Suchen

IT-Sicherheit in Staat und Verwaltung Netzwerksicherheit bei der Landesverwaltung NRW

Autor / Redakteur: Dr. Götz Güttich / Peter Schmitz

In unserer Serie über IT-Sicherheit in kritischen Infrastrukturen steht dieses Mal die IT-Umgebung der Landesregierung von Nordrhein-Westfalen im Mittelpunkt. Über sie haben wir mit Hartmut Beuß, dem Beauftragten der Landes­regierung NRW für Informations­technik (CIO NRW) und Dr. Frank Laicher, dem Chief Information Security Officer (CISO NRW) der Landes­regierung NRW, gesprochen.

Firmen zum Thema

Die Landesverwaltung Nordrhein-Westfalen verfügt über ein eigenes physikalisches Netz, an das alle 433 Behörden und 115.000 PC-Arbeitsplätze angebunden sind und das der interne Dienstleister „IT.NRW“ betreibt.
Die Landesverwaltung Nordrhein-Westfalen verfügt über ein eigenes physikalisches Netz, an das alle 433 Behörden und 115.000 PC-Arbeitsplätze angebunden sind und das der interne Dienstleister „IT.NRW“ betreibt.
(Bild: Christoph Seelbach)

Eine funktionierende Verwaltung ist für Bürger und Wirtschaft unverzichtbar. Das BSI hat daher auch Behörden und Verwaltungen der Kommunen, der Länder und des Bundes als kritische Infrastruktur (KRITIS) im SektorStaat und Verwaltung definiert. In unserer Serie zur IT-Sicherheit in kritischen Infrastrukturen haben wir uns zuletzt mit der Netzwerksicherheit beim kommunalen Netz der Stadt Köln befasst, Dieses Mal betrachten wir die IT-Umgebung der Landesregierung von Nordrhein-Westfalen.

Die Landesverwaltung Nordrhein-Westfalen verfügt seit über 20 Jahren über ein eigenes physikalisches Netz, an das alle 433 Behörden über Backbone-Anschlussleitungen angebunden sind. Insgesamt gibt es in diesem Netz um die 115.000 PC-Arbeitsplätze, über die alle Aufgaben erledigt werden, die die Landesverwaltung hat.

Aufbau der Infrastruktur

Das genannte Netz besteht aus angemieteten Leitungen und Richtfunkstrecken. Der Auftrag zur Bereitstellung des Netzes wird von der Landesverwaltung regelmäßig neu ausgeschrieben. Im aktuellen Vertrag liefert T-Systems dieses Netz welches der interne Dienstleister „IT.NRW“ dann betreibt.

Bei den Aufgaben, die über das Netz abgewickelt werden, handelt es sich nicht nur um Tätigkeiten in den Bereichen Steuer, Polizei und Justiz, sondern beispielsweise auch um die Bearbeitung von Förderprogrammen. Dazu kommt auch noch die interne Kommunikation mit Finanzbuchhaltung, Personalverwaltung und allen Verwaltungsverfahren, die die Exekutive des Landes NRW benötigt.

Über dieses Netz kommunizieren folglich die Behörden untereinander. Für den Zugriff auf das Internet und Netze Dritter steht ein zentraler, mehrfach abgesicherter Zugang zur Verfügung, der von IT.NRW bereitgestellt und betreut wird. Über diesen Zugang laufen alle Internet-Aktivitäten ab. Es gibt ein Verbot für alle Behörden, sich einen eigenen Internet-Zugang einzurichten.

Zur bundesweiten Kommunikation steht darüber hinaus ebenfalls ein dediziertes Verbindungsnetz zur Verfügung, an das der Bund und die Landesverwaltungen angeschlossen sein müssen. Dieses arbeitet aber getrennt vom Landesnetz.

Die Landesverwaltung muss den IT-Grundschutz umsetzen. Auch deswegen kommen im Betrieb – beispielsweise der Firewalls – ausschließlich vom BSI zertifizierte Produkte zum Einsatz.

Absicherung von E-Mails und Zugriffe von außen

Da sämtliche Datenübertragungen zwischen den Behörden über das eben genannte getrennte Netz ablaufen, kommt der Absicherung der Informationen, die von außen ins Netz gelangen, eine besondere Bedeutung zu. So haben die Verantwortlichen beispielsweise mehrstufige Sicherheitshürden für E-Mail-Übertragungen implementiert. Herr Beuß sagte dazu: „Bei uns werden bis zu 75 Prozent der Mails schon vor dem Erreichen der Landesverwaltung als Spam oder unerwünschte Datenübertragung aussortiert. Das spart nicht nur Arbeitszeit, sondern erhöht auch das Sicherheitsniveau.“

Damit mobile Mitarbeiter auf das Netz zugreifen können – und ausschließlich zu diesem Zweck –, stehen VPN-Zugänge zur Verfügung. Außerdem existieren auch Fernwartungszugriffe. Diese ermöglichen aber keine direkten Verbindungen ins Landesverwaltungsnetz, sondern werden über besonders gesicherte Verbindungen in Absprache mit der wartenden Firma vermittelt. Eine Wartungsmaßnahme wird während des Eingriffs eng betreut und überwacht.

Sicherung der Datentransfers

Um die Datenübertragungen innerhalb des Netzes im Auge zu behalten, kommen neben anderen Maßnahmen IDS/IPS-Lösungen zum Einsatz, die ungewöhnliches Verhalten aufdecken und vor Schadsoftware schützen sollen. Außerdem gilt im Betrieb das Prinzip „Assume compromise“. Die Verantwortlichen nehmen dabei an, dass alle getroffenen Schutzmaßnahmen nicht funktioniert haben und prüfen laufend, ob sie mit dieser Annahme richtig liegen.

Sensibilisierung der Mitarbeiter

Egal, welche Sicherheitsmaßnahmen letztendlich getroffen wurden, so ist es doch immer so, dass die Mitarbeiter mit Schadsoftware und Angriffsversuchen in Verbindung kommen, wenn Probleme auftauchen. Deswegen müssen die Mitarbeiter als eine Art letzte Verteidigungslinie angesehen werden und es hat folglich eine besondere Bedeutung, sie bestens zu schulen. Deswegen gibt es die Sensibilisierungskampagne „Na sicher! NRW“ die den Mitarbeitern unter anderem unter die Arme greift, wenn es darum geht, sich gegen Social Engineering zu schützen und andere Bedrohungen abzuwehren. Gegen manche Bedrohungen wirkt keine technische Maßnahme.

Kooperationen mit anderen Landesverwaltungen

Was das Thema Kooperationen angeht, so erklärte Dr. Laicher während des Interviews: „Allein ist man nie so klug, wie in einer Gruppe. Deswegen arbeiten wir im Deutschen CERT-Verbund sowie im Verwaltungs-CERT-Verbund (VCV) mit den anderen Landesverwaltungen und der Bundesverwaltung zusammen. Dabei tauschen wir Informationen aus und haben so die Möglichkeit, uns präventiv besser zu schützen. Erfolgt auf einen Partner ein Angriff, so erfahren alle anderen davon und können sich genau darauf vorbereiten.“

(ID:46562813)

Über den Autor

Dr. Götz Güttich

Dr. Götz Güttich

Journalist, IAIT