Sicherheitsdiskussion vor dem 5G-Rollout BNetzA überarbeitet Sicherheitsanforderungen

In UK wird darüber gestritten, ob Huawei beim Aufbau des 5G-Netzes dabei sein darf oder nicht. Ein Ausschluss der Chinesen würde Milliarden kosten und den Rollout verzögern, glaubt man bei Vodafone. In Deutschland werden gerade von der Bundesnetzagentur (BNetzA) die Sicherheits­anforderungen überarbeitet. Nur "vertrauenswürdige Lieferanten" sollen zum Zuge kommen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Bundesnetzagentur für Elektrizität, Gas, Telekomm. Post und Eisenbahn

"Wie viel darf es es denn sein", wird man gewöhnlich an der Wust- oder Käsetheke gefragt. In Großbritannien lautet die Frage momentan ein wenig anders: "Wie viel Huawei denn drin sein?". Viel oder gar nichts oder irgendwas dazwischen? Beim in UK beheimateten Telco-Giganten Vodafone zeigt an sich einen Bericht von "total telecom" zufolge bezüglich dieser Frage "not amused". Jede Entscheidung, Huawei aus dem britischen 5G-Mobilfunknetz zu verbannen, würde Hunderte von Millionen Pfund kosten und die Einführung von 5G im Land erheblich verzögern, verkündete Vodafone-CTO Scott Petty bei einem Pressebriefing am 7. März 2019.

Muss Vodafone 4G-Basisstationen abbauen?

Ein solcher Ausschluss würde dem Vereinigten Königreich seine Position als europäischer Vorreiter bei der Einführung von 5G kosten, zeigte sich Cheftechnologe Petty überzeugt. Würden die Chinesen aus dem Markit gekickt und Vodafone die Nutzung von Huawei-Technologie untersagt, so müsste der Carrier rund ein Drittel seiner 18.000 Basisstationen demontieren, anschließend das Netz dann mit anderer Technik neu aufbauen und schließlich noch 5G "draufsatteln, gab der Telco-Manager zu verstehen.

Dem Bericht von "total telecom" zufolge beliefen sich die Kosten für diese Aktion laut Vodafone auf mehrere hundert Millionen Pfund. "Und das" so Petty, "würde unseren 5G Business Case dramatisch beeinträchtigen. Wir müssten den Einsatz von 5G sehr deutlich verlangsamen, um zuerst unser 4G-Netz auf andere Technologie umzustellen, bevor wir unsere 5G-Technologie darauf aufsetzen könnten." Zumindest im RAN, wo die Sicherheitsrisiken weniger ausgeprägt seien, solle man deshalb mit Huawei-Equipment weiterarbeiten können, meint Petty

Mobilfunk

Huawei eröffnet Cybersicherheits-Transparenzzentrum in Brüssel

Und Helen Lamprell, Direktorin für Außenbeziehungen bei Vodafone UK, forderte in diesem Kontext die britische Regierung auf, die Vorwürfe, denen sich der Huawei-Konzern ausgesetzt sieht, entweder zu beweisen oder den Netzbetreibern die Möglichkeit zu geben, sich selbst ein Bild davon zu machen.

Deutschland: Technikneutrale Sicherheitsanforderungen für alle

Auch in Deutschland ist die Sicherheitsdiskussion im Vorfeld des 5G-Rollout mächtig in Schwung gekommen. So hat die Bundesnetzagentur am 7. März 2019 Eckpunkte zusätzlicher Sicherheitsanforderungen für Telekommunikationsnetze und -dienste veröffentlicht. "Wir passen die geltenden Sicherheitsanforderungen regelmäßig der aktuellen Sicherheitslage sowie dem Stand der Technik an"", erklärte dazu Jochen Homann, Präsident der Bundesnetzagentur. "Die Sicherheitsanforderungen gelten für alle Netzbetreiber und Diensteerbringer und sie gelten technikneutral. Dabei werden alle Netze erfasst, nicht nur einzelne Standards wie zum Beispiel 5G."

Aktuell überarbeitet die Bundesnetzagentur die Sicherheitsanforderungen für das Betreiben von Telekommunikations- und Datenverarbeitungssystemen sowie für die Verarbeitung personenbezogener Daten. Insbesondere für Betreiber von öffentlichen Telekommunikationsnetzen mit erhöhtem Gefährdungspotenzial sollen Sicherheitsanforderungen spezifiziert werden, die bei der Festlegung von angemessenen technischen Vorkehrungen oder sonstigen Maßnahmen zu beachten sein werden.

Der Fall Huawei

Mit Open Source zu mehr Sicherheit?

BNetzA plant zusätzliche Anforderungen

Im Einzelnen sind nach einer Meldung der Bundesnetzagentur folgende zusätzliche Anforderungen geplant:

• Systeme dürfen nur von vertrauenswürdigen Lieferanten bezogen werden, die nationale Sicherheitsbestimmungen sowie Bestimmungen zum Fernmeldegeheimnis und zum Datenschutz zweifelsfrei einhalten.

• Der Netzverkehr muss regelmäßig und kontinuierlich auf Auffälligkeiten hin beobachtet werden, und im Zweifelsfall sind geeignete Maßnahmen zum Schutz zu ergreifen.

• Sicherheitsrelevante Netz- und Systemkomponenten (kritische Kernkomponenten) dürfen nur eingesetzt werden, wenn sie von einer vom BSI anerkannten Prüfstelle auf IT- Sicherheit überprüft und vom BSI zertifiziert wurden. Kritische Kernkomponenten dürfen nur von vertrauenswürdigen Lieferanten/Herstellern bezogen werden. Dies schließt auch eine Zusicherung der Vertrauenswürdigkeit seitens der Lieferanten/ Hersteller ein.

• Sicherheitsrelevante Netz- und Systemkomponenten (kritische Kernkomponenten) dürfen nur nach einer geeigneten Abnahmeprüfung bei Zulieferung eingesetzt werden und müssen regelmäßig und kontinuierlich Sicherheitsprüfungen unterzogen werden. Die Definition der sicherheitsrelevanten Komponenten (kritische Kernkomponenten) erfolgt einvernehmlich zwischen BNetzA und BSI.

• In sicherheitsrelevanten Bereichen darf nur eingewiesenes Fachpersonal eingesetzt werden.

• Es ist nachzuweisen, dass die für ausgewählte, sicherheitsrelevante Komponenten geprüfte Hardware und der Quellcode am Ende der Lieferkette tatsächlich in den verwendeten Produkten zum Einsatz kommen.

• Bei Planung und Aufbau der Netze sollen „Monokulturen“ durch Einsatz von Netz- und Systemkomponenten unterschiedlicher Hersteller vermieden werden.

• Bei Auslagerung von sicherheitsrelevanten Aufgaben dürfen ausschließlich fachkompetente, zuverlässige und vertrauenswürdige Auftragnehmer berücksichtigt werden.

• Für kritische, sicherheitsrelevante Netz- und Systemkomponenten (kritische Kernkomponenten) müssen ausreichend Redundanzen vorgehalten werden.

Mit der Veröffentlichung der Eckpunkte wird Herstellern, Verbänden der Betreiber öffentlicher Telekommunikationsnetze und Verbänden der Anbieter öffentlich zugänglicher Telekommunikationsdienste die Gelegenheit zu einer ersten Kommentierung gegeben.

Hersteller und Verbände können zum Entwurf Stellung nehmen

Die Sicherheitsanforderungen würden im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit erstellt, so die Bundesnetzagentur. Es sei beabsichtigt, im Frühjahr 2019 einen Entwurf der neuen Sicherheitsanforderungen zu erstellen. Ein endgültige Veröffentlichung der Anforderungen werde nach der gesetzlich vorgeschriebenen Möglichkeit zur Stellungnahme seitens der Hersteller und der relevanten Verbände zum Entwurf des Kataloges der Sicherheitsanforderungen sowie eines europäischen Notifizierungsverfahrens durch die Bundesnetzagentur erfolgen.

Informationen zu den derzeit geltenden Sicherheitsanforderungen sind auf den Internetseiten der Bundesnetzagentur unter www.bundesnetzagentur.de/sicherheitsanforderungen veröffentlicht.

(ID:45798657)