Online-Schulungen IT-Sicherheit 2024 Themen Referenten Termine KI im Kontext der Cybersecurity KI-Abwehrmechanismen in ein Unternehmens-ISMS integrieren – Eine praxisorientierte Blaupause Alexander Jaber Jürgen Kreuz Einführung Notfallmanagement nach BSI-Standard 200-4 Tobias Baader 03.09.2024 07.11.2024 04.09.2024 03.12.2024 10.09.2024 19.11.2024 CISO und Consulting Exzellenz für Informationssicherheit Alexander Jaber 11.09.2024 Praxisfall: Herausforderungen und Bewältigung eines Cyberangriffes – vom Angriff bis zur Abwicklung Tobias Baader 12.09.2024 14.11.2024 Das NIS2 Umsetzungsgesetz (NIS2UmsuCG): Was Unternehmen jetzt beachten müssen Quickwins für IT-Sicherheit: Mental-Tool-Box für Sofortmaßnahmen zur Risikoreduzierung Informationssicherheit beim Einsatz von KI für IT, OT und im produzierenden Umfeld IT-Sicherheit von M365 – Sicheres Design und sichere Konfiguration KI-Blaupause – Standardszenarien für Angriff und Verteidigung Physische Sicherheit für IT-Profis: Vom Konzept zur Umsetzung Betriebssystem Windows härten und absichern – Eine Schritt-für-Schritt-Anleitung Tobias Baader Dirk Seeburg 17.09.2024 12.11.2024 Alexander Jaber 19.09.2024 21.11.2024 Alexander Jaber 24.09.2024 Eric Soldierer Jürgen Kreuz Alexander Jaber 25.09.2024 04.11.2024 01.10.2024 05.12.2024 02.10.2024 11.11.2024 Tobias Elsner 13.11.2024 Incident-Response-Maßnahmen – Auf Sicherheitsvorfälle optimal reagieren Tobias Elsner Thomas Wallutis 16.12.2024 Jeweils von 10:00 Uhr bis 14:30 Uhr I online Änderungen bei Terminen bleiben vorbehalten. Jetzt anmelden für nur 349,– € zzgl. MwSt.: www.datakontext.com/it-sicherheit-seminare 10 % Rabatt für + Abonnenten

22 RAGS FÜR DIE INFORMATIONSSICHERHEIT EFFIZIENTERES ISMS DURCH KI (1) 3 6 EDITORIAL NEWS SECURITY MANAGEMENT 22 RAGs für die Informationssicherheit EFFIZIENTERES ISMS DURCH KI (1) SCHWERPUNKT: MALWARE 27 So schaufeln Unternehmen Ressourcen frei 10 Ransomware-Analyse HARDBIT 4.0 SCHLÜPFT MIT TARNKAPPE DURCH ANALYSEPROGRAMME 12 Defense in Depth RANSOMWARE-ANGRIFFE MIT ZERO-TRUST- SEGMENTIERUNG EINDÄMMEN CYBERSICHERHEIT 15 OT-Sicherheit: WIE DIE ANGREIFERSICHT BEIM SCHUTZ DES UNTERNEHMENS HILFT RECHT 18 Schlüssel zur Erfüllung neuer IT-Sicherheitsanforderungen WARUM UNTERNEHMEN EIN ISMS BRAUCHEN 4 IT-SICHERHEIT_4/2024 und stärken die Sicherheit ihrer IT MIT MANAGED SERVICES GEGEN DEN FACHKRÄFTEMANGEL 30 Die Pflicht zur Prüfung von Dienstleistern WARUM ZERTI FIZIERUNGEN ALLEIN NICHT AUSREICHEN 34 Die KI-Revolution (3) PROZESSOPTIMIERUNG MIT KI 38 Zusammenarbeit und Vertrauen im Kampf gegen Cyberkriminalität DER WEG ZUR KOLLEKTIVEN CYBERRESILIENZ 42 NIS-2 und die Operational Technology (K)EIN TRAUERMÄRCHEN 45 IDS-Praxiseinsatz und Penetrationstest ANGRIFFS ERKENNUNG MIT IDS IN ENERGIEANLAGEN

NEWS | UNTERNEHMEN SEP UND BACKUP EAGLE SCHLIESSEN PARTNERSCHAFT Die SEP AG, ein Anbieter von plattformunabhängigen Backup- und Disaster-Recovery-Lösungen, und BACKUP EAGLE geben ihre neue Part- nerschaft bekannt. Ziel der Zusammenarbeit ist es, Unternehmen in Deutschland bei der Bewältigung der wachsenden Herausforderungen in den Bereichen Datensicherheit und Compliance zu unterstützen. Die Kombination aus SEP sesam Apollon und den Überwachungs- und Audit-Funktionen von BACKUP EAGLE ermöglicht es Unternehmen, ihre Datensicherungsstrategie auf das nächste Level zu heben. BACKUP EAGLE bietet tägliche revisionssichere Kontrolle von Backups, Wiederherstel- lungen und Monitoring für alle Backup-Umgebungen. Alle erforderlichen Nachweise werden automatisch erstellt, potenzielle Probleme werden er- kannt und die zentrale Administration macht die Verwaltung sehr einfach. „Unsere Partnerschaft mit BACKUP EAGLE stärkt die Datensicherheit und die Compliance unserer Kunden erheblich. Gemeinsam bieten wir eine umfassende Lösung, die den Schutz vor Cyberbedrohungen maximiert und die strengen Anforderungen der NIS-2-Richtlinie erfüllt“, sagt Susan- ne Moosreiner, CEO der SEP AG. n Lösungsübersicht BACKUP EAGLE (Bild: SEP AG) KOOPERATION VON VERTIV UND ZINCFIVE Vertiv, ein Spezialist von Lösungen für kritische digitale Infrastrukturen und Kontinuität, erweitert sein Portfolio an Batteriesystemen für die Notstromversorgung von Rechenzentren. Ab sofort bietet das Unter- nehmen die unterbrechungsfreie Stromversorgung (USV) der ZincFive BC-Serie von ZincFive an, einem Anbieter von Lösungen auf Basis von Nickel-Zink-Batterien (NiZn). Die sicheren und wiederverwertbaren Nickel-Zink-Batterien sind mit ausgewählten großen und mittleren Vertiv USV-Systemen, einschließlich der kürzlich eingeführten Vertiv Trinergy, als Quelle für Backup-Energiespeicher kompatibel. Die USV-Batterieschränke der BC-Serie von ZincFive sind die erste Nickel- Zink-Batterie-Energiespeicherlösung mit Abwärts- und Aufwärtskompa- tibilität mit USV der Megawattklasse. Die BC-Serie bietet im Vergleich zu VRLA- und Lithium-Ionen-Batterien branchenweit die kleinste Stellfläche 6 IT-SICHERHEIT_4/2024 und ist äußerst wartungsarm. Die NiZn-Chemie sorgt für einen zuverläs- sigen Betrieb, wobei die Batteriestränge selbst bei schwachen oder ver- brauchten Zellen leitfähig bleiben. Darüber hinaus haben die NiZn-Bat- terien von ZincFive laut einer von Boundless Impact durchgeführten und von ZincFive in Auftrag gegebenen Studie deutlich geringere Auswirkun- gen auf die Umwelt als Blei-Säure- und Lithium-Batterien. Dies wurde auch durch die Analyse eines unabhängigen Experten bestätigt. n HID UND INNER RANGE: WALLET-FÄHIGE LESEGERÄTE FÜR ZUTRITTSKONTROLLE HID baut seine Partnerschaft mit Inner Range, einem globalen Anbieter von integrierten Zutrittskontrollsystemen, aus. Die erweiterte Koopera- tion bietet Unternehmen weltweit sicherere und zukunftsfähige Lösun- gen, die auf den Signo-Lesegeräten von HID basieren und SIFER Creden- tial von Inner Range unterstützen. Durch die Wallet-fähigen Lesegeräte von HID erweitert Inner Range sein Produktportfolio und bietet Unternehmen eine zusätzliche Möglich- keit, mobile Credentials von HID zu integrieren. Mitarbeiter, Mieter und Besucher erhalten einen einfachen und gleichzeitig sicheren Zugang zu Büros, Besprechungsräumen, Druckern, Schließfächern und anderen Bereichen, indem sie ihr Smartphone oder ihre Smartwatch in die Nähe eines SIFER-fähigen Lesegeräts halten. Die auf HID Mobile Access basie- rende In-Wallet-Lösung verwendet fortschrittliche Verschlüsselungs- und Sicherheitsprotokolle. „Der mobile Zugang entwickelt sich weltweit zu einer starken Triebkraft für die Neugestaltung der physischen Zutrittskontrolle“, betont Steve Katanas, Regional Head for HID Physical Access Control Solutions, ANZ. „Die Kunden von Inner Range werden von allen Vorteilen profitieren, die sich aus dem Hinzufügen mobiler Zugangsdaten in die Apple oder Google Wallet – und in naher Zukunft auch andere OEM-Wallets – er- geben.“ n LANCOM SYSTEMS ERHÄLT ISO/IEC-27001-ZERTIFIZIERUNG Der deutsche Netzwerkinfrastruktur- und Security-Ausrüster LANCOM Systems hat sein Informationssicherheits-Managementsystem (ISMS) nach der international anerkannten ISO/IEC-27001-Norm zertifizieren lassen. Die unabhängige Zertifizierung durch den TÜV Rheinland belege den hohen Stellenwert, den LANCOM dem Schutz sensibler Daten und der IT-Sicherheit seiner Kunden und Partner beimisst. Die ISO/IEC 27001 ist eine weltweit anerkannte Norm für Informati- onssicherheits-Managementsysteme. Sie bietet Unternehmen klare Leitlinien für die Planung, Umsetzung, Überwachung und Verbesserung ihrer Informationssicherheit. LANCOM hat seine internen Abläufe einem offiziellen Audit unterzogen. Das Informationssicherheits-Management in den Bereichen LANCOM Management Cloud sowie Service- und Support-Prozesse wurde gemäß dem ISO/IEC-27001-Standard durch den TÜV Rheinland geprüft und zertifiziert.

NEWS | PRODUKTE AKTUALISIERTER LEITFADEN ZUR „ CYBERSICHERHEIT UND IT-COMPLIANCE IM UNTERNEHMEN“ Trend Micro hat seinen juristischen Leitfaden „Cybersicherheit und IT- Compliance im Unternehmen“ neu aufgelegt. Der umfassende Ratgeber bietet Unternehmen einen praxisnahen Überblick über wichtige recht- liche Themengebiete im Zusammenhang mit dem Einsatz von IT und Internet. Mit der Neuauflage wurden insbesondere die neuen Regularien NIS-2 und DORA berücksichtigt. Diese EU-Richtlinien definieren verbind- liche Mindestanforderungen an die Cybersicherheit von Unternehmen in kritischen Sektoren. Der Leitfaden erläutert detailliert die Verantwort- lichkeiten und Pflichten, die mit damit verbunden sind. Darüber hinaus beleuchtet der Ratgeber aktuelle Fragen zur DSGVO-Compliance beim Einsatz von Cybersicherheitslösungen sowie die Sicherheitsanforderun- gen an Cloud-Dienste gemäß C5-Kriterienkatalog. Seit dem Inkrafttreten von NIS-2 und DORA am 16. Januar 2023 sehen sich viele Unternehmen mit neuen Herausforderungen im Bereich der Cyber- sicherheit und der IT-Compliance konfrontiert. Der aktualisierte Leitfaden unterstütze Unternehmen dabei, diese komplexen Regularien zu ver- stehen und die notwendigen Maßnahmen für eine rechtskonforme und sichere IT-Infrastruktur zu ergreifen, so Trend Micro. n Der Leitfaden „Cybersicherheit und IT-Compliance im Unternehmen“ von Trend Micro ist kostenlos zum Download verfügbar (Registrierung erforderlich): KOMPLETTPAKET FÜR SICHERES ULTRA MOBILES ARBEITEN AUF IOS-BASIS Mit dem neuen Sicherheitskonzept „indigo“ können Behörden und öf- fentliche Verwaltungen iPhones und iPads für die Bearbeitung von ge- heimen Informationen bis hin zur Einstufung „Verschlusssache – Nur für den Dienstgebrauch“ (VS-NfD) nutzen. Materna Virtual Solution bietet ab sofort umfassende und maßgeschneiderte Lösungen rund um indigo an – von der ersten Idee bis zum laufenden Betrieb. „iOS Native Devices in Government Operation“ (indigo) ermöglicht die sichere Nutzung von iPhones und iPads für grundlegende Kommunika- tions- und Kollaborationsfunktionen wie E-Mail, Kalender und Kontakte im VS-NfD-Bereich. Materna Virtual Solution erweitert diese Basisfunkti- onen um ein breites Spektrum an zusätzlichen zertifizierten Apps und Ser- vices, die im eigenen indigo-Kompetenz-Zentrum entwickelt wurden. Das indigo-Produktportfolio umfasst unter anderem: ƒ TrustDok: eine App für das sichere Bearbeiten von Dokumenten, die alle gängigen Funktionen wie Lesen, Erstellen, Bearbeiten, Löschen, Freigeben und lokales Speichern vereint ƒ TrustOwl: ein sicherer Intranet-Browser, der den mobilen Zugriff auf interne Ressourcen und Fachanwendungen ermöglicht ƒ TrustCam: eine Kamera-App für die sichere Aufnahme und Übertra- gung von Fotos (in Entwicklung) 8 IT-SICHERHEIT_4/2024 Darüber hinaus bietet Materna Virtual Solution in Partnerschaft mit Rhode & Schwarz sowie agilimo Consulting die Lösung „indigo-in-a-box. Diese Komplettlösung beinhaltet Hardware, Software und Server-Infrastruktur und ermöglicht eine schnelle, einfache und sichere Aktivierung der mobi- len Endgeräte. Als Apple Managed Service Provider liefere das Unterneh- men aber nicht nur die für das ultramobile Arbeiten notwendigen Anwen- dungen und Geräte, sondern auch einen umfassenden Service entlang der gesamten Wertschöpfungskette. Das Portfolio des indigo Kompetenz- Center umfasst neben der Entwicklung behördenspezifischer Anwendun- gen eine Lernplattform für den richtigen Umgang mit indigo, einen indigo Readiness Check für das Prüfen der infrastrukturellen Gegebenheiten, Ex- perten „on demand“ sowie Unterstützung und Beratung bei Konzeption, Rollout und Betrieb von indigo-Umgebungen. n VIDEOKONFERENZLÖSUNG MIT IT-SICHERHEITSKENNZEICHEN DES BSI Mit der feierlichen Übergabe am 4. Juli durch Joshu Wiebe, Referatslei- ter im Bundesamt für Sicherheit in der Informationstechnik (BSI), hat OpenTalk einen Meilenstein erreicht: Als erste Videokonferenzlösung überhaupt darf sich OpenTalk mit dem IT-Sicherheitskennzeichen des BSI schmücken. Diese Auszeichnung unterstreiche das konsequente Engagement des Unternehmens für höchste Sicherheitsstandards und Datenschutz. Die neue DIN SPEC 27008 bildet die Grundlage für das IT-Sicherheits- kennzeichen und definiert Mindestanforderungen an IT-Produkte. Dazu gehören der Schutz der Benutzerdaten, ein angemessenes Update- und Schwachstellenmanagement, zeitgemäße Anmeldeverfahren, ein si- cherer Rechenzentrumsbetrieb, aktuelle Verschlüsselungstechnologi- en sowie Transparenz und Kontrolle während der Videokonferenz. Das BSI prüft im Rahmen der Marktaufsicht über die gesamte Laufzeit des Kennzeichens anlassbezogen (stichprobenartig) und anlasslos (zum Beispiel bei Bekanntwerden von Schwachstellen), ob die Anforderungen erfüllt werden. Die OpenTalk-Lösung zeichne sich durch viele Funktionen aus, die eine si- chere und bequeme digitale Zusammenarbeit ermöglichen. Dazu zählen revisionssichere Abstimmungen, Multi-Moderatoren-Meetings, prakti- sche Breakout-Räume sowie ein umfassendes Dashboard zur Konferenz- planung. Die Lösung basiere auf einer Open-Source-Architektur und ver- eine die 30-jährige Expertise der Heinlein Gruppe im Bereich freier und sicherer elektronischer Kommunikation. n TOOL ZUR ERKENNUNG VON SCHWACHSTELLEN AUS DER SICHT EINES HACKERS KnowBe4 stellt BreachSim vor. Das kostenlose Tool ermöglicht Unter- nehmen die Identifizierung und Behebung von Netzwerk-Schwachstel- len – und zwar aus der Sichtweise von Hackern. Mit BreachSim können Unternehmen Schwachstellen aufdecken, die für konventionelle Sicher- heitsscans oft unsichtbar bleiben. Das Tool simuliert Angriffe und zeigt auf, wie Daten exfiltriert und welche Schwachstellen im Netzwerk dazu

SCHWERPUNKT: MALWARE Ransomware-Analyse HARDBIT 4.0 SCHLÜPFT MIT TARNKAPPE DURCH ANALYSEPROGRAMME Ein perfider Verwandlungskünstler unter den Erpressungsschädlingen greift jetzt in IT-Systemen um sich. Was diesen HardBit-Ransomware- Ableger so brand gefährlich macht, ist seine Tarnkappe. Mit einem ausgeklügelten Verschleierungs mechanismus für Passwörter schlüpft er unbemerkt durch die Maschen der Analyseprogramme und erschwert die Identifizierung der Schadsoftware enorm. Die HardBit-Ransomware hat sich in ihrer neuesten Version 4.0 ein dickes Fell zugelegt, wie Sicher- heitsexperten von Cybereason jetzt herausfan- den. Um die Analyse durch Malware-Jäger zu erschweren, schützt sich die Schadsoftware jetzt mit einem zusätzlichen Passwortschutz. „Die Passphrase muss während der Laufzeit eingege- ben werden, damit die Ransomware ordnungs- gemäß ausgeführt werden kann“, so die Exper- ten. „Zusätzliche Verschleierungsmechanismen erschweren darüber hinaus die Analyse.“ mit der Veröffentlichung gestohlener Daten auf einer „Datenleck-Seite“ unter Druck setzen, be- treiben die HardBit-Akteure keine solche Seite. Stattdessen verschärfen sie die Situation für ihre Opfer, indem sie mit weiteren Angriffen in naher Zukunft drohen. Die Kommunikation mit den Opfern läuft dabei über den Instant-Messaging- Dienst Tox ab. WIE DIE HARDBIT-BANDE IHRE OPFER INS VISIER NIMMT HARTE BROCKEN: DIE HARDBIT-BANDE UND IHRE DOPPELTE ERPRESSUNG Seit Oktober 2022 mischt die HardBit-Bande im Geschäft mit der Erpressungssoftware mit. Wie andere Gangster dieser Art setzen sie auf dop- pelte Erpressung, um ihre illegalen Gewinne zu maximieren. Wie genau die HardBit-Bande ihre Angriffe star- tet, ist noch unklar. Vermutet wird allerdings, dass sie Schwachstellen in RDP- und SMB- Diensten ausnutzen, um sich Zugang zu ihren Opfern zu verschaffen. Mit Werkzeugen wie Mimikatz und NLBrute stehlen sie dann Anmel- deinformationen und nutzen fortschrittliche Portscanner, um sich im Netzwerk zu bewegen. So erlangen sie Zugriff auf weitere Systeme. Was die HardBit-Gruppe von anderen unter- scheidet, ist ihre Vorgehensweise. Anders als die meisten Erpressergruppen, die ihre Opfer „Sobald ein Opfer-Host kompromittiert wurde, wird die HardBit-Ransomware ausgeführt. Diese führt eine Reihe von Schritten aus, welche die Sicherheitslage des Hosts destabilisieren, bevor die Daten des Opfers verschlüsselt werden“, so Varonis in einem technischen Bericht über Hard- Bit 2.0 im vergangenen Jahr. Für die Verschlüsselung selbst setzen die An- greifer auf bewährte Technik. Die HardBit-Ran- somware enthält den bekannten Dateiinfekti- onsvirus Neshta, der in der Vergangenheit auch für die Verbreitung der Big-Head-Ransomware verwendet wurde. HINTERLISTIGER EINDRINGLING HardBit ist raffiniert darauf ausgelegt, sich tief ins System einzuschleichen und maximale Kon- trolle zu erlangen. Zunächst schaltet es den Mi- crosoft Defender Antivirus aus, schwächt so die Abwehr des Systems und blockiert gleichzeitig die Systemwiederherstellung – ein cleverer Schachzug, um jegliche Gegenmaßnahmen zu unterbinden. Anschließend geht HardBit zur Tat über: Dateien werden verschlüsselt, wichtige Symbole und das Hintergrundbild auf dem Desktop werden verändert sowie die Daten- 10 IT-SICHERHEIT_4/2024 . m o c . e b o d a k c o t s - i i r d n A : d l i B

SCHWERPUNKT: MALWARE Defense in Depth RANSOMWARE­ANGRIFFE MIT ZERO­TRUST­ SEGMENTIERUNG EINDÄMMEN Ransomware-Angriffe sind eine große Gefahr. Die gute Nachricht ist: Sie brauchen Zeit. Die Angreifer müssen sich erst in der IT-Umgebung eines Unternehmens ausbreiten, sensible Daten finden und Zugriffsrechte sichern, bevor sie umfassend Daten verschlüsseln können. Mit Zero-Trust-Segmentierung etablieren Unterneh- men „Defense in Depth“ und verhindern so laterale Bewegungen von Cyber- angreifern sowie eine ungehinderte Ausbreitung von Ransomware. L aut dem Verizon Data Breach In- vestigations Report (DBIR) 2024 ist Ransomware nach wie vor eine zentrale Herausforderung für die IT-Sicherheit. Bei rund einem Drittel aller Sicherheitsverlet- zungen weltweit kommt Ransomware zum Einsatz. In Deutschland waren laut einer Cyber- reason Ransomware-Studie 63 Prozent der befragten Unternehmen in den letzten 24 Mo- naten von mehr als einem Ransomware-Angriff betroffen. Dazu verdeutlicht der Lagebericht des Bundesamts für Sicherheit in der Informations- technik (BSI), dass von Ransomware derzeit die größte Bedrohung ausgeht. Ransomware-Angriffe verursachen nicht nur enorme wirtschaftliche Schäden, sondern kön- nen ganze Wertschöpfungsketten nachhaltig beeinträchtigen. Wenn große Teile der IT-Infra- struktur verschlüsselt werden, sind Unterneh- men oft gezwungen, ihren gesamten Betrieb einzustellen oder ihre IT-Systeme komplett vom Netz zu nehmen. Die Folgen reichen von Pro- duktionsausfällen über Reputationsschäden bis hin zu langfristigen finanziellen Einbußen. DER ABLAUF EINES RANSOMWARE-ANGRIFFS Um Ransomware effektiv zu bekämpfen, ist es wichtig, den Ablauf eines Angriffs zu verstehen. 12 IT-SICHERHEIT_4/2024 Entgegen der landläufigen Meinung erfolgt ein Ransomware-Angriff nicht in wenigen Minuten, sondern erstreckt sich oft über Tage, Wochen oder sogar Monate. Der Prozess lässt sich in mehrere Phasen unterteilen: 1. Initiale Kompromittierung: Ransomware in- filtriert zunächst ein unzureichend geschütz- tes Asset. Dies kann ein Endpunkt, eine An- wendung oder ein Workload mit einer offenen Verbindung zum Internet sein. Diese Assets sind oft weniger abgesichert, da sie nicht als wichtig wahrgenommen werden oder ihre An- fälligkeit dem Unternehmen nicht bewusst ist. 2. Laterale Bewegung: Nach der ersten Infil- trierung erkunden Angreifer das Netzwerk und bewegen sich dabei seitlich durch dieses. Sie nutzen verschiedene Techniken, um unent- deckt zu bleiben und sich Zugang zu wichtigen Systemen und Netzwerken zu verschaffen. 3. Datenexfiltration: In dieser Phase sammeln die Cyberangreifer sensible Daten, die später als zusätzliches Druckmittel verwendet wer- den können. 4. Eskalation von Privilegien: Die Angreifer versuchen, Administratorrechte oder andere privilegierte Zugänge zu erlangen, um weit- reichenden Zugriff auf Systeme zu erhalten. 5. Verschlüsselung: Sobald die Angreifer genü- gend Kontrolle über die Systeme haben, be- ginnen sie mit der Verschlüsselung wichtiger Daten und Systeme. 6. Erpressung: Abschließend fordern die Cyber- kriminellen ein Lösegeld für die Entschlüsse- lung der Daten und drohen oft mit der Veröf- fentlichung sensibler Informationen. GRENZEN KONVEN- TIONELLER SICHERHEITS- LÖSUNGEN Viele Unternehmen verlassen sich beim Schutz ihrer Assets auf etablierte Sicherheitslösungen wie Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR) sowie Netzwerk-Monitoring- und Observability- Tools, um Angriffe zu erkennen und abzuweh- ren. Diese Lösungen sind wichtige Bestandteile einer umfassenden Sicherheitsstrategie und decken die Funktionen „Erkennen (Detect)“ und „Reagieren (Respond)“ des NIST Cybersecurity Frameworks ab. Das Framework ist ein ganz- heitlicher Ansatz aus Anleitungen, Richtlinien und Best Practices für Organisationen zur Ver- besserung des Risikomanagements für Informa- tionssicherheit, der von der US-amerikanischen Bundesbehörde National Institute of Standards . m o c . e b o d a k c o t s - k c o t S e r a R z D : d l i B

– ADVERTORIAL – PCert® – Bereit für Post-Quantum Migration? Ein durch Zertifikate verursachter Ausfall kostet Unternehmen circa drei bis fünf Millionen US-Dollar, sie treten drei bis fünf Mal pro Jahr auf. Stellen Sie sich vor, Sie könnten einen davon verhindern! Oder alle? Verstößt Ihr Unternehmen gegen Compliance-Anforderungen? Möchten Sie dies überprüfen? 2035 ist Ihre heutige Kryptografie ob­ solet. Wie bereiten Sie sich darauf vor? Die Enterprise Plattform PCert® von Data-Warehouse ist die Lösung: Die Anforderungen durch NIS-2 (DORA, SOX, FedRAMP), existierende, bis- her unbekannte Abhängigkeiten in digitalen Kernsystemen aufzudecken und zu managen, ist die umfassende Herausforderung und Verantwor- tung der C-Suites von heute. Ohne automatisierte Methoden wie PCert® mit mehr als zehn Jahren Produkterfahrung ist dies nicht möglich. Wir unterstützen Ihr Unternehmen, Ihre Zulieferer und Kunden beim Auf- bau eines kryptografischen Inventars, das es Ihnen ermöglicht, mit einer transparenten und minimal-invasiven Integration die nächste Sicherheits- stufe zu erreichen und Ihre bestehende Produkt- und Netzwerkstruktur mit Automatisierung und neuen Funktionen zu erweitern: Auffinden der Assets, Migration zu Post-Quantum, Krypto-Agilität, Auditierung Ihrer Un- ternehmenssicherheit, Identifizierung von Risiken in Produkten und Lie- ferketten, CBOM und SBOM, Sicherstellung der Produktkonformität und Automatisierung Ihrer Verwaltungsprozesse – zum Beispiel Handhabung von Zertifikaten oder Sicherung Ihrer Betriebs- und Geschäftskontinui- tät – sowie Reduzierung der Arbeitsbelastung Ihrer Verwaltungsteams, unabhängig von Ihrem Geschäftszweck, dem Alter Ihrer Infrastruktur und deren Betriebskonzept. Zweifel? Das NCCOE Lab von NIST und MITRE setzen PCert® bereits ein und nutzen die Erkenntnisse, um die neuen Standards für Post- Quantum Migration und Att&ck® zu definieren. . m o c . e b o d a k c o t s - n a g o r 2 : d l i B Ihre Verantwortung und Herausforderung: Beseitigen Sie Ihre kryptografischen Silos, er- stellen Sie Ihr kryptografisches Inventar und untersuchen Sie Ihre Software-Lieferketten. Der ganzheitliche Ansatz von PCert® ermöglicht die Untersuchung, Ent- deckung, Bewertung, Automatisierung der Verwaltung eines sehr breiten Spektrums von IT-Vertrauensbeziehungen, unabhängig davon, ob es sich um Webdienste, Produkte oder Geräte handelt. Der Ansatz von PCert® besteht darin, jedes Zertifikat, jeden Schlüssel und jeden Schlüsselspeicher in jedem Gerät zu identifizieren, um Schwachstellen und menschliche oder systematische Fehler zu erkennen, Infrastruktur-, Programm- und Produktprobleme zu vermeiden und den Übergang zu neuen Technolo- gien (beispielsweise Post-Quantum-Technologien) vorzubereiten oder durchzuführen. Die Vorteile von PCert® sind nicht nur die vollständige Transparenz Ihrer technischen Umgebung und Ihrer Public Key Infrastruc- ture (PKI), sondern auch die Verbesserung Ihrer Cybersicherheit sowie die Einbeziehung Ihrer Lieferkette und der Nachweis der Einhaltung verschie- dener Standards mit reduziertem Aufwand. Ihre Verantwortung und Herausforderung: Integrieren Sie die neuen Compliance-Anfor- derungen in Ihre Unternehmensführung PCert® ermöglicht mit seinen flexiblen APIs und Agenten eine nahtlose Integration und einen optimalen Informationsaustausch in der Infrastruk- tur des Kunden, unabhängig vom Schnittstellentyp wie XML, JSON, REST, CSV mit maximalem Nutzen innerhalb Ihrer Prozesse und unterstützt SIEM, SOC, ITIL-Prozesse – unabhängig davon, ob On Premises, Cloud oder Hybrid. n Sprechen Sie mit uns, um Ihre Strategie zu optimieren. PCert®-Testmöglichkeit für US-Unternehmen/Behörden im Post-Quantum Migration Lab bei Data-Warehouse GmbH Beethovenstraße 33–35 85521 Ottobrunn E-Mail: info@dwh.gmbh www.dwh.info 14 IT-SICHERHEIT_4/2024

CYBERSICHERHEIT | OT-SICHERHEIT dass die Dokumente selbst einen Angreifer nicht abwehren. Nur weil man auf mehreren hundert Seiten beschreibt, wie der Soll-Zustand aussehen müsste, ist man noch kein bisschen sicherer geworden. Entscheidend ist hier, dass Policies, Procedures und Guidelines nicht nur erstellt, sondern auch im Unternehmen kom- muniziert, implementiert und gegebenenfalls trainiert werden. Beispiel 2: „Tool xyz sieht super aus und wird dafür sorgen, dass wir sicher sind!“ Das ist leider ein Klassiker, dem man immer wie- der über den Weg läuft. Seien es vollmundige Werbeprospekte voller Buzzwords bestenfalls noch in Kombination mit KI oder die Verspre- chungen, dass man unbedingt ein Tool benötigt, um automatisiert compliant und sicher zu wer- den. Klingt erstmal verlockend, aber ist wirklich klar, welche Herausforderung das Tool lösen soll oder müssen die passenden Herausforderungen für das Tool erst noch entdeckt werden? Beispielsweise macht es wenig Sinn, aufwendig Network-Intrusion-Detection-Systeme auszu- rollen, wenn die Schalt- und Serverräume sowie die zugehörigen Gebäude nicht grundlegend abgeschlossen/abgesichert sind und auch die Racks selbst keine Schließung aufweisen, da hier leicht eine physische Manipulation vorgenom- men werden kann, die ein solches System dann nicht erkennt. Es ist wichtig, nicht direkt mit der Auswahl von Tools zu beginnen, sondern sich zunächst Ge- danken über die zu lösenden Herausforderungen zu machen. Darauf aufbauend können kom- pakte Anforderungen an eine Lösung erarbeitet werden und erst dann sollte damit begonnen werden, mögliche Tools neutral gegen diese An- forderungen zu evaluieren. Klassisches Require- ments Engineering also. Andernfalls läuft man Gefahr, eine Lösung für ein nicht vorhandenes/ nicht relevantes Problem zu beschaffen oder nur einen Teil der eigentlichen Herausforderungen abzudecken. Beispiel 3: „Wir haben eine high- end technische Absicherung, wir sind sicher!“ Das ist schon einmal sehr gut! Wichtig ist hier- bei, nicht zu vergessen, dass Sicherheit drei Dimensionen hat: Menschen, Prozesse und 16 IT-SICHERHEIT_4/2024 Netzwerk, aber es gibt diverse Schnittstellen, über die sich ein Angreifer Zugriff verschaffen könnte. Sei es über einen infizierten USB-Daten-träger oder auch über das Erstellen eines zusätz-lichen Ports auf einem Netzwerkkabel. Sobald ein unbefugter Zugriff auf das System oder Teile des Systems nicht ausgeschlossen werden kann oder sobald ein Datentransfer mit externen Systemen erfolgt, kann man nicht mehr von einer Sicherheit durch Isolation aus-gehen. Darüber hinaus gibt es noch verschiede-ne Untersuchungen zu Side-Channel-Attacks, die nach einer initialen Kompromittierung des Systems auch zur Kommunikation mit Syste-men außerhalb des isolierten Netzes genutzt werden können.OFFENSIVE SECURITY ZUR VERBESSERUNG DER ABSICHERUNG?Typischerweise verfügen Unternehmen über Teams, die auf der Basis von Frameworks die Absicherung des Betriebs vornehmen. Durch die reine Fokussierung auf den defensiven Aspekt kann jedoch schnell eine Lücke zur Realität ent-stehen, da man die „dunkle“ Seite nicht kennt beziehungsweise individuelle Schwachstellen übersieht. Einige Beispiele wurden bereits vor-gestellt.Um das zu verbessern, bietet es sich an, mindes-tens einen Experten für Offensive Security / Red Teaming im Sicherheitsteam zu haben. Speziell im OT-Umfeld kann es zusätzlich hilfreich sein, wenn diese Person einen Hang zum Thema phy-sische Sicherheit hat. Alternativ kann man auch unterstützend einen Experten aus dem Bereich Objektschutz hinzuziehen. So kann das Team bestehend aus offensiven und defensiven Exper-ten das Unternehmen oder einzelne Standorte mit dem Blick eines Angreifers betrachten. Die Offensivexperten entwerfen Pläne, wie man die existierenden Maßnahmen überwinden kann, auf deren Grundlage können anschließend die Schutzmaßnahmen optimiert werden.In der praktischen Umsetzung empfiehlt es sich, die Standorte regelmäßigen Bewertungen durch das (erweiterte) Sicherheitsteam zu unterzie-hen, um zu analysieren, wie gut die definierten Maßnahmen umgesetzt werden und welche Schwachstellen gegebenenfalls vorhanden sind und behoben werden müssen. Auch können durch die regelmäßigen Prüfungen etwaige Technologie. Diese müssen nicht alle auf dem gleichen Niveau sein, aber es sollte zumindest sichergestellt sein, dass keine der Dimensionen übersehen wird. Sonst kann es passieren, dass beispielsweise ein Mitarbeiter im Rahmen von Social Engineering Informationen verrät, die zur Kompromittierung von Systemen führen.Beispiel 4: „Wir haben unser ak-tuelles Security-Programm abge-schlossen, wir sind jetzt sicher!“Zumindest zum Zeitpunkt des Abschlusses ist man sicher, aber sobald Unternehmen meinen, man könne sich nun entspannt zurücklehnen, ist der sichere Zustand sehr schnell wieder dahin, da unter anderem Schwachstellen regelmäßig bearbeitet werden müssen. Treffend ist hier auch die Aussage von Bruce Schneier: „Security is a process, not a product“.Beispiel 5: „Wir brauchen kein führendes Tool, unser System/Netz ist so einfach, das Tool bau-en wir uns selbst und dann sind wir sicher!“Es mag verlockend klingen, wenn ein findiger Mitarbeiter auf die Idee kommt, dass man eine Log-Analyse mit Python auch selbst entwickeln kann und sich in diesem Fall die Ressourcen für eine Security-Information-and-Event-Manage-ment-(SIEM)-Software sparen kann. Letztend-lich steckt der Teufel aber wieder im Detail und nicht umsonst beschäftigen Unternehmen wie SPLUNK ein entsprechend großes Entwickler-team. Aus Angreifersicht hat die eigenentwi-ckelte Lösung jedenfalls einen Vorteil: Sie durch-läuft vermutlich keine entsprechend strengen Tests wie kommerzielle Software und kann da-her eventuell sogar als Ausgangspunkt für den einen oder anderen Angriff nützlich sein. Beispiel 6: „Unsere Systeme sind komplett isoliert! Wir können nicht angegriffen werden und sind sicher!“Kann man ein System vollständig isolieren, um Sicherheit zu gewährleisten? In der Theorie mag das möglich sein, wenn man die Kabelverbin-dungen anschließend einbetoniert und jegliche Ports des Systems mit Heißkleber unbrauchbar macht und noch dazu sicherstellt, dass Periphe-riegeräte nicht gewechselt werden können. An-sonsten ist das System zwar in einem isolierten

RECHT | ISMS Schlüssel zur Erfüllung neuer IT-Sicherheitsanforderungen WARUM UNTERNEHMEN EIN ISMS BRAUCHEN I n den letzten Jahren haben zahlreiche neue gesetz- liche Regelungen zur IT-Sicherheit Organisationen vor erhebliche Herausforderungen gestellt. Diese Gesetze fordern umfassende Maßnahmen zur Sicherung ihrer IT-Infrastruktur und Daten. Angesichts der wach- senden Anforderungen bietet sich die Einführung eines Informationssicherheits-Managementsystems (ISMS) an. Ein ISMS hilft nicht nur dabei, die gesetzlichen Vor- gaben zu erfüllen, sondern trägt auch zur Verbesserung der allgemeinen Sicherheitslage eines Unternehmens bei. Im Folgenden werden einige der wichtigsten Gesetze zur IT-Sicherheit vorgestellt: NEUE GESETZLICHE REGELUNGEN ZUR IT-SICHERHEIT ƒ Network Information Security Directive (NIS-2): Die NIS-2-Richtlinie muss bis zum 17. Oktober 2024 von den nationalen Gesetzgebern der EU-Mit- gliedstaaten umgesetzt werden. Sie erweitert den Anwendungsbereich der ursprünglichen NIS-Richt- linie von 2016 und legt strengere Sicherheitsanfor- derungen für Betreiber wesentlicher und Anbieter digitaler Dienste fest. Betroffene Unternehmen müssen angemessene technische und organisato- rische Maßnahmen ergreifen, um ihre Netzwerke und Informationssicherheitssysteme zu schützen. Die NIS-2-Richtlinie umfasst zudem auch erweiter- te Meldepflichten bei Sicherheitsvorfällen sowie strengere Sanktionen bei Verstößen. ƒ Digital Operational Resilience Act (DORA): Der Digital Operational Resilience Act konzentriert sich auf die Stärkung der operationellen Resili- enz im Finanzsektor. Finanzunternehmen werden verpflichtet, robuste Systeme und Prozesse zu im- plementieren, um sicherzustellen, dass sie gegen- über Cyberangriffen und anderen IT-bezogenen Störungen widerstandsfähiger sind. Dies umfasst regelmäßige Tests und Bewertungen der IT-Sicher- heitsmaßnahmen sowie die Erstellung von Notfall- plänen und Krisenübungen. Die in der Verordnung niedergelegten Pflichten treffen die betroffenen Stellen ab dem 17. Januar 2025. ƒ Critical Entities Resilience Directive (CER-Richt- linie): Die CER-Richtlinie, die parallel zur NIS-2- Richtlinie im Januar 2023 in Kraft trat und durch die Bundesregierung bis Oktober 2024 umgesetzt werden muss, richtet sich an die Betreiber kriti- scher Infrastrukturen. Sie verlangt von diesen Un- ternehmen, umfassende Risikoanalysen durchzu- führen und geeignete Sicherheitsmaßnahmen zu implementieren, um ihre Widerstandsfähigkeit 18 18 IT-SICHERHEIT_4/2024 IT-SICHERHEIT_4/2024 Die Implementierung eines Informationssicherheits-Managementsystems (ISMS) ist für viele Unternehmen heute unerlässlich, um die zahlreichen neuen Gesetze im Bereich der Cybersicherheit zu erfüllen. Unser Autor gibt einen kurzen Überblick über die gesetz-lichen Anforderungen und beschreibt die wichtigsten Vorteile eines ISMS.

RECHT | ISMS Durch klar definierte Prozesse und Verantwortlichkeiten können die Verantwortlichen schneller und effizienter auf Vorfälle reagieren und so den möglichen Schaden minimieren. Ein ISMS stellt sicher, dass alle Beteiligten wissen, welche Schritte im Fall eines Sicherheitsvorfalls zu unternehmen sind und dass notwendige Maßnahmen sofort eingeleitet werden können, um die Auswirkungen auf das Unternehmen so gering wie möglich zu halten. Dies kann gegenüber Kunden, Geschäftspartnern und Aufsichtsbehörden dokumentiert werden: Eine Zertifi- zierung nach ISO/IEC 27001 oder SOC 2 schafft Vertrau- en, weil Unternehmen damit nachweisen, dass sie hohe Sicherheitsstandards einhalten und der Informationssi- cherheit Priorität einräumen. Besonders im öffentlichen Sektor sind ISMS-Zertifizierungen oft eine Vorausset- zung für die Teilnahme an Ausschreibungen. Unterneh- men, die eine solche Zertifizierung vorweisen können, haben somit bessere Chancen, neue Aufträge zu gewin- nen und sich von der Konkurrenz abzuheben. Nicht zuletzt erhöht ein ISMS das Sicherheitsbewusstsein innerhalb der Organisation, indem es eine Kultur fördert, die dazu beiträgt, die Wahrscheinlichkeit menschlicher Fehler, die häufig die Ursache von Sicherheitsvorfällen sind, zu verringern. Wenn alle Mitarbeiterinnen und Mit- arbeiter ein tiefes Verständnis für Sicherheitspraktiken entwickeln und diese konsequent anwenden, sinkt das Risiko von Sicherheitslücken erheblich. Schließlich erleichtert ein zertifiziertes ISMS die Durch- führung interner und externer Audits, da die Prozesse und Dokumentationen klar definiert sind und die Unter- nehmen so Zeit und Ressourcen besser nutzen können. WESENTLICHE SCHRITTE ZUR EINFÜHRUNG EINES ISMS Bei der Einführung eines ISMS ist ein strukturiertes und systematisches Vorgehen unerlässlich. Die einzelnen Schritte dabei sind: ƒ Initiierung und Planung: Festlegung der Ziele und des Umfangs des ISMS, Ernennung eines ISMS- Teams und Entwicklung einer ISMS-Politik ƒ Risikobewertung und -behandlung: Durchführung einer umfassenden Risikobewertung zur Identifika- tion potenzieller Bedrohungen und Schwachstellen; Entwicklung und Implementierung von Maßnah- men zur Risikobehandlung ƒ Implementierung der Kontrollen: Umsetzung der identifizierten Sicherheitsmaßnahmen und Schu- lung der Mitarbeiter. Unternehmen sollten sicher- stellen, dass sie geeignete technische und organi- satorische Maßnahmen implementieren, um ihre Informationssicherheit zu verbessern. ƒ Überwachung und Bewertung: kontinuierliche Überwachung der Wirksamkeit des ISMS und Durchführung regelmäßiger interner Audits ƒ Zertifizierung: Vorbereitung auf das externe Audit und Durchführung durch eine anerkannte Zertifi- zierungsstelle ƒ Pflege und kontinuierliche Verbesserung des ISMS unter Anwendung des sogenannten Plan- Do-Check-Act-(PDCA)-Ansatzes FAZIT Die Implementierung eines ISMS und dessen Zertifi- zierung nach international anerkannten Standards ist für Unternehmen in der heutigen digitalen Welt nahezu unverzichtbar. Ein ISMS bietet einen systematischen Ansatz, um Informationssicherheitsrisiken zu managen und gesetzliche Anforderungen zu erfüllen. Es schafft Vertrauen bei Kunden und Geschäftspartnern, erleich- tert Audits und verbessert die Erfolgsaussichten bei Aus- schreibungen. Die Einführung eines zertifizierten ISMS bietet die Chance, die Informationssicherheitsstrategie eines Unternehmens auf ein solides Fundament zu stel- len, besonders vor dem Hintergrund der zunehmenden Bedeutung von Cybersecurity und neuer gesetzlicher Anforderungen. Um die so erreichte Cybersicherheit der Systeme auch langfristig zu gewährleisten, ist eine kon- tinuierliche Verbesserung und Anpassung des ISMS an neue Bedrohungen und technologische Entwicklungen entscheidend. n DR. JAN SCHARFENBERG, LL.M. (Stellenbosch) ist als Rechtsanwalt bei der Kanzlei Schür- mann Rosenthal Dreyer im Bereich Daten- schutz- und Informationssicherheitsrecht tätig. Daneben arbeitet er als Director für den Bereich Informations sicherheit bei der ISiCO Datenschutz GmbH. Dr. Jan Scharfenberg verfügt über mehr als 15 Jahre Erfahrung im Bereich Regulatory und Corporate Compliance, mit Stationen in einer renommierten internationalen Großkanzlei und als Rechts- und Compliance- abteilungsleiter in einem Gesundheits-Start-ups eines internatio- nalen Versicherungskonzerns. www.srd-rechtsanwaelte.de 20 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | ISMS UND KI RAGs für die Informationssicherheit EFFIZIENTERES ISMS DURCH KI (1) 22 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | ISMS UND KI Abbildung 1: Prototyp eines Chatbots für das Überprüfen von Unternehmensrichtlinien. Mehr dazu unter www.advisori.de/news-projekte/advisori-chatbot (Bild: ADVISORI FTC GmbH) ƒ Generatives Sprachmodell: Diese Kompo- nente nutzt die vom Retrieval-Modell abge- rufenen Informationen, um mithilfe eines Sprachmodells (zum Beispiel ChatGPT, Gemini oder Llama et cetera) eine benutzerspezifi- sche Antwort zu generieren. Das generative Sprachmodell nutzt zusätzlich die ursprünglich im Training erworbenen Fähig- keiten und kombiniert diese mit externem do- mänenspezifischem Wissen aus der Wissensda- tenbank. Daten für so eine Wissensdatenbank können vielfältig sein, darunter unternehmens- spezifische Quellen wie Wikis, Intranet-Seiten, Datenbanken, das SharePoint sowie Informa- tionen aus Kundensupport-Tickets und deren Lösungen. Für den Benutzer bedeutet dies, dass er seine Suche direkt in das Suchfeld eingeben kann und anschließend interaktiv, ähnlich wie bei ChatGPT, mit den Dokumenten kommuni- ziert, anstatt relevante Informationen mühsam über Stichwortsuchen oder Keywords herauszu- filtern. RAGs können aber auch effektiv zur kon- tinuierlichen Überprüfung von Informationen eingesetzt werden, indem sie automatisch prü- fen, ob beispielsweise Unternehmensrichtlinien den aktuellen Standards entsprechen oder ob Anpassungen erforderlich sind. Die Funktions- weise des RAG-Chatbots im Rahmen des ISMS wird im Folgenden Schritt für Schritt anhand eines Beispiels demonstriert (siehe dazu auch Abbildung 2). sentationen ermöglichen folglich, die Bedeu- tung von Wörtern basierend auf ihrer Verwen- dung im Kontext zu erfassen. Schritt 1: Anfrage eines Benutzers Schritt 3 (Retrieval-Modell): Auf- bau einer Wissensdatenbank Ein User (1) stellt eine Anfrage an das System, die wie folgt lauten kann: „Wie sieht die Richtlinie zum Patchmanagement aus?“ Schritt 2: Umwandlung der Benutzer anfrage in Vektoren Bevor das Retrieval-Modell nach relevanten In- formationen suchen kann, wird die Anfrage des Benutzers tokenisiert (2) und in einen Vektor umgewandelt (3). Beim Tokenisieren werden Textinhalte in ihre Grundbestandteile, soge- nannte Tokens, zerlegt. Diese Tokens beste- hen aus einzelnen Wörtern, Satzzeichen oder anderen bedeutungstragenden Einheiten. Diese Tokens werden durch ein Embedding-Modell in Vektoren umgewandelt. Dabei erhält jedes Wort eine numerische Repräsentation in einem multidimensionalen Raum. Das Modell ordnet ähnlichen Wörtern ähnliche Vektoren zu, wo- durch semantische Beziehungen zwischen den Wörtern abgebildet werden. Diese Vektorreprä- Für die Wissensdatenbank werden Unterneh- mensrichtlinien, branchenspezifische Vorschriften und Regularien aus unterschiedlichen Quellen (zum Beispiel Sharepoint, Google Drive et cetera) ebenfalls zunächst tokenisiert (4) und in Vektoren (5) umgewandelt. Die durch das Embedding- Modell generierten Vektoren werden in einer Vek- tordatenbank (6) gespeichert, wodurch der Inhalt der Dokumente semantisch repräsentiert wird. Diese Speicherung ermöglicht eine effiziente Su- che und Analyse, da die Vektoren die Bedeutung der Dokumente erfassen und deren inhaltliche Beziehungen abbilden. So können ähnliche Do- kumente und Informationen schnell identifiziert und abgerufen werden, was die Nutzung der Wissensdatenbank optimiert. Es ist wichtig, dass für alle Text-zu-Vektor-Umwandlungsschritte ein einheitliches Embedding-Modell verwendet wird, da sonst die Kontextrepräsentationen der unterschiedlichen Modelle variieren würden. Dies könnte zu Inkonsistenzen bei der semantischen Analyse und bei den Suchergebnissen führen. 24 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | ISMS UND KI grieren. Jede Wissensquelle lässt sich in den Prozess einbinden. Dadurch liefern sie stets aktuelle und präzise Antworten. ƒ Transparenz: Da RAG-Systeme in der Lage sind, die Herkunft der abgerufenen Informa- tionen zu dokumentieren und die verwende- ten Quellen zu zitieren, ermöglichen sie eine Überprüfung der generierten Antwort. Die Neigung der Sprachmodelle zur Halluzination wird dadurch verringert. ƒ Zugriffssteuerung: Eine rollenbasierte Zu- griffskontrolle kann auf Dokumentenebene implementiert werden, um den Zugriff auf Daten zu steuern und den Zugriff nur autori- sierten Personen zu erlauben. ƒ Zeitersparnis durch Automatisierung: Es ist nicht notwendig, Informationen manuell oder durch Stichwort- oder Schlagwortsuche zu suchen. Das System kann die Suche und In- tegration der relevanten Daten übernehmen, um effizient und schnell relevante Informatio- nen abzurufen. ƒ Verbesserte Benutzererfahrung: RAG-Syste- me sind in der Lage, Antworten zu generie- ren, die auf den spezifischen Kontext und die Bedürfnisse des Benutzers abgestimmt sind, was die Benutzerzufriedenheit erhöht. Dies bedeutet, dass neben dem „Was“ auch das „Wie“ der bereitgestellten Informationen be- stimmt werden kann – auch mehrsprachig. DIE ROLLE DES PROMPT- ENGINEERINGS Damit Sprachmodelle präzise und kontextbezo- gene Antworten generieren, spielt das Prompt- Engineering eine entscheidende Rolle. Dabei wird der Eingabeprompt so gestaltet und klar definiert, dass das Sprachmodell genau auf die Anfrage eines Benutzers antworten kann. Da das Prompting einen wesentlichen Einfluss auf die Qualität der abgerufenen Informationen und der generierten Antworten hat, spielt dieser Prozess insbesondere bei automatisierten RAGs eine entscheidende Rolle. Ein gut durchdachter und präziser Prompt kann den Unterschied zwischen einer allgemeinen und einer sehr spezifischen Antwort ausmachen. nissen. Dies bedeutet, dass der Benutzer den Prompt anpassen und umformulieren muss, um bessere und genauere Ergebnisse zu erhalten. Das ist besonders wichtig bei komplexen Abfra- gen, bei denen verschiedene Aspekte und Details berücksichtigt werden müssen. Beispielsweise kann ein Benutzer statt „Wie sieht die Richtli- nie zum Patchmanagement aus?“ den Prompt wie folgt anpassen, um vom Sprachmodell eine präzisere Antwort zu erhalten: „Bitte erläutere die aktuellen Richtlinien und Best Practices zum Patchmanagement, insbesondere in Bezug auf die neuesten Updates und Änderungen. Welche Schritte sind in der Implementierung und Über- wachung besonders wichtig?“ WIE WERDEN RAGS DIE ZUKUNFT PRÄGEN? Im Bereich des Wissensmanagements eröff- nen Retrieval-Augmented-Generative-Systeme beeindruckende Möglichkeiten. Im ISMS stellen sie eine dynamische Lösung dar, um Sicherheits- richtlinien und -standards effektiv zu verwal- ten. RAGs zeichnen sich durch ihre Fähigkeit aus, aktuelle Informationen effizient abzurufen und zu verarbeiten, wodurch sie die Limitatio- nen rein generativer Chatbots überwinden. Im Vergleich zum Fine-Tuning von Modellen sind sie ressourcenschonender und flexibler, während sie gleichzeitig eine höhere Transparenz bieten. Dies geschieht durch die Dokumentation der Herkunft von Informationen sowie der Angabe der genutzten Quellen. Durch ihre vielseitige Anwendbarkeit werden RAGs nicht nur die Zukunft der IT-Sicherheit maßgeblich beeinflussen, sondern werden auch universell und branchenunabhängig eingesetzt werden, um einen effizienten Zugriff auf Wissen zu ermöglichen und Mitarbeitern gezielt rele- vante Informationen bereitzustellen. In unserem nächsten Artikel in Ausgabe 5 der IT-SICHERHEIT werden wir genauer darauf eingehen, wie sich RAGs effektiv im IT-Ticketsystem einsetzen lassen. Beispielsweise können diese automati- siert Ähnlichkeiten und Muster zwischen Tickets identifizieren, wodurch häufige Probleme er- kannt und deren Lösungen standardisiert werden können. Das verbessert nicht nur die Effizienz der Problemlösung, sondern ermöglicht auch eine proaktive Wartung, indem wiederkehrende Pro- bleme schneller erkannt und behoben werden. Oftmals ist es notwendig, den Prompt iterativ zu verfeinern, basierend auf den ersten Ergeb- Die kontinuierliche Weiterentwicklung und Op- timierung der RAG-Technik wird dazu führen, 26 IT-SICHERHEIT_4/2024 dass sie ihre Fähigkeiten zur Wissensverarbei- tung und -integration weiter ausbauen werden, beispielsweise durch die Berücksichtigung von nutzerspezifischem Wissen. Darüber hinaus werden Weiterentwicklungen wie autonome KI-Agenten und multimodale Chatbots, die neue Möglichkeiten eröffnen und die Fähigkeiten von Chatbots erweitern werden. KI-Techniken wie das „verstärkende Lernen“ (Reinforcement Learning) werden RAGs unterstützen, wodurch vielseitige und kontextbezogene Systeme ent- stehen, die komplexere Aufgaben lösen können, um den Nutzen dieser Systeme zu erhöhen. n ASAN STEFANSKI ist Director des Bereiches Digital Transformation bei der ADVISORI FTC GmbH. Er verfügt außerdem über langjährige Erfahrung als Teamleiter im Bereich Software Engineering. INNA VOGEL ist Senior Consultant im Bereich Digital Transformation bei der ADVISORI FTC GmbH. Vorher hat sie mehrere Jahre an einem renommierten Institut im Bereich maschinelles Lernen und Sprach- technologie geforscht.

SECURITY MANAGEMENT | OUTSOURCING Durch die Auslagerung von IT-Aufgaben an externe Dienstleister können Unter- nehmen Kosten sparen, die Effizienz steigern und die Sicherheit erhöhen. Managed Services versprechen Skalierbarkeit, Flexibilität und Konzentration auf das Kern- geschäft. Doch was leisten Managed Services und wo liegen die Unterschiede zum klassischen Outsourcing? Das Schreckgespenst Fachkräfte- mangel geht um. Die Generati- on der Babyboomer, die einen Großteil der heute in Deutschland Beschäftigten ausmacht, wird bald das Rentenalter erreichen. Dazu kommen noch etliche Herausforderungen durch Hybrid-Work, künstliche Intelligenz (KI), Cloud-Migrationen, ein halbes Dutzend neuer Compliance-Richtlinien und neue Bedrohun- gen, die dafür sorgen, dass Firmen verschie- denster Branchen die Fachkräfte ausgehen. Laut Branchenverband Bitkom sind derzeit rund 149.000 Stellen für IT-Experten unbesetzt. „Zu wenige Fachkräfte und zu viel Regulierung bremsen das digitale Deutschland“, mahnt in diesem Zusammenhang Bitkom-Präsident Dr. Ralf Wintergerst. Unternehmen, denen Mitarbeiter fehlen, müssen deshalb dringend handeln. Eine Option, mangelndes Wissen und fehlende Manpower in den eigenen Reihen ab- zufedern, sind Managed Services. DAS KÖNNEN MANAGED SERVICES Doch was sind Managed Services genau? Unter Managed Services versteht man die Auslagerung bestimmter IT-Funktionen, wiederkehrender IT-Dienstleistungen und -Prozesse, an einen ex- ternen Dienstleister. Dieser nennt sich Managed Services Provider, kurz MSP. Derartige Services werden in der Regel aus der Ferne erbracht und verwaltet, sodass Unternehmen die Verantwor- tung für bestimmte Aspekte ihres IT-Betriebs an externe Experten abgeben können. Es gibt aber auch die Option, firmeneigene Räume zur Verfü- gung zu stellen. Managed Services können eine breite Palet- te von IT-Funktionen abdecken. Beispiele sind Infrastrukturmanagement, Netzwerküberwa- 28 IT-SICHERHEIT_4/2024 chung, Sicherheitsmaßnahmen, Datensicherung und -wiederherstellung, Anwendungs-Hosting und technischer Support. Unternehmen nutzen so kostengünstig und effizient externes Fach- wissen, verbessern die eigenen IT-Fähigkeiten und optimieren ihre Performance. Das ist aber noch nicht alles, denn Managed Services helfen auch, die Belastung zu verringern, die durch die interne Verwaltung komplexer IT-Umgebungen aufkommen kann. Zusammengefasst haben Managed Services fol- gende Vorteile: ƒ Planbare Kosten: Managed Services werden zumeist als Abonnement angeboten, sodass Unternehmen IT-Ausgaben besser vorher- sagen und budgetieren können. Statt hoher Vorlaufkosten für IT und Personal zahlen sie eine wiederkehrende Gebühr – sie bezahlen zudem nur für die Leistungen, die wirklich be- nötigt werden. ƒ Verbesserte Sicherheit und Compliance: MSP sind von Haus aus auf „Compliance“ ge- trimmt und schützen sensible Daten und Sys- teme vor Cyberbedrohungen und Compliance- Brüchen. ƒ Konzentration aufs Kerngeschäft: Durch die Auslagerung von IT-Routineaufgaben und -Verantwortlichkeiten an einen MSP können Unternehmen ihre IT-Teams einfach mal durchatmen lassen und sich auf ihr Kernge- schäft konzentrieren, Innovationen angehen und schlicht produktiver arbeiten. ƒ Proaktive Überwachung und Wartung: MSP überwachen die Leistung und den Zu- stand von IT-Systemen und -Infrastrukturen kontinuierlich – je nach Modell entweder zu bestimmten Zeiten (9 to 5) oder 24/7. Sie ent- decken Schwachstellen proaktiv und minimie- ren Ausfälle im Betrieb. ƒ Experten-Know-how: MSP beschäfti- gen Teams qualifizierter Experten, die über Fachwissen in verschiedenen IT-Bereichen verfügen, darunter Netzwerke, Cybersicher- heit, Cloud Computing und Anwendungsent- wicklung – Wissen, dass sich intern nur teuer durch Trainings und Recruiting von Experten erkaufen lässt. ƒ Flexibilität: Managed Services sind so konzi- piert, dass sie ganz einfach mit dem Betrieb skalieren. Egal, ob der Betrieb ausgeweitet wird, neue Nutzer hinzukommen oder neue Technologien eingeführt werden: Unterneh- men können ihre Managed Services jederzeit problemlos erweitern. MANAGED SERVICES VS. OUTSOURCING Die Auslagerung von IT-Aufgaben ist beliebt: Der Umsatz im IT-Outsourcing-Markt soll 2024 bei rund 147,6 Milliarden Euro liegen. Doch wie unterscheiden sich Managed Services vom klassischen Outsourcing? Eins vorweg: Auch Managed Services werden ausgelagert – hier gibt es also begriffliche Überschneidungen: Bei Managed Services übernimmt der Dienstleister die Verantwortung für bestimmte Aufgaben und Dienstleistungen, oft mit einem höheren Maß an Autonomie. Der Kunde konzentriert sich auf sein Kerngeschäft, während der Dienstleister die Verwaltung und Wartung der Dienstleistungen übernimmt. Beim klassischen Outsourcing werden hingegen bestimmte Geschäftsprozesse oder Funktionen

SECURITY MANAGEMENT | OUTSOURCING Die Pflicht zur Prüfung von Dienstleistern WARUM ZERTI FIZIERUNGEN ALLEIN NICHT AUSREICHEN Die Cyberangriffe der letzten Monate haben gezeigt, dass auch Schwachstellen in Prozessen und Anwendungen von Dienstleistern ein Risiko für die Sicherheit von Organisationen darstellen. Insofern erscheint es nur logisch, dass bereits vor der Auslagerung von (Teil-)Prozessen betreffende Dienstleister überprüft werden müssen. Zur Wahrheit gehört aber auch, dass derartige Prüfungen in der Praxis oft nur unzureichend stattfinden. Organisationen sind jedoch gut beraten, ein gutes Auslagerungsmanagement zu etablieren. 30 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | OUTSOURCING weise bestehen sogar gesetzliche Verpflichtun- gen zur vertraglichen Fixierung diverser Aspekte, wie mit Blick auf Art. 28 DS-GVO deutlich wird. Es empfiehlt sich zudem die Aspekte der Infor- mationssicherheit bereits ab der Entscheidung für das jeweilige Outsourcing-Projekt einzube- ziehen. Ziel sollte der Aufbau einer möglichst umfassenden Schutzsphäre sein. Festlegung von Anforderungen an Dienstleister und Verträge Zunächst bietet sich eine vertragliche Spiegelung der verschiedenen regulatorischen Anforderun- gen zur Informationssicherheit an. Hierbei erlegt der Auftraggeber den jeweiligen Vertragspart- nern die jeweils einschlägigen Vorgaben zur Informationssicherheit auf. Zu beachten ist in diesem Zusammenhang jedoch, dass selbst im Fall derartiger Auslagerung von Aufgaben und Pflichten an Dritte dies nicht gleichbedeutend mit einer Entbindung der Informationssicher- heitspflicht, mithin von der generellen Verant- wortlichkeit, seitens der auslagernden Stelle ist. Zwar erfolgt die Umsetzung der jeweiligen Vorgaben durch den Vertragspartner, die Ver- antwortung gegenüber Dritten verbleibt jedoch beim Auftraggeber. Aus diesem Grund erfolgt vielfach die vertragliche Vereinbarung zur ord- nungsgemäßen Leistungserbringung sowie zur Überwachung derselben. Aufgrund zahlreicher gesetzlicher Anforderun- gen, technische und organisatorische Maßnah- men (TOM) umzusetzen, besteht regelmäßig ein Interesse seitens der gesetzlichen Adressaten auch die Vertragspartner zu konkreten TOM zu verpflichten. An dieser Stelle prallen häufig die Interessen der Auftragnehmer an einer größten möglichen Flexibilität in Bezug auf die Umset- zung der TOM und die Interessen der Auftragge- ber an der Vereinbarung weiterreichender Kon- troll- und Nachweisrechten aufeinander. In der Vertragsgestaltung werden derartige Konflik- te häufig durch die Vereinbarung von flexiblen Änderungsrechten seitens der Auftragnehmer unter Einhaltung bestimmter Mindeststandards, entsprechender Dokumentationspflichten und der Einräumung von Sonderkündigungsrechten seitens der Auftraggeber bei wesentlichen Än- derungen gelöst. Im Rahmen der konkreten Umsetzung erfolgt nicht selten zunächst eine abstrakte Verpflich- tung im Hauptvertragswerk der Auftragnehmer zur Umsetzung bestimmter TOM in Überein- 32 IT-SICHERHEIT_4/2024 stimmung mit dem aktuellen Stand der Technik und hieran anknüpfend eine konkrete Festle- gung von Einzelmaßnahmen, meist in Form ei- ner gesonderten Anlage zum Hauptvertrag. Weiterhin werden die übertragenen Anforde- rungen durch entsprechende vertragliche Nach- weisregelungen abgesichert. Sinn und Zweck liegt darin, dass der Auftraggeber zunächst ein- mal in die Lage versetzt wird, seinen gesetzli- chen Nachweispflichten – wie zum Beispiel aus Art. 5 Abs. 2 DS-GVO – nachkommen zu können. Der Auftraggeber muss bestrebt sein, die einzu- haltenden Informationssicherheitsanforderun- gen detailliert darzulegen und für den Nachweis Konzepte sowie unabhängige Zertifikate und Prüfberichte seitens des Auftragnehmers ein- zufordern. Schwierigkeiten bei der Überprüfung ergeben sich allerdings regelmäßig dann, wenn die Wirksamkeit sowie die Aussagekraft hinter derartigen Nachweisen zu hinterfragen ist. Ab- zugrenzen sind an dieser Stelle zunächst Nor- men und Standards, die ein ISMS innerhalb einer Organisation beschreiben, wie zum Beispiel die ISO 27000-Reihe oder der BSI-Grundschutz, von Zertifizierungen zur IT-Sicherheit, bei denen bei- spielsweise ein Produkt oder ein IT-Dienst durch eine zuständige Stelle geprüft und zertifiziert wird. Nur bei der zweiten Gruppe an Zertifizie- rungen, Normen und Standards, werden tat- sächlich technische Anforderungen und mithin der Stand der Technik beschrieben. Dies soll keinesfalls die Bedeutung oder Wertigkeit der Zertifizierungen eines ISMS schmälern. Es ist je- doch hervorzuheben, dass die Unterscheidung in der Praxis nicht immer trennscharf durchgeführt wird und somit beispielsweise eine fehlerhafte Bewertungsgrundlage für die Zuverlässigkeit ei- nes Auftragnehmers geschaffen werden kann. Bestandteil vertraglicher Regelungen können ferner die Festlegung von Zugangsrechten sowie die Durchführung von Audits und anderen Kont- rollmaßnahmen sein. Hinsichtlich des konkre- ten Umfangs der vertraglich zu vereinbarenden Pflichten können insbesondere Orientierungs- hilfen und Positionspapiere der deutschen und europäischen Aufsichtsbehörden, Best Practices von Interessenverbänden sowie einschlägige technische Normen, Standards und Regelwerke als Maßstab herangezogen werden. Ferner kann die Implementierung von Berichts- und Infor- mationspflichten vereinbart werden. Gleichwohl können sich Überprüfungspflichten im Bereich der Haftungsfrage ergeben. Aus- gangsfrage ist zunächst, welche Leistung und mithin welche Informationssicherheitspflich- ten geschuldet sind. Möglicherweise fällt so in diesem Bereich der Nachweis einer Pflichtver- letzung leichter, wenn die vertraglich in Bezug genommenen Vorgaben nicht oder nicht voll- ständig umgesetzt wurden. Jedoch kann sich im Rahmen des Mitverschuldens nach § 254 Bürgerliches Gesetzbuch (BGB) das Vernachläs- sigen beziehungsweise die Nichteinhaltung der Überprüfungspflichten niederschlagen. Etablierung eines Auslagerungs- managements Der im BSI IT-Grundschutz enthaltene Baustein OPS.2.3 Nutzung von Outsourcing enthält unter dem Begriff des Auslagerungsmanagements bereits eine Reihe von Maßnahmen, mit denen die zuvor genannten Problematiken adressiert sowie bestehende Prüfpflichten strukturiert und dokumentiert umgesetzt werden können. Ins- besondere werden auf verschiedensten Ebenen zahlreiche Möglichkeiten zur Prüfung in Form eines Soll-Ist-Abgleichs aufgezeigt: ƒ Die Auslagerung von (Teil-)Prozessen und Ge- schäftsbereichen bedarf zunächst stets einer kontextbasierten Betrachtung potenzieller Risiken. Zu berücksichtigen sind hierbei insbe- sondere die Kritikalität und die Abhängigkeit der betroffenen Prozesse sowie die Art und Kategorien, der in diesem Zusammenhang betroffenen Informationen. So muss zunächst geklärt werden, ob überhaupt eine Ausla- gerung an einen Dienstleister erfolgen kann oder ob die Gefährdungslage eine ausschließ- lich interne Umsetzung gebietet. Dies stellt grundsätzlich zwar keine Prüfung eines kon- kreten Auftragnehmers in jedem Fall jedoch eine essenzielle Vorprüfung dar. ƒ Ist der Einsatz eines Auftragnehmers grund- sätzlich möglich, sind weiterhin konkrete An- forderungen an diesen zu definieren. Hierzu muss bereits im Vorfeld festgelegt werden, welche Kompetenzen für die Erbringung der Leistung aus Sicht der Informationssicherheit als erforderlich angesehen werden und wel- chen Grad an Vertrauenswürdigkeit sowie Zuverlässigkeit der Auftragnehmer leisten muss. Möglicherweise sind derartige Aspek- te im öffentlichen Sektor bereits in einem Vergabeverfahren zu berücksichtigen. Ein Dienstleister sollte möglichst schon vor der Aufnahme von Vertragsgesprächen anhand

SECURITY MANAGEMENT | KÜNSTLICHE INTELLIGENZ Die KI-Revolution (3) PROZESSOPTIMIERUNG MIT KI Die rasante Entwicklung der künstlichen Intelligenz (KI) transformiert Unterneh- menslandschaften weltweit. Als Schlüsseltechnologie ermöglicht sie nicht nur die Automatisierung routinemäßiger Abläufe, sondern auch die Neugestaltung kom- plexer Geschäftsprozesse. In unserer fortlaufenden Artikelserie haben wir bereits die Auswirkungen der KI auf die Unternehmensführung [1] und die fortschreitenden Entwicklungen in der künstlichen Intelligenz [2] beleuchtet. In diesem Artikel fokus- sieren wir uns darauf, wie KI spezifisch zur Optimierung von Prozessen beiträgt, Effizienz steigert und damit die Produktivität auf ein neues Niveau hebt. KI-Technologien wie maschinelles Lernen und automatisierte Ent- scheidungssysteme transformie- ren Unternehmensabläufe grundlegend, indem sie nicht nur die Effizienz und Marktanpassungs- fähigkeit verbessern, sondern auch einen ent- scheidenden Wettbewerbsvorteil bieten. Diese Technologien ermöglichen eine strategische Neuausrichtung, die über die reine Automatisie- rung hinausgeht und intelligente, selbstoptimie- rende Arbeitsabläufe schafft. Unternehmen, die KI frühzeitig in ihre Prozesse integrieren, erleben eine signifikante Steigerung der Produktivität und eine Reduktion von Fehlern [3], was zu nied- rigeren Betriebskosten führt. Wie bereits in den vorangegangenen Teilen dieser Serie dargestellt, bedarf es einer tiefgreifenden strategischen 34 IT-SICHERHEIT_4/2024 Überlegung, die über das reine Technologiema- nagement hinausgeht, um die Potenziale der KI voll ausschöpfen zu können. Die transformative Kraft der KI erstreckt sich über verschiedene Branchen, von der Fertigung, wo Predictive Maintenance die Ausfallzeiten und Kosten minimiert, bis hin zum Finanzwesen, wo algorithmisches Trading neue Möglichkeiten im Asset-Management eröffnet. Auch im Gesund- heitswesen ermöglichen KI-basierte Diagnose- tools eine schnellere und genauere Patienten- versorgung.[4, 5] Der gezielte Einsatz von KI in der Prozessopti- mierung kann zahlreiche Vorteile bringen (siehe Tabelle 1). Die Einführung von KI in Geschäftsprozesse ist jedoch nicht ohne Herausforderungen. Es ist entscheidend, gerade die menschliche Kompe- tenz zu nutzen und die Mitarbeiter aktiv in den Veränderungsprozess einzubinden. Die Akzep- tanz und das Vertrauen in KI-Lösungen hängen maßgeblich davon ab, wie gut die Belegschaft geschult und informiert ist. Unternehmen müs- sen sicherstellen, dass die KI-Systeme nicht nur technisch robust, sondern auch ethisch vertret- bar und transparent sind. Fragen der Datenquali- tät, der ethischen Nutzung von Algorithmen und der Integration in bestehende IT-Systeme sind entscheidend für den Erfolg. Die Vorteile, die sich durch eine gut durchdachte Umsetzung erzielen lassen, wiegen die Heraus-

SECURITY MANAGEMENT | KÜNSTLICHE INTELLIGENZ wertvoller Ressourcen, die dann für strategi- schere Aufgaben eingesetzt werden können. [10] Zudem sollte darauf geachtet werden, dass die Prozesse flexibel bleiben und weiterentwickelt werden können, um nicht vollständig von exter- nen Ressourcen abhängig zu sein. Die Akzeptanz der KI im Unternehmen wird zudem maßgeblich dadurch gefördert, dass Op- timierungen in den routinemäßigen Geschäfts- prozessen der Mehrheit durchgeführt und Wie- derholungen automatisiert werden. Ein praxisnahes Beispiel bietet der Einsatz von KI in der Supply-Chain-Optimierung. Hier ermögli- chen KI-Systeme eine genauere Vorhersage der Nachfrage und eine effizientere Lagerhaltung, was zu erheblichen Kosteneinsparungen führt. Unternehmen, die KI in ihre Lieferketten inte- grieren, berichten von einer Verbesserung der Liefergenauigkeit und einer Reduzierung von La- gerhaltungskosten um bis zu 25 Prozent. [11] INTEGRATION VON KI-LÖ- SUNGEN IN BESTEHENDE IT-INFRASTRUKTUREN Die nahtlose Integration von KI in bestehende IT-Systeme stellt eine der größten Herausforde- rungen, aber auch eine der vielversprechendsten Chancen für moderne Unternehmen dar. Prak- tikable Integrationen können durch den Einsatz verschiedener KI-Technologien erreicht werden, wie beispielsweise generative KI (GenAI) und große Sprachmodelle (LLMs). Diese Technolo- gien können entweder On-Premises betrieben oder in der Cloud gehostet werden, je nach den spezifischen Anforderungen und Sicherheits- bedenken des Unternehmens. Eine sorgfältige Auswahl und Implementierung der geeigneten Technologie ist entscheidend, um sowohl die technischen als auch die organisatorischen As- pekte der Integration erfolgreich zu meistern. Bestandsaufnahme der IT-Landschaft Zu Beginn ist eine umfassende Bestandsaufnah- me der vorhandenen IT-Landschaft unerlässlich. Diese Analyse soll sicherstellen, dass die Syste- me, die für die Integration von KI vorgesehen sind, sowohl technisch als auch hinsichtlich ihrer Sicherheitsarchitektur auf dem neuesten Stand sind. Tools wie System-Management-Plattfor- men können dabei helfen, einen klaren Über- blick über die IT-Infrastruktur zu erhalten und 36 IT-SICHERHEIT_4/2024 potenzielle Kompatibilitätsprobleme frühzeitig zu identifizieren. [12] Sicherstellung der Datenqualität und -integrität Ein entscheidender Aspekt bei der Integration von KI ist die Sicherstellung der Datenqualität und -integrität. Daten sind das Fundament je- der KI-Anwendung, und ihre Qualität bestimmt maßgeblich die Effektivität der KI-Lösungen. Un- ternehmen müssen robuste Datenbereinigungs- und -verarbeitungsverfahren implementieren, um die Genauigkeit und Zuverlässigkeit der von KI-Systemen genutzten Daten zu gewährleis- ten. [13] Darüber hinaus ist es wichtig, die Mitar- beiter in den Prozess der Datenaufbereitung ein- zubeziehen, um deren Fachwissen zu nutzen und die Akzeptanz der KI-Lösungen zu erhöhen. Anpassung der Sicherheitsprotokolle Die Implementierung von KI erfordert auch eine Anpassung der Sicherheitsprotokolle. Da KI-Sys- teme häufig auf große Mengen sensibler Daten zugreifen, müssen erweiterte Sicherheitsmaß- nahmen wie verschlüsselte Datenübertragungen und fortschrittliche Authentifizierungsmethoden implementiert werden, um Datenschutz und Compliance zu garantieren. [14] Gleichzeitig sollten Mitarbeiterschulungen zur Sensibilisierung für neue Sicherheitsanforderungen durchgeführt werden, um menschliche Fehler zu minimieren. Schulungs- und Weiterbildungs- programme Um die Akzeptanz und den erfolgreichen Betrieb von KI innerhalb der Organisation zu fördern, ist es außerdem notwendig, Schulungs- und Wei- terbildungsprogramme für die Mitarbeiter zu entwickeln. Diese Programme sollen nicht nur technische Fähigkeiten vermitteln, sondern auch ein Verständnis für die Möglichkeiten und Gren- zen der KI fördern. [15] Dabei ist es entscheidend, dass die Mitarbeiter die Bedeutung ihrer Rolle in einem zunehmend automatisierten Umfeld ver- stehen und sich aktiv an der Weiterentwicklung der Prozesse beteiligen können. Fortlaufende Überwachung und Optimierung Abschließend sind die fortlaufende Über- wachung und Optimierung der KI-Systeme entscheidend. Unternehmen sollten Feed- back-Mechanismen und kontinuierliche Bewer- tungsprozesse etablieren, um die Leistung der KI-Anwendungen zu überwachen und bei Bedarf Anpassungen vorzunehmen. Dies sichert nicht nur die langfristige Leistungsfähigkeit der KI-Lö- sungen, sondern auch ihre Anpassungsfähigkeit an sich ändernde Geschäftsanforderungen. [16] Dabei sollten regelmäßige Audits und Reviews durchgeführt werden, um sicherzustellen, dass die KI-Systeme nicht nur effizient, sondern auch ethisch und rechtlich einwandfrei arbeiten. FALLSTUDIEN UND ERFOLGSGESCHICHTEN Das Potenzial von KI wird besonders greifbar, wenn man konkrete Anwendungsbeispiele betrachtet. In diesem Kapitel präsentieren wir einige Fallstudien und Erfolgsgeschichten, die illustrieren, wie KI in verschiedenen Branchen erfolgreich eingesetzt wird. Automobilindustrie – Autonome Fahrzeugtechnologien Ein führendes Automobilunternehmen hat mit- hilfe von KI-Technologien die Sicherheit und die Effizienz seiner Fahrzeuge verbessert. Durch den Einsatz von Deep Learning wurden die Algorith- men für autonomes Fahren optimiert, was zu einer signifikanten Reduzierung von Unfällen und einer Verbesserung der Verkehrseffizienz geführt hat. [17] Diese Innovation wurde in en- ger Zusammenarbeit mit den Ingenieuren und Fahrzeugsicherheitsexperten entwickelt, um sicherzustellen, dass die KI-Systeme nicht nur technisch fortschrittlich, sondern auch zuverläs- sig und sicher sind. Finanzsektor – Betrugs- erkennung Eine große Bank implementierte ein KI-ge- stütztes System zur Betrugserkennung, das auf Machine Learning basiert. Dieses System konnte betrügerische Transaktionen mit einer Genau- igkeit von über 90 Prozent identifizieren und verhindern, was zu enormen Einsparungen bei den Betrugsbekämpfungskosten führte. [18] Die Einführung dieses Systems erfolgte schrittweise, wobei die Bankengemeinschaft und die Kunden kontinuierlich informiert und in den Prozess einbezogen wurden, um Vertrauen in die neuen Technologien zu schaffen und mögliche ethische Bedenken frühzeitig zu adressieren.

SECURITY MANAGEMENT | CYBERRESILIENZ Zusammenarbeit und Vertrauen im Kampf gegen Cyberkriminalität DER WEG ZUR KOLLEKTIVEN CYBERRESILIENZ 38 IT-SICHERHEIT_4/2024 Mit der Digitalisierung unserer Wirtschaft und Gesellschaft stehen Unternehmen weltweit vor der Herausforderung, ein komplexes Ökosystem aus Abhängigkeiten wie Internet of Things (IoT), Industrial Internet of Things (IIoT), Cloud Computing, künstliche Intelligenz (KI), Big Data, Blockchain-Technologien und Cybersecurity-Infrastrukturen zu verwalten. Die Verbreitung von IT, OT und IIoT – in Kombination mit einer wachsenden Bedrohungslage, sich entwickelnden regulatorischen Anforderungen und der zunehmenden Abhängigkeit von Lieferantennetzwerken – unterstreicht die Notwendigkeit einer umfassenden Cyberresilienz im gesamten Ökosystem.

SECURITY MANAGEMENT | CYBERRESILIENZ fahren, eine bessere Zusammenarbeit zwischen Partnern in einem Ökosystem ermöglichen und fördern. Diese Technologien schützen die Pri- vatsphäre und gewährleisten, dass Daten sicher und zuverlässig geteilt werden können, wodurch die Partner effektiver zusammenarbeiten und Vertrauen aufbauen können. Anstelle von rein compliancebasierten Vereinbarungen wie Ser- vice Level Agreements (SLAs) und Data Proces- sing Agreements (DPAs) zwischen Unternehmen würden die beteiligten Partner von der Koopera- tion profitieren. hen – von individueller Sicherheit zu kollektiver Resilienz. Der Aufbau eines wirklich cyberresilienten Öko- systems erfordert eine langfristige Vision und einen strategischen Schritt-für-Schritt-Ansatz: 1. Unternehmen sollten damit beginnen, ihr ge- samtes digitales Ökosystem zu modellieren, um die jeweiligen Abhängigkeiten zu visu- alisieren, auch solche, die ihnen (noch) nicht bewusst sind. Eine ökosystemische Perspektive macht bereits für viele Unternehmen einen großen Unter- schied. Nicht nur Weltkonzerne wie Microsoft, Apple oder Google erkennen, dass ihre Prozesse, ihre Effizienz und ihre Wettbewerbsfähigkeit von einer Vielzahl von Lieferanten aus unter- schiedlichen Branchen abhängen. Auch im deut- schen Mittelstand ist hier vieles in Bewegung. Teilweise bieten Unternehmen Plattformen an, auf denen die jeweiligen Partner Ressourcen gemeinsam nutzen können, was dem gesam- ten Ökosystem einschließlich dem Plattforman- bieter zugutekommt. In anderen Fällen geht es darum, das komplette Ökosystem widerstands- fähiger zu machen. Nicht nur ein globaler Chiphersteller oder ein führendes Technologieunternehmen sollte sich darüber im Klaren sein, dass ein (Hightech-) Produktionsprozess vollständig von einer Viel- zahl unterschiedlicher Zulieferer abhängt und ein kostspieliger Cyberangriff auf einen dieser Zulieferer das gesamte Geschäft beeinträchtigen kann. Um die Widerstandsfähigkeit des Systems zu erhöhen, wird in vielen Unternehmen des deutschen Mittelstandes begonnen, Ressourcen, die ursprünglich für die eigene Cybersecurity vorgesehen waren, mit seinen Partnern zu teilen und entsprechend umgekehrt von deren Sicher- heitsressourcen zu profitieren. Viele Unternehmen investieren jedoch nach wie vor in ihre eigene Cybersicherheit, bevor sie sich mit der Sicherheit ihrer Zulieferer befassen. Gründe dafür sind begrenzte finanzielle Mittel, Kompetenzen oder Technologien. Doch Vorsicht: Im Gegensatz zu einem langfristig angelegten Ansatz bringt das nur kurzfristige Vorteile, da sich die Bedrohungen ausweiten und komplexer werden können. Aus diesem Grund sollte der Cybersicherheitsansatz von kurzfristigen Opti- mierungen zu langfristigen Strategien überge- 40 IT-SICHERHEIT_4/2024 2. Unternehmen sollten anschließend den inne- ren Kreis ihres Ökosystems zusammenbrin- gen, gegenseitige Abhängigkeiten und Risiken diskutieren und eine klare Vision, Ziele und Strategien festlegen, zu denen sich jedes Un- ternehmen verpflichten kann. 3. Unternehmen sollten ihr Ökosystem weiter- entwickeln und stärken, indem sie digitales Vertrauen aufbauen. Es sollten klare Grenzen und Richtlinien festgelegt werden, innerhalb derer Ressourcen zur Optimierung der Cyber- sicherheit geteilt werden können. Die Rolle jedes teilnehmenden Unternehmens muss klar definiert sein, und jeder Partner im Öko- system sollte eine komplementäre Rolle über- nehmen. Diese Rollen können sich im Laufe der Zeit ändern. Der Datenaustausch inner- halb des Ökosystems sowie die Sicherstellung des Vertrauens sind von zentraler Bedeutung. Vertrauensbildende Technologien spielen da- bei eine wichtige Rolle. Das Definieren, Entwickeln und Zusammenbrin- gen der jeweiligen Ökosystempartner bietet keine schnelle Lösung oder kurzfristige Gewin- ne. Es erfordert Führungspersönlichkeiten mit einer langfristigen Vision und der Fähigkeit, alle Kooperationspartner in einem klaren Plan zu vereinen: 1. Das Abbilden des Ökosystems und der Stra- tegie: Unternehmen sollten alle Abhängig- keiten identifizieren, einschließlich derer von Viertanbietern. Zudem müssen sie eine Öko- systemstrategie mit klaren Zielen entwerfen, indem sie die Partner im Ökosystem zusam- menbringen und einen mehrjährigen Plan zur Stärkung und Verwaltung der Cyberresilienz aufstellen 2. Die Auswahl digitaler Ökosystempartner: Jedes Unternehmen hat in einem effektiven Ökosystem eine ergänzende Rolle zu spielen. Unternehmen sollten entscheiden, welchen Partner sie in ihr Ökosystem einbinden und welchen nicht, um eine effektive Zusammen- arbeit und positive Ergebnisse zu erzielen. 3. Die Entwicklungsunterstützung des digi- talen Ökosystems: Sobald die Unternehmen sich mit ihren Partnern zusammenschlie- ßen, können Fachexperten ein sogenanntes Ecosystem-Maturity-Framework erstellen, das die wichtigsten Bausteine für den Erfolg bereitstellt. 4. Die Optimierung des digitalen Ökosystems: Um die Prozesse und Sicherheitsmaßnahmen in ihrem digitalen Ökosystem zu verbessern, sollten Unternehmen einen „Ökosystem- Health-Check“ durchführen, der Beziehungen zu Dritten und der Prozesse in ihrem digitalen Ökosystem bewertet. DIGITALES VERTRAUEN IST DIE GRUNDLAGE FÜR EIN WIDERSTANDSFÄHIGES ÖKOSYSTEM Neben einer soliden Strategie, einer Governance- Struktur und klar definierten finanziellen und rechtlichen Grenzen ist digitales Vertrauen eine der wichtigsten Komponenten eines wirklich cyberresilienten Ökosystems. Expertinnen und Experten haben gemeinsam mit dem Weltwirt- schaftsforum (WEF) und anderen Partnern ein globales Rahmenwerk für digitales Vertrauen entwickelt. Das Framework dient als Entschei- dungshilfe für Unternehmen und ermöglicht die Entwicklung und den Einsatz vertrauenswürdi- ger Technologien und damit eine vertrauensvolle Zusammenarbeit im gesamten Ökosystem. Das WEF definiert digitales Vertrauen als die öffent- liche Erwartung, dass „digitale Technologien und Dienstleistungen – und die Unternehmen, die sie anbieten – die Interessen aller Beteiligten schützen und gesellschaftliche Erwartungen und Werte aufrechterhalten“. Das Framework bietet einen Fahrplan für die dynamische digitale Landschaft sowie klare Plä- ne, um die Anpassungsfähigkeit und Cyberres- ilienz digitaler Ökosysteme zu optimieren. Der Rückgriff auf ein einheitliches Framework, das gemeinsame Standards und Praktiken bietet, fördert die Zusammenarbeit, die Konsistenz und das Vertrauen in sich ständig weiterentwi- ckelnde Technologien und stärkt gleichzeitig die

SECURITY MANAGEMENT | NIS-2 NIS-2 und die Operational Technology (K)EIN TRAUERMÄRCHEN Die NIS-2-Richtlinie und das da- raus resultierende NIS-2-Um- setzungs- und Cybersicherheits- stärkungsgesetz (NIS2UmsuCG) bedeuten für Tausende deutsche Unternehmen in mehrfa- cher Hinsicht Neuland. Zum einen werden sie ab Oktober 2024 gesetzlich zu nachweisba- rer Cybersicherheit verpflichtet. Zum anderen müssen sie sich erstmals auch gezielt mit der Cybersicherheit ihrer industriellen Infrastruktu- ren – der Steuerungs- und Prozessleittechnik beziehungsweise der Operational Technology (OT) – auseinandersetzen. Stand Mai 2024 verpflichtet § 30 (1) des Refe- rentenentwurfs des NIS2UmsuCG Einrichtun- gen dazu, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponen- ten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkun- gen von Sicherheitsvorfällen möglichst gering zu halten. Dabei sind das Ausmaß der Risikoexposi- tion, die Größe der Einrichtung, die Umsetzungs- 42 IT-SICHERHEIT_4/2024 kosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre ge- sellschaftlichen und wirtschaftlichen Auswirkun- gen zu berücksichtigen.” Dieser Absatz des NIS2UmsuCG gibt der OT gleich doppeltes Gewicht: 1. Der Verweis auf die für die Leistungserbrin- gung relevanten Systeme macht die OT auto- matisch zur essenziellen Infrastruktur, da sie für die Wertschöpfung unabdingbar ist. 2. Der Fokus auf die Risikoexposition gibt der OT einen besonderen Stellenwert, denn OT-Komponenten und -Netze waren in der Vergangenheit von Cybersicherheit komplett ausgenommen. ES GIBT KEINE SICHERE OT zunehmenden OT-Störungen durch Cyberangrif- fe an Relevanz gewonnen (siehe Abbildung 1). Das bestätigen auch die Schwachstellenanaly- sen, die wir initial bei der Implementierung eines Angriffserkennungssystems in den OT-Netzen unserer Kunden durchführen: 2023 identifizier- ten wir durchschnittlich 26 versteckte Schwach- stellen in OT-Netzen, welche die Sicherheit und/ oder Verfügbarkeit der Anlagen bedrohten (siehe Abbildung 2). Unsichere Authentifizierungsme- thoden fanden sich in fast allen Netzen genauso wie veraltete und nicht benötigte Protokolle und Dienste. Meist wurden die Betreiber erst durch die Analysen auf die Schwachstellen aufmerk- sam. Denn neben fehlender Sicherheit mangelt es in der OT vor allen Dingen einem: Sichtbarkeit. WAS BRAUCHT DIE OT AN MAßNAHMEN? Dass die OT im Kern unsicher ist, lag (und liegt noch immer) am Fokus der Komponentenher- steller und Betreibenden auf Verfügbarkeit, Pro- zessstabilität und Einfachheit. Die Cybersicher- heit hat erst in den letzten Jahren aufgrund der Grundsätzlich gelten mit NIS-2 für OT-Netze die gleichen Sicherheitsanforderungen wie für die Unternehmens-IT. Allerdings ergeben sich bei der Umsetzung in der OT einige Schwierigkei- ten, die sich aus der spezifischen Zielsetzung NIS-2 ist keine reine IT-Sicherheitsübung. Die Gesetzgebung verankert Cyber-sicherheit auch in industriellen Infrastrukturen. Die Herausforderung besteht darin, die sogenannte OT-Sicherheit schlank, handhabbar und dennoch konsequent und sinnvoll umzusetzen. Gründe dafür gibt es für Unternehmen auch abseits der Paragraphen genug.Bild: Kampan - stock.adobe.com

SECURITY MANAGEMENT | NIS-2 NIS-2-Anforderung Konflikte­in­der­OT Multi-Faktor-Authentifizie- rung (MFA) und Single-Sign- on (SSO) ƒ Bereitstellung der Infrastruktur und Gewährleistung der notwendigen Systemintegration ƒ beschränkte Einflussnahme auf Ausrüstung der Service- und Dienstleistungsunternehmen Sichere Kommunikationskanäle ƒ ggf. DSGVO-Probleme mit Cloudanbietern ƒ VPN sind leicht zu kapern und auszunutzen Verschlüsselte Kommunikation ƒ mögliche Konflikte mit Echtzeitprozessen ƒ teilweise fehlende Möglichkeiten bei Industrieproto- kollen Management von Schwachstellen ƒ „Insecure by design”-Komponenten ƒ lange Lebenszyklen ƒ verspätete Aktualisierung durch feste Wartungszyklen ƒ lückenhafte/fehlende Dokumentation der Assets ƒ Fragen der Prozessstabilität bei Aktualisierungen (never change a running system) Risikoanalyse und Schwachstellenbewertung ƒ fehlende Sichtbarkeit ƒ Lückenhafte/fehlende Dokumentation der Assets Bewältigung von Sicherheitsvorfällen ƒ fehlende Mechanismen, um sicherheitsrelevante Vorgänge zu erkennen ƒ aktive Abwehrmechanismen nur bedingt/nicht gewollt, um Prozesse und Arbeitsschutz nicht zu gefährden Bewertung der Cybersicher- heitseffektivität ƒ keine Defense-in-Depth-Architektur, die auch erfolg- reiche Angriffe innerhalb des Netzwerkes erkennt (gilt häufig auch für die IT) Business-Continuity- Prozesse Sichere Supply Chain ƒ fehlende Sichtbarkeit und Dokumentation sicherheits- relevanter Vorgänge zur schnellen Lokalisierung und Nachvollziehbarkeit von Störungen ƒ beschränkter/kein Einfluss auf Zuliefer- und Dienstleistungsunternehmen und deren Eingriffe in die konkrete OT Qualifiziertes Personal ƒ Fachkräftemangel und/oder Überforderung Tabelle 1: Die NIS-2-Anforderungen bergen in der OT einiges an Konfliktpotenzial. 3. Es sollte alle Unregelmäßigkeiten erkennen, inklusive Anomalien, die bislang unbekannt sind oder über autorisierte Kanäle erfolgen, zum Beispiel Admin-Konten, Wartungszu- gänge, installierte Softwareupdates. Dadurch wird auch die NIS-2-Anforderung erfüllt, an- dere Sicherheitssysteme wie Firewalls oder Authentifizierungssysteme auf fehlerfreies Funktionieren zu überprüfen (Defense-in- Depth). 4. Es sollte unabhängig von den Systemherstel- lern sein und funktionieren, um Vendor Lock- in und Überwachungslücken zu vermeiden. 5. Es muss einfach zu bedienen sein. Sinnvolle Filter, aufgeräumte Oberflächen, automati- sierte Risikobewertungen und Schnittstellen zu gängigen SIEM-Systemen wie Splunk und IBM QRadar reduzieren den internen Arbeits- aufwand im Betrieb. Treten bei identifizierten Anomalien Fragen auf, sollte ein Supportteam zur Verfügung stehen, um die Meldung zu analysieren. In der OT (und auch in der IT) gibt es schon lange keine absolute Sicherheit mehr. Mit dem Fokus auf die Sichtbarkeit und Überwachung des Rest- risikos schaffen Unternehmen eine Basis, um mit dieser permanenten Unsicherheit umzu- gehen. Dieses Prinzip des Defense-in-Depth in der OT-Sicherheit schützt die Perimeter mithilfe von bekannten Sicherheitsmechanismen vor gängigen Angriffsmustern, während ein NIDS die innere Sicherheit gewährleistet, erfolgreiche Netzwerkeinbrüche erkennt und alle verdächti- gen Veränderungen meldet und dokumentiert. Dieses mehrstufige Sicherheitskonzept schafft nicht nur Rechtssicherheit. Es ist auch eine ef- fektive Antwort auf die Herausforderungen von NIS-2 in der OT und die sich rasant verändernde Gefährdungslandschaft durch staatliche und kriminelle Akteure. n sprechung absichert, muss dabei einige spezielle Anforderungen erfüllen: 1. Es darf die OT weder bei der Integration noch im Betrieb beeinträchtigen. Das NIDS agiert passiv und rückwirkungsfrei, um sowohl die limitierte Bandbreite als auch die industriellen Prozesse nicht zu stören. 2. Es muss alle in der OT relevanten industriellen Protokolle analysieren können. UWE DIETZMANN ist Sales Manager bei der Rhebo GmbH. netzwerkbasiertes Intrusion-Detection-System (Network-Intrusion-Detection-System, NIDS) erreicht werden. Es nutzt dabei die Eigenschaft der deterministischen, repetitiven Kommunika- tion in OT-Netzen, um Bedrohungen in Echtzeit zu erkennen, zu dokumentieren und zu melden. Es überwacht den gesamten laufenden Verkehr im OT-Netz, vergleicht ihn mit der Baseline und meldet Abweichungen. Ein NIDS, das die OT schützt und zugleich die Betreibenden gegenüber der geltenden Recht- 44 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | ANGRIFFSERKENNUNG des Bundesamtes für Sicherheit in der Informati- onstechnik (BSI) genutzt werden [2]. EINSATZ VON IDS: UNTERSCHIEDE ZWISCHEN IT UND OT Vor der Implementierung eines IDS sollten die Verantwortlichen einige wichtige Fragen klären: ƒ Was soll konkret überwacht werden? ƒ Welches IDS beziehungsweise welcher Detektionsmechanismus soll verwendet werden? ƒ Was sind die Vor- und Nachteile eines IDS? Ein weit verbreiteter Irrtum ist, dass man für das OT-Netzwerk, in dem Schaltbefehle und Steuerungssignale übertragen werden, dieselbe Angriffserkennung verwenden kann wie für das IT-Netz eines Unternehmens. OT- und IT-Netz- werke unterscheiden sich jedoch sehr stark in ihrer Funktionalität und in ihren Anforderungen (siehe Abbildung 1). OT-Netzwerke müssen oft besonders robust und sicher sein, da ein Ausfall oder eine Störung schwerwiegende, mitunter lebensgefährdende Konsequenzen haben kann. Aus diesem Grund ist in diesen Netzwerken die Verfügbarkeit (Availa bility) von höchster Priorität, gefolgt von der Integrität (Integrity), welche die Korrektheit der Daten voraussetzt. Die Vertraulichkeit (Con- fidentiality) wird in einem OT-Netzwerk häufig am geringsten priorisiert. Schalt- oder Steuer- befehle werden meist unverschlüsselt und im Klartext im Netzwerk kommuniziert. In der IT liegt dagegen der Fokus auf dem Schutz von Informationen und informationsverarbeiten- den Systemen. Demzufolge ist die Vertraulichkeit von höchster Bedeutung, denn ein Datenverlust ist eine der häufigsten Bedrohungen in der IT. Während Systemausfälle in der IT vor allem zu finanziellen Schäden für das Unternehmen führen, können Störungen oder Ausfälle von OT- Komponenten zu weitreichenden Folgen für die Versorgungssicherheit führen. METHODEN DER ANGRIFFS- ERKENNUNG EINES IDS Die Kernkomponente eines IDS ist dessen De- tektionsmechanismus. Dazu gibt es verschiede- ne Ansätze: ƒ Baseline-/Lernbasierter Ansatz: In der Lern- phase wird die Netzwerkkommunikation be- obachtet und anhand dieser Beobachtungen lernt das System, was innerhalb dieses Netz- werks als normale Netzwerkkommunikation angenommen wird. - Vorteil: Die Fehlalarmquote ist geringer als bei Systemen mit lernbasiertem Ansatz. - Nachteil: Angreifer können die Muster jedes Mal geringfügig ändern und damit einer Erkennung entgehen. Um dies zu vermeiden, müssen Signaturen „offener“ definiert werden, was wiederum zu einer höheren Anzahl an Fehlalarmen führt. ƒ Allowlist-Ansatz: In OT-Netzwerken, beson- ders im Stromnetz, ist das Verhalten aller Ge- räte im Netzwerk klar definiert. Das IDS kann deswegen ein Live-Modell der zu überwa- chenden Betreiberanlage erstellen. - Vorteil: Abweichungen von der erlaubten Netzwerkkommunikation sind sofort er- kennbar. Auch Signalwerte in den Nachrich- ten werden überwacht, sodass Cyberbedro- hungen und Probleme bei den Funktionen präzise erkannt werden können. - Nachteil: Initial höherer Aufwand bei der ersten Inbetriebnahme. - Vorteil: Unbekannte Angriffsmuster wer- den erkannt. VORTEILE UND HERAUS- FORDERUNGEN EINES IDS - Nachteil: Netzwerkkommunikation, die in der Lernphase nicht erkannt wird, bei- spielsweise Schaltvorgänge oder War- tungsaktivitäten, löst einen Alarm aus. Unerwünschte Netzwerkkommunikation kann als Baseline erlernt werden. ƒ Signaturbasierter Ansatz (Denylist): Das IDS sucht nach Mustern, die es bereits von ande- ren Angriffen kennt. Intrusion-Detection-Systeme bieten eine Reihe von entscheidenden Sicherheitsvorteilen für OT- Netzwerke. So ist ein IDS in der Lage, Anomalien zu erkennen, die auf ungewöhnliche Aktivitäten oder verdächtige Netzwerkkommunikation hin- weisen, noch bevor diese zu ernsthaften Sicher- heitsvorfällen führen. Darüber hinaus ermöglicht ein solches System eine Echtzeitüberwachung, wodurch Bedrohungen sofort erkannt und dar- auf reagiert werden kann, was insbesondere für die Sicherheit von OT-Netzen von entscheiden- der Bedeutung ist. Ein weiterer Vorteil ist die Unterstützung bei der Inventarisierung, indem es die automati- sche Identifizierung, Überwachung und Doku- mentation der im OT-Netzwerk vorhandenen Anlagen ermöglicht. Darüber hinaus überwacht ein IDS die Funktionsweise des OT-Netzwerks sowie dessen Betriebsmittel und Assets, um zu gewährleisten, dass diese sicher und korrekt funktionieren. Auf diese Weise lassen sich Netz- werkfehler, Fehlkonfigurationen von Geräten und fehlerhafte Protokollübertragungen sofort feststellen. Abbildung 1: Unterschiedliche Prioritäten in IT und OT (Bild: OMICRON) 46 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | ANGRIFFSERKENNUNG Abbildung 4: Timeline der TCP-Port-Scans (Bild: OMICRON) In der nächsten Phase der Angriffsserie wurden verschiedene Scans durchgeführt. Das ist ein üb- liches Verhalten, wenn Angreifer das Netzwerk genauer verstehen und sich einen Überblick über den Aufbau des Netzwerks und deren Netz- werkteilnehmer verschaffen wollen. Dazu wurden zunächst mehrere TCP-Port-Scans durchgeführt. Dabei versuchen Angreifer, of- fene Ports, verwendete Dienste oder Betriebs- systeme sowie technische Schwachstellen zu identifizieren. Port-Scans lassen sich gut über die Auslastung des Netzwerkes erkennen. Durch den Allowlist-Ansatz im IDS sind solche Verbindungen ebenfalls verboten und führen zur Alarmierung. Abbildung 4 zeigt eine Timeline der Alarme, wel- che durch diese Attacken ausgelöst worden sind. Im weiteren Verlauf wurde ein UDP-Port-Scan und einige Ping-Sweeps vom IDS detektiert. Bei einem UDP-Port-Scan versuchen Angreifer, Rückschlüsse auf den Gerätetyp der Netzwerk- teilnehmer zu ziehen. Dazu zählt beispielswei- se die Unterscheidung zwischen Client, Server, Schutz- oder Steuergerät. Mithilfe eines Ping- Sweeps werden bestimmte IP-Adressbereiche des Netzwerks kontaktiert. Erhält man eine Ant- wort von einer IP-Adresse ist dieses Gerät aktiv. Mithilfe dieser Informationen können Angreifer ein Mapping der Ports, der genutzten IP-Adres- sen, der Dienste, der Betriebssysteme und der Netzwerkteilnehmertypen vornehmen. In der nächsten Phase des Angriffs wurde eine ARP-Spoofing-Attacke ausgeführt. Hierbei nut- zen die Angreifer die fehlende Authentifizierung zwischen den Netzwerkteilnehmern im ARP- Protokoll aus. 48 IT-SICHERHEIT_4/2024 Abbildung 6: Pentest-Timeline 2 (Tag 1, Fortsetzung) (Bild: OMICRON) Die Erkenntnisse aus den Scans bildeten die Grundlage für eine gezielte Angriffskombina- tion auf die Windows-Geräte im Netzwerk. Zunächst wurde die Aktivität einiger Netz- werkteilnehmer mittels eines Ping Sweep per ICMP überprüft. Bei erfolgreicher Rückmeldung wurde ein NetBIOS-Scan durchgeführt, um die NetBIOS-Informationen der Geräte abzufragen. NetBIOS ist ein Windows-Protokoll, das für den Austausch von Daten wie Dateifreigabe oder Druckerinformationen verwendet wird. Wenn eine Antwort auf die gesendeten NetBIOS-An- fragen empfangen wurde, erfolgten zusätzliche Verbindungsversuche mit Webservern auf den Ports 80, 443 und 8080 mithilfe von TCP-Pa- keten. Die im IDS protokollierten PCAP-Daten ermöglichten die Analyse und Auswertung der Angriffsmethoden. Abbildung 7: NetBIOS-Attacke in Wireshark (Bild: OMICRON) ZWEITER TAG: PHYSISCHE ANGRIFFE Das Address Resolution Protocol (ARP) dient der Zuordnung von IP- zu MAC-Adressen im lokalen Netz. Hierbei kommt ein Request-Response- Schema zum Einsatz, bei dem die erste Antwort (ARP-Response) akzeptiert und in einer ARP-Ta- belle gespeichert wird. Dieser Mechanismus birgt jedoch das Risiko, dass auch manipulierte Ant- worten der Angreifer von den Netzwerkteilneh- mern akzeptiert werden. Auf diese Weise können Angreifer ihre MAC-Adresse mit der IP-Adresse eines Zielhosts verknüpfen. Dadurch ist es ihnen möglich, den Datenverkehr, der eigentlich für den Zielhost bestimmt ist, auf das kompromittierte System umzuleiten und zu manipulieren. Somit entsteht ein manipuliertes IP- zu MAC- Adressen-Mapping, welches es den Angreifern erlaubt, eine Man-in-the-Middle-Attacke zu initialisieren. Abbildung 5 zeigt die Detektion und Alarmierung dieses Verhaltens im ZeroLine- Diagramm. Abbildung 5: ARP-Spoofing im ZeroLine-Diagramm (Bild: OMICRON) Im Anschluss wurde eine UDP-Traceroute-Atta- cke ausgeführt. Ähnlich wie bei den vorherigen Scan-Attacken dient diese Methode der detail- lierten Untersuchung des Netzwerkaufbaus. Dabei wird versucht, durch gezieltes Setzen der Time-to-live-(TTL)-Variable, den Netzwerkpfad und die Netzwerkteilnehmer samt IP-Adresse und Hostnamen zu identifizieren. Abbildung 8: Pentest-Timeline (Tag 2) (Bild: OMICRON) Die Angriffsserie wurde am zweiten Tag mit einer physischen Attacke fortgesetzt. Dafür ko- pierten die Angreifer eine Hardwarekomponente mit dem beim Verteilnetzbetreiber vorhande-

SECURITY MANAGEMENT | KUBERNETES Mögliche Angriffsziele, mitigierende Maßnahmen und sinnvolle Prüfziele KUBERNETES SICHER BETREIBEN 50 IT-SICHERHEIT_4/2024

SECURITY MANAGEMENT | KUBERNETES KUBERNETES- GRUNDLAGEN Die klassische Virtualisierung ist in- zwischen der Standard im modernen IT-Betrieb. Sie ermöglicht es, physische Ressour- cen effizienter zu nutzen, die Flexibi- lität von Anwendungen und Ressour- cen zu erhöhen und die Verwaltung von IT-Infrastrukturen zu vereinfa- chen. Virtualisierung ist eine Technologie, die es ermöglicht, mehrere virtuelle Maschinen (VMs) auf einer einzigen physischen Maschine (Host) aus- zuführen. Jede virtuelle Maschine verhält sich wie ein eigenständiger Computer mit eigenem Betriebssys- tem (OS) und eigenen Anwendungen. Die Virtualisierung wird durch eine Software-Schicht ermöglicht, die als Hypervisor bezeichnet wird. Jede VM enthält ein vollständiges Be- triebssystem und eine virtuelle Kopie der Hardware, die auf dem Hostsys- tem läuft. viel CPU-Leistung, Hauptspeicher und Speicherplatz benötigt wird. Docker Um die Effizienz und Portabilität von Anwendungen zu verbessern, hat sich Docker als Lösung dieser Probleme etabliert. Docker ist eine Open-Source- Plattform, die es ermöglicht, Anwen- dungen in Container zu verpacken, zu verteilen und auszuführen. Ein Con- tainer ist eine standardisierte Einheit der Software, die alles enthält, was zum Ausführen einer Anwendung erforderlich ist, einschließlich Code, Laufzeit, Systemwerkzeuge, Bibliothe- ken und Einstellungen. Container teilen sich denselben Ker- nel des Host-Betriebssystems und laufen als isolierte Prozesse im User- space. Sie sind „leichter“ und starten schneller als VMs, da sie kein voll- ständiges Betriebssystem benötigen. von Containern zu erleichtern. Einer der bekanntesten Vertreter dafür ist Kubernetes. Kubernetes ist eine Plattform zur Orchestrierung von Containern, die ursprünglich von Google entwickelt wurde. Sie automatisiert die Bereit- stellung, Skalierung und Verwaltung von containerisierten Anwendungen. Kubernetes verwaltet Container-Clus- ter, überwacht deren Zustand und verteilt den Netzwerkverkehr, um Anwendungen effizient und zuverläs- sig zu betreiben. Es ermöglicht eine einfache Verwaltung großer Contai- ner-Umgebungen und sorgt für hohe Verfügbarkeit und Skalierbarkeit der Anwendungen. Ein Kubernetes-Cluster besteht im- mer aus einer Control-Plane – auch bekannt als Master – und einer Reihe von Worker-Nodes. Auf den Worker- Nodes werden Container bereitge- stellt, in welchen die Anwendungen laufen. Die Kommunikation mit allen Cluster-Ressourcen und Anwendun- gen erfolgt ausschließlich über die Control-Plane. Klassische Virtualisierung mithilfe von Do- cker Engine und Containern Klassische Virtualisierung mithilfe von virtuellen Maschinen (VMs) Kubernetes Dadurch ergibt sich bei der klassi- schen Virtualisierung mithilfe von Hypervisoren eine ineffiziente Res- sourcennutzung, da für das Gast-OS Die Verwaltung vieler Container neigt allerdings zu einer gewissen Unübersichtlichkeit. Daher bildeten sich verschiedene Plattformen und Tools heraus, um die Handhabung 52 IT-SICHERHEIT_4/2024 Exemplarischer Aufbau eines Kubernetes- Clusters Bild: Ar_TH - stock.adobe.com

MOBILE SECURITY | GESUNDHEITS-APPS Gesundheits-Apps im Sicherheitscheck DIGITALE GESUNDHEITS­ FÖRDERUNG UND MOBILE SICHERHEIT Eine kritische Betrachtung 54 IT-SICHERHEIT_4/2024

MOBILE SECURITY | GESUNDHEITS-APPS digkeit einer umfassenden Herangehensweise an die Sicherheit, die sowohl die App selbst als auch die Übertragung und Speicherung der Da- ten umfasst. Die Sicherheit von Gesundheits-Apps ist ein komplexes Feld, das technische, organisatorische und rechtliche Aspekte umfasst. Die Entwick- ler und Anbieter dieser Anwendungen tragen eine große Verantwortung, die sie zum Beispiel durch die konsequente Anwendung bewährter Sicherheitspraktiken und auch durch die Zusam- menarbeit mit Sicherheitsexperten erfüllen kön- nen. Nur so lässt sich das Vertrauen der Nutzer gewinnen und erhalten, was für den Erfolg und die Akzeptanz digitaler Gesundheitslösungen entscheidend ist. HERAUSFORDERUNGEN IM DATENSCHUTZ Die Gewährleistung der Datensicherheit in Gesundheits-Apps umfasst mehrere Dimensio- nen. Einerseits müssen Entwickler und Betrei- ber solcher Anwendungen sicherstellen, dass die erhobenen Daten vor unbefugtem Zugriff geschützt sind. Die Umsetzung der Einhaltung datenschutzrechtlicher Vorgaben wie der Daten- schutzgrundverordnung (DSGVO) muss daher integraler Bestandteil der Apps sein. Anderer- seits ist es ebenso wichtig, dass die Integrität und Verfügbarkeit der Daten gewahrt bleibt, um eine kontinuierliche und fehlerfreie Nutzung zu ermöglichen. Diese Herausforderungen werden durch die Vielfalt und Sensibilität der verarbeite- ten Daten noch verstärkt. Das Risiko von Datenschutzverletzungen ist dabei nicht zu unterschätzen. Denn Vorfälle können zu einem empfindlichen Verlust des Vertrauens in die betreffende App führen, recht- liche Konsequenzen nach sich ziehen und nicht zuletzt ernsthafte Auswirkungen auf die Ge- sundheit und das Wohlbefinden der betroffenen Personen haben. Zudem könnte die Offenle- gung sensibler Gesundheitsinformationen ohne die Zustimmung der Nutzer deren Privatsphäre massiv verletzen und zu sozialen oder berufli- chen Nachteilen führen. Ein weiteres Problem stellt die technische Um- setzung effektiver Datenschutzmaßnahmen dar. Viele Gesundheits-Apps sind auf eine ständige Verbindung mit dem Internet angewiesen, um Daten zu synchronisieren und Updates zu erhal- ten. Dies eröffnet potenzielle Angriffsflächen für 56 IT-SICHERHEIT_4/2024 ******* m o c . e b o d a k c o t s - i . k g n e H : d l i B Cyberangreifer, die diese Verbindungen ausnut- zen könnten, um Schadsoftware zu verbreiten oder Daten abzugreifen. Zudem erfordert die Ab- sicherung der Kommunikation zwischen der App und zentralen Servern den Einsatz fortschrittli- cher Verschlüsselungstechnologien, die sowohl die Datenübertragung als auch die gespeicher- ten Daten selbst schützen. STANDARDS FÜR EINE SICHERE ANWENDUNG Um die Sicherheitsrisiken zu minimieren, ist es daher unerlässlich, dass Entwickler von Gesund- heits-Apps eine Reihe von Best Practices in Be- zug auf Sicherheit implementieren. Dazu gehört die Anwendung starker Verschlüsselungsver- fahren sowie die Gewährleistung einer sicheren Authentifizierung und Autorisierung von Nut- zern. Darüber hinaus ist eine kontinuierliche Überwachung und Aktualisierung der Schutz- maßnahmen notwendig, um neu entstehende Bedrohungen abzuwehren und den Schutz der Nutzerdaten zu garantieren. Um diesen Herausforderungen zu begegnen, ist ein mehrschichtiger Ansatz erforderlich, der diverse Sicherheitsmaßnahmen umfasst. Dazu gehören zum Beispiel die Entwicklung sicherer Vorgehensweisen bei der Implementierung („coding best practices“), die regelmäßige Über- prüfung der Sicherheitskonfigurationen und die Implementierung von Zugriffskontrollen. Konkrete Werkzeuge zur Gewährleistung der App-Security stellt beispielsweise das OWASP Mobile Security Testing Guide (MSTG) zur Ver- fügung. Das OWASP MSTG ist ein umfassendes Handbuch, das Entwicklern, Testern, Soft- warearchitekten und Sicherheitsexperten Richt- linien und Techniken bereitstellt, um die Sicher- heit von mobilen Anwendungen zu verbessern. OWASP steht für Open Web Application Security Project, eine internationale gemeinnützige Or- ganisation, die sich der Verbesserung der Sicher- heit von Software widmet. Das MSTG konzen- triert sich speziell auf mobile Anwendungen und deckt verschiedene Aspekte der Sicherheitsprü- fung ab, einschließlich der Architektur mobiler Apps, der Datenhaltung, der Netzwerkkommu- nikation und der Benutzerauthentifizierung. Das OWASP MSTG bietet: ƒ Prüfstandards für mobile Apps: eine umfas- sende Checkliste für die Sicherheitsprüfung mobiler Anwendungen, die Entwicklern und Sicherheitstestern als Leitfaden dient. ƒ Praxisorientierte Anleitungen: detaillierte Beschreibungen von Sicherheitsbedrohungen und Angriffsszenarien sowie entsprechende Gegenmaßnahmen und Best Practices zur Sicherung von mobilen Anwendungen. ƒ Tools und Techniken: Empfehlungen zu Werkzeugen und Methoden für die Durch- führung von Sicherheitstests bei mobilen Anwendungen. ƒ Fallstudien und Beispiele: konkrete Beispiele und Fallstudien, die zeigen, wie Sicherheits- prinzipien in der Praxis angewendet werden können.

MOBILE SECURITY | MESSENGER Sichere Messenger im Business am Beispiel von Signal E­MAIL WAR GESTERN Messenger sind aus unserem Leben nicht mehr wegzuden- ken. Das gilt für unser Privat- leben, in dem wir mit der Familie, dem Sport- verein oder der Kita-Elterngruppe mittlerweile vorwiegend über Messenger kommunizieren. Es gilt aber auch zunehmend für die berufliche Kommunikation. Laut der Studie „Nutzung von Online-Kommunikationsdiensten in Deutsch- land“ der Bundesnetzagentur aus dem Jahr 2023 benutzen 78 Prozent der deutschen Firmen Messenger und Sofortnachrichtendienste für die geschäftliche Kommunikation. Als meistgenutzte Softwarelösung liegt mit Microsoft Teams zwar ein Businessprodukt auf dem ersten Platz, auf dem zweiten Platz folgt mit WhatsApp allerdings schon ein klassischer Messenger, der nicht dezidiert für den Unter- nehmensbereich konzipiert wurde. Und auch andere Messenger wie Facebook Messenger, Signal, Threema oder Telegram sind prominent in der Liste vertreten. Gerade in kleineren Betrieben ersetzen Mes- senger dabei oft Business-Lösungen wie Teams, Zoom oder Slack. Auch weil Messenger meist kostenlos sind und sich zur gleichzeitigen Kom- munikation mit den Kunden eignen. Aus Sicht der IT-Sicherheit lohnt es sich daher, Messenger in der Unternehmenskommunikation näher zu betrachten. Im Folgenden soll dies ex- emplarisch am Beispiel von Signal geschehen, da der Messenger ein besonderes Augenmerk auf 58 IT-SICHERHEIT_4/2024 Datenschutz und Sicherheit legt. Dabei werden die Stärken für den Unternehmenseinsatz aufge- zeigt, aber auch wo noch Lücken, Einschränkun- gen und eventueller Nachholbedarf bestehen. KERNBESTANDTEILE Moderne Messenger zeichnen sich durch essen- zielle Sicherheitsmerkmale aus, die den Schutz sensibler Daten und die Privatsphäre der Nutzer gewährleisten sollen. Am Beispiel der Funktions- weise von Signal gibt es folgende Kernelemente: 1. Ende-zu-Ende Verschlüsselung Manch einer erinnert sich vielleicht noch an Pretty Good Privacy (PGP), das sichere, aber recht umständliche Verfahren zur Ende-zu-En- de-Verschlüsselung von E-Mails. Bereits Anfang der 1990er-Jahre entwickelt, konnte sich PGP nie über Nischen hinaus durchsetzen. Während die Transportverschlüsselung im Online-Bereich durch Initiativen wie Let’s Encrypt oder HTTPS Everywhere immer mehr zum Standard wurde, blieb das Thema Ende-zu-Ende-Verschlüsselung etwas auf der Strecke. Das änderte sich erst mit dem Aufkommen der Messenger, die auch die letzte Lücke in der Ver- schlüsselungskette schlossen und schlussendlich echte Ende-zu-Ende Verschlüsselung für große Kommunikationsbereiche etablierten. Exkurs: Signal-Protokoll Im Zentrum dieser Entwicklung steht das Signal- Protokoll. Es wurde 2013 von den Signal-Ent- wicklern Moxie Marlinspike und Trevor Perrin entworfen und seitdem kontinuierlich weiter- entwickelt. Es besteht aus einer innovativen Kombination existierender kryptografischer Elemente, um eine sichere asynchrone Kommu- nikation zwischen zwei oder mehr Teilnehmern zu ermöglichen. Die technischen Spezifikati- onen des Protokolls finden sich unter https:// signal.org/docs/ , und der zugehörige Code ist Open Source unter https://github.com/signalapp/ libsignal zugänglich. Kernelemente sind dabei ein Schlüsselaustausch via Extended Triple Diffie-Hellman sowie der „selbstheilende“ Double-Ratchet-Algorithmus, der zu einem ständigen Wechsel der Schlüssel führt. Selbst für den unwahrscheinlichen Fall, dass ein Schlüssel von einem Angreifer geknackt werden würde, könnte damit nur eine einzige Nachricht entschlüsselt werden. Alle anderen Nachrichten wären davon nicht betroffen. 2023 wurde das Protokoll schließlich mittels Post-Quantum Extended Diffie-Hellman (PQXDH) um Post-Quanten-Kryptografie erweitert, um vor etwaigen zukünftigen „harvest now, encrypt later“-Angriffen durch Quantencomputer zu schützen. Heute gilt das Signal-Protokoll als Gold-Standard in Sachen Ende-zu-Ende-Verschlüsselung und wird von allen großen Tech Unternehmen wie Google, Meta und Microsoft zur Verschlüsselung in Produkten wie WhatsApp, Facebook Messen- ger, Skype oder Google Messages genutzt. Auch . m o c . e b o d a k c o t s - o t o h P n e D : d l i B In der heutigen Geschäftswelt, in der schnelle und effektive Kommunikation unerlässlich ist, setzen viele Unternehmen neben der guten alten E-Mail auch auf Messenger-Dienste. Doch wie sicher sind diese Kommunikationsmittel? Unser Autor beschreibt anhand von Signal die wichtigsten Funktionen, um Datenlecks zu verhindern und die Integrität der Kommunikation zu gewährleisten.

AUS DER FORSCHUNG | HBBTV UND DATENSCHUTZ Wie Sender Tracking und Cookies einsetzen HBBTV UND DIE DATENSAMMELWUT HbbTV hat sich zu einer beliebten Möglichkeit entwickelt, traditionelles Fernsehen mit internetbasierten Inhalten zu kombinieren. Die Technologie wirft jedoch auch Bedenken hinsichtlich des Schutzes der Privatsphäre der Nutzer auf. Eine Studie hat nun untersucht, wie Daten gesammelt und Nutzer getrackt werden – mit alarmierenden Ergebnissen. 60 60 IT-SICHERHEIT_4/2024 IT-SICHERHEIT_4/2024

AUS DER FORSCHUNG | HBBTV UND DATENSCHUTZ PROFIL GENERAL ROT GRÜN BLAU GELB # 3PS #­3P­COOKIES MEAN MIN MAX 36 107 77 47 88 167 560 287 189 300 2,31 3,59 3,69 2,04 3,2 1 1 1 1 1 8 22 21 16 24 SD 1,74 5,82 4,27 2,34 4,16 Tabelle 1: Cookies von Third Parties nach Profilen ziert wurden [9], ist die Technologie in HbbTV-An- wendungen weniger verbreitet. Tracking-Methoden und ihre Verbreitung Tracking ist ein weit verbreitetes Phänomen in vielen digitalen Diensten. Um zu bewerten, in- wieweit HbbTV-Anwendungen solche Techniken nutzen, wurden alle vollständigen URLs aus dem HTTP-Verkehr mit Filterlisten wie EasyList [2] und der Pi-hole-Blockliste [7] verglichen. Es stellte sich heraus, dass nur 0,5 Prozent der URLs von EasyList und 1,17 Prozent von Pi-hole markiert wurden (siehe Tabelle 2). Dies könnte darauf hin- deuten, dass Tracking in HbbTV-Anwendungen entweder weniger verbreitet ist oder von ande- ren Parteien durchgeführt wird als im Web. Einsatz von Tracking-Pixeln Tracking-Pixel sind nahezu unsichtbare Bilder, die verwendet werden, um Nutzer zu verfolgen. Die Studienautoren identifizierten Tracking-Pixel an- hand von drei Kriterien: (1) Der HTTP-Content-Typ zeigt ein Bild an, (2) die Datenmenge ist kleiner als 45 Byte und (3) der HTTP-Response-Code ist 200 (OK). Es konnten so insgesamt 277.574 Tra- cking-Anfragen identifiziert werden, von denen nur 0,2 Prozent von EasyList markiert wurden. PROFILE GENERAL ROT GRÜN BLAU GELB PI-HOLE EASY­LIST TRACKING­PIXEL FINGERPRINTS 203 2.120 1.051 313 1.668 6 1.375 463 8 660 80.960 90.199 14.593 5.925 85.897 51 536 161 179 151 Tabelle 2: Tracking in HbbTV Profilen 62 IT-SICHERHEIT_4/2024 auf ein verstreutes Third-Party-Cookie-Ökosys-tem hinweist, im Gegensatz zum Web, das von wenigen großen Akteuren dominiert wird. Ta-belle 1 gibt einen Überblick, über die Anzahl der Third-Parties und die Anzahl der Cookies, die diese bei jedem Profil setzen. Kommunikation zwischen Third-Parties: Cookie-SyncingWährend viele Drittanbieter direkt auf mehre-ren Kanälen eingebettet sind, bleibt unklar, ob sie untereinander Daten austauschen. Cookie-Syncing, ein zweistufiger Prozess, ermöglicht den Datenaustausch zwischen Drittparteien. Dabei lädt eine Website zunächst ein Drittan-bieter-Skript, welches dann an einen Synchro-nisierungspartner weitergeleitet wird. Diese weitergeleitete Anfrage enthält beispielsweise eine Benutzer-ID.Um Cookie-Syncing in den Daten zu identifizie-ren, analysierte man, ob eine Drittpartei eine HTTP-Anfrage mit einem (Cookie-)Identifikator an eine andere Partei sendete. Dazu adaptierten die Forscher eine Methode von Acar et al. zur Identifizierung von Cookies, die möglicherwei-se eine ID enthalten könnten. Dabei betrachtet man einen Cookie-Wert als einen Identifika-tor, wenn er: (1) zwischen 10 und 25 Zeichen lang war (d. h. genügend Entropie für eine ID aufwies) und (2) kein gültiger Unix-Zeitstempel innerhalb des Messzeitraums war. Viele Cookie-Werte enthalten solche Zeitstempel für unter-schiedliche Zwecke, zum Beispiel zur Einholung von Einwilligungen oder beim Kanalwechsel.Diese Methode identifizierte 14.236 Cookie-Werte, die potenziell eine ID sein könnten. Von diesen wurden 25 Werte in einer HTTP-Anfrage an eine andere Partei übertragen. Die meiste Synchronisierungsaktivität fand im Rot-Profil statt, während im Allgemeinen und im Gelben Profil keine einzige Instanz beobachtetet wur-de. Nur zwei Domains (nach eTLD+1) verur-sachten Synchronisierungsaktivitäten, wobei die Cookies Benutzer-IDs enthielten. Diese Domains waren adform.net mit 22 (88 %) Syn-chronisierungsaktivitäten (Cookie-Name: uid) und arte.tv mit drei (12 %) Synchronisierungs-aktivitäten (Cookie-Name: deviceId).Insgesamt beobachteten die Autoren der Studie Cookie-Syncing-Aktivitäten auf 20 Kanälen. Im Vergleich zu Cookie-Syncing im Web, wo etwa 500 Synchronisierungsverbindungen identifi-Diese Anfragen stammten von 47 verschiedenen eTLD+1, wobei acht (17 %) auf EasyList standen.Fingerprinting-TechnikenFingerprinting wird häufig verwendet, um Nut-zende ohne Cookies zu verfolgen. Die Studien-autoren untersuchten Antworten, die JavaScript-Code enthielten und Skripte, die APIs wie Canvas oder WebGL nutzen. Dieser Ansatz identifizierte 60 (15 %) Sender, die Fingerprinting-Techniken verwendeten, was mit dem Anteil der Websites vergleichbar ist, auf denen diese Technik genutzt wird. Von allen identifizierten Fingerprinting-Anfragen wurde nur eine eTLD+1 von EasyList markiert.Unzureichende Blocklisten für Smart TVs und HbbTVSpezielle Blocklisten für Smart-TVs und HbbTV, wie die von Perflyst [6] und Kamran [5], blockier-ten deutlich weniger Tracking-Anfragen als die reguläre Pi-hole-Filterliste. Dies zeigt, dass diese Listen Nutzer nicht ausreichend vor HbbTV-spe-zifischem Tracking schützen. Häufig verwendete Tracker wie tvping.com fehlen auf diesen Listen, was darauf hinweist, dass der Fokus dieser Lis-ten auf Anwendungen wie Netflix liegt und nicht auf HbbTV.

AUS DER FORSCHUNG | HBBTV UND DATENSCHUTZ beispielsweise mehr personenbezogene Daten sammeln. Dabei wurden nur Kanäle berücksich- tigt, bei denen mindestens eine Tracking-Anfra- ge beobachtet wurde. Durchschnittlich sendete ein Kanal 1.132 Tra- cking-Anfragen, wobei die Spannweite von 1 bis 59.499 reichte. Ein einzelner Kanal stellte dabei 59.499 Tracking-Anfragen, von denen 99,7 Prozent an tvping.com gingen – und das ausschließlich im Rot-Profil. Im Schnitt kontak- tierten die Kanäle 7,25 Tracker. Die zehn Kanäle mit den meisten Trackern machten 6,34 Pro- zent der gesamten Tracking-Anfragen aus. Das verdeutlicht, dass nicht nur wenige Kanäle, sondern viele für die Tracking-Anfragen verant- wortlich sind. Statistische Analysen ergaben, dass die Anzahl der verwendeten Tracker stark vom jeweiligen Kanal abhängt. Bestimmte Ka- näle verfolgen Nutzer intensiver als andere, aber Tracking ist generell auf allen präsent. Zudem hatte das Benutzerprofil, also welcher Knopf gedrückt wurde, einen größeren Einfluss auf das Tracking-Verhalten als der Kanal selbst. Dies bedeutet, dass die Benutzerinteraktion das Aus- maß des Trackings stärker beeinflusst als der betrachtete Kanal. EMPFEHLUNGEN: DATEN- SCHUTZ VERBESSERN Die Studie hat den Datenschutz im europäi- schen HbbTV-Bereich unter die Lupe genom- men. Anhand eines Messrahmens sammelten die Forscher den HTTP(S)-Datenverkehr von 391 HbbTV-Kanälen und bewerteten deren Daten- schutzpraktiken in drei wesentlichen Bereichen: Nutzende-Tracking, Einwilligungskontrollen und Datenschutzrichtlinien. Die Ergebnisse sind alar- mierend: Die überwiegende Mehrheit (95 %) der analysierten Kanäle verfolgt ihre Zuschauer mit- tels Tracking-Pixeln oder Geräte-Fingerprinting. Dabei unterscheidet sich das HbbTV-Tracking- Ökosystem deutlich vom Web-Ökosystem und bezieht weitere Akteure ein. Trotz der verbrei- teten Nutzung von Tracking-Technologien sind diese Praktiken oft schlecht dokumentiert oder nicht offengelegt. Besonders bedenklich ist das Tracking auf Kanälen, die sich an Kinder richten, da hier besondere Datenschutzanforderungen gemäß der DSGVO gelten. Von den 57 untersuchten Datenschutzrichtlini- en wiesen viele erhebliche Mängel auf, darunter nicht deklariertes Tracking und inkonsistente Of- fenlegungen. Die Zuschauer können sich derzeit nicht darauf verlassen, dass die Standardfilterlis- ten sie vor Tracking im HbbTV-Bereich schützen. Angesichts der Ergebnisse sollten die Ver- antwortlichen maßgeschneiderte Filterlisten für HbbTV entwickeln, die spezifisch auf die Tracking-Praktiken in diesem Bereich abge- stimmt sind, um so einen besseren Schutz der Privatsphäre der Zuschauer zu gewährleisten. Zudem ist es essenziell, dass HbbTV-Anbieter ihre Datenschutzpraktiken überarbeiten und für mehr Transparenz sorgen. Das umfasst klare und vollständige Datenschutzrichtlinien sowie effek- tive Einwilligungskontrollen, die den Zuschauern echte Wahlmöglichkeiten bieten. Die Umsetzung dieser Maßnahmen würde dazu beitragen, den Datenschutz im Bereich HbbTV deutlich zu verbessern und das Vertrau- en der Zuschauer in die Nutzung dieser Dienste zu stärken. n CHRISTIAN BÖTTGER Doktorand im Themenschwerpunkt „Privatsphäre im Internet“ im Institut für Internet-Sicherheit – if(is) an der Westfälischen Hochschule in Gelsen- kirchen. NURULLAH DEMIR Post-Doc mit dem Schwerpunkt „Web-Analyse und -Auswertung“ im Institut für Internet-Sicherheit – if(is) an der Westfälischen Hochschule in Gelsenkirchen. NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet-Sicher- heit – if(is) an der Westfälischen Hoch schule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundesver- bands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverbandes – eco. Literatur [1] Cortesi, A., Hils, M., Kriechbaumer, T., and contributors. 2010. mitmproxy: A free and open source interactive HTTPS proxy. https://mitmproxy.org/. [2] EasyList. 2023. EasyPrivacy. [3] European Parliament and the Council of the European Union, The. 2016. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation). https://eur-lex.europa.eu/eli/reg/2016/679/oj. [4] Iyer, S. 2023. pywebostv 0.8.2. [5] Kamran, H. 2023. Blocklists. [6] Perflyst. 2018. PiHoleBlocklist. [7] Pi-hole. 2023. StevenBlack/hosts. [8] RootMyTV. 2023. RootMyTV 2.0. [9] Urban, T., Tatang, D., Holz, T., and Pohlmann, N. 2018. Towards Understanding Privacy Implications of Adware and Potentially Unwanted Programs. In esorics. ESORICS, 449–469. DOI=10.1007/978-3-319-99073-6_22. TOBIAS URBAN ist Professor für Cyber-Sicherheit mit dem Forschungsschwerpunkt „Schutz von Online-Anwendungen und Verbesserung der Privatsphäre im Internet“ im Institut für Internet- Sicherheit – if(is) an der Westfälischen Hochschule in Gelsenkirchen. 64 IT-SICHERHEIT_4/2024

VORSCHAU Ausgabe 5|24 OKTOBER/ NOVEMBER IT­SA, NÜRNBERG, 22. BIS 24. OKTOBER 2024 Nürnberg, die Hochburg der Cybersicherheit: Die it-sa Expo&Congress ist der Pflichttermin für alle Experten, die ihr Unternehmen gegen die Bedrohungen der digitalen Welt rüsten wollen. Hier vereint sich die Crème de la Crème der IT-Sicherheitsbranche, um Lösungen für die drängendsten Herausforderungen unserer Zeit zu präsentieren: Cloud und Mobile Security, der Schutz von Daten und Netzwerken sowie die Abwehr von Angriffen auf kritische Infrastrukturen und die Industrie 4.0. 19.449 Fachbesucher aus 55 Ländern und 795 Aussteller aus 30 Nationen kamen 2023 zur Messe – das sind Zahlen, die für sich sprechen. In unserem großen it-sa-Special in der nächsten Ausgabe erfahren Sie alles, was Sie für Ihren Messebesuch wissen müssen. Weitere geplante Themen: ƒ Mit DevSecOps zu sicherer Software: Zusammenarbeit und Kommunikation bei der Softwareentwicklung ƒ Die TLS-Testsuite des KoTeBi-Projekts ƒ Stolperfallen und Streitpunkte zwischen Versicherer und Versicherungsnehmer bei der Schadenregulierung ƒ … IN UNSEREM VERLAG ERSCHEINEN AUßERDEM NOCH FOLGENDE ZEITSCHRIFTEN 66 IT-SICHERHEIT_4/2024 Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 11 A · 50226 Frechen www.datakontext.com Chefredaktion: Sebastian Frank (S.F.) E-Mail: s.frank@kes.de Online-Redaktion: Jessica Herz Leitung Online herz@datakontext.com +49 2234 98949-80 Lisa Bieder Konstantin Falke Silvia Klüglich Janek Mazac Philip Meyer Chiara Schönbrunn Content von The Hacker News (THN) Grafik/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 30 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 139,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln kündbar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschickte Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Veröffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Genderhinweis: Gleichberechtigung ist uns wichtig! Für eine bessere Lesbarkeit unserer Fachtexte verzichten wir jedoch auf die gendergerechte Schreibweise und nutzen das generische Maskulinum als neutrale grammatikalische Form. Personen- bezeichnungen beziehen sich auf alle Geschlechter. Beilagen: DATAKONTEXT GmbH, Frechen Titelbild: Vitor Miranda - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; DALL·E; (2rogan, ALL YOU NEED studio, andrew_shots, Andrii, Ar_TH, B Studio, DenPhoto, drawlab19, Dzianis Vasilyeu, DzRareStock, growth.ai, H. Brauer, Hengki, Kampan, klyaksun, Mister G.C., orbcat, Robert Daly/KOTO, tippapatt, VRVIRUS, Who is Danny) - stock.adobe.com 30. Jahrgang 2024 · ISSN: 1868­5757

PLAY HARD. PROTECT SMART. JETZT GRATIS-TICKET SICHERN! 22. – 24. Oktober 2024 Nürnberg, Germany itsa365.de/itsa-expo-besuchen