin Tel. +49 30 30807283 ofﬁce-berlin@sec-consult.com TÜV Informationstechnik GmbH, Langemarckstr. 20, 45141 Essen, Tel. 0201 8999-9, Fax 0201 8999-888 www.tuvit.de Vasgard GmbH, Straßenbahnring 15, 20251 Hamburg, Tel. +49 40 209 33 14-60, Fax +49 40 209 33 14-69 www.vasgard.com ANMATHO AG, Erste Brunnenstraße 1, 20459 Hamburg, Tel. 040 2294719-0, Fax 040 2294719-19 www.anmatho.de Ampeg GmbH, Stavendamm 22, 28195 Bremen, Tel. 0421 525870 www.ampeg.de Bank-Verlag GmbH, Taunusanlage 11, 60329 Frankfurt, Tel. 069 4789429-12 www.bank-verlag.de BDS AG, Muristraße 96, 3006 Bern, CH, Tel. +41 31 3508680 www.bds-bern.ch Controlware GmbH, Waldstraße 92, 63128 Dietzenbach, Tel. 06074 858-00, Fax 06074 858-108 www.controlware.de DeviceLock Europe GmbH, Halskestr. 21, 40880 Ratingen Tel. +49 2102 131840 www.devicelock.com DresPleier GmbH, Vils 8, 84149 Velden Tel. +49 8742 5870894, Fax +49 3222 4170655 https://www.DresPleier.de Greenbone Networks GmbH, Neuer Graben 17, 49074 Osnabrück Tel. 0541 335084-0, Fax 0541 335084-99 www.greenbone.net HiSolutions AG, Bouchéstraße 12, 12435 Berlin Tel. 030 533289-0, Fax 030 5332899-9 www.hisolutions.com HiScout GmbH, Bouchéstraße 12, 12435 Berlin Tel. 030 533289-0, Fax 030 5332899-9 www.hisolutions.com HSM GmbH + Co.KG, Austraße 1-9, 88699 Frickingen (Germany) Tel. +49 7554 2100-421, Fax +49 7554 2100-280 mailto: stefanie.keller@hsm.eu, www.hsm.eu IBB Ing.-Büro Bergmann, Frank Bergmann Sonnenweg 3, 15537 Grünheide Tel. +49 3362 880863 www.ibbergmann.org IBS Schreiber GmbH, Zirkusweg 1, 20359 Hamburg Tel. +49 40 696985-0, Fax +49 40 696985-31 www.ibs-schreiber.de AXA Konzern AG Allgeier CORE GmbH AMPEG GmbH Axis Communications GmbH baramundi software AG Bundesamt für Sicherheit in der Informationstechnik / Stellenangebot 7 69 U4 61 81 11 CONTECHNET Deutschland GmbH 20, 21 DATAKONTEXT / Abonnement-Werbung DeviceLock Europe GmbH DGI Deutsche Gesellschaft für Informationssicherheit AG Digital Mind Change digitalDefense Information Systems GmbH eset Deutschland GmbH Fernschule Weber G+H Systems GmbH genua GmbH HiScout GmbH IDC Workplace IHK Bonn/Rhein-Sieg / IT-Sicherheitstag NRW isits AG International School Leaders Contact International GmbH / Inside IAM 2019 Leipziger Messe GmbH / protekt 2019 Messe Berlin GmbH / smart country MESSE ESSEN GmbH noris network AG project networks GmbH / Strategiegipfel in Berlin Rittal GmbH & Co. KG SecuPedia Sicherheitstermine UIMC Dr. Voßbein GmbH & Co. KG VIP-Partner <kes> Waveline-Mar.Com e.K. U3 33 U2 43 85 3 48 51 27 71 44 45 47 44 15, 57 44, 45 77 31 44, 45 66, 67 58 44 4 82 9, 19 Wolters Kluwer / Deutscher It-Leiter-Kongress 45 Beilagenhinweis Secorvo Security Consulting GmbH Vollbeilage NürnbergMesse GmbH Vollbeilage Wolters Kluwer Deutschland GmbH Vollbeilage VerismoVerismo Consulting GmbH Vollbeilage <kes>-Special it-sa 2019 Vollbeilage 90 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2019#5

Informations-Sicherheit Informations-Sicherheit im Abonnement <kes> liefert alle relevanten Informationen zum Thema IT-Sicherheit – sorgfältig recherchiert von Fachredakteuren und Autoren aus der Praxis. — strategisches Know-how — Trends und Neuentwicklungen — Hilfen zum Risikomanagement — einschlägige Gesetze im Umfeld der IT und TK — wichtige Messen und Kongresse — Anwenderberichte — BSI-Forum — IT-Grundschutz Fax-Rückantwort an +49 89 2183-7620 Ich/Wir abonniere(n) die Zeitschrift <kes> ab Ausgabe 2019#6 Das Abonnement umfasst das Recht zur Nutzung des Abo-Bereichs auf www.kes.info mit allen aktuellen Beiträgen und dem <kes>-Archiv sowie den Bezug des <kes>/SecuPedia-Newsletters. Ab 2019 beträgt der Jahresbezugspreis (sechs Ausgaben) E 139,00 inkl. MwSt. und Versandkosten (Ausland E 163,30). Der Bezugszeitraum beträgt ein Jahr. Sie können das Abonnement jederzeit, spätestens jedoch acht Wochen vor Ende des Bezugsjahres kündigen. Sonst verlängert sich das Abo automatisch um ein weiteres Jahr. Datenschutzhinweis: Ihre persönlichen Angaben werden von der DATAKONTEXT GmbH zur Vertragserfüllung einschließlich Zusendung des News- letters sowie für Informationen zu eigenen Produkten und Angeboten, evtl. unter Einbeziehung von Dienst leistern, verwendet. Darüber hinaus erfolgt die Weitergabe an Dritte nur zur Vertragserfüllung oder wenn wir gesetzlich dazu verpﬂ ichtet sind. Unsere detaillierte Datenschutzerklärung ﬁ nden Sie auf www.kes.info/service/datenschutz/. Falls Sie keine weiteren Informationen von DATAKONTEXT mehr erhalten wollen, können Sie uns dies jederzeit mit Wirkung in die Zukunft an die DATAKONTEXT GmbH, Augustinusstr. 9d, 50226 Frechen, per Fax an +49 2234 98949-44 oder per E-Mail an werbewiderspruch@datakontext.com mitteilen. * erforderlich zur Zusendung des Secupedia-Newsletters – zusätzlich erhalten Sie Informationen zu eigenen ähnlichen Produkten per E-Mail. Sie können dieser Ansprache jederzeit widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Online-Bestellung über http://abo.kes.info QR-Code für Bestellung per E-Mail Firma Name/Vorname E-Mail* Abteilung Telefon (Geschäftl.) Fax (freiwillige Angabe) Straße/Nr. PLZ/Ort Datum/Unterschrift