IT-Sicherheit in Staat und Verwaltung Netzwerksicherheit beim Landkreistag

In unserer Serie über IT-Sicherheit in kritischen Infrastrukturen steht dieses Mal der Deutsche Landkreistag im Fokus. Hierzu sprachen wir mit Dr. Kay Ruge, Zuständiger für die Digitali­sierung beim Deutschen Landkreistag und dem dortigen Experten für IT-Sicherheit, Heino Sauerbrey.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Mimecast Germany GmbH

Eine funktionierende Verwaltung braucht auch eine sichere und verfügbare IT. Das BSI hat daher auch Behörden und Verwaltungen der Kommunen, der Länder und des Bundes als kritische Infrastruktur (KRITIS) im SektorStaat und Verwaltung definiert.

In der letzten Folge unserer Serie zur IT-Sicherheit in kritischen Infrastrukturen haben wir uns mit der Landesverwaltung NRW auseinander gesetzt. Dieses Mal gestaltet sich der Artikel etwas anders, da der Deutsche Landkreistag als föderale Dachorganisation von 294 Landkreisen in 13 Landesverbänden in Deutschland nicht selbst umfangreiche IT-Umgebungen betreibt, sondern nur einen Überblick über den Status der IT der einzelnen Landkreise bieten kann. Da die Landkreise in der Regel unterschiedliche Entscheidungen treffen und auch verschiedene Dienstleister beauftragen, ergibt sich an dieser Stelle kein homogenes Bild.

IT-Sicherheit in Staat und Verwaltung

Netzwerksicherheit bei der Landesverwaltung NRW

Alle Landkreise haben eigene Netze, die unterschiedlich aufgebaut wurden und auch – wie die Kreise selbst – einen unterschiedlichen Umfang haben. Teilweise sind diese in die Netze der jeweiligen Bundesländer eingebunden, manche Kreise haben eigene Netze und manche mieten diese auch an, beispielsweise bei T-Systems.

Darüber hinaus sind alle Landkreise auch in das Verbindungsnetz des Bundes (Bund-Länder-Kommunen-Verbindungsnetz, NdB-VN) eingebunden. Dazu besteht eine verfassungsrechtliche Grundlage in Artikel 91c des Grundgesetzes.

Im Zusammenhang damit ergeben sich hohe Kosten, und zwar sowohl für die Einbindung selbst als auch hohe Lizenzkosten im Betrieb. Deshalb ist die Einbindung der Landkreise über Knoten der Länder oder über kommunale IT-Dienstleister der Regelfall. Dabei gelten die Vorgaben, die im Verbindungsnetz bestehen. Die direkt angebundenen Kreise müssen diese unmittelbar umsetzen, ansonsten findet die Umsetzung über die jeweiligen Dienstleister statt.

IT-Sicherheit in Staat und Verwaltung

Netzwerksicherheit bei der Stadt Köln

Bund steht für Zentralisierung

Dr. Kay Ruge, Zuständiger für die Digitalisierung beim Deutschen Landkreistag.

Dr. Ruge betonte in diesem Zusammenhang, dass er es bedauert, dass der Bund in allen möglichen Bereichen, nicht nur beim Online-Zugangsgesetz, zur Zentralisierung neigt. Er würde sich demgegenüber beispielsweise beim Verbindungsnetz das Bereitstellen kommunalverträglicherer Anschlüsse wünschen, über die die Einbindung zu geringen Kosten oder sogar kostenlos möglich wäre.

Nach Ansicht von Dr. Ruge versagt die Bundesrepublik beim Erreichen des Ziels, eine echte, abgesicherte Infrastruktur über Bund, Länder, Kommunen hinweg bereitzustellen. Das gilt auch für die zugrundeliegenden Technologien: So denken beispielsweise manche Bundesländer wie Schleswig-Holstein und Mecklenburg-Vorpommern darüber nach, eigene Ländernetze aufzubauen, um die Abhängigkeit von privaten Dienstleistern wie T-Systems und anderen zu beenden. Die Landkreise, die bereits solche Netze haben, begründen das mit der qualitativ hochwertigen Basisstruktur. Diese Zersplitterung führe aber dazu, dass es zu keinem einheitlichen System kommen kann. So verfügen auch viele Bundeseinrichtungen, wie etwa die Bundeswehr, über eigene Netze. Die bisherigen Konsolidierungsbemühungen seien noch nicht am Ziel.

Anforderungen der IT-Sicherheit

Grundlagen der Netzwerksicherheit

Aufbau der Netze

Im Durchschnitt haben die Kreisverwaltungen zwischen 800 und 1000 Mitarbeiter. Das bedeutet, dass bundesweit um die 300.000 Menschen mit ihrem Arbeitsplatz an die Landkreisnetze angeschlossen sind. Dazu kommen noch mobile Anwender, wie Veterinäre und Lebensmittelprüfer, die von unterwegs aus auf die Netze zugreifen. Insgesamt dürfte die Zahl der Anwender damit bei um die 400.000 liegen.

Zudem steigt die Home-Office-Nutzung dramatisch an, da die Arbeitszeitmodelle für die Arbeitnehmer immer mehr Home Offices und Home-Office-Tage ermöglichen. Diese Art zu arbeiten ist in der öffentlichen Verwaltung folglich deutlich etablierter als in der Privatwirtschaft.

Segmentiertes Netz und restriktive Zugriffe

Netzwerksicherheit bei den Berliner Wasserbetrieben

Aufgaben der Anwender

Zu den Tätigkeiten, die über die Landkreisnetze abgewickelt werden, gehören das Übertragen der Meldedaten und Zugriffe auf Finanzdaten. Der Datenschutz, die Integrität und die Vertraulichkeit spielen demzufolge eine besonders wichtige Rolle. Außerdem muss ein Großteil der verwendeten Informationen ständig verfügbar sein.

„Es gibt in den Kreisverwaltungen ein großes Aufgabenspektrum“, erklärt Dr. Ruge. „In der Regel ist es so, dass die Landkreise gar nicht einmal viele eigene Register vorhalten und führen, sondern auf Daten aus Drittquellen zugreifen.“ Dazu gehören beispielsweise Informationen aus dem Ausländerzentralregister, dem nationalen Waffenregister oder dem Kraftfahrzeug-Register des Kraftfahrtbundesamtes (KBA).

Zu den genannten Informationen kommen auch noch Daten aus dem gemeindlichen Bereich wie Melde- und Personenstandsdaten. Da solche Daten nicht für Jedermann bestimmt sind, herrschen in allen diesen Bereichen hohe Sicherheitsanforderungen und für genannten Datenarten unterschiedliche Sicherheitsverfahren. Generell lässt sich sagen, dass der Anteil der Vernetzung zwischen den Daten unterschiedlicher staatlicher und kommunaler Akteure immer mehr zunimmt.

Sicherheit vor Funktionalität im Lukaskrankenhaus

Netzwerksicherheit in Krankenhäusern

Realisierung der IT-Sicherheit

Heino Sauerbrey, Experte für IT-Sicherheit beim Deutschen Landkreistag.

Da es sich bei den Landkreisnetzen um keine homogene Umgebung handelt und unterschiedliche Produkte zum Einsatz kommen, wurde auch die IT-Sicherheit nicht einheitlich gestaltet. Es wurde in der Vergangenheit oftmals zu wenig sichergestellt, dass alle im Bereich IT-Security eingesetzten Komponenten BSI-konform sind. Die einzelnen Kreise legen mangels verbindlicher staatlicher Vorgaben die Sicherheitsanforderungen, die erfüllt werden müssen, selbst fest. „Verantwortlich ist dabei die Behördenleitung. Diese kann die Aufgabenerfüllung, aber nicht die Verantwortung delegieren“, so Herr Sauerbrey in diesem Zusammenhang.

Kooperationen zwischen den Kreisen und Dienstleistern sorgen für Konsolidierung

Da alle Kreise ihre Organisationshoheit hochhalten, dauern Veränderungsprozesse an. Es gibt aber zunehmend Kontakte zwischen den beteiligten Stellen, die gemeinsam nach funktionierenden Lösungen suchen. Auch die Dienstleister sorgen zunehmend für eine Vereinheitlichung der Umgebungen, da sie oft in mehreren Kreisen tätig sind und dort vergleichbare Lösungen betreuen.

Kooperation auf vielen Ebenen

Netzwerksicherheit in der Versicherungsbranche

Konsolidierung aus sich selbst heraus

Es entwickelt sich also eine gewisse Konsolidierung aus sich selbst heraus. Diese Entwicklung wird auch durch den steigenden Bedarf an Fachkräften und die zunehmende Komplexität getrieben.

Dennoch wünscht sich Dr. Ruge eine höhere Verbindlichkeit bei der IT-Sicherheit: „Die Vorgaben beispielsweise zur IT-Sicherheitsleitlinie sind für die Kommunen allein aus fiskalischen Gründen heraus unverbindlich, da die Länder kein Geld dafür bereitstellen wollen. Der Landkreistag entfaltet aber große Bemühungen, die Dinge eigeninitiativ zu fördern.“

IT-Sicherheit bei TK-Unternehmen

Netzwerksicherheit in der Telekommunikation

Digitalpakt Schule

In diesem Zusammenhang ist der „Digitalpakt Schule“ ein gutes Beispiel und ein positiver Aspekt zum Abschluss dieses Beitrags. Hier werden die Länder im Wesentlichen durch den „goldenen Zügel“ des Bundes veranlasst, stärker als bisher Medienkompetenz an Schulen aufzubauen. Infrastrukturell zahlt der Bund für WLANs und Glasfaser an den Schulen. Wie lässt sich so etwas aber effizient organisieren? Ein mittelständisches Unternehmen zum Beispiel hat um die 400 Mitarbeiter und erledigt einen Großteil der mit IT-Mobilität zusammenhängenden Aufgaben schon dadurch, dass es diesen Mitarbeitern einheitliche Smartphones zur Verfügung stellt. Eine Schule hat 300 Schüler, jeder hat ein unterschiedliches Smartphone und diese sollen dann mit unterschiedlichen Anwendungen im Unterricht zum Einsatz kommen. Darüber hinaus sind auch noch die einzelnen Schulnetze verschieden. Das alles ist für Bildungsinhalte und für die Verwaltung der Schulen durch Kreise und Städte zusammenzuführen und wirft zusätzliche Sicherheitsfragen auf.

Deswegen hat der Landkreistag als kommunaler Verband eine Arbeitsgruppe aus Praktikern von Kommunal- und Landesverwaltungen initiiert, die ein Grundschutz-Profil zum Thema „IT-Sicherheit an Schulen“ erarbeitet. Das läuft zusammen mit dem BSI und den Bundesländern und soll in den vielfältigen kommunalen Handlungsfeldern dazu beitragen, eine Eigeninitiative IT-Sicherheit zu fördern. Hierbei hilft auch die bereits angesprochene Konsolidierung aus sich selbst heraus, da durch sie oftmals funktionierende vorhandene Lösungen bereitstehen.

Die Mitarbeiter müssen mitspielen

Netzwerksicherheit in der Ernährungsbranche

(ID:46573698)