WannaCry. Was der Ransomware-Angriff über öffentliche IT-Sicherheit sagt. – Mai 2017 im E-Government-Rückblick.

Wed, 31 May 2017 20:00:00 +0200

Am 12. Mai 2017 verbreitet sich WannaCry weltweit. Die Ransomware trifft den britischen National Health Service, die Deutsche Bahn, Telekommunikationsunternehmen, Logistikkonzerne und Hunderttausende weitere Systeme in über 150 Ländern. Was sie ausnutzt: eine Windows-Sicherheitslücke, für die ein Patch bereits seit März verfügbar war.

Für die öffentliche IT ist das keine abstrakte Bedrohung. Es ist ein Realtest.

Was WannaCry über öffentliche IT-Infrastrukturen sagt

WannaCry schlägt wo ein, wo Systeme nicht gepatcht sind. Was das über öffentliche IT-Infrastrukturen zeigt: Patch-Management ist eine Schwachstelle. Systeme, die lange im Betrieb sind, werden selten konsequent aktualisiert. Die Gründe sind bekannt: fehlende Ressourcen, Angst vor Kompatibilitätsproblemen, mangelnde Priorisierung.

Was die Deutsche Bahn trifft, betrifft auch Behörden. Was die BSI -Berichte nach WannaCry zeigen: Öffentliche Verwaltungen waren ebenfalls betroffen, wenn auch in vielen Fällen weniger sichtbar als die großen Infrastrukturbetreiber.

Was das für die OZG-Digitalisierung bedeutet: Wer jetzt digitale Dienste aufbaut, baut sie auf einer IT-Infrastruktur, die zum Teil aus ungepatchten Legacy-Systemen besteht. Das ist ein Sicherheitsrisiko, das nicht ignoriert werden darf.

Was Sicherheit für digitale Verwaltungsdienste erfordert

Ein digitaler Verwaltungsdienst ist angreifbar. Was ihn angreifbar macht: Softwarefehler, ungepatchte Systeme, schwache Authentifizierung, unsichere Schnittstellen. Was WannaCry zeigt: Sicherheit ist kein Zustand, sondern ein Prozess.

Was das für OZG-Dienste erfordert: Security by Design als Entwicklungsprinzip, analog zu Privacy by Design. Sicherheit wird nicht am Ende eingebaut, sondern von Anfang an mitgedacht. Was das konkret bedeutet: Bedrohungsmodellierung in der Konzeptionsphase, regelmäßige Sicherheitsprüfungen während der Entwicklung, und einen Betriebsplan, der Patch-Management und Incident Response umfasst.

Ein Dienst, der produktiv geht, aber kein Patch-Management-Konzept hat, ist ein Sicherheitsrisiko.

Was das BSI in dieser Situation leisten muss

Das BSI ist die Bundesbehörde für IT-Sicherheit. Was WannaCry von ihr fordert: nicht nur Warnungen, sondern konkrete Unterstützung für Behörden und Betreiber kritischer Infrastrukturen bei der Härtung ihrer Systeme.

Was langfristig nötig ist: eine strukturiertere Verbindung zwischen BSI-Empfehlungen und OZG-Anforderungen. Wenn EfA-Dienste entwickelt werden, sollte die Sicherheitsarchitektur nach BSI-Standards geprüft sein, bevor sie zur Nachnutzung freigegeben wird.

Das ist keine neue Idee. Was fehlt, ist die strukturelle Verankerung dieser Anforderung im OZG-Umsetzungsrahmen.

Hat Sie das Thema interessiert?

Wenn Sie IT-Sicherheitsanforderungen in Ihre Digitalisierungsprojekte integrieren wollen: Ich bin über das Kontaktformular unten erreichbar.

NIS-Richtlinie in Kraft. Was IT-Sicherheit für Verwaltung bedeutet. – Juli 2016 im E-Government-Rückblick.

Sun, 31 Jul 2016 20:00:00 +0200

Am 6. Juli 2016 tritt die EU-Richtlinie zur Netz- und Informationssicherheit (NIS) in Kraft. Was sie bedeutet: Erstmals gibt es EU-weit verbindliche Anforderungen an die IT-Sicherheit für kritische Infrastrukturen und wesentliche digitale Dienste. Deutschland hat zwei Jahre Zeit, sie in nationales Recht umzusetzen.

Was die NIS-Richtlinie für öffentliche Verwaltungen bedeutet

Die NIS-Richtlinie adressiert primär Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste. Was öffentliche Verwaltungen betrifft: Sie sind sowohl Nutzer von IT-Infrastrukturen als auch, in manchen Fällen, Betreiber kritischer Systeme.

Was das in der Praxis bedeutet: Behörden, die Infrastrukturen für Gesundheitsversorgung, Wasserversorgung, Transport oder Energie verwalten, sind direkt von der NIS-Richtlinie betroffen. Was für alle anderen gilt: Die NIS-Richtlinie hebt den allgemeinen IT-Sicherheitsstandard, an dem Behörden gemessen werden.

Was die Verbindung zur Verwaltungsdigitalisierung ist: Wer digitale Dienste entwickelt und betreibt, entwickelt und betreibt auch angreifbare Systeme. Was die NIS-Richtlinie erzwingt: Security muss in den Betrieb digitaler Dienste eingebaut sein, nicht als nachträgliche Sicherheitsschicht.

Was das BSI in diesem Rahmen leistet

Das Bundesamt für Sicherheit in der Informationstechnik ist die deutsche Fachbehörde für IT-Sicherheit. Was der IT-Grundschutz des BSI leistet: eine praxisnahe Methodik für die Umsetzung von IT-Sicherheitsanforderungen in Behörden.

Was viele Behörden mit dem IT-Grundschutz machen: ihn als Compliance-Instrument behandeln, das man einmalig durchläuft und dann zum Ruhen bringt. Was ihn wirkungsvoll macht: kontinuierliche Anwendung, regelmäßige Aktualisierung, und Verknüpfung mit dem laufenden IT-Betrieb.

Was für OZG-Dienste relevant ist: Die BSI-Anforderungen sollten als Abnahmekriterium in die EfA-Dienst-Entwicklung eingebaut werden. Ein Dienst, der die IT-Grundschutz-Anforderungen nicht erfüllt, sollte nicht zur Nachnutzung freigegeben werden. Was das erfordert: BSI-Konformität als explizite Anforderung in der OZG-Entwicklungsplanung, die noch aussteht.

Was IT-Sicherheit mit Bürger:innenvertrauen zu tun hat

Was häufig vergessen wird: IT-Sicherheit ist nicht nur ein technisches Problem. Sie ist ein Vertrauensproblem. Bürger:innen, die digitale Verwaltungsdienste nutzen, übergeben persönliche Daten. Was sie dafür erwarten: dass diese Daten nicht in falsche Hände geraten.

Was ein Sicherheitsvorfall bei einem Verwaltungsdienst anrichtet: nicht nur operativen Schaden, sondern Vertrauensverlust in die digitale Verwaltung insgesamt. Ein Datenleck bei einem OZG-Dienst kann die Bereitschaft der Bürger:innen, andere Dienste zu nutzen, nachhaltig beschädigen.

Was das für die Entwicklungsprioritäten bedeutet: Sicherheit und Vertrauenswürdigkeit sind keine Nachrangthemen. Sie sind Kernqualitäten eines digitalen Verwaltungsdienstes.

Hat Sie das Thema interessiert?

Wenn Sie IT-Sicherheitsanforderungen in Ihre Digitalisierungsprojekte strukturiert einbauen wollen: Das Kontaktformular unten ist der direkteste Weg zu mir.

Kritische-Infrastruktur on Dr. Christian Knebel

WannaCry. Was der Ransomware-Angriff über öffentliche IT-Sicherheit sagt. – Mai 2017 im E-Government-Rückblick.

Was WannaCry über öffentliche IT-Infrastrukturen sagt

Was Sicherheit für digitale Verwaltungsdienste erfordert

Was das BSI in dieser Situation leisten muss

Hat Sie das Thema interessiert?

NIS-Richtlinie in Kraft. Was IT-Sicherheit für Verwaltung bedeutet. – Juli 2016 im E-Government-Rückblick.

Was die NIS-Richtlinie für öffentliche Verwaltungen bedeutet

Was das BSI in diesem Rahmen leistet

Was IT-Sicherheit mit Bürger:innenvertrauen zu tun hat

Hat Sie das Thema interessiert?