Beiträge

Aktualisierte BSI-Kritisverordnung tritt in Kraft

/in /von

Zum 1.1.2024 ist die „Vierte Verordnung zur Änderung der BSI-Kritisverordnung“ in Kraft getreten. Sie bringt zwei positive Neuerungen bei Schwellwerten, spart aber die Sektoren Staat & Verwaltung, sowie Medien & Kultur weiterhin aus.

Mit der neuesten Änderung vom 29.11.2023 (https://www.recht.bund.de/bgbl/1/2023/339/VO.html) werden für den Sektor Siedlungsabfallentsorgung erstmals die Schwellenwerte definiert. Für Verwaltungs- und Zahlungssystem der
gesetzlichen Kranken- und Pflegeversicherung wird der Schwellenwert von 3 Millionen auf 500.000 Versicherte abgesenkt. Die Gas- oder Kapazitätshandelssystem werden zusätzlich zu gehandelten Gasmengen um gehandelte Gastransportkapazitäten erweitert.

Das Bundesministerium des Inneren (BMI) hat bei der AG KRITIS um Stellungnahme zum Entwurf gebeten. Leider konnten unsere Mitglieder diesen nicht rechtzeitig bewerten, denn unser Engagement erfolgt vollständig im Ehrenamt.

Wermutstropfen bleibt auch bei der vierten Änderung, dass die KRITIS Sektoren Staat & Verwaltung, sowie Medien & Kultur immer noch keine Beachtung finden. So sind jegliche staatliche Strukturen und deren Verwaltungen weiterhin nicht von den Regeln für KRITIS erfasst. Die Sektordefinition existiert, die dazugehörige Verordnung allerdings nicht. Cyberkriminelle lassen sich allerdings nicht abschrecken genau diese Verwaltungssysteme anzugreifen, weswegen diese besonders gut geschützt sein müssten.

Der komplette Text der BSI-Kritisverordnung in der aktuellen Fassung kann hier abgerufen werden: https://www.gesetze-im-internet.de/bsi-kritisv/BJNR095800016.html

Solarparks mit der Handfunke steuern?

/in /von

Digitale Kommunikation ist in der kritischen Infrastruktur schon an vielen Stellen schon Stand der Technik. Leider lassen auch digitale Standards Möglichkeiten für eine unverschlüsselte Kommunikation offen.

Ende 2022 wurde bekannt, dass Hacker*innen in deutschen Städten Verkehrsampeln mittels Funktechnik auf grün schalten können[1]. Selbstredend kann dies zu erheblichen Einschränkungen oder gar Chaos im Straßenverkehr führen. Dies betont die Notwendigkeit stärkerer Sicherheitsmaßnahmen zum Schutz kritischer Infrastruktur im Sektor Transport und Verkehr.
Daneben haben die Datenabflüsse bei Alarmierungen von Feuerwehr und Rettungsdienst [2] gezeigt, dass bei Funktechnik in puncto Verschlüsselung auch in anderen Sektoren der kritischen Infrastruktur noch große Defizite bestehen.

Nicht nur Ampeln haben eine ungeschützte Funk-Schnittstelle

Die AG KRITIS wurde von Hobby-Funkern kontaktiert, die auf ein ähnlich gelagertes Problem bei Energie-Erzeugungsanlagen hingewiesen haben. Wir haben Einblick bekommen in Mitschnitte aus TETRA-Digitalfunknetzen von zwei Energieversorgungsunternehmen (EVU) aus dem Süden und Südwesten Deutschlands, die zeigen, wie die EVUs ihre Erzeugungsanlagen über ihre Digitalfunknetze steuern.
Dabei kamen gleich mehrere gravierende Schwachstellen zutage:

  • Die TETRA-Digitalfunknetze der beiden EVUs nutzten keine Verschlüsselung
  • Das verwendete Fernwirkungs-Protokoll zur Steuerung der Energie-Erzeugungsanlagen ist ein gängiger Industrie-Standard und frei zugänglich
  • Die technischen Details zur konkreten Umsetzung (wie Anschlussbelegung von Schalt-Elementen und deren Zuordnung im Steuerungs-Protokoll) waren auf den Internet-Seiten der EVUs gut dokumentiert

Was ist TETRA-Digitalfunk-Technik ?

Ab Mitte der 1990er Jahre entwickelte sich der Terrestrial Trunked Radio (TETRA) Standard zu einer modernen Alternative zum analogen Bündelfunk. Firmen und Behörden können bei der Bundesnetzagentur (BNetzA) die Nutzung eines TETRA-Digitalfunknetzes beantragen. Die Liste der Zuteilungen wird von der Bundesnetzagentur öffentlich gepflegt [3]. Darin aufgeführt sind zahlreiche Infrastruktur-Betreiber, sowohl unter- als auch überhalb der KRITIS-Schwelle, sowie auch zahlreiche namhafte Firmen. Die Antragstellenden erhalten bei Zuteilung eine eigene Funknetz-Kennung sowie eine Frequenzbereichszuweisung. Diese liegt gemäß den „Verwaltungsvorschriften für Frequenzzuteilungen im schmalbandigen Bündelfunk (VVBüfu)“ im Bereich von 410–420 MHz (Uplink, also Mobilgerät zur Basisstation) und 420–430 MHz (Downlink, also Basisstation zu Mobilgerät) [4].

Technisch besteht die Möglichkeit, die Luftschnittstelle (also die Verbindung zwischen Mobilgerät und Basisstation):

  • gar nicht zu verschlüsseln („class 1“)
  • mit einem statischen Schlüssel zu kryptieren („class 2“)
  • mittels dynamischen Schlüssel zu verschlüsseln („class 3“)

Eine obligatorische Verschlüsselung im TETRA-Digitalfunk-Standard gibt es somit nicht [5].

Unabhängig von der Verschlüsselung der Luftschnittstelle hat der Funknetz-Betreiber ferner die Möglichkeit, eine Ende-zu-Ende-Verschlüsselung zu verwenden. Diese ist technisch unabhängig vom TETRA-Standard, denn die so verschlüsselten Daten werden transparent durchgereicht. Die Ende-zu-Ende-Verschlüsselung ist vom Funknetz-Betreiber somit separat zu implementieren.

Im Netz des digitalen Behördenfunks („BOSNet“) kommen sowohl die dynamische Verschlüsselung der Luftschnittstelle, als auch die zusätzliche Ende-zu-Ende-Verschlüsselung zum Einsatz. Mit diesen Maßnahmen kann der digitale Behördenfunk als ausreichend abhörsicher eingeschätzt werden. Selbst wenn Angreifende Zugriff direkt auf die Basisstationen oder die Vernetzung der Basisstationen untereinander hätten, wäre die Kommunikation noch gegen Mitlesen gesichert.

Beispiel: Fernwirktechnik der EVUs

Nach Aussage der Hinweisgeber waren die TETRA-Digitalfunknetze der beiden EVUs in deren Versorgungsgebiet und auch „zig Kilometer“ darüber hinaus mit „einem halben Meter Draht auf der Fensterbank als Antenne“ zu empfangen und mitzulesen. Auf eine Verschlüsselung wurde in beiden Fällen betreiberseitig komplett verzichtet.

Laut Website der betroffenen EVUs kommt TETRA-Digitalfunk zur Fernsteuerung für Photovoltaik-Anlagen bis 100 kW zum Einsatz. Verwendet wird hier das Kommunikationsprotokoll IEC 60870-5-101 [6]. Das Protokoll wird als allgemeines Übertragungsprotokoll zwischen (Netz-)Leitsystemen und Fernbedienungs-Terminals eingesetzt.

Wie von den Hobby-Funkern gezeigt, reichen ein Funkempfänger für unter 30 Euro [7], freie Software [8] und ein betagtes Laptop mit Linux-Betriebssystem aus, um im unverschlüsselten TETRA-Digitalfunk den Sprechfunk und die Kurznachrichten (Short Data Service, SDS) mitzuschneiden.
Die mitgeschnittenen Textnachrichten der beiden Funknetze zeigten tatsächlich in Klartext die typische Rahmen-Struktur des IEC 60870-5-101-Protokolls. Mittels frei verfügbarer Software wie Wireshark [9] und passender Erweiterungen [10] war es so leicht möglich, die Steuerungsprotokolle zu analysieren und grafisch aufzubereiten.

Die beiden EVUs stellten auf Ihrer Website auch sogenannte „Musterdatenmodelle“ bereit.
Aus diesen ging die exakte Zuordnung der Fernwirk-Telegramme auf die jeweilige Funktion hervor, wie z.B.:

  • Schalten von Lasttrennschaltern
  • Freigabesignale zur Drosselung der Wirkleistungseinspeisung auf die definierten Sollwerte wie 0 % bzw. 30 % / 60 % / 100 %
  • Rückmeldung der Freigabesignale

Zudem war die eingesetzte Hardware, also die konkret verwendeten digitalen TETRA-Modems und die genaue Verdrahtung der Schaltausgänge/Sensoreingänge mit den Steuereingängen/Schaltausgängen der Wechselrichter der Energieerzeugungs-Anlagen, gut dokumentiert.

In der Gesamtheit war also im Detail beschrieben, mit welchen TETRA-Kurznachrichten die Steuereingänge und Lasttrennschalter der Energieerzeugungs-Anlagen angesteuert werden können. Auch die Status-Rückmeldung der Energieerzeugungs-Anlagen an das Netz-Leitsystem war exakt dokumentiert.

Nur Mithören tut doch keinem weh ?

Potentiellen Angreifenden lagen also frei zugänglich im Internet und durch passives Mitschneiden der unverschlüsselten TETRA-Kurznachrichten alle für den Fernwirkbetrieb relevanten Informationen vor. Dazu zählen vor allem die Steuerbefehle aus dem Netzleitsystem zur Erzeugungsanlage, aber auch die Status-Rückmeldungen in Gegenrichtung.

Mit einem finanziellen Aufwand unter 200 Euro [11] wäre es leicht möglich gewesen, in die Steuerung der Energieerzeugungs-Anlagen aktiv einzugreifen. Die Sende- und Empfangsanlagen dafür sind frei verkäuflich.

So hätten beispielsweise falsche Steuerbefehle an die Energieerzeugungs-Anlagen oder falsche Status-Rückmeldungen an die Netz-Leitstelle gesendet werden können. Vorausgesetzt, Angreifende hätte sich innerhalb der Reichweite des TETRA-Digitalfunknetzes des jeweiligen EVUs aufhalten können.

Im schlimmsten Fall hätten falsche Steuerbefehle an die Energieerzeugungs-Anlagen (beispielsweise eine abrupte Abregelung vieler Anlage bei Volleinspeisung) zu negativen Rückwirkungen auf das Stromnetz in der Region geführt.
Falsche Status-Rückmeldungen an das Leitsystem hätten ggf. zu falschen Regeleingriffen im Stromnetz geführt. Eines der EVU gibt an, dass über 7.000 Energieerzeugungs-Anlagen und Lastschalter über sein TETRA-Netz angesteuert werden.

Doch so weit gingen die Hobby-Funker nicht. Der Sachverhalt wurde ausreichend dokumentiert und an das CERT-Bund (Computer Emergency Response Team des Bundes) im Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet. Dafür steht beim BSI ein geeignetes Meldeformular zu Verfügung [12].

Eine direkte Rückmeldung der betroffenen EVUs an die Hinweisgeber erfolgte nicht. Jedoch zeigte die Analyse der beiden TETRA-Digitalfunknetze nach einigen Wochen, dass die optionale Verschlüsselung der Luftschnittstelle aktiviert worden war. Es können seitdem nur noch verschlüsselte Textnachrichten mittels Funkempfänger mitgeschnitten werden. Offensichtlich wurde diese Schwachstelle von den EVUs geschlossen.

Was bleibt ?

Die Liste „Zuteilungen TETRA-Netzkennungen (ITSI-Blocks)“ der BNetzA [3] zeigt über 300 Zuweisungen von TETRA-Digitalfunknetzen an Unternehmen, Einrichtungen und Behörden. Vertreten sind Nutzer aus verschiedenen KRITIS-Sektoren und privatwirtschaftliche Nutzer wie:

  • Energieversorgungsunternehmen und Stadtwerke
  • Betreiber kerntechnischer Anlagen
  • ÖPNV-Anbieter
  • Kliniken
  • Flughäfen
  • Justizvollzugsanstalten und Justizbehörden
  • Zentralbanken
  • Forschungseinrichtungen
  • große Industriebetriebe

Bislang liegt es im Ermessen der Betreibenden kritischer Infrastrukturen selbst (speziell derer unterhalb der BSI-KritisV Schwellenwerte), wie ihre Anlagen kontrolliert und physisch geschützt werden. Durch individuelle Fehleinschätzungen der privaten Betreibenden entstehen so Sicherheitslücken, wie das Beispiel oben zeigt, oder auch der Fall des Digitalfunk-Ausfalls der Deutschen Bahn.

Über die Sicherheit der TETRA-Digitalfunknetze ist aktuell nur wenig bekannt. Ob es sich bei den betrachteten EVUs um Einzelfälle handelte, kann aus Sicht der AG KRITIS nicht abschließend bewertet werden. Es ist jedoch davon auszugehen, dass schlicht auf Grund der Möglichkeit und Legitimität TETRA unverschlüsselt zu betreiben, dies auch noch in weiteren Funknetzen so praktiziert wird.

Ein pikantes Detail aus den Beobachtungen der Hobby-Funker:
In einem der beobachteten Funknetze war der über Funk ausgesendete Status der Luftschnittstellen-Verschlüsselung zwar auf „aktiv“ gesetzt. Tatsächlich erfolgte die Übertragung jedoch unverschlüsselt. In der Dokumentation der verwendeten TETRA-Dekodier-Software heißt es dazu:

„Question: tetra-rx reports Air Encryption:1, does this mean that all is encrypted?
Answer: No, this means that someone has paid money for the encryption license for their TETRA
infrastructure. To use encryption each radio needs to have encryption enabled too, which also costs. So probably there will still be some radios (which are not used for secret communications), without encryption.“

Rechtlicher Rahmen

In § 5 des „Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien“ (TTDSG) ist das Abhörverbot geregelt. So heißt es in Absatz 1:
„Mit einer Funkanlage dürfen nur solche Nachrichten abgehört oder in vergleichbarer Weise zur Kenntnis genommen werden, die für den Betreiber der Funkanlage, für Funkamateure […], für die Allgemeinheit oder für einen unbestimmten Personenkreis bestimmt sind.“
Gemäß § 27 TTDSG droht hier eine Freiheitsstrafe bis zu 2 Jahren.

Für das Betreiben einer Funkanlage auf Frequenzen ohne Genehmigung und Zuteilung der Frequenz durch die Bundesnetzagentur drohen Bußgelder gemäß § 228 des Telekommunikationsgesetz (TKG) in Höhe von bis zu 500.000 €. Außerdem sanktioniert § 316b des Strafgesetzbuch (StGB) die Störung von Energieerzeugungs-Anlagen mit Freiheitsstrafe bis zu fünf Jahren oder mit einer Geldstrafe.

Es drohen also sowohl beim passiven Abhören und erst recht beim aktiven Eingriff in fremde Funknetze empfindliche strafrechtliche Konsequenzen.

Auch im europäischen Ausland gibt es ähnliche gesetzliche Regelungen. Als Beispiel sei hier der Fall Dejan Ornig aus Slovenien [13] angeführt. Herr Ornig hatte die fehlende Verschlüsselung beim TETRA-Digitalfunknetz der Sicherheitsbehörden seines Landes aufgedeckt und wurde mittlerweile rechtskräftig verurteilt.

Aufgrund der eindeutigen strafrechtlichen Situation müssen wir eindringlich davor warnen, TETRA-Digitalfunknetze selber abzuhören.

Als AG KRITIS fordern wir :

  • Alle öffentlich zugänglichen digitalen Schnittstellen im Bereich der kritischen Infrastruktur – insbesondere Digitalfunknetze – müssen Verschlüsselung nutzen.
  • Bundesweit geltende Sicherheits-Standards und gesetzliche Vorgaben gibt es bislang nicht. Die Sicherheitsanforderungen an kritische Infrastrukturen müssen endlich bundesweit einheitlich geregelt werden, beispielsweise in einem KRITIS-Dachgesetz.
  • Verbindliche Sicherheitsaudits für ausnahmslos alle Betreibenden technischer Infrastruktur, auch jene, welche die Schwellenwerte der „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz“ (BSI-Kritisverordnung – BSI-KritisV [14]) unterschreiten.

Responsible Disclosure:

Bevor dieser Artikel veröffentlicht wurde, haben wir diesen dem BSI am 12. Februar 2023 zur Verfügung gestellt und eine Stillhaltefrist vom 90 Tagen vereinbart. So konnte das BSI alle Betreiber informieren und zur Behebung dieser Schwachstelle auffordern. Wir hoffen, dass zum jetzigen Zeitpunkt alle betroffenen Betreiber vom BSI informiert worden sind und diese Sicherheitslücke bereits geschlossen ist.

Quellen:

[1]: https://www.ndr.de/fernsehen/sendungen/panorama3/Kritische-Infrastruktur-Wie-leicht-Ampeln-manipuliert-werden-koennen,ampeln120.html

[2]: https://ag.kritis.info/2022/05/20/datenabfluss-bei-feuerwehr-und-rettungsdienst/

[3]: https://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Nummerierung/TechnischeNummern/ITSI/ITSI_zuget_Rufnr.pdf

[4]: https://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Frequenzen/Verwaltungsvorschriften/VVBuefu.pdf

[5]: https://de.wikipedia.org/wiki/Terrestrial_Trunked_Radio

[6]: https://de.wikipedia.org/wiki/IEC_60870#IEC_60870-5-101

[7]: https://en.wikipedia.org/wiki/Software-defined_radio#RTL-SDR

[8]: https://github.com/sq5bpf/telive

[9]: https://de.wikipedia.org/wiki/Wireshark

[10]: https://github.com/michaelxzhang/iec101-103-selcmd_dissectors

[11]: https://en.wikipedia.org/wiki/List_of_software-defined_radios

[12]: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/IT-Schwachstellen/Schwachstellenmeldungen/Schwachstellenmeldungen_node.html

[13]: https://securityaffairs.co/47579/hacking/hacking-tetra-protocol.html

[14]: https://www.gesetze-im-internet.de/bsi-kritisv/

Der Artikel wurde von unseren Mitgliedern Yves Ferrand und Slow Pete verfasst.

Quelle Beitragsbild: https://commons.wikimedia.org/wiki/File:Solarpark_Koenigsbrueck_2.JPG

Schriftliche Stellungnahme zur Anhörung „Cybersicherheit – Zuständigkeiten und Instrumente in der Bundesrepublik Deutschland“

/in , /von

Für die öffentliche Anhörung des Ausschusses für Digitales im Deutschen Bundestag am 25.01.2023 wurde unser Mitglied, Gründer und Sprecher Manuel ‚HonkHase‘ Atug als Sachverständiger  und Vertreter der AG KRITIS geladen. Der Titel der öffentlichen Anhörung ist „Cybersicherheit – Zuständigkeiten und Instrumente in der Bundesrepublik Deutschland“. Die Stellungnahme wurde fristgerecht am 18.01.23 dem Deutschen Bundestag zur Verfügung gestellt.

Die Frage sollte aus Sicht der AG KRITIS nicht lauten “welche Stufen der aktiven Cyberabwehr existieren?”, sondern “wo liegt die Grenze zwischen offensiver und defensiver Cyberabwehr?”

Die Stellungnahme wurde am 19.01. 2023 vom Deutschen Bundestag hier veröffentlicht

Die Stellungnahme bieten wir auch als PDF zum Download an:

PDF Download

Wir möchten uns herzlich bei unseren Mitgliedern bedanken, die aktiv an dieser Stellungnahme in Ihrer Freizeit mitgewirkt haben.

Strategielose Cybersicherheit für Deutschland

/in , /von

Matthias Schulze geht in seinem äußerst gelungen Perceptic0n Podcast Folge 28 [Deutschlands Cybersicherheitsstrategie 2021, Kommentar zum Entwurf] Schritt für Schritt den Entwurf der Cybersicherheitsstrategie 2021 durch und weist fundiert und mit vielen Hintergrundinformationen auf die Probleme dieser und weiterer Strategien in der deutschen Digitalpolitik hin. Die Inhalte aus dieser Folge greifen wir hier auf und ergänzen sie.

Das Bundesministerium für Inneres, Bau und Heimat (BMI) hat vor Ende der Legislaturperiode einen Entwurf für die dritte Cybersicherheitsstrategie in Deutschland vorgelegt. Die erste Version stammt aus dem Jahr 2011. Operatives Abwehren von Angriffen war damals noch nicht enthalten. Im Jahr 2016 erschien die zweite Version, die die Wende von einer defensiven hin zu einer offensiven Cybersicherheitsstrategie markierte und unter anderem eine Liste von Kompetenzwünschen der Behörden enthielt. Der Entwurf von 2021 setzt dieses Vorgehen weiter fort.

In der deutschen Digitalpolitik gibt es z.B. auch eine KI-Strategie und eine Blockchain-Strategie – der Strategie-Begriff wird inflationär und falsch verwendet.

Der Strategie Begriff

Laut Richard Rummelts Buch „Good Strategy. Bad Strategy“ ist eine Strategie im Wesentlichen eine kohärente Reaktion auf ein wichtiges Problem.

Eine gute Strategie besteht laut Rummels dabei aus drei Dingen

  1. Einer umfassenden Diagnose des Problems welches es zu lösen gilt
  2. Einer „Guiding Policy“ welche die grobe Marschrichtung zur Lösung des Problems vorgibt und die am besten nur aus einem Schlagwort besteht, das man sich gut merken kann
  3. Eine Reihe von kohärenten Maßnahmen und „Ressource Commitments“ um die Guiding Policy zu befolgen

Es geht um Maßnahmen, das Bereitstellen von Mitteln (Geld) und um eine Priorisierung der Maßnahmen.

Wichtig ist, dass diese Dinge logisch aufeinander aufbauen und sich nicht widersprechen. Zielkonflikte sind immer ein Zeichen für eine schlechte Strategie. Ein weiterer klassischer Fehler, der in Strategien häufig zu finden ist, ist eine Strategie mit dem Definieren von Zielen zu verwechseln. Eine schlechte Strategie hat viele Ziele aber wenig handfeste definierte Aktionen und Handlungen die nötig sind, um diese Ziele zu erreichen. Eine gute Strategie hingegen hat klar erreichbare Ziele und definiert auch unter welchen Bedingungen die Ziele erreicht sind. Man spricht hier auch von „Smarten Zielen“, wenn klar definiert ist welches die Indikatoren sind, um die Erreichbarkeit der Ziele zu messen.

Die Cybersicherheitsstrategie 2021

Die Diagnose des Problems sollte in Kapitel 5 des Entwurfs der Cybersicherheitsstrategie 2021 zu finden sein. Hier stand aber nur „Noch in Bearbeitung“. Da man doch vom Problem kommen sollte, wenn man es lösen will, ist das kein gutes Zeichen, auch wenn es sich nur um den Entwurf handelt. Im Rückblick auf das Vorgehen bei der Erstellung der letzten Cybersicherheitsstrategie 2016 und bei der bisherigen falschen Verwendung des Strategiebegriffs sowie den Inhalten dieses Entwurfs ist davon auszugehen, das dieses Kapitel 5 in der finalen Version mit Inhalten gefüllt wurde, die zu den bestehenden Zielen und Lösungen passen. Es werden also Probleme zu einer Lösung gesucht oder konstruiert.

Die Strategie hat nicht eine Guiding Policy, sondern vier. Und zwar:

  1. Cybersicherheit als eine gemeinsame Aufgabe von Staat, Wirtschaft, Wissenschaft und Gesellschaft etablieren
  2. Digitale Souveränität von Staat, Wirtschaft, Wissenschaft und Gesellschaft stärken
  3. Digitalisierung sicher gestalten
  4. Ziele messbar und transparent ausgestalten

Eine klare Marschrichtung ist hier nur bedingt erkennbar, es handelt sich bei diesen Leitlinien eher um offensichtliche Ziele und Erläuterungen. Schön ist, dass auf Kritik aus der Vergangenheit eingegangen wird und man versucht, die Cybersicherheitsstrategie messbar zu gestalten. Dennoch liegt hier eine Verwechselung vor, denn diese Leitlinien sind eben keine Guiding Policy zum Cybersicherheits-Problem.

Abgeleitete Maßnahmen

Die aus diesen Leitlinien abgeleiteten Maßnahmen sind in vier Handlungsfelder unterteilt:

  1. Sicheres und selbstbestimmtes Handeln in einer digitalisierten Umgebung
  2. Gemeinsamer Auftrag von Staat und Wirtschaft
  3. Leistungsfähige und nachhaltige gesamtstaatliche Cybersicherheitsarchitektur und
  4. Aktive Positionierung Deutschlands in der europäischen und internationalen Cybersicherheitspolitik

Handlungsfeld 1 – Sicheres und selbstbestimmtes Handeln in einer digitalisierten Umgebung

Ein Beispiel aus dem ersten Handlungsfeld ist „Die digitale Kompetenz bei allen Anwenderinnen und Anwendern fördern.“ Hierbei wird digitale Kompetenz jedoch nicht definiert. Daher wird nicht klar, was gemeint ist und wie die digitale Kompetenz erreicht werden soll. Es steht dort zwar, dass die Maßnahme Forschungsförderung ist. Aber auch wenn das natürlich sinnvoll klingt, handelt es sich eben nicht um eine Maßnahme die auf Anwender:innen fokussiert. Ein Fach „Digitale Bildung“ an Schulen wäre hier sinnvoller weil zielgerichteter. Fachkräftemangel als Teil der Problemdiagnose wird nicht genannt – da die ja auch noch in Bearbeitung ist.

In diesem Zusammenhang ist selbst ohne Problemdiagnose unverständlich, warum das in der Cybersicherheitsstrategie 2016 enthaltene Ziel „Personal gewinnen und entwickeln“ gestrichen wurde. Stattdessen wurde in den Entwurf 2021 nur ein Ziel zur Personal-Kapazität des BSI aufgenommen. Der für resiliente Infrastruktur erforderliche Personalbedarf der Länder und Kommunen wird ignoriert. Ebensowenig wird die Frage berücksichtigt, wie sich ausreichend qualifizierte Cybersecurity-Experten für Behörden-Tätigkeiten gewinnen und halten lassen können.

Die Maßnahmen „Verantwortungsvoller Umgang mit Schwachstellen – Coordinated Vulnerability Disclosure fördern“ und „Verschlüsselung als Voraussetzung eines souveränen und selbstbestimmten Handelns flächendeckend einsetzen“ sind grundsätzlich sinnvoll.

Handlungsfeld 2 – Gemeinsamer Auftrag von Staat und Wirtschaft

Im zweiten Handlungsfeld „Gemeinsamer Auftrag von Staat und Wirtschaft“ sind besonders viele Buzzwords enthalten, es fehlen konkrete Ziele und Maßnahmen.

Handlungsfeld 3 – Leistungsfähige und nachhaltige gesamtstaatliche Cybersicherheitsarchitektur

Und im dritten Handlungsfeld „Leistungsfähige und nachhaltige gesamtstaatliche Cybersicherheitsarchitektur“ wird es besonders spannend: Hier wird systematisch IT-Sicherheit mit Nationaler Sicherheit verwechselt. Nachrichtendienste und nationale Sicherheitsbehörden haben hier offensichtlich ihre Wunschlisten nach neuen Fähigkeiten platziert. Und das steht zum Teil im Wiederspruch zu den vorherigen Maßnahmen. Es ist nicht klar, inwiefern die hier geforderten Maßnahmen der IT-Sicherheit dienlich sind.

Die erste Maßnahme aus dem dritten Handlungsfeld „Die Möglichkeiten des Bundes zur Gefahrenabwehr bei Cyberangriffen verbessern“ beinhaltet eine Grundgesetz-Änderung. Gefahrenabwehr ist das aktive Reagieren auf Cyberangriffe, damit der Bund bei besonders schweren Cyberangriffen zurückschlagen darf. Nicht nur Cyberangriffe sondern auch deren Rückschläge benötigen offene Schwachstellen, womit die vorherige Maßnahme „Verantwortungsvoller Umgang mit Schwachstellen – Coordinated Vulnerability Disclosure fördern“ konterkariert wird. Hier ist auch in Frage zu stellen, warum die Cybersicherheits-Strategie in vielen Aspekten sehr vage bleibt, während Maßnahmen wie eine Grundgesetz-Änderung sehr detailliert formuliert werden.

Dann folgen einer Reihe grundsätzlich guter Maßnahmen bevor es mit „Strafverfolgung im Cyberraum intensivieren“ wieder zu einem Griff in den Giftschrank kommt. Hier geht es um die Erweiterung der Befugnisse für Sicherheitsbehörden und die Kriminalisierung von Hackern. Bei „Den verantwortungsvollen Umgang mit 0-day-Schwachstellen und Exploits fördern“ wollen Nachrichtendienste IT-Sicherheitslücken ausnutzen um fremde Systeme zu hacken. Hierfür möchte die Regierung einen Abwägungsprozess etablieren, der das Vertrauen in das Bundesamt für Sicherheit in der Informationstechnik (BSI) schwächen könnte.

Eine weitere Maßnahme aus dem dritten Handlungsfeld ist „Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung gewährleisten“. Es ist Konsens bei Kryptographie-Experten, dass diese Maßnahme in direktem Konflikt zur Maßnahme „Verschlüsselung als Voraussetzung eines souveränen und selbstbestimmten Handelns flächendeckend einsetzen“ steht.

Die Exploit entwickelnde Hackerbehörde Zentrale Stelle für Informationstechnik im Sicherheitsbereich (ZITiS) soll weiter ausgebaut werden, was alleine schon aufgrund der unklaren Rechtsgrundlage der Behörde zu kritisieren ist. Unklar ist darüber hinaus, woran bzw. wie die Exploits der ZITiS getestet werden. Auch der Bundesnachrichtendienst (BND) soll gestärkt werden, ohne das hierzu genaue Angaben gemacht werden.

Bei der Maßnahme „Das Telekommunikations- und Telemedienrecht und die Fachgesetze an den technologischen Fortschritt anpassen“ soll der Bundestrojaner und die Rechtsgrundlagen für dieses Instrument erweitern werden.

Handlungsfeld 4 – Aktive Positionierung Deutschlands in der europäischen und internationalen Cybersicherheitspolitik

Das vierte und letzte Handlungsfeld beinhaltet die Ziele für eine aktive europäische und internationale Cybersicherheitspolitik und bleibt dabei sehr vage. Was hier fehlt, ist die kohärente Cybersicherheits-Innen- und Außen-Politik. Wie die Cybersicherheitsstrategie evaluiert werden soll, steht ebenso wenig im Entwurf wie die umfassende Diagnose des Problems.

Fazit

Eine gute Strategie zu erstellen ist sehr schwer, daher kommt es vielfach zu eben diesen Listen von Zielen. In diesem Entwurf ist sehr deutlich zu erkennen, dass die verschiedenen Ministerien Texte hinzugeliefert und im Wesentlichen aufgeschrieben haben, was sie gerne haben wollen. Da wo das Bundesamt für Sicherheit in der Informationstechnik (BSI) verantwortlich war, geht es am ehesten um IT-Sicherheit und da wo die Sicherheitsbehörden Inhalte geliefert haben, geht es fast nur um neue Befugnisse. Die Problemdiagnose fehlt, die Guiding Policy ist nicht griffig und es gibt widersprüchliche Ziele.

Nicht in der Strategie enthaltene, aber erwartete Ziele, sind zum Beispiel das Beheben von Schwachstellen an der Quelle, also „Herstellerhaftung für Software“ sowie „Einheitliches Vorgehen gegen Ransomware-Angriffe“ und die „Verfolgung von Finanzströmen“. Wie gewährleisten wir die Funktion von Wirtschaft und der Regierung bei einem Angriff, der die Energieversorgung terminiert? Wo ist die OpenSource-Policy die uns helfen könnte Digital Souverän zu werden?

Die auf dieser Basis veröffentlichte Cybersicherheitsstrategie für Deutschland 2021 lässt erahnen, welche Digitalkompetenzen bei der Erstellung vorhanden waren, worum es den Erstellern ging und welche Prioritäten dabei an den Tag gelegt wurden.

Unabhängigkeit des BSI – Umsetzungsvorschläge der „Stiftung Neue Verantwortung“

/in /von

Dr. Sven Herpig, Leiter für Internationale Cybersicherheitspolitik der „Stiftung Neue Verantwortung“, hat heute das Papier „Die „Unabhängigkeit“ des Bundesamtes für Sicherheit in der Informationstechnik“ veröffentlicht, in dem er die Probleme eines BSI als untergeordnete Behörde des Bundesministeriums des Inneren, für Bau und Heimat (BMI) beleuchtet und konkrete Lösungsvorschläge aufzeigt. Die AG KRITIS fordert seit ihrer Gründung ein unabhängiges BSI

Die fehlende Unabhängigkeit schwächt das Vertrauen der beteiligten Parteien, den Betreibern kritischer Infrastrukturen und der Bürger*innen in das BSI, da es durch die Fachaufsicht des BMI an dessen Weisungen gebunden ist. Das BMI hat jedoch auch die Fachaufsicht über das Bundeskriminalamt, das Bundesamt für Verfassungsschutz und die Bundespolizei. Die Aufgaben dieser Behörden stehen in einem Zielkonflikt mit dem Auftrag des BSI, für Sicherheit in der Informationstechnik zu sorgen. Zur Erfüllung der Aufgaben der genannten Behörden, haben diese ein Interesse daran, auf IT-Systeme zugreifen zu können, Überwachungsmaßnahmen durchzuführen und für diesen Zweck IT-Sicherheitslücken auszunutzen. Das BMI ist rechtlich in der Lage, das Schließen von Schwachstellen, die dem BSI als „nationale Cybersicherheitsbehörde“ gemeldet werden, durch eine Weisung zu unterbinden und die Schwachstelle ebendiesen Strafverfolgungsbehörden zur Nutzung zu übergeben. Wie Dr. Sven Herpig schreibt, könnte die Folge davon sein, dass „[…]der Informationsfluss [von IT-Sicherheitsforscher*innen an das BSI] abnehmen oder sogar versiegen [würde]. “

In der Kurzanalyse gibt die „Stiftung Neue Verantwortung“ konkrete Beispiele für konkrete Möglichkeiten der Reorganisierung des BSI: Neben einem Ressortwechsel in ein anderes Bundesministerium oder der Reduzierung der Aufsichtsfunktion auf die ausschließliche Rechtsaufsicht werden auch Möglichkeiten aufgezeigt, die eine noch weitergehende Unabhängigkeit des BSI beschreiben; u.a. der Einstufung des BSI als oberste Bundesbehörde oder der Installation des BSI als Informationssicherheitsbeauftragter des Bundes. Das Beleuchten der Vor- und Nachteile der verschiedenen Formen übersteigt den Umfang dieses Artikels, wir verweisen hier auf den lesenswerten Aufsatz von Dr. Sven Herpig.

Analyse im Volltext
Artikel zur BSI-Unabhängigkeit im Tagesspiegel

Vielen Dank an Dr. Sven Herpig von der „Stiftung Neue Verantwortung“ für diese detaillierte Analyse.

IT-Sicherheitsgesetz 2.0: Neue Meldepflichten für Unternehmen

/in /von

BASECAMP hat sich zum aktuellen Entwurf für das IT-Sicherheitsgesetz 2.0 geäußert und dabei auch mehrere unserer wesentlichen Kritikpunkte mit aufgegriffen.

Ein zweiter Kritikpunkt der AG KRITIS richtet sich gegen “die offensichtliche Umgehung des frisch geschaffenen Nationalen Cyberabwehrzentrum (NCAZ) bei erfolgreichen Angriffen auf IT-Systeme”. Den Änderungsplänen zu § 109a TKG zufolge sollen Datenverluste an das Bundeskriminalamt (BKA) gemeldet werden. Diese Meldung sollte stattdessen an das NCAZ erfolgen, fordert die AG KRITIS.

Dern vollständigen Artikel bei BASECAMP findet ihr hier:

IT-Sicherheitsgesetz 2.0: Neue Meldepflichten für Unternehmen

Unseren Blogpost zu diesem Thema findet ihr hier:

Blogpost der AG Kritis

DLF-Radio: Kritik am Entwurf zum IT-Sicherheitsgesetz 2.0

/in /von

Bei Deutschlandfunk – Computer und Kommunikation hat unserer Mitglied @HonkHase über den aktuellen Entwurf zum IT-Sicherheitsgesetz 2.0.

Solche Sorgen könnten durch ein vom Ministerium unabhängiges Bundesamt für die Sicherheit in der Informationstechnik ausgeräumt werden. Diese Unabhängigkeit für das BSI ist auch von vielen Sicherheitsexperten und IT-Fachleuten gefordert worden. Im Gesetzesentwurf wurden solche Forderungen und Anregungen aber nicht berücksichtigt. Manuel Atug:

„Leider wurde aber die essentiell fachliche Unabhängigkeit des BSI nicht in Paragraph 1 BSI Gesetz vorgesehen. Beispielsweise könnte man sich da in der Ausgestaltung der fachlichen Unabhängigkeit hervorragend am Statistischen Bundesamt orientieren.“

Der vollständige Beitrag im DLF mit @HonkHase findet sich hier:

Artikel und Radiobeitrag im DLF

Unser Blogpost zu diesem Thema findet sich hier:

Blogpost der AG Kritis

Kommentar zum neuen Referentenentwurf des IT-Sicherheitsgesetz 2.0 (IT-SiG2)

/in /von

Die beiden Leiter der AG KRITIS, Manuel Atug und Johannes Rundfeldt zum von netzpolitik.org veröffentlichten neuen Entwurf des IT-SiG2 von Mai 2020:

Das neue IT-Sicherheitsgesetz 2.0 (IT-SiG2) ist definitiv eine Verbesserung zum vorherigen Entwurf von März 2019. Aber nicht alle Details sind gut, einzelne Punkte sind leider auch ein Rückschritt und werfen neue Gefahren und Risiken auf.

Die AG KRITIS begrüßt die Tatsache, dass die hochkritischen Änderungen an der Strafprozessordnung und am Strafgesetzbuch, die noch im ersten veröffentlichten Entwurf von März 2019 aufgeführt wurden, nun nicht mehr enthalten sind. Auch begrüßen wir die Tatsache, dass die Entsorgung – also Teil der Abfallwirtschaft – nun auch als kritische Infrastruktur betrachtet wird. Dies ist überfällig und sinnvoll, schließlich entstehen sehr schnell katastrophale Gesundheitsrisiken für die Bevölkerung wegen der drohenden Seuchengefahr und Gefährdungen in der Umwelt bedingt durch gefährliche Stoffe, wenn die Abfallentsorgung nicht mehr funktionieren würde.

Leider hat sich damit jedoch nicht alles zum Guten verbessert. Es gibt insbesondere auch einige Neuerungen, die in dieser Weise unsere kritischen Infrastrukturen direkt gefährden können.

Unser größter Kritikpunkt ist die hochgefährliche Datensammlung, die sich hinter der unscheinbaren Formulierung in § 9b Absatz 1 BSIG verbirgt. Dort geht es um IT (oder OT) -Komponenten in kritischen Infrastrukturen.

„Der Einsatz einer kritischen Komponente (§ 2 Absatz 13), (…), ist durch den Betreiber einer Kritischen Infrastruktur dem Bundesministerium des Innern, für Bau und Heimat vor Einbau anzuzeigen. In der Anzeige ist die kritische Komponente und die Art ihres Einsatzes anzugeben.“

Bisher müssen Hersteller solcher Komponenten mit dem BSI zusammen arbeiten, um eine Zertifizierung von Komponenten zu erreichen. Dabei kann das BMI diese Zertifizierung aus Gründen der öffentlichen Sicherheit ablehnen, auch wenn das BSI zum Schluss kommt, dass die zu zertifizierende Komponente den Kriterien entspricht.

Der neue IT-SiG2-Entwurf schafft hier allerdings eine neue Anzeigepflicht. Nicht mehr nur der Hersteller der Komponente muss mit den Behörden in Kontakt treten, sondern der Betreiber der Komponente muss deren Einsatz beim BMI melden. Auf diese Weise plant das BMI eine Liste aufzubauen, welcher KRITIS-Betreiber welche Komponenten im Einsatz hat. So eine Liste ist jedoch höchst kritisch zu bewerten, da jeder Geheimdienst und jede ausländische Macht, die Zugriff auf diese hochsensible Liste erlangt, unsere kritische Infrastruktur gefährden kann. Getreu dem Motto „Wo ein Trog ist, da sammeln sich auch Schweine“ halten wir es für überflüssig und gefährlich, so eine hochsensible Datensammlung überhaupt anzulegen. Wenn man aus sicherheitstechnischen Erwägungen trotzdem zum Schluss kommt, so eine Liste zu benötigen, so muss diese besonders vor dem Zugriff von in- und ausländischen Ermittlungsbehörden und Nachrichtendiensten geschützt werden. Nur ein unabhängiges BSI, das nicht mehr unter der Aufsicht des BMI steht, könnte so eine Liste geeignet verwalten.

Leider wurde diese essentielle fachliche Unabhängigkeit des BSI nicht im § 1 des BSIG vorgesehen. Hier wünschen wir uns eine Nachbesserung, denn ein fachlich unabhängiges BSI ist notwendig und überfällig. Obwohl es verschiedene Ansätze gibt, wie dies juristisch erreicht werden könnte, halten wir die Anpassung des § 1 BSIG für den naheliegendsten Ansatz, wenn man sowieso gerade plant, das BSIG zu ändern. Dabei kann man sich in der Ausgestaltung der fachlichen Unabhängigkeit hervorragend am statistischen Bundesamt orientieren.

Der zweite nicht weniger relevante Kritikpunkt ist die offensichtliche Umgehung des frisch geschaffenen Nationalen Cyberabwehrzentrum (NCAZ) bei erfolgreichen Cyberangriffen auf IT-Systeme. Im zu ändernden § 109a TKG findet sich die Formulierung:

„(1a) Im Falle einer unrechtmäßigen Übermittlung an oder unrechtmäßigen Kenntniserlangung von Daten durch Dritte unterrichtet der Diensteanbieter unverzüglich das Bundeskriminalamt über diesen Sachverhalt, wenn bestimmte Tatsachen die Annahme rechtfertigen, dass 1. jemand Telekommunikations- oder Datenverarbeitungssysteme ohne Erlaubnis oder Billigung des Diensteanbieters verändert, auf diese eingewirkt oder Zugangseinrichtungen zu diesen überwunden hat und 2. dies nicht fahrlässig erfolgt ist.“

Im Fall der vorsätzlichen und erfolgreichen Umgehung von Zugangseinrichtungen, der Veränderung von Daten oder der Einwirkung von Dritten auf diese ist es wohl angebracht, dies als Cyberangriff zu bezeichnen. Je nachdem, wer der Täter ist, ändert sich die Zuständigkeit für die Vorfallsbehandlung und Ermittlung.

Handelt es sich um einen Angriff eines deutschen Bürgers auf eine technische Einrichtung der Bundeswehr, wäre der MAD zuständig. Wären wir im Krieg und hätte die Bundeswehr ein Mandat, wäre in diesem Fall das KdoCIR zuständig. Wenn ein System angegriffen wird, welches nicht zur Bundeswehr gehört, sondern z.B. zu einem Telekommunikationsanbieter, dann wäre das BKA nur dann zuständig, wenn der Angriff von einem deutschen Bürger ausgeht. Geht der Angriff von einem ausländischen Bürger aus, wäre der BND zuständig. Ginge der Angriff von einer ausländischen staatlichen Macht aus, wäre der BND und unter Umständen auch das Auswärtige Amt zuständig. In manchen Sonderfällen fiele auch eine Teil-Zuständigkeit an das BfV.

Zum Zeitpunkt der initialen Detektion eines Angriffs ist der Täter und dessen Nationalität aber unbekannt. Daher kann nicht von vornherein klar sein, wer wirklich zuständig ist. Aus genau diesem Grund wurde das NCAZ geschaffen, welches die Vorfallsbehandlung zwischen den möglicherweise zuständigen Bundesbehörden koordinieren soll. Im NCAZ sitzen deswegen Vertreter aller möglicherweise zuständigen Behörden, wie z.B. dem BKA, der BPol, dem BfV, dem BND, dem MAD und dem KdoCIR.

Wir sind daher zu der Meinung gekommen, dass an dieser Stelle die Meldung an das NCAZ erfolgen soll und eben nicht an das BKA. Das NCAZ kann dann koordinieren, welche Bundesbehörde auf Basis der vorliegenden Indizien wahrscheinlich zuständig ist. Nichtsdestotrotz sind, egal welche Behörde für die Ermittlungen zuständig ist, immer auch andere Bundesbehörden einzubinden, wie z.B. das BSI, welches nötigenfalls Warnungen und Meldungen über das CERT-Bund herausgeben müsste.

„Man muss Gesetze kompliziert machen, dann fällt es nicht so auf“, sagte Bundesinnenminister Horst Seehofer im Juni 2019. An dieses Mantra hält man im BMI auch beim IT-SiG2 konsequent fest. Im alten Entwurf fand sich noch die Formulierung, dass die Rüstungsindustrie zur sog. „Infrastruktur in besonderem öffentlichen Interesse“ (ISBÖFI) gehören soll. Die „ISBÖFI“ ist quasi eine Art „KRITIS light“. Nicht alle KRITIS Pflichten werden auferlegt, aber manche. Im neuen IT-SiG2-Entwurf findet sich das Wort „Rüstung“ nun nicht mehr, trotzdem gehört Rüstung weiterhin zu ISBÖFI. Dies wird nun durch die verschleiernde Erwähnung des „§ 60 AWV Absatz 1 Satz 1-5“ festgelegt und auch in den Begründungen zum Gesetz weder erläutert noch aufgeklärt.

Die AG KRITIS ist der Meinung, dass Rüstung weder KRITIS ist, noch zu einer Art „KRITIS light“ gehören kann – denn die Rüstungsindustrie gehört eben nicht zu solchen Diensten, „die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind und deren Störung oder Zerstörung erhebliche Auswirkungen hätte“ (KRITIS-Definition).

Selbst wenn man argumentieren würde, dass die hergestellten Rüstungsgüter nach Bestellung, Produktion und Lieferung der Bundeswehr zu Gute kommen würden und damit bei der Aufgabenerfüllung der Bundeswehr (Verteidigungsarmee) helfen sollen – selbst dann wäre die Rüstungsindustrie noch nicht KRITIS, da die Bundeswehr diese Aufgaben mit Ihren Beständen erfüllen muss und die Beschaffung neuer Waffen so lange dauert, das diese neuen Waffen wohl kaum zur Bewältigung der dann aktuellen Lage eingesetzt werden können. Eine Mitverantwortung für die öffentliche Sicherheit kann daher bei der Rüstungsindustrie nicht behauptet werden. Entsprechend gehört die Rüstungsindustrie auch nicht zu den kritischen Infrastrukturen und darf daher auch nicht der neu geschaffenen Vorstufe „ISBÖFI“ zugeordnet werden.

Unser dritter Kritikpunkt ist, dass im IT-SiG von 2015 festgelegt wurde, dass eine Evaluierung der Gesetzesänderungen spätestens vier Jahre nach Inkrafttreten vorgenommen werden soll. Unserer Kenntnis nach ist diese Evaluierung aber bisher nicht erfolgt. Konsequenterweise sieht das BMI auch keine Evaluierung des neuen IT-SiG2 vor, sondern stellt in Aussicht, die aktuell gesetzeswidrig(!) überfällige Evaluierung des IT-SiG von 2015 doch noch vorzunehmen. Dies reicht dem BMI als Begründung, warum eine Evaluierung der zweiten Version des IT-SiG nicht notwendig wäre, weil man ja Erkenntnisse aus dem Gesetzesentwurf des IT-SiG2 in die Evaluierung des IT-SiG von 2015 einfließen lassen könne.

Selbstverständlich ist das nicht ausreichend – das BMI soll, wie aus gutem Grund im Gesetz vorgesehen, erst das vorhandene IT-SiG von 2015 evaluieren und dann diese Erkenntnisse, genau wie geplant, in das IT-SiG2 einfließen lassen – aber nicht andersherum, wie es aktuell im IT-SiG2 angegeben wird.

Weiterhin findet sich im IT-Sig2 auch noch eine Passage, die uns als AG KRITIS mit Freude erfüllt. Uns zeigen diese Änderungen, dass man auch ehrenamtlich erfolgreichen und sinnvollen Lobbyismus betreiben kann.

Es scheint so, als wurden bestehende Forderungen der AG KRITIS im IT-SiG2 berücksichtigt. So soll das unserer Ansicht nach zu schwach besetzte MIRT deutlich anwachsen. Dies vergrößert die staatlichen Krisenbewältigungskapazitäten signifikant. Auch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) bekommt wichtige Aufgaben und weitere Personalstellen zugeteilt, um erstmalig in die Lage versetzt zu werden, auch für IT-Katastrophen Krisenreaktionspläne auszuarbeiten. Auch lesen wir den neu geschaffenen § 5c BSIG fast schon wie die initiale rechtliche Grundlage für den Einsatz eines zu schaffenden Cyberhilfswerks – wie von uns im Februar 2020 vorgestellt – und verortet die Kompetenzen und Verantwortlichkeiten an den richtigen Stellen, nämlich dem BSI gemeinsam mit dem Partner BBK.

Hier findet Ihr unser CHW-Konzept:

Konzept zur Steigerung der Bewältigungskapazitäten in Cyber-Großschadenslagen

Ergebnisprotokoll des ersten Behördenworkshops zum Cyber-Hilfswerk (CHW)

/in /von

Am 02.10.2019 haben wir uns mit Vertretern des Bundesamt für Sicherheit in der Informationstechnik (BSI) und mit Vertretern des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) getroffen und unsere Ideen gemeinsam diskutiert.

Besprochen wurde in dem Fachgespräch auf Arbeitsebene das Thema der Bewältigung von Großschadenslagen, die durch Cyber-Vorfälle entstehen können. Unsere Idee eines „Cyber-Hilfswerk“ (CHW – aktueller Arbeitstitel) wurde gemeinsam diskutiert und ins Rollen gebracht.

Zu Beginn der Veranstaltung haben wir zwei Impulsvorträge gehalten – „Vorstellung der Arbeitsgruppe Kritische Infrastrukturen“ von @ijonberlin und „Was könnte ein CHW leisten?“ von @Jedi_meister, der Rest der Veranstaltung wurde nicht gefilmt, aber protokolliert.

Das detaillierte Ergebnisprotokoll der Veranstaltung wurde von uns erstellt und an die Teilnehmer versandt. Auch für euch stellen wir es hier zur Einsicht bereit.

AG KRITIS Ergebnisprotokoll Behördenworkshop 20191002

 

Die Aufzeichnungen zu den beiden Impulsvorträgen findet ihr hier:

Vorträge im Rahmen des ersten Behördenworkshops

#Shitrix: Was kann der Gesetzgeber aus dem Citrix-Vorfall lernen und für KRITIS Betreiber verbessern?

/in /von

Seit dem 07.01.2020 hat das CERT-Bund des BSI deutsche Netzbetreiber, die Bundesverwaltung, Betreiber Kritischer Infrastrukturen und andere -Nutzergruppen über verwundbare Citrix-Systeme informiert. Darüber hinaus wurde beispielsweise am 16.01.2020 nochmal verschärft darauf hingewiesen, dass seit dem 10.01.2020 verstärkt Exploit-Code zur Ausnutzung der Schwachstelle veröffentlicht wurde. Trotzdem sind heute immer noch viele Systeme verwundbar und werden aktiv kompromittiert, wie beispielsweise auch die Landeshauptstadt Potsdam und die Stadt Brandenburg!

Wie kann es sein, dass nach Veröffentlichung von Schwachstellen durch Hersteller und Entdecker als auch nach Warnmeldungen vom BSI ein sicherer Betrieb und eine zügige Absicherung der IT-Infrastruktur nicht gewährleistet werden kann? Bis heute sind immer noch viele Systeme ungepatcht.

Um den beschriebenen Herausforderungen auf geeignete Weise begegnen zu können, bedarf es staatlicher Unterstützung, die wir in diesem Beitrag zu politischen Forderungen zur Diskussion stellen möchten.

So kann es nicht weitergehen. Die Politik ist jetzt gefragt, einige wenige, aber sehr notwendige gesetzliche Änderungen durchzuführen.

Politische Forderungen

Was kann der Gesetzgeber aus dem Citrix-Vorfall als auch der kürzlich bekannt gewordenen Krypto-Schwachstelle bei Microsoft lernen und für uns alle verbessern?

Unabhängigkeit des Bundesamt für Sicherheit in der Informationstechnik

Wie einem Mitglied der AG KRITIS vertraulich zugetragen wurde, hätte die Citrix-Sicherheitslücke bereits einige Tage oder Wochen vor der ersten Meldung von Citrix am 17.12.2019 an das BSI gemeldet werden können. Mitarbeiter eines Unternehmens hatten schon früher Kenntnis über die Sicherheitslücke erlangt – entschieden sich aber, diese die Kenntnis der Sicherheitslücke vorerst nicht dem BSI öffentlich zu machen oder zu melden. Mangels Vertrauen, dass diese Erkenntnisse nicht auch an Angreifer oder über das BMI an die Sicherheitsbehörden zur Ausnutzung gelangen würden!

Stellungnahme vom 29.01.2020 zum obigen Abschnitt: Es handelte sich hierbei nicht um eine Meinung des Unternehmens, sondern um eine private Meinung, die in dieser Weise nicht für die Veröffentlichung vorgesehen war. Dafür entschuldigen wir uns nachdrücklich.

Das BSI muss aus den Strukturen des Bundesinnenministeriums herausgelöst werden, um eine unabhängige und defensive IT-Sicherheit in Deutschland zu etablieren. Das BMI ist auch für deutsche Sicherheitsbehörden zuständig, die zwangsläufig aufgrund ihres staatlichen Auftrags den IT-Sicherheitszielen gegensteuern müssen.

Ein unabhängiges und ausschließlich defensiv agierendes BSI kann zum einen das benötigte Vertrauen schaffen, so dass Sicherheitsforscher alle gefundenen Schwachstellen dem Hersteller als auch dem BSI möglichst umgehend bereitstellen. Zum anderen kann es dann wiederum auch konsequent die Entwicklung eines Patches und das ausrollen und installieren bei KRITIS Betreibern als Kunden dieser Hersteller überwachen und sicherstellen. Zur Not auch durch den Einsatz von Bußgeldern und Strafzahlungen, vergleichbar dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit im Rahmen der DSGVO.

Solange dieses Vertrauen nicht hergestellt ist, werden durch Sicherheitsforscher entdeckte Sicherheitslücken nicht konsequent an das BSI gemeldet. Des weiteren wird dadurch auch der Schwarzmarkt zum Handel mit Sicherheitslücken (0days oder zero day exploits) und zugehörigen Exploits zum Ausnutzen der Lücken angefeuert und nicht ausgetrocknet.

Gesetzlich verpflichtendes Patchmanagement

KRITIS Betreiber können häufig nicht ihre eigene Software für Spezialanwendungen schreiben und müssen diese zukaufen. Wir fordern daher neben der Veröffentlichung des Quellcodes, oder aber der treuhänderischen Verwaltung des Quellcodes eine gesetzliche Verpflichtung der KRITIS-Betreiber, Aktualisierungen und Softwareverteilung auf Integrität und Herkunft zu prüfen, aber auch binnen einer vorgegebenen und Bußgeldbewehrten Frist, Empfehlungen und Mindeststandards des BSI umzusetzen. Dies erfordert, dass Hersteller entsprechende Signaturen implementieren. Unsignierte Software, die nicht Open Source ist, und wo sich der Quellcode nicht in treuhändischer Verwaltung befindet, darf im KRITIS-Umfeld unserer Meinung nach nicht eingesetzt werden.

Patches müssen gesichert eingespielt werden können, um einen dauerhaften Schutz der IT-Landschaft zu gewährleisten.