Cyber Security und KRITIS in der IT und Telekommunikation

Die verheerenden Auswirkungen von Cyberangriffen auf IT und Telekommunikation

Während Sektoren wie Ernährung oder Gesundheit schon seit langem steigendem regulatorischen Druck zur sicheren Versorgung ausgesetzt sind, ist es in der IT und Telekommunikation relativ neu, sich nachweisbar den Anforderungen der Aufsichtsbehörden zu stellen. Die Dynamik in der IT und Telekommunikation durch andauernde Weiterentwicklungen und Innovationen gefährdet diesen Sektor besonders. Jede Neuentwicklung kann neue Schwachstellen hervorbringen. 

Vor allem die Risiken durch Cyberkriminalität spielen dabei eine große Rolle, denn während die meisten anderen KRITIS-Sektoren vor allem durch physische Assets dominiert werden, werden die meisten Prozesse bei IT und Telekommunikation digital durchgeführt, mit der Unterstützung physischer Technologiekomponenten. Diese Eigenschaft macht den IT- und Telekommunikationssektor zu einem attraktiven Ziel für verschiedene Arten von Cyberkriminalität und sogar für externe staatliche Aggressoren.

IT und Telekommunikation im Visier von Cyberkriminellen

Wie auch bei allen anderen kritischen Infrastrukturen, kann ein Angriff auf Institutionen des IT- und Telekommunikationssektors fatale Auswirkungen haben. Dringt ein Angreifer beispielsweise in die internen Systeme eines Mobilfunkanbieters ein, so hat dieser Zugriff sensible Daten tausender Kunden. Er kann Telefonate und das Senden von Nachrichten blockieren, oder bewusst unautorisierte Nachrichten und so Falschinformationen verbreiten. Dies ist vor allem unter dem Gesichtspunkt brisant, dass Notfallwarnsysteme deutschlandweit Mobilfunkdienste nutzen.

Können Internetprovider nach einem Cyberangriff private Haushalte und Unternehmen nicht mehr mit Internet versorgen, hat das im Zeitalter der Digitalisierung ähnlich gravierende Auswirkungen wie ein Stromausfall. Auch Cloud-Service-Anbieter rücken oft ins Auge von Cyberkriminellen: Erhalten diese Zugang zu den Servern und den darauf gespeicherten Daten, können sie damit deren Eigentümer erpressen: Das Spektrum reicht dabei von privaten Dateien von Einzelpersonen bis hin zu Geschäftsgeheimnissen großer Konzerne.

Im Zeitalter der Digitalisierung kann eine Einschränkung der Versorgung mit IT und Telekommunikation schnell Auswirkungen auf andere kritische Infrastrukturen haben. Andere KRITIS-Sektoren, wie beispielsweise das Finanz- und Versicherungswesen oder Transport und Verkehr, die zunehmend abhängig vom Internet sind, können massive Probleme bekommen, wenn Online-Funktionen nicht mehr genutzt werden können. Aufgrund der möglichen weitreichenden Folgen eines Angriffs auf Institutionen des IT- und Telekommunikationssektors, sind Betreiber in Deutschland verpflichtet, notwendige Sicherheitsvorkehrungen zu treffen, die durch die KRITIS-Verordnung vorgegeben werden.

Immer mehr Betreiber müssen Sicherheitsvorkehrungen treffen

Das BSI legt anhand von Schwellenwerten fest, ob eine Institution als Betreiber einer kritischen Infrastruktur eingestuft wird. Werden die Schwellwerte durch eine Institution überschritten, gilt sie als KRITIS-Betreiber. Im Zuge der novellierten KRITIS-Verordnung wurden die Schwellenwerte massiv angepasst, wodurch schlagartig mehr Institutionen als KRITIS-Anbieter eingestuft wurden. Um eine lückenlose Versorgung der Allgemeinheit mit öffentlicher Telefonie, Internet und Datenspeicherung sicherzustellen, sind KRITIS-Betreiber im IT- und Telekommunikationssektor verpflichtet, sowohl physische als auch virtuelle Sicherheitsvorkehrungen zu treffen. Physische Sicherheit kann zum Beispiel durch das Absichern von Rechenzentren und Büroräumen gegen unbefugten Zutritt in Form von personalisierten Zugangsschlüsseln, Einlasskontrollen und Barrieren geschaffen werden.

Mindestens genauso wichtig wie die physische Sicherheit, ist die digitale Sicherheit. Denn während die Hürde für einen Angreifer recht hoch ist, sich selbst in reale Gefahr zu begeben und in ein Gebäude einzubrechen oder eine Internetleitung zu kappen, ist es für ihn viel bequemer „von zuhause“ aus zu arbeiten. Ein Angreifer braucht lediglich einen Computer und Internetzugang – die Gefahr einer Cyber-Attacke ist dadurch extrem hoch, da der Angreifer bei Erfolg Möglichkeiten mit enormen Ausmaß hat.

Da die möglichen Angriffsvektoren kaum vielseitiger sein könnten, schreibt das BSI eine Vielzahl von Anforderungen vor, die ein KRITIS-Betreiber in der IT- und Telekommunikation erfüllen muss. Dazu gehören unter anderem Meldepflichten an das BSI, der Einsatz von Systemen zur Angriffserkennung (z. B. SOC, SIEM) oder das Einholen einer Genehmigung vom Innenministerium für kritische Komponenten in KRITIS-Anlagen. Zusätzlich kann die Cybersicherheit eines KRITIS-Betreibers durch die Anwendung eines branchenspezifischen Sicherheitsstandards (B3S) erhöht werden. Diese sind speziell auf den IT- und Telekommunikationssektor zugeschnitten und adressieren bekannte Schwachstellen und Risiken. Die Anforderungen an die Sicherheit von KRITIS-Betreibern werden durch verschiedene gesetzliche Auflagen vorgegeben.

Wie wir Sie unterstützen können

Trust-by-Design mit einer Zero-Trust-Architektur

Um die gesetzlichen Vorgaben für die Cybersicherheit kritischer Infrastrukturen zu erfüllen, müssen sich KRITIS-Betreiber Gedanken über eine gut durchdachte Enterprise Security Architecture (ESA) machen. Diese wird auf das Unternehmen gesamtheitlich angewendet und muss das Zusammenspiel von Mitarbeitenden, Prozessen und Technologien betrachten. Ein relevantes Architekturprinzip ist Zero-Trust. Der Grundgedanke ist: „Never trust, always verify“ − es wird prinzipiell jeder Zugriff, jede Verbindung und jede:r Benutzer:in in einem Netz als potenziell gefährlich betrachtet, bis seine Integrität und Zuverlässigkeit überprüft wurde. Im Gegensatz zu traditionellen Sicherheitsarchitekturen, die strikt zwischen dem öffentlichen, „gefährlichen“ Netz und dem internen, vermeintlichen sicheren Netz trennen, kann ein:e Angreifer:in sich in einer Zero-Trust-Architektur nicht frei im internen Netz bewegen, sondern muss sich entsprechend der Vorgaben autorisieren.

Anschließend bündeln wir die Compliance-Anforderungen aus den für KRITIS-Betreibern geltenden Regularien und entwickeln eine individuell auf unsere Kunden zugeschnittene Enterprise Security Architecture.

Nachdem die Sicherheitsarchitektur designt wurde, helfen wir dabei, diese zu realisieren. Dazu erstellen wir Sicherheits-Policies, die die Sicherheitsziele und Verantwortlichkeiten festlegen oder wir entwickeln Incident-Response-Prozesse, die im Fall eines Cyber-Vorfalls ausgelöst werden. Auch bei der technischen Umsetzung, wie dem Verschlüsseln von Informationen oder dem Einrichten eines Identitäts- und Berechtigungsmanagements, unterstützen wir mit unserer Expertise.

Die Realisierung der Enterprise Security Architecture gibt unseren Kunden nicht nur die KRITIS-Readiness, also die Erfüllung der KRITIS-Anforderungen, sondern hat noch weitere postive Nebeneffekte.