Öffentliche Verwaltung & Gesundheitswesen

Hacker vs. Staat

| Autor / Redakteur: Catrin Hinkel * / Susanne Ehneß

Sensible Daten von Bürgern oder Patienten erfordern besonderen Schutz
Sensible Daten von Bürgern oder Patienten erfordern besonderen Schutz (Bild: Gajus - Fotolia.com)

Im vergangenen Jahr waren die Computersysteme des Deutschen Bundestages, das Kanzleramt sowie Wirtschaftsunternehmen Opfer von Cyberattacken. Sicherheit muss in einer neuen Dimensio­n gedacht werden.

Cyberangriffe haben nicht nur schwere Folgen für die betroffenen Institutionen, beim Verlust von persönlichen Daten ist jeder Einzelne schutzlos Betrug und Missbrauch im digitalen Raum ausgeliefert. Gerade dort, wo sensible Daten von Bürgern gespeichert werden, muss ein höchstmöglicher Datenschutz gewährleistet werden.

In der Öffentlichen Verwaltung fehlt aber oft noch die Basisfähigkeit, um Cyberangriffe zu erkennen und darauf zu reagieren. Im Zuge der bereits laufenden Umsetzung digitaler Projekte wie der Einführung der digitalen Gesundheitskarte, des elektronischen Personalausweises oder der Umstellung auf automatische Steuerverfahren kann dies schwerwiegende Folgen für die Datensicherheit haben.

Es sind vornehmlich Einzelmaßnahmen, mit denen der Staat der Bedrohungslage durch Cyberkriminalität begegnet. So wurden 2015 das IT-Sicherheitsgesetz und die Vorratsdatenspeicherung verabschiedet. Das Bundesverteidigungsministerium plant bis zum Frühjahr 2016 eine Neuorganisation zum Aufbau defensiver Cyberfähigkeit. Unkoordiniert neben­einander existierende Handlungslinien sollen einer einheitlichen IT-Architektur weichen.

Im Kampf gegen Cyberkriminalität fehlt es nach wie vor an einer fundierten Sicherheitsstrategie und langfristigen Ressourcenplanungen. Ressourcen wie Personal, Finanzmittel für IT-Lösungen sowie die Beratung durch Experten müssen aufgestockt und ihr Einsatz ­effizient geplant werden.

Eine konsequente Implementierung und Umsetzung von IT-Sicherheitskonzepten nach BSI-Grundschutz dient einem angemessenen Sicherheitsniveau der Behörde oder Organisation. Bis heute werden IT-Sicherheitskonzepte allerdings nicht für jedes ­Verfahren erstellt, sind häufig veraltet, und definierte Sicherheitsmaßnahmen werden nicht konsequent umgesetzt. Hier besteht Nachholbedarf. Auch das BSI mahnt in seinem „Bericht zur Lage der IT-Sicherheit in Deutschland 2015“ eine bessere personelle, technische und organisatorische Ausstattung der Behörden im Kampf gegen Cyberkriminalität an.

Basisfähigkeiten

Neben einer besseren Ausstattung der Behörden müssen bestimmte Basisfähigkeiten von Sicherheitslösungen vorausgesetzt werden. IT-Systeme und Anwendungen müssen nicht nur funktionieren und verfügbar sein, sondern sich auch einem ständigen Sicherheitscheck unterziehen. Ein zentrales Logging und Monitoring muss vorhanden sein, sonst wird die Erkennung von Angriffen durch den Einsatz einer technischen Lösung (zum Beispiel SIEM) scheitern.

Logging, Monitoring sowie die Durchführung von Sicherheitschecks sind dann wirksam, wenn sie einer Steuerung und klaren Prozessen unterliegen. Zwar gibt es vom BSI bereits einen Leitfaden für die Durchführung von Cyber-Sicherheitschecks. Ebenso wichtig wäre jedoch auch ein Leitfaden für die Implementierung von Prozessen und Strukturen für den Aufbau von Cybersicherheit.

Ein solcher Leitfaden würde der Behördenleitung eine Orientierung darüber bieten, welche Basisfähigkeiten vor der Implementierung von State-of-the-Art Sicherheitslösungen notwendig sind. Durch die konsequente Umsetzung eines effektiven Monitorings, Patch- und Lifecycle-Managements können Lücken in IT-Systemen und Anwendungen schnell erkannt werden. Über die Definition von Basisfähigkeiten kann ein ausreichend guter Sicherheitsstandard erreicht werden. Eine solche Definition bietet etwa das Cyber Security Logical Operating Model, welches als Fähigkeiten für einen ausreichend guten bis sehr guten Sicherheitsschutz umfasst: Thread Intelligence, Vulnerability Management, Operational Monitoring, ­Security Incident Management, Advanced Security Analytics und Active / Advanced Defense.

Über den Austausch von Wissen, Basiskonzepten oder dem Angebot von Leistungen können höher entwickelte Organisationen anderen Organisationen mit Nachholbedarf helfen, ihr Sicherheitsniveau anzuheben.

Bitte lesen Sie auf der nächsten Seite weiter.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44008039 / Sicherheitsvorfälle)