IT-Sicherheit in Staat und Verwaltung Netzwerksicherheit bei der Landesverwaltung NRW

In unserer Serie über IT-Sicherheit in kritischen Infrastrukturen steht dieses Mal die IT-Umgebung der Landesregierung von Nordrhein-Westfalen im Mittelpunkt. Über sie haben wir mit Hartmut Beuß, dem Beauftragten der Landes­regierung NRW für Informations­technik (CIO NRW) und Dr. Frank Laicher, dem Chief Information Security Officer (CISO NRW) der Landes­regierung NRW, gesprochen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Eine funktionierende Verwaltung ist für Bürger und Wirtschaft unverzichtbar. Das BSI hat daher auch Behörden und Verwaltungen der Kommunen, der Länder und des Bundes als kritische Infrastruktur (KRITIS) im SektorStaat und Verwaltung definiert. In unserer Serie zur IT-Sicherheit in kritischen Infrastrukturen haben wir uns zuletzt mit der Netzwerksicherheit beim kommunalen Netz der Stadt Köln befasst, Dieses Mal betrachten wir die IT-Umgebung der Landesregierung von Nordrhein-Westfalen.

Die Landesverwaltung Nordrhein-Westfalen verfügt seit über 20 Jahren über ein eigenes physikalisches Netz, an das alle 433 Behörden über Backbone-Anschlussleitungen angebunden sind. Insgesamt gibt es in diesem Netz um die 115.000 PC-Arbeitsplätze, über die alle Aufgaben erledigt werden, die die Landesverwaltung hat.

IT-Sicherheit in Staat und Verwaltung

Netzwerksicherheit bei der Stadt Köln

Aufbau der Infrastruktur

Das genannte Netz besteht aus angemieteten Leitungen und Richtfunkstrecken. Der Auftrag zur Bereitstellung des Netzes wird von der Landesverwaltung regelmäßig neu ausgeschrieben. Im aktuellen Vertrag liefert T-Systems dieses Netz welches der interne Dienstleister „IT.NRW“ dann betreibt.

Bei den Aufgaben, die über das Netz abgewickelt werden, handelt es sich nicht nur um Tätigkeiten in den Bereichen Steuer, Polizei und Justiz, sondern beispielsweise auch um die Bearbeitung von Förderprogrammen. Dazu kommt auch noch die interne Kommunikation mit Finanzbuchhaltung, Personalverwaltung und allen Verwaltungsverfahren, die die Exekutive des Landes NRW benötigt.

Über dieses Netz kommunizieren folglich die Behörden untereinander. Für den Zugriff auf das Internet und Netze Dritter steht ein zentraler, mehrfach abgesicherter Zugang zur Verfügung, der von IT.NRW bereitgestellt und betreut wird. Über diesen Zugang laufen alle Internet-Aktivitäten ab. Es gibt ein Verbot für alle Behörden, sich einen eigenen Internet-Zugang einzurichten.

Anforderungen der IT-Sicherheit

Grundlagen der Netzwerksicherheit

Zur bundesweiten Kommunikation steht darüber hinaus ebenfalls ein dediziertes Verbindungsnetz zur Verfügung, an das der Bund und die Landesverwaltungen angeschlossen sein müssen. Dieses arbeitet aber getrennt vom Landesnetz.

Die Landesverwaltung muss den IT-Grundschutz umsetzen. Auch deswegen kommen im Betrieb – beispielsweise der Firewalls – ausschließlich vom BSI zertifizierte Produkte zum Einsatz.

Segmentiertes Netz und restriktive Zugriffe

Netzwerksicherheit bei den Berliner Wasserbetrieben

Absicherung von E-Mails und Zugriffe von außen

Da sämtliche Datenübertragungen zwischen den Behörden über das eben genannte getrennte Netz ablaufen, kommt der Absicherung der Informationen, die von außen ins Netz gelangen, eine besondere Bedeutung zu. So haben die Verantwortlichen beispielsweise mehrstufige Sicherheitshürden für E-Mail-Übertragungen implementiert. Herr Beuß sagte dazu: „Bei uns werden bis zu 75 Prozent der Mails schon vor dem Erreichen der Landesverwaltung als Spam oder unerwünschte Datenübertragung aussortiert. Das spart nicht nur Arbeitszeit, sondern erhöht auch das Sicherheitsniveau.“

Damit mobile Mitarbeiter auf das Netz zugreifen können – und ausschließlich zu diesem Zweck –, stehen VPN-Zugänge zur Verfügung. Außerdem existieren auch Fernwartungszugriffe. Diese ermöglichen aber keine direkten Verbindungen ins Landesverwaltungsnetz, sondern werden über besonders gesicherte Verbindungen in Absprache mit der wartenden Firma vermittelt. Eine Wartungsmaßnahme wird während des Eingriffs eng betreut und überwacht.

Sicherheit vor Funktionalität im Lukaskrankenhaus

Netzwerksicherheit in Krankenhäusern

Sicherung der Datentransfers

Um die Datenübertragungen innerhalb des Netzes im Auge zu behalten, kommen neben anderen Maßnahmen IDS/IPS-Lösungen zum Einsatz, die ungewöhnliches Verhalten aufdecken und vor Schadsoftware schützen sollen. Außerdem gilt im Betrieb das Prinzip „Assume compromise“. Die Verantwortlichen nehmen dabei an, dass alle getroffenen Schutzmaßnahmen nicht funktioniert haben und prüfen laufend, ob sie mit dieser Annahme richtig liegen.

Sensibilisierung der Mitarbeiter

Egal, welche Sicherheitsmaßnahmen letztendlich getroffen wurden, so ist es doch immer so, dass die Mitarbeiter mit Schadsoftware und Angriffsversuchen in Verbindung kommen, wenn Probleme auftauchen. Deswegen müssen die Mitarbeiter als eine Art letzte Verteidigungslinie angesehen werden und es hat folglich eine besondere Bedeutung, sie bestens zu schulen. Deswegen gibt es die Sensibilisierungskampagne „Na sicher! NRW“ die den Mitarbeitern unter anderem unter die Arme greift, wenn es darum geht, sich gegen Social Engineering zu schützen und andere Bedrohungen abzuwehren. Gegen manche Bedrohungen wirkt keine technische Maßnahme.

Kooperation auf vielen Ebenen

Netzwerksicherheit in der Versicherungsbranche

Kooperationen mit anderen Landesverwaltungen

Was das Thema Kooperationen angeht, so erklärte Dr. Laicher während des Interviews: „Allein ist man nie so klug, wie in einer Gruppe. Deswegen arbeiten wir im Deutschen CERT-Verbund sowie im Verwaltungs-CERT-Verbund (VCV) mit den anderen Landesverwaltungen und der Bundesverwaltung zusammen. Dabei tauschen wir Informationen aus und haben so die Möglichkeit, uns präventiv besser zu schützen. Erfolgt auf einen Partner ein Angriff, so erfahren alle anderen davon und können sich genau darauf vorbereiten.“

IT-Sicherheit bei TK-Unternehmen

Netzwerksicherheit in der Telekommunikation

Die Mitarbeiter müssen mitspielen

Netzwerksicherheit in der Ernährungsbranche

(ID:46562813)