Beschleunigte Sicherheitszertifizierung von IT-Produkten BSI verschärft Anforderungen an E-Mail-Sicherheitslösungen

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verschärft die Anforderungen an E-Mail-Sicherheitslösungen. Das ist gut für die Verwaltung, gut für die Bürgerinnen und Bürger und letztlich auch gut für die Hersteller. Neu ist, dass das BSI nun auch einzelne Softwareprodukte zur E-Mail-Sicherheit prüft und zertifiziert.

Verwaltungen aller föderalen Ebenen stehen im Visier von Cyberkriminellen. E-Mails sind dabei das häufigste Einfallstor für erfolgreiche Angriffe. Das BSI wird deshalb zu Recht nicht müde zu betonen, dass Landes- und Bundesbehörden sowie Kommunalverwaltungen und kommunale Betriebe insbesondere auf eine sichere E-Mail-Kommunikation achten sollten. Selbst in den vermeintlich sicheren, internen deutschen Regierungsnetzen waren laut aktuellem BSI-Lagebericht im vergangenen Jahr pro Tag rund 775 E-Mails mit Schadprogrammen unterwegs. Über die Anzahl der Schad-E-Mails in den Posteingängen der Verwaltung lässt sich nur spekulieren – aber die Liste gehackter Kommunen und andere öffentliche Einrichtungen ist lang.

Vor diesem Hintergrund nimmt sich das BSI des Themas E-Mail-Sicherheit verstärkt an. Es gibt deutlich präzisere Empfehlungen und Richtlinien heraus. So wurde mit der Technischen Richtlinie TR-03108 „Sicherer E-Mail-Transport“ jüngst das Angebot geschaffen, für E-Mail-Dienste nach einer Konformitätsprüfung ein BSI-Zertifikat zu erhalten, das die Einhaltung dieser Richtlinie bescheinigt. Das IT-Sicherheitskennzeichen des BSI umfasst auch E-Mail-Client-Software – hat aber Consumer-Produkte im Fokus und ist als reine Hersteller-Konformitätserklärung für Verwaltungen nicht von Relevanz.

Deutlich darüber hinaus geht die „Beschleunigte Sicherheitszertifizierung“ (BSZ). Das BSI hat nun erstmals ein Mail-Security-Softwareprodukt nach diesem besonders strengen Verfahren zertifiziert. Dabei werden im Gegensatz zu anderen Zertifizierungen eine intensive Prüfung mit realen Angriffsszenarien sowie intensive Penetrationstests vorgenommen. Auch die Implementierung der im Produkt verwendeten kryptographischen Funktionen und Verfahren wurde durch die vom BSI anerkannte Prüfstelle Secuvera – ein unabhängiger Spezialist für IT-Sicherheit mit anerkannt hoher Reputation – auf Fehler und Schwachstellen untersucht. Bisher wurden im BSZ-Rahmen ausschließlich Hardware-basierte Produkte, sogenannte Security-Appliances, zertifiziert. Nun wurde erstmals ein Security-Produkt getestet, das als Software auf der Basis von Windows Server ausgeliefert wird und als On-Premises- sowie als Cloud-Lösung verfügbar ist.

Das BSZ-Zertifikat wird jeweils für zwei Jahre erteilt und beinhaltet auch die Verpflichtung des Herstellers, bekannt gewordene Schwachstellen umgehend zu schließen. Für die öffentliche Verwaltung bedeutet das, dass jetzt ein geprüftes Produkt bereitsteht, das die Richtlinien des BSI verlässlich erfüllt. Kommunal­verwaltungen, öffentliche Unternehmen, Landes- und Bundesbehörden, sowie insbesondere die IT-Dienstleister in der Verwaltung können die Empfehlungen des BSI zur E-Mail-Sicherheit kaum ignorieren. Potenzielle Unsicherheiten bei der Auswahl von Produkten oder dem sogenannten Stand der Technik, der umzusetzen ist, gehören durch die Zertifizierung von Produkten der Vergangenheit an. Die Forderung einer Zertifizierung nach BSZ durch das BSI sollte zukünftig in keiner Ausschreibung für E-Mail-Sicherheit fehlen.

Mit der dedizierten Zertifizierung von Produkten liefert das BSI einen wichtigen Beitrag, von dem alle Akteure im Markt profitieren werden, und wird seiner Rolle als führende Institution für Sicherheit in der Informationstechnik gerecht. Für öffentliche Verwaltungen und Organisationen bedeutet das einen wesentlichen Schritt in Richtung mehr Sicherheit und Vertraulichkeit in der E-Mail-Kommunikation, sowie eine rechtlich gestützte Grundlage für Entscheidungen. Bürgerinnen und Bürger können verlässlich auf einen sicheren Umgang mit ihren Daten vertrauen und werden von wochenlangen Ausfällen öffentlicher Einrichtungen durch erfolgreiche Ransomware-Attacken verschont. Auch für Hersteller und Dienstleister bietet das BSI damit Klarheit über die geforderte Leistung, wenn sie im Public Sector und im KRITIS-Umfeld erfolgreich E-Mail-Security anbieten wollen.

Besonders erfreulich ist, dass die nun als weltweit erste vom BSI nach dem BSZ zertifizierte Mail-Security-Software aus Deutschland kommt. Für Spitzentechnologie im Softwarebereich muss man also nicht immer über den großen Teich schauen. Das Gute liegt oft so nah – in diesem Fall in Paderborn mit NoSpamProxy von Net at Work.

Über den Autor: Bernd Hoeck ist freier Journalist und IT-Experte.

(ID:50011578)