IT-SICHERHEIT

IT-SICHERHEIT_4-2022

HZ212317 · ISSN 1868-5757 · www.datakontext.com August/September 4/2022 Penetrations tests – wie es wirklich um die ITSicherheit steht Götz Schartner und Tobias Kopf von 8com erklären, wie sich die Cyber resilienz im Unternehmen wirkungsvoll stärken lässt SPECIAL in Kooperation mit ATZ – Automobiltechnische Zeitschrift: ITSicherheit in der Auto mobil branche Welche besonderen Heraus forde rungen an die Cybersicherheit warten in der Automobilindustrie – und mit welchen Ansätzen werden sie erfolgreich gemeistert SCHWERPUNKT Penetrationstests: Formen, strategische Einsatzbereiche und Ziele der „bezahlten Anriffe“ Entwicklung: Quantensichere Kommunikation für hochsichere Netzwerke Forschung: Kennzahlen – wie Sicherheit im Internet messbar wird

Cyber-Security-Zertifizierungen von TÜV SÜD. Eine sichere IT-Infrastruktur ist in fast jedem Unternehmen die Basis für gute Geschäfte. Mit ihr steht und fällt das Vertrauen von Kunden und die Motivation der Mitarbeiter. Mit unseren systematischen Cyber-Security-Zertifizierungen legen Sie ein belastbares Fundament – für eine sichere IT und langfristiges Vertrauen Ihrer Stakeholder. ISO/IEC 27001 Zertifizierung ISO/IEC 20000-1 – Zertifiziertes Service-Management (in der IT) Zertifizierung nach IT-Sicherheitskatalog KRITIS – Nachweis über angemessene IT-Sicherheit nach §8a BSIG TISAX® – Der Nachweis für IT-Sicherheit in der Automobilbranche ISO 22301 – Business Continuity Management (BCM) ISO/IEC 27701 – Privacy Informationssicherheits-Managementsystem (PIMS) www.tuvsud.com/cyber-security-zertifizierungen TÜV SÜD Management Service GmbH Ridlerstr. 57, 80339 München, Deutschland Tel. +49 89 5791-2500 ms-anfragen@tuvsud.com www.tuvsud.com/tms

PENETRATIONSTESTS – IT-SICHERHEIT IM REALITY-CHECK Ein Penetrationstest ist ein Test der IT-Sicherheit unter realen Bedingungen. Bei diesen vom Ziel- unternehmen selbst beauftragten Angriffen verwenden erfahrene Tester die gleichen Werk zeuge und Software wie echte Angreifer. Dies ermöglicht das Aufdecken von Schwachstellen, die bei einer Analyse der Netzwerkkonﬁguration oder des Programmcodes nur schwer zu ﬁnden sind. Deshalb zählen Penetrationstests seit jeher zu den unverzichtbaren Bausteinen umfassender Sicherheit. Doch die Art und Weise, wie die Tester heute vorgehen, hat sich in den letzten Jahren massiv gewandelt – genauso, wie es auch die bösartigen Angriffe auf Unternehmen und Institutionen getan haben. In unserem Schwerpunkt „Penetrationstests“ in dieser Ausgabe erfahren Sie unter anderem, was genau ein Penetrationstest eigentlich ist und was die regelmäßige Durchführung für Unternehmen bringt, worauf es bei Penetrationstests heute ankommt, welche unterschiedlichen Formen es gibt, wann sie strategisch Sinn machen, sowie alles, was es sonst noch an Wichtigem bei diesem Thema zu beachten gilt. SICHERHEIT ALS MESSWERT Das Internet hat sich als globale Kommunikations-, Informations-, Commerce- und Business infra- struktur fest in der Gesellschaft etabliert. Mit jedem Grad Zuwachs bei der Digitalisierung wird das Leben einfacher und schneller – aber auch gefährlicher. Die konkrete Gefährlichkeit bleibt dabei bislang oft ein Mysterium. Strategien für die IT-Sicherheit müssen auf Basis von Annahmen und Erfahrungen entwickelt werden. Internet-Kennzahlen und deren systematische Auswertung sollen nun dabei helfen, Probleme, Risiken und Schwachstellen als Trend zu erkennen, um Sicherheits- strategien proaktiv fokussierter zu gestalten. Auch der Stand der IT-Sicherheit lässt sich durch Messung der Kennzahlen ermitteln und bewerten. Wie das konkret funktioniert und welche Internet-Kennzahlen es derzeit an welchen Stellen gibt, erfahren Sie im Beitrag „Wie Sicherheit im Internet messbar wird“ in der Rubrik „Aus Forschung und Technik“. SPECIAL: IT-SICHERHEIT IN DER AUTOMOBILBRANCHE In der Automobilindustrie hat das Thema IT-Sicherheit zwei grundsätzlich unterschiedliche Ausprägungen: Zum einen gilt es natürlich – wie in jeder anderen Branche – die Unternehmen selbst zu schützen, also den sicheren Betrieb, das Know-how, jahrelange Entwicklungsleistungen, etc. Zum anderen erfährt IT-Sicherheit auch im Endprodukt, also den Fahrzeugen, verschärfte Brisanz. Je intelligenter und kommunikationsfreudiger Fahrzeuge werden, desto größer wird auch die Angriffsﬂäche für Cyberkriminelle. Schon heute sind Fahrzeuge im Grunde Computer auf Rädern – neben dem Hauptmotor mit bis zu 200 zusätzlichen Kleinmotoren ausgestattet, die über ein zentrales Steuersystem und ein beträchtliches internes Netzwerk im Auto gesteuert werden. Kommen nun noch all die Technologien für selbstfahrende Fahrzeuge hinzu, wird das Auto in gewisser Weise sogar ein eigenes kleines, wenn auch sehr spezialisiertes Rechenzentrum. Manipulationen an der internen und externen Kommunikation könnten zu Störungen oder sogar Fehlfunktionen führen. Da Fahrzeuge nun mal auch Menschen transportieren, hätte das verheerende Folgen für Leib und Leben der Fahrgäste. In unserem kleinen Special berichten wir über beides – sowohl darüber, wie sich Autobauer und deren Zulieferer resilient aufstellen und trotz Höchstmaß an nötiger Abstimmung sicher kommunizieren als auch über die globalen Bestrebungen, die hochgezüchtete IT in den Fahrzeugen vor Manipulationen von außen abzusichern. Viel Spaß beim Lesen! Stefan Mutschler EDITORIAL Stefan Mutschler twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_4/2022 3

SCHWERPUNKT PENTESTING 18 PENETRATIONSTESTS – WIE ES WIRKLICH UM DIE IT-SICHERHEIT STEHT 20 Praxis: Penetrationstest am Beispiel eines Unternehmens ANGRIFFSPLAN ENTWICKELN SCHWERPUNKT: PENTESTING 24 Wie Unternehmen in Sachen Cybersecurity oft fatal falsch ticken PENETRATIONSTESTS ALS WICHTIGER BAUSTEIN BEIM AUFBAU VON CYBERRESILIENZ 28 Formen und Vorgehensweisen bei Penetrationstests DER IT AUF DEN ZAHN FÜHLEN DATENSCHUTZ | BACKUP | ARCHIVIERUNG 32 „Real-Time Bidding“ – das große Business hinter den Kulissen WARUM DATENSCHUTZ BEI GMAIL & CO. EIN FREMDWORT IST 33 SPECIAL: ITSicherheit in der Automobilbranche MANAGEMENT | MANAGED SECURITY 49 Dezentrales Connectivity-Management IOT MEETS BLOCKCHAIN SPECIAL: IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 33 3 6 8 EDITORIAL Penetrationstests – IT-Sicherheit im Reality-Check NEWS Unternehmens-News Produkt-News AUS DER SZENE 12 TUM Hightech-Summit 2022 auf der automatica KI UND ROBOTIK – FORSCHUNG MEETS INDUSTRIE 14 Blaupause für den Aufbau hochsicherer Netzwerke QUANTENSICHERE KOMMUNIKATION 16 DMA/DSA – Europäische Rechtsgrundlage für digitale Dienste „GRUNDGESETZ“ FÜR DAS INTERNET TITEL CYBERSICHERHEIT Interview mit Götz Schartner und Tobias Kopf, 8com PENETRATIONSTESTS – WIE ES WIRKLICH UM DIE IT-SICHERHEIT STEHT 52 Wie sich KI und Sicherheitsexperten für eine Analyse des Netzwerkdatenverkehrs optimal ergänzen VIERAUGENPRINZIP FÜR DIE CYBERABWEHR ITSICHERHEIT_4/2022 18 4

INHALTSVERZEICHNIS 14 QUANTENSICHERE KOMMUNIKATION 58 WIE SICHERHEIT IM INTERNET MESSBAR WIRD 54 Digitale Resilienz stärken und auf Zero-Trust-Sicherheit bauen IN KRISENSITUATIONEN SICHER KOMMUNIZIEREN 56 Informationssicherheit kritischer Infrastrukturen im Gesundheitssektor WIE KRITIS IHRE CYBERSICHERHEIT STEMMEN AUS FORSCHUNG UND TECHNIK 58 Internet-Kennzahlen für mehr Transparenz bei Risiken und Sicherheitsstatus WIE SICHERHEIT IM INTERNET MESSBAR WIRD BUCHVORSTELLUNG 64 Sicherheit und Prüfung von SAP-Systemen 66 GOOGLE ANALYTICS 4 & DATENSCHUTZ ADVERTORIALS 11 Risikoherd Cybercrime: ITRECHT | DATENSCHUTZ | DATENSICHERHEIT KRISENPRÄVENTION DURCH IT-SICHERHEIT 66 Google Analytics 4 & Datenschutz 22 @-yet („Et jeht“, Hochdeutsch: „es geht“) WAS UNTERNEHMEN JETZT BEACHTEN MÜSSEN DIGITALE SOUVERÄNITÄT DURCH IT-SICHERHEIT UND DATENSCHUTZ SERVICES 69 Webportal 27 CCVOSSEL GmbH – WE KNOW IT CCVOSSEL STEHT SEIT ÜBER 25 JAHREN FÜR PROFESSIONELLE IT-DIENSTLEISTUNGEN 70 VORSCHAU: Ausblick auf Ausgabe 5 | 2022 30 Methoden zur Schwachstellenidentifikation: 70 Impressum DIESE LÖSUNGEN DECKEN SICHERHEITSLÜCKEN AUF ITSICHERHEIT_4/2022 5

NEWS | UNTERNEHMEN DNSKONGRESS AUF DER SECURITY ESSEN Nach dem coronabedingen Aussetzen öffnet die Security Essen wieder vom 20. bis 23. September ihre Tore. Die Fachmesse ist internationaler Treffpunkt der physi- schen Sicherheitsbranche und ﬁndet im modernisierten Gelände der Messe Essen statt. In den Ausstellungshallen geht es um die Themenbereiche „Dienstleistungen“, „Zu- tritt, Mechatronik, Mechanik und Systeme“, „Perimeter“, „Video“ sowie „Brand, Einbruch und Systeme“. Darüber hinaus ist Cybersecurity ein Thema: Durch IoT- Devices und die Internet-Anbindung von Produkten und Dienstleistungen, die bisher rein physisch oder autark funktionierten, ergeben sich neue mögliche Angriffsziele für Cyberkriminelle, so die Messe. Smarthomes, digitale Firmengebäude, Videoüberwachung und Zutrittskontrolle in der Cloud seien nur einige Beispiele dafür, dass die Auseinandersetzung mit Datenschutz und Informations- sicherheit künftig auch für die physische Sicherheitswelt unausweichlich ist. Deswegen veranstalte man innerhalb des Rahmenpro- gramms einen passenden Kongress: Auf der ersten Digital Networking Security Konferenz am 20. und 21. September berichten Experten über aktuelle Vorfälle, wichtige Schnittstellen zwischen der Corporate- und IT-Security sowie rechtliche Vorgaben und geben praktische Umsetzungsbeispiele. So zeigt der Sachbuchautor Thomas R. Köhler in seiner Keynote zum Thema „Zwischen Cybercrime und Cyberwarfare – wa- rum Cybersicherheit Chefsache ist“ anhand von aktuel- len Fallbeispielen auf, was die wesentlichen Gefahren für Unternehmen sind, welche Risiken im Internet der Dinge drohen, warum Fabrikautomatisierung und Logistik die neuen Spielfelder der Cybercrime-Szene werden und wie man sich und seine Mitarbeitenden bestmöglich schüt- zen kann. Der Kongress ﬁndet in Halle 7 statt und ist für Messebesucher kostenlos. Weitere Informationen gibt es unter www.security-essen.de/impulsgeber/ programm/dns-konferenz/ QUANTENBASIERTE VERSCHLÜSSE LUNGSTECHNOLOGIE: IQ INNO VA TIONS- PREIS MITTELDEUTSCHLAND 2022 GEHT NACH JENA Bisher wird der Daten- und E-Mail-Verkehr von Regierungen, kritischen Infrastrukturen und Privatpersonen durch mathematische Algorith- men gesichert, die theoretisch immer zu knacken sind. Die Quantum Optics Jena entwickelte einen völlig neuen Ansatz, der Daten mithilfe von Lichtteilchen abhörsicher verschlüsselt. Für die Quantentechnologie- Innovation wurde das Unternehmen jetzt mit dem Clusterpreis Informa- 6 ITSICHERHEIT_4/2022 tionstechnologie sowie dem Gesamtsieg des 18. IQ Innovationspreis Mit- teldeutschland ausgezeichnet. „Hackerangriffe auf Behörden oder andere kritische Informationsträger häufen sich und sind zu einer ernsten Bedrohung geworden. Dabei ent- stand ein Wettlauf um die größte Rechenleistung, mit der Sicherheitssys- teme immer wieder zu knacken sind. In der Quantum Optics fanden sich in Jena einige der wenigen Experten, die das Zukunftsfeld Quantentechno- logie überhaupt beherrschen und zudem praktisch anwenden. Sie heben damit Cybersicherheit auf ein völlig neues Level – und das mit einfacher Integration in die Praxis. Kombiniert mit der ansteckenden Motivation und Begeisterung des Gründerteams sehen wir hier das Potenzial für eine echte Schlüsseltechnologie, von der die gesamte digitalisierte Gesellschaft profitiert“, begründet Jörn-Heinrich Tobaben, Geschäftsführer der Metro- polregion Mitteldeutschland Management, die Entscheidung der Jury. n Quantum Optics in Jena gewinnt den IQ Innovationspreis Mitteldeutschland 2022. (Foto: Quantum Optics) TANIUM KOOPERIERT MIT SCREEN- MEET FÜR KOMFORTABLE REMOTE- DESKTOP-SITZUNGEN Converged Endpoint Management (XEM)Anbieter Tanium ist eine stra- tegische Partnerschaft mit ScreenMeet eingegangen. ScreenMeet bietet eine cloudnative Remote-Support-Lösung, die vollständig in führende ITSM-Dienstleister integriert ist. Durch die Kooperation sollen Screen- Meet-Sitzungen mit einem Klick über die Tanium-Plattform bereitge- stellt werden können. Tanium will die ScreenMeet-Software als Zusatzfunktion zur Tanium XEM-Plattform weitervertreiben, die eine 99-prozentige Cloud-Zuver- lässigkeit und eine nahtlose Remote-Desktop-Erfahrung bietet, bei der nicht zwischen verschiedenen Lösungen gewechselt werden muss. Die Tanium-Architektur macht die ScreenMeet-Software bei Bedarf von je- dem Endpunkt aus verfügbar. „ScreenMeet nutzt die Vorteile der Tanium-Plattform, um eine sofortige Remote-Desktop-Lösung bereitzustellen, ohne einen weiteren Agenten in die Kundenumgebung einzubinden“, so Rob Jenks, SVP of Corporate Strategy bei Tanium. „Da Tanium die vollständige Kontrolle über den End- punkt hat, kann ScreenMeet sicher mit erhöhten Berechtigungen gestar- tet werden, was gleichzeitig die Sicherheit und die Helpdesk-Zeit bis zur Lösung verbessert.“ n

ZSCALER UND AWS ERWEITERN IHRE BEZIEHUNG FÜR CLOUD MIT ZERO TRUST SECURITY Zscaler gibt eine Erweiterung seiner Beziehung zu Amazon Web Services (AWS) bekannt. Darüber hinaus kündigt Zscaler Innovationen an, die auf der Zero-Trust-Architektur von Zscaler und AWS aufbauen, um Unternehmen dabei zu helfen, ihren Übergang in die Cloud zu beschleunigen und sicher zu machen. Durch die Zusammenarbeit der beiden Unternehmen erhalten Kunden eine einheitliche Lösung zur Konsolidierung und Vereinfachung von Cloud-Sicherheitschecks, während Unternehmen dabei unterstützt werden, ihre Sicherheitsarchitektur von ineffektiven Legacy-Modellen auf einen modernen, für die Cloud konzipierten Zero-Trust-Ansatz umzustellen. Heutzutage müssen Unternehmen oft Dutzende von unterschiedlichen Produkten kaufen, implementieren und verwalten, was zu einer hohen Komplexität der Abläufe und zu höheren Gemeinkosten geführt hat. Die Cloud-Dienste werden jedoch immer ausgereifter, weshalb Unterneh- men nach einer ganzheitlichen cloudbasierten Plattform mit integrierten Services suchen, um ihre global verteilten Workloads zu schützen. Dies schließt Cloud Security Posture Management (CSPM), Cloud Infrastruc- ture Entitlement Management (CIEM), Cloud Workload Protection Plat- forms (CWPP), Data Loss Protection (DLP), Configuration Management Database (CMDB) und Infrastructure as a Code (IaC) Scanning mit ein. Um Unternehmen dabei zu unterstützen, ihre Cloud-Anwendungen mit Zero Trust abzusichern und die Sicherheit ihrer 5G-Verbindungen zu verbes- sern, haben Zscaler und AWS ihre Zusammenarbeit erweitert, um einfa- che, aber leistungsstarke Lösungen auf AWS bereitzustellen. „Viele Unternehmen kämpfen mit dem Konzept des Zero Trust für Cloud-Sicherheit“, sagt Punit Minocha, Executive Vice President, Business and Corporate Development bei Zscaler. „Die jüngsten Innovationen von Zscaler – unsere Posture-Control-Lösung und die neuen Services zum Schutz von Cloud-Workloads – basieren auf AWS als bevorzugtem Cloud-Anbieter und bieten unseren gemeinsamen Kunden verein- fachte und effiziente Lösungen zur effektiven Beseitigung von Cloud-Workload-Risiken, die über die Cloud-Sicherheitsplattform Zscaler Zero Trust Exchange bereitgestellt werden.“ n Punit Minocha, Exe- cutive Vice President, Business and Corpo- rate Development bei Zscaler. (Foto: Zscaler) VERTIV SCHLIESST SICH DER GERMAN DATACENTER ASSOCIATION (GDA) AN Vertiv, globaler Anbieter von kritischen digitalen Infrastruktur- und Kon- tinuitätslösungen, gibt seine Partnermitgliedschaft bei der German Data Center Association bekannt. Die Vernetzung mit Betreibern, Anbietern, politischen Entscheidungsträgern und anderen Akteuren, um Verände- rungen in der Rechenzentrumsbranche zu bewirken, steht im Mittelpunkt der Partnerschaft und soll Vertiv dabei helfen, auch weiterhin Innovatio- nen in der Branche voranzutreiben. Die Ziele der GDA, die Investitionsattraktivität in deutsche Standorte zu steigern, die Rahmenbedingungen für das Betreiben von Rechenzentren UNTERNEHMEN | NEWS in Deutschland nachhaltig zu verbessern und das Wachstum der Branche und deren Wahrnehmung in Wirtschaft, Gesellschaft und Marktführern zu stärken gehen dabei Hand in Hand mit den Visionen von Vertiv. n ATOS SPALTET SICH AUF: ANALYSTEN- BEWERTUNG ISG Der globale IT-Dienstleister Atos will sich in zwei börsennotierte Unter- nehmen aufteilen: Atos und Evidian. Analysten sehen das kritisch: Bereits bestehende Lieferprobleme könnten sich weiter verschärfen. Atos beab- sichtigt, seine Servicebereiche Cloud, Cybersicherheit und Datenanalytik in ein neues börsennotiertes Unternehmen namens Evidian auszulagern. Alle anderen Teile verbleiben unter der bisherigen Marke Atos, welche das IT-Outsourcing und Business Process Outsourcing weiterführt. Dabei liegt der Schwerpunkt auf Infrastruktur-Services – in erster Linie der Be- trieb von Rechenzentren und das Erbringen von Workplace-Diensten. Vor allem im Bereich Rechenzentren war Atos viele Jahre lang sehr erfolg- reich. Doch ist die Nachfrage nach dem Outsourcing von Rechenzen tren zuletzt stark zurückgegangen. So schätzt das Unternehmen, dass der Umsatz des alten Unternehmens Atos von 2021 auf 2022 um 12 Prozent zurückgehen wird. Die Analysten von ISG gehen davon aus, dass Atos mit der Aufspaltung die tiefgreifenden Marktveränderungen adäquat abbil- det. Das Unternehmen hat stark in seine OneCloud-Plattform investiert und mit der Akquisition des Multi-Cloud-Unternehmens CloudReach eine gewichtige Übernahme getätigt. Allerdings erfolgte beides erst, nach- dem Cloud-Migrationen 2016 bereits an Fahrt aufgenommen hatten. Hinzu kommen die Turbulenzen der letzten beiden Jahre, die durch den Wechsel des CEO und der bevorstehenden Fusion mit DXC ausgelöst wur- den. Vor diesem Hintergrund hat die Lieferqualität von Atos in einigen Fäl- len nachgelassen. Die jüngsten ISG-Messungen von Kundenerfahrungen zeigen, dass die Gesamtbewertung von Atos unter dem Marktdurchschnitt liegt. Dies gibt Anlass zur Sorge, dass die Aufspaltung des Unternehmens die bestehenden Lieferprobleme noch verschärfen könnte. Zudem ist zu- künftig von einer potenziellen Subunternehmerbeziehung zwischen Atos und Evidian auszugehen, wobei ein Großteil der Leistungsträger Richtung Evidian ziehen werden. ISG erwartet deshalb, dass die Bedenken der Kun- den zunehmen, nicht ausreichend mit Experten versorgt zu werden – so etwa in den Bereichen Cloud Engineering oder Cybersicherheit. n Infografik: Aufspaltung von Atos in zwei börsennotierte Unternehmen ITSICHERHEIT_4/2022 7

NEWS | PRODUKTE ERWEITERTE OWNCLOUD-INTEGRATION IN MICROSOFT 365 Die Open-Source-Datenplattform ownCloud bietet ab sofort eine erwei- terte Integration in Microsoft 356. Dateien in der geschützten Umgebung von ownCloud lassen sich jetzt online mit den bekannten Office-Tools der Microsoft Suite bearbeiten. So können direkt aus ownCloud heraus Word-, Excel- und PowerPoint-Dateien mit dem Online-Editor von Microsoft 365 erzeut, geöffnet, bearbeitet und in ownCloud gespeichert werden. Damit bietet sie Organisationen eine Kombination aus Usability und Sicherheit: Statt im Public-Cloud-Dienst Microsoft OneDrive können sie sensible Da- teien in ownCloud vorhalten. Diese Datenplattform können sie als Private Cloud selbst hosten oder von einem Dienstleister ihrer Wahl betreiben lassen. Dadurch haben sie die Datenspeicherung komplett unter eigener Kontrolle. Das ermöglicht ihnen nicht nur eine geschützte Umgebung für ihre Dateien zu schaffen. Sie können durch gezielte Maßnahmen auch das Risiko von Ausfallzeiten oder Datenverlusten minimieren. „Die Integration von ownCloud in die Office-Tools von Microsoft 365 gibt Organisationen die Mög- lichkeit, das Beste aus beiden Welten miteinander zu kombinieren“, sagt Tobias Gerlinger, CEO von ownCloud. „Sie können sensible Dateien in einer Private Cloud selbst hosten und kontrollieren – und ihren Mitarbeitern trotzdem die Möglichkeit geben, sie mit den komfortablen Werkzeugen der Microsoft Suite produktiv zu bearbeiten.“ n Tobias Gerlinger, CEO von ownCloud (Foto: ownCloud) SKYLIGHT SOLL XDR IN MASCHINEN- GESCHWINDIGKEIT BRINGEN SentinelOne, Anbieter einer autonomen Cybersicherheitsplattform, stellt SentinelOne Skylight vor. Die Lösung vereinigt Sicherheits- und Unterneh- mensdaten in einer einzigen Ansicht, die ein besseres Verständnis und autonomes Handeln ermöglich en soll. Zudem wird eine vollständige Da- tentransparenz, -aufnahme und -speicherung ermöglicht, ebenso wie die Integration von Daten, auch von Drittanbietern, in SentinelOne Storylines. Mit Daten und Kontext an einem Ort – über den Endpunkt hinaus – sind Sicherheitsteams in der Lage, bessere Entscheidungen zu treffen, Arbeits- abläufe zu automatisieren und einen größeren Nutzen aus vorhande- nen Technologien und Sicherheitstools zu ziehen. Es handelt sich bei der Lösung um eine Weiterentwicklung der Singularity XDR-Plattform und der Anbieter unterstützt damit den ganzheitlichen Ansatz im Bereich der Cybersicherheit, indem er Sicherheitsteams mit der Leistungsfähigkeit von Technologie in Maschinengeschwindigkeit ausstattet. Die Basis bildet hierbei die Fähigkeit von DataSet, Da- ten aus beliebigen Quellen aufzunehmen, zu korre- lieren, zu durchsuchen und zu verarbeiten. „Skylight führt Unternehmen in die Ära von XDR ein“, so Yonni Shelmerdine, Vice President of XDR Products bei SentinelOne. „Es erleichtert die Arbeit mit herkömm- lichen SIEM-Produkten und liefert Sicherheitsteams einen neuen Kontext und eine Korrelation von Dritt- anbieterdaten, um Cyberangriffe autonom zu ver- hindern, zu erkennen und darauf zu reagieren.“ n Yonni Shelmerdine, Vice President of XDR Products bei SentinelOne. (Foto: SentinelOne) 8 ITSICHERHEIT_4/2022 CYBERSICHERHEITSSERVICE FÜR DEN MITTELSTAND Für mittelständische Unternehmen sind Cyberrisiken substanzielle Be- drohungen. Mit dem Fokus auf ihre spezifischen Bedarfe bietet Dyrisk eine Komplettlösung aus Analyse und Beratung für ein wirksamesCyber- risikomanagement und ein zielgerichtetes Mehr an IT-Sicherheit. Das neugegründete Tochterunternehmen von Munich Re baut mit seinen Software-Lösungen auf der langjährigen Cyberrisikoexpertise des Rück- versicherers auf. Geschäftsführer von Dyrisk sind die beiden Gründer Ale- xander Slepitschka und Sven Sigel. Sven Sigel, Mitgründer von Dyrisk (Foto: Dyrisk) Alexander Slepitschka, Mitgründer von Dyrisk (Foto: Dyrisk) Dyrisk nimmt in der Komplettlösung neben den vorhandenen IT-Si- cherheitsschwachstellen und der aktuellen Bedrohungslandschaft auch potenzielle Schadenkosten in den Blick. Die KI-gestützte Softwarelösung von Dyrisk wird über Netzwerkschnittstellen an alle Expertensysteme des Asset-, Schwachstellen-, Bedrohungs- und Geschäftsprozessma- nagements eines Unternehmens angedockt. Die Analyse der erfassten Daten geschieht auf der Basis einer von Munich Re entwickelten, spezi- ellen Risikobewertungsmethodik. Der Dienstleister denkt qualitative und quantitative Risiken zusammen – und macht die Einflussfaktoren in den Analyseergebnissen für Anwender transparent. n NEUE LÖSUNG ZUM SCHUTZ VON SCHULEN VOR CYBERANGRIFFEN Apple-Spezialist Jamf hat für primären und sekundären Bildungsbereich jetzt Jamf Safe Internet eingeführt. Die Erweiterung wurde entwickelt, um Schulen dabei zu helfen, Minderjährige vor schädlichen Inhalten im Internet zu schützen. Jamf Save Internet ermöglicht es Administratoren, Nutzungsrichtlinien durchzusetzen, die einen verantwortungsvollen Um- gang sicherstellen, ohne dabei die Lernerfahrung auf Apple-Geräten zu beeinträchtigen. Mehr Sicherheit in Schulen mit Jamf Safe Internet. (Foto: Jamf)

PRODUKTE | NEWS Während sich Apple eine starke Präsenz auf dem Bildungsmarkt aufge- baut hat, verbringen auch Schüler immer mehr Zeit mit dem Online- Lernen. Es entsteht ein wachsender Bedarf an digitaler Sicherheit, um die Schüler vor dem Zugriff auf unsichere Inhalte zu schützen und um Cyberangriffe zu verhindern. Durch die Integration von Filtertechnolo- gien und Funktionen zur Abwehr von Netzwerkbedrohungen ist Jamf Safe Internet eine auf Apple ausgerichtete Cybersicherheitslösung für den Bildungsbereich, die gewährleistet, dass sich Schüler sicher im Netz bewegen können. Dabei respektiert Jamf Safe Internet die Privat- sphäre der Lernenden, indem es die Prinzipien der Prävention über die Kontrolle stellt. Die nahtlose Integration mit Jamf School macht die Be- reitstellung und laufende Synchronisierung einfach und intuitiv auf der Plattform und den Geräten bedienbar, mit denen Schüler, Lehrer und Eltern bereits vertraut sind. Jamf Safe Internet lässt sich auch in Jamf Pro integrieren. n SECURITY FÜR DIE CLOUD Elastic präsentiert mit Elastic Security for Cloud neue Funktionen zur Verwaltung von Cloudrisiken und Sicherheits, sowie für den Schutz von Workloads. Elastic Security for Cloud erweitert die Funktionen von Elastic Security, indem es Sicherheitsmaßnahmen für cloudnative und hybride Umgebungen mit Infrastructure Detection and Response (IDR) kombiniert. Dadurch erhalten Kunden umfassende Einblicke in Cloud- Workloads, sowie fachkundige Präventions-, Erkennungs- und Abwehr- funktionen. Mit der einheitlichen Elastic Search Plattform ist es Kunden darüber hinaus möglich, nach Risiken während des Deployments sowie nach Bedrohungen während der Laufzeit zu suchen. Elastic Security bietet außerdem vorkonfigurierte Regeln und Machine- Learning-Modelle, um bekannte und unbekannte Bedrohungen mithilfe von Erkenntnissen aus den Elastic Security Labs – dem Elastic Team für Bedrohungsforschung und Malware-Analysen – zu identifizieren. Zu den Key-Features zählen: Automatisierte Erkennung von Cloudbedrohungen, um Untersuchun- gen von Analysten und Reaktionsworkflows mit den neuen Schutz- funktionen für Cloud-Workloads zu beschleunigen. Organisationen können ihre Cloud-Sicherheitshaltung mit der Verwal- tungsfunktion für ihre Kubernetes-Sicherheitshaltung umsetzen und ihre Deployments an Sicherheits-Benchmarks wie den CIS-Kontrollen (Center for Information Security) ausrichten. Weniger Mehraufwand bei der Bereitstellung, Verwaltung und In- tegration separater Sicherheits- und Überwachungslösungen und Compliance-Tools. n Damit Sie für Ihre wertvollsten Assets keine bösen Überraschungen erleben! Anzeige Softwaregestütztes Information Security Management nach • VDA ISA / TISAX® • ISO 27001 ibi systems GmbH, Franz-Mayer-Straße 1, 93053 Regensburg www.ibi-systems.de/de/TISAX ITSICHERHEIT_4/2022 9

NEWS | PRODUKTE NEUE ERGEBNISORIENTIERTE CYBER- DEFENSE-PLATTFORM BlueVoyant, Anbieter einer integrierten End-to-End-Cyber-Defense- Plattform, gibt die Markteinführung von BlueVoyant Elements bekannt. Dabei handelt es sich um eine ergebnisorientierte, cloudbasierte Cyber- abwehrplattform, die interne und externe Cybersecurity-Funktionen zusammenführt und dadurch einzigartige Transparenz, Genauigkeit und Handlungsfähigkeit bieten soll. Elements kann als Komplettlösung oder als einzelne Module je nach Bedarf eingesetzt werden: BlueVoyant Core: MDR (Managed Detection & Response) Schafft Stabilität und Stärke innerhalb der Unternehmensnetz- werke zum Schutz vor der sich verändernden Bedrohungslandschaft außerhalb. BlueVoyant Terrain: 3PR (Third-Party Cyber Risk Management) Identifiziert schnell von außen sichtbare kritische Sicherheitslücken und -probleme im Ökosystem von Drittanbietern eines Kunden und arbeitet direkt mit dem Anbieter zusammen, um das Problem zu lösen. BlueVoyant Sky: DRP (Digital Risk Protection) Eine End-to-End-Lösung zur Erkennung und Beseitigung von Cyber- bedrohungen in der frühesten Phase der Cyber-Kill-Chain. BlueVoyant Liquid: PS (Professional Services) Ausgezeichnetes Fachwissen, das Kunden bei der Bewertung, Prävention und Reaktion auf Cyberbedrohungen und -vorfälle unterstützt „Die Einführung der Plattform ‚Elements‘ ist der Höhepunkt von fünf Jahren Arbeit, um End- to-End-Funktionen für die interne und externe Cyberabwehr in einer einzigen Plattform zu vereinen", so James Rosenthal, CEO von Blue- Voyant. n James Rosenthal, CEO von BlueVoyant. (Foto: BlueVoyant) DATENSCHUTZLÖSUNG FÜR DEVSEC- OPS-TEAMS Technologie- und Sicherheitsanbieter Thales kündigt die CipherTrust Plat- form Community Edition an, die es DevSecOps-Teams ermöglicht, Daten- schutzkontrollen in Multi-Cloud-Anwendungen innerhalb von Minuten statt Wochen einzuführen. Die CipherTrust Platform ist die nach Angaben von Thales weltweit am weitesten verbreitete Verschlüsselungs- und Schlüsselverwaltungslösung für Datenschutzanwendungen. IT-Teams auf der ganzen Welt nutzen sie, um sensible Datenbestände zu schützen. Die CipherTrust Platform Community Edition ist eine Version der CipherTrust Platform, die sich an Entwickler und DevSecOps-Teams richtet, um die Lö- sung zu testen und in ihre Workflows und Build-Pipelines zu integrieren. Mit der CipherTrust Platform Community Edition können Entwickler und DevSecOps-Teams sicher sein, dass sie eine Lösung auf Unterneh- mensniveau implementieren, die, wenn sie skaliert oder in Produktion gehen soll, nahtlos auf die CipherTrust Enterprise Platform erweitert werden kann. Die Community Edition umfasst die meisten Funktionen der CipherTrust Enterprise Platform und eignet sich gut für kleine oder entwicklungsorientierte Infrastrukturen. Sie besteht aus einer kostenlo- sen Version von CipherTrust Manager und zwei CipherTrust Connectors, 10 ITSICHERHEIT_4/2022 CipherTrust Transparent Encryption for Kubernetes und CipherTrust Data Protection Gateway. Der Schutz von Schlüsseln und Zertifikaten, die mit Anwendungen und Containern verbunden sind, ermöglicht es DevSecOps-Teams, ein ent- scheidendes Element der Sicherheitsstrategie eines Unternehmens zu verwalten. Mit der Community Edition können Entwickler die Schlüs- selverwaltung und Verschlüsselungsrichtlinien für Multi-Cloud-Anwen- dungen zentralisieren. „Unternehmen werden sich zunehmend der Not- wendigkeit bewusst, Zero-Trust-Lösungen in ihre Sicherheitsstrategien zu integrieren“, so Todd Moore, Vice President of Encryption Products bei Thales. „Ebenso fordern DevSecOps-Teams, dass Sicherheitspraktiken automatisiert und in jede Phase des Anwendungsent- wicklungszyklus integriert werden, um die Risiken der digitalen Transformation zu mindern. Thales bietet jetzt eine kostenlo- se Version seiner CipherTrust Data Security Platform an, um Endanwendern die Werk- zeuge an die Hand zu geben, mit denen sie Datenschutzkontrollen in Multi-Cloud- Anwendungen innerhalb weniger Minuten implementieren können.“ n Todd Moore, Vice President of Encryption Products bei Thales (Foto: Thales) AKKUBOX BIETET SCHUTZ BEI DEFEKTEN GERÄTE-AKKUS IN NOTEBOOKS & CO. Explodierende Akkus von Firmen-Laptops und -Smartphones sind ein Albtraum vieler Nutzer in Büro und Homeoffice gleichermaßen – für Unternehmen stellt sich die Frage nach Versicherung und Haftung umso stärker, wenn Mitarbeitende das Arbeitswerkzeug selbst transportieren und auch zu Hause nutzen. Neben der Sicherheit von Mensch und Mate- rial spielt auch die Datensicherheit eine große Rolle: Denn oft kann man die Datenträger mit sensiblen Unternehmensdaten nicht aus IT-Geräten mit sicherheitskritisch defekten Akkus entfernen und steht vor der Frage: Wie stellt man sowohl den sicheren Transport der Geräte als auch Daten- sicherheit bei der Entsorgung sicher? Gefragt ist eine sowohl gefahrgut- als auch datenschutzkonforme Lö- sung, die vor brennenden und explodierenden Akkus schützt, sowie Lage- rung und Transport absolut datensicher ermöglicht. AfB social & green IT bietet neben den klassischen Dienstleistungen rund um IT-Remarketing nun auch eine spezielle Akku-Box für ADR-konforme Lagerung und Trans- port von Geräten mit strukturell veränderten Akkus. Dank des behördlich zertifizierten Sicherheitskonzepts absorbiert die AfB Akku-Box giftige Rauchgase und schützt bei einer Akku-Explosion vor Splittern. AfB über- nimmt auch den DS-GVO- wie ADR-konformen Trans- port sowie die sichere und zertifizierte Datenvernichtung inklusive Vernich- tungsnachweis. Wer die AfB Akku-Box benötigt, kann sie beim Unternehmen bedarfsgerecht mieten. n Akku-Box für ADR-konforme Lagerung und Transport von Geräten mit strukturell ver- änderten Akkus. (Foto: AfB social & green IT)

– ADVERTORIAL – Risikoherd Cybercrime: Krisenprävention durch IT-Sicherheit Auch die Cyberkriminalität scheint sich während der Corona-Krise ins Homeoffice verlagert zu haben: Während bei der Gesamtzahl der erfassten Straftaten im Jahr 2021 im Vergleich zum Vorjahr ein Rückgang von 4,9 Prozent verzeichnet werden konnte, ist bei Cyber- straftaten mit einem Anstieg von 12,2 Prozent ein stark gegenläu- figer Trend zu erkennen. Mit der Zunahme digitaler Angebote und Dienstleistungen wachsen schließlich auch die potenziellen Ein- fallstore für Cyberkriminelle. Insbesondere die deutsche Wirtschaft bietet attraktive Ziele für kriminelle Absichten. Unternehmen, Organisationen und öffentli- che Einrichtungen können zum Ziel werden – vom Mittelstand über kritische Infrastruktur bis zu staatlichen Einrichtungen sollten alle Akteure für die neuartigen Bedrohungen gewappnet sein. Gerade über Cyberangriffe können Kriminelle durch den Zugriff auf sensib- le Daten enormen finanziellen Schaden und Vertrauensverlust auf Kundenseite verursachen. Trojaner verursachen den größten Schaden Als größten Schädling hat das Bundeskriminalamt Erpressungs- trojaner, sog. Ransomware, identifiziert, die sich mit einem wirt- schaftlichen S chaden von 24,3 Mrd. Euro im Jahr 2021 gegenüber 5,3 Mrd. Euro Schaden im Jahr 2019 in ihrer Schwere fast verfünf- facht haben. Dieser rasante Anstieg ist unter anderem auf die Pro- fessionalisierung des Bereiches zurückzuführen, der mit Angeboten wie Ransomware-as-a-Service das SaaS-Modell nicht nur erfolgreich kopiert, sondern auch einfacher zugänglich gestaltet hat. Dadurch erweitert sich der Kreis der Angreifer erheblich und ermöglicht zu- nehmend auch Nicht-Spezialisten kriminelle Cyberaktivitäten. Eintrittsvektoren für Cyberattacken bilden sowohl Schwachstellen in der IT-Infrastruktur als auch der klassische Phishing-Angriff. Letzte- res trifft Privatpersonen und Unternehmen gleichermaßen und kann durch das Abgreifen sensibler Daten wie auch dem Einschleusen von Malware hohen finanziellen Schaden, als auch beträchtlichen Image- schaden verursachen. Doch viele dieser Sicherheitslücken lassen sich durch den richtigen Ausbau der Unternehmens-IT und Fortbildun- gen für Mitarbeitende schließen. Hierzu müssen Unternehmen und Verantwortliche die richtigen Strategien entwickeln. Die Bitkom Aka- demie hat gemeinsam mit ihrem Kooperationspartner Bredex einen Workshop zu diesem drängenden Sicherheitsthema konzipiert, der auch fachfremdes Personal umfassend aufklärt. Ziele des Workshops Teilnehmende erhalten einen umfassenden Überblick über alle aktuellen Themenbereiche der IT-Sicherheit. Die Grundfähigkeiten Detektion, Reaktion und Prädiktion werden erklärt und anhand konkreter Praxisbeispiele bearbeitet. Es werden verschiedene Teil- bereiche der IT-Sicherheit in Deep Dive Sessions behandelt; von Awareness und Best-Practices über Hacking-Basics und Social En- gineering hin zum Aufbau eines Informationssicherheitsmanage- mentsystems (ISMS). Zielgruppe Das Kompaktseminar eignet sich für Mitarbeitende aller Bran- chen mit Arbeitsbezug und Schnittstellen zur Informationssicher- heit, ganz gleich ob angehende IT-Administratoren, IT-Fachkräfte, Datenschutzbeauftragte, Projektmanager oder Führungskräfte im Allgemeinen. Vorkenntnisse sind von Vorteil, aber nicht zwingend erforderlich. Das Kompaktseminar hat didaktisch eine allgemeine Ausrichtung, um auch auf individuelle Fragen und Problemstellun- gen aller Teilnehmenden einzugehen. n Der nächste Workshop findet vom 13. bis 14. Oktober 2022 online statt. Für weitere Informationen wenden Sie sich gern an Vincent Bergner: v.bergner@bitkom-service.de https://bitkom-akademie.de/workshop/ grundlagen-it-sicherheit-kompakt ITSICHERHEIT_4/2022 11 iStockphoto /spainter_vfx

TUM Hightech-Summit 2022 auf der automatica KI UND ROBOTIK – FORSCHUNG MEETS INDUSTRIE Die Digitalisierung von Maschinen gehört mit Sicherheit zu den faszinierendsten Entwicklungsfeldern der IT: Intelligenz zieht in Systeme, Netzwerke und nicht zuletzt Roboter, die mit Menschen interagieren. Auf dem zweiten Hightech-Gipfel im Rahmen der Messe munich_i haben Wissenschaft und Industrie gezeigt, was eine KI-gestützte Robotik zu leisten vermag. Der Event war hochkarätig besetzt beziehungsweise besucht – aus der Forschung war neben der Technischen Universität München (TUM) unter anderen das Imperial College London und die Delft Universität mit dabei, die Robotik war durch Boston Dynamics und Berkshire Grey vertreten, aus IT und Industrie kamen beispielsweise Vertreter von SAP, Google und Roche. Das große Rahmenthema des Gipfels war, wie Technologie die Welt zum Positiven verän- dern kann. Wie diese Technologie aussehen kann, erläuterte Prof. Sami Haddadin, Leiter des Munich Institute of Robotics and Machine Intelligence (MIRMI) und neben Ethikprofes- sorin Alena Buyx im Direktorium der munich_i: „Wir wollen Technologie entwickeln, welche 12 ITSICHERHEIT_4/2022 die Gesellschaft voranbringt und sich an den Bedürfnissen der Nutzer orientiert. Dazu ge- hört auch, die ethischen und sozialen Kontexte von künstlicher Intelligenz mitzudenken.“ Es geht also nicht nur um die reine Technik, son- dern auch um Sicherheit und Sozialverträg- lichkeit für den Menschen. Dabei sieht Hadda- din den Standort als einen wichtigen Faktor. Der Freistaat Bayern fördert die entsprechen- de Forschung mit 3,5 Milliarden Euro, davon rund eine halbe Milliarde Euro in KI. BLICK ÜBER DEN TELLERRAND Für Haddadin ist das erstmals in Präsenz vor Ort stattfindende Expertentreffen High- tech Summit – unter dem Motto „Meet the AUS DER SZENE

Future“ – auf dem besten Weg, zu einem wegweisenden „Thought-Leadership-Sum- mit für das KI- und Robotik-Ökosystem“ zu werden. Das Feld der Sprecher aus Indus- trie und Forschung sowie die Themen waren breit angelegt. So stellte der Chefentwickler von Robotikspezialist Boston Dynamics Dr. Alfred Rizzi Roboter vor, die Türen öffnen, Seil springen und Schubladen aufziehen – das Resultat des intelligenten Einsatzes von Sensoren sowie der Erforschung der Bewe- gungseigenschaften von Robotern. „Internet of Things“-Experte Dominik Metz- ger vom Softwarekonzern SAP erläuterte, wie die Lieferkette mithilfe eines digitalen Zwil- lings robuster werden kann – etwa bei ver- zögerten Lieferungen, dem Ausfall von Pro- duktionsstandorten oder Fachkräftemangel. Und Anna Bauer-Mehren von Pharmakonzern Roche zeigte, wie ihr digitaler Zwilling vom Patienten künftig gezieltere Behandlungen und eine personalisierte Entwicklung von Arzneien möglich machen kann. Besonderes Forschungsfeld von Prof. Lucia Pallotino von der Universität von Pisa: Die Zu- sammenarbeit von Robotern untereinander. Wie ein Video von einer komplexen Kreuzung in Asien zeigt, schaffen es Menschen ohne Ampel unfallfrei von einer Seite zur anderen. Das große Ziel der Forscherin: Diese Fähigkeit der Menschen auf Roboter übertragen. GIPFEL DER VORDENKER Der Hightech Summit als Thought-Leadership- Congress ist Teil des Gesamtkonzepts der munich_i. Dazu gehören der Kongress, die AI- Society als Ausstellungsfläche mit separater Bühne (i_space) sowie der Entwicklerwettbe- werb Robothon. Auf der 500 Quadratmeter großen Sonderfläche der AI-Society zeigen Forschende derzeit knapp 30 Demos von ak- tuellen KI- und Robotik-Projekten, auf der i_space-Bühne diskutieren Wissenschaftlerin- nen und Wissenschaftler, Unternehmensver- tretungen sowie Politikerinnen und Politiker aktuelle Entwicklungen. Der Robothon ist Politikerrundgang auf der munich_i (Foto: Bayerische Staatskanzlei/Jörg Koch) ein Entwicklungswettbewerb, in dem sich die Teilnehmenden unter anderem damit be- schäftigt haben, wie sich Batterien automa- tisiert aus Fernsteuerungen entfernen lassen – ein wichtiger Beitrag zu Nachhaltigkeit und Recycling. n S.M. Auf wissenschaftlicher Seite geht es unter anderem darum, welche Art der Kollaboration mit Robotern sich in der Zukunft durchset- zen wird. Dabei setzt Prof. Cecilia Laschi von der National University of Singapore darauf, von der Natur zu lernen. Im Speziellen hat sie sich den Tintenfisch für ihre Forschungen ausgesucht, wohl eines der komplexesten Lebewesen, und bildet das Greifen wie auch das Pumpen des Organismus für die Fortbe- wegung nach. Das könnte für viele Anwen- dungsbereiche interessant sein. Ein Beispiel, das auf dem Gipfel thematisiert wurde, ist die Chirurgie – maschinelles Lernen und visuelle Technologien haben sich in der roboterge- stützten Chirurgie in den letzten Jahren deut- lich weiterentwickelt. 2. – 3.11.2022 kritis. ihr sicherheits- update. s ie b i s p roﬁ t ie ren 20.9.2022 frühbucher- vom rabatt! www.protekt.de Bilder: ©phonlamaiphoto - stock.adobe.com (li.); ©anttoniart - stock.adobe.com (re.)

Quantenkommunikation ist die Schlüsseltechnologie, wenn es um Cybersicherheit, verschlüs- selte Kommunikation und hochsichere Daten- transfers der Zukunft geht. Wie wichtig sichere Kommunikations- und Datenwege sind, zeigen die anhaltenden Hacker- und Spionageangriffe auf Ministerien, Unternehmen und auch einzel- ne Bürgerinnen und Bürger. Die Wissenschaftle- rinnen und Wissenschaftler der UniBw M unter der Leitung von Prof. Udo Helmbrecht arbeiten daher im Projekt „MuQuaNet“ daran, das erste quantensichere Netzwerk im Großraum Mün- chen aufzubauen, um damit eine Schablone für künftige Anwendungen der Technologie zu schaffen. Dabei wird die sogenannte Quanten- schlüsselverteilung (englisch „QKD“, Quantum Key Distribution) genutzt, die es auf Grundlage der Quantenmechanik möglich macht, abhör- sichere, geheime Nachrichten auszutauschen. Als wesentlicher Meilenstein ist im Projekt das europaweit erste kommerziell erhältliche ver- schränkungsbasierte QKD-System im Betrieb. SCHLÜSSELTECHNOLOGIE AUS DEUTSCHLAND Im Juni 2022 lieferte Quantum Optics Jena das verschränkungsbasierte QKD-System, beste- hend aus einer Photonenquelle und zwei spe- ziellen Messapparaten an das Projektteam. Das System wird erstmalig im Projekt zum Einsatz kommen und ist durch seinen Aufbau in beson- derem Maße abhörsicher. Werden Daten abge- fangen, ist es für Angreifer immer entscheidend, diese auch entschlüsseln und lesen zu können. Quantenschlüssel gelten hier als informations- theoretisch sicheres Verfahren, einer Entschlüs- selung vorzubeugen. Den Kern des Systems aus Jena bildet das Prinzip der „Verschränkung“, einem Zustand, bei dem zwei Quantenteilchen (oft Photonen) nicht mehr unabhängig vonein- ander beschrieben werden können. Die Abhörsi- cherheit bei der Übertragung entsteht dadurch, dass ein möglicher Angreifer die Ursprungszu- stände abgefangener Daten nicht mehr repro- duzieren kann. Laboraufnahme der Photonenquelle – durch spontane parametrische Fluoreszenz können zwei verschränkte Photonen in den nichtlinearen Kris- tallen erzeugt werden. (Bild: Quantum Optics Jena/ Susann Nürnberger) WICHTIGER SCHRITT RICHTUNG ANWENDUNG Die „Verschränkung“ ist damit ein wesentlicher Baustein für künftige, sichere Quantenkommu- nikation. Mittlerweile konnte sie in zahlreichen physikalischen Experimenten nachgewiesen AUS DER SZENE werden, und inzwischen ist sie so weit ver- standen, dass bereits die ersten Anwendungen entstehen. Dazu zählen die QKD-Systeme von Quantum Optics Jena. „Wir freuen uns, gemein- sam mit dem Team des MuQuaNet-Projekts diesen wichtigen Schritt zur Erforschung von Quantentechnologien gehen zu können. In den vergangenen Monaten gelang unserem Team der erfolgreiche Transfer von der angewandten Forschung in ein kommerzielles Produkt. Das Feedback des MuQuaNet-Teams ist für uns nun eine wichtige Grundlage für die weitere Pro- duktentwicklung“, so Kevin Füchsel, Geschäfts- führer von Quantum Optics Jena. Mit dem System geht das Projektteam einen weiteren Schritt in Richtung Erprobung der Alltagstaug- lichkeit dieser neuen Technologie. Erste Tests zeigen, dass das System Störfaktoren, die durch einen Angreifer verursacht werden, erfolgreich detektiert und im Forschungsbetrieb stabile Ergebnisse mit Blick auf einen künftigen Real- betrieb liefert. Das Projekt „MuQuaNet – Das Quanten-Inter- net im Großraum München“ läuft bis Ende 2024 und wird aus Mitteln des dtec.bw gefördert. Das dtec.bw – Zentrum für Digitalisierungs- und Technologieforschung der Bundeswehr ist ein von den Universitäten der Bundeswehr München und Hamburg gemeinsam getragenes wissenschaftliches Zentrum und Bestandteil des Konjunkturprogramms der Bundesregie- rung zur Überwindung der COVID-19-Krise. n S.M. QUANTUM KEY DISTRIBUTION (QKD) Sichere Kommunikation über das Internet ist eine we- sentliche Voraus setzung für eine vertrauensvolle Zusam- menarbeit in allen Bereichen unserer Gesellschaft. An- wendungen, Daten, Nachrichten, Telefonate oder E-Mails sind vor dem Zugriff unbefugter Dritter im Internet zu schützen. Leistungsfähige, universelle Quantencompu- ter, die bereits in ersten Testversionen verfügbar sind, würden praktisch alle heute eingesetzten Public-Key-Ver- schlüsselungs- und Schlüsselaustauschverfahren unsi- cher machen. Quantum Key Distribution (QKD, Verteilung von Quantenschlüsseln) ist ein Verfahren, das die phy- sikalischen Eigenschaften der Quantenmechanik nutzt, um zwei oder mehreren Parteien einen gemeinsamen, sicheren Schlüssel für die Kommunikation zur Verfügung zu stellen. Die Sicherheit der Quantenschlüsselverteilung basiert auf bekannten physikalischen Gesetzen und nicht wie bei klas- sischen Verfahren auf Annahmen über die Schwierigkeit des zu lösenden Algorithmus (diskretes Logarithmus-Pro- blem). Die Sicherheit der QKD-Verfahren ergibt sich aus der Tatsache, dass der die Schlüsselübertragung abhörende Angreifer bemerkt wird und sogar die Menge der von ihm abgegriffenen Informationen gemessen werden kann. ITSICHERHEIT_4/2022 15

AUS DER SZENE DMA/DSA – Europäische Rechts- grundlage für digitale Dienste „GRUNDGESETZ“ FÜR DAS INTERNET Ende April 2022 haben sich Rat, Euro- päisches Parlament und Europäi- sche Kommission im Rahmen des fünften Trilogs über den „Digital Services Act“ – die Verordnung über digitale Dienste (DSA) – ge- einigt. Anfang Juli hat das EU-Parlament nun for- mal sowohl über den Digital Services Act (DSA) und den Digital Markets Act (DMA) abgestimmt. Damit sollen die Regeln der E-Commerce- Richtlinie aus dem Jahr 2000 fit für die Zukunft gemacht werden. Erstmals besteht mit dem DSA ein einheitliches Regelwerk zu Pflichten und 16 ITSICHERHEIT_4/2022 Verantwortlichkeiten von Online-Plattformen. Je größer die Plattform ist, desto mehr Pflichten hat sie zu erfüllen. Damit entstehen neue Mög- lichkeiten, digitale Dienste grenzüberschreitend anzubieten — bei hohem Schutzniveau für alle Nutzerinnen und Nutzer, unabhängig davon, wo in der EU sie leben. Der Staatssekretär im Bundesministerium für Wirtschaft und Klimaschutz, Sven Giegold, sieht in dem Plattformgesetz eine entschei- dende Errungenschaft der Europäer: „Europa schafft mit dem Digital Services Act weltweit die schärfsten Standards für ein freies und de- mokratisches Internet. Nicht zuletzt vor dem Hintergrund des Ukraine-Kriegs und den damit einhergehenden Desinformationskampag- nen wird das Internet entscheidend gestärkt. Mit dem DSA werden Verbraucherinnen und Verbraucher und deren Grundrechte im Inter- net geschützt. Gemeinsam mit dem Digital Markets Act untermauert Europa so auch die internationalen Gesetze. Es ist damit klar, dass nicht das Recht des Stärksten gilt.“ Letzteres Nach der politischen Einigung zum Digital Markets Act (DMA) haben sich die EU-Ins-titutionen und Mitgliedstaaten auch auf einen gemeinsamen Digital Services Act verständigt (DSA). Im Fokus des DSA steht ein einheitlicher Rechtsrahmen für den digitalen Binnenmarkt, der unter anderem Online-Marktplätze und soziale Netzwer-ke stärker in die Verantwortung nimmt. Sehr großen Online-Plattformen mit mehr als 45 Millionen Nutzern wie Facebook, Amazon und Google obliegen dabei die meisten Pflichten. Kleine Unternehmen und Start-ups sollen durch entsprechende Ausnahmen vor unverhältnismäßigem Aufwand geschützt sein.Bild: ©JBillionPhotos.com - stock.adobe.com

konkretisiert Giegold so: „So verbietet der DSA ‚dark patterns‘, das heißt irreführende Benut- zeroberflächen, die Nutzerinnen und Nutzer zu ungewollten Handlungen verleiten. Personali- sierte Werbung, die sich an Kinder und Jugend- liche richtet oder sensible Daten verwendet, wie zum Beispiel die sexuelle Orientierung, ist zukünftig untersagt. Und illegale Inhalte kön- nen schnell identifiziert und gelöscht werden, da jede Plattform ein Meldesystem einrichten muss und haftet, wenn sie entsprechenden Meldungen nicht nachgeht.“ DIE WICHTIGSTEN GESET ZESINHALTE IM EINZELNEN: Bekämpfung illegaler Inhalte durch ein ver- pflichtendes Meldesystem, das Nutzerinnen und Nutzern das Kennzeichnen solcher Inhal- te erlaubt und Plattformen die Zusammen- arbeit mit „vertrauenswürdigen Hinweisge- bern“ ermöglicht. Neue Vorschriften für die Rückverfolgbarkeit gewerblicher Nutzer auf Online-Marktplät- zen, um Verkäufer illegaler Waren leichter aufspüren zu können. Wirksame Beschwerdemechanismen, um Nutzerinnen und Nutzern die Entscheidung zu ermöglichen überprüfen zu lassen, ob ein Inhalt auf einer Plattform zu entfernen oder nicht zu entfernen ist. Mehr Transparenz von Online-Plattformen, insbesondere bei den Algorithmen, die zum Beispiel den Empfehlungssystemen der Platt- formen zugrunde liegen. Verpflichtungen für sehr große Plattformen, Risiken für den Missbrauch ihrer Systeme zu analysieren und Maßnahmen zu ergreifen. Das Risikomanagement der Plattformen wird von unabhängiger Seite überprüft. Zugriff für die Forschung auf die Kerndaten größerer Plattformen, um unabhängig die Wirkweise der Algorithmen sowie Risiken für Gesellschaft und Demokratie untersuchen zu können. Regeln zur Durchsetzung, welche der Kom- plexität des Online-Raums gerecht werden: Die Hauptrolle kommt den Mitgliedstaaten zu. Sie werden dabei von einem neuen Euro- päischen Gremium für digitale Dienste un- terstützt. Bei sehr großen Plattformen über- nimmt die EU-Kommission die Überwachung und Durchsetzung. Auch der Bitkom war nach der finalen Abstim- mung über DSA und DMA voll des Lobes. So AUS DER SZENE Mit der finalen Verabschiedung von Digital Services Act und Digital Markets Act wird ein umfassender digitalpolitischer Rechtsrahmen in Europa und eine Art neues Grundgesetz für das Internet geschaffen.“ DR. BERNHARD ROHLEDER, Bitkom-Hauptgeschäftsführer (Foto: Bitkom) erklärte Bitkom-Hauptgeschäftsführer Dr. Bern- hard Rohleder: „Mit der finalen Verabschiedung von Digital Services Act und Digital Markets Act wird ein umfassender digitalpolitischer Rechts- rahmen in Europa und eine Art neues Grund- gesetz für das Internet geschaffen. Insbeson- dere der DSA wird viele Menschen unmittelbar betreffen: Allein in Deutschland nutzen mehr als 60 Millionen Menschen das Internet, fast drei Viertel von ihnen informieren sich im Web über das Zeitgeschehen, 95 Prozent kaufen online ein. Online-Dienste und Plattformen sind da- mit ein fester Bestandteil des digitalen Alltags. Bitkom begrüßt daher ausdrücklich, dass Ver- braucherinnen und Verbraucher online künftig besser vor Desinformation, Hassrede und Pro- duktfälschungen geschützt werden. Was offline illegal ist, muss auch online illegal sein und entsprechend geahndet werden. Dass zudem über den Digital Markets Act mehr Wahlfrei- heit zwischen Online-Diensten entstehen soll, ist zu begrüßen. Faire Wettbewerbsbedingun- gen und ein einfacherer Marktzugang auch für kleine und mittelständische Unternehmen sind für Innovationen unerlässlich. Wichtig bleibt dabei, das Wachstum europäischer Digitalun- ternehmen gezielt zu fördern, Investitionen zu steigern und dem Fachkräftemangel und der -abwanderung vorzubeugen.“ Damit der neue Rechtsrahmen auch in der Pra- xis funktioniert, müssten nun klare Regeln ge- setzt werden. Gleichzeitig müsse der Plattfor- mökonomie weiterhin Entfaltungsspielraum für Innovationen gelassen werden. Rohleder: „Dazu braucht es eine einheitliche Umsetzung von DMA und DSA in den einzelnen Mitgliedstaa- ten. In Deutschland sollte darüber hinaus zügig Klarheit über den Aufbau der behördlichen Strukturen für den Digital Services Koordinator geschaffen werden – und wo diese Stelle an- gebunden ist. Die Bundesnetzagentur wäre aus Bitkom-Sicht die geeignetste Option. Zusätzlich müssen die entsprechenden nationalen Gesetze – vor allem das NetzDG – schnell und umfäng- lich überarbeitet werden, damit sie nicht mit dem DSA kollidieren. Die Bundesregierung muss der großen Bedeutung von DSA und DMA ent- sprechen und eine zeitnahe, klare und rechtsi- chere Umsetzung gewährleisten.“ n S.M. ITSICHERHEIT_4/2022 17

TITEL Interview mit Götz Schartner und Tobias Kopf, 8com Penetrationstests – wie es wirklich um die ITSicherheit steht 8com gilt als ein etablierter Managed Security Service Provider (MSSP) mit rund 70 Mitarbei- tern und Kunden in über 40 Ländern. Begonnen hat 8com im Jahre 2004 mit Penetrations- tests (Pentests), neben SOC-basierten SIEM-, EDR- und zahlreichen weiteren Services auch heute noch ein wichtiges Standbein des deutschen Unternehmens. Das Unternehmen setzt dabei sowohl auf initiale Penetrationstests zur Überprüfung vorhandener Schutzmaßnah- men als auch auf wiederkehrende Sicherheitsüberprüfungen, die zur kontinuierlichen Erprobung und Weiterentwicklung der Managed Security Services beitragen. Im Interview mit IT-SICHERHEIT verraten Götz Schartner, Geschäftsführer und Gründer der 8com und Tobias Kopf, Leiter Penetration Testing, worauf es bei Penetrationstests heute ankommt und worauf Unternehmen bei der Durchführung unbedingt achten sollten. ITS: Was genau ist eigentlich ein Penetrationstest und was bringt die Durchführung für Unternehmen? Tobias Kopf: Ein Penetrationstest ist ein Angriff auf Computer- systeme, der die IT-Sicherheit überprüft und bewertet. Bei ei- nem Penetrationstest verwenden erfahrene Tester die gleichen Werkzeuge und Software wie echte Angreifer. Dies ermöglicht das Aufdecken von Schwachstellen, die bei einer Analyse der Netzwerkkonfiguration oder des Programmcodes nur schwer zu finden sind. Bei einem Penetrationstest liefern wir eine Liste mit Schwachstellen und schlagen geeignete Gegenmaßnahmen zur Behebung vor. Diese sind im Abschlussbericht vermerkt. Zusätzlich führen wir auch gern einen Workshop mit den Ent- wicklern oder der IT-Abteilung des Kunden durch, in dem wir die Funde besprechen. Hierbei kommt es regelmäßig zu einem beidseitigen Wissenszuwachs. ITS: Wann machen Pentests strategisch Sinn? Götz Schartner: Grundsätzlich macht die Durchführung ei- nes Penetrationstests fast zu jedem Zeitpunkt Sinn, sobald ein gewisses Mindestmaß an IT-Sicherheitsmaßnahmen vorhan- den ist. Es ist wichtig zu verstehen, dass ein Pentest nur eine Momentaufnahme des zu testenden Systems darstellt. Wenn Sie beispielsweise in der Entwicklung eines Produkts sind und schon viele sicherheitsrelevante Funktionen implementiert haben, wie die Authentifizierung oder das Session Management, kann ein Pentest sehr schnell Schwachstellen auffinden, die bei der Im- 18 ITSICHERHEIT_4/2022

TITEL Götz Schartner, Geschäfts- führer und Gründer der 8com (oben) und Tobias Kopf, Lei- ter Penetration Testing ITSICHERHEIT_4/2022 19 ITS: Worauf sollten Unternehmen bei der Auswahl eines Pentesters achten?Götz Schartner: Das wichtigste bei einem Pene-trationstest ist das gegenseitige Vertrauen zwischen Auftraggeber und Dienstleister. Der Auftraggeber legt sensible Informationen offen und gewährt den Pentestern Zugriff. Die Pentester finden sehr wahrscheinlich Schwachstellen, deren Ausnutzung das Unternehmen massiv schädigen könnte. Wir gehen sehr vorsichtig mit Kundendaten um und halten strikte Löschfristen ein. Vertraglich wird eine Verschwiegenheitsvereinbarung unterzeichnet sowie ein Auftragsdatenverarbeitungsvertrag.In der Zeit von der Entdeckung bis zur Behebung der Schwachstelle bleiben die Systeme angreifbar. Abgesehen davon ist es wertvoll, wenn die Penetrationstester darunterliegende Technologien verstehen, um so tief wie möglich testen zu können. Hierbei spielt natürlich die Vorerfahrung des Dienstleisters eine große Rolle.ITS: Wann darf ein Pentest als erfolgreich gelten? Auf welche Faktoren kommt es hier an?Tobias Kopf: Ein erfolgreicher Penetrationstest beginnt bereits mit der Vorbereitung. Am besten wird schon vor Testbeginn überprüft, ob die Zugangsdaten funktionieren oder die Firewall freigeschaltet ist. Das sind häufige Stolpersteine, die unnötig Zeit kosten können. Während des Tests ist eine enge Kommunikation mit dem Kunden erstrebenswert, sodass dieser auch schnell reagieren kann, sollte doch mal ein System ausfallen oder ein Benutzer gesperrt werden. Ich mag es, wenn ich am Ende eines Penetrationstests das Gefühl habe, dass ich eine gute Abdeckung des Netzes oder der Anwendung erreicht habe. Es ist unglücklich, wenn die Zeit zu kurz bemessen ist und man vermutet, dass es noch weitere Schwachstellen gibt. Ideal ist es, wenn der Kunde die gefundenen Schwachstellen beheben kann und dadurch einen Mehrwert an Sicherheit erhält. ITS: Ist mein Unternehmen nach einem Pentest immun gegen-über echten Angriffen? Oder sind echte Angriffe noch mal ganz anders gelagert?Götz Schartner: Niemand kann hundertprozentige Sicherheit garantieren, dafür sind vernetzte Systeme viel zu komplex. Ein Penetrationstest steigert aber auf jeden Fall das Sicherheitsniveau des getesteten Netzes oder der Anwendung. Nach einem erfolgreich abgeschlossen Penetrationstest können wir die Aussage treffen, dass ein motivierter Angreifer mit gleichen Voraussetzungen und Ressourcen in dem begrenzten Zeitraum keine weiteren Sicherheitslücken finden wird. Durch das Verwenden eines White oder GreyboxAnsatzes verschaffen wir uns jedoch einen Vorsprung gegenüber echten Angreifern, was es für diese deutlich schwerer macht, erfolgreich Systeme zu kompromittieren.ITS: Vielen Dank für das Gespräch!Das Interview führte Stefan Mutschler für ITSICHERHEIT.plementierung entstanden sind. Auch bei bereits ausgereiften Produkten ist es empfehlenswert, sie regelmäßig mithilfe eines Pentests auf Schwachstel-len untersuchen zu lassen. Gerade wenn Software von Drittanbietern eingesetzt wird, stellt dies im-mer eine Bedrohung dar. Penetrationstests können hier ein gewisses Level an Vertrauen schaffen.ITS: Was unterscheidet einen Vulnerability Scan, der ja ebenfalls Schwachstellen in der IT-Sicherheit aufdecken soll, und einen Pentest?Tobias Kopf: Ein Penetrationstest ist wesentlich umfangreicher als ein Vulnerability Scan. Bei einem Vulnerability Scan werden größtenteils automatische Scanner eingesetzt, die das Netzwerk oder die Anwendung auf bekannte Lücken untersuchen. Gegebenenfalls werden die Befunde noch manuell verifiziert. Diese Schwachstellen sind meist sehr oberflächlich. Bei einem Penetrationstest steigt man wesentlich tiefer in die Materie ein. Hierbei können neue Schwachstellen entdeckt werden, die ein Scanner kaum oder gar nicht finden würde. Gerade durch die geschickte Verkettung von eigentlich ungefährlichen Schwachstellen könnte aber ein erfolgreicher Angriff konstruiert werden.ITS: Es gibt ja unterschiedliche Formen des Pentests. Was un-terscheidet beispielsweise einen Whitebox Pentest von einem Blackbox Pentest?Götz Schartner: Bei einem Whitebox Penetrationstest erhalten die Tester über das System so viele Informationen wie möglich. Bei einer Anwendung besteht das aus Quellcode, Debug Builds und Zugriff auf Logdateien. Bei einem BlackboxAnsatz erhalten die Tester nur eine Domain oder IPAdressen. In der Praxis wählen wir gern einen Mittelweg: Greybox. Hier werden meistens Benutzeraccounts, Netzwerkpläne und APIDokumentationen bereitgestellt. Durch den Informationsvorteil können Penetrationstester verglichen mit Angreifern in derselben Zeit mehr Schwachstellen finden.ITS: Welche Fähigkeiten benötigt ein Penetrationstester und wodurch erwirbt er sie üblicherweise?Tobias Kopf: Je mehr Hintergrundwissen man als Penetrationstester hat, desto besser. Es hilft ungemein, wenn man zumindest eine Programmiersprache gut beherrscht. Das hat den Vorteil, dass man sich in die Lage eines Entwicklers versetzen kann – mit dem nötigen zusätzlichen Wissen der ITsicherheitsrelevanten Themen. So kann man besser abschätzen, an welchen Stellen der Entwickler eine Schwachstelle offengelassen haben könnte. Zusätzlich zur Perspektive eines Entwicklers ist es notwendig, dass man das Testobjekt durch die Brille eines Angreifers betrachten kann.Jeder Pentester, den ich kenne, hat einen anderen Hintergrund. Viele spezialisieren sich auf eine bestimmte Art von Penetrationstest. So kennen sich manche sehr gut mit Webanwendungen aus, andere mit ActiveDirectoryUmgebungen. Aber genau dieser Mix von Leuten macht ein erfolgreiches Team aus.

TITEL Praxis: Penetrationstest am Beispiel eines Unternehmens Angriffsplan entwickeln Damit ein Penetrationstest erfolgreich stattfinden kann, stellt die Vorbereitung sei- tens der Penetrationstester sowie des zu testenden Unternehmens die essenzielle Basis dar. Hierbei wird der Umfang/Scope des Penetrationstests besprochen sowie abgeklärt, welche Systeme, Netze und Anwendungen wann getestet werden sollen und mit welchem Szenario gestartet wird. Angriffspfade eines Penetrationstests B ei den Angriffsszenarien gibt es verschiedene Mög- lichkeiten zur Auswahl. Die Tester können bei- spielsweise versuchen, einen Server zu kompromit- tieren, der in einer DMZ steht und somit Zugriff auf das Internet sowie das interne Netz hat (Pfeil 1 in der Grafik). Eine andere Möglichkeit ist ein (simulierter) Phishing-Angriff, bei welchem ein Benutzer Schadcode ausführt, den die Tester per Mail schicken (Pfeil 2 in der Grafik). Dieser Schadcode kann 20 ITSICHERHEIT_4/2022 in vielen unterschiedlichen Formen kommen, zum Beispiel in einem Office-Dokument mit Makro, einer .lnk, .iso, oder .exe Datei. Phishing-Test-Kampagnen zeigen, dass ein hoher Anteil an Benutzern auf fremde Links in E-Mails klickt und teilweise Anhänge öffnet. Durch das initiale Ausführen des Schadcodes bekommen die Tester als Angreifer einen weiteren Fuß in das interne Unternehmensnetz. In der Grafik ist dies durch den „Of- fice PC 1“ dargestellt. Nun haben die Tester Zugriff auf alle Da- ten, die auch der Benutzer des Office PCs sehen kann.

Durch die kompromittierte Webanwendung im ersten Schritt können die Tester Zugangsdaten von internen Benutzern abgrei- fen. Da häufig Passwörter wiederverwendet werden, können die Tester sich mit abgefangenen Benutzerdaten von „Office PC 1“ bei „Office PC 2“ anmelden. Dieser hat Zugriff auf das ERP-Sys- tem des Unternehmens, von welchem die Tester alle Daten über einen Tunnel herausleiten können (Pfeil 3 in der Grafik). Jeder Penetrationstest läuft anders ab und wird immer auf die Kundenbedürfnisse zugeschnitten. Es können verschiedene Schwerpunkte gesetzt werden. Dazu gehören die Netzwerksi- cherheit, die Active Directories und der Mailserver. Wer einen Penetrationstest einkauft, sollte zudem immer darauf achten, TITEL dass die Abstimmung mit dem Dienstleister von Anfang an klar und verständlich ist. Nur so lässt sich gemeinsam ein optimales Ergebnis erzielen. n GÖTZ SCHARTNER, Geschäftsführer und Gründer der 8com ITSICHERHEIT_4/2022 21 Es gibt verschiedenste Arten von Penetrationstests, die jedoch alle das Ziel haben, Schwachstellen aufzudecken. Durch das Beseitigen dieser identifizierten Sicherheits-lücken wird nicht nur die Informationssicherheit der Systeme wiederhergestellt, sondern auch das Sicherheitsniveau deutlich erhöht.Arten von PenetrationstestsPerimeterDie über das Internet öffentlich erreichbaren Systeme einer Institution oder eines Unterneh-mens werden als Perimeter-Systeme bezeichnet. Beispiele sind Webserver, Mailserver und Platt-formen für den Austausch von Dateien. Die an-gebotenen Dienste können jedoch nicht nur von regulären Benutzern zu jeder Zeit und von überall aus dem Internet genutzt, sondern auch von Cy-berkriminellen angegriffen werden. Sie stellen also permanent erreichbare Einfallstore in ein Un-ternehmensnetz dar. Mithilfe eines Perimeter-Pe-netration-Tests werden mögliche Schwachstellen öffentlich erreichbarer Server sichtbar gemacht.Client SideZiel eines Client-Side-Penetration-Tests ist die Identifizierung, praktische Prüfung und Bewer-tung von sicherheitsrelevanten Schwachstellen, die es Angreifern aus dem Internet erlauben könnten, Zugriff auf Ihr Unternehmensnetzwerk zu erlangen. Dabei wird über einen öffentlich zugänglichen Kommunikationskanal der Com-puter eines Mitarbeiters infiziert, über den ein Angreifer dann weiter ins Firmennetz vordringen könnte. Im Mittelpunkt eines Client-Side-An-griffs stehen also immer die Arbeitsplatzrechner von einzelnen Mitarbeitern.Web ApplicationImmer häufiger stellen Webanwendungen von Unternehmen Einfallstore für Angreifer dar. Diese gelangen über eine Schwachstelle in einer Webapplikation an vertrauliche Informationen, dringen in interne IT-Systeme ein oder leiten Be-sucher der Webseite auf von ihnen kontrollierte Server weiter. Um diesen Angriffen entgegen-zuwirken, gibt es den Web-Application-Pentest, der Schwachstellen in Webseiten und Weban-wendungen aufdeckt.Corporate NetworkEin Corporate Network Penetration Test dient dazu, Schwachstellen in der Sicherheit der di-gitalen Infrastruktur eines Unternehmens aufzu-decken. Dabei können je nach Absprache Fehler in der Konfiguration und der Konzeption eines IT-Systems, wie Netzwerkstruktur, Firewall-Re-geln, Routern und Switches, untersucht werden. Auch auf Server- und Client-Systemen verfügba-re Dienste werden auf Schwachstellen und Fehl-konfigurationen geprüft.Mobile ApplicationEin Mobile-Application-Pentest überprüft mo-bile Anwendungen für mobile Betriebssysteme wie iOS und Android auf Schwachstellen. Die drei wesentlichen Bestandteile des Tests sind lokale Angriffsvektoren auf dem Smartphone selbst, die Kommunikation mit Serveranwendungen sowie das Backend.Application-Security-AuditViele Unternehmen setzen branchenspezifische Software für spezialisierte Aufgaben ein – von der einfachen Datenbankanwendung bis hin zur hochkomplexen Steuerungssoftware für verteilte Systeme. Ein Application-Security-Audit untersucht nativ installierte Anwendungen auf Betriebssystemen wie Windows, Linux oder macOS nach Schwachstellen. Hierbei kann es sich sowohl um serverseitige als auch um client-seitige Anwendungen handeln.

– ADVERTORIAL – @-yet („Et jeht“, Hochdeutsch: „es geht“) Digitale Souveränität durch ITSicherheit und Datenschutz Die Corona-Pandemie hat die Digitalisierung in Unternehmen stark beschleunigt, sodass das Thema Cybersicherheit im Laufe des vergangenen Jahres international zum Topthema avanciert ist. Die Bedrohungslage für Unternehmen, öffentliche Einrichtungen und kritische Infrastrukturen hat sich massiv verschärft. tionstests, Code-Reviews und vielen technischen Analysen stellt @-yet den Status quo fest und trägt mit konkreten Konzepten und Maßnahmen zur nachhaltigen Verbesserung der IT-Sicherheit bei. Prävention spart viel Geld Häufig suchen Kunden in der IT-Sicherheit erst dann Unterstützung, wenn das Kind bereits in den Brunnen gefallen ist und sie gehackt wor- den sind, statt sich präventiv vor Angriffen zu schützen. Schuld sind feh- lende Aufmerksamkeit, völlige Unterschätzung der Bedrohung und bei weitem nicht ausreichende präventive Maßnahmen. „Und sollte der Hacker doch erfolgreich sein, dann helfen wir mit Incident Response, IT-Forensik und Notfallmanagement sowie Wie- deranlaufunterstützung“, sagt der @-yet CEO und ergänzt: „Schwach- stellenanalyse, Angriffssimulationen, physikalische Integrität, Code- Überprüfung: Es wird mithilfe modernster Methoden, Standards und Technologien alles getestet, was es zu testen gibt und nachhaltig Resilienz aufgebaut.“ Dabei bindet die rheinländische Firma den Faktor 22 ITSICHERHEIT_4/2022 Durch die Digitalisierung öffnen sich Unternehmen immer mehr zum Internet und webbasierten Prozessen. Das erhöht die Angreifbarkeit von Systemen und Netzwerken und gefährdet ohne ausreichenden Schutz den Nutzen. Ransomware-Angriffe, die IT-Infrastruktur und Produktion wochenlang außer Gefecht setzen, haben dramatisch zugenommen – nicht nur, aber auch verstärkt im Mittelstand. Totalverschlüsselungen und Erpressungsszenarien beein-trächtigen die Wertschöpfung von Unternehmen gravierend. Digital souverän mit @-yetSeit 20 Jahren beraten und unterstützen die in Leichlingen (zwischen Köln und Düsseldorf gelegen) sitzende @-yet GmbH und die @-yet Industri-al IT-Security GmbH (Aachen) Unternehmen auf ihrem Weg zu digitaler Souveränität. „Darunter verstehen wir ein sicheres und selbstbestimm-tes Handeln in allen Bereichen der Digitalisierung. Zentraler Baustein ist dabei die Cybersicherheit“, sagt @-yet CEO Wolfgang Straßer. Vor allem die technische IT-Resilienz von Anwendungen, Infrastrukturen und Cloud-Installationen steht im Vordergrund. Mithilfe von Redteaming, Penetra-Bild: ©Olga - stock.adobe.com

– ADVERTORIAL – Kontaktdaten @-yet GmbH Köln/Düsseldorf Schloss Eicherhof 42799 Leichlingen Telefon: +49 2175 1655 0 Fax: +49 2175 1655 11 E-Mail: info@at-yet.de www.at-yet.de ITSICHERHEIT_4/2022 23 Mensch ein. „Wir sensibilisieren, bilden weiter, führen Notfallübungen durch und bauen ein Bewusstsein auf, damit Mitarbeitende sich sicher fühlen und sicher handeln.“ Knapp 150 IT-Sicherheitsvorfälle seit Herbst 2019Die @-yet hat zwischen Herbst 2019 und Herbst 2021 fast 150 IT-Sicher-heitsvorfälle verzeichnet und arbeitet häufig an mehreren IT-Forensiken gleichzeitig. Im Zuge des sogenannten Incident Response berät und re-agiert die Firma im Falle eines Cyberangriffs an allen sieben Tagen einer Woche. @-yet unterstützt unmittelbar mit technischen Maßnahmen und Analysen bei der Abwehr des Angriffs und bemüht sich um Schadensbe-grenzung sowie um die Täterermittlung. Beantwortet werden auch Fragen wie: Wie kommuniziere ich diesen Vorfall intern, extern? Liegt gegebenen-falls eine Datenschutzverletzung vor, und wie geht man damit um? Muss etwas gemeldet, gelöscht, gesichert, offline geschaltet werden? Wie kann möglichst schnell ein Notbetrieb aufgebaut werden? Wie können solche Vorfälle in der Zukunft verhindert werden? Auf solche Momente und Fra-gen vorbereitet zu sein, kann Unternehmen sehr viel Geld sparen. Denn jeder Tag, an dem ein Unternehmen nicht liefern oder eine Klinik nicht ope-rieren kann – aufgrund verschlüsselter Daten oder/und stillgelegter Syste-me – kostet zum einen viel Geld oder kann Leben gefährden. „Leider wird das Thema IT- und Cybersicherheit in vielen Unternehmen immer noch unterschätzt. Das Management stellt nicht ausreichend Aufmerksamkeit und damit Ressourcen zur Verfügung“, sagt Straßer. @-yet empfiehlt hier zwei Punkte, die im besten Fall gleichzeitig genutzt werden: 1. Mitarbeitende schulen, trainieren und für die IT-Sicherheitsthematik ausbilden lassen.2. Einen professionellen Dienstleister als ständigen Berater ins Boot holen.Verordnung muss seinWomit tun sich Unternehmen seit 2018 schwer? Mit der EU-Datenschutz-verordnung. Mit einer vom Anwalt aufgesetzten Datenschutzerklärung auf der Website ist es nicht getan. Prozesse, Berichtswege und der gesetzes-konforme Umgang mit personenbezogenen Daten sind entscheidend. Daten sammeln und speichern ist dabei einfacher, als sie zu löschen: Wie schnell und gründlich werden persönliche Daten auch wieder gelöscht und wie wird das nachgewiesen? Die @-yet Expert:innen prüfen, ob Ihr Unternehmen die Vorgaben zu den geeigneten technischen und organisa-torischen Maßnahmen (TOMs) erfüllt und helfen Ihnen dabei, alle für Sie relevanten DS-GVO-Regeln einzuhalten. „Lassen Sie sich lieber von unseren Datenschützer:innen prüfen als vom Abmahnanwalt“, sagt Lucia Straßer, Managerin Datenschutz bei der @-yet. Abhängig von Unternehmensgröße oder der Art der verarbeiteten Daten verpflichtet die DS-GVO Unterneh-men dazu, eine:n Datenschutzbeauftragte:n zu stellen. Das Problem: Das ist eine der Aufgaben, bei der niemand die Hand hebt. Die Lösung: @-yet stellt Unternehmen eine:n externe:n Datenschutzbeauftragte:n mit der erforderlichen Expertise zur Seite, die:der Sie kompetent berät und unter-stützt. Damit sparen Sie Aufwände und Kosten.Unsere Leistungen Wolfgang Straßer, Geschäftsführer der @-yet GmbH, Leichlingen, und @-yet Industrial IT-Security GmbH, Aachen, ist im IT-Sektor seit fast 40 Jahren in verschiedenen Managementpositionen unterwegs und weiß um die Herausforderungen in der deutschen IT-Sicherheitslandschaft. Seit 2002 berät die von ihm in Leichlingen gegründete @-yet (über 60 Mit-arbeitende) schwerpunktmäßig und branchenübergreifend in folgenden Bereichen: Prevention: Wir kennen Ihre Schmerzen. Deshalb konzipieren wir IT-Sicherheit so, dass sie nahtlos in Ihre Strukturen passt. Continuity: Ein Unternehmen zu führen ist das eine, den Laden sicher am Laufen zu halten, das andere. Wir haben die richtigen Tools für Sie. Compliance: Rechtlich gesicherter Datenschutz. Wir schützen Ihr Unternehmen vor Angriffen und vor Abmahnanwälten. Notfallhilfe: Ruhe bewahren und @-yet rufen! Wir helfen Ihnen sofort bei allen IT-Notfällen, stellen den Betrieb wieder her und sichern Beweise. Beratung: Durchatmen! Wir verstehen Ihre Herausforderung und beraten Sie zielgenau und ergebnisorientiert.@-yet bewegt Politik und WirtschaftWir möchten die Entwicklung im IT-Sicherheitsumfeld mitgestalten und suchen daher aktiv den Dialog zur Wirtschaft und Politik. Diese Dialoge veröffentlichen wir im Rahmen unserer Podcast-Reihe „Rheingehäckt“ unter: www.at-yet.de/aktuellesHier finden Sie auch unsere Wissensdatenbank „W(h)at is IT?“, in der wir mit starkem Praxisbezug IT-Sicherheitsthemen wie Penetrationstests, IT-Forensik und vieles mehr erörtern. n

SCHWERPUNKT: PENTESTING Wie Unternehmen in Sachen Cybersecurity oft fatal falsch ticken PENETRATIONSTESTS ALS WICHTIGER BAUSTEIN BEIM AUF- BAU VON CYBERRESILIENZ Cybersecurity kostet Geld. Solange die IT-Systeme und die Infrastruktur funktionieren, fällt es oft schwer, die Mittel zu investieren, die nötig wären, um Risiken zu reduzieren und den rei- bungslosen Betrieb auch in Zukunft zu gewährleisten, das heißt: Cyberresilienz herzustellen. Wenn Unternehmen ihr Cyberrisiko systematisch unterschätzen, hat dies mit einer Reihe verschiedener Fehlannahmen zu tun, die sich allerdings bei gesamtheitlicher Betrachtung leicht ausräumen lassen. Regelmäßige Penetrationstests (kurz: Pen-Tests) spielen dabei eine entscheidende Rolle – vorausgesetzt, sie werden in angemessener Form durchgeführt. C ybersecurity in Unternehmen ist eine ungeliebte Aufgabe. Dabei haben IT-Administratoren und -Administratorinnen in vielen Fällen schon eine recht gute Vorstellung davon, woran es in ihrem Unternehmen hapert und wie die eigene IT prin- zipiell auf den Prüfstand zu stellen wäre, damit Sicherheitslücken identifiziert und abgemildert oder gar ausgemerzt werden können. Dies heißt aber noch nicht, dass das Administrationsteam beim Management mit seinen Vorschlägen auch durchdringt. Schuld sind Irrtümer, die dort sehr weit verbreitet sind. ANNAHME 1: ES TRIFFT SOWIESO NUR DIE ANDEREN. „Unser Unternehmen ist für eine Cyberattacke doch gar nicht interessant genug.“ Diese Ein- schätzung ist alles andere als selten. Die Realität sieht leider vollkommen anders aus. Statistiken sprechen davon, dass sogar 99 Prozent aller Cyberschadensfälle auf Angriffe zurückgehen, die nicht zielgerichtet waren. Anders gesagt: Die allermeisten Angriffe laufen nach dem Motto Spray-and-Pray ab. Im Gießkannenprinzip lan- 24 ITSICHERHEIT_4/2022 cieren Cyberkriminelle einen allgemeinen An- griffsversuch ohne konkretes Ziel. Dann warten sie einfach ab, bei welchen Unternehmen oder Organisationen beispielsweise die E-Mail mit dem Phishing-Link zum Erfolg führt. Leider ist bei vielen Unternehmen die Hürde für eine initi- ale Kompromittierung ihrer IT nicht hoch genug, um diesen Angriffen auf Dauer standzuhalten. Den Angreifern und Angreiferinnen spielt dies in die Karten. Zumal dann, wenn sie vor allem finanzielle Interessen haben und das Unterneh- men beispielsweise durch eine Verschlüsselung per Krypto-Trojaner beziehungsweise Ransom- ware erpressen wollen. Hier ist der Spray-and- Pray-Ansatz für Cyberkriminelle in der Regel am rentabelsten. Dies wiederum bedeutet: Jedes Unternehmen ist ein potenzielles Opfer. Politisch motivierte Angriffe grenzen sich davon deutlich ab: Hier ist der Erfolg letztlich nur eine Frage der verfügbaren Arbeitskraft, denn bei einer ideologisch begründeten Attacke spie- len monetäre Kosten-Nutzen-Abwägungen eine völlig nachrangige Rolle. In solchen Fällen kommen häufiger auch Zero-Day-Angriffe zum Einsatz, die noch nicht öffentlich bekannte Si- cherheitslücken in einer Software ausnutzen. Mit einem Zero-Day-Exploit spielt der Angreifer gleichsam einen Joker aus. Denn wenn die neue Angriffsmethode durch ihren Einsatz publik wird, ist dieser Angriffsvektor letztlich ver- brannt, weil Softwarehersteller dann entspre- chende Sicherheitsupdates ausrollen. ANNAHME 2: ANGRIFFE AUS DER SUPPLY-CHAIN SPIELEN KEINE GROSSE ROLLE. Tatsächlich nimmt die Zahl von Supply-Chain- Angriffen zu. Bei dieser Klasse von Cyberangrif- fen fungieren Softwarelösungen, Geräte oder Maschinen, die einem Unternehmen zugeliefert werden und die es für seine Geschäftstätigkeit einsetzt, als die Angriffsvektoren. So handel- te es sich bei der Log4j-Sicherheitslücke, die im Dezember 2021 bekannt wurde, um eine Zero-Day-Schwachstelle in einer Java-Protokol- lierungsbibliothek. Log4j dient dazu, Protokol- lierungsinformationen aus Software, Anwen- dungen und Hardware-Appliances zu erstellen und zu speichern. Weil Log4j aber mitunter in vielen unterschiedlichen Lösungen sehr tief Bild: ©Sergey Nivens - stock.adobe.com

verankert ist, in Tausenden Instanzen, reicht ein simpler Schwachstellenscan kaum aus, um hier alle angreifbaren Instanzen zu identifizieren. Generell ist auch Open-Source-Software nicht vor Sicherheitslücken gefeit. So gelang es bei- spielsweise einem Professor der University of Minnesota im Kontext einer Studie, Schwach- stellen in den Linuxkernel einzuschleusen. Dazu gaben er und einer seiner Studenten vor, Fehler- behebungen für die Linuxcommunity bereitzu- stellen. Ziel der umstrittenen Aktion war es, zu demonstrieren, wie angreifbar auch Open-Sour- ce-Projekte sein können. Eine Sicherheitslücke im Linux Kernel ist potenziell so gravierend, weil Linux sehr weit verbreitet ist. Es findet sich heute in Servern und Smartphones und auch in verschiedensten Embedded Devices – von Autos über Smarthomes bis zu Maschinen. Mit der zunehmenden Digitalisierung von Wirt- schaft und Lebenswelt können heute eben auch vernetzte Geräte zum Einfallstor für Cyberkri- minelle werden. So wurde etwa eine Super- marktkette gehackt, indem die Angreifer die intelligenten Kühlregale in den Geschäften als Angriffsvektor wählten. Für vernetzte Geräte im Smarthome-Bereich besteht dasselbe Risiko. Auch sie stellen potenzielle Angriffspunkte dar – ein gravierendes Reputationsrisiko für den Gerätehersteller oder -vertreiber. Im privaten wie im kommerziellen Raum ist darum ein viel bewussterer Umgang mit installierter Software und angeschafften Geräten erforderlich. Im pro- SCHWERPUNKT: PENTESTING duzierenden Gewerbe beispielswei- se, wo eine Maschine einen Lebens- zyklus von mehreren Jahrzehnten haben kann, stehen früher oder später meist nur noch mitigieren- de Maßnahmen zur Verfügung, um Sicherheitsrisiken zu reduzieren. Denn Hersteller existieren dann nicht mehr, oder sie liefern nach wenigen Jahren keine Sicherheits- patches mehr. So bleibt mitunter als einzige Option noch, die Maschine aufwendig vom restlichen Netz- werk abzuschotten und das Restri- siko zu akzeptieren. Grundsätzlich gilt: Es wäre für ein Unternehmen fahrlässig, wollte es die Verant- wortung für seine Cybersicherheit gänzlich auf die Zulieferer abwäl- zen. Bedrohungen aus der Supply Chain heraus sind real und heute alltäglich. Unternehmen benötigen deshalb nicht nur ein entsprechendes Risikobewusstsein, sondern auch Experten und Expertinnen, die sie dabei unterstützen, eine ef- fektive Cyberresilienz zu etablieren. ANNAHME 3: UNSERE MIT- ARBEITENDEN HABEN SCHON GENÜGEND SICHERHEITS- BEWUSSTSEIN. Noch viel zu oft stellt ein unbedachtes Verhal- ten der Mitarbeiter und Mitarbeiterinnen für Cyberkriminelle ein bequemes Einfallstor ins Unternehmen dar. Ein entsprechendes Risiko- bewusstsein zu schaffen und wachzuhalten, ist ein Baustein für Cybersicherheit, dessen Bedeutung ein Unterneh- men nie unterschätzen sollte. Nur wenn ihnen die Gefahr bewusst ist, werden es die Beschäftigten konsequent vermeiden, beispiels- weise Passwörter über das Telefon weiterzugeben oder unbedacht auf einen dubiosen Link in einer E-Mail zu klicken. Manchmal ist das Gefah- renpotenzial auch eine unmittelba- re Konsequenz der täglichen Arbeit. Mitarbeiter und Mitarbeiterinnen in der Personalabteilung etwa öffnen beinahe täglich Bewerbungen, ohne wissen zu können, ob der digitale Lebenslauf Schadcode enthält oder nicht. Mit Rechnungs-PDFs im Mail- Eingang der Buchhaltung verhält es sich genauso. Darum braucht es im ITSICHERHEIT_4/2022 25

SCHWERPUNKT: PENTESTING Unternehmen natürlich technische Maßnahmen gegen solche Angriffe. Aber ebenso wichtig ist es, die Wahrscheinlich- keit erfolgreicher Phishing-Versuche zu verrin- gern, indem ein Bewusstsein für die Gefahren von Social-Engineering-Angriffen ganz allgemein geschaffen wird. Social Engineering bedeutet, dass die Angreifenden Täuschung anwenden, um unautorisiert Daten oder Zugriff zu bekommen. Dabei werden Methoden der Humanpsychologie dazu missbraucht, Mitarbeiter oder Mitarbeite- rinnen zu manipulieren und sie zur Übermittlung von Informationen oder zu bestimmten Hand- lungen zu bewegen – wie etwa den fatalen Klick auf den Link in der Phishing-E-Mail oder die Nen- nung des Passworts gegenüber vermeintlichen Support-Mitarbeitenden am Telefon. ANNAHME 4: DER UMFANG DIESER SICHERHEITSPRÜFUNG WIRD SCHON AUSREICHEN. Die Cybersicherheit im Unternehmen durch Pe- netrationstests auf die Probe zu stellen, ist ein wichtiger Baustein im Aufbau der Cyberresilienz. Wählt man dabei allerdings den Umfang des Pen-Tests zu klein, ist wenig gewonnen, denn so entsteht ein vermeintliches Gefühl von Si- cherheit. Ein typisches Beispiel ist der Ausschluss bestimmter Systeme, etwa solcher, die am Ende ihres Lebenszyklus stehen, weil sie ja – so heißt es dann – sowieso bald abgeschaltet oder er- setzt werden. Solange sie noch nicht abgeschal- tet sind, bieten aber gerade diese Altsysteme oft den verführerischsten Angriffsvektor. Ein anderes Beispiel: Auf dem Server, der eine zu prüfende Webanwendung betreibt, läuft eben auch noch ein FTP-Dienst, der die vollständige Kompromittierung des Servers ermöglicht – aber alle Dienste außer der Webanwendung sind von der Prüfung ausgeschlossen. Ebenso kommt es vor, dass beispielsweise ein Finanzinstitut den Umfang seiner Prüfung nur so groß wählt, wie es regulatorisch vorgeschrieben und offiziell erforderlich ist. Auch hier wäre das Resultat eine trügerische Scheinsicherheit. Wenn Pen-Tests wirklich aussagefähig werden sollen, dürfen sie sich nicht nur auf einen Aus- schnitt der Unternehmens-IT richten. Vielmehr müssen sie holistisch angelegt sein. Denn das Ziel eines Pen-Tests ist es nicht, dem Manage- ment ein positives Gefühl in Sachen Cybersicher- heit zu vermitteln – er soll wirkliche Sicher- heitslücken und potenzielle Angriffsvektoren 26 ITSICHERHEIT_4/2022 identifizieren, damit diese behoben werden können, bevor sie von kriminellen Angreifern ausgenutzt werden. ANNAHME 5: PENETRATIONS- TESTS KANN DIE IT-ABTEILUNG NEBENHER ÜBERNEHMEN. Pen-Tests können in den meisten Unterneh- men keine Inhouse-Aufgabe sein. Denn IT- Administratoren haben vor allem eines zu tun: Sie müssen dafür sorgen, dass die Systeme im Unternehmen zuverlässig laufen. In der Regel ist das Administrationsteam mit seinen operativen Aufgaben bereits voll ausgelastet und nicht sel- ten überlastet. Zudem verlangen Penetrations- tests ein hoch spezialisiertes und hochaktuelles Fachwissen, über das die eigene IT-Abteilung in der Regel nicht verfügen kann. Das Manage- ment muss verstehen, dass ein Pen-Test nichts ist, was sich einfach nebenher erledigen ließe. Gleichzeitig müssen sich die Mitarbeiter und Mitarbeiterinnen der internen IT klarmachen, dass es bei einer Sicherheitsprüfung nie darum geht, ihre eigene Arbeit in Sachen Cybersecurity zu diskreditieren, sondern zu stärken. Ein aussa- gefähiger Penetrations-Test wäre mit Inhouse- Ressourcen nicht durchführbar, weil Know-how und Zeit dafür fehlen. Anders sieht dies nur aus, wenn das Unternehmen groß genug ist, um sich ein eigenes, dediziertes Red-Team – die Angrei- fer – für mehr oder minder kontinuierliche Pen- Tests zu leisten. Diesem Red-Team steht dann ein dediziertes Blue-Team mit den Verteidigern gegenüber. Aber sogar ein eigenes Red-Team kann mitunter sehr von externer Unterstützung durch Ethical Hacker profitieren. ANNAHME 6: UNSERE BACK- UPS RETTEN UNS IM NOTFALL. Vor etwas mehr als fünf Jahren mag diese Aus- sage vielleicht noch zutreffend gewesen sein. Heute ist sie das nicht mehr ohne Weiteres. Schadsoftware hat sich in den letzten Jahren massiv weiterentwickelt. Krypto-Trojaner, die Unternehmensdaten zu Erpressungszwecken verschlüsseln, tun dies heute nicht mehr unver- züglich. Es gibt inzwischen Ransomware, die sich zuerst in den Backups eines Unternehmens einnistet und diese nach und nach zerstört. Erst Monate später, wenn das Backup unbrauchbar geworden ist, macht sich der Krypto-Trojaner dann daran, die Daten des Unternehmens zu verschlüsseln – und die eigentliche Erpressung beginnt. Darum ist es heute wichtig, Backups erstens mit geeigneten Schutzkonzepten vor Mal ware zu sichern und sie zweitens regelmäßig zu prüfen. Nur auf ein unbeschadetes Backup ist im Notfall Verlass. Unternehmen sollten darum ihre Disaster Recovery regelmäßig testen, üben und ausprobieren. Und wenn ein Unternehmen sein Backup aus Sicherheitsgründen verschlüs- selt: Auch dieser Backup-Schlüssel selbst ist ein möglicher Angriffspunkt, denn Cyberkriminelle können natürlich auch den Backup-Schlüssel des Unternehmens verschlüsseln. Das Backup wäre dann wiederum unbrauchbar, und der Erpres- sungsversuch durch die Verschlüsselung der Unternehmensdaten könnte beginnen. Darum ist es wichtig, dass Unternehmen ihre Krypto- Schlüssel für das Backup offline aufbewahren und auch ihr Notfalltraining in Sachen Disaster Recovery offline dokumentieren. FAZIT Die Gefahr von Cyberangriffen hat nicht abge- nommen, im Gegenteil. Wollte ein Unternehmen aus einer glimpflich verlaufenen Vergangenheit schließen, dass es auch in Zukunft vor Cyber- kriminalität sicher ist, wäre dies vielleicht die gravierendste Fehlannahme von allen. Operative Zuverlässigkeit lässt sich in der IT nur herstellen, wenn ein Unternehmen seine Cyberresilienz mit geeigneten, holistischen Konzepten und Maß- nahmen etabliert, aufrechterhält und weiterent- wickelt. Sich damit auseinanderzusetzen, lohnt die Mühe in jedem Fall, denn der finanzielle Schaden wiegt im Ernstfall um ein Vielfaches schwerer als das vorausschauende Investment in die Cybersicherheit. Wie in der Medizin gilt auch in Sachen Cybersecurity: Vorbeugen ist bes- ser als heilen. n MICHAEL NIEWÖHNER und DANIEL QUERZOLA, beide Manager und Penetration- tester bei Ventum Consulting in München

– ADVERTORIAL – CCVOSSEL GmbH – WE KNOW IT CCVOSSEL steht seit über 25 Jahren für professionelle ITDienstleistungen Von Penetrationstests über die Umsetzung von AwarenessMaßnahmen, Principle of LeastPrivilege im Active Directory bis zu 24/7 Secure Operations sind wir ihr starker Partner. F ür den erfolgreichen Schritt in die Digitalisierung ist Informations- sicherheit ein essenzieller Baustein. Nur durch die Etablierung von mehrstufigen technischen sowie organisatorischen Sicherheits- maßnahmen können sensible Unternehmensdaten adäquat abgesichert werden. Ursachen von digitaler Erpressung, Wirtschaftsspionage, Datenab- fluss sowie -manipulation sind häufig Schwachstellen in IT-Infrastrukturen und im Mitarbeiterbewusstsein. Darum setzen wir genau hier an – bei der Analyse von Schwachstellen und der Umsetzung von konkreten Sicherheits- maßnahmen auf der Basis von standardisierten Konzepten und Lösungen nach DIN ISO 27001, BSI IT-Grundschutz und VdS 10000. IT-Sicherheitsaudit – Schwerpunkt PenTesting Sind Sie gewappnet? Laut BKA hat sich die Zahl der Cyberstraftaten seit 2015 mehr als verdoppelt und steigt immer weiter an. Dabei wird eine stetige Professionalisierung der Täter verzeichnet, und Verbrechen im Netz werden als Dienstleistung („Crime-as-a-Service“) angeboten. Bereits im Herbst 2021 hat das BSI in Tei- len eine „Alarmstufe Rot“ ausrufen müssen. Die Frage stellt sich heute deshalb nicht mehr, „ob“ man Opfer eines Cybe- rangriffs wird, sondern „wann“. Die Frage ist also: Wie gut ist Ihr Unterneh- men gegen Hackerangriffe gewappnet? Eine bewährte Vorgehensweise, um das Angriffspotenzial auf Ihre gesamte IT-Infrastruktur, ein einzelnes IT-System oder eine (Web-)Anwendung fest- zustellen, ist ein regelmäßig durchgeführter Penetrationstest. Durch unsere OSCP-(Offensive-Security-Certified-Professional-)zertifizier- ten Pentester werden Ihre bisherigen Sicherheitsmaßnahmen in einem Black-, Grey- oder Whitebox-PenTest auf Herz und Nieren geprüft. Genau wie ein Hacker versuchen die Pentester in enger Abstimmung mit Ihrer IT die entdeckten Schwachstellen aktiv auszunutzen, um das tatsächliche Ausmaß eines Angriffsvektors aufzudecken. Im Ergebnisbericht werden diese in einem Proof-of-Concept dokumentiert, kategorisiert und priori- siert. Sie erhalten eine To-do-Liste mit Hinweisen und Ratschlägen zur Be- seitigung der Schwachstellen. Was prüfen wir? Unser PenTest besteht aus zwei Bereichen: dem externen und dem internen Penetrationstest. Während eines externen Pentests versuchen wir in das interne Netzwerk einzudringen, indem Schwachstellen ausgenutzt wer- den, die an den externen Schnittstellen entdeckt wurden. Ein Angriff von innen hat jedoch das Potenzial einen weitaus größeren Schaden anzurichten, da sich der Angreifer bereits im Netzwerk der Organi- sation befindet. Hierfür kommt der interne Penetrationstest zum Einsatz. Es werden Schwachstellen, Fehlkonfigurationen im Active Directory, Passwör- ter, Netzwerkkonfigurationen und interne Überwachungskontrollen ganz- heitlich getestet. Das Ziel ist es festzustellen, was ein Angreifer, der intern Zugang zu Ihrem Netzwerk hat, erreichen könnte und welche Folgen solch ein Angriff haben könnte. Spezielle PenTests, zum Beispiel für Homeoffice- Arbeitsplätze, sind aktuell auch sehr hilfreich. PenTest erfolgt – Was nun? In einem Abschlussgespräch wird der gesamte Abschlussbericht bespro- chen. Das Ziel ist es, alle Fragen der IT zu beantworten und die Behebung aller Schwachstellen in der richtigen Reihenfolge zu beginnen. Gern unterstützen wir Sie auch bei der Behebung der gefundenen Schwachstellen. n Ansprechpartnerin: Anastasia Stanton-Key Tel.: +49 30 60 98 409 59 vertrieb@ccvossel.de https://ccvossel.de/ ITSICHERHEIT_4/2022 27

SCHWERPUNKT: PENTESTING Formen und Vorgehensweisen bei Penetrationstests DER IT AUF DEN ZAHN FÜHLEN Bei externen Penetrationstests nehmen Experten die im Internet exponierte IT-Infrastruktur unter die Lupe, suchen nach Lücken und möglichen Einfallstoren – ohne beim Unternehmen vor Ort zu sein. In einer vorgelagerten Informations- beschaffungsphase (Reconnaissance) werden öffentlich verfügbare Informationen über das Unternehmen und seine IT-Infrastruktur im Rah- men von Blackbox-Tests ermittelt. Dies stellt das übliche Vorgehen der Angreifer nach, bei dem zunächst passiv und aus öffentlichen Quellen möglichst viele Informationen über das Ziel ge- sammelt werden. Hierzu gehören zum Beispiel 28 ITSICHERHEIT_4/2022 IP-Adressbereiche, DNS-Einträge, E-Mail-Adres- sen, Technologie-Informationen und Metadaten aus Dokumenten. Sind die Erkenntnisse gesich- tet und finale Zielsysteme für die weiterfüh- rende und tiefe, aktive Überprüfung festgelegt, werden die Tests in Form von Greybox-Tests fortgeführt. Es folgt ein umfassender Penetrati- onstest auf alle relevanten Systeme und Dienste der über das Internet erreichbaren IT-Infrastruk- tur, um Optimierungspotenziale und Schwach- stellen zu identifizieren sowie behebende Maß- nahmen zu empfehlen. Hierbei können auch Informationen wie Zugangsdaten bereitgestellt werden, um beispielsweise Angriffsszenarien mit den Berechtigungen von Bestandskunden oder Mitarbeitenden nachzustellen. FALLSTRICKE ODER ZU WENIG KNOWHOW? Systeme, die aus dem Internet erreichbar sind, werden häufig nicht gut genug abgesichert. Nicht alle Applikationen sind von Haus aus si- cher, sondern müssen durch Veränderungen an der Konfiguration separat abgesichert wer- den. Meist fehlen Logging-, Monitoring- und Alerting-Strategien für die Systeme, die aus dem Internet erreichbar sind. Daher bekommen viele Zurzeit spüren Unternehmen vor allem im Mittelstand schmerzlich die Auswirkung eines über Jahre aufgebauten Schuldenberges im Bereich der Cybersicherheit. Durch falsche Fokussierung oder generellen Mangel an Investitionen in diesem Sektor werden viele Unternehmen kompromittiert und haben kaum eine Chance, Angriffe zu erkennen und auf diese zu reagieren. Hier ist Handeln angesagt. Und zwar als fortlaufender Prozess – bei weitem nicht nur, aber auch zum Beispiel in Form von Penetrationstests.Bild: ©Cristian - stock.adobe.com

Firmen nicht mit, dass sie angegriffen oder ihre Systeme übernommen werden – und können dementsprechend auch nicht reagieren. Auch werden Features wie Multi-Faktor-Authen- tifizierung nicht genutzt oder die öffentliche Benutzer-Registrierung nicht deaktiviert. Zudem entwickeln einige Unternehmen ihre Websites oder Applikationen selbst, anstatt professio- nelle Dienstleister zu beauftragen. Die internen Entwickler sind dann häufig nicht ausreichend im Bereich der IT-Sicherheit geschult und bauen unwissentlich Sicherheitslücken ein, die für An- greifer einfach zu entdecken sind. Da immer neue Sicherheitslücken aufgedeckt werden, braucht es regelmäßige Sicherheits- überprüfungen, um die neuen Erkenntnisse bei dem Betrieb der eigenen Plattform einfließen zu lassen. Oftmals werden diese externen Über- prüfungen durch erfahrenes Personal jedoch nur einmalig mit der Annahme durchgeführt, dass die Überprüfung für jahrelange Sicherheit sorgt. Systeme und Applikationen werden lange, teilweise über Jahre nicht aktualisiert. Sicher- heitslücken werden nicht behoben, wodurch die Systeme anfällig für Angriffe werden. Gerade bei schwerwiegenden Sicherheitslücken, nach de- nen von Angreifer-Gruppen aktiv gescannt wird, muss schnell gehandelt werden. Häufig lesen IT-Admins jedoch keine IT-Sicherheitsnews und bekommen gar nicht mit, dass ihre Systeme an- greifbar sein könnten. verschiedenste Wege zu schaden. Verschlüs- selung der Dateien und die Veröffentlichung sensitiver Daten sind nur die offensichtlichsten und bekanntesten Methoden. Aus diesem Grund werden interne Penetrationstests durchgeführt, um Angreifern zuvorzukommen und sich so vor ihnen zu schützen, dass selbst im Fall eines erfolgreichen Eindringens in das Unternehmen durch strikte Zonierung und Einschränkung der Berechtigungen nur begrenzter Schaden ange- richtet werden kann. Bei der Durchführung eines internen Penetra- tionstests wird den Testern ein Zugang zum lokalen Netzwerk des Unternehmens gestattet. Dieser erfolgt meist vor Ort oder – seit Corona – durch einen VPN-Zugang mit Verbindung zu einer der Netzwerkzonen, mit denen die PCs von Mitarbeitenden verbunden sind. Durch den direkten Einblick in die interne Netzwerkinfra- struktur spüren die Tester Schwachstellen auf und dokumentieren diese in einem eigens dafür angelegten Ergebnisbericht. Jede Schwachstel- le wird auf ihre Kritikalität hin eingeschätzt und mit einer Einstufung versehen. Mithilfe dieser Einstufung lassen sich die Schwachstellen später priorisieren und in angemessener Zeit beheben. Abgeschlossen wird das Assessment durch eine Präsentation oder einen Workshop, in dem die gefundenen Schwachstellen erläutert werden und Rückfragen aus der Geschäftsleitung und aus der IT beantwortet werden können. INTERNER PENETRATIONSTEST BALD GESETZLICH VOR GESCHRIEBEN? Interne Penetrationstests ergänzen Penetrati- onstests auf die öffentlich im Internet exponier- te Infrastruktur (externer Penetrationstest) um den lokalen Aspekt. Zwar sind Unternehmen inzwischen besser in der Lage, sich vor Angriffen zu schützen – an vielen Stellen fehlt allerdings weiterhin der Fokus auf die interne IT-Sicherheit respektive auf die IT-Sicherheit vor Ort. Es gibt unzählige Möglichkeiten, in das lokale Netzwerk von Unternehmen einzudringen. Social Engi- neering – im Besonderen das Phishing – und im Internet veröffentlichte Exploits werden regel- mäßig genutzt, um in die Netze der Unterneh- men einzudringen. Angreifer finden nach der erfolgreichen Übernahme des ersten internen Systems oft flache Netzwerke ohne strikte Segmentierung und teils katastrophal veraltete Software vor. Unter solchen Voraussetzungen ist es für Hacker leicht, weite Teile der Infrastruk- tur zu übernehmen und dem Unternehmen auf Die Legalität von Penetrationstests ist nur dann gegeben, wenn beide Parteien eine Vereinba- rung getroffen haben. Ansonsten erfüllen sie möglicherweise einen Straftatbestand. Es gibt zwar (noch) keine direkte Pflicht für Penetra- tions tests, diese lässt sich aber aus einigen Gesetzen/Verordnungen indirekt ableiten. Die DS-GVO etwa regelt in Art. 32 Abs. 1 b), dass der Verantwortliche die Fähigkeit, Verfügbarkeit, In- tegrität, Vertraulichkeit und Belastbarkeit seiner Systeme und Dienste, die im Zusammenhang mit der Verarbeitung von personenbezogenen Daten stehen, sicherzustellen hat. Dies kann er nach derzeitigem Wissenstand insbesondere durch regelmäßige Penetrationstests erfüllen. Wegen der Ambitionen der aktuellen Bun- desregierung ist zu erwarten, dass im Bereich IT-Sicherheit die Anforderungen an Behörden und auch Unternehmen noch viel spezifischer werden. Penetrationstests könnten rechtlich SCHWERPUNKT: PENTESTING verpflichtend werden. Verschiedene kundige Bundes- und Landesbehörden führen Penetrati- onstests durch, vor allem das BSI (Bundesamt für Sicherheit in der Informationstechnik). Das BSI hat auch einen Praxisleitfaden: IT-Sicherheits- Penetrationstest erstellt, in dem Penetrations- tests für Durchführende erklärt werden.[1] FAZIT Alle Geschäftseinheiten, die mit dem Internet verzahnt sind, sind automatisch sofort angreif- bar. Der externe Penetrationstest ist daher be- sonders wichtig, um das Bedrohungspotenzial von Angriffen von außen zu identifizieren, prä- ventive Maßnahmen zu treffen und so sein Ge- schäft zu schützen. Der interne Penetrationstest ist dabei allerdings nur ein wichtiger Baustein von vielen. Interne Penetrationstests verschaf- fen Unternehmen einen guten Überblick über ihre IT- und Netzwerksysteme in puncto Sicher- heit. Werden alle notwendigen Prozesse, wie zum Beispiel das Patch-Management, konse- quent eingehalten? Wie leicht wird es potenziel- len Angreifern gemacht? Der interne Penetrati- onstest ist daher aus CEO-Sicht noch wichtiger als die externe Variante. Unterm Strich sollten Penetrationstests regelmäßig und mit entspre- chend geschultem Personal zur Schwachstellen- beseitigung durchgeführt werden. Ist das nötige Know-how dafür intern nicht vorhanden, kann ein Dienstleister mit entsprechender Erfahrung helfen und die Mitarbeitenden für zukünftige IT- Sicherheitsthemen schulen. n Quellen [1] https://www.bsi.bund.de/SharedDocs/Downloads/DE/ BSI/Sicherheitsberatung/Pentest_Webcheck/Leitfaden_ Penetrationstest.pdf?__blob=publicationFile&v=3 WOLFGANG STRASSER, Geschäftsführer @-yet ITSICHERHEIT_4/2022 29

– ADVERTORIAL – Methoden zur Schwachstellenidentifikation: DIESE LÖSUNGEN DECKEN SICHERHEITS LÜCKEN AUF Mit Vulnerability Scans, Pentesting und Red Teaming können Schwachstellen in Netzwerken identifiziert werden. Die r-tec IT Security GmbH unterstützt Unternehmen bei der Auswahl der passenden Lösung. Nach der Implementierung umfassender IT-Security-Lösun- gen stellt sich in Unternehmen meist ein beruhigendes Sicherheitsempfinden ein. Doch dieses Gefühl trügt: Da Cyberkriminelle zunehmend komplexere Angriffsmuster entwickeln, ent- stehen immer wieder neue Bedrohungen und Sicherheitslücken, die von klassischen Sicherheitssystemen nicht erkannt werden können. Zudem kommt es vor, dass ergriffene Maßnahmen nicht optimal auf die individu- ellen Anforderungen der jeweiligen Umgebung abgestimmt sind. Dadurch entstehen ebenfalls Schwachstellen, die oft unbemerkt bleiben. „Hundertprozentige Sicherheit gibt es in der Cyberwelt nicht“, warnt Dr. Stefan Rummenhöller, der vor 25 Jahren die r-tec IT Security GmbH grün- dete. Das Team des Wuppertaler Unternehmens ist darauf spezialisiert, Geschäftskunden vor Cyberrisiken zu schützen und geeignete Sicherheits- Dr. Stefan Rummenhöller 30 ITSICHERHEIT_4/2022 standards in IT-Umgebungen aufzubauen. „Selbst der Einsatz qualitativ hochwertiger Security-Produkte garantiert nicht zwangsläufig das Errei-chen des angestrebten Sicherheitsniveaus. Aus diesem Grund sollten Sys-teme regelmäßig auf ihre Wirksamkeit und Umgebungen auf vorhandene Schwachstellen hin überprüft werden.“Breit angelegte oder tiefgehende Schwach-stellensuche?Für die Bewältigung dieser Aufgabe stehen mit Vulnerability Scans, Pene-trationstests und Red Teaming gleich drei Methoden zur Verfügung. Diese unterscheiden sich durch verschiedene Vorgehensweisen und die Größe ihrer Einsatzgebiete. Welche Aufgabenbandbreite abgedeckt wird, lässt sich anhand eines von r-tec entwickelten Sicherheitsframeworks aufzei-gen: Der an den NIST-Standard angelehnte Leitfaden besagt, dass Maß-nahmen zur Identifikation von Schwachstellen und Bedrohungen (Iden-tify), zum Schutz vor Angriffen (Protect), zur fortlaufenden Überwachung von Systemen (Detect), zur Reaktion auf Angriffe (Respond) und zum Be-trieb eines Informationssicherheitsmanagements (Manage) durchgeführt werden müssen, um das höchstmögliche Sicherheitsniveau zu erreichen.Vor der Wahl einer geeigneten Methode muss zunächst analysiert wer-den, welche dieser Bereiche überprüft werden sollen. Das heißt, Un-ternehmer müssen entscheiden, ob sie eine breit angelegte oder eine tiefgehende Analyse benötigen.Automatisiert arbeitendes Vulnerability AssessmentBeim Vulnerability Assessment wird in mehreren Systemen nach Schwachstellen, Fehlkonfigurationen und veralteten Software-Versi-onen gesucht. „Da es sich um einen automatisierten Schwachstellen-Bild: christopher burns/unsplash

– ADVERTORIAL – Weitere Informationen finden Sie im Internet unter www.rtec.net. ITSICHERHEIT_4/2022 31 Mithilfe von Penetrationstests können darüber hinaus Blue Teams ge-testet werden, die in Security Operations Centern (SOC) und Computer Emergency Response Teams (CERT) zum Einsatz kommen (Detect).„Die Pentest-Analyse ist im Vergleich zum Vulnerability Assessment zwar tiefgehender, wegen des höheren Aufwandes allerdings auch auf eine kleinere Anzahl von Systemen begrenzt“, erläutert Rummenhöller. „Dennoch erlangen unsere r-tec-Spezialisten bei über 90 Prozent unserer durchgeführten Kunden-Pentests die volle Kontrolle über das gesamte Unternehmensnetzwerk.“Mit Red Teaming Blue Teams auf die Probe stellenEine weitere Herangehensweise stellt das Red Teaming dar, das die Ef-fektivität von Mitarbeitern, Prozessen und genutzten Technologien eines Blue Teams überprüft. Bei dieser Methode werden verschiedene Szena-rien echter Angreifer ohne Vorankündigung simuliert, um Blue Teams auf mögliche reale Angriffe vorzubereiten. Das Red Team versucht dann mithilfe verschiedener Angriffsmethoden Zugriff auf bestimmte Daten, Systeme oder Netzwerke zu erlangen. So findet es Sicherheitslücken (Identify) und nutzt diese aus. Anschließend präsentiert es seine Ergebnis-se sowie passende Maßnahmen zur Schwachstellenbehebung (Protect).Primär verfolgt das Red Teaming drei zentrale Ziele: Das Training des Blue Teams (Detect), die Verbesserung der Angriffserkennung (Respond) sowie die Optimierung der dahinterstehenden Prozesse und Technolo-gien (Manage).r-tec deckt gesamte Analysebandbreite abFalls Unklarheit darüber besteht, welche Methode die richtige ist, kann das r-tec-Team Hilfestellung leisten. Die IT-Security-Spezialisten verfügen über jahrzehntelange Erfahrung im Bereich der Angriffsidentifizierung und bieten die gesamte Analysebandbreite an. Ein Schwerpunkt liegt hierbei auf tiefgehenden Prüfungen wie Pentesting oder Red Teaming. Mit geballtem Know-how kann das r-tec-Team die Perspektive von An-greifern einnehmen und realistische Angriffsszenarien mit authentischen Tätermotiven durchführen.„Unsere Spezialisten finden nahezu jede Sicherheitslücke“, sagt Stefan Rummenhöller. „Schließlich können wir mit unserer Erfahrung, praxis-nahen Erkenntnissen und tiefgreifendem Fachwissen Systeme ausführ-lich analysieren. Auf diese Weise gelingt es uns, umfassende Prüfungen durchzuführen und selbst schwer erkennbare Schwachstellen zu identi-fizieren.“ nScan handelt, geht diese Untersuchung technisch nicht in die Tiefe“, sagt Rummenhöller. „Das heißt, beim Vulnerability Assessment wird eine breit angelegte Analyse durchgeführt, die sämtliche Systeme un-tersucht.“ Das einzige Ziel besteht darin, Schwachstellen aufzudecken (Identify) und zu beheben (Protect). Die Effizienz der Angriffserken-nung (Detect), die Verteidigung gegen Cyberattacken (Respond) sowie die Prüfung von Prozessen (Manage) werden jedoch nicht abgedeckt.„Das Vulnerability Assessment verursacht im Vergleich zu den anderen Analysemethoden nur wenig Aufwand. Gleichzeitig bekommt das be-treffende Unternehmen einen guten Überblick über die allgemeine Lage seines Patch- und Update-Management-Prozesses sowie über mögliche Konfigurationsfehler.“Um nach einem Fund schnell reagieren zu können, hat r-tec das Vulnera-bility Assessment in einen Vulnerability Management Service integriert. „Nach dem Scan übernehmen wir das Reporting, geben einen Überblick über alle relevanten Schwachstellen und liefern nach Priorität sortierte Maßnahmenempfehlungen.“Technisch tiefgehende PenetrationstestsIm Gegensatz zum Vulnerability Assessment erweist sich ein Penetra-tions test als deutlich tiefere Analyse. Pentester decken ebenfalls Schwach stellen und Fehlkonfigurationen auf (Identify). Da sie hierbei aber manuelle Überprüfungen durchführen, können sie deutlich mehr Schwachstellen auf Netzwerk-, Dienst- und Anwendungsebenen finden. So lassen sich unter anderem auch Sicherheitslücken aufdecken, die logi-scher Natur sind und von einem automatisierten Scanner rein technisch nicht erfasst werden können. Zudem erhalten die Kunden Maßnahmen-empfehlungen zur Behebung der entdeckten Schwachstellen (Protect). Anders als beim Vulnerability Assessment werden alle aufgefundenen Sicherheitslücken außerdem auf Ausnutzbarkeit hin untersucht.

DATENSCHUTZ | BACKUP | ARCHIVIERUNG „Real-Time Bidding“ – das große Business hinter den Kulissen WARUM DATENSCHUTZ BEI GMAIL & CO. EIN FREMDWORT IST A ls eines der größten RTB-Un- ternehmen sieht sich Google derzeit mit einer Sammelklage im Vereinigten Königreich konfrontiert, weil es angeblich vertrauliche medizinische Daten von 1,6 Millionen Personen ohne deren Zustimmung oder Wissen verwendet hat. Ein aktueller Bericht des Irish Council for Civil Liberties (ICCL) erklärt, dass die Daten eines durchschnittlichen europä- ischen Nutzers 376 Mal pro Tag über RTB weiter- gegeben werden. Wenn Nutzer Websites oder Apps besuchen, die Werbeplätze versteigern, werden ihre Profildaten an ein riesiges Netz von Werbetreibenden gesendet, die ihre persönli- chen Interessen und Vorlieben, einschließlich Rasse, Religion, sexuelle Vorlieben und mehr, offenlegen. Der ICCL führt derzeit einen Rechts- streit mit der Datenschutzkommission und argu- mentiert, dass niemand jemals ausdrücklich in diese Praxis eingewilligt habe. RTB stützt sich auf die „Schattenprofile“, die Google und andere Unternehmen durch das Sammeln von Daten über Nutzer und ihre In- teressen erstellen – und einer der wichtigsten Wege, auf dem sie diese Daten sammeln, ist 32 ITSICHERHEIT_4/2022 Gmail. Google hat sogar zugegeben, die Google Mail-Nachrichten seiner Nutzer zu scannen, um eine Liste ihrer Einkäufe zu erstellen. All die ver- traulichen finanziellen, medizinischen und ande- ren persönlichen Daten, die Gmail-Nutzer jemals per E-Mail ausgetauscht haben, werden von Googles KI gescannt, um ein „Schattenprofil“ zu erstellen, das oft über RTB weiterverkauft wird. Eine der wichtigsten Möglichkeiten, die Menge der von Google und anderen Unternehmen ge- sammelten Daten einzuschränken, besteht also darin, von Google Mail zu einem überwachungs- freien E-Mail-Anbieter wie Open Web Systems zu wechseln. Open Web Systems ist eine Kooperation zwi- schen The Open Co-op und Collective Tools und wird von seinen Mitgliedern als Genossenschaft verwaltet. Basis ist ein transparentes, vollstän- dig quelloffenes Community-Entwicklungsmo- dell, das frei von Sperren, Paywalls, Werbung und verdeckter Überwachung ist. Das Unter- nehmen positioniert sich als eine private Alter- native zu den „kostenlosen“ E-Mail-Diensten mit militärischer Sicherheit und End-to-End- Verschlüsselung. Oliver Sylvester-Bradley, der Gründer von Open Web Systems, erklärt: „Mit RTB verdient Google den größten Teil seines Geldes – indem es Ihre persönlichen Daten zu Geld macht. Sie manipulieren ihre Nutzer systematisch und täglich – so funktioniert ihr Geschäft. Wenn Ihnen Ihre Privatsphäre wich- tig ist und Sie Hacks, Datenschutzverletzungen und andere unerwartete Verwendungen Ihrer Daten vermeiden wollen, besteht die nahelie- gende Lösung darin, zu einem kostenpflichtigen E-Mail-Dienst zu wechseln.“ Open Web Systems bietet seinen Nutzern Datei- speicher, Kontakte, Kalender, Notizen, Karten und Aufgaben für das Projektmanagement – alles über einen überwachungsfreien Dienst, der nach eigenen Aussagen mit erneuerbarer Ener- gie betrieben wird. S.M. Der Beitrag stammt aus einem Text von Open Systems. Er wurde von der Redaktion übersetzt und bearbeitet. Die Daten eines durchschnittlichen europäischen Internetnutzers werden 376 Mal pro Tag weitergegeben. Real-Time Bidding (RTB) ist eine über 117 Milliarden Dollar schwere Industrie, die hinter den Kulissen von Websites und Apps arbeitet. Sie ver-folgt, was User sich ansehen, einschließlich privater oder sensibler Informationen, und zeichnet auf, wohin die Daten gehen. Jeden Tag werden diese Daten an eine Vielzahl von Unternehmen weitergegeben, damit diese ein Profil erstellen können.Bild: ©metamorworks - stock.adobe.com

EDITORIAL Stefan Mutschler 34 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE Cybersicherheit von Fahrzeugen noch im FrühstadiumJe intelligenter und kommunikationsfreudiger Fahrzeuge werden, desto größer wird auch die Angriffsﬂäche für Cyberkriminelle. Schon heute sind Fahrzeuge im Grunde Computer auf Rädern – neben dem Hauptmotor mit bis zu 200 zusätzlichen Klein-motoren ausgestattet, die über ein zentrales Steuersystem und ein beträchtliches internes Netzwerk im Auto gesteuert werden. Kommen nun noch all die Technologien für selbstfahrende Fahrzeuge hinzu, wird das Auto in gewisser Weise sogar ein eigenes kleines, wenn auch sehr spezialisiertes Rechenzentrum. Manipulationen an der internen und externen Kommunikation könnten zu Störungen oder sogar Fehl-funktionen führen. Da Fahrzeuge nun mal auch Menschen transportieren, müssten sie die höchsten Standards erfüllen, die im IT-Bereich überhaupt möglich sind. Davon ist die Auto mo-bilbranche derzeit noch weit entfernt. Erst kürzlich warnte beispiels weise Volexity vor einer kritischen Sicherheitslücke auf einer bei vielen Herstellern eingesetzten Platt-form. Hacker könnten sich diese Schwachstelle zunutze machen, um unautorisierten Programmiercode auf den betroffenen Servern oder Rechenzentren auszuführen. Im schlimmsten Fall könnte diese (inzwischen geschlossene) Schwachstelle die Sicherheit künftiger Fahrzeugmodelle gefährden – angesichts der komplexen Liefer ketten in der Automatisierungsbranche ein absoluter Worst Case. Auch eine Schwachstelle im Pro-tokoll des Fahrzeugnetzwerks wurde kürzlich entdeckt (CANCAN). Und auch durch sie war die Sicherheit in nahezu allen modernen Fahrzeugen ernsthaft bedroht.UN und EU unternehmen große Anstrengungen, die Cybersicherheit von Fahrzeugen nachhaltig zu verbessern: So ist beispielsweise ohne Nachweis der Umsetzung der UNECE-Regelungen UN-R 155 und UN-R 156 seit Juli 2022 keine Typzulassung von neuen Fahrzeugen in den 64 UNECE-Mitgliedstaaten mehr möglich. Darunter fallen neben ganz Europa auch andere wichtige Märkte wie Japan, Australien, Südkorea oder Südafrika. Gleiches gilt für ältere Fahrzeugarchitekturen ab Juli 2024. Diese Regelungen sind sicher ein wichtiger Schritt, aber gerade mit dem Einzug künstlicher Intelligenz ins Automobil werden die Schrauben für die Cybersicherheit noch deutlich umfassender angezogen werden müssen.Unser kleines IT-Sicherheit in der Automobilbranche-Special in Kooperation mit der Fachzeitschrift ATZ – Automobiltechnische Zeitschrift gibt wichtige Antworten zu Gefahren, Regelungen, aktuellen Trends und Entwicklungen im Bereich der Fahrzeugindustrie – angereichert mit praxisnahen Lösungen.Viel Spaß beim Lesen!Ihr Stefan Mutschler

IMPRESSUM www.itsicherheit-online.com in Kooperation mit Inhalt Automobiltechnische Zeitschrift SPECIAL: IT-Sicherheit in der Automobilbranche 34 Editorial Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 9d · 50226 Frechen www.datakontext.com Chefredaktion: Stefan Mutschler (S.M.) E-Mail: stefan-mutschler@t-online.de Redaktion: Dr. Peter Münch (P.M.), Dr. jur. Martin Zilkens (M.Z.), Online-Redaktion: Jessica Herz (Leitung Online) herz@datakontext.com +49 2234 98949-80 Lisa Bieder Silvia Klüglich Chiara Schönbrunn Herausgeberbeirat: Prof. Dr. Michael Backes, Prof. Dr. jur. Dirk-M. Barton, Walter Ernestus, Prof. Dr. Nikolaus Forgó, Prof. Dr. Rainer W. Gerling, Dr. Jan-Peter Ohrtmann, Prof. Dr. Norbert Pohlmann, Dr. jur. Martin Zilkens Gründer: † Bernd Hentschel Graﬁk/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 27 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 104,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln künd- bar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschick- te Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Ver- öffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber- rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Titelbild: metamorworks - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; Blue Planet Studio - stock.adobe. com, Drazen - stock.adobe.com, Fantastic - stock.adobe.com, ipopba - stock.adobe.com; Jenson/Shutterstock.com;Cymotive Technologies 28. Jahrgang 2022 · ISSN: 1868-5757 36 IT-Sicherheit in neuer Dimension Herausforderungen in der Automobilbranche 38 Warum Verschlüsselung auch in der Automobilbranche unverzichtbar ist Sichere Zusammenarbeit in der Cloud 40 Cybersicherheit – ein Muss für Automobilhersteller und deren Zulieferer Wie es „Kommunikation auf Rädern“ in die Überholspur schafft Anbieter 42 Mal wieder ohne Sicherheitsgurt unterwegs? 44 macmon secure bietet zentrale Lösungen zur Informationssicherheit in der Automobilindustrie 45 TISAX und Verschlüsselung Compliance und sicherer Datenaustausch in der Automotive- Branche 46 TISAX und Cloud-Verschlüsselung: Datensicherheit in der Automobilbranche SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 35

IT-Sicherheit in neuer Dimension Herausforderungen in der Automobilbranche Träume von unbemannten und völlig autonom agierenden Fahrzeugen sind so alt wie der Straßenverkehr selbst. Seit sich die Realität immer mehr an die fiktionalen Wunsch- vorstellungen anpasst, mischt sich unter die Euphorie auch eine gewisse Skepsis: Wie reagieren die autonomen Fahrzeuge in kritischen Situationen? Immerhin geht es um Gesundheit und Leben. Aber wann wird es gefährlich? Und ab wann gelten welche Fak- toren als kritisch? Die Kritikalität der beeinflussenden Faktoren genau zu bestimmen, das ist unter anderem die Aufgabe der Experten in VVMethoden (Verifikations- und Validierungsmethoden). Das Forschungsprojekt wird vom Bundeswirtschaftsministerium zur sicheren Markteinführung autonomer Fahrzeuge gefördert. E in geparkter Lkw am Straßenrand verdeckt einen Fahrradfahrer, der von rechts kommt. Klingt sofort nach einer kritischen Verkehrssituation. Eigentlich gäbe es unendlich viele zu überprüfende Szenarien mit kri- tischen Situationen im Straßenverkehr. Weil man die aber niemals in realen Tests prüfen kann, setzen die Experten im VVMethoden-Projekt auf Simulation. Aber wie macht man das? Wie kann man herausfinden, welche Situationen davon wirklich kritisch sind? Klar ist: Alle Situationen wird man auch durch Simulation nicht prüfen können. Dazu kommt, dass je- der einzelne Fall durch eine Vielzahl von Faktoren beeinflusst wird. Hauptaufgabe der Experten ist es daher, aus dem offenen Situationskomplex der realen Verkehrswelt die wirklich kriti- schen Phänomene herauszufiltern. Dazu Emmeram Klotz, Lei- ter Test und Validierung in der Businessline Highly Automated Driving bei TÜV SÜD: „Unsere Experten bei VVMethoden arbei- ten hier an Methoden, mit denen bestimmt werden kann, wie kritisch bestimmte Faktoren einer Verkehrssituation sind. Zur Validierung fließen dann die Ergebnisse in die Weiterentwick- lung von Simulationswerkzeugen mit ein.“ Für die Simulation kommt eine Open-Source-Plattform zum Einsatz: OpenPASS ist ein transparentes und unter den Industriepartnern Bosch, Mercedes-Benz AG, BMW Group, VW, ITK Engineering und To- yota harmonisiertes Simulationswerkzeug für die virtuelle Be- wertung von automatisierten Fahrsystemen. Wie Simulation praktisch funktioniert Zurück zum Hindernis und dem Fahrradfahrer. Die Kern- frage: Welche Faktoren beeinflussen, wie stark die Kritikalität einer Verkehrssituation ist? Das Szenario: Ein Fahrradfahrer wird von einem parkenden Auto verdeckt. Der virtuelle Ver- 36 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE i l s e g o o n h c e T e v i t o m y C : o t o F

suchsaufbau: Faktoren, die beispielsweise die Verkehrssitua- tion gefährlich machen und daher als kritisch eingestuft wer- den, sind Position und Geschwindigkeit des herannahenden Fahrzeugs, Position und Größe des geparkten Fahrzeugs und Position und Geschwindigkeit des von rechts kommenden Fahrrads. Die Experten ermitteln nun die einzelnen Einflussfakto- ren für die Verdeckung des Radfahrers. Dazu werden anhand von stochastisch ermittelten Werten in der Simulation kleine Schritte verändert: das herannahende automatisierte Fahr- zeug einen halben Meter nach vorn, der Fahrradfahrer ent- sprechend 20 Zentimeter – zum Beispiel. Die tatsächliche Grö- ße des parkenden Fahrzeugs bleibt zwar gleich, hinsichtlich der Sichtachse zwischen automatisiertem Pkw und Radfahrer verändert sie sich aber. Daraus ergibt sich, dass diese – typisch urbane – Verkehrs- situation in einem Moment noch nicht kritisch ist, weil das automatisierte Fahrzeug den Radler wahrnimmt und aus- reichend Zeit bleibt, darauf zu reagieren. Wird das parken- de Fahrzeug aber „größer“ und verdeckt die Sichtachse zwi- schen den Verkehrsteilnehmern, wird die Situation kritischer – Stück für Stück. VVMETHODEN Eines der zentralen Handlungsfelder um Vertrauen in automa- tisierte Fahrzeuge zu schaffen, ist die Entwicklung geeigneter Test- und Absicherungsverfahren. Diese haben direkte Auswir- kung auf den zukünftigen Erfolg voll automatisierter und auto- nomer Fahrzeuge sowie die künftige Wertschöpfungskette und Kostenstruktur der Produkte. Es wird geschätzt, dass das Veriﬁ- zieren und Validieren, nach der Entwicklung und Herstellung der Umfeldsensorik und der Steuergeräte, den drittgrößten Anteil an der Wertschöpfung für automatisierte Level 4/5 Fahrzeuge ha- ben wird. Es ist somit wirtschaftlich von großem Interesse, den Prozess der Veriﬁkation und Validierung efﬁzient und kosten- günstig im Rahmen der gesetzlichen Vorgaben zu beherrschen. Voraussetzung hierfür ist, dass Sicherheitsanforderungen und Speziﬁkationen für voll automatisierte und autonome Fahrzeu- ge abgeprüft und veriﬁziert werden können (Veriﬁkation) und der Nachweis erbracht werden kann, dass mit diesen Anforde- rungen und Speziﬁkationen voll automatisiertes und autonomes Fahren auf öffentlichen Straßen sicher umgesetzt werden kann (Validierung) – unter der geltenden Maßgabe von Objektivität, Rechts sicherheit und Kostenefﬁzienz. Das Teilprojekt „Kritikalitätsanalyse“, dessen Ziel die Strukturie- rung der urbanen Verkehrswelt ist, wird dabei vom OFFIS – Ins- titut für Informatik geleitet. Hierzu werden die relevanten Ge- fährdungen im Zusammenhang mit dem automatisierten Fahren identiﬁziert, bewertet und geeignete Strategien für den Umgang mit diesen Gefährdungen entwickelt. Die Ergebnisse der Kritika- litätsanalyse bilden somit die Grundlage für die anschließende Sicherheitsargumentation. SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 37 Resümee von Emmeram Klotz: „Schon im Pegasus-Projekt haben wir intensiv an neuen Methoden für die Absicherung automatisierter Fahrfunktionen mitgearbeitet – als einzige neutrale Prüfgesellschaft. Mit VVMethoden schaffen wir jetzt den Sprung ins urbane Umfeld. Das heißt, es gibt eine Vielzahl von weiteren einzuschätzenden Situationen. TÜV SÜD ist hier maßgeblich daran beteiligt, die Relevanz gefährlicher Fakto-ren zu verstehen. Dadurch kann die Zahl der für die Typge-nehmigung nötigen Tests reduziert und die Simulation als va-lide und effiziente Prüfmethode etabliert werden.“Bedrohungen für die Automotive-EntwicklungJe intelligenter und kommunikationsfreudiger Fahrzeuge werden, desto größer wird auch die Angriffsfläche für Cy-berkriminelle. Manipulationen an der internen und externen Kommunikation könnten zu Störungen oder sogar Fehlfunk-tionen führen. Im Grunde ist jedes Fahrzeug Teil eines rie-sigen Industrieunternehmens und muss entsprechend ge-schützt werden.Erst kürzlich warnte beispielsweise Volexity vor einer kritischen Sicherheitslücke der Bedrohungsstufe CVA 10/10 auf der Atlassian-Plattform von Confluence. Hacker können sich diese Schwachstelle zunutze machen, um unautorisier-ten Programmiercode auf den betroffenen Servern oder Data Centern von Confluence auszuführen. Die entdeckte Schwach-stelle ist zunächst „nur“ eine echte Bedrohung für die Inno-vation in der Fahrzeugentwicklung. Hacker können nicht nur vertrauliche Projekt- und Entwicklungsdaten von den betrof-fenen Servern kopieren und Plagiate anfertigen – sie können sogar die technische Dokumentation manipulieren, die für die Entwicklung neuer Fahrzeuggenerationen unabdingbar ist. Eine solche Sabotage kann die Fahrzeugentwicklung massiv ausbremsen und immense Kosten bei den Herstellern verur-sachen. Das ist jedoch noch der Best Case, sofern die Manipu-lation der Daten rechtzeitig aufgedeckt wird. Fällt die Manipu-lation in der technischen Dokumentation nicht auf, kann dies die Sicherheit künftiger Fahrzeugmodelle gefährden – ange-sichts der komplexen Lieferketten in der Automatisierungs-branche ein absoluter Worst Case.Ebenfalls in jüngster Vergangenheit haben Security-Ex-perten von Cymotive Technologies eine Schwachstelle im CAN-FD-Protokoll entdeckt, welche die Sicherheit in nahezu allen modernen Fahrzeugen ernsthaft bedroht: Die Lücke na-mens CANCAN ermöglicht es, die über Kommunikationspro-tokolle versendeten Nachrichten einzukapseln. Dadurch lässt sich eine gefälschte CAN-FD-Nachricht einschleusen, die eine legale Information einkapselt. So können Komponenten dazu gebracht werden, die eingekapselte interne Nachricht anstelle der externen Nachricht, die tatsächlich auf dem Bus gesendet wurde, zu akzeptieren. Die CANCAN-Schwachstelle kann jede erdenkliche Fahrzeugkomponente betreffen, die das CAN-FD-Protokoll verwendet. Dazu zählen auch Protokolle, die sich derzeit in der Entwicklung befinden, wie etwa CAN-XL. nS.M.

Warum Verschlüsselung auch in der Automobilbranche unverzichtbar ist Sichere Zusammenarbeit in der Cloud Prototypen neuer Modellentwicklungen sind streng vertraulich und haben einen sehr hohen Schutzbedarf – dennoch muss mit den Daten gearbeitet werden: Zulieferer, Marke- tingagenturen und verschiedene Abteilungen im eigenen Unternehmen benötigen Zu- griff. Die Datenübermittlung sicher zu organisieren, treibt Compliance-Verantwortlichen regelmäßig den Schweiß auf die Stirn. Komplexe IT-Strukturen und ein starkes Wettbe- werbsgeschehen in der Automobilbranche machen diese Aufgabe zu einem Mammutpro- jekt, denn die Anforderungen an die Datensicherheit sind enorm. Doch der scheinbare Widerspruch zwischen Vernetzung und Sicherheit ist lösbar. So bieten Cloud-Anwendun- gen viele Möglichkeiten für ortsunabhängige Zusammenarbeit – sowohl für unterneh- mensinterne Teams als auch für die Zusammenarbeit mit externen Partnern. D ie Notwendigkeit, große Datenmengen zu speichern und der Wunsch nach Flexibilität machen die Cloud als Datenspeicher auch für Unternehmen der Au- tomobilbranche immer beliebter. Die Vorteile liegen auf der Hand: Dateien belegen weniger lokalen Speicherplatz, die Cloud verspricht eine hohe Verfügbarkeit und der Zugriff ist von überall aus möglich. Klassische Datenspeicherung stößt an Ihre Grenzen – auch in Bezug auf Sicherheit Dienste wie Microsoft OneDrive, Google Drive und Drop- box laufen herkömmlichen Fileservern und NAS-Systemen zunehmend den Rang ab. Die wichtigsten Pluspunkte einer spezialisierten Business-Cloud sind: Kosteneinsparungen durch flexible Abo-Modelle, geringere Wartungskosten für die eigene IT-Infrastruktur, automatisierte Backups und aus- fallsichere Speicherung auch bei Naturkatastrophen durch Spiegelung der Daten in verschiedene Rechenzentren. All das können die Unternehmen selbst kaum leisten. Modernen Anforderungen an Homeoffice und interna- tionale, zeitversetzte Zusammenarbeit gerecht zu werden, bringt bewährte Sicherheitsmechanismen gegen unbefugten Zugriff, etwa Firewalls und Gateway-Lösungen, an ihre Gren- zen. Zwar lässt sich der Zugriff auf geschützte Speicherberei- che und Anwendungen innerhalb der Unternehmens-IT dank VPN auch aus der Ferne herstellen, der Aufwand für die Ein- richtung von Zugängen und damit für die Nutzung der Daten ist jedoch enorm – und in der Praxis umständlich. Kurzfristi- ge Freigaben für Externe sind oft gar nicht möglich. Also reicht es, einfach nur Cloud-Speicherplatz zu bu- chen, und alles ist gut? Leider nicht ganz. Schließlich liegen die Dateien dann auf externen Servern oder – anders ausge- drückt – auf Computern, auf die jemand anderer Zugriff hat. Der größte Kritikpunkt an Cloud-Speicherdiensten ist deshalb der Kontrollverlust. Für die streng regulierte Automobilbran- che ist das ein Problem. Die Lösung ist denkbar einfach und bringt keine merk- lichen Einbußen im Anwendungskomfort mit: einfach den Cloud-Speicher mit einer optimierten Verschlüsselungssoft- ware ergänzen. Diese schafft auch auf öffentlicher Infra- struktur sichere Datenräume, die den hohen Anforderungen branchenüblicher Zertifizierung entsprechen. 38 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE . m o c e b o d a k c o t s - a b p o p © i . : d l i B

Ob beabsichtigt oder nicht – viele Daten landen bereits in der Cloud Dem Einsatz von Cloud-Speichern steht technisch und regulatorisch durch die zusätzliche Sicherheitsschicht also nichts im Weg. Werden die nötigen Sicherheitsanforderun- gen erfüllt, ergeben sich große Vorteile gegenüber lokaler Da- tenspeicherung. Es gibt jedoch eine weitere Herausforderung: die Cloud als solche zu erkennen. Viele Programme nutzen die Cloud als Datenspeicher oder Backup – ohne dass dies den Nutzern bewusst ist. So werden anwendungsfreundliche Ap- plikationen zum Sicherheitsrisiko, weil Daten automatisch synchronisiert werden. Dies ist beispielsweise bei Microsoft Office der Fall. Vorsicht ist auch beim Einsatz beliebter Kollaborati- onstools geboten: Software wie Microsoft Teams erlaubt den Austausch von Nachrichten und Dateien und ist deshalb sehr beliebt bei Unternehmen jeder Größe. Die Desktop-Anwen- dungen wirken wie lokale Programme und lassen schnell vergessen: Auch hier werden Daten in eine Cloud-Umgebung geschickt. Deshalb ist es besonders für Unternehmen wichtig, proaktiv zu handeln. Datenschutzgesetze und interne Com- pliance-Vorgaben sind als Sicherheitsmaßnahmen nur so gut wie ihre Umsetzung. Die Wahl der geeigneten Methode: Schlüssel zum Erfolg Eine bewusste Auswahl der Services und Sicherheits- maßnahmen ist also extrem wichtig. Die Cloud zu meiden, ist kaum mehr möglich und würde einen großen Verlust an Komfort und Flexibilität bedeuten. In der Praxis zeigt sich deshalb, dass auch in der streng regulierten Automobilbran- che Cloud-Dienste stark an Bedeutung gewinnen. Darum ist die Wahl eines geeigneten Schutzschilds für eine erfolgreiche Sicherheitsstrategie entscheidend. In deren Mittelpunkt muss der sichere und verschlüsselte Datenaustausch unter den drei Gesichtspunkten Schutzlevel, Authentifizierung und Anwen- dungsfreundlichkeit stehen. Schutzlevel – es gibt mehr zu beachten als den Verschlüsselungsalgorithmus Ende-zu-Ende-Verschlüsselung stellt sicher, dass die Da- ten bereits auf dem Endgerät verschlüsselt werden und somit zu keiner Zeit im Klartext einsehbar sind. Wichtig: Niemand außer dem Unternehmen selbst darf den Schlüssel besitzen, mit dem die Dateien wieder entschlüsselt werden können. Dafür steht ein spezielles Schlüsselmanagement zur Verfü- gung. Einige Verschlüsselungsanbieter bewerben dies mit dem Begriff „Zero Knowledge“. Als zusätzliche Schutzmaß- nahme empfiehlt es sich, unterschiedliche Anbieter mit der Speicherung und der Verschlüsselung zu beauftragen. Ebenfalls muss geprüft werden, ob die Verschlüsselung dateibasiert ist. Sowohl der Cloud-Anbieter als auch die Ver- schlüsselungssoftware müssen das selektive Teilen von Da- teien zulassen. Ein granulares Berechtigungsmanagement ist diesem Zusammenhang wichtig, denn containerbasierte Freigaben erhöhen das Risiko, ungewollt zu viele Informati- onen preiszugeben. Um Algorithmen brauchen sich Unternehmen dagegen nicht zu sorgen. Branchenübliche Software setzt in der Re- gel auf die modernsten Standards wie AES-256 und erfüllt an dieser Stelle sowohl gesetzliche als auch branchenspezifische Anforderungen. Authentifizierung, Nutzerverwaltung und Berechtigungsmanagement Für starke Sicherheit ist die Einbindung der Verschlüsse- lungssoftware in unternehmensweite Authentifizierungs- mechanismen wie Single Sign-on (SSO) ein Muss. Das zent- ralisierte Set-up verringert die Gefahr eines Datenlecks durch zu schwache Passwörter oder fehlerhafte Anwendung durch Mitarbeiter erheblich. Gute Sicherheitssoftware stellt darü- ber hinaus umfangreiche Admin-Funktionen bereit. Das sind etwa ein unternehmensweiter Master Key oder die Möglich- keit zur Überwachung von Aktivitäten. Anwendungsfreundlichkeit ist das wichtigste Kriterium Dass eine Software leicht zu bedienen ist, darf bei der Aus- wahl passender Anbieter nicht unterschätzt werden. Diese Eigenschaft ist besonders wichtig, um Fehler in der Anwen- dung zu vermeiden. Ein Großteil der Sicherheitslücken in Un- ternehmen gehen auf menschliches Fehlverhalten zurück. Software, die sich nicht nahtlos in Arbeitsprozesse einfügt, lädt dazu ein, umgangen zu werden. Es ist ein Fehler, Sicher- heitsmaßnahmen allein anhand der technischen Spezifikati- onen zu messen. Verschlüsselte Datenablage sollte der Standard sein. Das Missverständnis, wonach Verschlüsselung die Zusammen- arbeit im Team umständlich macht, kann dank ausgereifter und anwendungsfreundlicher Sicherheitssoftware ausge- räumt werden. Am Ende ist die einfache Anwendung der dünne Faden, an dem der Erfolg einer Schutzmaßnahme hängt. Cloud-An- bieter haben dies erkannt und sich auf ein nahtloses Nut- zungserlebnis spezialisiert. Es ist an der Zeit, Sicherheit ge- nauso zu denken. n Moritz Ober, Marketing-Manager und Autor für Datensicherheit, Secomba GmbH | Boxcryptor SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 39

Cybersicherheit – ein Muss für Automobilhersteller und deren Zulieferer Wie es „Kommunikation auf Rädern“ in die Überholspur schafft Die Botschaft ist einfach: Für die Produktentwicklung von Autos ist Cybersicherheit ab sofort Pflicht. Ohne Nachweis der Umsetzung der UNECE-Regelungen (UNECE ist die Wirtschaftskommission für Europa der Vereinten Nationen) UN-R 155 und UN-R 156 ist seit Juli 2022 keine Typzulassung von neuen Fahrzeugen in den 64 UNECE-Mitglied- staaten mehr möglich. Darunter fallen neben ganz Europa auch andere wichtige Märkte wie Japan, Australien, Südkorea oder Südafrika. Gleiches gilt für ältere Fahrzeug archi- tekturen ab Juli 2024. Aber warum das Ganze? Und wie können nicht nur Hersteller, sondern auch Zulieferer den neuen Anforderungen nachkommen? C ybersicherheit bedeutet ständige Veränderung der Risikolage. Ob nun organisierte Kriminalität, Coro- na-Pandemie (hier wichtig: vermehrtes Homeoffice) oder Ukraine-Krieg: Die Bedrohungen, denen unsere IT-Sys- teme ausgesetzt sind, ändern sich permanent. Bei gleichzei- tig steigender Komplexität der IT und damit einhergehenden Schwachstellen der Systeme wachsen die Cybersicherheitsri- siken, wodurch die Wahrscheinlichkeit für teure und zum Teil existenzbedrohende Cybersicherheitsvorfälle zunimmt. In der klassischen IT der Automobilbranche wird die- sem Umstand seit einigen Jahren Rechnung getragen, indem der Verband der Automobilindustrie (VDA) mit dem „Trus- ted Information Security Assessment Exchange“ (TISAX) ei- nen Prüf- und Austauschmechanismus entwickelt hat. Dieser legt einen Anforderungskatalog für Informationssicherheit fest und findet zunehmend Anwendung. TISAX orientiert sich dabei stark am allgemeineren Standard ISO/IEC 27001, der Anforderungen an ein Informationssicherheitsmanage- mentsystem (ISMS) definiert. Dass ein genereller Schutz der IT-Infrastruktur in der Automobilbranche durchaus sinnvoll ist, zeigt die Welle von Angriffen der letzten Jahre. Unterneh- men und Organisationen fallen insbesondere Erpressungs- schadsoftware (sogenannter Ransomware) zum Opfer, und es vergeht kaum ein Tag ohne entsprechende Schlagzeilen in den Medien. Unter den Betroffenen waren auch Hersteller und Zulieferer der Automobilbranche, teils mit Stillständen weltweit. Neben den Kosten für solche Stillstände kommen Weitere für die Wiederherstellung der Systeme und eventuell Lösegeldzahlungen hinzu. Cybersicherheit von Autos Cyberangriffe machen jedoch nicht bei der klassischen IT halt. Das Auto ist inzwischen nicht nur ein äußerst komplexes mechanisches und elektronisches Produkt, es ist auch voller (eingebetteter) IT und Software. Diese Komponenten kommu- nizieren nicht nur über lokale Bussysteme (zum Beispiel CAN, LIN oder moderner: Automotive Ethernet), sondern sind über die Telematikeinheit des Autos mit externen Geräten und In- frastruktur sowie insbesondere dem Internet verbunden. Da- durch ergeben sich völlig neue Dienste und Geschäftsmodelle; es öffnen sich aber auch Tore, die von Angreifern ausgenutzt werden können. Dass solche Angriffe nicht nur theoretischer Natur sind, sondern auch praktisch durchgeführt werden können, haben verschiedene Forscher in den vergangenen Jahren gezeigt: 40 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE . . m o c e b o d a k c o t s - o d u t i S l t e n a P e u B © l : d l i B

Das in Fachkreisen wohl bekannteste Beispiel ist der Angriff aus dem Internet auf einen Jeep Cherokee von Charlie Miller und Chris Valasek im Jahr 2015 (wer ihn nicht kennt – ein YouTube-Suchlauf mit „Wired Jeep Hack“ bringt passendes Videomaterial). Bei diesem An- griff übernahmen die Forscher die komplette Kontrolle über das Fahrzeug und konnten es zum Beispiel wäh- rend der Fahrt abschalten. Die Zahl der so angreifbaren Fahrzeuge bezifferten die Forscher auf 1,4 Millionen. Umgekehrt können Fahrzeuge sogar die IT-Infrastruk- tur der Hersteller und Zulieferer bedrohen. So zeigte der Forscher Andrew Tierney von PenTestPartners im Ap- ril 2020, wie aus einem kleinen Auftrag zum Cybersi- cherheitstest einer Telematics Control Unit (TCU) die Kompromittierung des gesamten Herstellernetzwerks werden kann. Über die aus der TCU entnommenen SIM- Karte war es nicht nur möglich, sich als Nicht-TCU „le- gitim“ mit dem Telematik-Backend zu verbinden. Von dort aus konnte auch ohne Probleme weiter in das ei- gentliche Unternehmensnetzwerk vorgedrungen und der Domain-Controller übernommen werden, also der Server, der die zentrale Authentifizierung aller Systeme im Unternehmensnetz kontrolliert. UNECE-Regelungen zur Cybersicherheit (Cyber-)unsichere Fahrzeuge bedeuten also nicht nur eine Gefahr für Mensch und Umwelt, sondern von ihnen kann zu- sätzlich eine Gefahr für die verbundene IT-Infrastruktur aus- gehen. Dass der Cybersicherheit durch die UNECE nun mit den Regelungen UN-R 155 „Cyber Security and Cyber Security Management System“ respektive UN-R 156 „Software Update and Software Update Management System“ Vorschub geleis- tet wird, ist bei allen Mühen, welche die Umsetzung mit sich bringt, aus Cybersicherheitssicht eindeutig zu begrüßen. UN-R 155 – Management von Cybersicherheit in Autos Die UN-R 155 legt fest, dass der Entwicklungsprozess von Fahrzeugen (und deren Komponenten) Cybersicherheit be- rücksichtigt und entsprechend organisiert werden muss. Ein solches Cyber Security Management System (CSMS) muss auf- gebaut und im Rahmen eines sich ständig verbesserten Pro- zesses betrieben werden. Es ist kein bestimmter Standard verpflichtend, jedoch wird empfohlen, sich an existierenden Standards wie SAE J3061 (Cybersecurity Guidebook for Cyber- Physical Vehicle Systems) oder insbesondere dem im Septem- ber 2021 verabschiedeten Standard ISO/SAE 21434 „Road Ve- hicles – Cybersecurity Engineering“ zu orientieren. Für alle, die sich mit funktionaler Sicherheit (Safety) im Bereich Auto- motive beschäftigen: Die ISO 21434 ist für Cybersecurity das, was die ISO 26262 für Safety ist. UN-R 156 – Management von cybersicheren Software-Updates Die zweite hier relevante UNECE-Regelung, die UN-R 156, gibt vor, dass Software-Update-Mechanismen für Fahrzeuge abgesichert werden müssen. Erforderlich ist ein Software Up- date Management System (SUMS), welches im Kern sicher- stellt, dass für einen bestimmten Fahrzeugtyp und für jede Komponente des Fahrzeugs nur eine vom jeweiligen Herstel- ler genehmigte Softwareversion in unveränderter Form in- stalliert werden kann. Ähnlich wie bei der UN-R 155 gibt es keine Vorgabe für einen Standard, jedoch deutet alles darauf hin, dass Hersteller sich an der ISO 24089 (Road Vehicles – SW Update Engineering), die derzeit in der Entwicklung ist, ori- entieren sollen. Auswirkungen auf Hersteller und Zulieferer Die neuen Regelungen zur Cybersicherheit betreffen nicht nur die Automobilhersteller selbst, sondern auch deren Zuliefe- rer. So fordert beispielsweise Klausel 7 der ISO 21434 vom Her- steller (OEM), Cybersicherheitsanforderungen an seine Zulie- ferer (Tier-1) weiterzugeben und durch die weitere Lieferkette (zum Beispiel zwischen Tier-1 und Tier-2) zu kaskadieren. Ex- plizit wird dies durch die Unterklauseln zu Zulieferer-Fähig- keiten („supplier selection [...] can be based on the supplier’s capability to conform to this [ISO 21434] document“), Ange- botsanforderungen („formal request to conform to this docu- ment“) oder die Regelung von Verantwortungen in der Liefer- kette (RASIC) gefordert. Das bedeutet: Alle in der Lieferkette sind für die Cybersicherheit der von ihnen gelieferten Kom- ponenten im gesamten Lebenszyklus verantwortlich. Entspre- chende Cybersicherheitsmaßnahmen in den Konzept- und Produktentwicklungsphasen – aber auch nach der Entwick- lung, zum Beispiel in der Produktion, dem Betrieb respektive bei der Stilllegung der Komponenten – sind vorzusehen und zu managen. Das heißt auch, dass ein Hersteller (Gesamtfahrzeug oder Komponente) die aktuelle Cybersicherheitslage beobach- ten, Risiken bewerten und gegebenenfalls schnell reagieren muss. Dies erfordert nicht nur eine Umstellung der Arbeits- weise, sondern auch Kompetenzen, die in der Automobilbran- che heute noch nicht flächendeckend zu finden sind. Was ist zu tun? Wichtig ist, das Thema Cybersicherheit ernst zu nehmen und schnell zu reagieren. Da die Regelungen eine Voraus- setzung zur Homologation sind, können sie nicht ignoriert werden, vor allem da die Umsetzung Zeit und Kompetenz erfordert. Insbesondere Letzteres kann in Zeiten eines leer- gefegten Marktes von IT-Fachkräften und insbesondere von IT-Sicherheitsspezialisten ein großes Problem werden. Si- chern Sie sich frühzeitig Ressourcen durch entsprechende Stellenausschreibungen oder durch die Zusammenarbeit mit kompetenten Partnern. n Wolfgang Straßer, Geschäftsführer @-yet SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 41

– ADVERTORIAL – Mal wieder ohne Sicherheitsgurt unterwegs? Wir alle kennen die vereinzelten „Gurtmuffel“. Aber wir verstehen sie nicht wirklich. Es klingt abstrus, dass jemand, weil es ihn „einschränkt“ oder „uncool“ wirken lässt, auf ein lebenswichtiges Hilfsmittel im Auto verzichtet. Dabei ist das Bewusstsein in Bezug auf Cybersicherheit bei weitem nicht so ausgeprägt, wie es im Auto der Fall ist. Ja, wir alle wissen, dass Cybersicherheit „eigentlich“ wichtig ist, aber wenn es dann im Alltag darum geht, haben andere Dinge Priorität. Cybersicherheit ist eines der Schlüsselthe- men für das Überleben in der zukünftigen Automobilwelt, aber: „Sicher- heit verkauft sich schlecht“, sagte bereits 1970 der damalige VW-Chef Kurt Lotz in einem Interview mit dem Spiegel. Und tatsächlich gab es bei der Einführung der Gurtpflicht 1976 in der Bundesrepublik erheblichen Wider- stand gegen die „Einschränkung der Freiheit“, obwohl alle Expert:innen von den Vorteilen des Gurtes überzeugt waren. Heute, knapp 50 Jahre danach, ist das Anschnallen für fast alle Autofahrenden und Passagiere ein Automatismus, über den praktisch niemand mehr nachdenkt. Und Kurt Lotz wäre wahrscheinlich überrascht, dass sich seine Aussage ins Gegen- teil verkehrt hat. Heute gilt „Unsicherheit verkauft sich schlecht“ – denn selbst ohne Pflicht des Gesetzgebers würde heutzutage wohl kaum ein Kunde ein Auto kaufen, in das kein Sicherheitsgurt (oder eine ausreichen- de Anzahl Airbags oder ABS oder …) eingebaut wären. Die Menschen ha- ben verstanden, dass diese Sicherheitssysteme ihnen einen Schutz bieten, auf den sie – aus gutem Grund – nicht mehr verzichten wollen. 42 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE Automotive: digitale TransformationDerzeit befindet sich die Automobilbranche mitten in der digitalen Trans-formation. Das betrifft nicht nur die IT der Unternehmen, sondern auch deren Produktionsanlagen und insbesondere das Automobil als Produkt. Ohne Digitalisierung wären große Trends wie das autonome Fahren, vernetzte Dienste, elektrische Fahrzeuge oder Carsharing nicht umsetz-bar. Technisch gesehen bedeutet Digitalisierung die Vernetzung vieler unabhängiger Komponenten, die erst im Zusammenspiel als Gesamt-system funktionieren. Im Bereich Automotive geht die Vernetzung dabei über die Grenzen des Fahrzeugs hinaus, womit das Automobil respektive all seine Komponenten Teil des Internets der Dinge (Internet of Things, IoT) werden. Das Auto und seine Komponenten kommunizieren dabei permanent mit der Umgebung, sei es lokal (über RFID, Bluetooth oder WLAN), mit anderen Fahrzeugen (per WLAN oder Mobilfunknetz) oder mit dem Hersteller respektive dem Internet (meist über das Mobilfunknetz). Hinzu kommen Datenverbindungen zu Wartungs- oder Ladezwecken (kabelgebunden oder kabellos). Und da die Kommunikation bis auf we-nige Ausnahmen immer bidirektional ist, wird das Fahrzeug auch für alle Bild: © Drazen - stock.adobe.com

– ADVERTORIAL – Kontakt: @-yet Industrial IT Security GmbH Neuenhofstraße 194 52078 Aachen Telefon: +49 2175 1655 0 Fax: +49 2175 1655 11 E-Mail: info@at-yet-iis.de www.add-yet-iis.de SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 43 2. Aufbau systematischer Cybersicherheitsstrukturen in der Produktentwicklung (CSMS nach ISO 21434 und SUMS nach ISO 24089)3. Aufbau systematischer Cybersicherheitsstrukturen in der Produktion (nach ISA/IEC 62443)Unsere LeistungenDas Management Team der @-yet Industrial IT Security GmbH, beste-hend aus Wolfgang Straßer, Hans Höfken und Prof. Dr. Marko Schuba, verfügt über insgesamt mehr als 100 Jahre technische respektive Ma-nagement-Erfahrung im IT-Sektor und ist im Bereich der Cybersicher-heit in Deutschland fest etabliert. Zusammen mit der @-yet GmbH ste-hen der @-yet Industrial IT Security GmbH mehr als 70 Expert:innen für den Bereich Cybersicherheitstechnik und -beratung zur Verfügung. Das Leistungsspektrum für unsere Kunden im Bereich Automotive, Industrie und Gebäudetechnik umfasst dabei:Prediction: Wir helfen Ihnen, den aktuellen Stand in Bezug auf die Cyber sicherheit zu verstehen.Prevention: Wir bauen mit Ihnen den Schutz vor potenziellen Bedrohungen auf.Detection: Wir unterstützen Sie dabei, Vorfälle schnell zu erkennen.Reaction: Und sollte trotzdem etwas passieren, sind wir zur Stelle, um Vorfälle zu analysieren, schadensminimierend zu reagieren und die Systeme wiederherzustellen.Beratung: Wir begleiten Sie bei der sicheren Gestaltung Ihrer Entwicklungs- und Managementprozesse.angeschlossenen Geräte respektive aus dem Internet erreichbar. Damit entsteht für die Automobilbranche ein Problem, das es in der IT schon seit Jahrzehnten gibt: Jede Verbindung bedeutet ein potenzielles Ein-fallstor, und alles, was mit dem Internet verbunden ist, wird permanent angegriffen. Ohne entsprechenden Schutz sind Autos von daher ein leichtes Ziel. Die Branche aus der Sicht von Expert:innenSeit 20 Jahren unterstützt und berät die in Leichlingen sitzende @-yet GmbH („Et jeht“, Hochdeutsch: „es geht“) Unternehmen in Bezug auf IT-Sicherheit und Datenschutz. Seit 2017 wird das Unternehmen durch die @-yet Industrial IT-Security GmbH in Aachen ergänzt, welche den Fokus auf die Cybersicherheit von Automotive, Industrieanlagen und Gebäudetechnik setzt. „Cybersicherheit ist von herausragender Bedeu-tung für die Automobilbranche“, sagt Prof. Dr. Marko Schuba, Mitgrün-der und Gesellschafter der @-yet Industrial IT-Security sowie Professor für IT-Sicherheit an der FH Aachen und ergänzt: „Cyberangriffe sind ein Riesengeschäft und Geschäftsleute beobachten nun einmal den Markt. Hatten die Angreifer bisher primär die IT von Unternehmen als Ziel, wird es nicht lange dauern, bis sich Angriffe auch auf die lukrativen Be-reiche, Produktionsanlagen respektive Fahrzeuge ausweiten. Dort sind die potentiellen Schäden größer und die Opfer, zum Beispiel OEMs oder Zulieferer, erpressbarer.“ Ein Vorteil für Angreifer ist es, dass Software in Fahrzeugen zunehmend an Bedeutung gewinnt und mehr und mehr klassische IT-Technik Einzug ins Auto erhält. „Das spielt den Angreifern in die Karten, weil bekannte Technologien wie (Automotive) Ethernet, Internet Protokolle respektive Linux-basierte Betriebssysteme verwen-det werden. Hier kennen sich die Angreifer hervorragend aus und mit entsprechenden Tools sind die Angriffe einfach“, so Schuba.Gurtmuffel in Bezug auf CybersicherheitDie Automobilbranche ist keineswegs untätig. So gibt es seit Jahren große Anstrengungen, die IT der Unternehmen sicherer zu machen. Standards wie der „Trusted Information Security Assessment Exchange“ (TISAX®) sind nicht nur den Unternehmen, sondern inzwischen auch vielen Zulieferern bekannt respektive umgesetzt. Wenn es um die Pro-duktionsanlagen oder um das Auto und seine Komponenten geht, gibt es noch immer viele „Gurtmuffel“. Cybersicherheit in diesen Bereichen wird leider immer noch als Kostenfaktor und nicht als Qualitätsfaktor gesehen, der entscheidend für die zukünftige Existenz eines Unterneh-mens sein kann. „Wir bearbeiten ständig neue Sicherheitsvorfälle“, sagt Wolfgang Straßer, Geschäftsführer der @-yet und der @-yet Industrial IT-Security. „Die Kosten unserer sogenannten Incident Response, also die Abwehr des Angriffs, die Analyse des Angriffsweges und das Wie-derherstellen der Systeme, übersteigt die Kosten, die eine gute Cyber-sicherheitsstrategie gekostet hätte, um ein Vielfaches. Unternehmen setzen hier leider immer noch die falschen Prioritäten.“ Oder, wie es ein Praktikant der Fachhochschule Aachen in seinem Abschlussbericht aus-drückte: „Das generelle Verständnis für die Bedeutung von IT-Sicherheit, war für mich schockierend gering.“Die @-yet Industrial IT Security empfiehlt Automobilherstellern und Zu-lieferern folgendes Vorgehen:1. Mitarbeitenden der Produktentwicklung, OT (Operational Technology, Produktions-IT) und IT grundlegend in Cyber-sicherheit schulen – alle beeinﬂussen die Cybersicherheit der Fahrzeuge.

– ADVERTORIAL – macmon secure bietet zentrale Lösungen zur Informationssicherheit in der Automobilindustrie Incident Management: Auf Basis von Netzwerk-Ereignissen können diverse Reaktionen definiert werden wie eine Alarmierung per E-Mail, SMS, Trap, Syslog. Es folgen konkrete Maßnahmen wie das Isolieren eines Endgerätes. Mobile Device Management: macmon NAC unterstützt die Durchsetzung von Sicherheitsrichtlinien für mobile Endgeräte. Netzwerksegmentierung: Sicherheitszonen in Abhängigkeit der verfügbaren Ressourcen und Informationen werden definiert und mittels macmon NAC vor unbefugter Nutzung geschützt. Dabei können die Grenzen zwischen Segmenten durch virtuelle Netzwerke (VLANs) oder auch Access Control Listen (ACLs) definiert werden. Dazu Christian Bücker, Business Director, macmon secure: „Die Anforderungen an die Informationssicherheit in der Automobilbranche wachsen exponentiell. Hier kann macmon Network Access Control (NAC) als IT-Security-Lösung mit seinen vielfältigen Modulen eingesetzt werden. Durch die Akquisition durch Belden erhalten wir jetzt einen direkten Zugang nicht nur zu der Automobil-Branche als solcher, sondern auch zu umfassendem Know-how in OT-Netzwerken. In der Industrie 4.0 wandelt sich die Security zu einer Schlüsseltechnologie als unabdingbare Voraussetzung für beschleunigte Wertschöpfung.“ n Ausführliche Informationen: www.macmon.eu/tisax Der Verband der Automobilindustrie (VDA) hat mit TISAX® einen Standard für Informations- und Cybersicherheit geschaffen, der speziell an die Anforderungen der Auto- mobilbranche angepasst ist. Die Automobilbranche ist global vernetzt und entwickelt sich immer stärker zu einem softwaredeﬁnierten Produkt, Stichwort Advanced-Driver-Assistance-System-(ADAS-) und Automated- Driving-(AD-)Lösungen. Um eine sichere Verarbeitung und einen vertrauensvollen Austausch von Informationen zwischen Produzenten zu gewährleisten, hat der Verband der Automobilindustrie (VDA) den Prüf- und Austauschmechanismus TISAX® entwickelt. Um die Zertifizierung zu erlangen, müssen Unternehmen die Anforderungen erfüllen, die im VDA- ISA-Prüfungskatalog festgelegt sind. Dieser besteht aus den drei Modulen Informationssicherheit, Datenschutz und Prototypenschutz. Die Informationssicherheit ist das Hauptmodul, das bei jedem Assessment geprüft wird. Ziel ist es, dass die IT-Sicherheit in einem Unternehmen geplant, überwacht, geprüft und laufend verbessert wird. Übersicht, Compliance und Zugangskontrolle für einen sicheren Datenverkehr Durch den Einsatz der macmon Network-Access-Control-Lösung besteht eine ständige Übersicht über alle mit dem Netzwerk verbundenen Systeme. Gerätetypen können nach diversen Kriterien wie dem Standort, dem Netzwerkzugang und vielen anderen Eigenschaften gruppiert und im Netzwerk einfach verwaltet werden. macmon NAC bietet damit ein Verzeichnis sämtlicher mit dem Netzwerk verbundenen Assets und liefert zudem ergänzende Informationen wie den Lebenszyklus oder den aktuellen Standort der Geräte. Pfeiler der IT-Sicherheit: macmon secure erhöht einfach und schnell die Netzwerksicherheit und schützt die wichtigsten Unternehmens-Assets vor Cyberkriminellen. Separate Ereignisverarbeitung: Im Netzwerk ermittelte Informationen zu Endgeräten und Netzwerkgeräten werden verarbeitet, analysiert und auch Warnungen generiert. 44 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE Bild: Jenson/Shutterstock.com

– ADVERTORIAL – TISAX und Verschlüsselung Es ist eines der Paradoxe der modernen Wirtschafts-IT: Einer- seits herrscht das Bedürfnis, Daten als wertvolle Ressource sicher vor Zugriff von außerhalb zu schützen. Andererseits besteht wirtschaftliche Notwendigkeit, in eng verbundenen Wertschöp- fungsketten Daten miteinander auszutauschen. Die Automotive-Industrie hat sich deswegen schon früh auf den Standard zur Datensicherheit TISAX (Trusted Information Security Assessment Exchange) geeinigt. Der zugrunde liegende VDA-ISA-Anforderungskatalog nimmt dabei an verschiedenen Stellen Bezug auf die Verschlüsselung oder erfordert sie zur Einhaltung seiner Anforderungen. Dies sind etwa: Punkt 2.1.4: (Homeoffice) Punkt 3.1.4: (Mobilgeräte) Punkt 4.2.1: (Zugriffsrechte) Punkt 5.1.1: (Kryptografische Prozesse) Punkt 5.1.2: (Data-in-motion) Punkt 5.3.4: (Externe IT-Systeme) Mit der geeigneten Lösung können Unternehmen hier einige wichtige Hürden auf dem Weg zur Zertifizierung oder dem Re-Audit nehmen. Rollenbasierter Austausch sichert die Vertraulichkeit Konzepte zur rollenbasierten Verschlüsselung sind ein geeigneter Weg, um Daten in Systemen mit mehreren Parteien sicher auszutauschen. Eine Definition auf Projekt- bzw. Partnerbasis kann dazu beitragen, dass auch auf gemeinsam genutzten Systemen ausgeschlossen werden kann, dass ein Partner Zugriff auf Daten eines anderen Partners erhält. Die Kontrolle von Zugriffsrechten und Schlüsseln bleibt dabei entweder zentral ver- waltet bei einem Unternehmen oder kann in hierarchischen Systemen an Security Officer in den Partnerunternehmen delegiert werden. Der Schutz vor Ransomware-Attacken und Datenleaks Die Betonung der Datensicherheit, die eine TISAX-Zertifizierung mit sich bringt, ist nicht nur ein Selbstzweck. Sie adressiert auch die Bedrohung durch Ransomware-Attacken. Im spezifischen Fall eines global agieren- den Zulieferers, der Opfer einer Attacke wurde, erbeuteten die Angreifer Unternehmensdaten. Sie drohten, diese zu veröffentlichen und verlangten für deren Löschung eine Schutzgeldzahlung. Da aber die deutsche Nieder- lassung für ihre TISAX-Zertifizierung bereits Jahre zuvor eine Client-seitige Verschlüsslung eingeführt hatte, blieb dieser Bereich als einer von weni- gen unbehelligt. Die Angreifer konnten mit den Daten nichts anfangen. Auch die DS-GVO sieht Strafzahlungen vor Ähnlich verhält es sich bei Datenleaks. Handelt es sich um sensitive, per- sonenbezogene Daten, drohen bei Verlust aufgrund der DS-GVO Strafzah- lungen. Es besteht auch die Pflicht zur Image-schädigenden Benachrichti- gung der betroffenen Personen. Kann ein Unternehmen nachweisen, dass die Daten zu jedem Zeitpunkt verschlüsselt waren, entfällt diese Pflicht. Mögliche Strafzahlungen werden verringert. Fazit: Verschlüsselung als wirtschaftliche Konsequenz der Datensicherheit ist Basis der TISAX-Zertifizierung Obwohl der TISAX-Standard nicht technik- sondern prozesszentrisch ist, können seine Anforderungen nicht ohne die Verschlüsselung erfüllt wer- den. Verbunden mit der sicheren Authentisierung sowie Prozessen zur Verwaltung und Dokumentation von Zugriffen bildet sie die Basis für ein Schutzniveau sensibler Daten, das OEM wie Zulieferer auch vor Schaden schützt. Die bisweilen leidige Pflicht zur Zertifizierung erhält in der aktuel- len Situation eine wirtschaftliche Relevanz, über die kaum ein Unterneh- men hinwegsehen kann. n Wollen Sie mehr über das Thema TISAX und Verschlüsselung erfahren? Erhalten Sie hier weitere Informationen und registrieren Sie sich zu einem unserer Webinare. Klicken Sie dazu auf den Link oder scannen Sie den QR-Code mit Ihrem Mobilfunkgerät. www.conpal.de/ tisax-Automotive/ SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 45 Compliance und sicherer Datenaustausch in der Automotive-BrancheBild: ©Fantastic - stock.adobe.com

– ADVERTORIAL – TISAX und Cloud-Verschlüsselung: Datensicherheit in der Automobilbranche Unternehmen aus stark regulierten Branchen sehen sich mit vielen Herausforderungen konfrontiert, wenn es um die Bereiche Datenaustausch und Kollaboration geht. Staatli- che Vorgaben, etwa durch Datenschutzgesetze, machen dabei nur einen Teil der Anforderungen aus. Viele Branchen und Industriezweige haben sich auf strenge Compliance-Regelungen verständigt, die durch Zertifi- kate belegt werden müssen. Einfache und effiziente Zusammenarbeit ist dennoch möglich, denn moderne Kollaborationssoftware und zeitgemäße Sicherheitslösungen ergänzen sich sehr gut. Darunter fallen beispielswei- se Ende-zu-Ende-verschlüsselte Cloud-Speicher, die auch in der Automo- bilbranche und von Zulieferbetrieben sicher verwendet werden können. Sichere Datenräume schaffen: Schutz zu jedem Zeitpunkt Der Austausch vertraulicher Informationen zwischen verschiedenen Pro- jektpartnern ist in der Automobilbranche Standard, von der Produktion über die Zulieferer und die Verwaltung bis hin zum Marketing werden sichere Datenräume benötigt. Der Schutz unternehmenskritischer Daten muss bei der Übertragung und während der Verarbeitung sichergestellt sein. Besonders gilt dies, wenn Daten mit unternehmensexternen Part- nern geteilt werden. Firewalls und Gateway-Lösungen stoßen in solchen Anwendungsszenarien an ihre Grenzen. Um alle Anforderungen an sicherheitsbewusste, moderne und dezent- rale Zusammenarbeit zu erfüllen, empfiehlt sich deshalb dateibasierte Datensicherheit. Das bedeutet: Jedes Dokument und jeder Ordner ist für sich geschützt und kann nur mit entsprechender Berechtigung geöffnet 46 SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE werden. Das senkt nicht nur das Risiko, falls Teile der Unternehmensinf-rastruktur kompromittiert werden, sondern verbessert auch die Sicher-heit bei der Datenübertragung an Außenstehende. Entsprechende Soft-ware macht sich dabei ein einfaches Prinzip zunutze: Sie verschlüsselt Daten. Nur mit dem passenden Schlüssel – in der Regel einem Passwort, Code oder biometrischen Informationen – kann der Inhalt wieder lesbar gemacht werden. Für mögliche Angreifer sind die verschlüsselten Datei-en nutzlos, denn sie sind ohne den passenden Schlüssel nur zusammen-hanglose Zeichenketten.ExpertenEmpfehlung: Nicht nur auf den Algorithmus achtenNicht jede Lösung ist für jeden Anwendungsbereich gleich gut geeignet. Es gibt Unterschiede in der Anwendung, im Zugriffs- und Berechtigungs-management sowie dem allgemeinen technischen Schutzlevel. Im Ge-gensatz zu Datenschutzgesetzen wie der DS-GVO, die zum Beispiel keine konkreten Verschlüsselungsmaßnahmen vorschreibt, können branchen-spezifische Richtlinien sehr genaue Vorgaben über die zu verwendenden Technologien und Prozesse machen. Das gilt in der Automobilbranche unter anderem für den Einsatz von Verschlüsselung, die seit 2017 fester Bestandteil des „Trusted Information Security Assessment Exchange“, kurz TISAX, ist. Dass die ergriffenen Maßnahmen dem aktuellen Stand der Technik ent-sprechen, ist eine der Voraussetzungen. Und es wird noch konkreter: TISAX gibt nicht nur die Art der Schutzmaßnahme – beispielsweise einen speziellen Verschlüsselungsalgorithmus – vor. TISAX-geeignete Software

– ADVERTORIAL – SPECIAL_4/2022 IT-SICHERHEIT IN DER AUTOMOBILBRANCHE 47 Über die Secomba GmbH | BoxcryptorDie Secomba GmbH ist ein deutsches Unternehmen und Hersteller von Boxcryptor, einer Cloud-optimierten Verschlüsselungslösung für Unternehmen und Privatpersonen. Boxcryptors Ende-zu-Ende-Ver-schlüsselung wird von führenden Unternehmen sowohl in Europa als auch weltweit zur sicheren Arbeit in der Cloud genutzt.www.boxcryptor.info/autosecDatensicherheit, made in GermanyMit dem Versprechen, bestmögliche Datensicherheit bei höchstmögli-cher Anwendungsfreundlichkeit zu bieten, schützt Boxcryptor jegliche Art von Dateien mit starker Ende-zu-Ende-Verschlüsselung. Dokumente und Ordner werden zunächst im lokalen Client auf dem jeweiligen Endgerät verschlüsselt und erst danach an den extern gelegenen Speicherort über-tragen. Ob es sich dabei um einen USB-Stick, das Firmen-NAS oder einen Cloud-Speicher handelt, spielt keine Rolle. Nur mit entsprechendem Pass-wort und der Zugriffsberechtigung können die Daten wieder im Klartext ausgelesen werden – und das auf jedem Endgerät und an jedem Ort. Für die Verschlüsselung setzt Boxcryptor auf die branchenüblichen und modernen Standards AES-256 sowie RSA mit einer Schlüssellänge von 4096 Bits. Dazu bietet die Software umfangreiche Admin-Funktionen und ein ausgereiftes Berechtigungsmanagement. Single Sign-on, ex-ternes, sicheres Teilen von Dokumenten und die Möglichkeit, auch in Microsoft Teams verschlüsselte Dateien und Nachrichten zu verschicken, runden den Funktionsumfang ab. Damit genügt die Datensicherheit von Boxcryptor sowohl gesetzlichen Datenschutzvorgaben als auch den An-forderungen, die TISAX für den „Umgang mit Informationen mit hohem Schutzbedarf“ definiert. nmuss darüber hinaus auch besondere Anforderungen an die Sicherheit der Authentifizierung (beispielsweise durch einen zusätzlichen zweiten Faktor) sowie die Aktivitätsüberwachung und Zugriffssteuerung erfüllen. Experten raten außerdem dazu, die Bedürfnisse der Anwenderinnen und Anwender stärker zu berücksichtigen. Während Zertifizierungsstellen und Datenschutzgesetze hauptsächlich die technischen und organisatorischen Maßnahmen berücksichtigen, bleibt der „Risikofaktor Mensch“ oft auf der Strecke. Der Erhalt der Anwendungsfreundlichkeit bei gleichzeitiger Sicherheit ist eine typische Problemstellung: Nur Sicherheitssoftware, die sich nahtlos in den Arbeitsablauf aller Beteiligten einfügt, kann ihre zentrale Funktion erfüllen. Arbeitsabläufe dürfen nicht unnötig verkompliziert oder verlang-samt werden, indem beispielsweise aufwendige Freigaben erforderlich sind. Sonst besteht die Gefahr, dass die Sicherheitslösung umgangen oder untergraben wird. CloudSpeicher: mehr Flexibilität, weniger Kontrolle?Cloud-Speicherdienste wie Microsoft OneDrive, Google Drive oder Drop-box wollen diese Komfort-Lücke in der Zusammenarbeit füllen und sind inzwischen weit verbreitet. Sie ermöglichen schnellen Datenaustausch über Unternehmensgrenzen hinweg. Funktionen wie die selektive Ver-fügbarkeit und die gezielte Freigabe von bestimmten Daten schaffen ein großes Plus an Flexibilität. Gleichzeitig liegt jedoch die physische Kontrolle über Cloud-Daten nicht mehr in der Hand der Unternehmen: Die Doku-mente werden auf den Servern der Speicheranbieter aufbewahrt. Eine zu-sätzliche Schutzschicht durch Verschlüsselung, wie sie die Secomba GmbH mit Boxcryptor bereits seit über einem Jahrzehnt bietet, ist deshalb be-sonders wichtig. Robert Freudenreich, CTO und Mitgründer der Secomba, fasst es zusammen:„Der Einsatz von verschlüsselten Cloud-Diensten schlägt zwei Fliegen mit einer Klappe. Einerseits wird den hohen Anforderungen an Flexibilität in der Datenspeicherung, wie sie viele Unternehmen inzwischen stellen, Rechnung getragen. Andererseits sorgt Cloud-optimierte Verschlüs-selung für den dringend benötigten Schutz. Ein unterbrechungsfreies Nutzungsergebnis bleibt dabei erhalten, denn alle Prozesse finden im Hintergrund statt.“

SECURITY MANAGEMENT | MANAGED SECURITY Dezentrales Connectivity-Management IOT MEETS BLOCKCHAIN In der Blockchain-Technologie liegt noch viel ungehobenes Potenzial. Ein gutes Beispiel ist die Anwendung im Zusammenhang mit dem Internet der Dinge (IoT). Dort kann sie mittels Dezentralisierung etwa die Sichtbarkeit der angeschlossenen Geräte verbessern. Das ist für IoT-Unternehmen von entscheidender Bedeutung, denn sie müssen sowohl einzelne Geräte als auch die von ihnen gespeicherten und verbundenen Daten zu schützen. Darüber hinaus müssen Unternehmen in der Lage sein, digitale Aufzeichnungen zu überwachen, um die Authentizität ihrer Daten nachzuweisen und festzustellen, wann und von wem Daten geändert oder abgerufen wurden. Die Blockchain kann damit als Distributed-Ledger- Technologie (DLT) das Vertrauen in ein Unternehmen stärken und zur Verbesserung der Sicherheit des IoT beitragen. ITSICHERHEIT_4/2022 49 Bild: ©Vladimir - stock.adobe.com

50 ITSICHERHEIT_4/2022 Die Blockchain bietet eine Reihe von Ansätzen, IoT-Anwendungen zu verbessern. So kann sie als eine Art erweitertes Archiv für Daten und Geräte verwendet werden. Sie bildet ab, wann welche Änderungen vorgenommen wurden, aber auch, wer zuletzt auf die Daten oder das Gerät zu-gegriffen hat, wie vertrauenswürdig das Gerät in der Vergangenheit war und in einigen Fällen auch, was die Änderung verursacht hat. Diese verteilte Informationskette kann auch automa-tisch Prozesse auf der Grundlage vorkonfigurier-ter Bedingungen auslösen. Wenn die Bedin-gung erfüllt ist, wird die entsprechende Aktion ausgeführt.EINSATZBEREICHE DER BLOCKCHAIN IN IOTANWENDUNGENVerifizierung von DatenIoT-Sensoren und -Geräte spielen mittlerweile vermehrt eine wichtige Rolle bei Entscheidun-gen und Prozessen. Daher wird es für Unterneh-men, Regierungen und Privatpersonen immer wichtiger, die Herkunft der Daten zu kontrollie-ren – vor allem, wenn sie von Dritten stammen, die sie möglicherweise in irgendeiner Weise verändern wollen. Daten könnten schließlich von einem Unternehmen verändert werden, um Betrug zu verbergen, oder vom Staat manipuliert werden, um Maßnahmen zu beeinflussen oder die öffentliche Meinung zu verzerren.In einigen Branchen kann Blockchain-Technolo-gie dazu beitragen, die Qualität zu sichern, die Manipulation von Daten oder Waren aufzu-decken und die Prüfung von Logistikdaten zu erleichtern. Nehmen wir zum Beispiel an, eine Sendung mit gefrorenem Fleisch überschreitet während des Transports die obere Tempera-turgrenze und verdirbt im Regal, wodurch sie wertlos wird. Wenn ein Kühlkettenüberwa-chungssystem eine Blockchain verwendet, um IoT-Daten zu speichern, zu verfolgen und zu verbreiten, könnten alle Teilnehmer entlang der Kühlkette überprüfen, von welchem Sensor die Daten stammen, wo genau der Fehler aufgetre-ten ist und welche Partei dafür verantwortlich ist. Die Blockchain-Technologie könnte sogar Alarm auslösen, um beide Parteien zu benach-richtigen, wenn die Temperatur einer Sendung einen bestimmten Schwellenwert überschreitet. Im Falle von kontrollierten Substanzen könnte eine „Blockchain der Dinge“ ein verteiltes Haupt-buch bereitstellen, das verdächtige Zustandsän-derungen wie außerplanmäßige Stopps, Contai-nerbewegungen oder Gewichtsabweichungen aufzeigt.Theoretisch wäre sogar denkbar, das die am Prozess beteiligten Parteien mittels Block-chain rechtliche Ansprüche überprüfen oder zumindest dokumentierten, dass die Daten in irgendeiner Weise verändert wurden. Die He-rausforderung hierbei besteht jedoch darin, nachzuweisen, ob es ein Problem mit einem ein-zelnen Sensor gab, oder ob die Daten absichtlich verfälscht wurden.Überprüfung der Historie eines IoT-GerätsBei Tausenden von IoT-Geräten sind Unterneh-men gern geneigt, Fehler und Unstimmigkeiten als isolierte Vorfälle zu behandeln. Wenn jedoch ein Gerät wiederholt Probleme verursacht, soll-ten Unternehmen in der Lage sein, die Fehler-quelle zuverlässig zu identifizieren.Die Blockchain-Technologie ermöglicht es, je-dem Gerät einen eindeutigen Schlüssel zuzuwei-sen und verschlüsselte Anfrage- und Antwort-nachrichten zu senden. Im Laufe der Zeit können diese Schlüssel verwendet werden, um ein Profil jedes Geräts zu erstellen und seine Historie zu verfolgen. Auf diese Weise können Unterneh-men feststellen, welche Geräte ersetzt werden müssen und ob es sich bei dem Ausfall um einen Einzelfall oder um ein Muster fehlerhaften Ver-haltens bei einem bestimmten Gerät handelt.Optimierung der AutomatisierungDie Automatisierung ist einer der wesentlichen Vorteile des IoT. Wenn ein Sensor etwas erkennt, das eine Reaktion erfordert, kann das Warten auf eine manuelle Fehlerbehebung verheerende Folgen haben. Dabei kann es sich beispielswei-se um ein offenes Ventil handeln, das Tausende von Litern Wasser verschwendet, um einen An-schlussfehler, der die Benutzung des Geräts ver-hindert, oder um einen gesundheitlichen Notfall. Die Folgen sind nicht immer gravierend, aber selbst kleine Verzögerungen können sich erheb-lich auf die Kosten auswirken, den Ruf schädigen und die Lebensdauer von Anlagen verkürzen.Die Blockchain ermöglicht die Implementierung von „Smart Contracts“, die Transaktionen für einzelne Geräte unter bestimmten Bedingun-gen vorab und automatisch genehmigen. Wenn beispielsweise eine Fabrik vorbeugende War-tungsarbeiten durchführt und Sensoren dabei feststellen, dass die Leistung eines bestimmten Teils oder einer bestimmten Anlage unter einen vorgegebenen Schwellenwert gefallen ist, kann der Sensor eine automatische Bestellung eines Ersatzteils auslösen. Die Blockchain fungiert hierbei als vertrauenswürdige „Autorität“, durch welche die Transaktion legitimiert wird.Noch mal zurück zum Beispiel Kühlkettenüber-wachung: Angenommen, Sensoren zeigen an, dass Waren verdorben sind oder während des Transports einen Kälteschaden erlitten haben. Es soll aber nicht gewartet werden, bis die Bestel-lung angekommen ist, um sie zu ersetzen. Hier bietet IoT eine digitale Spur, um zu beweisen, dass der Spediteur für den Schaden verantwort-lich war. Smart Contracts setzen noch einen drauf: Sie können auch den Austauschprozess automatisieren und so Verzögerungen beim Empfänger reduzieren.Smart Contracts dienen zudem der automa-tischen Koordinierung von Dienstleistungen. Angenommen, ein großes Unternehmen verfügt über einen Sensor, der Verschmutzungen wie Kalkablagerungen in einem Wasserkühlturm erkennt. Diese Probleme beeinträchtigen die Effizienz des gesamten Wasserkühlsystems und erfordern häufig einen fachmännischen Eingriff. Wenn die Verschmutzung oder die Mineral-ablagerung einen bestimmten Schwellenwert erreicht, könnte ein Gerät mithilfe von Smart Contracts die Einplanung der erforderlichen Dienste und damit die Klärung des Problems automatisieren.Steigerung der IoT-SicherheitIoT-Geräte können gehackt werden, um sie in Botnets – einer Gruppe automatisierter Schad-programme, sogenannter Bots – zu verwen-den. Auf diese Weise können Angreifer wertvolle Daten stehlen, in private Netzwerke eindringen, Identitätsdiebstahl begehen oder einfach nur grundlegende Gerätefunktionen stören. Ange-sichts der sensiblen Natur von IoT-Daten und ih-rer Nähe zu anderen anfälligen Systemen ist die Sicherheit ein ständiges Anliegen für Unterneh-men, die sich auf vernetzte Geräte verlassen. Es sind zwar viele verschiedene Sicherheitslö-sungen verfügbar, aber es gibt auch erhebliche Einschränkungen. Die meisten IoT-Geräte sind batteriebetrieben und können keine energiein-SECURITY MANAGEMENT | MANAGED SECURITY

SECURITY MANAGEMENT | MANAGED SECURITY MARTIN GIESS, CTO und Mitbegründer von EMnify ITSICHERHEIT_4/2022 51 definiert sind. Deshalb ist es entscheidend, dass Unternehmen sich beim Roll-out Zeit lassen und die Parameter für die Blockchain so genau wie möglich abstimmen.Einhaltung der Vorschriften und rechtliche AuswirkungenEines der wichtigsten Ziele der Blockchain be-steht darin, einen „Beweis“ dafür zu liefern, dass IoT-Daten vertrauenswürdig sind. Als Beweis kann sie daher auch in Gerichtsverfahren heran-gezogen werden. Soll die Blockchain die end-gültige Quelle der Wahrheit werden, auf die sich IoT-Unternehmen verlassen können, braucht die Branche allerdings klare Richtlinien, wie die verteilten Ledger rechtlich zu kontrollieren sind – oder Entwickler müssen bei jeder Implemen-tierung mit Anwälten zusammenarbeiten. Es bleibt demnach abzuwarten, wie sich die Dinge in den nächsten Jahren vor Gericht entwickeln, wenn Organisationen, Regierungsbehörden und Einzelpersonen IoT-Blockchain-Daten als Be-weismittel vorlegen.FAZIT Die Blockchain-Technologie wird unweigerlich im zukünftigen IoT zum Einsatz kommen. In den kommenden Jahren wird sich dieser Sektor in aufregende neue Richtungen weiterentwickeln, da 5G, NB-IoT und LTE-M zunehmend verfüg-bar sind und in größerem Umfang eingesetzt werden. Darüber hinaus entstehen ständig neue, innovative Anwendungen für vernetzte Geräte. Bislang ist noch offen, wie ein Einsatz der Blockchain-Technologie im IoT konkret aus-sehen wird und wie mit Herausforderungen wie Datenschutz, rechtlichen Auswirkungen, Batterielebensdauer und physischer Sicherheit umgegangen wird. Dennoch bietet die Block-chain-Technologie schon jetzt viele Vorteile für IoT-Geräte und Prozesse, die Unternehmen nicht ungenutzt lassen sollten. nBegrenzte BatterielebensdauerDie meisten IoT-Geräte haben eine einzige Bat-terie, die für ihre gesamte Lebensdauer genügen sollte. Unter idealen Bedingungen kann diese bis zu zehn Jahre und länger betragen. Selbst wenn das Netz in der Lage ist, mehr Daten zu verarbei-ten, verbrauchen datenintensive Prozesse mehr Strom und verkürzen damit die Lebensdauer des Geräts. Durch die Dezentralität der Block-chain und der damit einhergehenden Kette von Informationen wird der Prozess zwangsläufig datenintensiver. Gates und andere Netzwerkge-räte können zwar dabei helfen, diese zusätzliche Last zu bewältigen; doch muss auch die Batte-rietechnologie noch weiterentwickelt werden, bevor die Blockchain-Technologie für einen großflächigen Einsatz im IoT bereit ist.Physische SicherheitEiner der Hauptvorteile der Blockchain für das IoT ist die Fähigkeit, das Vertrauen in Daten, Geräte und Nutzer zu stärken. Wenn jedoch di-gitale Hauptbücher physische Objekte verfolgen, entsteht eine Sicherheitslücke, für welche die Blockchain-Technologie noch nicht vollständig gerüstet ist. Dies ist eine der größten Herausfor-derungen der Blockchain im IoT, denn physische Dinge außerhalb der Blockchain können nicht durch diese verifiziert werden.DatenschutzDaten automatisch zwischen mehreren Parteien auszutauschen und an mehreren Standorten zu speichern, ist für das IoT wertvoll. Dennoch ist es notwendig zu überlegen, wer automatisch Zugriff auf welche Daten haben soll. Es besteht das Risiko, dass die von der Blockchain gebotene Überwachung und Transparenz zu viele Informa-tionen an Dritte weitergeben könnte. Wie groß dieses Risiko ist, hängt es letztlich davon ab, wie viel Zugang einzelne Parteien haben und wie klar die Parameter für die gemeinsame Nutzung tensiven Prozesse verarbeiten. Viele IoT-fähige Netze haben zudem eine sehr niedrige Daten-übertragungsrate, sodass es schwierig oder un-möglich ist, Unternehmensressourcen drahtlos zu aktualisieren (Over-the-Air, OTA).Einige Aspekte der Blockchain können die Si-cherheit des IoT erheblich verbessern. Durch die Dezentralisierung wird sichergestellt, dass sich Dritte nicht einfach in einen Server einhacken und die auf dem Gerät gespeicherten Daten beschädigen können. Darüber hinaus wird jeder Versuch, auf diese Daten zuzugreifen, sowie jede Veränderung der Daten oder des Geräts doku-mentiert.Auch kann die Blockchain die Sicherheit von IoT-Geräten verbessern, die mit Menschen interagieren. Sie speichert und kontrolliert bio-metrische Daten an mehreren Orten, sodass sie nicht verändert werden können. Dadurch wird sichergestellt, dass niemand Unbefugtes, der physischen Zugang zu einem Gerät hat, auf dessen Daten oder Funktionen zugreifen kann. Die Speicherung dieser Informationen in einer Blockchain birgt jedoch auch Sicherheitsrisiken, da die Informationen im Fall eines Einbruchs ge-stohlen werden könnten.ZugriffsprotokolleAuf der Blockchain kann die gesamte Historie eines Geräts und seiner Nutzer aufgezeichnet werden. Dies hilft Unternehmen, Veränderungen zu untersuchen – welcher Anwender ein Gerät zuletzt benutzt und wie er damit interagiert hat. Genauso wie die Historie eines Geräts Aufschluss über seine Zuverlässigkeit gibt, kann die Historie eines Users dessen Zuverlässigkeit und Leistung belegen und Unternehmen dabei helfen, gute Arbeit zu belohnen, Muster und Entscheidungs-prozesse zu analysieren und die Qualitätssiche-rung zu verbessern.HERAUSFORDERUNGEN FÜR DAS IOT MIT BLOCKCHAINDie Blockchain hat also viel Optimierungspo-tenzial für IoT, und zusammen mit den schnell wachsenden Anwendungen des IoT könnte die Technologie zu einem integralen Bestandteil für viele Branchen werden. Doch so weit ist es noch nicht, denn in der Welt des IoT gibt es noch be-trächtliche Herausforderungen für die tatsächli-che Umsetzung der Blockchain.Bilder: ©Passatic - stock.adobe.com (re.); © nb_factory - stock.adobe.com (li.)

CYBERSICHERHEIT Wie sich KI und Sicherheitsexperten für eine Analyse des Netzwerkdatenverkehrs optimal ergänzen VIERAUGENPRINZIP FÜR DIE CYBERABWEHR Es gibt zwei Arten von Cyberangriffen: automatisierte opportunistische Versuche, in ein Netzwerk einzudringen und gezielte Advanced-Persistent-Threat (APT)-Attacken. Erstere sind in der Mehrzahl, und künstliche Intelligenz (KI) kann einen Großteil automatisiert abblocken. Hinter einer APT stehen aber oft Menschen. Wer solche, immer häufiger vorkommenden Angriffe auf Netzwerkebene verteidigen will, benötigt sowohl KI als auch menschliche Intelligenz. Hacker sind am ehesten durch die Spuren ihrer Malware im Netz- werk erkennbar. Diese verursa- chen anomale Muster im Datenverkehr, die aber in der Menge an Informationen leicht verloren gehen. Auf sich allein gestellt ist der menschli- che IT-Verantwortliche überfordert, wenn er sie erkennen soll. Künstliche Intelligenz leistet einen wichtigen Abwehrbeitrag, erkennt Anomalien im Daten- verkehr in Echtzeit anhand der Metadaten und schlägt sofort Alarm, um Abwehrreaktionen aus- lösen zu lassen. KI und eine automatisierte Cy- berabwehr können 90 Prozent der Sicherheits- vorfälle auf Tier-1-Level automatisch erkennen und die Abwehr initiieren – so zumindest das Urteil der Experten von Splunk. Doch was ist mit den verbleibenden zehn Pro- zent? Da hinter komplexen Angriffen oft noch 52 ITSICHERHEIT_4/2022 menschliche Täter stehen, sind für eine zu- kunftssichere Abwehr sowohl die menschliche Logik als auch das menschliche Urteilsvermögen bei der Analyse von Informationen essenziell. SECHSFACHER MEHRWERT MENSCHLICHER ITSICHER HEITSANALYSTEN Keine Cyberabwehr kommt mehr ohne KI aus. Aber die menschlichen Beobachter bieten immer noch ein wichtiges Plus: 1. AI und menschliche Intelligenz ergänzen sich: Eine mit Machine Learning (ML) und Threat In- telligence optimierte KI kann große Mengen an Informationen schnell und ohne Fehler analy- sieren. Der IT-Sicherheitsexperte baut darauf auf und interpretiert die Muster des Datenverkehrs. Zugleich leitet er anhand erprobter Abläufe die Abwehr. Er ist zudem durch seine Kennt- nis des Unternehmens und der IT ein wichtiger Coach der AI. Hier beschleunigt er die Definition normaler und damit legitimer Datenübertra- gungen – unter anderem durch das Taggen IT- sicherheitskritischer Systeme. Er berücksichtigt zusätzlich solche Informationen, die im Netz- verkehr nicht sichtbar sind: Wenn etwa Geräte vorhanden, aber nicht zentral verwaltet sind, oder wenn ein Unternehmen einen neuen Sitz aufbaut, was Anfragen mit bis dahin ungewöhn- lichen IP-Adressen erklärt. Oder wenn es neue Technologien, Anwendungen und damit Syste- me implementiert. 2. Informationen im Kontext bewerten: Künstliche Intelligenz ist ein statistischer Ansatz. Da es für das Erkennen, die Abwehr und die Prä- vention von Gefahren Zusammenhänge braucht, die über Einzeldaten hinausgehen, spielt der Mensch und seine Urteilsfähigkeit eine wichtige Bild: © Gorodenkoff - stock.adobe.com

CYBERSICHERHEIT Network Detection and Response liefert einen 360-Grad- Blick über alle zentral verwalteten IT-Ressourcen hin- weg – eine Fülle an Informationen, die eine KI aufbereitet und analysiert. (Quelle: ForeNova) PAUL SMIT, Director Professional Services bei ForeNova (Foto: ForeNova) ITSICHERHEIT_4/2022 53 Rolle. Konkretes Unternehmenswissen hilft zum Beispiel dann, wenn ein von einem Unterneh- men beauftragter IT-Dienstleister plötzlich in ei- nem Subnetz agiert, für das er überhaupt keinen Auftrag hat. Selbst wenn das Datenverkehrs- muster zunächst unauffällig erscheint, so weist das Überschreiten der Kompetenzen eventuell auf einen kompromittierten IT-Dienstleister hin und ist zu überprüfen. 3. Die nächsten Schritte des Hackers vorwegnehmen: Komplexe Advanced Persistent Threats (APT) sind immer noch Menschenwerk. Hinter Phishing-Angriffen auf wichtige Personen im Unternehmen stehen oft keine Spam-Bots, son- dern menschliche Social-Engineering-Profis, die durch einen gezielt gesendeten E-Mail-Anhang ins Netz gelangen. KI erkennt dann, dass ein menschlicher Angreifer sich im Netz zu schaffen macht. Die individuelle Taktik des Hackers bildet sich nicht durch statistische Indikatoren ab. Um die nächsten Schritte des Angreifers vorwegzu- nehmen, kann sich ein erfahrener Sicherheits- analyst in den Hacker hineinversetzen und seine nächsten Schritte voraussehen. 4. Gesamtheitliche Tätermotivation erfassen: Eine Cyberabwehr muss die Motive eines Krimi- nellen berücksichtigen. Nicht jeder Angreifer will Daten entwenden, verschlüsseln und Lösegeld erhalten. Hacker haben verschieden Motive: Das Kapern von Ressourcen, um Bitcoins zu schürfen, eine vielleicht politisch oder persönlich motivier- te Sabotage oder einfach die Lust am Zerstören. Somit darf eine Abwehr nicht nur Daten sichern oder Informationslecks schließen. Eine nach-haltige Reaktion verlangt ein Verständnis der menschlichen Psychologie.5. Relevante und priorisierte Sicherheit anstatt Abwehr-Automatismen:Ein IT-Sicherheitsanalyst priorisiert Risiken indi-viduell für ein Unternehmen. Dabei erfolgt die Wahl der Abwehr je nach Kontext: Handelt es sich um wiederbeschaffbare Daten, die mögli-cherweise gar keinen Wert mehr für das Unter-nehmen haben oder um die viel zitierten Kron-juwelen? Daraus resultierende Fragen nach einer zur Situation passenden Abwehr angesichts der Relevanz von Daten oder Prozessen für den Ge-schäftserfolg kann eine KI nicht beantworten.Zudem hat der Analyst den Blick für branchen-typische Angriffe. Greifen Hacker das Unterneh-men X aktuell mit einer Malware an, ist es sehr wahrscheinlich, dass sie es danach bei Konkur-rent Y und Z versuchen. Eine KI, die nur das eige-ne Netz im Blick hat, sieht ein solches Risiko nur, wenn eine hochaktuelle Threat Intelligence sie unterstützt.6. Abwehr leiten und Kollateralschäden vermeiden:Eine KI hat große Stärken im Erkennen einer Gefahr und kann eine Abwehr automatisch star-ten. Jede Abwehr hat jedoch Nebenwirkungen und kann IT- oder Geschäftsabläufe beeinträch-tigen. Die Abwehr ist unter Umständen nicht weniger komplex und folgenreich als die APT. Somit sind hier Sicherheitsanalysten gefragt, weil sie die Folgen des Handelns berücksichtigen und abwägen können. Nicht zu rechtfertigen-de Kollateralschäden, wie etwa das Blockieren eines IoT-gesteuerten Gebäudezugangs oder von IT-Systemen in der Krankenpflege, kann die menschliche Expertise vermeiden.Beim Nachbereiten eines Angriffes kommt einem Sicherheitsanalysten dann eine wich-tige beratende Rolle zu. Er kann anhand einer gespiegelten Aufzeichnung des gesamten Netz-werkes forensisch nachvollziehen, was passiert ist und wie Angriffe in Zukunft verhindert wer-den können.KI UND MENSCH SIND AUFEINANDER ANGEWIESENIT-Sicherheit ohne KI gehört der Vergangen-heit an. Dennoch wird der Sicherheitsexperte nicht überflüssig. Er bleibt relevant als kontinu-ierlicher Interpret von Alarmen, als Betreuer in Krisensituationen und als Berater für eine zu-kunftssichere IT-Sicherheit. Jede „Detection and Response“ ist idealerweise von einer „Managed Detection and Response“ ergänzt. n

CYBERSICHERHEIT Ob reale Notfälle oder digitale Cy- berkrisen aufgrund von Hacker- angriffen – für beides müssen sich Unternehmen entsprechend aufstellen bzw. schützen. In diesem Zusammenhang erhalten die Themen digitale Resilienz, Zero Trust und Notfallkommunikation eine neue Wichtigkeit. Gleiches gilt für digitale Kommunikationslösun- gen, die als Hauptkommunikationsmittel sicher funktionieren und Notfallsituationen kommu- nikativ unterstützen sollen. Dessen werden sich auch Unternehmen immer mehr bewusst. Daher suchen sie nach sicheren digitalen Kommunikati- onslösungen, die auch bei Telefonie- und Strom- ausfällen funktionieren und die Zusammenarbeit von Teams, Abteilungen oder des gesamten Un- ternehmens während einer Krisen- oder Notfall- situation ermöglichen. Den Wunsch nach erhöh- ter Sicherheit erfüllen entweder Plattformen, die sich gesamtheitlich auf Krisenmanagement fo- kussieren, oder Lösungen, die durch spezifische Funktionen eine reibungslose Kommunikation garantieren. Dabei werden kostenlose Messen- 54 ITSICHERHEIT_4/2022 ger wie WhatsApp & Co. aus datenschutzrechtli- chen Gründen zunehmend gemieden. Aber auch bei UC&C-Tools (Unified communications and collaboration) wie Microsoft Teams und Zoom stoßen Unternehmen immer häufiger an Com- pliance- und funktionale Grenzen. WIE SICH SPEZIALISIERTE KOMMUNIKATIONSLÖSUN GEN UND ZERO TRUST ERGÄNZEN Organisationen, die eine für Unternehmen spezi- alisierte Kommunikationslösung einsetzen, sind nicht nur deutlich krisenfester, sondern weisen zudem eine höhere digitale Resilienz auf. Das bedeutet, sie verfügen über eine stärkere Wider- stands- und Regenerationsfähigkeit angesichts komplexer und zunehmend unvorhersehbarer Risiken in digitalen sowie informationstechno- logischen Zusammenhängen. Noch mehr Schutz wird anhand eines Zero-Trust-Sicherheitsprinzips gegeben. Zero Trust bedeutet, Dienste, Geräte und Anwender im eigenen Netzwerk wie Externe zu behandeln. Dem Zero-Trust-Sicherheitsprinzip folgend gilt es, alle verfügbaren Datenpunkte in die Authentifizierung und Autorisierung ein- zubeziehen, Nutzerrechte zu beschränken und den Segmentzugriff zu minimieren. Bei einer digitalen Kommunikationslösung kann dies beim Hosting anfangen und über die Nutzerverwal- tung bis hin zur Zwei-Faktor-Authentifizierung und Standort-Freischaltung gehen. Auf diese Weise müssen Hacker nicht nur eine, sondern viele Hürden überwinden, um Daten abzugreifen oder Schaden anzurichten. Eine digitale Kom- munikationslösung, die auf einem Zero-Trust-Si- cherheitsprinzip aufbaut, ist eine unverzichtbare Verstärkung der digitalen Resilienz. DIE GRUNDSTEINE EINER DIGITALEN KOMMUNIKATI ONSLÖSUNG Wie bereits angeklungen, geht es bei digita- len Kommunikationslösungen um viel mehr als Die aktuellen Geschehnisse in Europa verstärken das Sicherheitsbedürfnis – auch in Unter-nehmen. Infolgedessen haben Cybersicherheit und eine sichere Kommunikation – sowohl innerhalb einer Organisation als auch zu externen Stakeholdern – an neuer Relevanz gewonnen. Unternehmen rüsten auf, um für nicht vorhersehbare Notfall- und Krisensituati-onen gewappnet zu sein, denn dann sind schnelle Reaktionen, klare Informationen und konkrete Anweisungen in der Kommunikation gefragt. Nur so können Unternehmen ihren Mitarbeitenden, Partnern sowie Kunden Unsicherheiten nehmen und bleiben selbst hand-lungsfähig. Ziel muss es sein, die digitale Resilienz zu steigern und die Kommunikation auf Basis eines Zero Trust- Sicherheitskonzepts aufzubauen.Digitale Resilienz stärken und auf Zero-Trust-Sicherheit bauenIN KRISENSITUATIONEN SICHER KOMMUNIZIEREN

nur DS-GVO-Konformität und die Erfüllung der Compliance. Auch in Krisen- und Notfallsitua- tionen sollten sie einwandfrei einsetzbar sein. Dabei spielt die funktionale Beschaffenheit eine entscheidende Rolle. Eine digitale Kommunika- tionslösung muss auf den folgenden drei Grund- steinen basieren: Sicherheit, Geschwindigkeit und Notfallfunktionen. In Krisen- und Notfallsi- tuationen können Sekunden entscheidend sein. Die Kommunikationsgeschwindigkeit ist daher ein essenzieller Faktor. Für die Krisenkommu- nikation gilt es, mobile Endgeräte und digitale Lösungen samt geeigneter Funktionen schon bereitzustellen, bevor es zu einer Ausnahme- situation kommt. Um alle Beteiligten zugleich optimal zu schützen, sind primäre Sicherheitsan- forderungen in Krisen und Notfällen unverzicht- bar. Dazu gehören maximale Datensicherheit, größtmögliche Datenhoheit sowie die Arbeit auf der Grundlage von Zero Trust. Zudem ver- langt das Managen von Ausnahmesituationen ein hohes logisches Verständnis. Entscheidend dabei ist, das Geschehen aus funktionaler Sicht zu betrachten. Je einfacher die Lösung anzuwen- den ist, desto schneller können alle Betroffenen informiert werden. Nur wenn eine Kommunikationslösung auf diese drei zentralen Aspekte einzahlt, unterstützt sie Krisen- und Notfallsituationen, indem sie einen reibungslosen Informationsaustausch vor, wäh- rend sowie danach ermöglicht. Das schließt eben- so Mitarbeitende, Stakeholder und Kunden ein. IN DREI SCHRITTEN AUF KRISEN UND NOT FALLSITUATIONEN VORBEREITET SEIN Um Ausnahmesituationen optimal zu begegnen, hat sich ein dreistufiges Vorgehen bewährt: Schritt 1: Einen Krisen- und Notfallkommunikationsplan aufstellen Zuallererst gilt es, einen Notfallkommunika- tionsplan anzufertigen. Typische Krisen- und Notfallsituationen sind etwa eine fehlerhafte Produktion, Mitarbeiterunfälle, Umweltkatas- trophen und zunehmend auch Hackerangriffe. Die Erstellung des Notfallkommunikationsplans obliegt dem Business Continuity Manager. Der Plan dient dem Zweck, alle Betroffenen – von einzelnen Teams über die komplette Belegschaft bis hin zur gesam- ten Organisation – unabhängig von ihrer Arbeitssituation, sei es im Büro, Homeoffice, unterwegs auf dem Be- triebsgelände oder mobil im Außendienst kurz und knapp zur gleichen Zeit über eine Krisen- oder Notfallsituation zu informieren und eine Austauschmöglichkeit zu schaffen sowie etwaige Schäden für das Unternehmen so gering wie möglich zu halten. Zugleich sind in einem Notfallkommunikati- onsplan Personen benannt, die im Ernstfall als Krisenstab fungieren. Er hält also einerseits fest, welche Prozesse intern vonstatten gehen müssen. Und stellt andererseits sicher, dass die Kommunikation zwischen Mitarbeitenden und Unternehmen sowie vice versa zuverlässig gegeben ist. Der Plan wird mit entsprechenden Lösungen hinterlegt, die den Prozess in Gang setzen und einen reibungslosen Ablauf garantie- ren. Es empfiehlt sich zudem, den Notfallkom- munikationsplan mindestens einmal im Jahr auf den Prüfstand zu stellen. Schritt 2: Die Theorie in die Praxis umsetzen Standard-Kommunikationstools eignen sich zwar für die alltägliche Unternehmenskommu- nikation, sind aber nicht auf Krisen- und Not- fallsituationen ausgelegt, denn UC&C-Tools wie Microsoft Teams und Slack bieten hierfür keine spezialisierten Zusatzfunktionen. Aber auch kostenlose private Messenger wie WhatsApp und Telegram gilt es – aufgrund fehlender Not- fall-Funktionen und der Absage an das Sicher- heitsmodell Zero Trust – zu vermeiden. Besser ist es, die Mitarbeitenden mit einer digitalen Kommunikationslösung auszustatten, die einfach und intuitiv zu nutzen ist, ausgereifte Zusatzfunktionen für Krisen- und Notfallsituationen bietet und keine Sicherheitslücken entstehen lässt, also maximale Datensicherheit und -hoheit garantiert. Schritt 3: Eine digitale Kommunikationslösung festsetzen Ziel einer digitalen Kommunikationslösung für Krisen- und Notfallsituationen muss es stets sein, einzelnen Teams über die komplette Belegschaft bis hin zu gesamten Organisatio- nen und externen Stakeholdern wie Lieferan- ten, Kunden oder andere Unternehmen eine uneingeschränkte Echtzeitkommunikation zu ermöglichen. Da sich mittlerweile das Smart- phone zum wichtigsten Endgerät für die mobile CYBERSICHERHEIT Kommunikation etabliert hat, empfiehlt sich die Integration einer Instant-Messaging-App, die mit ausgereiften Funktionen für den Notfall aufwartet. Dazu gehören Alarmierungen, um schnell zu warnen und Rückmeldung der Betroffenen zu erhalten; Broadcasting, um Betroffene über Krisen- und Notfallsituationen in Kenntnis zu setzen; Status-Nachrichten, um in einem Notfall Handlungsanweisungen zu geben und die nächsten Schritte zu beschreiben; Push-to-Talk, um eine direktere Sprachkom- munikation zu ermöglichen und näher an den Betroffenen zu sein; Gruppen-Chats, um über vordefinierte Kreise und Listen den Austausch zwischen den Mit- gliedern des Krisenstabs zu vereinfachen; föderierte Chats und Gastzugänge, um die Kommunikation und Zusammenarbeit mit Partnern, Lieferanten und Zulieferern sicher- zustellen; Live-Location, um aktuelle Standorte teilen zu können. FAZIT Um sowohl vor realen Notfallsituationen als auch Cyberangriffen besser aufgestellt zu sein, brauchen Unternehmen vor allem eins: digitale Resilienz. Diese können sie wiederum stärken, indem sie auf ein Zero-Trust-Sicherheitsmodell aufbauen. Insbesondere bereits eingesetzte oder geplante Lösungen müssen dem gestellten An- spruch nach Zero Trust gerecht werden. Dem fol- gend wird für Unternehmen eine digitale Zero- Trust-Kommunikationslösung unverzichtbar, die Krisen- und Notfallpläne unterstützt und so den Informationsfluss zu jeder Zeit und an jedem Ort sicherstellt sowie den Schutz von Mitarbeiten- den garantiert. n TOBIAS STEPAN, Gründer und Geschäftsführer von Teamwire ITSICHERHEIT_4/2022 55 Grafik: © Teamwire

CYBERSICHERHEIT Informationssicherheit kritischer Infrastrukturen im Gesundheitssektor WIE KRITIS IHRE CYBER SICHERHEIT STEMMEN Sicherheit in der Informationstechnik – eine IT-Aufgabe? Das ist zu kurz gedacht. Der Schutz kritischer Infrastrukturen auch vor Cyberangriffen ist eine Management- aufgabe und setzt den Aufbau eines ISMS (Information Security Management Sys- tem) voraus. Branchenspezifische Standards, Umsetzungshinweise und begleiten- des Coaching durch externe Experten helfen bei der Lösung. Cyberattacken bergen für alle Unternehmen hohe Risiken: Es drohen Produktionsausfälle, Datenverlust, Lösegelderpressung. Weit größer sind aber die möglichen Schäden bei Angriffen auf kritische Infrastrukturen, zu denen auch die Gesundheitsversorgung zählt. Denn Ausfälle in diesen Bereichen wirken sich nicht nur auf die einzelnen Unternehmen aus, sondern können die Grundversorgung oder die öffentliche Sicher- heit gefährden. Betreiber kritischer Infrastruk- turen sind daher per Gesetz zum besonderen Schutz ihrer informationstechnischen Systeme verpflichtet. SICHERHEITSVORGABEN DURCH KRITIS UND KRITIS LIGHT gnostik. Die entsprechenden Anlagen gelten ab einer festgelegten Größe (Schwellenwert) als kritische Infrastrukturen. Die Betreiber müssen angemessene Vorkehrungen treffen, um Stö- rungen der – für die Funktion der jeweiligen kritischen Infrastruktur maßgeblichen – infor- mationstechnischen Systeme zu vermeiden. Diese Sicherheitsvorkehrungen sind gegenüber dem Bundesamt für Sicherheit in der Informa- tionstechnik (BSI) alle zwei Jahre nachzuweisen und an den Stand der Technik anzupassen (§ 8a BSI-Gesetz). Unabhängig von der Größe gelten die Verpflichtungen zur Informationssicherheit seit Januar 2022 für alle Krankenhäuser, lediglich die Nachweispflicht gegenüber dem BSI entfällt. Grundlage dieser oft auch als „KRITIS light“ be- zeichneten Vorgaben ist § 75c des Sozialgesetz- buches (SGB) V. Im Gesundheitswesen gehören zu den kritischen Dienstleistungen die stationäre medizinische Versorgung sowie die Versorgung mit unmittel- bar lebenserhaltenden Medizinprodukten, ver- schreibungspflichtigen Arzneimitteln, Blut- und Plasmakonzentraten ebenso wie die Labordia- Insbesondere für kleinere Krankenhäuser, die neu mit dieser Herausforderung konfrontiert sind, stellt sich die nun die Frage, wie die IT- Sicherheitsvorgaben umzusetzen sind. Da es um den Schutz der Informationssysteme geht, scheint es naheliegend, die IT-Abteilung damit 56 ITSICHERHEIT_4/2022 zu beauftragen. Doch dieser Ansatz greift zu kurz. Natürlich kommt der IT eine sehr wichtige Rolle bei der Erkennung und Bekämpfung von Cyberangriffen zu. Ziel der KRITIS-Verordnungen im Gesundheitssektor ist aber, durch angemes- sene technische und organisatorische Maßnah- men die Kernfunktionen aufrechtzuerhalten, also die Versorgung der Patienten wie auch die Datensicherheit zu gewährleisten. WARUM DIE UMSETZUNG DER KRITISVORGABEN KEIN ITPROJEKT IST Inwieweit mögliche Störungen der IT-Struk- turen tatsächlich auch die Kernfunktionen der betroffenen Infrastruktur beeinträchtigen, hängt vom Stand der Digitalisierung ab. Hier gibt es innerhalb des Gesundheitssektors beträchtliche Unterschiede. Während sich in den hochgra- dig automatisierten, produzierenden Bereichen der Pharmaindustrie IT-Ausfälle direkt auf die Kernprozesse wie die Arzneimittelproduktion auswirken, sind bei vergleichbaren Störungen in Krankenhäusern die medizinischen Prozes- Bilder: Pixabay

CYBERSICHERHEIT se nicht zwingend gefährdet. Oft erleichtern hier IT-Prozesse die organisatorischen Abläufe; die Vorgänger-Prozesse wie schriftliche Auf- zeichnungen, Vermerke oder Kennzeichnungen sind aber oft noch in der Organisation bekannt. Mitarbeitende können dann bei Störungen der IT sehr schnell auf solche früher geläufigen Vor- gehensweisen zurückgreifen. Für technische Ausfälle während einer Operation sind ohnehin feste Prozesse etabliert wie etwa Stabilisierung der Patienten und Überwachung in der Inten- sivstation. An dieser Stelle wird bereits deutlich, worin die eigentliche Herausforderung bei der Umsetzung der IT-Sicherheit nach KRITIS und KRITIS light besteht: in der Analyse, Bewertung und Überar- beitung aller relevanten Unternehmensprozesse. Nicht nur die Bewältigung einer Bedrohungssi- tuation ist untrennbar verknüpft mit bestehen- den Ersatzprozessen, insbesondere dem Notfall- Management, auch die Gefährdung selbst geht neben typischen Software-Schwachstellen eben auch von menschlichen Fehlern aus (Beispiel: Social Engineering). Unzureichend kontrollierte Zugangs- und Zutrittsbeschränkungen, fehlende Sicherheitsvorgaben schon bei der Beschaffung oder weitere Prozessmängel können ebenfalls eine Rolle spielen. Und auf viele dieser Prozesse haben IT-Verantwortliche gar keinen Einfluss. INFORMATIONSECURITY MANAGEMENTSYSTEME UND DIE ROLLE DER GE SCHÄFTSLEITUNG Um KRITIS-Sicherheitsvorgaben im Health-Care- Sektor erfolgreich umsetzen zu können, brau- chen Unternehmen daher zunächst ein Informa- tionssicherheitsmanagementsystem (ISMS). In der Struktur und Funktionsweise ist das am ehesten mit einem Qualitätsmanage- ment-System vergleichbar. Wie Krankenhaus- betreiber diese Aufgabe angehen können, dazu gibt die Deutsche Krankenhausgesellschaft so- wohl durch die Definition eines branchenspezi- fischen Sicherheitsstandards als auch durch kon- krete Umsetzungshinweise zum Aufbau eines ISMS, GAP-Analysen, Übersichten und Templates wertvolle Hilfestellung. Ein Punkt ist dabei besonders wichtig: Der Auf- bau eines ISMS und die Etablierung branchen- spezifischer Sicherheitsstandards sind Manage- mentaufgaben. Das heißt, die Initiative dazu muss von der Geschäftsführung ausgehen, ISMS-Beauftragte sollten bereichsübergreifend agieren können und direkt an die Geschäftslei- tung berichten. BEGLEITENDES COACHING UND KNOWHOWAUFBAU IM UNTERNEHMEN Doch selbst mit Best Practices, Arbeitshilfen und der vollen Unterstützung durch die Geschäfts- leitung ist die Umsetzung der IT-Sicherheits- vorgaben in den kritischen Infrastrukturen und Krankenhäusern komplex und herausfordernd. Die größte Hürde ist dabei der Personalmangel. Es braucht zumindest eine verantwortliche Per- son, um ein ISMS aufzubauen und zu betreu- en. Experten für Cybersecurity aber sind rar; die sparsam besetzten, hauseigenen IT-Abteilungen in der Regel schon mit dem Tagesgeschäft völlig ausgelastet. Gerade Einrichtungen, die noch kein ISMS eta- bliert haben, werden daher Unterstützung durch externe Spezialisten benötigen. Dabei – und das ist die gute Nachricht – steht aber gar kein großes und ressourcenbindendes Implemen- tierungsprojekt an. In der Praxis hat sich ein stattdessen ein begleitendes Coaching-Modell bewährt. Berater und Projektverantwortliche im Unternehmen bilden dabei ein Tandem, indem sie sich in ihren Kompetenzen ergänzen: Berater kennen aus ihrer Projekterfahrung mehrere er- folgreiche Lösungsoptionen und stellen diese vor. Die intern verantwortliche Person kann aufgrund ihrer Betriebskenntnis beurteilen, welche dieser Optionen zum eigenen Unternehmen passt. Daraus ergibt sich als grundlegende Anfor- derung bei der Auswahl geeigneter interner Kandidaten, dass diese mit den Abläufen im Unternehmen sehr gut vertraut und auch intern gut vernetzt sein müssen. Die spezifischen Skills für die Betreuung des ISMS dagegen können im Laufe der begleitenden Beratung erlernt wer- den. Die Intensität des Coachings ist dabei zu Beginn am höchsten und nimmt im weiteren Verlauf ab, da intern Verantwortliche zuneh- mend selbstständig agieren. Es findet also ein nachhaltiger Wissenstransfer statt, während An- fangsfehler vermieden werden. INFORMATIONSSICHER HEIT IST EIN PROZESS Dieses Know-how im Unternehmen aufzubauen ist auch deshalb wichtig, weil Informationssi- cherheit ist kein statischer Zustand ist, sondern ein fortlaufender Prozess. Eine Überprüfung und Anpassung an den Stand der Technik muss spä- testens alle zwei Jahre erfolgen. Vor allem aber erhöhen sich im Zuge der Digitalisierung und der immer stärkeren Vernetzung auch die Komplexi- tät und Vulnerabilität der Prozesse und Systeme. Die Maßnahmen zur Informationssicherheit sind also kontinuierlich anzupassen. n RANDOLF SKERKA, Business Development Manager Healthcare SRC Security Research & Consulting ITSICHERHEIT_4/2022 57

WIE SICHERHEIT IM INTERNET MESSBAR WIRD Eine Internet-Kennzahl ist eine Maß- zahl, die den aktuellen Stand, das Verhältnis oder den Verlauf eines At- tributes widerspiegelt. Sie kann aus unterschied- lichen lokalen oder globalen Quellen stammen und hat dabei oft auch unterschiedliche Wertig- keiten. Internet-Kennzahlen sind reproduzierbar sowie vergleichbar und ermöglichen somit eine Transparenz für den Betrachter. gegründet und stellt einen jährlichen Bericht über das Internet in Form eines Web Almanac online. Dieser Bericht kombiniert Trends des Internets und Fachwissen der Web-Communities, um Verände- rungen und Entwicklungen eines Jahres darzustel- len. Außerdem stellt das HTTP Archive die histori- sche Entwicklung des Internets dar, weil seit der Kommerzialisierung des Internets im Jahr 1996 die gesammelten Daten archiviert werden. Internet“-Projekts, umgesetzt. Dort wird von der Internet Society sowie anderen Internet- organisationen eine Plattform geboten, auf der Daten hochgeladen, analysiert und verarbeitet werden können. ECO – INTERNETKENN ZAHLENSYSTEM AUS DEUTSCHLAND Internet-Unternehmen und Non-Profit-Orga- nisation stellen seit einigen Jahren Internet- Kennzahlen zur Verfügung. Darunter fallen zum Beispiel das HTTP Archive mit dem Web Alma- nac, sowie die Internet Society mit dem Pulse- Projekt. Das HTTP Archive wurde im Jahr 2010 Die Internet Society verfolgt das Ziel eines zuver- lässigen, belastbaren und gut ausgebauten Inter- nets. Dieses soll gleichermaßen global verbunden, offen, sicher und vertrauenswürdig sein. Um diese Ziele messbar zu gestalten, wurde im Dezember 2020 das Pulse-Projekt, als Teil des „Measuring the Der eco – Verband der Internetwirtschaft e.V. ist der Dachverband der Digital- und Internet- wirtschaft in Deutschland. Mit über 1.100 Mit- gliedern weltweit ist der eco auch international gut aufgestellt. Eines der Ziele des eco ist der Fortschritt der Digitalpolitik in Deutschland und 58 ITSICHERHEIT_4/2022 Bild: ©tippapatt - stock.adobe.comInternet-Kennzahlen für mehr Transparenz bei Risiken und SicherheitsstatusDas Internet hat sich als globale Kommunikations-, Informations-, Commerce- und Businessinfrastruktur fest in der Gesellschaft etabliert. Mit jedem Grad Zuwachs bei der Digitalisierung wird das Leben einfacher und schneller – aber auch gefährlicher. Die konkrete Gefährlichkeit bleibt dabei bislang oft ein Mysterium – Strategien für die IT-Sicherheit müssen auf Basis von Annahmen und Erfahrungen entwickelt werden. Internet-Kennzahlen und deren systematische Auswertung sollen nun dabei helfen, Probleme, Risiken und Schwachstellen als Trend zu erkennen, um Sicherheitsstrategien proaktiv fokussierter zu gestalten. Auch der Stand der IT-Sicherheit lässt sich durch Messung der Kennzahlen ermitteln und bewerten. Internet-Kennzahlen werden von lokalen und globalen Anbietern bereitgestellt.AUS FORSCHUNG UND TECHNIK

möglich zu sagen, welches Paket wie groß war, sobald es in einen Flow exportiert ist. Eine Aus- nahme bilden Flows, die nur ein Paket enthalten. Die Analyse der IPFIX-Parameter kann von Layer zwei bis Layer vier nach dem ISO/OSI-Schich- tenmodell durchgeführt werden. Beispielsweise können so einige potenzielle Netzwerkangriffe und weitere Aspekte überprüft werden. Web Almanac Der Web Almanac ist ein umfassender Bericht, der auf einer enorm großen Datengrundlage sowie dem weltweiten Fachwissen von Exper- ten beruht. Diese Berichte enthalten Informa- tionen aus den Bereichen der Seiteninhalte, in denen beispielsweise auf JavaScript, CSS und Third-Party-Produkte eingegangen wird. Ein weiterer Bereich stellt die Nutzererfahrung mit Inhalten zur IT-Sicherheit, Zugänglichkeit und Suchmaschinen-Optimierung dar. Abgerundet wird der Bericht mit den Kapiteln Veröffentli- chung und Verbreitung, in denen Aspekte der Content-Management-Systeme sowie techni- sche Merkmale wie Kompression oder Caching und die Entwicklung von HTTP fokussiert betrachtet werden. Zu jedem Bericht werden mehr als 5,8 Millionen Webseiten getestet und über 20,9 TB Daten verarbeitet und analysiert. Für das Jahr 2021 lag die Zahl der getesteten Webseiten bei 8,2 Millionen und es wurden 39,5 TB Daten verarbeitet. Dies ist nur möglich, weil sich hier unzählige freiwillige Analysten und Web-Experten einbringen. Bild 1: Anzahl autonomer Systeme DE-CIX ITSICHERHEIT_4/2022 59 AUS FORSCHUNG UND TECHNIKEs wird deutlich, dass die Anzahl der autono-men Systeme in Deutschland mehr als die Hälfte der gesamten autonomen Systeme an DE-CIX Standorten beträgt. Nach Zahl der Anbindung von autonomen Systemen folgen die Standorte Indien und USA auf den Plätzen zwei und drei. Standorte, die noch nicht angebunden sind, sind in der Grafik noch nicht berücksichtigt.Seit 2012 sind alle Standorte und Aktivitäten des DE-CIX unter der DE-CIX Group AG zusammen-gefasst. Diese ist seit ihrer Gründung zu 100 Pro-zent im Besitz des eco – Verband der Internet-wirtschaft e.V. Die aus dem DE-CIX generierten Daten werden als sogenannte „Internet Protocol Flow Information Export“-Daten gespeichert und verarbeitet. Der DE-CIX bietet seinen Kunden am Standort Frankfurt eine Datenflussanalyse mittels IPFIX-Daten an. Diese ermöglichen einen Einblick in die Eigenschaften des Datenverkehrs. Am Standort Frankfurt werden die Datenflussinformatio-nen nach dem Zufallsprinzip über die gesamte Plattform des DE-CIX gesammelt. Dabei wird ein Paket mit der Wahrscheinlichkeit von 1/10.000 ausgewählt und in einen Flow aufgenommen. Ein Flow, der seit 15 Sekunden kein neues Paket mehr gesampelt hat, wird mit einem gültigen Zeitstempel versehen und exportiert. Ebenso wird ein Flow, der seit 60 Sekunden Pakete sam-pelt, mit einem gültigen Zeitstempel versehen und ebenfalls exportiert. Es ist im Nachgang nicht Europa. Als Impulsgeber und Experte im Bereich Digitalisierung entwickelt der eco-Verband ge-meinsam mit dem Institut für Internet-Sicherheit – if(is) ein Internet-Kennzahlensystem. Dieses enthält eine Vielzahl von Internet-Kennzahlen aus dem Bereich der Internet-Sicherheit, sowie allgemeine Internet-Kennzahlen, die Trends und Entwicklungen des Internets aufzeigen.Inhalte des eco-Internet-Kennzahlensystems stammen zurzeit aus IPFIX-Daten (Internet Pro-tocol Flow Information Export), die zum Beispiel vom DE-CIX am Standort Frankfurt generiert werden und aus dem Web Almanac des HTTP Archives. IPFIX ist der Standard im Bereich Netz-werkmanagement für den Export von IP-Flow-Informationen nach RFC 7011.QUELLEN VON INTERNETKENNZAHLENAls Quellen von Internet-Kennzahlen werden im Folgenden der DE-CIX und der Web Alma-nac des HTTP Archives betrachtet. Der DE-CIX stellt Live-Daten als lokale Daten des größten nicht-kommerziellen Internetknotens der Welt anonymisiert bereit. Aus dem HTTP Archive kön-nen globale high Level Daten aus verschiedenen Knotenpunkten eingebunden werden. Somit entsteht eine klare Aussage über globale und lo-kale (Deutschland/Europa) Trends und Entwick-lungen im Internet.DE-CIXDer Internet-Exchange (IXP) Deutscher Com-mercial Internet Exchange (DE-CIX) ist seit seiner Gründung 1995 gemessen am Datendurchsatz der weltweit führende nicht-kommerzielle IXP-Betreiber. Sein Hauptsitz liegt in Frank-furt. Neben Frankfurt betreibt der DE-CIX noch weitere IXP in Hamburg, München, Düsseldorf, Berlin und im Ruhrgebiet. Ein weiterer Standort befindet sich jeweils in Brunei, den Vereinigten Arabischen Emiraten, Frankreich, Griechenland, Italien, Portugal, Türkei, Singapur, zwei in Malay-sia, Russland und Spanien, vier in Indien und fünf in den USA.Insgesamt sind an allen Standorten zusammen knapp 2.500 Autonome Systeme Verbunden, die eine Port-Kapazität von 93.01 Terabit auf 2.897 Ports haben. An den einzelnen Standor-ten ist jeweils eine unterschiedliche Zahl von autonomen Systemen angeschlossen. Bild 1 zeigt die Anzahl der verbundenen autonomen Systeme ohne Berücksichtigung der Standorte.

Bild 2: Verhältnis von HTTPS und HTTP TLS version used by page HTTP version n o i s r e V P T T H e g a p e m o H HTTP/2+ HTTP/1.1 0% 10% 20% 30% 40% 50% 60% 70% 80% QUIC TLS 1.2 TLS 1.3 Unknown HTTP/1.1 16,69% 7,47% 3,18% HTTP/2+ 0,05% 17,35% 48,51% 7,17% Verwendete TLS Version QUIC TLS 1.2 TLS 1.3 Unknown Bild 3: Verwendete TLS-Versionen pro HTTP-Version Web-Almanac 2021 60 ITSICHERHEIT_4/2022 INTERNETKENNZAHLEN IM BEREICH ITSICHERHEITAspekte der IT-Sicherheit im Internet können auch durch Anwendungen und der genutzten Protokolle dargestellt werden. Das einfachste Beispiel dafür ist die verschlüsselte Variante des Hypertext Transfer Protocol (HTTPS – Hypertext Transfer Protocol Secure).Die Darstellung der Internet-Kennzahlen wird im Folgenden als Matrik bezeichnet. Dazu gehören unter anderem das bereits erwähnte Verhältnis von HTTP zu HTTPS, die prozentualen Anteile von TLS-Versionen in Abhängigkeit der HTTP-Version und die Top-10-Ports und Anwendungen im Internet.Komplexere Internet-Kennzahlen stellen bei-spielsweise das Verhältnis von DNS-Auflösungen im EU-Ausland dar. Darüber hinaus sind Sicher-heitseinstellung und Header auf Webseiten und mobilen Anwendungen von Relevanz. Beispie-le sind das Secure-Attribut von Cookies und die Content Security Policy.Internet-Kennzahl: Verhältnis von HTTP zu HTTPSIn Bild 2 sind die Verhältnisse von HTTP zu HTTPS aus Mai 2021 und März 2022 dargestellt. Es ist deutlich zu erkennen, dass der Anteil der Pakete über HTTPS gegenüber dem über HTTP sowohl im Mai 2021 als auch im März 2022 do-miniert. Als Trend lässt sich ablesen, dass die Menge der Datenpakete über HTTPS von 61 Pro-zent auf 75,3 Prozent ansteigt. Seit seiner Ein-führung hat sich HTTPS wie ein Lauffeuer aus-gebreitet. Unterstützt von großen Namen der Branche hat sich das Protokoll zum Standard für das Surfen im Internet entwickelt. Die anhalten-de Verbreitung von HTTPS kann sicher auf zwei Hauptfaktoren zurückgeführt werden: Erstens drängt Google seit Langem darauf, unverschlüs-selte Verbindungen zu eliminieren, indem es die Betreiber von Websites dazu bringt, zu HTTPS zu wechseln. Zweitens können digitale Zertifika-te, die Website-Besitzer benötigen, um HTTPS auf ihren Websites zu aktiveren, heutzutage auf benutzerfreundliche Weise und zum Nulltarif er-worben werden. Durch HTTPS lassen sich unter anderem die Manipulation von Daten und Man-in-the-middle-Angriffe aktiv verhindern.Internet-Kennzahl: Verwendete TLS-Versionen pro HTTP-VersionBild 3 zeigt die verwendeten TLS-Versionen in Beziehung zur genutzten HTTP-Version. Die Datengrundlage stammt aus dem Web Almanac aus dem Jahr 2021. Es zeigt sich, dass das QUIC-Protokoll zu diesem Zeitpunkt noch keinen rele-vanten Einfluss hatte. Die Entwicklung diesbe-züglich wird in den nächsten Jahren ansteigen, da das QUIC-Protokoll von HTTP/3 verwendet wird, welches HTTP/1.1 und HTTP/2 ablösen wird. Gut ist, dass die Version TLS 1.3 bei HTTP/2 schon fast 50 Prozent Verwendung ﬁndet, weil dies die Risiken für erfolgreiche Angriffe reduziert.Mit diesen Kennzahlen können Projekte, wel-che die Nutzung von TLS 1.3 oder QUIC fördern, gemessen und der Fortschritt dokumentiert AUS FORSCHUNG UND TECHNIKwerden. Die Datengrundlage wurde von HTTP Archive übernommen.Internet-Kennzahl: HSTSHTTP Strict Transport Security (HSTS) ist dafür verantwortlich, dass der Browser eine sichere Verbindung, also HTTP zu HTTPS, für die Kom-munikation mit der Webseite verwendet. Aus Bild 4 geht hervor, dass nur 22,2 Prozent aller Webseiten, die über mobile Endgeräte aufgeru-fen werden, den HSTS Header verwenden. Bei Webseitenaufrufen von Desktop-Computern sind es ebenfalls knappe 23,9 Prozent, die einen HSTS Header verwenden. HSTS ist deshalb von hoher

Bild 4: HSTS-Anteile Web Almanac 2021 70% 60% 50% 40% 30% 20% 10% 0% Top-10-Ports für TCP-IPv4 61,11% 25,58% 7,84% 1,13% 1,08% 0,95% 0,79% 0,43% 0,41% 0,34% 0,33% 443 80 8080 4500 0 8801 8200 8000 25461 3480 Rest Bild 5: Top-10-Ports März 2022 Port ITSICHERHEIT_4/2022 61 Bedeutung, weil dadurch Man-in-the-Middle-Angriffe (MITM) verhindert werden können.Internet-Kennzahl: Top-10-Ports im InternetIn Bild 5 sind die Top-10-Ports und dazugehöri-gen Anwendungen aus März 2022 dargestellt. Hierbei wird die Anzahl der Pakete gemessen, die über den entsprechenden Port versandt werden. Es ist deutlich zu erkennen, dass der Web-Verkehr (Ports: 443, 80 und 8080) mehr als 34 Prozent des Netzwerkverkehrs ausmacht. Es ist auch zu sehen, dass Anwendungen wie SMTP, DNS, Telnet und FTP nicht unter die Top-10-Ports fallen. Die einzelnen Top-10-Ports lassen sich wie folgt beschreiben:1. Port 443 wird für HTTPS-Dienste verwendet und daher der Standard-Port für (verschlüs-selten) HTTPS-Verkehr. 2. HTTP-Port 80 wird standardmäßig für HTTP Verbindungen verwendet. Er stellt wie HTTPS die Verbindung zum World Wide Web (WWW) her. Der Hauptunterschied zwischen Port 80 und Port 443 ist die hohe Sicherheit. Port 443 ermöglicht die Datenübertragung über ein gesichertes Netz, während Port 80 die Datenübertragung im Klartext ermöglicht. 3. HTTP alternativ, oft genutzt für Proxyserver und Cachingserver (Port 8080)4. Port 4500 kommt zum Beispiel zum Einsatz, wenn das Verfahren IPSec mit NAT-Traver-sal (NAT-T) verwendet wird. Durch dieses Verfahren werden Probleme mit IPSec und Network Address Translation behoben. Wei-terhin ist der Port für Virtual Intranet Access (VIA) erforderlich: Während der Initialisie-rungsphase verwendet VIA HTTPS-Verbin-dungen, um Überprüfungen des vertrauens-würdigen Netzwerks und des Captive Portals am Controller durchzuführen. 5. Bei Port 0 handelt es sich um eine Fehlverar-beitung der IPFIX-Daten innerhalb des IPFIX-Collectors. Port 0 ist von der IANA (Internet Assigned Numbers Authority) reserviert, seine Verwendung ist technisch ungültig, aber möglich. Einige Internet Service Provider (ISPs) blockieren den Port aufgrund von Ex-ploits. Daher hat dieser Port keine Relevanz und keine Bedeutung als Top-10.6. Port 8801 wird neben anderen Anwendungen zum Beispiel von Zoom-Meetings verwendet. 7. Port 8200 ist zum Beispiel durch den Dienst TRIVNET belegt. Dieser ermöglicht Open-Source-Remote-Backup-Lösungen.8. Laut der ofﬁziellen IANA Speziﬁkation ist Port 8000 für die Verwendung durch das iRDMI-Protokoll (Intel Remote Desktop Manage-ment Interface) vorgesehen. Weiterhin wird der Port von Webservern und Web-Proxies, dem Shoutcast Audio-Streaming-Server (In-ternet-Radio-Streams), PhoneFree und dem JetDirect-Web-Interface-Server verwendet. Der Port 8000 kann auch als Alternativ-Port für die Dienste HTTPs oder HTTP verwendet werden.9. Port 25461 ist von IANA nicht zugewiesen. Der Port wird unter anderen von IPTV-Diens-ten oder der Webserver-Software nginx verwendet. 10. Port 3480 ist für die Verwendung von Secure Virtual Workspace (SVW). Das ist eine ge-schützte Arbeitsumgebung, die Nutzer digital verbindet und ihnen den externen Zugriff auf Unternehmensressourcen ermöglicht.61,11 Prozent der IP-Pakete werden von den anderen 65525 Ports verwendet, die allei-ne kleiner als 0,33 Prozent sind. Beispiele sind E-Mail (0,14 Prozent), DNS (0,03 Prozent), Telnet (0,024 Prozent) und FTP (0,02 Prozent).Internet-Kennzahl: DNS-Auflösung EU-AuslandIn Bild 6 ist die Verteilung der DNS-Anfragen über IPv4 in Europa, Deutschland und außerhalb von Europa gegliedert. Mehr als die Hälfte der Anfragen werden in Europa verarbeitet, mehr als ein Viertel außerhalb von Europa und knapp 15 Prozent in Deutschland.DNS ist nicht sicher vor Manipulationen. Regime und anti-demokratische Systeme können DNS-Server zur aktiven Zensur und Irreführung der Be-völkerung verwenden. Die Manipulation besteht darin, dass Webseiten nicht erreichbar sind, oder AUS FORSCHUNG UND TECHNIK

einfache, risikoarme Richtlinie handelt, die dabei hilft, alle HTTP-Anfragen auf HTTPS zu aktuali- sieren und die dazu beiträgt, gemischte Inhalte zu blockieren. Das HTTP Archive sammelt hierfür Metriken aus 8.198.531 Websites. Die meisten dieser Metriken werden von WebPageTest und von Lighthouse bereitgestellt. ZUKÜNFTIGE KENNZAHLEN Industrielle Kontrollsysteme (ICS) werden mit- hilfe spezieller Protokolle ferngesteuert, die ursprünglich für den Betrieb in geschlossenen Systemen (Walled Gardens) entwickelt wurden. Viele dieser Protokolle wurden an den Inter- net-Transport angepasst und unterstützen die Kommunikation über große Entfernungen. ICS tauschen nun unsicheren Datenverkehr auf Inter-Domain-Ebene aus, wodurch nicht nur gemeinsame kritische Infrastrukturen, sondern auch das Internet-Ökosystem zum Beispiel durch DRDoS-Angriffe gefährdet werden. Daher ist es nicht abwegig, in Zukunft den ICS-Verkehr zwischen den Inter-Domains an zwei zentralen Exchange Points, einem IXP und ISP zu messen. Dafür muss zunächst an einer Methodik gear- beitet werden, um industriellen und nicht-in- dustriellen ICS-Verkehr zu trennen. Die Ergeb- nisse können dann genutzt werden, um präzise Filter für potenziell schädlichen nicht-industriel- len ICS-Verkehr zu erstellen. Weiterhin soll in Zukunft mithilfe des Ports 25 (SMTP) ein Zeitintervall für die Nutzung des E-Mail-Protokolls erstellt werden. Diese Kenn- zahl soll helfen, Trends zu erkennen. Hier wird die Chance gesehen, dass durch Trenderken- Internet-Kennzahl: Content Security Policy Die Content Security Policy (CSP) ist die effek- tivste Methode zur Verhinderung von Cross- Site- Scripting (CSS) und Data-Injection-Angriffen. Ermöglicht wird dies durch Einschränkungen der Möglichkeiten, Inhalte nachzuladen. Beispiels- weise wird durch das Attribut „script-src“ eine Domäne definiert, von der Skripte nachgeladen oder Inline-Skripte und eval()-Funktionen ange- wandt werden dürfen. In Bild 8 ist ein Teil der CSP-Anwendungen ab- gebildet. Auch ist zu sehen, wie häufig diese für Desktop und mobile Endgeräte angewandt werden. Insgesamt verwendeten im Jahr 2021 rund 9,3 Prozent der Webseiten CSP bei mo- bilen Endgeräten. 2020 waren es 7,2 Prozent. Upgrade-insecure-requests ist der am häufigs- ten verwendete CSP. Die hohe Akzeptanz dieser Richtlinie kommt daher, weil es sich um eine Bild 6: DNS-Auflösungen außerhalb der EU im März 2022 bewusst auf Webseiten mit zensierten Inhalten weitergeleitet wird. Beispielsweise kann eine Auflösung auf den Social-Media-Dienst Facebook nicht erfolgen, oder Anfragen an die Webseite ei- nes unabhängigen Nachrichtenanbieters werden auf beeinflusste Inhalte weitergeleitet. Daher ist der Standort der DNS-Auflösung nicht nur ein IT- Sicherheit-relevantes Thema, sondern auch auf politischer Ebene durchaus interessant, weil es die gewünschte Souveränität anspricht. Internet-Kennzahl: Secure-Attribut von Cookies Cookies, bei denen das Secure-Attribut gesetzt ist, werden nur bei einer sicheren HTTPS-Verbindung übertragen. Ähnlich wie bei HSTS werden Mani- pulationen wie Man-in-the-Middle-Angriffe ver- hindert. Informationen können weder manipu- liert noch durch Unbeteiligte entwendet werden. Das TLS-Protokoll bietet diese Sicherheit. Bei den Cookies von First-party haben nur etwas mehr als 30 Prozent der Cookies sowohl auf dem Desktop als auch auf mobilen Geräten das Attribut „Secu- re“ gesetzt. Der Anteil der Cookies von Third-party mit dem Attribut „Secure“ ist jedoch von 35,2 Prozent im letzten Jahr (2020) auf 67 Prozent im Jahr 2021 deutlich gestiegen. Es wird von einem enormen Anstieg des Secure-Attributs ausgegan- gen, da das Secure-Attribut eine harte Voraus- setzung für die SameSite=None-Cookies ist. Das SameSite-Attribut in Cookies ermöglicht es den Websites, dem Browser mitzuteilen, wann und ob ein Cookie mit Cross-Site-Requests gesen- det werden soll. Dies dient der Verhinderung von Cross-Site-Request-Forgery-Attacks. Die Messung erfolgt über die genannten Attri- bute, „HttpOnly, Secure und SameSite“ bei einer HTTPS-Verbindung (siehe Bild 7). Die Metriken werden über das Tool WebPageTest gemessen. 62 ITSICHERHEIT_4/2022 Cookie attributes Web Almanac 2021: Security (desktop) First-party Third-party 67.0% 64.9% 80.0% 60.0% 40.0% 32.7% 31.0% 34.0% 20.0% 20.0% 0.0% i s e k o o c f o t n e c r e P 32.7% 31.0% 34.0% Request context Bild 7: Cookie attributes – Security AUS FORSCHUNG UND TECHNIK

Durch die Erstellung und Verwendung von Heu- ristiken können zukunftsorientierte Aussagen getroffen werden, die durch die bestehende Da- tenbasis zu evaluieren ist. n CHRISTIAN BÖTTGER studiert im Master Internet-Sicherheit an der Westfälischen Hochschule Gelsenkirchen und beschäftigt sich im Rahmen des Studiums mit der Sicherheit und Vertrauenswürdigkeit des Internet. SERIF FALAY studiert im Master Internet-Sicherheit an der Westfälischen Hochschule Gelsenkirchen und beschäftigt sich im Rahmen des Studiums mit der Sicherheit und Vertrauenswürdigkeit des Internets. NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet- Sicherheit - if(is) an der Westfälischen Hochschule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundes- verbands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverban- des – eco. ITSICHERHEIT_4/2022 63 Bild 8: Anwendung der Content Security Policy Web Almanac 2021 nung Anomalien erkannt und Prognosen für den E-Mail-Verkehr erstellt werden können. Diese Kennzahl wird stündlich über den gesamten Monat gemessen. Ein weiterer Bereich ist die steigende Anzahl von IoT-(Internet-of-Things-)Geräten. Protokolle, die hier beobachtet werden können, sind zum Beispiel: AMPQ(s) MQTT(s) CoAP(s) DDS 5672/5671 1883/8883 5683/5684 7400/7401 und höher Hier kann die Entwicklung hinsichtlich Verbrei- tung und IT-Sicherheit analysiert werden. Die Messung und Analyse kann über die IPFIX-Daten des DE-CIX durchgeführt werden. WEITERE QUELLEN FÜR INTERNETKENNZAHLEN Das Ziel des Internet-Kennzahlensystems ist, Da- ten zusammenzuführen und zu transformieren, damit sie zentral nutzbar und zielgerichtet ana- lysiert werden können. Mit den richtigen Quellen ist dieses Projekt umsetzbar. Daher kommen fol- gende Quellen für die Zukunft in Betracht: ICANN Open Data; für Top-Level-Domains (TLD) ist Verisign eine wichtige Ansprechstelle; für generische Top-Level-Domains (gTLD) stellt greensec den Branchenstandard; für Country-Code-Top-Level-Domain (ccTLD) ist CENTR von hoher Bedeutung; Internet Society (ISOC) für wichtige DNSSEC-Statistiken; AfriNIC (African Network Information Centre) hat fünf Hauptforschungsbereiche festgelegt, darunter - Internet Technical Infrastructure - Internet Access - Internet Policy and Governance - Internet Resilience - Internet Standards and Protocols; die Latin America & Caribbean Network Information Centre (LACNIC) ist die zu- ständige Regional Internet Registry für Lateinamerika und die Karibik. Sie betreut IP-Adressen, AS-Nummern, DNS Einträge und andere Netzwerkressourcen. FAZIT Internet-Kennzahlen helfen, die aktuelle Lage, Trends und Entwicklungen im Internet sowie zu sicherheitsrelevanten Aspekten des Internets einzuschätzen und mit gezielten Maßnahmen mehr IT-Sicherheit zu gestalten. Informationen über längere Zeiträume darzustellen und zu Ver- gleichen bietet die Möglichkeiten, auf Verände- rungen zu reagieren und Prognosen zu erstellen. Weiterführende Literatur N. Pohlmann: „Cybersicherheit – Das Lehrbuch für Konzepte, Mechanismen, Architekturen und Eigenschaften von Cybersicherheitssystemen in der Digitalisierung“, 2. Auﬂage, Springer Vieweg Verlag, Wiesbaden 2022 HTTP Archive. (kein Datum). Abgerufen am 08.02.2022 von https://httparchive.org/ Internet Society. (kein Datum). Abgerufen am 07.02.2022 von https://pulse.internetsociety.org/about Pulse Internet Society. (kein Datum). Abgerufen am 07.02.2022 von https://pulse.internetsociety.org/technologies Web Almanac 2021. (kein Datum). Abgerufen am 08.02.2022 von https://almanac.httparchive.org/en/2021/ AUS FORSCHUNG UND TECHNIK

BUCHVORSTELLUNG Sicherheit und Prüfung von SAP Systemen Wer sichergehen will, dass seine SAP-Systeme alle Sicherheitsanforderungen erfüllen und ordnungsgemäß konfiguriert sind, dürfte an diesem Standardwerk kaum vorbei- kommen. Der Autor zeigt Schritt für Schritt, wie bei der Prüfung vorzugehen ist und vermittelt das nötige Hintergrundwissen. Alle Prüfungs- themen werden systematisch und verständ- lich behandelt – aktuell zu SAP S/4HANA. Das umfassende Handbuch richtet sich an Prüfer und Administratoren und befasst sich mit den Themen Systemsicherheit, Protokollierung und Berechtigungsverwaltung. Praktische Checklis- ten und Anleitungen runden das Buch ab. n 64 ITSICHERHEIT_4/2022 AUS DEM INHALT Umgang mit dem SAP-System Werkzeuge zur Prüfung Aufbau von SAP-Systemen und -Landschaften Allgemeine Systemsicherheit Protokollierung Sichere Remote Function Calls Ordnungsmäßige Verbuchungsvorgänge Benutzerauswertungen Sichere Eigenentwicklungen Berechtigungen für SAP-Fiori-Anwendungen Berechtigungskonzept und Absicherung Thomas Tiede Sicherheit und Prüfung von SAP-Systemen 1010 Seiten, gebunden 5. aktualisierte und erweiterte Auflage 2021, SAP PRESS, ISBN 978-3-8362-7754-9 € 119,- von SAP HANA S.M.

Online-Kompaktkurse IT-Sicherheit 2022 Thema Sicherheit Active Directory – Sicheres Design und sichere Konfiguration AWS Security-Prinzipien – Sicherer Betrieb der Amazon Web Services Cloud Referent/in Termin Preis Stephan Reinert 06.09.2022 149,00 € Jan-Niklas Ereth 07.09.2022 149,00 € Betriebssystem Windows härten und absichern – Ein Überblick Tobias Elsner 08.09.2022 149,00 € Security Assessments – Motivation, Voraussetzungen, Planung und Vorgehensweise Stephan Reinert 12.09.2022 149,00 € Ransomware-Angriffe – Vorgehensweise der Angreifer und erste Schutzmaßnahmen Stephan Reinert 14.09.2022 149,00 € IT-Sicherheit von M365 – Sicheres Design und sichere Konfiguration Eric Soldierer 15.09.2022 149,00 € Grundlagen Datenverschlüsselung und der Kryptologie Tobias Elsner 19.09.2022 349,00 € Hacking-Methoden – Vorgehen von Angreifern – Kenne deinen Gegner! Tobias Elsner 21.09.2022 349,00 € BSI IT-Grundschutz – Anforderungen und Maßnahmen in der Praxis Tobias Elsner 23.09.2022 349,00 € IT-Forensik im Überblick: Wie werden Sicherheitsvorfälle analysiert und Beweise gesammelt? Tobias Elsner 26.09.2022 349,00 € Netzwerk-Sicherheit – Aufbau von sicheren IT-Netzwerken Tobias Elsner 28.09.2022 349,00 € Überblick Incident-Response-Maßnahmen – Auf Sicherheitsvorfälle korrekt reagieren Tobias Elsner 30.09.2022 349,00 € Informationssicherheit – Praxisorientierte Einführung in das Thema Thomas Wallutis 04.10.2022 349,00 € Webapplikationssicherheit – Schutz vor Angriffen auf Websites Jan-Niklas Ereth 05.10.2022 349,00 € Änderungen bei Terminen bleiben vorbehalten; Preise zzgl. MwSt. ITSicherheitswissen kompakt und praxisnah Abonnenten erhalten 10% Rabatt Jetzt anmelden: www.datakontext.com/it-sicherheit/online-kompaktkurs

ITRECHT | DATENSCHUTZ | DATENSICHERHEIT Google Analytics 4 & Datenschutz WAS UNTERNEHMEN JETZT BEACHTEN MÜSSEN U A war bisher für Unternehmen, die vor dem 14. Oktober 2020 begonnen haben, das Analy- setool zu nutzen, der Standard-Property-Typ für Webseiten. UA-Property ermöglichte ein geräteüber- greifendes Tracking, womit nicht nur auf Webseiten, sondern auch in Apps und anderen digitalen Geräten übergreifend nachvollzogen und analysiert werden konnte. Bisher wurden dafür verschiedene Tracking- Technologien wie Pixel, Cookies und Skripte angewen- det. Verwendet eine Webseite Google Analytics, wird bei deren Aufruf die entsprechende Technologie aktiv. Dann werden Informationen wie eindeutige Identifier entwe- der auf dem Endgerät mittels Cookies gespeichert oder es erfolgt ein Zugriff auf bereits gespeicherte Informa- tionen im Endgerät, wie beispielsweise zum Betriebs- system, zum Browser oder zur Bildschirmgröße, mittels Skripten und Pixel. NEUES ANALYSETOOL GA 4: FUNKTIONSWEISE GA 4 sammelt sowohl Webseiten- als auch App-Daten, um das Verhalten von Nutzenden nachzuvollziehen. Ebenfalls wie bei der Vorgängerversion UA, verarbeitet 66 ITSICHERHEIT_4/2022 GA 4 dabei personenbezogene Daten. Zu den erfassten Daten gehören unter anderem die Verweildauer auf der Webseite, demografische Merkmale wie Sprache und Standort oder der zum Aufruf genutzte Browser. Die Besonderheit bei GA 4 liegt im Einsatz von künstli- cher Intelligenz (KI) und Machine Learning für die Da- tenauswertung. Der Zugriff auf die Daten des Nutzenden erfolgt weiterhin über Cookies, Skripte und Pixel. Zur Messung und Auswertung der Nutzungsdaten kommt nun jedoch KI, insbesondere maschinelles Lernen, durch Anwendung von Algorithmen zum Einsatz. Die Algo- rithmen messen automatisiert anhand von Ereignisda- ten (sogenannten Events), und nicht wie vormals bei UA anhand von sitzungsbasierten Daten (sogenannten Hits), das Nutzungsverhalten des individuellen Nutzen- den. Unter Events fallen zum Beispiel Scrolls bis zum Seitenende, Klicks auf externe Links, Downloads oder Pageviews. Der diese Events auslesende Algorithmus kann spezifisches Nutzungsverhalten auch auf anderen Geräten wiedererkennen, wodurch eine geräteübergrei- fende Verhaltensanalyse möglich ist. Kommt es daher zu verschiedenen separaten Sitzungen an verschiede- nen Geräten, kann GA 4 anhand von User-ID, Google- Google hat eine neue Version seines beliebten Online-Marketingtools Google Analytics vorgestellt: Google Analytics 4 (GA 4). Die neue Generation des Analysetools soll die Vorgängerversion Universal Analytics (UA) ablösen. Viele Unternehmen haben bereits UA eingesetzt, um das Nutzungsverhalten auf der eigenen Unternehmenswebseite der User nachzuvollziehen und damit eine erfolgreiche Marketingstrategie zu entwickeln. Voraussichtlich ab dem 01. Juli 2023 soll dies standardmäßig nicht mehr über UA stattfinden, sondern ausschließlich über GA 4 erfolgen können. Welche neuen Features GA 4 mit sich bringt, ob Einwilligungsbanner nun obsolet werden und worauf sich Unternehmen datenschutzrechtlich einstellen müssen, zeigen wir in diesem Beitrag.

ITRECHT | DATENSCHUTZ | DATENSICHERHEIT GA 4 sammelt sowohl Web- seiten- als auch App-Daten, um das Verhalten von Nut- zenden nachzuvollziehen. Die Besonderheit bei GA 4 liegt im Einsatz von künst- licher Intelligenz (KI) und Machine Learning für die Datenauswertung. ID, oder Geräte-ID die Sitzungen automatisiert zu einer einheitlichen geräteübergreifenden Benutzererfahrung zusammenfassen. Maschinelles Lernen kommt auch beim sogenannten Modelling von Conversions zum Einsatz. Unter Conver- sions versteht man einen Vorgang, bei dem der Adres- sat einer Marketing-Botschaft eine gewünschte Aktion ausführt. Eine Conversion liegt zum Beispiel vor, wenn auf einer Webseite eine Werbeanzeige geschaltet wird, welche sodann geklickt wird. Es kann aber zum Beispiel vorkommen, dass eine Werbeanzeigeninteraktion mit einem anderen Gerät stattfindet als die konkrete Bestel- lung der beworbenen Ware. Um dies nachvollziehen zu können und hiervon marketingtechnisch zu profitieren, kann durch Conversion Modelling eine Brücke geschla- gen werden. PROGNOSEFÄHIGKEIT Die von GA 4 verwendete KI ist außerdem in der Lage, das Verhalten einzelner Zielgruppen vorherzusagen. Durch die Analyse der Events kann der zugrunde lie- gende Algorithmus eine Prognose für künftiges Nut- zungsverhalten aufstellen. Das Analysetool GA 4 trackt sich verändernde Kundenbedürfnisse und kann somit künftige Nutzungsmuster vorhersagen. Unternehmen, die GA 4 nutzen, erhalten automatisch eine Benach- richtigung über verschiedene Trends in den Daten, die die KI ausgewertet hat. GA 4 analysiert darüber hinaus auch die Abwanderungswahrscheinlichkeit eines Nut- zenden von der Webseite und kann zum Beispiel auch die Kaufwahrscheinlichkeit und den möglichen Umsatz prognostizieren. GEÄNDERTE VOREINSTELLUNGEN Änderungen gegenüber UA finden sich auch in den vor- eingestellten Optionen. So ist beispielsweise bei GA 4 die IP-Anonymisierung bereits automatisch voreingestellt, ITSICHERHEIT_4/2022 67 m o e.c b o d k.a c r - sto e u ra © H. B

ITRECHT | DATENSCHUTZ | DATENSICHERHEIT 68 ITSICHERHEIT_4/2022 neuer Aktivität immer wieder neu zu laufen und verlän- gert damit stets die Speicherdauer. Auch die Möglichkeit der Deaktivierung der Erfassung genauer Orts- und Posi- tionsdaten sowie genauer Gerätedaten ist eine sinnvolle Option. Aktualisierung der Datenschutzerklärung Bei Verwendung von GA 4 muss auch die Datenschutz- erklärung entsprechend angepasst werden. Der Websei- tenbesucher muss darüber aufgeklärt werden, dass GA 4 Nutzungsdaten auswertet und KI verwendet. Außerdem muss der Nutzende über sein Widerrufsrecht infor- miert werden und darüber, dass die Anonymisierung der IP-Adresse durch GA 4 automatisch voreingestellt ist. Darüber hinaus sollte in der Datenschutzerklärung die Deaktivierung der Erfassung genauer Orts- und Posi- tionsdaten sowie genauer Gerätedaten aufgenommen werden, soweit diese vorgenommen wurde. FAZIT Die neue Funktionsweise von GA 4 bringt spannende neue Möglichkeiten und Erkenntnisse in die Marketing- welt. Wie zuverlässig die KI funktioniert, wird sich im Laufe der Zeit herausstellen. Jedoch können durch die Prognose des Nutzungsverhaltens völlig neue Marke- ting- und Werbemaßnahmen getroffen werden, womit sich Unternehmen noch erfolgreicher vermarkten kön- nen. Bis einschließlich 30. Juni 2023 können in UA-Pro- perties neue Daten erhoben und verwendet werden. Ab dem 01. Juli 2023 haben Unternehmen, die UA genutzt haben, noch mindestens sechs Monate lang Zugriff auf zuvor verarbeitete Daten in UA-Poperties. Daten, die weiter von Bedeutung sind, sollten unbedingt exportiert werden. n KATHRIN SCHÜRMANN Kathrin Schürmann ist Rechtsanwältin und Partnerin der Technologiekanzlei Schürmann Rosenthal Dreyer Rechts an wälte und spezialisiert auf das IT und Datenschutzrecht. Ein Fokus ihrer bera tenden Tätigkeit liegt in den Bereichen Digital Business, Technologie und Medien. Als Datenschutzexpertin betreut sie nationale und internationale Mandanten bei der Einführung und Entwicklung neuer (digitaler) Geschäftsmodelle. Bei der ISiCO Datenschutz GmbH, einem Beratungsunternehmen für Datenschutz, Compliance, Zertifizierung und Informationssi cherheit, vereint sie internationale Datenschutzbestimmungen und digitale Transformation mit strategischer Beratung. www.srd-rechtsanwaelte.de www.isico-datenschutz.de wohingegen dies bei UA nur optional auswählbar war. Auch die automatische Löschung alter Besucher-Logs ist in GA 4 standardmäßig auf 14 Monate voreingestellt. Besucher-Logs werden nun, je nach individueller Ein-stellung, nach mindestens zwei bis maximal 14 Monaten gelöscht. Vorher war es bei UA möglich, die Logs über eine weitaus längere Zeitspanne zu speichern.Durch KI und maschinelles Lernen ist GA 4 auch in der Lage, Bots zu erkennen und diese von der Analyse von vornherein auszuschließen.DIE WICHTIGSTEN PUNKTE, AUF DIE UNTERNEHMEN BEI DER VERWENDUNG VON GA 4 ACHTEN MÜSSENIst bei Verwendung von GA 4 ein Einwilligungsbanner nötig?Ja, ein Einwilligungsbanner ist immer noch notwendig! Zwar funktioniert die Auswertung des Nutzungsverhal-tens durch GA 4 maßgeblich mittels KI und maschinel-lem Lernen, jedoch werden immer noch Cookies sowie Skripte und Pixel verwendet, um auf Informationen im Endgerät aktiv zuzugreifen. Sofern das Setzen von Cookies und die Verwendung von Skripten und Bildern (Pixeln) nicht manuell abgeschaltet wird, kommen sol-che immer noch zum Einsatz. Für den rechtskonformen Zugriff und den Einsatz von Cookies, Skripten und Pixeln bedarf es aus datenschutzrechtlicher Sicht der Einwilligung des Nutzenden. Die Einwilligungspflicht für nicht unbedingt erforderliche Speicherungen und Zugriffe, etwa durch Cookies, Skripte und Pixel, ist explizit in § 25 TTDSG geregelt. Vor der Einwilligung dürfen keine Coo-kies gesetzt und keine Skripte oder Pixel von GA4 ausge-führt werden. Erst nach der Einwilligung dürfen entspre-chende Technologien von GA4 verwendet werden.Abschluss eines Auftragsverarbeitungsvertrags (AVV)Unternehmen, die einen Google-Dienst auf ihrer Websei-te verwenden wollen, worunter auch GA 4 fällt, müssen einen AVV mit Google Ireland Limited abschließen, denn mit der Nutzung von GA 4 erfolgt die Verarbeitung der getrackten Nutzungsdaten durch Google Ireland Limited im Auftrag des jeweiligen Webseitenbetreibers als Ver-antwortlichem.Optionale EinstellungenSehr empfehlenswert ist es für Unternehmen, von den optionalen Einstellungsmöglichkeiten Gebrauch zu machen, um die Nutzung von GA 4 so datenschutz-freundlich wie möglich auszugestalten. Darunter fällt beispielsweise, die automatische Löschungsfrist alter Besucher-Logs zu verkürzen. Zu empfehlen ist zudem, die Zurücksetzung der Aufbewahrungsdauer bei erneu-ter Aktivität abzuwählen. Ansonsten beginnt diese bei Foto: Kanzlei SRD

WEBPORTAL Das Webportal von IT-SICHERHEIT IM WEB GEHT’S WEITER! Sie haben die IT-SICHERHEIT schon durchgelesen? Unter www.itsicherheit-online.com finden Sie parallel zu den Print ausgaben der IT-SICHERHEIT tagesaktuelle Informationen rund um das Thema IT-Sicher heit. Neben Fachartikeln, Studien- ergebnissen, White papers und Meldungen zu Unternehmen und Produkten können Abonnenten hier ab sofort auch in unserem neuen Zeitschriften-Archiv stöbern. Schauen Sie am besten gleich jetzt und regelmäßig bei uns rein! Weitere FACHINFORMATIONEN zum THEMA ITSICHERHEIT Sicherheit von CloudNativeInfrastrukturen WAS BEDEUTET EIGENTLICH … CNAPP? Die aktuelle Technologie Im Bereich IT-Security und Absicherung von Cloud-Workloads nennt sich CNAPP. CNAPP steht für Cloud Native Application Protection Platform. Dies ist unkompliziert und beschreibt im Prinzip auch schon direkt, was die Lösung bieten soll. Was einfach klingt, ist „unter der Haube“ allerdings deutlich komplexer – und deswegen es macht Sinn, sich einmal genau anzusehen, was es mit der Technologie auf sich hat. www.itsicherheitonline.com/AquaSecurity202204 Arne Jacobsen, Regional Director EMEA bei Aqua Security (Foto: Aqua Security) Identitätsbasierte Angriffe mit Zero Trust bekämpfen BEST PRACTICES FÜR DIE ZERO-TRUST-AUTHENTIFIZIERUNG Identitätsbasierte Bedrohungen sind zu einer Hauptquelle für Angriffe und Datenschutzverletzungen geworden. Daher benötigen Unternehmen heute eine verbesserte Identitätserkennung und neue Strategien zur Bedrohungsabwehr, welche sich am besten durch die Implementierung eines identitätsbasierten Zero-Trust-Ansatzes erreichen lässt. Im Beitrag ﬁnden sich Grundlagen zur Funktionsweise des Zero-Trust-Modells sowie Best Practices zu dessen effektiver Implementierung. www.itsicherheitonline.com/Silverfort202204 Haiko Wolberink, Vice President of Sales EMEA, Silverfort (Foto: Silverfort) Schlüsseltechnologien gegen Ransomware VIER SÄULEN FÜR DIE ABWEHR ERPRESSERISCHER ATTACKEN Ransomware ist eine chronische Gefahr. Ihr Auftreten verändert sich aber ständig. Zum einen steckt hinter dem permanenten Wandel eine Szene, die sich immer mehr professionalisiert, wirtschaftlicher denkt oder sich in der aktuellen Krise sogar politisiert. Zum anderen geht es um neue Techniken. Eine wirksame Abwehr muss sich entsprechend in der Tiefe aufstellen und die erpresserischen Attacken in den verschiedenen Phasen abwehren. www.itsicherheitonline.com/Bitdefender202204 Martin Zugec, Technical Solutions Director bei Bitdefender (Foto: Bitdefender) ITSICHERHEIT_4/2022 69

VORSCHAU Ausgabe 5|22 OKTOBER/ NOVEMBER IT-SA, NÜRNBERG, 25. BIS 27. OKTOBER 2022 Die it-sa Expo&Congress in Nürnberg ist Europas führende Fachmesse für IT-Sicherheit und eine der bedeutendsten Plattformen für Lösungen rund um die Themen: Cloud- und Mobile-Security, Daten- und Netzwerksicherheit sowie die Absicherung kritischer Infrastrukturen und der Industrie 4.0 weltweit. Alles, was Sie zur Vorbereitung auf Ihren Besuch wissen müssen, lesen Sie in der nächsten Ausgabe. FORSCHUNG: CONFIDENTIAL COMPUTING Heute werden Daten während der Speicherung und des Datentransfers in der Regel verschlüsselt. Während der Datenverarbeitung liegen die Daten aber im Klartext vor. Conﬁdential Computing sorgt dafür, dass die Daten auch in verschlüsselter Form verarbeitet werden können. Das ist insbesondere für Cloud-Anwendungen eine wichtige Funktion, um Vertrauenswürdigkeit zu erlangen. Wie Conﬁdential Computing technisch umgesetzt wird und wie zuverlässig es Cloud-Anwendungen schützt, erfahren Sie im nächsten Heft. Weitere geplante Themen: Cloud Posture Management – das Dach für SASE, SSE und CNAPP Open Source Software: verstecktes Sicherheits-Risiko im Code … und vieles mehr. IN UNSEREM VERLAG ERSCHEINEN AUSSERDEM NOCH FOLGENDE ZEITSCHRIFTEN 70 ITSICHERHEIT_4/2022 Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 9d · 50226 Frechen www.datakontext.com Chefredaktion: Stefan Mutschler (S.M.) E-Mail: stefan-mutschler@t-online.de Redaktion: Dr. Peter Münch (P.M.), Dr. jur. Martin Zilkens (M.Z.), Online-Redaktion: Jessica Herz Leitung Online herz@datakontext.com +49 2234 98949-80 Lisa Bieder Silvia Klüglich Chiara Schönbrunn Herausgeberbeirat: Prof. Dr. Michael Backes, Prof. Dr. jur. Dirk-M. Barton, Walter Ernestus, Prof. Dr. Nikolaus Forgó, Prof. Dr. Rainer W. Gerling, Dr. Jan-Peter Ohrtmann, Prof. Dr. Norbert Pohlmann, Dr. jur. Martin Zilkens Gründer: † Bernd Hentschel Graﬁk/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 27 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 104,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln kündbar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschickte Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Veröffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Beilagen: DATAKONTEXT GmbH, Frechen Titelbild: 8com GmbH & Co. KG Fotos: Firmenbilder; DATAKONTEXT; (anttoniart, Cristian, Gorodenkoff, H. Brauer, James Thew, JBillionPhotos.com, metamorworks, nb_factory, Olga, Passatic, phonlamaiphoto, Sergey Nivens, tippapatt, Vladimir) - stock.adobe.com; christopher burns/unsplash; Pixabay; Teamwire; iStockphoto /spainter_vfx 28. Jahrgang 2022 · ISSN: 1868-5757