HZ212325 · ISSN 1868-5757 · www.datakontext.com Juni/Julii 3/2022 Was eine risiko­ basierte Sicher­ heits strategie zum Erfolgs modell macht Stefan Rabben von Wallix erklärt, wie Unternehmen den Angreifern immer einen Schritt voraus sind SPECIAL in Kooperation mit Innovative Verwaltung: IT­Sicherheit in der öffentlichen Verwaltung ▪ Welche besonderen technischen, strukturel- len und regulatorischen Anforderungen für Behörden auf die IT warten – und wie sie erfolgreich gemeistert werden können ▪ Inklusive Marktüberblick von Anbietern und deren Lösungen Schwerpunkt IAM: Welche Technologiepaarungen zu spannenden Identity-Lösungen führen Supply Chain Security: Wie sich Lieferketten vor Angriffen schützen lassen Single-Sign-on: Anwendungen für die neue Arbeitswelt

WER BIST DU? Eine einfache Frage – aber die Antwort darauf gehört wohl mit zu den ältesten, gern geübten Täuschungsmanövern der Menschheit. Auch im Internet verstecken sich Menschen und Organisa- tionen hinter einer falschen Identität – aus Vorsicht, Feigheit, Taktik oder um ein bestimmtes Ziel zu erreichen. Nicht immer sind unlautere Motive der Grund für die Verstellung, aber bei einem Großteil von kriminellen Handlungen spielt eine verschleierte oder manipulierte Identität eine Hauptrolle. Umgekehrt gibt es kaum eine zwischenmenschliche Interaktion, bei der die Identität keine Rolle spielt. Im Netz gilt das umso mehr, denn der Baukasten für Täuschungen wächst mittlerweile ins uferlose, während das Zielpublikum dank Social Media vom Kreis der Anwesenden auf die gesamte Community des entsprechenden Dienstes erweitert wurde. Seit jeher zerbrechen sich findige Geister aus der Internet-Gemeinde daher die Köpfe, wie sich Identitäten sicher feststellen und nachweisen lassen. Die Methoden, die sich daraus entwickelt haben, sind heute die Basis für jegliches private und geschäftliche Geschehen im Internet. In Unter- nehmen hat sich für Prozesse, die mit der Feststellung von Identitäten und den damit verbundenen Zugriffsrechten auf IT-Ressourcen zu tun haben, das Identity and Access Management (IAM) als grundlegende Disziplin herausgebildet. Rechte von Personen, Maschinen und Programmen werden dabei mithilfe eines zentralen Managementsystems verwaltet und durchgesetzt. Das Konzept einer zentralen ID hat sich in Folge auch in den großen Cloud- und Social-Media-Platt- formen rund um den Globus durchgesetzt. Google, Facebook, Apple und einige weitere dominieren derzeit als zentralisierte ID-Provider die Verwaltung von Identitätsdaten bei sehr vielen IT-Diensten weltweit. Das bringt zwar auch für die Nutzer einige Vereinfachungen – schafft aber gleichzeitig eine große Abhängigkeit der Gesellschaft, der Unternehmen und der Nutzer im Cyberraum. Außerdem nutzen die monopolistischen ID-Provider die sensiblen personenbezogenen Daten ihrer Kunden für eigene Werbezwecke oder verkaufen sie aus ökonomischen Interessen an weitere Unternehmen. Das schwächt die Privatsphäre der Nutzer, schürt ihr berechtigtes Misstrauen und bremst letzten Endes so die Fortschritte der Digitalisierung. Seit einigen Jahren gibt es ein Gegenkonzept zu zentralen ID-Diensten. Dabei geht es um eine selbst bestimmte digitale Identität, in Fachkreisen gern als Self-Sovereign Identity (SSI) oder dezentrale Identität (DID) bezeichnet. Hinter den neuen Konzepten steht die Vision eines „Internets, in dem Menschen einander vertrauen können“, wie es Nat Sakimura, Chairman der OpenID Foundation, im vergangenen Jahr formulierte. Die gute Nachricht: Die Entwicklungen bei der SSI gehen gut voran und auch erste Konzepte für die Integration mit klassischem IAM haben bereits Gestalt angenommen. Wie das aussieht und welche weiteren spannenden Trends es im Umfeld des Access-Managements gibt, lesen Sie in unserem kleinen Schwerpunkt „IAM“ in dieser Ausgabe. Ebenfalls in diesem Heft: Ein Special zum Thema IT-Sicherheit in der öffentlichen Verwaltung – in Kooperation mit der Zeitschrift Innovative Verwaltung. Ich bin Stefan Mutschler, und ich wünsche Ihnen viel Spaß beim Lesen! EDITORIAL Stefan Mutschler twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_3/2022 3

INHALTSVERZEICHNIS 22 KEYCLOAK: LOG-IN UND SSO MACHEN NOCH KEIN IAM 66 WIE SICH LIEFERKETTEN VOR ANGRIFFEN SCHÜTZEN LASSEN CYBERSICHERHEIT 64 Log-in-Daten verstärkt unter Hacker-Beschuss PHISHING INS LEERE LAUFEN LASSEN AUS FORSCHUNG UND TECHNIK 66 Wie sich Lieferketten vor Angriffen schützen lassen SUPPLY CHAIN SECURITY IT­RECHT | DATENSCHUTZ | DATENSICHERHEIT 72 Was die DS-GVO nach Datenschutzvorfällen vorschreibt BITTE MELDEN! SERVICES 77 Webportal 78 VORSCHAU: Ausblick auf Ausgabe 4 | 2022 78 Impressum 72 WAS DIE DS-GVO NACH DATENSCHUTZVORFÄLLEN VORSCHREIBT ADVERTORIALS 11 Klimaschutz und Nachhaltigkeit durch Green IT 16 Darum sollten Sie die Ver waltung von Zutrittsrechten automatisieren 24 Im Interview: Gründer und Product Owner Robert Bauer KEYCLOAK UND IDENTITY AS A SERVICE – WO GEHT DIE REISE HIN? IT-SICHERHEIT_3/2022 5

gegeben. Das TAB setzt sich aus Topmanagern führender globaler Tech­ nologieunternehmen zusammen und soll die Expertise des MEF­Vor­ stands ergänzen sowie wichtige Perspektiven von Technologieanbietern in die strategische Arbeit des MEF einbringen. Mit dem TAB sollen Beiträge aller wichtigen Interessengruppen – Cloud­, Netzwerk­ und Technologieanbieter – berücksichtigt werden, um das Öko­ system bei der schnelleren Entwicklung und Markteinführung von neuen Lösungen wie im Bereich der Cybersicherheit, Geschäftsautomatisierung, SD­WAN und Edge Computing zu unterstützen. Das TAB will sich zunächst darauf konzentrieren, die Effizienz und die Möglichkeiten innerhalb des Ökosystems und der Lieferkette der Mitglieder zu verbessern und somit schneller Umsätze zu erzielen. Im TAB sitzen Branchenexperten von Versa Networks, Blue Planet, Cisco, Fortinet, Netcracker Technology, Salesforce, ServiceNow, Spirent und VMware. n IVANTI UND LOOKOUT KOOPERIEREN Ivanti und Lookout wollen mit einer neuen Kooperation Unternehmen dabei unterstützen, die Cloud­Einführung zu beschleunigen und ihre Zero­Trust­Sicherheitsposition im „Everywhere Workplace“ zu verbessern. Look out ist ein führender Anbieter von Endpoint­to­Cloud­Sicherheit. Ivanti ist der Anbieter der Automatisierungsplattform Ivanti Neurons, die IT­As­ sets von der Cloud bis zum Edge entdeckt, verwaltet, sichert und wartet. Ivanti und Lookout haben ihre branchenführenden Technologien – Ivanti Neurons für Zero Trust Access (ZTA), Lookout Cloud Access Security Broker (CASB) und Lookout Secure Web Gateway (SWG) – integriert, um Kunden dabei zu unterstützen, eine vollständige Bedrohungsabwehr und Datensi­ cherheit sowohl On­Premises als auch in der Cloud, innerhalb und außer­ halb des Netzwerks, zu erreichen und dabei die Sicherheitsprinzipien von Zero Trust Access einzuhalten. „Wir freuen uns, mit Lookout zusammen­ zuarbeiten, um Unternehmen bei der Lösung dieser Herausforderungen zu unterstützen“, erklärte Nayaki Nayyar, President und Chief Product Of­ ficer bei Ivanti. „Diese Partnerschaft ermöglicht es uns, die Ivanti Neurons for ZTA­Lösung um CASB­ und SWG­Technologien über die Lookout Secu­ rity Platform zu erweitern. Unsere drei Kerntechnologien lösen unter­ schiedliche, jedoch gleichermaßen wichtige Sicherheitsprobleme. Wenn sie zusammen eingesetzt werden, ermöglichen sie Unternehmen eine sichere Cloud­Einführung, bessere Endbenutzererfahrung und umfassen­ de Zero­Trust­Sicherheitsposition.“ n YUBICO IST JETZT MITGLIED DES DSIN Yubico ist jetzt Mitglied bei Deutschland sicher im Netz e.V. (DsiN). Als gemeinnütziges Bündnis unterstützt DsiN Verbraucher und kleinere Un­ ternehmen im sicheren und souveränen Umgang mit der digitalen Welt. Dafür bietet der Verein in Zusammenarbeit mit seinen Mitgliedern und Partnern konkrete Hilfestellungen sowie Mitmach­ und Lernangebote für Menschen im privaten und beruflichen Umfeld an. Hintergrund der Zusam­ menarbeit mit dem DsiN ist nicht zuletzt Yubicos Mission, das Internet zu einem sichereren Ort zu machen und im Zuge dessen dafür zu sorgen, dass digitale Sicherheit jedermann zugänglich gemacht wird. „Mit der Erfahrung und Expertise von Yubico stärken wir unsere Aufklärungsarbeit bei DsiN UNTERNEHMEN | NEWS zum Schutz digitaler Identitäten und individueller IT­Sicherheit. Ein sicherer Log­in kann schon heute ein hohes Maß an IT­Schutz gewährleisten. Das erforderliche Know­how fördern wir in unseren vielfältigen Angeboten wie dem neuen DsiN­Digitalführerschein für Basiskompetenzen im Alltag. Wir freuen uns, diese Arbeit künftig mit Yubico als starkem Akteur gemeinsam voranzubringen” so Michael Littger, Geschäftsführer bei DsiN. n RITTAL UND PAESSLER VERBINDEN IT- UND OT-MONITORING Ausfälle sind keine Option: Rechenzentren gehören als Rückgrat der digi­ talen Transformation längst zur geschäftskritischen Infrastruktur für Un­ ternehmen. Für die RZ­Verantwortlichen ist volle Transparenz über den Zustand gefragt – und zwar für die gesamte Infrastruktur aus IT und OT. Auf beide Bereiche muss gleichermaßen Verlass sein, damit Rechenzen­ tren leistungsfähig und verfügbar sind. Dabei sollen sie auch noch ohne Kompromisse mit möglichst wenig Energie funktionieren. Die Neuigkeit für Durchblick: Rittal und Paessler ermöglichen jetzt das Monitoring der IT und OT in einer gemeinsamen Lösung. Die gefragte Live­Übersicht über IT und OT auf einen Blick vereinfachen Paessler und Rittal durch die Verbindung ihrer Monitoring­Lösungen Paessler PRTG und Rittal CMC III im Rahmen des Paessler Uptime Alliance­ Programms. Das Ergebnis für die Nutzer: Sie sehen erstmals gleichzeitig in einem leistungsfähigen Tool, was bei ihrer IT und OT läuft – und zwar so, wie sie es für ihre Arbeit benötigen: In einem zentralen Dashboard für IT und Rechenzentrums­OT, in individuell konfigurierbaren Dashboards oder beispielsweise als servicebasierter Management­Überblick. „Mit Paessler und Rittal bringen zwei Unternehmen ihre Lösungen zusammen, die viel­ fach genutzte Standards gesetzt haben“, sagt Uwe Scharf, Geschäftsführer Business Units und Marketing bei Rittal: „Viele IT­Administratoren schät­ zen PRTG als ihr tägliches Standard­Tool für die IT, während die OT ihrer Rechenzentren mit Rittal OT­Lösungen und ­Monitoring aufgebaut ist. So entsteht schnell ein großer Nutzerkreis.“ Helmut Binder, CEO der Paessler AG ergänzt: „Rittal passt nicht nur wegen der Verlässlichkeit der OT zu Paessler. Mit der Kombination von Paessler PRTG mit Rittal Beratung und Komponenten erhält der Kunde beispielsweise ein detailliertes Bild über Energieverbräuche in seinem Rechenzentrum und kann damit das Ge­ samtsystem energetisch optimieren.“ n Helmut Binder, CEO Paessler, und Uwe Scharf, Geschäftsführer BUs und Mar- keting bei Rittal (v.l.), besiegeln die Kooperation für die Monitoring-Lösungen. (Foto: Rittal GmbH & Co. KG) IT-SICHERHEIT_3/2022 7

PRODUKTE | NEWS Betriebssysteme, Netzwerke und Anwendungen am Everywhere Work­ place. Er überwacht proaktiv und misst effektiv die Auswirkungen der gesamten Mitarbeitererfahrung nach Person, Mitarbeiter, Abteilung und Persona. n Version von Varonis für Salesforce stellt einen großen Fortschritt für den Schutz von SaaS­Daten dar und bietet Funktionen für eine breite Palette von Sicherheits­ und Compliance­Anwendungsfällen. n NEUE FUNKTIONEN ZUM SCHUTZ SENSIBLER DATEN IN SALESFORCE Mit neuen Funktionen unterstützt Varonis Systems Unternehmen ab sofort dabei, kritische Sicherheits­ und Compliance­Lücken in Salesforce zu schließen. Diese Erweiterungen sind Teil von DatAdvantage Cloud, das Kunden eine einheitliche Lösung zum Schutz wichtiger Daten in Sales­ force, Google Drive, Box, AWS, Okta, Jira, Slack, GitHub und Zoom bietet. Salesforce kann ein Blind Spot für Sicherheits­ und Compliance­Teams sein: Mit der Zeit geraten die Berechtigungen häufig außer Kontrolle, und es kommt vermehrt zu Fehlkonfigurationen. Zudem verbinden sich unzählige Anwendungen mit Salesforce über APIs, um Daten zu lesen und zu schreiben. Entsprechend sind die meisten Unternehmen nicht in der Lage zu erkennen, wo sich sensible Daten innerhalb von Salesforce befinden, wer Zugriff darauf hat oder wer sie verwendet. Dies erschwert die Aufrechterhaltung einer starken Sicherheitslage und die Einhaltung von Vorschriften wie der DS­GVO, HIPAA, SOX und PCI­DSS. Die neue Die neue Berechtigungsansicht zeigt aggregierte, effektive Berechtigungen auf einen Blick. (Quelle: Varonis) Anzeige Sind Sie auf die nächste Krise vorbereitet? Unsere Software hilft Ihnen bei der Planung! Business Continuity Management www.ibi-systems.de/de/BCM IT-SICHERHEIT_3/2022 9 ibi systems GmbH, Franz-Mayer-Straße 1, 93053 Regensburg

– ADVERTORIAL – Klimaschutz und Nachhaltigkeit durch Green IT Digitale Technologien wirken sich nicht nur auf Wirtschaft und Gesellschaft aus, sondern beeinflussen auch eingehend die Umwelt: Durch die Herstellung, Verwendung und Entsorgung von Hardware entstehen direkte Konsequenzen für den Klimawandel. Welche indirekten Folgen durch die Entwicklung und Anwendung von Software verursacht werden, ist aktuell noch schwer greifbar. Um zum Beispiel große Datenmengen zu verarbeiten, wird Energie benötigt. Der erhöhte Energieverbrauch jedoch begünstigt den CO2-Ausstoß und bedingt folglich steigende Emissionswerte. Die zentrale Frage ist demnach, wie natürliche Ressourcen durch den effizienten und smarten Einsatz digitaler Technologien geschont werden können. Green IT umfasst alle Bestrebungen, die Informationstechnologie umweltfreundlicher, nachhaltiger und energieeffizienter zu gestal- ten. Durch die Beschleunigung der Digitalisierung und die Zunahme digitaler (End-)Geräte und IT-Infrastrukturen in Unternehmen erge- ben sich enorme Einsparungspotenziale – einerseits hinsichtlich der CO2-Emissionen, andererseits mit Blick auf Verbrauchs- sowie Um- weltrisiken. Green IT umfasst dabei viele Aspekte: Energie-/Strom- verbrauch, Recycling, nachhaltige Produkte und Softwarelösungen, IT-Infrastruktur, Haltbarkeiten und Lieferketten. Hierzu müssen Unternehmen und Verantwortliche jetzt die richti- gen Strategien entwickeln. Die Bitkom Akademie hat gemeinsam mit ihrem Kooperationspartner Bredex einen Lehrgang zu diesem zukunftsträchtigen Thema konzipiert. Ziele des Lehrgangs Verantwortliche sind im Rahmen der Nachhaltigkeitsstrategien ihrer Unternehmen in einer besonders anspruchsvollen Rolle. Insbesondere die Kostenfaktoren im Bereich der IT-Infrastruktur haben ein enormes Einsparpotenzial. In diesem Lehrgang wird Ihnen vermittelt, wie Sie durch den Einsatz energieeffizienter IKT (Informations- und Kommunikationstechnologien) Schritt für Schritt Betriebskosten senken können. Sie definieren gemeinsam mit dem Referenten die Problembereiche und Areas of Scope Ihres Unternehmens, erlernen wichtige Fähigkeiten, um nachhaltige Querschnittsprojekte anzustoßen und diskutieren zudem die ethischen und sozialen Aspekte. Mit dem Personenzertifikat zum Green IT-Manager können Sie Ihr Fachwissen zur Kosteneinsparung sowie den nachhaltigen Umgang mit Ressourcen erweitern und unterstreichen dabei den Willen Ihres Unternehmens, die Zukunft nachhaltig mitzugestalten. Zielgruppe Der Lehrgang richtet sich an Entscheidungsträger und Führungs- kräfte, CSR-Verantwortliche, IT-Fachkräfte, IT-Administratoren, Kli- maschutz- und Nachhaltigkeitsbeauftragte sowie Energiemanage- mentbeauftragte. Darüber hinaus eignet sich der Lehrgang auch für Unternehmensberater mit den Schwerpunkten Digitalisierung, IT und Nachhaltigkeit. n Der nächste Lehrgang findet vom 10. bis 12. Oktober 2022 online statt. Für weitere Informationen kontaktieren Sie bitte Vincent Bergner: v.bergner@bitkom-service.de www.bitkom-akademie.de/lehrgang/ green-it-consultant Die Bitkom Akademie unterstützt Sie bei der Qualifizierung Ihrer Belegschaft Im Jahr 2022 haben wir eine ganze Reihe neuer Lehrgänge in unser Seminarangebot aufgenommen, beispielsweise in den Themenbereichen IT-Sicherheit, Nachhaltigkeit und künstliche Intelligenz. Somit bietet die Bitkom Akademie Ihnen auch 2022 ein komplementäres und nachhaltiges Weiterbildungskonzept aus dem breiten Bereich der digitalen Transformation. Unser Seminarangebot finden Sie unter: bitkom-akademie.de/seminare IT-SICHERHEIT_3/2022 11 iStockphoto /cyano66

E OPTION AUS DER SZENE Kritische Infrastrukturen wie Stromnetze oder Verkehrswege sind zunehmend von der Digitali­ sierung geprägt. Diese ermöglicht, die Systeme in Echtzeit flexibel und effizient zu steuern, macht sie aber auch anfälliger für Störungen und Angriffe, beispielsweise Cyberattacken. Wie sich Versorgungssysteme nachhaltig und zugleich widerstandsfähig gestalten lassen und welche Entscheidungen in kritischen Si­ tuationen zu treffen sind, damit befassen sich Forschende am Karlsruher Institut für Techno­ logie (KIT). Sie erarbeiten dazu auf künstlicher Intelligenz und Mathematik basierende Kon­ zepte und entwickeln Methoden für robuste Entscheidungen unter Beachtung neuer Risiken und Unsicherheiten. Ob bei der Versorgung mit Elektrizität, Wasser oder Lebensmitteln, beim Transport oder im Gesundheitswesen: Die Funktionsfähigkeit kritischer Infrastrukturen entscheidet über die Verfügbarkeit von ebenso alltäglichen wie le­ benswichtigen Gütern und Dienstleistungen. Innovative technologische Entwicklungen wie die zunehmende Digitalisierung ermöglichen eine flexible und dezentrale Steuerung der Ver­ sorgungssysteme und eröffnen gerade für die Energie­ und Mobilitätswende neue Chancen. Sie erhöhen aber auch die Anfälligkeit für Stö­ rungen und Angriffe von außen. So steigt seit einigen Jahren die Gefahr von Cyberattacken, bei denen nicht nur Daten missbraucht, sondern ganze Systeme lahmgelegt werden können. In einem dezentralen Energiesystem, das vor al­ lem regenerative Quellen nutzt, können zudem der Ausfall einzelner Komponenten sowie die zeit­ und witterungsbedingt schwankende Ein­ speisung die Versorgungssicherheit gefährden. Wie sich Energiesysteme und andere kritische Infrastrukturen nachhaltig und zugleich wi­ derstandsfähig gestalten lassen, erforscht die Arbeitsgruppe Resiliente und Smarte Infra­ struktursysteme – RESIS [1] unter Leitung von ◀ In großen Städten konzentrieren sich kritische Infrastrukturen. Treten Störungen auf, kann das gesamte Einzugsgebiet davon betroffen sein. (Foto: Markus Breig, KIT) IT-SICHERHEIT_3/2022 13 Illustration: © skypicsstudio - stock.adobe.com

IT-SICHERHEIT_3/2022 15

– ADVERTORIAL – ƒ Besuchermanagement optimieren: Mithilfe von Besucher­Terminals lassen sich temporäre Zutrittsanfragen schnell und einfach gewähren. Anfragen von Besuchern werden direkt an die direkten Ansprechpart­ ner weitergeleitet und vermeidbare Verzögerungen vermieden. ƒ Schnelle Einsatzbereitschaft: Die Integration von ClearID lässt sich schnell und einfach durchführen. Als Teil der vereinheitlichten Zutritts­ kontrolllösung Genetec Synergis™ ist das Zutrittsmanagement in kür­ zester Zeit einsatzbereit. ƒ Infrastrukturkosten senken: Investitionen für Server­Räume, kosten­ und zeitintensive Wartungsintervalle oder die ständige Update­Kon­ trolle entfallen, da ClearID durch seine Cloud­Architektur automatisch auf dem neuesten Stand gehalten wird. Fazit Unternehmen und Organisationen sollten ihre physischen Sicherheits­ systeme modernisieren und jede Möglichkeit nutzen, den Arbeitsauf­ wand ihres Security­Personals so gering wie möglich zu halten, damit sich dieses auf ihre Kernaufgabe konzentrieren können, den Schutz des Unternehmens. Moderne PIAM­Systeme können dabei helfen, zahlreiche Prozesse im Zutrittsmanagement zu automatisieren, menschliche Fehler zu vermeiden und Zeit sowie Geld zu sparen. n Kontakt: Genetec Deutschland GmbH De-Saint-Exupéry-Straße 10 60549 Frankfurt am Main Tel.: +49 (0)69 50 60 28 255 E-Mail: salesDACH@genetec.com IT-SICHERHEIT_3/2022 17 te Zeiträume gewähren. Das Sicherheitspersonal muss diese dann nicht nachträglich mithilfe von Wiedervorlagen oder Erinnerungen im Kalender nachverfolgen. Audits schnell und einfach durchführenUnternehmen aus stark regulierten Branchen sind verpflichtet, in regel-mäßigen Abständen Audits ihrer Zutrittskontrollsysteme durchzuführen. Dabei werden die Systeme vollständig überprüft und auch anhand detail-lierter Reportings begutachtet. Systemadministratoren stehen während eines Audits unter extremem Druck. Sie müssen sich mit riesigen Papier-bergen herumärgern, E-Mails und relevante Daten aus Dokumenten und Tabellen extrahieren und alles möglichst übersichtlich präsentieren, um ihr Vorgehen im beobachteten Zeitraum zu rechtfertigen. Solche Prozes-se sind oftmals langwierig, mühsam und fehleranfällig. Darüber hinaus müssen im Einzelfall auch die Compliance-Richtlinien im Auge behalten werden. Da die meisten Audits unangekündigt durchgeführt werden und die Aufmerksamkeit des Sicherheitspersonals erfordern, können zentrale Sicherheitsprozesse oder die Aufmerksamkeit darunter leiden. Genetec ClearID™ ermöglicht die Extraktion übersichtlicher Dashboards, Grafiken und relevanter Daten auf Knopfdruck. Damit lassen sich Audits schnell und einfach durchführen und alle getroffenen Entscheidungen lü-ckenlos und Compliance konform rechtfertigen.Vereinheitlichter Sicherheitsansatz optimiert ProzesseViele Sicherheitssysteme setzen bislang auf einen Integrationsansatz. Das heißt, dass für neue Systeme zeit- und kostenaufwendige Schnitt-stellen geschaffen werden müssen, um diese in die vorhandene Sicher-heitsinfrastruktur zu integrieren. Gerade im Bereich der PIAM-Systeme wird das schnell zu einer komplexen Herausforderung – insbesondere, wenn dazu noch individuelle Anforderungen vor Ort berücksichtigt wer-den müssen. Genetec ClearID™ ist zu 100 % in die Zutrittskontrolllösung Synergis vereinheitlicht. Dadurch werden alle im Rahmen von ClearID durchgeführten Aktionen automatisch mit Synergis synchronisiert. Vor allem für global agierende Organisationen und Konzerne mit mehreren Standorten bedeutet ein vereinheitlichter Ansatz enormes Einsparpo-tenzial, denn alle Daten können von einer zentralen Leitstelle aus ver-waltet werden. Das sind die zentralen Features von ClearID: ƒBetriebsabläufe automatisieren: ClearID automatisiert die Verwal-tung von Zutrittsanfragen, die Registrierung neuer Mitarbeiter oder den Check-in-Prozess von Besuchern. Das Personal spart dadurch Zeit und verhindert mögliche Fehler, die im Rahmen der manuellen Bear-beitung entstehen können. ƒVerwaltung von Mitarbeiterberechtigungen: Das System unterstützt Unternehmen dabei, die Rechtevergabe zu standardisieren und zu ra-tionalisieren – vom Onboarding bis zum Offboarding von Mitarbeitern. Damit bleiben alle Berechtigungen immer auf dem aktuellen Stand. ƒUnbefugten Zugriff vermeiden: Das Sicherheitspersonal behält die vollständige Kontrolle, damit lediglich Personen mit einer aktiven Be-rechtigung Zutritt zu bestimmten Bereichen haben – und zwar nur im erforderlichen Zeitraum.

DID ist seit vielen Jahren ein hei­ ßes Thema, aber eher als eine Innovation, die von traditio­ nellem IAM losgelöst ist. Dies begann sich im vergangenen Jahr zu ändern, als Nat Sakimura, Chairman der OpenID Foundation, die interna­ tionale Kolaboration GAIN (Global Assured Iden­ tity Network) vorstellte. Das „Internet, in dem Menschen einander vertrauen können“, basiert auf einer Art halbzentralisiertem (oder halbde­ zentralisiertem) Modell für Identitäten. DID- UND IAM-KONVERGENZ – EIN HEISSES THEMA In diesem Jahr wurde viel darüber gesprochen, wie diese Welten zusammengeführt werden können. Wie kann man die Authentifizierung mit einer dezentralen ID und den Nachweisen im Wallet (elektronische Brieftasche) für ein Un­ ternehmen ermöglichen, sei es als Mitarbeiter, Geschäftspartner oder Kunde? Die Integrati­ on ist recht einfach und basiert auf Standards wie OpenID Connect und dessen geplanten Erweiterungen. Dezentrale IDs können einfach zu einem weiteren Mittel für das Onboarding von Benutzern werden, das auf allen verifizier­ ten Informationen in den Wallets basiert, und die Benutzer auf der Grundlage einer erfolgrei­ chen, dezentralen Authentifizierung zulassen. Dies vereinfacht das Onboarding, da sich das Verfahren auf bewährte Daten und einen star­ ken Identitätsnachweis stützt. Die Prozess­ und Identitätsprüfungskosten können auf diese Weise massiv reduziert werden. Darüber hinaus können bei richtlinienbasierten Genehmigungen die Nachweise aus der Brief­ tasche zur Bereitstellung von Attributen für die Entscheidungsfindung verwendet werden. Wenn ein Nachweis nicht mehr gültig ist, wird dies sofort wirksam. Es gibt viele Anwendungen, um traditionelles IAM durch die Integration von dezentralen und zentralen Identitätsansätzen effizienter und leistungsfähiger zu machen. Diese Reise hat gerade erst begonnen. Bild links: Mitbegründer und Bord Member bei KuppingerCole Analysts bei einer der zahlreichen Diskussionen auf der EIC 2022 in Berlin. (Foto: KuppingerCole) SCHWERPUNKT: IAM OPA UND REGO: DIE RÜCKKEHR DES RICHT- LINIENBASIERTEN IAM Betrug nicht nur den anfänglichen Nachweis ei­ ner Identität betrifft, sondern auch den wieder­ kehrenden Zugriff und das Nutzerverhalten. Vor mehr als einem Jahrzehnt war XACML (eXtensible Access Control Markup Language) ein Trendthema, ein Standard, der es Anwen­ dungen ermöglicht, zur Laufzeit eine Anfrage an einen Autorisierungsserver zu senden. Der Server prüft dann diese Anfrage und gewährt oder entzieht den Zugriff (oder gewährt ihn mit Einschränkungen). Die Autorisierung zu exter­ nalisieren und sie auf zentral definierte, expli­ zite Richtlinien zu stützen, war eine gute Idee. Leider hat XACML das Versprechen einer breiten Akzeptanz nicht eingelöst. Beide Bereiche erfahren derzeit gesteigerte Beachtung, wobei der Identitätsnachweis auch eine enge Verbindung zu dezentralen Identitä­ ten und den wiederverwendbaren Nachweisen in Identitäts­Wallets hat. Der Identitätsnach­ weis als zuverlässige Überprüfung der Identität einer Person, zum Beispiel per Videoidentifizie­ rung, hat einen erheblichen Aufschwung erlebt, ebenso wie die Anzahl und der Reifegrad von Lösungen zur Betrugsbekämpfung – soge­ nannten FRIP (Fraud Reduction Intelligence Platforms) Das Thema richtlinienbasierte Berechtigungen und Zugriffskontrolle war nie verschwunden – neuen Schwung und damit Aufmerksamkeit be­ kam es aber erst mit dem Aufkommen von OPA (Open Policy Agent) und Rego als Policy­Sprache. Mit OPA hat die breite Einführung richtlinienba­ sierter Autorisierung durch Entwickler begon­ nen. Wenn man digitale Dienste von Grund auf neu entwickelt, ist es einfach, sich auf eine ex­ terne Policy Engine zu verlassen. Dies verringert den Aufwand für Entwickler, erhöht die Sicher­ heit und verkürzt die Time­to­Value. OPA und Rego sind nur ein Teil eines größeren Trends, bei dem richtlinienbasierte Zugriffs­ kontrollen wieder in den Mittelpunkt rücken. JIT­(Just­in­Time­)Zugriff für privilegierte und Standardbenutzer ist ein weiteres wichtiges Thema. Unternehmen zeigen wachsendes Inte­ resse, strategisch zu richtlinienbasierten Ansät­ zen im IAM überzugehen. Die Technologie reift. Die Standards entwickeln sich weiter. Es ist an der Zeit, dieses Thema wieder ganz oben auf die IAM­Agenda zu setzen – für Effizienz, Sicher­ heit und Time­to­Value. Es ist auch an der Zeit, endlich die Herausforderung der Autorisierung zu lösen – einer der chronisch unterversorgten Bereiche des IAM. IDENTITÄTSNACHWEIS UND BETRUGSBEKÄMPFUNG Abgesehen von der Konvergenz dezentraler und zentraler Identitäten und der Rückkehr richtlini­ enbasierter Zugangskontrollen gehörten Iden­ titätsnachweis und Betrugsbekämpfung zu den Trendthemen der EIC. Es handelt sich um zwei eng miteinander verbundene Themen, wobei Der wichtigste Trend ist jedoch, dass beide Technologien zum Mainstream werden. Iden­ titätsnachweise wurden bisher hauptsächlich in stark regulierten Anwendungsfällen wie der Finanzbranche oder von Telekommunikations­ unternehmen für Mobilfunkverträge eingesetzt. Die Mehrzahl der FRIP­Anwendungsfälle liegt ebenfalls noch in der Finanzbranche und in ei­ nigen Bereichen des Einzelhandels. Dies könnte sich bald ändern. Auf jeden Fall ist ein deutlicher Anstieg des Interesses und der Akzeptanz in anderen Branchen zu beobachten, für die Be­ trugsanalyse von Mitarbeitern und Geschäfts­ partnern sowie Identitätsnachweise (etwa für Remote­Mitarbeiter) ein Thema sind. HR­ und IAM­Prozesse können durch den Ein­ satz solcher Technologien modernisiert und optimiert werden, da sich die Sicherheitslage deutlich verbessern lässt. Es ist an der Zeit, dass jede Organisation dem Potenzial dieser Tech­ nologien für ihre Prozesse und Sicherheit mehr Aufmerksamkeit schenkt. n S.M. Der Beitrag basiert auf verschiedenen Blog-Beiträgen von Martin Kuppinger, die von der Redaktion über- setzt und bearbeitet wurden. Die englischen Original- beiträge gibt es – zusammen mit vielen vertiefenden Artikeln – auf den Blog-Seiten von KuppingerCole Analysts (https://www.kuppingercole.com) IT-SICHERHEIT_3/2022 19

Rechtevergabe an Personen auf Grundlage ihrer individuellen Eigenschaften (Job­Bezeichnung, Arbeitszeit, allgemeine Berechtigungen) unter Berücksichtigung der Sicherheitsrichtlinien des Unternehmens (zeitliche Begrenzung des Zu­ tritts, maximale Anzahl berechtigter Personen in bestimmten Bereichen). Sicherheitsverantwort­ liche erhalten so mit einem einzigen Mausklick einen Überblick, wer sich zu einem bestimmten Zeitpunkt in einem sensiblen Unternehmensbe­ reich aufhält und wer grundlegend eine Zutritts­ berechtigung für diesen hat. Bei unbefugtem Zugriff schlägt das System Alarm und das Perso­ nal kann Gegenmaßnahmen einleiten. PIAM-LÖSUNGEN WERDEN ERSCHWINGLICH PIAM­Systeme sind nicht neu. Bislang sind sie allerdings in erster Linie großen Konzernen und multinationalen Organisationen vorbehalten. Die Installation war komplex und mit hohem fi­ nanziellen sowie zeitlichen Aufwand verbunden, da sie maßgeschneidert entwickelt und an die spezifischen Anforderungen der Auftraggeber angepasst werden mussten. Die Implementie­ rungsphase dieser On­Premises­Lösungen (mit der gesamten Hardware vor Ort) konnte mitun­ ter bis zu drei Jahren dauern. Wer sich derartige Lösungen nicht leisten konnte, griff auf Excel­Tabellen oder Notizzet­ tel zurück, um den Überblick über vergebene Schlüssel und Karten nicht zu verlieren. Dieser manuelle Prozess erforderte eine direkte und kontinuierliche Interaktion zwischen Mitarbei­ tern, Besuchern und dem Sicherheitspersonal. Er war gleichzeitig äußerst fehleranfällig und zeit­ aufwendig. Durchgehende Kontrollen waren un­ erlässlich, um unbefugten Zugriff zu vermeiden. SCHLÜSSELFERTIGE PIAM-LÖSUNGEN Die Rahmenbedingungen ändern sich derzeit aber rasant, denn immer mehr Anbieter entwi­ ckeln schlüsselfertige Systeme für Unternehmen jeder Größe. Dabei fallen hohe Investitions­ kosten für Planung, Installation, Wartung und Hardware weg, denn moderne PIAM­Systeme arbeiten komplett cloudbasiert. Es entstehen lediglich operative Kosten für den täglichen Be­ trieb der Lösung. Im Zentrum liegt die Zeitersparnis, da Zutritts­ rechte nicht mehr manuell vor Ort vergeben oder entzogen werden müssen. Moderne PIAM­Systeme setzen auf Regeln, um den direkten Kontakt zwischen Mitarbeitern oder Besuchern und dem Sicherheitspersonal auf ein Minimum zu beschränken. So lässt sich der Zutritt zu bestimmten Bereichen auf bestimm­ te Zeitintervalle oder für einzelne Abteilungen beziehungsweise Karteninhaber direkt vom Rechner aus freischalten. Die Einbindung von Workflows ermöglicht es zudem, Zugangs­ rechte automatisiert mithilfe von Zutrittsre­ geln zu verwalten. Unternehmen profitieren bei modernen PIAM­ Lösungen vor allem auch von deutlich niedrige­ ren Kosten, da keine Serverräume, Speichermedi­ en sowie Wartungskosten und Update­Routinen notwendig sind. Kosten für physische Infra­ struktur fallen lediglich an, falls sich Unterneh­ men dafür entscheiden, auch die Zutrittsrech­ te von Besuchern automatisiert zu vergeben. Dann muss ein physisches Terminal eingerichtet werden, an dem sich Besucher bei ihrer Ankunft anmelden und einen individuellen Berechti­ gungsausweis erhalten. Das können neben einer Chipkarte auch ein QR­Code oder mobile Zugangsdaten auf dem Handy sein, die nach der Anmeldung generiert und bei Notwendigkeit zeitlich begrenzt werden. Bei Fragen steht das Sicherheitspersonal dann via Gegensprechanlage (Intercom) zur Verfügung. INSTALLATION – ES GEHT AUCH SCHNELL UND UN- KOMPLIZIERT Schlüsselfertige PIAM­Lösungen werden vor Ort in der Regel vom Lösungsanbieter zusam­ men mit einem Systemintegrator eingerichtet. Sobald das System aufgesetzt wurde, werden die individuellen Compliance­Richtlinien des Unternehmens sowie die Identitäten und Attri­ bute der Mitarbeiter implementiert. Um die Da­ tenspeicherung in der Cloud sowie die Wartung des Systems kümmert sich der Anbieter. Die Einrichtung auf Unternehmensseite ist damit bereits abgeschlossen. Anhand der implementierten Sicherheitsricht­ linien und gesetzlichen Vorgaben übernimmt das System automatisch die Vergabe und den Entzug temporärer Zutrittsrechte. Darüber hi­ naus lassen sich alle Prozesse und der Nachweis über eingehaltene Vorschriften mithilfe eines Reportings jederzeit auf Knopfdruck durch das PIAM belegen. SCHWERPUNKT: IAM FAZIT Für Anbieter von Lösungen für physisches Iden­ titätsmanagement wird es in Zukunft essenziell sein, sich aktuellen Gegebenheiten anzupassen und Innovationen voranzutreiben. Dazu kann auch die enge Zusammenarbeit mit den eige­ nen Kunden beitragen, die am besten wissen, welche Anforderungen eine Lösung vor Ort abdecken muss, um die Arbeit zu erleichtern, Kosten zu sparen und aktuelle Herausforderun­ gen zu meistern. n KAY OHSE, Regional Sales Director Germany, Switzerland, Austria, Eastern Europe bei Genetec IT-SICHERHEIT_3/2022 21 Bilder: ©istock.com/tongo51 (li.); © Royalty-Free/Corbis via Getty Images (re.)

wie Datenschutz­Grundverordnung (DS­GVO), Analysen über Nutzerverhalten oder die auto­ matisierte Berechtigungsverwaltung sind heute nicht mehr wegzudenken, aber schwierig selbst zu implementieren. Denn dies sind größtenteils klassische IAM­Funktionen, die Keycloak nicht „Out of the box“ mit sich bringt. Weiteres Manko: Die Aufmachung des Open­ Source­Tools suggeriert eine allumfassende Lösung, ein ganzheitliches IAM­System für alle Internetanwendungen. Doch dem ist nicht so. Selbst Red Hat reduziert seine Keycloak­Bezahl­ version auf den reinen Einsatz zur Authentifizie­ rung und preist sie nicht als Lösung für umfang­ reiche, IAM­bezogene „Business­Aufgaben“ an.[1] Diese Einschätzung deckt sich mit der Erfahrung von Experten. Zur Gewährleistung eines effizi­ enten und sicheren Identitätsmanagements sind folgende Zusatzfunktionen oft unerlässlich: ƒ Registrierung und Migration von Nutzer (­konten), unterschieden nach Herkunfts­ quellen zur automatisierten Einordnung in verschiedene Berechtigungslevel ƒ Automatisierung, insbesondere im User­ Life­Cycle­Management ƒ umfangreicher Benutzer­Self­Service zur Entlastung des Supports ƒ erweitertes, teilautomatisiertes Zugriffs­ rechtemanagement ƒ erweiterte Sicherheit und Skalierbarkeit von Berechtigungsstrukturen ƒ Abbildung von Organisations­, Projekt­ oder Kundenstrukturen zur Umsetzung delegierter Administration ƒ (Genehmigungs­)Workflows ƒ ein Metadirectoy und die Provisionierung von Legacy­Anwendungen zur Integration von Datenquellen ƒ Cloud­Kompatibilität ƒ unterstützende Services: professionelle/r IAM­/Keycloak­Beratung und ­Support Das „Unwissen“ über die Defizite von Keycloak führt oft zu starken Projektverzögerungen und häufig zu halb fertigen, unsicheren Lösungen, welche Versuche von Eigenprogrammierungen provozieren. TECHNISCHE FEHLER BEIM EINSATZ VON KEYCLOAK Nicht nur die Planung und Konzeption zum Ein­ satz des Open­Source­Tools stellt die Betreiber vor große Hürden. Auch technische Feinheiten lassen manche Entwickler hadern. Ein Beispiel hierfür ist das Aufsetzen mehrerer Realms, um Zugriffe auf mandantenbezogene Verzeichnis­ se voneinander zu trennen. Das kann mitunter höchst ineffizient werden, insbesondere, wenn die Mandantenzahl wächst. Für jede Instanz wer­ den letztendlich Wartung und das Updaten zu einer singulären Aufgabe, wodurch sich diese Ar­ beit über alle existierenden Realms aufsummiert. Auch die Supportlast erhöht sich dadurch stark. Die häufigsten Irrtümer beim Einsatz von Key­ cloak betreffen beispielsweise die fehlende Erweiterung der Log­in­Sicherheit durch Multi­ Faktor­Authentifizierung. Bei der Infrastruk­ turplanung wird oft übersehen, dass Keycloak keinesfalls selbst zum Single Point of Failure werden sollte, soll es doch für mehr Sicherheit sorgen. Im Produktivbetrieb stellen sich weitere im Produkt nicht adressierte Anforderungen, die etwa Skalierbarkeit oder Hochverfügbarkeit mit einschließen. LIMITS VON KEYCLOAK IN DER PRAXIS Die Community lobt an Keycloak besonders, dass die Integration von Webapplikationen durch die Standardprotokolle sehr schnell möglich ist. Zu­ dem erlauben viele Programmteile eine einfache und schnelle Konfiguration. Ist der planerische Teil und die Konfigurationsarbeit erledigt, ent­ puppen sich in der Praxis weitere Fallstricke, die Keycloak von fertigen IAM­Lösungen für brow­ serbasierte Anwendungen unterscheidet: ƒ Ein georedundanter Betrieb stellt sich aufwendig dar, da dies komplexe Setups erfordert. Keycloak unterstützt dies nur als „Preview“. ƒ Aktuell werden noch keine Zero­Down­ time Deployments unterstützt. Bei Up­ grades kann es in Abhängigkeit von Set up und Benutzermengen zu längeren Aus­ fallzeiten kommen. ƒ Es ist kein gemanagtes Container­Image verfügbar, welches den sicheren Betrieb, die Wartung und die Replikation von Key cloak­Umgebungen wesentlich ver­ einfachen würde. ƒ Obwohl von Red Hat entwickelt, sind die Kon figuration und das Management persis­ tenter Sessions mit Infinispan kompliziert. ƒ Es gibt keinen out­of­the­box SCIM2­Sup­ port (System for Cross­Domain Identity Management). Dies wird besonders wichtig, SCHWERPUNKT: IAM wenn ein Identitätsdatenaustausch zwi­ schen unterschiedlichen Cloud­Anwendun­ gen oder ­Services gefragt ist. Andernfalls kann Keycloak im Zusammenhang mit Iden­ tity Providern zu einer aus DS­GVO­Sicht be­ denklichen Datensammelstelle werden. ƒ Das UI der Administratorkonsole ist nur für technisch versierte Nutzer oder Adminis­ tratoren geeignet. Eine intuitive Bedienung durch eine nicht­technisch versierte Person ist kaum möglich. Diese Funktion bedarf einer gesonderten Programmierung, um insbesondere die Möglichkeiten für den 1st­ und 2nd­Level­Support auszuweiten. FAZIT Keycloak darf als ausgereifte Lösung zur Be­ nutzerauthentifizierung und Single Sign­on bezeichnet werden. Durch die gute Unterstüt­ zung bestehender Standards lässt sich Keycloak einfach und schnell in Webapplikationen oder API­Backends integrieren. Ein zuverlässiger Betrieb birgt eigene Heraus­ forderungen. Inzwischen gibt es am Markt aber erste Keycloak­as­a­Service­Anbieter, sodass Portalbetreiber auf eine Cloud zurückgreifen können, um Ressourcen einzusparen. Daten­ schutzrechtliche Anforderungen sind eigens zu evaluieren, zum Beispiel zur Datenspeicherung und Auditierung. Es können weitere Tools zur Verwaltung des Lifecycles der Identity­ und der Berechtigungsobjekte notwendig sein. n Quellen [1] https://access.redhat.com/announcements/2901111 DIPL.-CHEM.OEC. STEPHANIE TA, Manager for Business Development, Sales and Marketing bei Syntlogo GmbH IT-SICHERHEIT_3/2022 23

– ADVERTORIAL – login-master.com logloginin master master >> IT-SICHERHEIT_3/2022 25 ist dabei ein wichtiges Stichwort, die durch User-Self-Service-Prozesse gleichzeitig stark den Support entlastet. Auch die DS-GVO[2]-Konformität ist heute nicht mehr wegzudenken. Viele wollen diese gleich out-of-the-box. Die meisten unserer Kunden haben erkannt, dass die reine Authen-tifizierung nicht genug ist. Denn im Bereich der Nutzerberechtigungen internetbasierter Anwendungen steckt ein großer Sicherheitsaspekt. Zusätzlich trägt dieser zu einer Effektivitätssteigerung bei. Unser erster Kunde entdeckte das nach Jahren durch eine stark erhöhte Conversion Rate[3] seines Webangebots.Viele, die versucht haben, selbst Keycloak­Erweiterungen zu entwickeln, kommen häufig zu dem Schluss: „Wir wollen Keycloak durch eine Lösung ersetzen, die mittel­ bis langfristig nicht durch ein Entwicklerteam betrie­ben werden muss.“ Das heißt, dass die Wartung eigener Keycloak­Plug­ins und ­Add­ons auf Dauer zu hohen Aufwand bedeutet. Und das Ausla­gern des Keycloak­Betriebs macht auf lange Sicht Sinn.Wie sieht ein Angebot aus, wenn Keycloak allein als IAM-Service nicht ausreicht?Wir haben erkannt, dass manche Kunden vieles noch selbst machen wol­len. Gerade wenn sie eine KRITIS[4]­Umgebung haben, sind sie darauf fest­gelegt Keycloak selbst zu betreiben. Diesen Kunden machen wir ein An­gebot in Form von hochwertiger Beratung, kombiniert mit Lizenzen zum Self­Hosting der Keycloak­Erweiterungen (Login­Master). Dann gibt es Kunden, die zwar immer noch ein eigenes Hosting vorsehen, sich jedoch gerne auf einen professionellen Managed Service verlassen wollen. Die­sen Kunden bieten wir eine Mischung aus Beratung und Wartungsdienst­leistungen an. Letztendlich gibt es die Kunden, die eine SaaS[5]­Lösung su­chen. Im IAM­Markt auch bekannt als Identity as a Service. Dort bieten wir von dem einfachen Keycloak as a Service auch die „Leading Edge“­Version von Login­Master mit SLA an, die Keycloak schon beinhaltet.Was ist denn unter der „Leading Edge“-Version von Login-Master zu verstehen?Der Begriff der Leading Edge kommt aus dem Flugzeugbau und bestimmt die Flugeigenschaften eines Flugzeugs. In diesem Sinne wollen wir unsere Kunden mit unserem Leading­Edge­Angebot in eine vorteilhafte Position versetzen, in der sie sich ganz auf ihr Kerngeschäft konzentrieren können. Wir übernehmen mit unserer anpassbaren Lösung das Thema sicheres und datenschutzkonformes Nutzermanagement.Braucht denn ein Unternehmen all diese Funktionen für seine Nutzer?Das kann man nur individuell beantworten. Es kommt immer auf das Ge­schäftsmodell sowie die Anzahl, die Struktur und das Verhalten der Nutzer an. Wir haben mittlerweile auch vermehrt Kunden aus dem NGO[6]­Be­reich, wie größere Verbände. Gerade diese profitieren von dem Feature „Delegierte Administration“, weil sie häufig hierarchisch und auch föderal strukturiert sind, zum Beispiel auf Bundesländerebene oder noch feiner. Um diese Strukturen für die Verwaltung der Nutzerberechtigungen abzu­bilden, bedarf es eines professionellen Identity­Management­Systems zu einem angemessenen Preis. Login­Master bietet dazu eine umfangreiche Funktionalität.Welche zusätzlichen Funktionen sind Kunden bei der Suche nach ei-ner passenden Lösung noch wichtig?Wir haben den Vorteil, auf gleicher Augenhöhe mit unseren europäischen Kunden zu sprechen. Anfänglich dachten wir gar nicht, dass ein Angebot aus Deutschland so relevant ist. Jedoch auch im Rahmen gesellschaftlicher Entwicklungen wollen viele „back to the roots“. Sie bestehen auf ein Hosting in Deutschland und auf einen rein deutschen Anbieter. Mit Blick auf die Preise anderer Marktteilnehmer sind wir absolut wettbewerbsfähig. Und wir können durch unsere langjährige IAM-Erfahrung nicht nur sehr gute Beratung anbieten, sondern auch ein modernes, durchdachtes Produkt. Unser Motto ist hier: „Wir schaffen mit unseren Lösungen eine digitale Welt, der die Menschen vertrauen“. nDas Interview führte Stephanie Ta, Syntlogo-Prokuristin. Sie ist verantwort-lich für die Geschäftsentwicklung und das Marketing von Login-Master.[1] Giovanni Baruzzi ist Gründer und Geschäftsführer der Syntlogo GmbH, Erfinder der SecuRole®-Technologie zur Steuerung von Nutzerberechtigungen in der Internetwelt. Die Syntlogo GmbH ist Gründer und Mitglied des Netzwerkverbundes Login Alliance.[2] DS-GVO = Datenschutz-Grundverordnung, der Schutz persönlicher Daten ist seit 2016 in allen EU-Staaten Pflicht.[3] Die Conversion Rate für Webanwendungen gibt an, wie viele Klicks, Aktionen oder Käufe einzelne Besucher haben, nachdem sie sich eingeloggt haben. Single-Sign-on spielt hierbei auch eine große Rolle.[4] KRITIS = kritische Infrastruktur, https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/kritische-infrastrukturen_node.html [5] SaaS = Software as a Service[6] NGO = Non-governmental organisation, d.h. nicht-staatliche Organisationen wie Verbände, Vereine, Gewerkschaften, Initiativen, Parteien etc.Unternehmensportfolio von intension:intension ist Teil der Login Alliance und unterstützt Kunden bei der Digitalisierung mit sicherer und verlässlicher Software. Dazu werden Lösungen für den Umgang mit digitalen Identitäten geschaffen. Jede Organisation kann diese nutzen und flexibel anpassen. Für eine digitale Welt, der die Menschen vertrauen können.

TITEL IT-SICHERHEIT_3/2022 27 Bei den risikobasierten Ansätzen hingegen liegt der Fokus auf der Verringerung tatsächlicher Risiken und Gefährdungen durch Cyberangriffe und Datenschutzverletzungen. Daher ist es vor allem das interne IT-Sicherheitsteam, das zu risikobasierten Mo-dellen umsteigt, da nur so echter Schutz gewährleistet werden kann. Insbesondere mit einer Entwicklung zum Homeoffice, die mehr und mehr externe Verbindungen zum Netzwerk geschaffen hat, ist es wichtig, die Risiken für die Systeme zu kennen und zu managen.Während also beispielsweise der compliancebasierte Ansatz nur dafür sorgen würde, dass ein Unternehmen ein Antiviren-Pro-gramm hat, weil es so in den Verordnungen steht, betrachten IT-Sicherheitsbeauftragte auch, ob das Programm modern genug ist, um wirklich vor Malware schützen zu können – denn das gesetzte Häkchen auf der Liste hilft nur wenig, wenn letztlich das System infiltriert wurde und die Wertschöpfungskette unterbrochen ist.Hier kommt nun Access Management ins Spiel: Nachweise der Compliance-Anforderungen können von einem risikobasierten Ansatz im Bereich Zugriffsmanagement sehr schnell abgelei-tet werden. Demnach kann Zugriffsmanagement als das ideale und zentrale Bindeglied zwischen compliance- und risikobasier-tem Ansatz betrachtet werden. Zudem stellt es für den CISO ein Mittel dar, das Spannungsfeld zu überwinden (und sich mit dem risikobasierten Ansatz anzufreunden), indem gleich mehrere Compliance-Punkte im Maßnahmenkatalog erfüllt werden. Das liegt an der großen Durchdringung im gesamten IT-Bereich, be-sonders im Bereich der hochsensiblen Zugangsdaten privilegier-ter Accounts, in denen der risikobasierte Ansatz die Erreichung von Compliance-Anforderungen fördert.Wie Zugriffe und Zugänge strukturiert und kanalisiert werden könnenDer große Vorteil bei der Einführung eines Access-Management-Systems als Teil eines risikobasierten Ansatzes besteht zunächst im deutlichen Kontrollanstieg, den Nutzer über den Zugriff auf unternehmenseigene Systeme durch externe Mitarbeiter und Dienstleister gewinnen. Zudem werden gewisse Prozesse da-durch erheblich vereinfacht.Wo zuvor oftmals enorme Wissenslücken über mögliche Zugriffe herrschten (hinsichtlich welcher User was wann ausgeführt hat), werden mit der Einführung eines Zugriffsmanagementsystems diese „Blind Spots“ ausgefüllt – ein zentraler Baustein im kon-tinuierlichen Verbesserungsprozess innerhalb eines ISMS (In-formation Security Management Systems) – denn nur wer seine potenziellen Risikopunkte (also die Zugriffspunkte) kennt, kann diese auch absichern.Bild 1 zeigt deutlich, wie die Systemumgebung ohne Access Management aussieht, wenn zu viele (oftmals Hunderte) „ge-wachsene“ Zugänge zu verzeichnen sind. Egal, ob ein „Light-weight Directory Access Protocol“ (LDAP) noch mit einer offe-nen Teamviewer-Session mit dem System verbunden ist oder ein externer User über einen Remote-Computer Zugriff hat, es zuzuweisen, die dann über den gesamten Access Lifecycle ei-nes Nutzers hinweg aktualisiert und überwacht wird. Auf Basis dieser Identität wird entschieden, ob und zu welchen Bereichen und Daten im System der User Zugriff bekommt.Somit können Administratoren zum einen die Aktivitäten von Nutzern überwachen und zum anderen bei Bedarf auch deren Berechtigungen anpassen. Wichtig ist vor allem, dass IAM-Tools bei der Überbrückung genau dieser beschriebenen Kluft von Compliance und erfolgreichem Risikomanagement helfen. Die Systeme sind so konzipiert, dass sie die Zugriffsberechtigungen eines ganzen Unternehmens abbilden und dabei die Erfüllung von internen und externen Compliance-Richtlinien sicherge-stellt ist. IAM unterstützt die IT-Abteilung dabei, die vielfältigen Compliance-Anforderungen zu erfüllen. Eine wichtige Funktion in diesem Zusammenhang ist beispielsweise der automatisierte Report über Freigaben und Zugriffsrechte.Warum ist das wichtig?Die deutliche Mehrheit von Angriffen auf Computernetzwerke wird unter Zuhilfenahme von Techniken zur Erlangung höherer Privilegien durchgeführt. Hierbei handelt es sich um verzeichnis-integrierte Accounts von natürlichen Personen, Service-Accounts oder aber auch um die Ausnutzung von Berechtigungen lokaler Accounts auf Endpunkten zum Beispiel durch Schadsoftware.Insbesondere im Bereich der kritischen Infrastrukturen (KRITIS) geht es neben dem primären Ziel des Schutzes der Unterneh-mens- oder Organisationsinfrastruktur und deren Daten auch darum, gesetzlich formulierte Compliance-Anforderungen und Industrienormen wie etwa ISO 27001 oder IEC 62443, die sich mittlerweile als international anerkannter Standard für Security im Umfeld der Prozess- und Automatisierungsindustrie etabliert hat, einzuhalten.Risikobasierter Ansatz versus compliancebasierter AnsatzBei der Frage, wie nun dieser Balanceakt zwischen Compliance-Einhaltung, ausreichender Sicherheit und Businessagilität zu schaffen ist, kommt der risikobasierte Ansatz als förderliche Lösung ins Spiel. Das gilt insbesondere, wenn Systeme hierbei in verschiedene Risikoklassen eingeteilt werden können. Access Management kann – wie angedeutet – die Brücke zwischen den Ansätzen bilden. Doch zuerst muss die Frage geklärt sein, inwiefern risikobasierte Ansätze sich von compliancebasierten Ansätzen unterscheiden. Tatsächlich verhalten sich diese beiden Lösungswege oftmals diametral gegeneinander.Compliancebasierte Modelle fokussieren sich stärker darauf, notwendige Checklisten abzuarbeiten beziehungsweise die be-stehenden Maßnahmenkataloge zu erfüllen. Es sind also vor allem die CISOs und die Compliance-Beauftragten eines Unter-nehmens, die diesen Weg bevorzugen. Das Bestehen von Audits sowie das Nachkommen der gesetzlichen Anforderungen stehen für sie im Vordergrund.

TITEL Bild 2: Kanalisierte Zugänge ƒ RISK0-Systeme: sehr hohes Risiko, sehr hoher Schutzbedarf. (Very High Risk Level) ƒ RISK1-Systeme: hohes Risiko, hoher Schutzbedarf. (High Risk Level) ƒ RISK2-Systeme: mittleres Risiko, mittlerer Schutzbedarf. (Mid Risk Level) ƒ RISK3-Systeme: niedriges Risiko, niedriger Schutzbedarf. (Low Risk Level) Wie bereits erwähnt, werden diese Klassen ebenso auf Passwör- ter, Konten, Sitzungen und Dienste angewendet. Das bedeu- tet, dass beispielsweise einem RISK0-System auch eine dieser Risiko klasse entsprechende Session-Management-Policy, Pass- wort-Change-Policy inklusive Passwortkomplexitätssteuerung, Passwort-Checkout-Policy etc. zugeordnet werden muss, um ein schlüssiges, risikoklassenbasiertes Zugriffsmanagement zu be- treiben. Um diese Risikoklassifizierung auch an die geltenden Sicher- heitsregularien der Branche und des Unternehmens anzupassen, gibt es bereits Lösungen auf dem Markt, die diese Komponen- ten verbinden. Eine anpassbare Vorlage, die eine unkomplizier- te Anpassung des Zugriffsmanagements an die Policies erlaubt, kann hierbei Gold wert sein, denn sowohl Compliance- als auch Sicherheitsbeauftragte stehen bereits genug unter Stress. Nicht „Out of the box“ aber dafür „State of the art“ Die Etablierung eines risikoklassenbasierten Zugriffsmanage- mentsystems ergibt aus vielerlei Hinsicht Sinn. Neben der Er- füllung von Compliance-Anforderungen und der nahtlosen Integration in einen risikobasierten Ansatz, der im Informati- onssicherheitsmanagementsystem verfolgt wird, fördert dieser Ansatz – unabhängig von diesen Vorgaben – die Rückerlangung von Kontrolle über alle möglichen Zugriffe auf Unternehmens- oder Organisationssysteme. Mangelende Kontrolle und Kontrollierbarkeit ist in vielen inter- nen IT-Abteilungen heutzutage ein zunehmendes Problem. Die Komplexität der eingesetzten Lösungen hat stetig zugenom- men. Immer mehr Arbeitsaufwand fließt in die Anpassungen von CRM, ERP und anderen unternehmenseigenen Lösungen, welche in erster Linie der Produktivität der Unternehmen und Organisationen dienen. Entsprechend viel Wert legen Unterneh- mensleitung und Entscheider auf eine optimale Verfügbarkeit dieser Anwendungen. Umso wichtiger ist es also, dass die Informationssicherheitssys- teme optimal eingerichtet, schlank und einfach in der Bedie- nung beziehungsweise Administration sind. Die Ausarbeitung und Etablierung eines derartigen Ansatzes bedeutet sicherlich zunächst einen höheren Planungs- und Integrationsaufwand als ein System „out of the box“ einzusetzen. Durch die Rücker- langung von Kontrolle, der Einrichtung von standardisierten Genehmigungsworkflows auf unternehmenseigene Systeme und der jederzeit nachvollziehbaren Aktionen rechnet sich dieser Aufwand aber schon nach sehr kurzer Zeit. n STEFAN RABBEN, Area Sales Director DACH & Eastern Europe bei Wallix IT-SICHERHEIT_3/2022 29

HZ212325 · ISSN 1868-5757 · www.datakontext.com Juni/Julii 3/2022 IT­Sicherheit in der öffentlichen Verwaltung Cyberkrieg: Was er für die öffentliche Verwaltung bedeuted Praxis: Wie Behörden ihren E-Mail- Verkehr sichern können Neue Konzepte: Zero-Trust-Strategien gegen Datenklau PRAXIS: Relevante Hersteller/ Dienstleister und ihre Angebote

IMPRESSUM www.itsicherheit-online.com in Kooperation mit SPECIAL: IT-Sicherheit in der öffentlichen Verwaltung Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 9d · 50226 Frechen www.datakontext.com Chefredaktion: Stefan Mutschler (S.M.) E­Mail: stefan­mutschler@t­online.de Redaktion: Dr. Peter Münch (P.M.), Dr. jur. Martin Zilkens (M.Z.), Online-Redaktion: Jessica Herz (Leitung Online) herz@datakontext.com +49 2234 98949­80 Lisa Bieder Kristina Ivlev Silvia Klüglich Chiara Schönbrunn Herausgeberbeirat: Prof. Dr. Michael Backes, Prof. Dr. jur. Dirk­M. Barton, Walter Ernestus, Prof. Dr. Nikolaus Forgó, Prof. Dr. Rainer W. Gerling, Dr. Jan­Peter Ohrtmann, Prof. Dr. Norbert Pohlmann, Dr. jur. Martin Zilkens Gründer: † Bernd Hentschel Grafik/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E­Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949­60 E­Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 27 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949­99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 104,­ inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print­Ausgabe sowie eine Lizenz für das Online­Archiv. Die Bestandteile des Abonnements sind nicht einzeln künd­ bar. Der Preisanteil des Online­Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83­7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschick- te Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Ver- öffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber- rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Titelbild: DIgilife - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; ARTIS - Uli Deck; iStock.com/ pixelfit, iStock.com/shayes17, iStock.com/SteveLuker; istockphoto/ AntonioGuillem, istockphoto/Ivanko_Brnjakovic; Deemerwha studio/Shutterstock.com; (adam121, Andrey Popov, CoreDESIGN, everythingpossible, flashmovie) ­ stock.adobe.com 28. Jahrgang 2022 · ISSN: 1868-5757 Inhalt 32 Editorial 34 Warum der Cyberkrieg mit professionalisierter Ransomware erst am Anfang steht Behörden im Fokus der Angreifer 36 Die Kraft der zwei Security-Herzen für die öffentliche Verwaltung IT­Sicherheits technologien geschickt verknüpft 38 Wie öffentliche Verwaltungen ihren E-Mail-Verkehr sichern können Daten­ und Kommunikations schutz auf dem Prüfstand 40 Wie resilienter Schutz von Daten im öffentlichen Sektor aussieht Zero­Trust­Strategien gegen Datenklau 42 Was IT-Dienstleister für die digitale Transformation in öffentlichen Einrichtungen bieten sollten „Amtssache“ IT­Sicherheit Anbieter 44 Digitale Verwaltung: Sicherheit von Beginn an mitdenken mit ganzheitlichen Lösungen 46 Keine Chance für Cyberangriffe EnBW Cyber Security GmbH unterstützt Kommunen bei der Umsetzung ihrer IT-Sicherheit 48 Endpoint Detection and Response in der Verwaltung So kommt die IT Hackern schneller auf die Spur 50 Governance und Compliance im Berechtigungs­ management mit NEXIS 4 52 IT-Dienstleister brauchen Spezialisten-Know-how Digitalisierung: Behörden im Zugzwang 54 Proaktive Abwehr von Cyberangriffen So stärken Sie mit SoSafe Ihre Sicherheitskultur 55 Messaging für Behörden: vereinfachte Kommunikation, bessere IT­Sicherheit SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 33

Ein virtueller Browser kann die Folgen von Klicks, die in den Links raf- finierter Phishing-E-Mails auf betrügerische Webseiten verweisen, deutlich entschärfen. (Foto: Rohde & Schwarz Cybersecurity) de, warum Ransomware immer gefährlicher wird – auch für Behörden: 1. Die Malware gibt es im Onlineshop. „Für Kriminelle wird es immer einfacher, Erpressungsan- griffe zu starten. Denn die dafür benötigte Malware kann in- zwischen jeder auf einschlägigen Seiten im Internet erwer- ben. Durch ein solches „Ransomware as a Service“-Angebot wachsen die Verbreitung und die Professionalisierung der An- griffe weiter an.“ 2. Phishing wird immer professioneller. „Personenbezogene Daten können bereits für geringe Summen erworben werden. Phishing-E-Mails lassen sich da- durch immer realistischer gestalten. Für die Mitarbeitenden eines Unternehmens oder einer Behörde wird es nahezu un- möglich, kriminelle E-Mails zu enttarnen. Das ist extrem ge- fährlich: Denn Phishing gehörte 2021 zu den Haupteintritts- vektoren für Schadsoftware – auch von Ransomware.“ 3. Fake-E-Mails schüren die Angst. „Phishing-E-Mails zum Thema COVID-19 haben 2021 zwar abgenommen. Doch Phishing-Nachrichten nehmen noch im- mer häufig auf aktuelle gesellschaftliche Entwicklungen Be- zug, so das BKA. Vor allem aber versuchen sie, Unsicherheiten der Empfänger auszunutzen oder eine Angstkulisse aufzubau- en. Dies gelingt etwa durch knappe Zeitfristen oder Andro- hung von Geldstrafen. Die am häufigsten für Phishing imi- tierten Absender waren 2021 Microsoft, DHL, Amazon, Google und WhatsApp.“ 4. Die Erfolgsquote steigt. „Die Abhängigkeit von digitalen Daten ist in Unternehmen und Behörden stark gewachsen. Unternehmen sind daher eher bereit, auf die Forderungen von Erpressern einzugehen. Ein wichtiger Hebel für die Digitalisierung war das Homeoffice – es liegen heute deutlich mehr Daten auf Behörden- und Unter- nehmensservern, als dies noch vor der Pandemie der Fall war.“ 5. DDoS verschärft Erpressungen. „Zusätzlich zur Datenverschlüsselung und -veröffentli- chung legen immer mehr DDoS (Distributed Denial of Service)- Attacken die Webseiten der Opfer lahm. Im Jahr 2021 hat das BKA verstärkt Multivektor-Angriffe, sogenannte Carpet-Bom- bing und eine Kombination von DDoS- und Ransomware-An- griffen, festgestellt. Cyberkriminelle versuchen mit solchen Attacken, das Zielsystem mit einer großen Datenmenge der- art zu überlasten, dass es für Nutzer nicht oder nur sehr ein- geschränkt verfügbar ist.“ 6. Cyberkriminelle erfinden sich neu. „Gestern Darkside heute Blackmatter, gerade noch Grand- crab – dann Revil: Steigt der Ermittlungsdruck auf eine Ha- ckergruppe, löst sich diese häufig auf – nur um sich einige Zeit später unter einem anderen Namen neu zu erfinden. Häufig mit neuen Methoden und noch gefährlicher als vorher.“ 7. Emotet ist wieder da. „Ransomware war zuletzt auch deshalb auf dem Vor- marsch, weil der Trojaner Emotet, ‚die gefährlichste Software SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 35 der Welt‘, wieder auftauchte. Der Trojaner dient als Türöffner, über den sich weitere Schadsoftware nachladen lässt, auch Ransomware. Eigentlich wurde Emotet durch eine internati-onale Aktion im Januar 2021 zerschlagen, doch bereits im No-vember war die Schadsoftware wieder aktiv.“8. Sicherheitslücke „Faktor Mensch“„Phishing zielt auf die Schwachstelle Mensch. Die Mitar-beitenden werden immer geschickter dazu verleitet, schäd-liche Anhänge zu öffnen und auf Webseiten mit Schadcodes zu gehen. Mitarbeiterschulungen sind kein hinreichendes Mittel, um diese Angriffe abzuwehren. Auch ein Hinweis auf das Nicht-Öffnen von Anhängen ist ein völlig unzureichender Schutz vor Cyberangriffen. Denn der Mensch macht Fehler, und solche Fehler können gravierende Folgen haben.“Seine Lösung, was Unternehmen, Behörden und KRI-TIS gegen diese steigende Gefahr tun können, ist ein sicherer Browser. Der Browser gilt das Einfallstor Nummer 1 für Ran-somware und andere Schadsoftware. „Der beste Schutz vor solchen Angriffen aus dem Internet ist ein virtueller Browser. Ein virtueller Browser erlaubt das Surfen im Internet, ohne dass Hacker Zugriff auf die Unternehmensnetzwerke erlan-gen können“, so Herrmann.Ob ein sicherer Browser das Allheilmittel gegen Ransom-ware ist, bleibt dahingestellt. Immerhin könnten so auch die Folgen von Klicks, die in den Links raffinierter Phishing-E-Mails auf betrügerische Webseiten verweisen, deutlich ent-schärft werden. Die methodische Mitarbeitersensibilisierung für Cybergefahren mag Fehlverhalten nicht völlig eliminieren, mit Sicherheit aber deutlich reduzieren. Behörden sind sicher gut beraten, in ihrer Sicherheitsstrategie sowohl die Technik als auch den menschlichen Faktor zu adressieren.Die „blinden Flecken“ in der Cybersicherheit der Behörden lassen sich jedoch auch so nicht beseitigen. Langfristig werden auch Behörden nicht umhinkommen, ihre IT-Sicherheitsstra-tegie auf die Basis moderner Zero-Trust-Konzepte zu stellen.S.M.

Das Reifegradmodell für IT-Sicherheit Kombination aus beiden Maßnahmen schützt besser vor Cy- berkriminalität als je zuvor. Und sie geht sogar einen Schritt weiter, als es das Bundesamt für Sicherheit in der Informati- onstechnik (BSI) fordert. Dies ist insbesondere für alle Orga- nisationen wichtig, die als kritische Infrastrukturen (KRITIS) eingestuft sind. Multi Secured Endpoint Mit dem sogenannten Multi Secured Endpoint legen IT- Verantwortliche einen wichtigen ersten Grundstein für ein sicheres Netzwerk. Im Zusammenspiel vom vorhandenen Malware-Schutz mit einer Festplattenverschlüsselungs- und Multi-Faktor-Authentifizierungslösung sowie Cloud Sand- boxing verwandeln Administratoren PCs und Laptops in so- genannte „gehärtete Endpoints“. Diese benötigen keine Ser- verstrukturen oder Verbindungen zum Netzwerk, um optimal gesichert zu sein. Der Multi Secured Endpoint sichert die Devices weit besser ab als andere Systematiken zuvor. Und: Es spielt nun keine Rolle mehr, ob sich das Gerät oder der Anwender im IT-sicheren Bürogebäude befindet. Remote Working wird auch in der Verwaltung zukünftig eine wichtige Rolle spielen. Diese drei Elemente gehören zum Multi Secured Endpoint: ƒ Verschlüsselung – stoppt Datenschnüffler Alle auf dem Endpoint gespeicherten Informationen sollten vor neugierigen Blicken oder im Verlustfall ge- schützt sein. Cyberkriminelle können mit den codierten Daten nichts anfangen, und gleichzeitig kommt das Un- ternehmen Anforderungen aus der Datenschutz-Grund- verordnung nach. ƒ Cloud Sandboxing – hält nicht nur das Postfach sauber Das Cloud Sandboxing entdeckt schädliche E-Mails und deren Anhänge sowie Downloads noch zuverlässiger als herkömmliche Sicherheitslösungen. Suspekter und po- tenziell gefährlicher Binärcode, wie Ransomware, Ad- vanced Persistent Threats und Exploits, wird in einer ge- sicherten Umgebung ausgeführt und erst bei negativem Befund freigegeben. ƒ Daten- und Netzwerkzugriff – nur mit Multi-Faktor- Authentifizierung Für jeden Administrator ist es ein Albtraum, wenn sich jemand ins Netzwerk einloggt oder Daten aufruft, des- sen Identität nicht eindeutig geklärt ist. Professionelle Softwareprodukte errichten einen sicheren Zugang zu sensiblen Informationen und Netzwerkumgebungen. Zusätzliche Hardware-Anschaffungen sind unnötig, be- stehende Smartphones lassen sich per App, FIDO-Sticks oder andere Token problemlos integrieren. Endpoint Detection and Response Mit EDR stehen Administratoren professionelle Techno- logien zur Seite, die verdächtiges Verhalten und Sicherheits- lücken innerhalb des Netzwerks automatisch aufspüren. Alle Aktivitäten innerhalb der IT-Infrastruktur (Nutzer-, Datei-, Prozess-, Registry-, Speicher- und Netzwerk-Vorgänge) kön- nen in Echtzeit überwacht und bewertet werden, sodass der IT-Verantwortliche bei Bedarf sofort handeln kann. Nur auf diese Weise lassen sich erste Spuren von Hackern identifizie- ren, Fehlverhalten von Mitarbeitern bestimmen und Sicher- heitsmängel ausfindig machen oder die Einfallstore finden, die bei einem erfolgreichen Hackerangriff auf das eigene Netz- werk zu weit offenstanden. Die Auswertung aller Endpoint-Daten in einem Netzwerk lässt Rückschlüsse auf die Validität einzelner Abläufe zu. Eine genaue Erfassung von alltäglichen Vorgängen, wie das Ko- pieren von Dateien, User-Zugriffe auf bestimmte Bereiche im Netzwerk oder aber auch An- und Abmeldungen von Anwen- dern, erlaubt bei entsprechender Auswertung ein Herausfil- tern bösartiger Aktivitäten. EDR-Lösungen ersetzen dabei keine Endpoint Protec- tion oder Antiviren-Lösungen, sondern ergänzen sie um eine wichtige Komponente: die Erkennung von Verhaltensanoma- lien, die im Netzwerk und auch auf den Endpoints auftreten. Diese Erkennung basiert auf vordefinierten Regeln in einem Rechnerverbund, die alle legalen Aktivitäten abbilden. Basie- rend auf diesen Angaben analysiert die EDR-Anwendung die Datenströme. Darüber hinaus werden auch Informationen der eingesetzten Endpoint Protection in die Bewertung ein- bezogen. n Michael Klatte, IT-Journalist und PR-Manager DACH, ESET Deutschland GmbH SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 37

ware-Typen erkannt. Hybride Arbeitsmodelle haben neue Cybergefahrenquellen generiert. Gleichzeitig ist aber E-Mail die Ausgangstür für sensible Informationen. Daher kommt der Sicherung der internen und externen Kommunikation eine hohe Priorität zu. Hier sind einige der wichtigsten An- satzpunkte: Malware Die Malware-Bedrohung Nummer eins für die Kommu- nikation weltweit und auch für Behörden ist zweifellos Ran- somware. Zusammen mit Phishing gehört sie zu den erfolg- reichsten Social-Engineering-Angriffen, die das menschliche Verhalten ausnutzen und immense finanzielle Verluste verur- sachen. Hacker nutzen inzwischen KI, um individuelle Spear- Phishing-Mails zu erzeugen, die besonders häufig geklickt werden. Ein falscher Klick kann zur Kompromittierung der Infrastruktur, zum Diebstahl von Zugangsdaten oder Finanz- informationen führen. Zusätzlich zu einer zuverlässigen Firewall mit mehreren Scannern (jeder Scanner hat eine unterschiedliche Effizienz gegen die verschiedenen Arten von Malware) sollten IT-Ex- perten regelmäßig Penetrationstests und Schwachstellenprü- fungen durchführen, um neue Sicherheitslücken und Hinter- türen zu ermitteln. Sicherheit ist ein kontinuierlicher Prozess, um zu gewährleisten, dass das System immer mit den neues- ten und Zero-Day-Bedrohungen auf dem aktuellen Stand ist. Vertrauliche Daten Öffentliche Einrichtungen empfangen und versenden enorme Mengen an Informationen, von denen ein großer Teil kritische und sensible Daten sind – beispielsweise perso- nenbezogene Daten. Was aber, wenn Mitarbeiter diese Daten unberechtigt weitergeben? Was passiert, wenn sie versehent- lich die falsche Datei anhängen oder Informationen an den fal- schen Empfänger senden oder wenn ein nicht zum Umgang mit vertraulichen Daten befugter Mitarbeiter diese verschickt? Vier-Augen Prinzip Um solche Vorfälle zu verhindern, verwenden viele Orga- nisationen aus stark regulierten Sektoren, wie zum Beispiel Banken, das Vier-Augen-Prinzip. Jede E-Mail muss vor dem Versand von einer dedizieren Person geprüft und freigegeben werden. Erst nach dieser Prüfung kann die E-Mail versendet werden. Ein solcher Workflow kann stark automatisiert wer- den, um die Mitarbeiter möglichst wenig in ihrer Arbeit zu beeinträchtigen. Data Loss Prevention Ein zuverlässiges Instrument zum Schutz von Daten ist Data Loss Prevention (DLP). DLP-Software identifiziert sensib- le Daten in E-Mails, erkennt Anomalien im Datenverkehr, stellt fest, ob der Absender berechtigt ist, mit vertraulichen Daten zu arbeiten, und blockiert E-Mails, die als nicht autorisiert gel- ten. Anomalien im Verhalten eines Mitarbeiters können Hin- weise auf unbewusstes oder bewusstes Fehlverhalten geben, zum Beispiel wenn die Anzahl der E-Mails oder die Größe der Anhänge plötzlich drastisch steigt. Die gesamte ausgehende Kommunikation lässt sich mit DLP überwachen, und mithilfe der mitgelieferten Statistiken und Berichte können Engpässe oder Schwachstellen identifiziert werden. Diese Funktionen prädestinieren DLP für die Einhaltung des Datenschutzes. Verschlüsselung Verschlüsselung ist ein weiteres zentrales Instrument im Kampf gegen Datenverluste, Business E-Mail Compromise (BEC) und das Abfangen und Manipulieren von ausgehen- den E-Mails durch Hacker. Die Nutzung einer clientbasierten E-Mail-Verschlüsselungslösung kann sich als schwierig und fehleranfällig erweisen. Ihre technische Komplexität verhin- dert häufig einen organisationsweiten Einsatz. In Anbetracht der Vielzahl von Mitarbeitern in Behörden und Kommunen wäre es verhängnisvoll, ihnen die Verschlüsselung ihrer ei- genen E-Mails zu überlassen. Eine automatisierte und zentral gesteuerte Verschlüsselung ist dagegen sehr viel sinnvoller. Digitale Signatur Die Verwaltung von Zertifikaten als Bestandteil der Ver- schlüsselung bringt einen weiteren unverzichtbaren Vorteil für jede Organisation mit sich – die digitale Signatur. Die di- gitale Signatur verifiziert, dass die E-Mail tatsächlich von der angegebenen Person/Organisation und unverändert gesendet wurde und somit vertrauenswürdig ist, samt der darin ent- haltenen Daten. Innerhalb des riesigen Netzwerks von Part- nern, Unternehmen und Interessenvertretern von Behörden gilt dies als grundlegendes Zeichen für Cyberresilienz und -zu- verlässigkeit. Wenn eine Behörde in der Lage ist, ihre ausge- hende Kommunikation zu authentifizieren, können ihre Part- ner ihr vertrauen und sie in eine Whitelist aufnehmen, was zu einer verbesserten Zustellbarkeit (Vermeidung von Spam) von E-Mails führt. Archivierung von E-Mails Nicht direkt der Sicherheit zugehörig, dennoch absolut ent- scheidend für die Einhaltung von gesetzlichen Vorschriften, ist die Archivierung von E-Mails. Ein großer Teil der Kommu- nikation von Behörden ist rechtsverbindlich und muss daher aufbewahrt werden. E-Mail-Archivierungslösungen sorgen dafür, dass die gesamte Korrespondenz und die darin enthal- tenen Daten sicher und unveränderbar gespeichert werden. Die Software archiviert die E-Mails so, dass sie durchsuchbar und revisionsfähig sind, falls Audits oder Forderungen ihre Überprüfung erfordern. Nach Ablauf der gesetzlich vorge- schriebenen Aufbewahrungsfrist werden die E-Mails auto- matisch gelöscht. Die genannten Aspekte sind nur die Grundlagen, die jede Behörde berücksichtigen muss, um ein zufriedenstellendes Sicherheitsniveau zu erreichen. Aber auch dann können Si- cherheitslücken entstehen, wenn sie ihre Mitarbeiter nicht ausreichend schulen, um sie für Cyberbedrohungen zu sensi- bilisieren. Daher sind Awareness-Trainings für die Mitarbeiter ein Pflichtprogramm. n Dr. Thomas Bruse, Senior Vice President Sales Products & Solutions, GBS Europa GmbH SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 39

Auch die Pandemie hat schnelle Veränderungsbereitschaft gefordert und damit einen Digitalisierungsschub ausgelöst. Zu Beginn waren die Herausforderungen ähnlich: schnell digita- le Lösungen einführen, damit der Betrieb fortgeführt werden kann. Dabei wurden Sicherheitsaspekte nicht immer gebüh- rend berücksichtigt. Durch die neuen Arbeitsmodelle Home- office und Hybrid Work war es für Cyberkriminelle leichter, sich Zugang zu internen Netzwerken zu verschaffen, da die Grenzen zwischen privatem und öffentlichem Raum zuneh- mend verschwammen. Der Fachkräftemangel in der IT-Security wirkt sich daher insbesondere in Zeiten, die schnelle Veränderungen erfordern, erschwerend für Behörden aus. Sie konkurrieren mit Privat- unternehmen im Wettstreit um Talente. Die Folge: Oft fehlt Personal, das Sicherheits-Patches und ähnlich kritische An- passungen zeitnah durchführen kann. Erschwert wird die Situation zusätzlich, da öffentliche Ein- richtungen besonders im Fokus von Cyberkriminellen stehen und für sie sehr lukrativ sind. Ein Grund dafür ist, dass sie über viele sensible Daten und persönliche Informationen verfügen, welche wiederum für die genaue Identifikation von Personen und somit für Identitätsdiebstahl genutzt werden können. Zu sensiblen Daten gehören zum Beispiel Ausweisinformationen, Wohnort, Familienstand, Religion und Einkommen. Hinzu kommt, dass Ausweis- oder Identifikationsnummern im Ver- gleich zu Kreditkarten nicht einfach gesperrt werden können, sodass es kaum möglich ist, Cyberkriminellen den Zugriff da- rauf zu entziehen. Resilienter Datenschutz mit Zero Trust Security Für eine effiziente Cybersicherheit ist es zuerst wichtig, alle möglichen Einfallstore und Angriffsvektoren von Cyber- kriminellen zu kennen. Beispielsweise können Hackerangrif- fe auch unauffällig vonstattengehen, sodass erfolgreiche At- tacken teilweise über mehrere Monate hinweg unentdeckt bleiben. Im Zuge der Pandemie haben Kriminelle – genau- so wie die meisten anderen Organisationen – ihre Metho- den an die neuen Arbeitsbedingungen angepasst und setzen vermehrt auf Social Engineering: Sie versuchen an wertvolle Daten zu kommen, indem sie Mitarbeiter von Behörden und Unternehmen auf sozialer Ebene manipulieren. Beliebte Me- thoden sind dabei gefälschte Mails von Vorgesetzten oder Kol- legen, oder auch das Spiel mit der Angst, wie im aktuellen Fall von betrügerischen Anrufern, die vortäuschen, von Europol zu sein. Darüber hinaus werden auch Schwachstellen und nicht- gepatchte Sicherheitslücken gern von Hackern verwendet, um Systeme zu infiltrieren. Die womöglich größte Herausforderung für Behörden ist jedoch, dass Cybercrime sehr agil ist: Cyberkriminelle re- agieren deutlich schneller und flexibler auf sich wandelnde Umstände und passen ihre Vorgehensweise an die jeweili- gen Schwachpunkte ihrer Opfer kontinuierlich und zeitnah an. Selbst wenn eine Gruppe oder ein Darknet-Marktplatz aus dem Verkehr gezogen werden, stehen die nächsten bereits in den Startlöchern. All dies stellt öffentliche Einrichtungen vor die große He- rausforderung, adäquate Maßnahmen und Lösungen schnell zu ergreifen und anzupassen, um ihre Systeme auch bei sich ändernden Bedingungen stets umfassend abzusichern. Sinn- voll ist hier, auf lokal entwickelte Security – also auf IT-Sicher- heit aus Deutschland beziehungsweise der EU – zu setzen. Diesbezüglich haben einschlägige Anbieter Systeme ent- wickelt, um Unternehmen und Behörden umfassend zu un- terstützen. Das zugrunde liegende Sicherheitskonzept „Zero Trust“ arbeitet nach dem Prinzip „Never trust, always verify“ und misstraut zunächst grundsätzlich allen Geräten, Diensten und Nutzern. Hinzu kommen weitere Schutzmechanismen wie Multi-Faktor-Authentifizierung, Verschlüsselung von Daten am Speicherort sowie während des Transfers, oder Se- curity Awareness Trainings für Mitarbeitende. Lösungen wie Applikationskontrolle mit Whitelisting lassen beispielsweise nur Programme und Dienste starten, die zuvor über die soge- nannte Whitelist zugelassene wurden. Dadurch wird Schad- software – egal ob neue oder alte Varianten und ganz gleich, über welchen Weg sie ins System gekommen ist – nicht aus- geführt und kann keinen Schaden anrichten. Erfüllt der Secu- rity-Dienstleister auch noch wichtige Zertifizierungen, wie die vom BSI anerkannte Common Criteria EAL3+ Zertifizierung, erleichtern sie dem öffentlichen Sektor die Umsetzung gesetz- licher Vorschriften zusätzlich. Gleich mehrere Vorteile erhalten Behörden, wenn sie all diese Sicherheitsmodule aus der Cloud über eine zentrale Plattform beziehen, die von einem Security-Anbieter verwal- tet wird. Dieser stellt sicher, dass die eingesetzten Lösungen kontinuierlich weiterentwickelt sowie agil und vorausschau- end an die aktuelle Sicherheitslage angepasst werden. Das heißt: Öffentliche Einrichtungen haben mehr interne Res- sourcen für große Digitalisierungsprojekte zur Verfügung und weisen eine höhere Resilienz gegenüber einer sich stän- dig wandelnden Cyberbedrohungslandschaft auf. n Anton Kreuzer, CEO DriveLock SE SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 41 j i ) . e r ( c v o k a n r B _ o k n a v I / o t o h p k c o t s i ; ) . i l ( m e l l i i u G o n o t n A / o t o h p k c o t s i : r e d l i B

ellen Stand der Technik“ umsetzen und erhebliche IT-Sicher- heitsvorfälle an das BSI melden zu müssen. Für ein derart hohes Sicherheitsniveau fehlt es Einrichtungen der öffentli- chen Verwaltung in der Regel an personellen und finanziel- len Mitteln. So stellt sich für Behörden heute die entscheidende Frage, wie sich die vielen manuellen Prozesse trotzdem digitalisieren und in eine fortschrittliche IT-Infrastruktur für die Entwick- lung moderner Anwendungen und Workflows überführen lassen: Lokale Rechenzentren nach dem On-Premises-Modell haben den Nachteil, dass sie gerade im sicherheitskritischen Behördenumfeld mit teils hohen Kosten für die Implementie- rung, Wartung und Administration verbunden sind, sich dafür allerdings relativ wirksam abschotten lassen – sofern genü- gend IT-Personal vorhanden ist. Cloud-Anbieter, wie Amazon Web Services (AWS), Microsoft Azure oder die Google Cloud, punkten mit Skalierbarkeit, Flexibilität und wenig Aufwand für die Administration. Einrichtungen der öffentlichen Hand erkaufen sich damit allerdings den Nachteil, dass Datensicher- heits- und Datenschutzaspekte US-amerikanischen Gesetzen, wie dem USA Patriot Act, unterliegen und die Hoheitsgewalt über sensible Informationen damit nicht mehr gegeben ist – ein Umstand, der für staatliche Einrichtungen mit personen- bezogenen Daten kaum tolerierbar ist. Zertifizierungen Voraussetzung Blick in das Rechenzentrum „München Ost“ von noris network. (Foto: noris network) Die dritte Wahlmöglichkeit sind Hochsicherheitsrechen- zentren in Deutschland: Unabhängig davon, ob es um Colo- cation, Managed Services oder reine Cloud-Infrastrukturen geht, haben sich hierzulande BSI-zertifizierte Datacenter eta- bliert. Sie verbinden beide Welten miteinander und bringen sowohl die gesetzlichen als auch technischen Voraussetzun- gen mit. Unverzichtbar neben dem Standort Deutschland: die Einhaltung entsprechender Schutzklassen und ein bestätig- tes IT-Sicherheitsniveau durch Zertifizierungsinstanzen wie dem BSI oder TÜV. Dazu gehören neben der internationalen Cyber-Security-Zertifizierung ISO 27001 für Informationssi- cherheits-Managementsysteme (ISMS) vor allem der Kriteri- enkatalog BSI C5 (Cloud Computing Compliance Criteria Cata- logue). Er spezifiziert die Mindestanforderungen an sicheres Cloud Computing und richtet sich vornehmlich an professi- onelle Cloud-Anbieter, deren Prüfer und Kunden. Sinn und Zweck einer Testierung von Rechenzentrumsbetreibern nach dem Kriterienkatalog C5 ist es, eine transparente Darstellung der Informationssicherheit eines Cloud-Dienstes auf Basis ei- ner standardisierten Prüfung zu gewährleisten. So können etwa Stadtverwaltungen die komplette IT-Infrastruktur ihrer Stadtwerke ins Rechenzentrum auslagern und Dinge wie den Kindertagesstätten- und Bibliotheksbetrieb jeweils als Fach- verfahren in Form einer Cloud-Leistung beziehen. „Doppelter Boden“: Georedundanz Ein weiterer Aspekt für die Evaluierung des passenden Rechenzentrumsanbieters durch IT-Verantwortliche in öf- fentlichen Einrichtungen betrifft die Verfügbarkeit und die Absicherung für den Katastrophenfall. Behörden und Äm- ter sollten nach Rechenzentren Ausschau halten, die eine Re- dundanz von Daten und Anwendungen über zwei oder mehr Datacenter gewährleisten können. Stichwort: Georedundanz. Dabei handelt es sich um Kriterien des BSI, die im Jahr 2018 speziell für Behörden oder Unternehmen mit hohen oder sehr hohen Anforderungen hinsichtlich Verfügbarkeit bei der Pla- nung eines Rechenzentrumsstandorts entwickelt wurden. Demnach müssen zwei Rechenzentren mindestens 100 Ki- lometer entfernt liegen, sodass selbst bei einem Totalausfall eines Datacenters das zweite den gesamten IT-Betrieb über- nehmen kann. Disruptive Veränderungen Frage der Zeit Klar ist, auch staatliche Einrichtungen können sich den Forderungen nach digitalen Geschäftsprozessen nicht mehr verschließen. Aspekte wie die veränderten Erwartungen und Ansprüche von Bürgern, New-Work-Initiativen, der Fach- kräftemangel und natürlich der allgegenwärtige Kostendruck werden auch in Amtsstuben früher oder später zu disruptiven Veränderungen führen. Mit sicheren und hoch verfügbaren Rechenzentren, die regelmäßig harten Audit-Verfahren un- terzogen werden ist der Weg in die Digitalisierung bereitet. n Thomas Alexander Chudo, Bid Manager, noris network AG SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 43

– ADVERTORIAL – SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 45 Schutzmaßnahmen, sondern ermöglicht auch die frühzeitige Erkennung von Anomalien und entsprechende Reaktionsmöglichkeiten. DriveLock setzt dabei auf neueste Technologien, erfahrene Expertinnen und Exper-ten für Security und Lösungen nach dem Zero Trust Modell. Mit seinen Lösungen Device und Application Control erfüllt das Unterneh-men auch die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) anerkannte internationale Common Criteria EAL3+ Zertifizierung. DriveLock stellt seine Lösungen on premise wie auch aus der Cloud (ba­sierend auf Microsoft Azure – die Daten werden im deutschen Rechen­zentrum verwaltet) zur Verfügung. Die Security­Lösung aus der Cloud ist sofort einsetzbar, kosteneffizient und bietet mehrschichtige Sicherheit für Endgeräte. Nach Bedarf können Lösungen wie Application Control oder Device Control eingesetzt werden, die dafür sorgen, dass ausschließlich zuvor zugelassene Geräte und Anwendungen verwendet und ausge­führt werden dürfen. Das sind wichtige Präventionsmaßnahmen, die unbekannte Schadprogramme und menschliches Fehl­verhalten verhindern. nCybersicherheit vom ExpertenDer zuverlässige Schutz von Daten, Geräten und Systemen ist für den öffentlichen Sektor unabdingbar. Um die dafür notwendigen Maßnahmen mit eigenem Personal stemmen zu können, benötigt es Investitionen in Fachkräfte, Ausbildung und Systeme. Selbst dann bedeutet die ständige Betreuung der IT-Sicherheitssysteme einen enormen Aufwand. Die hohe Nachfrage nach IT-Security-Fachkräften im privaten Sektor erschwert diese Aufgabe zusätzlich. Als Alternative bietet es sich an, einen externen Servicedienstleister für IT-Sicherheit zu beauftragen. Das spart nicht nur Zeit und Kosten, sondern hat auch zahlreiche weitere Vorteile. IT-Systeme öffentlicher Organisatio-nen müssen zum Beispiel spezielle Sicherheitsanforderungen erfüllen, die durch das IT-Sicherheitsgesetz 2.0 im Frühjahr 2021 noch weiter verschärft wurden. Dienstleister wie DriveLock erfüllen wichtige Zertifizierungen für Behörden wie das international und auch vom BSI anerkannte Common Criteria EAL3+. Ihre Lösungen können schnell und einfach eingesetzt wer­den. Außerdem sorgen die Experten und Expertinnen des Dienstleisters dafür, dass die Sicherheitssysteme immer auf dem neuesten Stand sind. Zero Trust Security-Modell für KRITIS und öffentliche EinrichtungenVor dem Hintergrund wachsender Cyberkriminalität ist der zuverlässige Schutz von Daten, Geräten und Systemen essenziell. Das Unternehmen DriveLock bietet mit seiner Zero Trust Platform nicht nur präventive

Kostenfreie Webinare rund um das Thema IT-Sicherheit Jetzt informieren: www.itsicherheit-online.com/kostenlose-webinare/

– ADVERTORIAL – SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 49 Bilder: iStock.com/shayes17 (links), iStock.com/pixelfitEndpoint-Detection-and-Response-Lösung macht Verant-wortliche hierauf in kürzester Zeit aufmerksam. Mit nur weni-gen Klicks können diese dann in Erfahrung bringen, welche Rechner und Laufwerke vom Angriff betroffen sind und wann und wo eine bestimmte Datei ausgeführt wurde. Die Infektion lässt sich so bis zu ihrem Ursprung zurückverfolgen und Schäden eindämmen.LÖSUNG ƒMithilfe umfassend konfigurierbarer Regeln werden Anwendungen er­kannt, die aus temporären Ordnern ausgeführt werden. ƒEbenso lassen sich für Office­Dateien Regeln festlegen, sobald diese versuchen, zusätzliche Skripte oder „.exe“ auszuführen. ƒWerden Dateinamen, die für Ransomware typisch sind, auf einem Gerät erkannt, wird ebenfalls Alarm ausgelöst.FazitEDR­Systeme, wie ESET Inspect, helfen Administratoren der öffentlichen Verwaltung, alle verbundenen Geräte im Blick zu behalten und im Gefah­renfall Anwendungen oder Rechner schnell zu blockieren. Der detaillier­te Einblick in die Vorgänge im Netzwerk ermöglicht zudem, Probleme nachzuvollziehen und zu verstehen sowie in Zukunft zu verhindern. Im Moment haben nur Premiumhersteller von IT­Sicherheitslösungen wie beispielsweise ESET EDR­Lösungen im Portfolio und können auf aktive Nutzer verweisen. Aufgrund der Komplexität von Endpoint Detection and Response nutzen bislang eher Bundes­ oder Landesverwaltungen solche Lösungen. Denn diese besitzen eigene IT­Abteilungen mit entsprechenden Ressourcen und Know­how. Immer mehr Systemhäuser und IT­Fachhänd­ler kommen mit EDR als Dienstleistung auf den Markt und adressieren ganz gezielt mittelgroße und große Verwaltungseinheiten. nCloud Sandboxing als Erweiterung von EDR. Solche Softwarelösungen nutzen das Sandbox-Verfahren auf Herstellerservern, um neue, bisher unbekannte Gefahren zu identifizieren. Suspekter und potenziell gefährlicher Binärcode – das könnten beispiels­weise Ransomware, Advanced Persistent Threats und Zero Day Exploits sein – wird in einer gesicherten Umgebung in der Cloud ausgeführt. Dort überprüft innerhalb weniger Sekunden ein Mix aus verschiedensten Sen­soren, statischer Codeanalyse, Machine Learning und verhaltensbasierten Analysen die Datei. Bei negativem Befund wird sie zurück ins Netzwerk geschickt, verdächtige Dateien können gelöscht oder in Quarantäne ge­setzt werden. Dieses Verfahren ist prädestiniert für die Überprüfung von E­Mails, die nach wie vor als größtes Schlupfloch für Malware gelten. Im Vergleich zu herkömmlichen Endpoint­Lösungen besitzt Sandboxing ein weitaus größeres Spektrum an Technologien, um potenziell gefährliche Dateien zu erkennen. Die Kombination von ESET PROTECT, ESET Inspect und ESET LiveGuard – dem Cloud Sandboxing von ESET – zählt zu den besten XDR­Lösungen am Markt. Use Case: RansomwareRansomware ist mittlerweile zur akuten Dauerbedrohung auch für Ver­waltungsrechner und ­server geworden. Dabei verbleibt sie oft über Mo­nate hinweg unbemerkt und greift teilweise sogar Backup­Systeme an. IT­Sicherheitsteams müssen generell in der Lage sein, Ransomware bereits vor einer tatsächlichen Infektion zu erkennen. Hat diese stattgefunden, muss sofort gehandelt und der Verantwortliche informiert werden.Endpoint­Detection­and­Response­Lösungen können bereits in der Or­ganisation vorhandene Ransomware nahezu in Echtzeit identifizieren. Typische Angriffe mit Verschlüsselungstrojanern beginnen häufig unauf­fällig damit, dass ein Nutzer eine E­Mail mit einem Anhang erhält, meist ein Word­Dokument. Der Anwender öffnet dieses und wird aufgefordert, enthaltene Makros auszuführen. Tut er dies, verschlüsselt eine .exe alle Da­ten, auf die sie zugreifen kann – Lösegeldforderungen folgen prompt. Eine

Mitarbeiterinformation Datenschutz Mitarbeiter einfach und rechtssicher sensibilisieren Bestseller millionenfach verkauft W ideal für alle Mitarbeiter W leicht verständlich W anschaulich illustriert W firmenindividuell gestaltbar W in 5 Sprachen verfügbar jetzt bestellen: datakontext.com/mitarbeiterinformation

– ADVERTORIAL – Compliance Criteria Catalogue). Er spezifiziert die Mindestanforderungen an sicheres Cloud Computing und richtet sich in erster Linie an profes­ sionelle Cloud­Anbieter, deren Prüfer und Kunden. Ziel einer Testierung von Rechenzentrumsbetreibern nach dem Kriterienkatalog C5 ist es, eine transparente Darstellung der Informationssicherheit eines Cloud­Dienstes auf Basis einer standardisierten Prüfung zu gewährleisten. Besonders stolz sind wir aber auf unser Zertifikat TÜViT TSI Level 4. Als eines von nur wenigen Rechenzentren weltweit wurde der Bauabschnitt 2 des Rechen­ zentrums Nürnberg Süd nach dem TSI.STANDARD zertifiziert. Dieses Qua­ litätsniveau steht für sehr hohe Schutzbedarfe und Höchstverfügbarkeit. Höchste Sicherheit für KRITIS-Betreiber Ein weiterer Aspekt für die Evaluierung des passenden Rechenzentrums­ anbieters betrifft die Verfügbarkeit und die Absicherung für den Katastro­ phenfall. In diesem Zusammenhang bedeutet das für IT­Verantwortliche aus dem öffentlichen Dienst, nach Rechenzentren Ausschau zu halten, die eine Redundanz von Daten und Anwendungen über zwei oder mehr Datacenter gewährleisten können – ohne Abstriche bei der Sicherheit machen zu müssen. Stichwort: Georedundanz. Dabei handelt es sich um Kriterien des BSI, die im Jahr 2018 speziell für Behörden oder Unterneh­ men mit hohen oder sehr hohen Anforderungen hinsichtlich Verfügbar­ keit, also Betreiber kritischer Infrastrukturen (KRITIS), bei der Planung eines Rechenzentrumsstandorts entwickelt wurden. Demnach müssen mindestens 100 Kilometer – bei möglichen Risikoszenarien auch 200 Ki­ lometer und mehr – zwischen zwei Datacenter liegen, sodass selbst bei einem Totalausfall eines Rechenzentrums im Katastrophenfall das zweite den gesamten IT­Betrieb übernehmen kann. Schließlich spielt unser Ab­ rechnungsmodell eine entscheidende Rolle. Durch die innovative Pay­as­ you­go­Abrechnung über „noris­network­Cloud­Punkte“ sind Behörden flexibel in der Nutzung ihrer Cloud­Ressourcen. Sie zahlen nur, was sie auch tatsächlich nutzen. n Kontakt: noris network AG Thomas-Mann-Straße 16–20 90471 Nürnberg Tel.: +49 911 9352-0 Fax: +49 911 9352-100 E-Mail: vertrieb@noris.de Homepage: www.noris.de All das verwundert: So weiß der Staat seit der Geburt eines Bürgers zwar, dass er existiert, und auch eine Steueridentifikationsnummer lässt nicht lange auf sich warten. Wie viele Lehrer aber sechs Jahre später benötigt werden, entzieht sich seiner Kenntnis. Anders ausgedrückt: Daten wer­ den eingezogen, was man mit diesen Informationen anfangen kann, ist unklar. Digitalisierung ist alternativlos Klar ist allerdings, dass die digitale Transformation nicht vor den Toren der Behörden halt machen wird. Mit der großflächigen Vernetzung, digitalen Infrastrukturen und dem Durchbruch von Informationstechnologien in der Privatwirtschaft verändern sich auch die Anforderungen an die Beleg­ schaft in öffentlichen Organisationen. Treiber für diese Entwicklung sind nicht zuletzt die Bürger selbst. Sie erwarten auch in der Zusammenarbeit mit staatlichen Einrichtungen denselben Komfort und dieselben Dienste, die sie auch aus dem privaten Umfeld kennen. Kein Wunder also, dass der Staat selbst nun Tempo machen will – mit den im Onlinezugangsgesetz (OZG) geregelten Bestimmungen beispielsweise. Ziel der Anordnungen ist die digitale Vernetzung und Automatisierung in Behörden. Bund, Länder und Kommunen werden mit diesen Bestimmungen dazu verpflichtet, ihre Verwaltungsdienstleistungen bis Ende 2022 volldigital anzubieten. Ob das in der Kürze der Zeit funktioniert, bleibt abzuwarten. Modernisierungsstau durch Fachkräftemangel Zunächst brauchen Bund und Länder nämlich eine umfassende Stra­ tegie, wie und wo Services angeboten, wie Daten und Anwendungen gehostet werden sollen und wie es um die physische und die Cybersi­ cherheit steht. Vor allem aber braucht es ein nachhaltiges Konzept, wie das dringend benötigte Know­how und das Fachpersonal für die digita­ le Transformation in Behörden aufgebaut werden kann. Im öffentlichen Dienst schlägt der Fachkräftemangel bekanntlich besonders hart zu. IT­Verantwortliche dort finden jetzt schon kaum Zeit, um den alltägli­ chen Betrieb zu gewährleisten, geschweige denn neue Digitalisierungs­ projekte anzustoßen. Die Schuldenbremse sowie der demografische Wandel setzen voraus, dass die öffentliche Verwaltung zukünftig mit weniger Mitarbeitern effektiver und effizienter öffentliche Leistungen erbringen muss. Darüber hinaus verlangt die europäische und bundes­ deutsche Gesetzgebung neue Denkansätze, um dem gesetzlich ange­ ordneten Digitalisierungszwang in einem ambitionierten Zeitfenster nachzukommen. Ein Hauptproblem: Viele gute Spezialisten zieht es eher in die Privatwirtschaft, dort sitzt das Geld. Gründe genug also, weshalb sich Bund, Länder und Gemeinden Gedanken darüber machen sollten, welche IT­Strategie auch langfristig Erfolg verspricht. noris network: Zertifiziert durch BSI und TÜV Wir bei noris network haben uns den Lösungen auf genau diese Heraus­ forderungen verpflichtet: Höchste Sicherheit, Verfügbarkeit und Integ­ rität haben wir mit unseren Hochsicherheitsrechenzentren Nürnberg, München und Hof längst in nicht weniger sensiblen Branchensegmenten Banken und Gesundheitswesen bewiesen. Unabhängig davon, ob es um Colocation, Managed Services oder reine Cloud­Infrastrukturen geht, un­ sere zertifizierten Datacenter bringen die gesetzlichen und technischen Voraussetzungen mit. Unverzichtbar ist aus Datenschutzgründen neben dem Standort Deutschland die Einhaltung entsprechender Schutzklassen und ein bestätigtes IT­Sicherheitsniveau durch Zertifizierungsinstanzen wie dem BSI oder TÜV. Dazu gehören neben der internationalen Cyber­Se­ curity­Zertifizierung ISO 27001 für Informationssicherheits­Management­ systeme (ISMS) vor allem der Kriterienkatalog BSI C5 (Cloud Computing SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 53 Bild: ©Deemerwha studio/Shutterstock.com

Messaging für Behörden: vereinfachte Kommunikation, bessere IT­Sicherheit – ADVERTORIAL – Rund fünf Millionen Beamtinnen und Beamte sind jeden Tag im Auftrag von Bundesländern, Städten, Landkreisen und Kommunen im Einsatz. Das bedeutet häufig, abseits des Büros tätig zu sein, sei es aufgrund von Hybridarbeit oder eines hohen mobilen Beschäftigungsgrads. Für ein reibungsloses Arbeiten ist eine einfache Kommunikation ein absolutes Muss. Hierfür braucht es Kommunikationslösungen, die einerseits für alle Nutzer intuitiv bedienbar sind, andererseits müssen sie ein Höchstmaß an Datenschutz und -sicherheit bieten. Warum ein Behörden-Messenger die optimale Wahl ist, um den individuellen Bedarfen von Mitarbeitenden gerecht zu werden und gleichzeitig die IT-Sicherheit hochzuhalten, ver- deutlichen die folgenden vier Argumente. Tobias Stepan, Gründer und Geschäftsführer, Teamwire GmbH (teamwire.eu) Argument 1: Ein Behörden-Messenger steht für absolute Datensouveränität und -sicherheit. Daten, die in einem DSGVO-konformen Behörden-Messenger entstehen, sind idealerweise in einem IS0-27001-zertifizierten Rechenzentrum mit Standort in der EU oder On­Premises in der eigenen IT­Infrastruktur ge­ hostet. Zudem erfolgt der Daten­ und Informationsaustausch – also das Versenden und Empfangen von Nachrichten, Dokumenten, Bildern sowie Videos – vollständig verschlüsselt. Überdies werden keine Meta­Daten wie etwa Standort, Datum und Uhrzeit erfasst. So sind keine Rückschlüsse möglich, wer wann mit wem kommuniziert hat. Argument 2: Die Nutzerverwaltung liegt allein in den Händen der verantwortlichen IT. Anders als bei nutzerverwalteten Consumer­Apps lässt sich ein Behör­ den­Messenger zentral steuern. Die EDV­Verantwortlichen verwalten die Kommunikationslösung über ein Portal – das Administratoren­Dash­ board. Dort können Benutzerrechte festgelegt, ein organisationsweites Adressbuch eingerichtet, Nachrichten revisionssicher archiviert und exter­ ne Gastzugänge zugelassen werden. Damit ist sichergestellt, dass indivi­ duelle Compliance­Anforderungen, die im Behördenumfeld gelten, jeder­ zeit eingehalten und keine Sicherheitslücken riskiert werden: Der Zugriff durch Dritte, etwa den Messenger­Anbieter selbst, ist unmöglich. Argument 3: Eine übergreifende Kommunikati- on zwischen Kommunen, Städten und Ländern ist gewährleistet. Referate, Dezernate und behördliche Abteilungen stehen häufig im Aus­ tausch mit externen äquivalenten Institutionen, etwa einem anderen Stadtbezirk, Rathäusern anderer Städte oder Sicherheitsbehörden. Ein Be­ hörden­Messenger gestattet eine übergreifende Kommunikation, indem er die eigenständigen Server der jeweiligen Organisationen verknüpft. Behörden, die auf diese Weise verbunden sind, können ihre gesamte Kommunikation, also über jegliche Institutionsgrenzen hinweg, über den Behörden­Messenger tätigen und so effektiv zusammenarbeiten. Argument 4: Ein Behörden-Messenger fördert die Automatisierung von Arbeitsprozessen. Im Behördenumfeld sind viele Arbeitsvorgänge (noch) durch eine manuel­ le Abarbeitung gekennzeichnet. Ein Beispiel: Eine Fachkraft des Sozialamts besucht eine Familie vor Ort zu Hause und macht dort händisch Notizen. Zurück im Büro pflegt sie die Notizen als Bericht in das entsprechende EDV­System ein. Würde die mobile Fachkraft einen Behörden­Messenger nutzen, der mit dem entsprechenden EDV­System verknüpft ist, können Berichte in einem Schritt über den Behörden­Messenger direkt verfasst und automatisiert in das System eingespeist werden. Ein solcher Prozess macht doppelte Aufwände obsolet und stellt zugleich eine vollständige Informationsversorgung sicher. n Weiterführende Informationen zum Behörden-Messenger von Teamwire erhalten Sie hier. Kontakt: Teamwire GmbH Spezialist für sicheres und souveränes Instant- Messaging für Behörden und Unternehmen Tel: +49 89 1222199 22 Mail: sales@teamwire.eu Website: teamwire.eu SPECIAL_3/2022 IT-SICHERHEIT IN DER ÖFFENTLICHEN VERWALTUNG 55 Bild: ©everythingpossible - stock.adobe.com

Was ein Informationssicherheits manage ment- system (ISMS) heute leistet BESTE BASIS FÜR SECURITY­PROZESSE L eider spielen bei vielen Unterneh- men und Behörden in puncto IT- Sicherheit die Kosten eine zu große Rolle. Investitionen finden daher nur unzurei­ chend oder punktuell statt. Nichts oder zu wenig zu tun, ist allerdings gefährlich und es drohen nicht nur erhebliche finanzielle, sondern auch Image­Schäden. Organisationen, die fahrlässig handeln, setzen sich selbst erheblichen Konse­ quenzen wie Datenklau, Denial­of­Service­At­ tacken und Erpressungen via Ransomware aus. Welche weitreichenden Folgen eine Cyberat­ tacke haben kann, zeigte im Juli letzten Jahres beispielhaft der Ransomware­Angriff auf die Landkreisverwaltung Anhalt­Bitterfeld. Die An­ greifer verschlüsselten mehrere Terabyte Daten und drohten, diese zu veröffentlichen, sollte kein Lösegeld gezahlt werden. Über Wochen konnte die Behörde keine Gehälter und Sozialleistungen auszahlen, noch zwei Monate später waren Ex­ perten damit beschäftigt, die IT­Infrastruktur und IT-SICHERHEIT_3/2022 57 SECURITY MANAGEMENT | MANAGED SECURITYUnternehmen und Behörden sind jeden Tag mit immer schwer wiegenderen IT-Sicherheitsrisiken konfrontiert. Dieser Bedrohung können sie sich nur mit strukturierten Security-Prozessen erwehren. Ein Informationssicherheits-management system (ISMS) bildet für sie eine solide Grundlage.Bild: ©ipopba - stock.adobe.com

SECURITY MANAGEMENT | MANAGED SECURITY Ausfallzeiten nach sich ziehen. Dabei ist auch die Dauer von Ausfallzeiten zu betrachten – abhängig von den ergriffenen Notfallmanage­ ment­ und Disaster­Recovery­Maßnahmen. ƒ Was kostet die umfassende Sicherung aller relevanten Systeme? Vor jeder Investition in die IT­Sicherheit sollte ein Unternehmen immer eine detaillierte Kostenbetrachtung anstellen. Dabei muss jeweils auch der Auf­ wand und der Nutzen in Relation gesetzt werden. LÖSUNGEN, VERANT- WORTLICHKEITEN UND MITARBEITER Sobald die Sicherheitsstrategie definiert ist, müssen die erforderlichen Sicherheitslösun­ gen, ­tools und ­services ausgewählt und eingeführt werden. Wie bei der Einführung jeder Lösung lauten die Aufgaben Evaluierung und Kosten­Nutzen­Analyse. Zudem müssen auch Aspekte wie Design und Konfiguration, Implementierung, Integration in die System­ landschaft, Betrieb und Wartung sowie Usa­ bility berücksichtigt werden. Vor allem hat ein Unternehmen auch eine Entscheidung über das Betriebsmodell zu treffen, also ob IT­Sicherheit ein On­Premises­, ein Hybrid­Cloud­ oder ein Full­Outsourcing­Thema ist. Für Unternehmen kann es bei diesen komplexen Themen durch­ aus von Vorteil sein, Consulting­Services exter­ ner Dienstleister zu nutzen, die Expertise im Sicherheitsbereich vorweisen können. Darüber hinaus muss ein Unternehmen die Ver­ antwortlichkeiten für die Definition, Durchset­ zung und Überwachung von organisatorischen Maßnahmen bestimmen und Initiativen zur Motivation und Sensibilisierung der Mitar­ beiter ergreifen. Nur so kann der Erfolg eines ISMS­Projekts sichergestellt werden. Es ist im Rahmen eines ISMS ein absolutes Muss, ein Schulungs­ und Sensibilisierungskonzept zu erstellen und dieses auch zu verfolgen. Ein Punkt wird in diesem Kontext oft überse­ hen: Die Umsetzung einer Sicherheitsstrategie erfordert spezifische Qualifikationen. Es kann durchaus sein, dass aufgrund des im Unter­ nehmen nicht vorhandenen Sicherheits­Know­ hows ein Outsourcing sinnvoll ist. Schließlich sollte ein Unternehmen immer abklären, ob es kostengünstiger ist, die eigenen Mitarbeiter zu qualifizieren oder externe Experten einzukau­ fen. Insgesamt erfordert die Etablierung von Secu­ rity­Prozessen immer eine strukturierte Vorge­ hensweise. Ad­hoc­Aktivitäten und Insellösun­ gen sind nicht Erfolg versprechend. Überdies muss die Sicherheitskultur im Unternehmen ge­ lebt werden, und zwar vom Top­Management bis hin zum einzelnen Mitarbeiter. Nicht zuletzt darf nicht vergessen werden, dass Security auch ein Differenzierungsmerkmal sein kann. Viele Unternehmen – gerade auch Zulieferer im Bereich kritischer Infrastrukturen – müssen verstärkt Nachweise zur Informationssicherheit erbringen. IT­Security wird damit immer mehr auch zu einem Wettbewerbsfaktor. n Quellen: [1] https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it- grundschutz_node.html [2] https://www.iso.org/standard/54534.html [3] https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI- Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/Leitfaden-Basis-Absicherung/leitfaden-basis-absicherung_node.html MARCO WICKL, Director Consulting Services und Teamlead für IT-Governance, Risk and Compliance bei CGI IT-SICHERHEIT_3/2022 59 Die Einführung und regelmäßige Überprüfung der Sicherheitsprozesse erfolgt anhand des vierphasigen PDCA (Plan, Do, Check, Act)-Zyklus. (Quelle: BSI Standard 200-1, ©2020 CGI Inc.)

SECURITY MANAGEMENT | MANAGED SECURITY Egal ob Büro oder Homeoffice: Um Daten und Netzwerke vor unbefugtem Zugang zu schützen, können Single-Sign-on/PC-Logon-Systeme in Verbindung mit RFID- oder smartphonefähigen Technologien kombi- nieren, einen wichtigen Beitrag leisten. (Quelle: ELATEC) tieren lassen. Zwar sind die Anforderungen an ein sicheres, sogenanntes „nicht kompromit- tierbares“ Passwort in der ISO-Norm 27001 für Informationssicherheitsmanagementsysteme klar festgelegt. Diese sind jedoch so umfassend und komplex, dass sich bei Nutzern schnell eine gewisse Passwortmüdigkeit einstellen kann. Die häufige Folge: Eine Behelfslösung, bei der die Passwörter auf einem Zettel notiert und für alle gut sichtbar an den Computer geklebt wer­ den. Die Folgen kompromittierter oder geteilter Passwörter können jedoch gravierend sein und reichen vom Diebstahl geistigen Eigentums über die Schädigung des Arbeitgeberimages bis hin zu Bußgeldern aufgrund von Datenschutz­ verstößen. GESPANN FÜR KOMFOR- TABLE AUTHENTIFIZIE- RUNG: SSO MIT RFID UND MOBILEN TECHNOLOGIEN Am Markt sind Alternativen zur Authentifizie­ rung mittels Passwort verfügbar. Eine sichere und besonders komfortable Möglichkeit für Nut­ zerauthentifizierung und Zugangskontrollen bie­ tet eine SSO­Lösung, die PC­Logon­Middleware mit RFID oder smartphonebasierten Bluetooth Low Energy­(BLE­) oder Near Field Communica­ tion­(NFC­)Systemen kombiniert. Hierbei wird ein Lesegerät an den Computer oder die Workstation angeschlossen bezie­ hungsweise in diese integriert und mit der PC­ Logon­Middleware verbunden. Statt zur Anmel­ IT-SICHERHEIT_3/2022 61 dung ein Passwort einzugeben, hält der Nutzer lediglich seine ID-Karte oder sein Smartphone mit digitalem Berechtigungsnachweis an das Le-segerät, um Zugriff auf Netzwerke, Dienste und Dateien zu erhalten.Beide Optionen sind für die Nutzer einfach zu handhaben: RFID-Karten werden bereits häu-fig für die Identifizierung von Mitarbeitern und die Zutrittskontrolle zu Gebäuden eingesetzt. Dieselben Karten können so auch für die sichere Authentifizierung im Rahmen von SSO­/PC­Lo­gon­Systemen verwendet werden. Das ständig griffbereite Smartphone eignet sich ebenfalls optimal für den Zugang zu Unternehmensnetz­werken und Ressourcen. Ob Karte oder Smart­phone: Eine solche SSO­/PC­Logon­Lösung funktioniert im Büro genauso zuverlässig wie beim mobilen Arbeiten am Laptop. Die einfache Authentifizierung spart Zeit bei der Anmeldung, lässt die Passwortmüdigkeit der Nutzer außen vor und erhöht so die Sicherheit. Ein weiterer positiver Effekt: Es ist jederzeit nachvollziehbar, wer wann auf welche Daten zugegriffen hat.Doch nicht nur die Nutzer profitieren von einer Umstellung auf ein solches SSO­/PC­Logon­Sys­tem. Vor allem Unternehmen entstehen dadurch erhebliche Vorteile, indem ƒsich der Zeitaufwand für den IT­Support reduziert, der durch vergessene Passwörter entsteht ƒdas System zur Umsetzung der ISO 27001 beiträgt ƒsich die Verwaltung der Authentifizierungs­systeme zentralisieren und dadurch vereinfa­chen lässt ƒsich die Möglichkeit bietet, alle Zugangsebe­nen zu Systemen zu sichern, ohne dass meh­rere Anfragen durch den Anwender gestellt werden müssen ƒsich Zugangskontrollinformationen für Kon­formitätstests mit den verschiedenen Stan­dards zentralisieren lassen ƒsie unter gewissen Voraussetzungen staatli­che Förderungen für die Umstellung auf di­gitale Prozesse beziehungsweise die digitale Transformation beantragen können.KRITERIEN FÜR EINE ERFOLGREICHE IMPLE-MENTIERUNGBei der Einführung eines SSO­/PC­Logon­Sys­tems, das RFID, NFC oder BLE für die Authenti­fizierung nutzt, sind drei Aspekte besonders zu beachten:1. Flexibilität durch universelle LesegeräteAm internationalen Markt ist eine Vielzahl von Kartentechnologien mit jeweils eigenen Daten­formaten, Kommunikationsfrequenzen und Sicherheitsfunktionen verfügbar. Für Unterneh­men und Organisationen bedeutet dies, dass Mitarbeiterausweise mit unterschiedlichen Technologien im Einsatz sein können – insbe­sondere, wenn mehrere Standorte weltweit unterhalten werden. Die meisten Lesegeräte sind jedoch lediglich in der Lage, einige weni­ge Kartentechnologien zu lesen. Eine Lösung bieten Multifrequenz­Lesegeräte, die mit bis zu 60 weltweit gängigen Transpondertechno­logien kompatibel und für den Einsatz in bis zu 110 Ländern zertifiziert sind. Die universellen Geräte nutzen sowohl RFID für Authentifizie-rung und Zugang als auch NFC oder BLE. So lassen sich auch mobile Endgeräte in das Sys-tem einbinden, wodurch eine größtmögliche Flexibilität für die Nutzer gegeben ist.Eine moderne Authentifizierungslösung, die Multifrequenz-Leser einsetzt, erlaubt die nahtlose Integration unterschiedlicher Anwendungen in die bestehenden Systeme einer Organisation. So können mehrere Appli-kationen wie SSO, Zutrittskontrolle oder Zeit-erfassung integriert werden. Das stellt eine einheitliche und zeitsparende Verwaltung sowie hohen Anwenderkomfort sicher.

BUCHVORSTELLUNG Homeoffice und hybride Arbeitsformen: Organisation, Technologie und juristische Aspekte Homeoffice in Zeiten der Pandemie – und was wir daraus lernen können Coronabedingt wurden vor zwei Jahren quasi über Nacht die Mit- arbeiterinnen und Mitarbeiter soweit möglich ins Homeoffice geschickt. Die Umstellung war nicht nur für Unternehmen mit ausgeprägter Präsenzkultur eine große Heraus­ forderung. Durch die gewonnenen Erfahrungen der Mitarbeitenden stoßen hybride Arbeitsfor­ men – ein Mix aus Präsenztagen im Büro und mobiler Arbeit – auf eine hohe Akzeptanz und spielen auch bei der Personalgewinnung eine zunehmend relevante Rolle. Das Buch befasst sich mit der Umsetzung des Transformationsprozesses vom pandemiebe­ dingten Krisenmanagement zur neuen Norma­ lität, denn die sich ändernde Arbeitswelt bedarf einer neuen Unternehmens­ und Arbeitskultur, und alte Verhaltensweisen und Organisations­ formen können nicht unverändert auf die neue Arbeitswelt übertragen werden. Vor diesem Hintergrund werden die Auswirkungen auf strategischer und operationaler Ebene unter­ sucht und Optionen zur Lösung der Herausfor­ derungen und Bedürfnisse der Führungskräfte und Mitarbeitenden dargestellt. Praxiserfahrene Autorinnen und Autoren, die in ihrem eigenen Unternehmen oder bei ihren Kunden den Transformationsprozess initiiert haben beziehungsweise begleiten, geben viel­ schichtige Tipps unter anderem hinsichtlich Mitarbeiterführung, Produktivität, Kommu­ nikation und Zusammenarbeit, Arbeitsplatz­ gestaltung sowie Sicherheit im Homeoffice. Anhand von Praxisbeispielen beschreiben sie gelungene Maßnahmen zur Umsetzung hybri­ der Arbeitsmodelle. Christiana Köhler-Schute [Hrsg.] Homeoffice und hybride Arbeits- formen: Organisation, Technologie und juristische Aspekte: Homeoffice in Zeiten der Pandemie – und was wir daraus lernen können KS-Energy-Verlag, 2022 130 Seiten, 18,90 Euro (geb. Ausgabe) 14,90 Euro (eBook) ISBN 978-3-945622-20-9 ISBN 978-3-945622-21-6 (PDF), ISBN 978-3-945622-22-3 (ePUB) Zudem informiert das Buch über grundlegende arbeits­ und datenschutzrechtliche Rahmen­ bedingungen im Umfeld von Homeoffice und Mobile Working. Die Autoren des Buches: Verena Behr, SPIRIT/21; Markus Böhm, diconium; Dr. Holger Braune, HIRSCHTEC; Dr. Jens Eckhardt, Derra, Meyer & Partner Rechtsanwälte; Stefan Eßer, Derra, Meyer & Partner Rechtsanwälte; Martin Grentzer, aconso; Lutz Hirsch, HIRSCH­ TEC; Christian Klewe, Deutsche Rentenversiche­ rung Bund; Florian Lorenz, rku.it; Lara März, CGI Deutschland; Nele Prätorius, Deutsche Renten­ versicherung Bund; Jens Reichardt, SPIRIT/21; Dr. Jens M. Sorg, CGI Deutschland n 63IT-SICHERHEIT_3/2022

CYBERSICHERHEIT Gerät bleibt und nie manuell eingegeben oder von irgendeiner Webseite geholt werden muss, können die Log­in­Daten nicht von Hackern ab­ geschöpft werden. Die FIDO­Allianz wurde bereits 2013 von Paypal, Lenovo, Infineon, Nok Nok Labs, Validity Sensors und Agnitio gegründet, um die passwortlose Onlineidentifizierung voranzutreiben. Der Allianz sind später weitere prominente Konzerne wie Microsoft, Google und Samsung beigetreten. Heute gehören ihr Hunderte Unternehmen aus der ganzen Welt an. PHISHING-SIMULATIONEN SCHÄRFEN NUTZERBLICK Darüber hinaus sollten die Mitarbeiter im Rah­ men spezieller Security­Awareness­Trainings im Erkennen von Phishing­Angriffen geschult werden. Mag die E­Mail­Nachricht von Microsoft als noch so dringlich erscheinen, das eigene Nutzerkonto sofort zu validieren: Statt vorschnell auf den angegebenen Link zu klicken, sollten die Empfänger auf Buchstabendreher in der Adress­ zeile, abweichende URLs oder Subdomains ach­ ten, die eine E­Mail als betrügerisch entlarven. Besonders effektiv sind Spear­Phishing­Simu­ la tionen, bei denen authentische Attacken im Arbeitsalltag nachgestellt werden. Fällt ein Mit­ arbeiter auf eine gefälschte E­Mail herein, lan­ det er direkt auf einer interaktiven Erklärseite. Damit nutzen Phishing­Simulationen den „Most Teachable Moment“ eines Mitarbeiters, um ihn zum vorsichtigen Umgang mit E­Mails und ge­ forderten Log­ins zu erziehen. n Quellen [1] Timothy Kromphardt, Proofpoint: „MFA PSA, Oh My!“, 3. Februar 2022 [2] Barracuda: „Spear Phishing: Die häufigsten Bedrohungen und Trends“, Dezember 2020 DAVID KELM, Mitgründer und Geschäftsführer der IT-Seal IT-SICHERHEIT_3/2022 65 Wer eine solche Aufforderung vom angeblichen Microsoft-Kundenservice erhält, sollte auf Buchstaben- dreher in der Adresszeile achten. (Quelle: IT-Seal) WACHSENDES ANGEBOT AN PHISHING-KITS In einem kürzlich veröffentlichten Blogbeitrag berichtet der Cybersicherheitsanbieter Proof­ point von einer zunehmenden Verbreitung der im Internet verfügbaren 2FA/MFA­Phishing­ Kits [1]. Das Angebot reicht von einfachen Open­ Source­Kits mit lesbarem Code und schlanken Funktionen bis hin zu ausgefeilten Werkzeug­ kästen mit zahlreichen Verschleierungsebenen und integrierten Modulen, die Angreifern den Diebstahl von Benutzernamen, Passwörtern, MFA­Tokens und Kreditkartennummern ermög­ lichen. Darüber können sie vertrauliche Daten und Gelder stehlen sowie zielgerichtete Angriffe innerhalb eines Unternehmens starten. Nach einer Studie von Barracuda imitieren die Cyberkriminellen vor allem bekannte Marken, um Benutzerkonten zu hacken – allen voran Micro soft und Apple [2]. Bei vielen Angriffen auf die 2FA/MFA von Nutzern werden auch Finanz­ institute nachgeahmt. Seit Kurzem häufen sich Meldungen, dass es Angreifern gelingt, in unter­ nehmensinterne Kommunikationsplattformen wie Microsoft Teams und Slack einzudringen. Dies ist besonders besorgniserregend, da der Austausch innerhalb dieser Instant­Messaging­ Dienste von Vertrauen geprägt ist. Wer würde hier schon vermuten, dass sich hinter einer täu­ schend echt wirkenden Nachricht eines Vorge­ setzten oder Kollegen in Wahrheit ein Betrüger mit finsteren Absichten verbirgt? Eine weitere Verbreitung dieser Cyberangriffs­ methode ist durch die aktuellen Sanktionen ge­ gen Russland zu erwarten. Nachdem die west­ lichen Staaten die meisten russischen Banken aus dem internationalen SWIFT-Zahlungssystem ausgeschlossen haben, können der Staat und viele Oligarchen nicht mehr auf ihre Devisenre- serven und Auslandskonten zugreifen. Sie wer- den sicherlich versuchen, dieses Defizit mithilfe versierter Hacker auszugleichen. Diese nutzen die 2FA/MFA­Angriffsmethode, um über die Log­in­Daten ihrer Opfer an Kryptowährungen zu gelangen. KONSEQUENT IN SCHUTZ- MASSNAHMEN INVESTIEREN Doch ist die 2FA/MFA für die Unternehmen da­ mit zum unabwendbaren IT­Sicherheitsrisiko geworden? Mitnichten. Wer sich und seine Mit­ arbeiter wirksam vor dem Diebstahl sensibler Log­in­Daten schützen möchte, sollte vor allem zwei Dinge tun: in den neuesten Stand der Tech­ nik investieren und das Sicherheitsbewusstsein der Nutzer stärken. MIT FIDO2 „STATE-OF-THE- ART“ So steht mit FIDO2 (Fast IDentity Online) eine fortschrittliche 2FA zur Verfügung, bei der die Anmeldung bei einem Webservice verschlüs­ selt erfolgt. Registriert sich ein Nutzer, wird auf einem verwendeten Gerät ein neues Schlüssel­ paar – bestehend aus Private­ und Public­Key – erzeugt. Während der öffentliche Schlüssel beim Webservice registriert wird, authentifiziert sich der Nutzer per Nachweis des privaten Schlüs­ sels, der durch eine bestimmte Aktion wie PIN­ oder Spracheingabe entsperrt werden muss. Da der private Schlüssel dabei immer auf dem

SUPPLY CHAIN IM SINNE DER CYBERSICHERHEIT Was genau ist eigentlich eine Supply Chain? Eine Supply Chain umfasst zum Beispiel ein breites Spektrum an Ressourcen, bestehend aus Hard- ware und Software, Speicher (Cloud oder lokal), Vertriebsmechanismen (Webanwendungen, On- lineshops) und Verwaltungssoftware. Sie kann in unterschiedlichen Größenordnungen und Umfängen existieren. Kleine Mittelständler so- wie Konzerne können ein Teil einer Supply Chain sein, sowohl als Kunde als auch als Lieferant oder sogar beides. Im Sinne der Cybersicherheit besteht eine Supply Chain aus den vier Kernele- menten: Lieferant, Assets des Lieferanten, Kun- de und Assets des Kunden.[1] ƒ Lieferant Ein Unternehmen, das ein Produkt oder eine Dienstleistung für eine andere Organisation be- reitstellt. ƒ Assets des Lieferanten Wertvolle Elemente, die der Lieferant zur Her- stellung des Produkts oder der Dienstleistung verwendet. ƒ Kunde Eine Organisation, die das vom Lieferanten produzierte Produkt oder die Dienstleistung konsumiert. ƒ Assets des Kunden Wertvolle Elemente, die sich im Besitz des Kun- den befinden. Dies kann eine Einzelperson, eine Angriff auf die Supply Chain IT-SICHERHEIT_3/2022 67 AUS FORSCHUNG UND TECHNIKan einer bestimmten Prozessstelle umgesetzt werden. Nur so lässt sich sicherstellen, dass das manipulierte Software-Update offiziell als Hersteller­Update digital signiert und somit als autorisierter Code vom Kunden akzeptiert und eingespielt wird. Darauf basierend kann in ei­nem zweiten Schritt, der Angreifer die Software des Herstellers bei mehreren Tausend Organi­sationen gleichzeitig nutzen, um die eigentli­chen Angriffe umsetzen.Während 2020 insgesamt 694 Organisationen betroffen waren, stieg die Zahl der betrof­fenen Organisation im Jahr 2021 allein durch einen einzigen erfolgreichen Angriff auf über 1.500 Organisationen an. Dabei wurde über ein Update eines Software­Produkts, welches von zahlreichen Unternehmen und Organisationen genutzt wurde, verheerender Schaden ange­richtet. Zuvor hatten Hacker eine Schwachstelle bei einem international tätigen IT­Dienstleister entdeckt und ausgenutzt. Bei den kompro­mittierten Organisationen wurden sämtliche Rechner verschlüsselt und der durchschnittliche Schaden pro betroffener Organisation belief sich auf ungefähr 6,1 Millionen US-Dollar.Um diesem enormen Schaden zu entgehen, reicht es für die Unternehmen nicht aus, sich beim Thema Cybersicherheit auf ihre Lieferan-ten oder Kunden zu verlassen. Jeder Teilneh-mer der Wertschöpfungskette ist selbst dafür verantwortlich, dass die Schnittstellen zu seinen Kunden und den Lieferanten technischen und organisatorischen Anforderungen der Cybersi-cherheit und des Risikomanagements genügen.Seit vielen Jahren ist ein deutlicher Anstieg der digitalen Vernetzung zwischen Kunden und Lieferan-ten erkennbar. Genau diese stetig zunehmen-de Vernetzung von Soft- und Hardwarebereit-stellung im B2B Bereich ist sehr attraktiv für Hacker. Anstatt jede Organisation einzeln an-zugreifen, wird die Organisation am Beginn der Supply Chain attackiert. So kann beispielswei-se ein einziges infiziertes IT-System alle damit verknüpften Organisationen, IT-Systeme und Prozesse infizieren. Diese Attraktivität spiegelt sich in der Anzahl der Cyberangriffe auf Supply Chains wider. Bei einem Supply-Chain- oder Lieferketten-Angriff ist die prinzipielle Idee, dass ein vertrauenswürdiger Dienst (Software), der seit längerer Zeit bei einer Organisation/einem Unternehmen in Einsatz ist, irgend-wann für einen Angriff verwendet wird. Hierfür missbraucht der Angreifer beispielsweise ein legitimiertes Software-Update, das der ver-trauenswürdige Softwarehersteller zur Verfü-gung stellt, um Organisationen/Unternehmen anzugreifen (Angriffsvektor).Um diesen Angriff durchführen zu können, dringt der Angreifer zuerst in das IT-System des Dienstleisters (Supplier) – dem vertrau-enswürdigen Softwarehersteller – ein und in-filtriert zum Beispiel das Software-Update mit Malware. Dieser Angriff wird in der Regel als Advanced Persistent Threat (APT) – mehrstufi-ger Angriff auf die IT-Infrastruktur von Unter-nehmen – durchgeführt. Voraussetzung für die weiteren Schritte des Angriffs ist, dass dieser Vorgang unbemerkt bleibt. Von daher muss er

Phase Lieferantenangriff Kundenangriff Reconnaissance ƒ Ermittlung der relevanten Liefe- ranten und deren Schwachstellen ƒ Definition von Angriffsvektoren ƒ Evaluierung von Angriffsvektoren und Angriffszielen beim Kunden ƒ Anpassung von Angriffsvekto- und Angriffszielen bei Lieferanten und Kunden ren und/oder Angriffszielen, falls notwendig ƒ Erstellung eines Angriffsplans Weaponize ƒ Bereitstellung von benötigten Werkzeugen und Informationen für den Lieferanten- und Kunden- angriff ƒ Anpassung der Cyberwaffe ge- mäß den Anpassungen in der Reconnaissance-Phase Deliver ƒ Einschleusung der Cyberwaffe in ƒ Einschleusung der Cyberwaffe das System des Lieferanten in das System des Kunden unter Ausnutzung der Malware im Sys- tem des Lieferanten Exploit ƒ Ausnutzung der Schwachstelle im ƒ Ausnutzung der Schwachstelle im System des Lieferanten ƒ Installation der Malware System des Kunden ƒ Installation der Malware Control ƒ Aufbau eines Befehls- und Kont- ƒ Aufbau eines Befehls- und Kont- rollkanals zum Angreifer ƒ Ausbreitung der Infektion rollkanals zum Angreifer ƒ Ausbreitung der Infektion Execute Maintain ƒ Die Vorbereitung ist abgeschlos- sen, und der Angriff kann durch- geführt werden. ƒ Ausführung des Angriffs auf den Kunden zum Erreichen des Ziels ƒ Der Zugang zum Lieferanten soll erhalten bleiben, bis das Ziel beim Kunden erfolgreich erreicht wurde. ƒ Erhaltung des Zugangs zum Kun- den (langfristig oder bis zum Er- reichen des Ziels) Tabelle 2: Phasen des Angriffs IT-SICHERHEIT_3/2022 69 Kunden hingegen werden meistens durch einen Trusted-Relationship-Angriff attackiert; Orga-nisationen gewähren ihren Lieferanten häufig einen erweiterten Zugang sowie weitreichen-de Berechtigungen, um ihnen die Verwaltung interner Systeme oder cloudbasierter Umgebun-gen zu ermöglichen. Dieser Zugang kann jedoch von Angreifern kompromittiert und missbraucht werden. Auch Software-Updates, welche von Kunden der Softwarelieferanten herunterge-laden werden, können mit Schadsoftware zur Kompromittierung der Kunden versehen wer-den. Klassische Angriffsvektoren wie Phishing-oder Malware-Infektionen kommen ebenfalls häufig zum Einsatz.Das Vorgehensmodell der beiden Angriffe, also dem Erstangriff auf den Lieferanten und den Folgeangriff auf den Kunden, folgt häufig einem vergleichbaren, siebenstufigen Ablauf (siehe Tabelle 2).Bei Lieferanten wird häufig bereits existierende Software kompromittiert. Darunter fällt sämtli-che Software von Drittanbietern, die der Liefe-rant verwendet, wie zum Beispiel Anwendungen, Webserver oder Firmware. Informationen über den Lieferanten, Werte von Sensoren, Zertifika-te und persönliche Daten von Kunden oder vom Lieferanten sind ebenfalls gefährdet und somit besonders schützenswert. Weitere beliebte Ziele von Cyberangriffen auf Lieferanten können sein: Konfigurationen (Passwörter, URLs, Firewall Rules etc.), Softwarebibliotheken, Prozesse, Hardware, Personen mit Zugriff auf Daten des Unternehmens oder auch Quellcodes. Der Haup-tunterschied zu klassischen Cyberangriffen ist, dass ein erfolgreicher Angriff auf einen Lieferan-ten das Schadenspotenzial exponentiell steigert.Das Haupt- und Endziel der Angreifer und somit der Grund eines Supply-Chain-Angriffs sind in der Regel die Assets der Kunden. Diese Assets können je nach Branche und Art der angebote-nen Dienstleistung variieren. Bestimmte Assets könnten von den Angreifern direkt ins Visier ge-nommen worden sein, während andere unbeab-sichtigt betroffen sein könnten. Es ist außerdem möglich, dass der Kunde das Ziel des Angreifers nicht kennt, weil der Angriff zum Beispiel erfolg-los war oder schnell entdeckt wurde.Mögliche Assets des Kunden sind ebenfalls per-sönliche Daten oder Geld. Hacker sperren den Computer und erpressen ihre Opfer für eine Lö-segeldsumme oder zielen direkt auf Quellcodes und Prozesse ab.WIE SICH ORGANISATI-ONEN GEGEN SOLCHE CYBER ANGRIFFE SCHÜT-ZEN KÖNNENJe besser Kunden vor Cyberangriffen geschützt sind, desto mehr rückt die Aufmerksamkeit der Angreifer auf die Zulieferer. Ein Interessenkon-flikt entsteht, wenn Kunden von den Lieferanten eine hohe Cybersicherheit erwarten und gleich-zeitig nicht bereit sind, entsprechend kalkulierte Produktpreise zu akzeptieren.Die Lieferanten müssen bereits bei der Soft-wareentwicklung gewährleisten, dass ihre eigene Software frei von Schwachstellen und Malware ist, um eine Infektion ihrer Kunden durch die eigene Software zu vermeiden. Dazu müssen neben der Gewährleistung einer siche-ren Entwicklungsumgebung vor Verwendung die verwendete Drittanbieter-Software und -bi-bliotheken überprüft werden. Weiterhin müssen sämtliche Veränderungen an der Software doku-mentiert und kontinuierlich überwacht werden. Bei der Herausgabe der Software an Kunden sollten schließlich die Integrität und Echtheit durch Prüfsummen und Signaturen gewährleis-tet werden, um eine nachträgliche Manipulation durch Angreifer leichter erkennen zu können.Werden bei einem Supply-Chain-Angriff die Kunden eines Lieferanten in einem Folgeangriff über die Infrastruktur des Lieferanten angegrif-fen, können die üblichen Schutzmaßnahmen unzureichend sein. Dementsprechend müssen bei einer Lieferanten-Kunden-Beziehung weitere Vorsichtsmaßnahmen zur Prävention von Angrif-fen über den Lieferanten vorgenommen werden.Im Folgenden werden wesentliche Handlungs-maßnahmen und Methoden erläutert, wie ein AUS FORSCHUNG UND TECHNIK

k c o t S e b o d A , a v o k h s e p : o t o F Der einfache Weg zum organisierten Datenschutz! Datenschutz Manager Der Experte an Ihrer Seite! ✓ webbasiert, On Premise oder PC-/Laptop Installation ✓ professionelle Schritt-für-Schritt Anleitung mit vielen Vorlagen ✓ einfaches Erfassen und Dokumentieren aller Datenschutzmaßnahmen ✓ effektive Zusammenarbeit aller verantwortlichen Stellen ✓ besonders für externe DSBs geeignet: Alle Mandanten in einem System Jetzt informieren: www.DataAgenda.de/datenschutzmanager powered by

Nr. 8 DS-GVO jede Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Unterneh- men, die als Auftragsverarbeiter auftreten, müssen im Fall eines Datenschutzvorfalls diesen an den Auftrag- geber, also den Verantwortlichen, melden (vgl. Art. 33 Abs. 2 DS-GVO) sowie diesen unterstützen (vgl. Art. 28 Abs. 3 lit. f DS-GVO). DIE MELDEPFLICHT Liegt eine meldepflichtige Datenschutzverletzung vor, muss der für die Verarbeitung der Daten Verantwortliche schnell handeln. Ihn treffen dann die Meldepflichten aus Art. 33, 34 DS-GVO, welche er zu erfüllen hat, sobald ihm der Datenschutzvorfall bekannt wird und ein (hohes) Ri- siko für die Rechte und Freiheiten natürlicher Personen besteht. Nach Kenntnis über den Vorfall besteht eine kurze Frist von 72 Stunden zur Vornahme der Meldung bei der zuständigen Aufsichtsbehörde. Zur Ermittlung des Risikos muss der Verantwortliche eine Bewertung nach verschiedenen zu berücksichtigen- den Faktoren vornehmen. Dabei sind unter anderem die Kriterien der Eintrittswahrscheinlichkeit als auch der Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen einzubeziehen. Bei Datenpannen führt die Risikobewertung, anders als bei einer Daten- schutz-Folgenabschätzung, nicht zu einem hypotheti- schen Ergebnis. Bei Data Breaches liegt der Fokus auf dem tatsächlichen Risiko der Folgen, welche die Daten- schutzverletzung für betroffene Personen hat. Unterneh- men können sich für die Risikobewertung am Kriterien- katalog der Art. 29-Datenschutzgruppe zu den Leitlinien für die Meldung von Verletzungen des Schutzes per- sonenbezogener Daten gemäß der Verordnung (EU) 2016/679 orientieren. Anhand dieser sieben Kriterien kann in der Praxis ermittelt werden, ob ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht: 1. Art der Verletzung des Schutzes personenbezoge- ner Daten 2. Wesen, Sensibilität und Anzahl der personenbezo- genen Daten 3. Leichtigkeit der Identifikation von Personen 4. Ernsthaftigkeit der Folgen für die Personen 5. Spezielle Eigenschaften der Personen 6. Anzahl der betroffenen Personen 7. Spezielle Eigenschaften des Verantwortlichen der Datenverarbeitung Im Annex der Leitlinien der Art. 29-Datenschutzgruppe finden sich einige nicht abschließende Beispiele, wann in IT-RECHT | DATENSCHUTZ | DATENSICHERHEIT Liegt eine meldepflichtige Datenschutzverletzung vor, muss der für die Verarbeitung der Daten Verantwortliche schnell handeln. Ihn treffen dann die Meldepflichten aus Art. 33, 34 DS-GVO, welche er zu erfüllen hat, sobald ihm der Datenschutz vorfall bekannt wird und ein (hohes) Risiko für die Rechte und Freiheiten natürlicher Personen besteht. jedem Fall eine Meldepflicht besteht. Ein Risiko besteht in der Regel unter anderem ƒ in Situationen der Diskriminierung, ƒ bei Identitätsdiebstahl oder -betrug oder ƒ bei finanziellen Verlusten. Die 72-Stunden-Frist zur Abgabe beginnt, sobald der Verantwortliche Kenntnis von dem Vorfall erlangt hat. Kenntnis hat der Verantwortliche dann erlangt, wenn er die tatsächlichen Umstände des Vorfalls kennt. Weiß ein Unternehmen beispielsweise, dass es einen Cyberangriff auf das Unternehmen gab und dabei personenbezogene Daten abgegriffen wurden, muss das Unternehmen den Vorfall melden. Einer Meldepflicht muss ein Unternehmen nur dann nicht nachkommen, wenn voraussichtlich kein Risiko „für die Rechte und Freiheiten natürlicher Personen“ be- steht. Auch das lässt sich anhand der Risikobewertung ermitteln. ANFORDERUNGEN AN EINE MELDUNG Interner Meldeprozess Die gesetzlichen Meldepflichten in Art. 33 DS-GVO und Art. 34 DS-GVO gehen zunächst nur von der Meldung ge- genüber der zuständigen Aufsichtsbehörde beziehungs- weise der Benachrichtigung der betroffenen Person selbst aus. Dennoch ist es sinnvoll, im Fall eines Daten- schutzvorfalls auch interne Schritte einzuleiten – da- IT-SICHERHEIT_3/2022 73

IT-RECHT | DATENSCHUTZ | DATENSICHERHEIT Der Verantwortliche ist verpflichtet, alle Daten­ schutzverletzungen zu dokumentieren und zwar auch dann, wenn keine Meldung an die Aufsichts- behörde notwendig war. Diese Pflicht zur Dokumentation resultiert aus der in Art. 5 Abs. 2 DS-GVO normierten Rechenschaftspflicht. Risiko mit unmittelbarem Schaden müssen betroffene Personen wohl sofort benachrichtigt werden, wohinge- gen eine längere Benachrichtigungsfrist bei weniger aku- ten Schadensszenarien gerechtfertigt sein kann. Unter gewissen Umständen kann trotz hohen Risikos eine Benachrichtigung des Betroffenen entbehrlich sein. Das ist unter anderem dann der Fall, wenn die betroffe- nen Daten durch geeignete technische und organisato- rische Sicherheitsvorkehrungen ausreichend geschützt gewesen sind, etwa durch eine Verschlüsselung. Weitere Umstände, in denen keine Benachrichtigung nötig ist, finden sich in Art. 34 Abs. 3 lit. b, c DS-GVO. Datenschutzvorfall dokumentieren und aufzeichnen Der Verantwortliche ist verpflichtet, alle Datenschutz- verletzungen zu dokumentieren und zwar auch dann, wenn keine Meldung an die Aufsichtsbehörde notwen- dig war. Diese Pflicht zur Dokumentation resultiert aus der in Art. 5 Abs. 2 DS-GVO normierten Rechenschafts- pflicht. Bei der Dokumentation eines Datenschutzvor- falls empfiehlt es sich, die Vorkommnisse und Ursachen unter Angabe, welche personenbezogenen Daten be- einträchtigt wurden, genau zu beschreiben. Außerdem erscheint es sinnvoll, zu dokumentieren, wie auf die Da- tenschutzverletzung reagiert wurde, welche Abhilfemaß- nahmen eingeleitet wurden und wie die Risikobewer- tung stattgefunden hat. ƒ die Kontaktdaten des Datenschutzbeauftragten, ƒ eine Beschreibung der wahrscheinlichen Folgen der Verletzung sowie ƒ eine Beschreibung der bereits ergriffenen oder beab- sichtigten Maßnahmen zur Behebung des Daten- schutzvorfalls beziehungsweise Abmilderung des- sen Folgen beinhalten. Einer gewissen Form für die Meldung an eine Behörde bedarf es nicht. Einige Datenschutzbehörden bieten zur Meldung einer Datenschutzverletzung Online-Masken oder vorgefertigte Formulare an, die Unternehmen ein- fach und schnell ausfüllen können. Sollten gewisse In- formationen zum Datenschutzvorfall zum Zeitpunkt der Meldung noch nicht bekannt sein, können diese auch erst schrittweise an die Behörde herangetragen werden (vgl. Art. 33 Abs. 4 DS-GVO). Besondere Wichtigkeit hat die Einhaltung der Meldefrist von 72 Stunden. Sie beginnt ab dem Zeitpunkt, in wel- chem das verantwortliche Unternehmen Kenntnis vom Datenschutzvorfall erlangt. Verstreicht die 72-Stunden- Frist, ohne dass das Unternehmen den Vorfall gemeldet hat, so ist eine Begründung für die Verzögerung der Mel- dung beizufügen. Diese Frist ist dringend einzuhalten, da andernfalls Bußgelder drohen können. Die Frist läuft nicht nur an klassischen Werktagen oder zu Öffnungs- zeiten des Unternehmens, sondern muss auch an Wo- chenenden beachtet werden. Meldung an die betroffene Person Liegt ein voraussichtlich hohes Risiko für die Rechte und Freiheiten der betroffenen Person vor, verpflichtet Art. 34 Abs. 1 DS-GVO das Unternehmen darüber hinaus, die betroffenen Personen über die Datenpanne in Kennt- nis zu setzen. Von einem hohen Risiko ist in aller Regel auszugehen, wenn beispielsweise Bankverbindungsda- ten durch den Vorfall bekannt wurden. Die Benachrichtigung an den Betroffenen muss nicht so umfassend erfolgen wie die Unterrichtung einer Behör- de. Sie muss in einfacher und klarer Sprache beschreiben, um welche Art der Verletzung des Schutzes personen- bezogener Daten es sich handelt. Außerdem muss dem Betroffenen auch mitgeteilt werden, welche Folgen wohl zu erwarten sind und welche Abhilfemaßnahmen das Unternehmen plant oder bereits getroffen hat. Die Frist zur Benachrichtigung von Betroffenen weicht ebenfalls von derjenigen gegenüber Aufsichtsbehörden ab. Bei einer Benachrichtigungspflicht muss das Unter- nehmen die betroffene Person „unverzüglich“ unterrich- ten. Was unter unverzüglich zu verstehen ist, variiert auch je nach den Umständen des Einzelfalles. Bei einem KONSEQUENZEN BEI SÄUMNIS EI- NES MELDEPFLICHTIGEN VORFALLS Versäumt ein Unternehmen, das von einer Datenpan- ne betroffen ist, der Pflicht einer Meldung an die Auf- sichtsbehörde nachzukommen, kann diese verschiedene IT-SICHERHEIT_3/2022 75

WEBPORTAL Das Webportal von IT-SICHERHEIT IM WEB GEHT’S WEITER! Sie haben die IT-SICHERHEIT schon durchgelesen? Unter www.itsicherheit-online.com finden Sie parallel zu den Print ausgaben der IT-SICHERHEIT tagesaktuelle Informationen rund um das Thema IT-Sicher heit. Neben Fachartikeln, Studien- ergebnissen, White papers und Meldungen zu Unternehmen und Produkten können Abonnenten hier ab sofort auch in unserem neuen Zeitschriften-Archiv stöbern. Schauen Sie am besten gleich jetzt und regelmäßig bei uns rein! Weitere FACHINFORMATIONEN zum THEMA IT­SICHERHEIT Mit moderner Technologie gegen Onlinebetrug WIE SICH IDENTITÄTEN ZUVERLÄSSIG SCHÜTZEN LASSEN Daten­ und Identitätsdiebstahl stellen sowohl für private als auch berufliche Internetnutzer ein allgegenwärtiges Sicher­ heitsrisiko dar. Oftmals reichen bereits Name und Postanschrift einer real existierenden Person, damit sich Betrüger illegal bereichern können. Als Phishing wird dabei das gezielte Abgreifen von sensiblen Nutzerdaten bezeichnet – die Methoden der Betrüger hierfür sind vielfältig und werden ständig ausgebaut. Um diesen Gefahren zu begegnen, können innovative, dennoch im Alltag einfach einzusetzende Technologien genutzt werden – dazu gehören eine digitale Identität, elektronische Signaturen und elektronische Siegel. www.itsicherheit-online.com/Swisscom-2022-03 IIoT im Fokus von Hackern IT- UND OT-SECURITY SICHER VERBINDEN Automatisierung und Digitalisierung betrieblicher Abläufe bringen mittelständischen Unternehmen viele Vorteile, etwa bei der Produktionsflexibilität oder Preisgestaltung für den Markt. Doch je erfolgreicher ein Betrieb agiert, desto attrak­ tiver wird er auch für Cyberkriminelle, beispielsweise für Erpressungsversuche durch Ransomware. In puncto IT­Security sind mittelständische Unternehmen mittlerweile gut aufgestellt. Allerdings sind viele Unternehmer noch oft der Auf­ fassung, dass die vorhandene IT­Security auch die wichtige Produktion mit absichert. Doch Produktionsmaschinen und Arbeitsnetzwerke benötigen Operative­Technologie­(OT­)Sicherheit, denn klassische IT­Security­Lösungen sind anders konzipiert als eine OT­Security. www.itsicherheit-online.com/Barracuda-2022-03 Herausforderungen einer datenzentrierten IT-Security-Strategie DATENPANNEN VORBEUGEN Die steigende Cyberkriminalität, der Einsatz von Cloud Computing, die rasante Verbreitung von Mobilgeräten und die unterschiedlichen Technologien und Anwendungen zwingen Unternehmen dazu, immer mehr IT-Risiken abzusichern. Die Effektivität dieser Maßnahmen wird jedoch zunehmend daran gemessen, inwieweit sie lückenlos die Sicherheit von Unternehmensdaten gewährleisten können. Die fortschreitende Digitalisierung von Geschäftsprozessen sowie die gestiegenen Compliance-Anforderungen, die bei Verstößen empfindliche Strafen nach sich ziehen können, verleihen der Datensicherheit zentrale Bedeutung für eine reibungslose Geschäftstätigkeit. Ein klassisch infrastrukturorientierter S ecurity-Ansatz allein nicht gewährleisten kann. Unternehmen sind daher bestrebt, ihre IT-Sicherheitsstrategie zu de- zentralisieren und so besser an die Verarbeitungskette ihrer Daten anzupassen. www.itsicherheit-online.com/HelpSystems-2022-03 Dr. Paul Muntean, Senior Cyber Security Solution Architect bei Swisscom Trust Services (Foto: Swisscom) Stefan Schachinger, Product Manager Network Security – IoT/OT/ICS bei Barracuda Networks (Foto: Barracuda) Michael Kretschmer, Vice President DACH bei HelpSystems (Foto: HelpSystems) IT-SICHERHEIT_3/2022 77

Der neue Themenguide IT-Sicherheit Nelelena www.itsicherheit-online.com/themen Wir bedanken uns bei unseren Partnern: Makro Asset Management Group ttootteemmoo securing data in securing data in motionmotion Jetzt mitmachen und Firmenpartner werden: wolfgang.scharf@datakontext.com IT-SICHERHEIT_3/2022 79