Wer also begonnen hat in der eignen Organisation die Kaspersky-Produkte zu ersetzen, sollte auf jeden Fall umfassend nach Anomalien suchen, um potenzielle Schadsoftware zu erkennen.

Weiterhin müssen wir uns fragen, wie wir zukünftig mit der möglichen Bedrohung durch Geheimdienste umgehen. Des es gibt unzählige Geheimdienstorganisationen, die entsprechende Fähigkeiten und das erforderliche Know-how aufgebaut haben. Und das sind nicht nur die „augenscheinlich Verdächtigen“ aus China, USA und Israel.
Wenn wir für diese Länder einen ähnlichen Maßstab anlegen wie für Russland, können wir keine IT-Produkte von Herstellern aus diesen Ländern einsetzen. Was uns vor ernsthafte Probleme stellen würde, wenn wir beispielsweise Produkte von Intel, Microsoft, Google, Apple, Cisco, Lenovo, Huawei und unzählige andere nicht mehr verwenden können!

Dieser Sachverhalt verdeutlicht eindrucksvoll, wie wichtig die wirkungsvolle Detektion von Angriffen und Anomalien innerhalb der eignen Infrastruktur ist. Nur durch die schnelle Angriffs-Erkennung und weitere flankierende Sicherheitsmaßnahmen im Rahmen eines ISMS, ist gewährleistet dem resultierenden Risiko zu begegnen. Einen guten Überblick dazu bietet beispielsweise das BSI IT-Grundschutz Kompendium, und dort insbesondere die Bausteine der Schicht DER.

Dabei wird auf Grund des hohen zeitlichen Handlungsdrucks gerne übersehen, dass bei Cloud-Lösungen die Unternehmensdaten auf fremden Servern liegen. Insofern ist bei der Cloud-Migration die Betrachtung der Informationssicherheit der geplanten Lösung ein wichtiges Thema.

Man sollte sich dabei die Sicherheitskette vor Augen führen und sicherstellen, dass alle Glieder der Kette hinreichend wirksam funktionieren und auf einen sicheren Betrieb hinwirken.

Ich habe Ihnen hier einige wesentliche Punkte aus Sicht der Informationssicherheit zusammengestellt, die sie idealerweise VOR dem Vertragsabschluss mit dem Cloud-Anbieter klären sollten:

• Man sollte zuallererst hinterfragen, ob streng vertrauliche Daten (wenn vorhanden) wie zum Beispiel Betriebsgeheimnisse oder personenbezogene Daten überhaupt in die Cloud gehören. Sind dem Schutzbedarf entsprechende (zusätzlichen) Sicherheitsmaßnahmen, wie zum Beispiel eine wirksame Verschlüsselung, erforderlich?
• Grundlage allen Handelns ist eine sinnvolle Informationsklassifizierung, die bereits vorhanden ist, wenn man ein ISMS betreibt. Denn aus der Informationskategorie leitet sich der Schutzbedarf der Daten ab. Hierbei sollte man auch insbesondere die Datenschutzaspekte berücksichtigen. Falls es noch kein Schema zur Klassifizierung von Informationen (Richtlinie) in ihrer Organisation gibt, wartet hier die erste Aufgabe!
• Ein möglicher Indikator für ein bestimmtes Maß an Sicherheit beim Cloud-Dienstleister sind Zertifizierungen, wie zum Beispiel das Informationssicherheits-Management-System (ISMS) nach ISO 27001 oder der BSI IT-Grundschutz. Diese Zertifizierungen bestätigen, dass es Mechanismen beim Dienstleister gibt, die darauf hinwirken das technisch-organisatorischen Maßnahmen im erforderlichen Maß berücksichtigt werden. Eine Zertifizierung bestätigt aber nicht die vollständige Umsetzung und somit die Wirksamkeit aller erforderlicher Sicherheitsmaßnahmen!
• Lassen sie sich geeignete (oben genannten) Zertifikate oder andere Sicherheitsnachweise vertraglich zusichern durch den Cloud-Anbieter. Und prüfen Sie hierbei auch (soweit wie möglich), ob der Geltungsbereich des Zertifikates auch den Vertragsgegenstand einschließt.
• Ausreichende Sorgfalt sollten Unternehmen in die Verhandlungen der Service-Level-Agreements (SLA) investieren, mit deren Hilfe die Anforderungen an die zu erbringenden Dienstleistungen anhand festgelegter Kennzahlen klar formuliert sind.
• Die Lokationen, an denen Daten verarbeitet werden, sollten vertraglich festgelegt sein. Ob die Daten an den vertraglich zugesicherten Lokationen verarbeitet werden dürfen, ist auf Basis der Ergebnisse der Informationskategorisierung und Risikoanalyse sowie der möglichen Gefahr eines fremdstaatlichen Zugriffs (z. B. durch Nachrichtendienste oder Ermittlungsbehörden) zu bewerten.
• Lassen Sie sich Prüfrechte (Auditierung) vertraglich zusichern, die so ausgestaltet sein sollten, dass sie nach Art und Umfang einen Nachweis des Schutzniveaus ermöglichen und die Prüfung durchgeführt werden kann. Aufgrund der Ergebnisse aus der Informationskategorisierung und Risikoanalyse kann in begründeten Ausnahmefällen auf eigene Prüfrechte verzichtet werden.
• Die Beteiligung von Unterauftragnehmern und anderen externen Dritten müssen vom Cloud-Anbieter vollständig in Art und Umfang benannt werden. Beabsichtigte Änderungen hierüber müssen unverzüglich dem Auftraggeber mitgeteilt werden.
• Heute schon an morgen denken: Kündigungsfristen sollten dem Einsatzszenario angemessen sein und die Rückgabe der Daten muss geregelt werden (Format, Datenträger, Protokolle, usw.). Auch die Maßnahmen zur Datenlöschung müssen dem ermittelten Schutzbedarf entsprechen.

Falls Sie personenbezogene Daten mit der Cloud-Lösung verarbeiten, was in den meisten Fällen wahrscheinlich so sein wird, ist ein sogenannter Auftragsverarbeitungsvertrag i.S.d. Art. 28 DSGVO (AVV) mit dem Anbieter zu schließen. Dieser regelt die meisten der oben genannten Punkte. Und wird ihnen von den meisten Cloud-Anbietern zur Verfügung gestellt. Bezüglich der Ausgestaltung des AVV sollten sie mit ihrem Datenschutzbeauftragten oder einem Fach-Anwalt für IT-Recht sprechen. Da hier einige Fallstricke verborgen sein können.

Ich hoffe ich konnte mit dem Artikel etwas Klarheit in das Thema Cloud-Migration bringen und wünsche Ihnen viel Erfolg bei Ihrem Vorhaben.

Und dieser Umstand wiegt diesmal um so schwerer, da es sich bei dem Täter um einen 20-jährigen Schüler mit "gewissem technischen Sachverstand" handelt, der lediglich bestehende Schwachstellen ausgenutzt hat.
Wenn man diesen Gedanken mal wirken lässt, wird schnell klar, was eine zielgerichtete und professionelle Hacker-Organisation oder ein Geheimdienst mit den ihnen zur Verfügung stehenden Ressourcen erreichen kann.

Dieser Vorfall zeigt anschaulich und plakativ das enorme Gefährdungs- und Risikopotential, welches entstehen kann, wenn eine Bedrohung, wie zum Beispiel der Einzeltäter, auf Schwachstellen trifft, die für den jeweiligen Betreiber oder Nutzer einer digitalen Komponente unerkannt in ihr schlummern.
Und dabei wird ein Dilemma sichtbar: Die Herausforderung für die Hersteller, Betreiber und Anwender von digitalen Lösungen und Prozesse ist es einen lückenlosen Schutz aufzubauen und zu erhalten. Wohingegen die jeweiligen Angreifer nur eine einzige kleine Schwachstelle identifizieren und ausnutzen müssen. Denn die überwiegende Mehrheit erfolgreicher Cyberangriffe beruht auf nicht gut programmierter, schlecht gewarteter oder mangelhaft konfigurierter Software und Systemen!

Wie konnte das passieren?

Aber kommen wir zurück auf den konkreten Fall. Warum konnte der Täter in so vielen Fällen unbemerkt ans Ziel gelangen? Die Antwort ist im Grunde sehr einfach, denn es wird offensichtlich, dass sich in unserer Gesellschaft noch immer nicht das notwendige Bewusstsein („Awareness“) für Datensicherheit etabliert hat. Dieser Umstand ist der eigentliche Grund warum die Schwachstellen überhaupt vorhanden waren und das Ausnutzen der Schwachstellen in so vielen Fällen unbemerkt erfolgreich möglich war!

Nur wenn wir konsequent an dieser Stelle ansetzen, wird es gelingen das oben genannte Dilemma zu verringern und irgendwann vielleicht ganz verschwinden zu lassen. Bewusstseinsbildung und Sensibilisierung ist der erste Schritt auf dem Weg zu einer „digitalen Schutzkompetenz“!
Wir sollten grundlegend umdenken. Die Achtsamkeit und digitale Kompetenz eines jeden, muss bereits von Anfang an zum Beispiel in der Schule beginnen und dann sinnvoll im Bildungssystem verankert und von diesem getragen werden. Auch die Wirtschaft und Gesellschaft muss ihren Beitrag leisten. Wobei der Einzelne die zur Verfügung stehenden Angebote auch wahrnehmen muss!

Diese Wirkzusammenhänge, die für jeden Einzelnen gelten, sind auch relevant für Organisationen, Behörden und Unternehmen. Dort sind häufig bereits viele, meist technische Maßnahmen umgesetzt, aber man hat oft versäumt den Menschen mitzunehmen. Und damit hat man eine komplette Schwachstelle vergessen: Den Menschen selbst!

Auf dem Weg nach „Neuland“

Die gute Nachricht ist, dass schon einfache „Schutzkompetenzen“ ausreichen, um die Mehrzahl der Angriffe abzuwehren oder deren Folgen zu mildern. Die schlechte Nachricht ist, dass wir es über viele Jahre versäumt und verschlafen haben, insbesondere auch politisch, dieses „Neuland“ zu betreten.

Es wäre schon mal ein Anfang, wenn jetzt politische Schnellschüsse und Schuldzuweisungen unterbleiben würden und man zunächst die Sachlage klärt und im Anschluss auf der Grundlage von Fakten konkrete Maßnahmen auf den Weg bringt! Ja ich weiß, aber man wird doch mal träumen dürfen…

Was konkret tun?

Wenn wir jetzt aber wieder aus der Sicht von Unternehmen auf den Vorfall schauen, bleibt zu klären was in diesen Zusammenhang sinnvolle Maßnahmen sind, bzw. gewesen wären:

• Schwachstellen Management
  Als erste Erkenntnis kann man schon mal festhalten, dass ein effektives und sinnvoll eingesetztes IT-Schwachstellen-Management (Vulnerability Management) diesen Datenabfluss deutlich erschwert, wenn nicht sogar verhindert hätte.
  Durch das IT-Schwachstellen-Management ist man in der Lage, die Schwachstellen zu identifizieren und deren Behebung zu priorisieren, bevor Angreifer diese ausnutzen können. Darüber hinaus kann man jederzeit, eine Neubewertung bezüglich der Verwundbarkeit der eigenen IT-Infrastruktur durchführen.
  Mit IT-Schwachstellen-Management kann man die eigene IT-Umgebung in ihrer ganzen Breite und Tiefe “wahrnehmen” und gewinnt die Möglichkeit, Sicherheitsvorfälle wirkungsvoll und schnell zu entschärfen, bevor größere Schäden daraus entstehen können. So senkt man erheblich das Risiko, das eine schwere Datenpanne oder ein gravierender Cyber-Vorfall das Unternehmen teuer zu stehen kommt.
  Dazu noch ein Punkt, der mir in der Praxis sehr oft begegnet: Kunden sagen mir, dass sie durch ihr bestehendes Patch-Management „alles im Griff haben“ und sie somit kein Schwachstellen-Management benötigen. Aber leider ist das eine absolut verfehlte Annahme: Patch-Management ist nicht Schwachstellenmanagement! Beide Prozesse liegen nahe beieinander, dürfen aber nicht miteinander verwechselt werden.
  Das Schwachstellenmanagement ist ein proaktiver Prozess, welcher im zeitlichen Ablauf dem Patch Management vorgelagert ist, um Schwachstellen zu erkennen. Gute Schwachstellen-Scanner erkennen nicht nur Schwachstellen, für welche ein Patch besteht, sondern identifizieren auch Schwachstellen zeitnah nach deren Bekanntwerden — auch wenn es noch keinen Patch dafür gibt.
  Beim Patch Management wird überprüft, inwiefern Patches für Betriebssysteme und die installierten Applikationen zur Verfügung stehen. Vom Bekanntwerden einer Schwachstelle bis zur Verfügbarkeit eines Patches kann es oft Monate dauern. Während dieser Zeit zeigt das Patch Management keinen Handlungsbedarf an, obwohl ein Sicherheitsrisiko besteht.
  Patch Management ersetzt also nicht Schwachstellenmanagement und umgekehrt. Beide wirken wechselseitig ergänzend und steigern in geeigneter Kombination die Informationssicherheit Ihrer Organisation erheblich.

• Informationssicherheit aktiv managen
  Ein weiterer Aspekt ist, dass wir Informationssicherheit und damit auch einzelne Aktivitäten wie zum Beispiel das Schwachstellen-Management nicht als einmalige Sache betrachten. Wir müssen Informationssicherheit als einen kontinuierlichen Prozess betreiben, der nach Verbesserung strebt! Denn durch die kontinuierliche Verbesserung, steigt der Reifegrad der Informationssicherheit.
  Und genau das bewirken die mittlerweile auch an vielen Stellen gesetzlich geforderten Informationssicherheitsmanagementsysteme (ISMS). Sie implementieren einen kontinuierlichen Verbesserungsprozess (Plan, Do, Check, Act) in die jeweilige Organisation.
  Einzelmaßnahmen sind dabei wenig zielführend, um ein für den jeweiligen Schutzbedarf der Institution erforderliches durchgängiges Sicherheitsniveau zu erreichen. Bei einer solchen Vorgehensweise wird wie bei einer Kette das schwächste Glied brechen. Und das problematische dabei ist, dass wir ohne ein etabliertes ISMS nicht wissen wie viele Ketten mit welcher Gliederbeschaffenheit im Einsatz sind. Das Ganze gleicht einem unkalkulierbaren Glücksspiel.
  Durch das ISMS werden Maßnahmen etabliert und strategisch gesteuert, die von Personen, Prozessen und Technik der jeweiligen Institution getragen werden und fest in die Abläufe und dem Aufbau einer Organisation verankert sind.
  Dabei ist es wichtig, dass die so etablierten Maßnahmen vollständig, angemessen, überdeckungsfrei, möglichst einheitlich und konsistent konzipiert wurden.
  Im konkreten Fall wären solche Maßnahmen beispielsweise eine Ende-zu-Ende-Verschlüsselung oder eine Zwei-Faktor-Authentifizierung gewesen, die die Erfolgsaussichten des Angriffs deutlich gesenkt hätten.

In Office ist eine Komponente integriert, die regelmäßig Telemetriedaten an die Server von Microsoft in den USA überträgt. Dabei werden beispielsweise auf Events basierende Daten gesendet, wie ganze Sätze vor und nach einzelnen Wörtern im bearbeiteten Text, die der Nutzer mit der Online-Rechtschreibprüfung oder dem Übersetzungsdienst nachgeschlagen hat. Oder aber wenn der Nutzer die Rücktaste mehrmals hintereinander verwendet, was darauf hindeutet das die korrekte Schreibweise des Wortes unbekannt ist.

Nach eigenen Aussagen von Microsoft werden 23.000 bis 25.000 unterschiedliche Events in der Software getrackt und zur Untersuchung an die Server des Unternehmens übertragen.
Neben den Telemetriedaten wird von Microsoft zusätzlich auch die Nutzung von Connected Services (z.B. Übersetzungsdiensten) protokolliert. Dazu kann Microsoft die personenbezogenen Daten über diese Nutzung in systemseitig generierten Ereignisprotokollen speichern.

Microsoft hat zwar Nachbesserungen zugesagt, wie die Bereitstellung eines Tools zur Betrachtung von Telemetriedaten und einer Einstellmöglichkeit in Office, die den Datenabfluss verhindern soll (Zero Exhaust). Bis dahin bestehen allerdings die genannten Datenschutz-Risiken für die Nutzer der Software. Und es bleibt abzuwarten wie es um die Wirksamkeit der angekündigten Maßnahmen bestellt ist.

Die durchgeführte DSFA betrachtet lediglich die Datenschutz-Risiken, die für die von der Verarbeitung betroffenen Personen bestehen. Man sollte aber bedenken das es neben den von der DSFA betrachteten Risiken für personenbezogenen Daten weitere Bereiche gibt wo es um Informationen mit hoher Vertraulichkeit geht, wie beispielsweise Firmengeheimnisse, Berufsgeheimnisse und staatlicher Geheimschutz. Auch hier ergeben sich anlassbezogen möglicherweise erhebliche Risiken, die man berücksichtigen und bewerten muss.

Bis zur Verfügbarkeit der Zero-Exhaust-Einstellungsmöglichkeit in Microsoft-Office kann man nur sehr eingeschränkt die Risiken abschwächen. Die Privacy Company rät zu folgenden Maßnahmen um die Risiken zumindest zu mildern:

• Keine Nutzung von Connected Services (Nutzung vermeiden oder untersagen)
• Datenübertragung zur Verbesserung von Office generell untersagen
• SharePoint Online / OneDrive nicht benutzen
• Reine Web-Version von Office 365 nicht nutzen
• Regelmäßiges Löschen und Neuanlegen des Active-Directory-Kontos von Benutzer, um sicherzustellen, dass Microsoft die historischen Diagnosedaten löscht.

Somit bleibt im Moment nur der konsequente Verzicht auf den Einsatz von Microsoft Office, wenn man sicher gehen will die oben genannten Risiken für sensible und vertrauliche Daten auszuschließen. Oder zu prüfen welche Möglichkeiten bestehen alternative Office-Software zur Verarbeitung sensibler Daten zu nutzen, wie zum Beispiel LibreOffice.

Es bleibt also spannend zu beobachten wie sich Software-Hersteller und Service-Anbieter zukünftig gegenüber den Nutzern in Bezug auf Transparenz und Datenschutz Ihrer angebotenen Lösungen und Produkte aufstellen.

Die damit verbundene immer weiter steigende Komplexität der IT, die Verlagerung von Geschäftsprozessen ins Internet, neue Technologien und neue Entwicklungen erzeugen neue Flanken für Cyber-Angreifer. Immer öfter ergeben sich weitreichende Möglichkeiten, Informationen auszuspähen oder Prozesse zu sabotieren. Zudem Cyber-Angreifer kontinuierlich aufrüsten und ihre Angriffsmethoden und -mittel rasant weiterentwickeln. Dabei ist ein hoher Professionalisierungsgrad zu erkennen.

IoT: Willst Du ein S kaufen?
Bevor wir dieses oben beschriebene Szenario etwas näher betrachten, noch ein paar Anmerkungen zum Thema IoT-Devices: Das S in der Abkürzung IoT steht für Sicherheit.
Dieser Running-Gag, gibt (leider) die Realität sehr gut wieder. So wie es kein S in IoT gibt, sucht man häufig auch das Sicherheitsbewusstsein der Hersteller von IoT-Komponenten, denn dieses ist oft nicht mal im Ansatz erkennbar!

Das Internet der Dinge hat eine hohe Komplexität, die auch für erfahrene Entwickler eine Herausforderung darstellt. Darüber hinaus erfordert die Integrationstiefe der IoT-Produkte oft ein Zusammenspiel von unterschiedlichen Fachspezialisten und Zulieferern.

Industrie-Netze, Gebäudetechnik und diverse andere Anwendungen nutzen verschiedene Dialekte bei Feldbussen, Ethernet-Verkabelungen und drahtloser Kommunikation. Oft sind diese Standards herstellerspezifisch. So kennt allein das Industrial Ethernet sechs unterschiedliche Standards. Aber auch die Datenstrukturen von IoT-Geräten sind oft herstellerspezifisch und aus diesem Grund nicht kompatibel zueinander.
In dieser Gemengelage sind Fehlermöglichkeiten zu Lasten der Informationssicherheit und des Datenschutzes geradezu vorprogrammiert, wenn man sich als Hersteller keine Gedanken für eine langfristig tragfähige Konzeption gemacht hat.

Cyber-Angriffe: (Beinahe) ein Alltagsphänomen?
Aber nun wieder zurück zur aktuellen Bedrohungslage: Mehr als die Hälfte der Unternehmen in Deutschland (53 Prozent) wurden in den vergangenen beiden Jahren Opfer von Wirtschaftsspionage, Sabotage oder Datendiebstahl. Dadurch ist ein Schaden von rund 55 Milliarden Euro pro Jahr entstanden. Das ist das Ergebnis einer Studie (https://www.bitkom.org/Presse/Anhaenge-an-PIs/2017/07-Juli/Bitkom-Charts-Wirtschaftsschutz-in-der-digitalen-Welt-21-07-2017.pdf) des Digitalverbands Bitkom, für die 1.069 Geschäftsführer und Sicherheitsverantwortliche quer durch alle Branchen repräsentativ befragt wurden.

Ohne Informationssicherheit keine Digitalisierung
Digitalisierung kann nur gelingen, wenn die damit verbundenen Risiken beherrschbar bleiben. Nur so können die Chancen und Potenziale der Digitalisierung ausgeschöpft werden. Ohne das Vertrauen der Anwender in die Integrität und die Verlässlichkeit digitaler Lösungen, wird es unmöglich für diese Lösungen eine dauerhafte Akzeptanz zu schaffen.

Und genau an dieser Stelle zeigt sich das Dilemma: Die Herausforderung für die Hersteller, Betreiber und Anwender der digitalen Lösungen und Prozesse ist es einen lückenlosen Schutz aufzubauen und zu erhalten. Wohingegen die jeweiligen Angreifer nur eine kleine Schwachstelle identifizieren und ausnutzen müssen.
Die überwiegende Mehrheit erfolgreicher Cyberangriffe beruht auf nicht gut programmierter, schlecht gewarteter oder mangelhaft konfigurierter Software und Systemen.

Um die Widerstandsfähigkeit der digitalen Produkte oder Prozesse gegenüber Cyberbedrohungen zu steigern, ist es notwendig die Anforderungen der Informationssicherheit im gesamten Lebenszyklus einer digitalen Lösung oder eines Prozesses im erforderlichen Umfang zu berücksichtigen. Also von der Planung und Konzeption, der Umsetzung, dem Betrieb bis hin zur Stilllegung.
In diesem Artikel gehe ich überblickartig auf die Phasen Planung, Konzeption und Umsetzung ein. Da oft dort entscheidende Versäumnisse bestehen, mit denen sich im Anschluss die Betreiber im Rahmen ihres Informationssicherheitsmanagements herumschlagen müssen.

"IT-Security by Design": Informationssicherheit gehört in die Spezifikation
Bereits beim Design und der Planung müssen sicherheitsrelevante Anforderungen in den Spezifikationen der Anwendungen berücksichtigt werden. Denn gehört Security nicht zu den Designkriterien bei der Entwicklung, wird Sie von den Entwicklern auch nicht abgearbeitet. Der Fokus der Architekten und Entwickler liegt gerade in dieser Phase primär auf den funktionalen Aspekten und Anforderungen der Anwendungen. Die meist nicht-funktionalen Anforderungen der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit, Nicht-Abstreitbarkeit, etc.) und die daraus abgeleiteten funktionalen Anforderungen fallen dabei oft durch das Raster der Architekten.

Daher ist es an dieser Stelle besonders wichtig durch "IT-Security by Design" die möglichen Sicherheitslücken, Schwachstellen und somit die Angriffsfläche von allem Anfang an zu reduzieren. Im Idealfall fließt der Sicherheitsaspekt so bereits in den Prototyp ein – und wird durch alle weiteren Produktionsstufen mitgetragen.
Die Hersteller verringern durch "IT-Security by Design" ihr Haftungsrisiko und die späteren Aufwände für die Produktpflege.
Auf Anwenderseite werden zukünftige Aufwände für Wartungsprozesse reduziert, da deutlich seltener Sicherheitspatches erstellt, getestet sowie verteilt und installiert werden müssen. Dadurch vermindern sich die Kosten einer Software im Betrieb, was letztlich als Verkaufs- und Marketinginstrument taugen kann.

DevOps trifft Informationssicherheit
Allerdings ist der Wunsch nach "Security by Design" einfacher formuliert als in der Praxis umgesetzt. Denn gerade die oft verwendeten agilen Entwicklungsmethoden stellen die bisherigen ehr sequenziell ausgerichteten Prozesse der Informationssicherheit vor die Herausforderung mit dem Entwicklungstempo und den dynamischen Entwicklungsprozessen Schritt zu halten.
Das bedeutet dass hier sowohl auf Seiten der Entwickler und Architekten als auch auf Seiten der Informationssicherheitsberater ein Umdenken erforderlich ist. Es muss diskutiert und bewertet werden, ob und wie sich eine (funktionale) Idee unter Sicherheitsgesichtspunkten überhaupt realisieren lässt.
Wie muss die funktionale Sicherheitsanforderung aussehen und lässt sie sich konkret über alle relevanten Funktionen hinweg umsetzen?
Dabei kommt dem Risikomanagement-Prozess eine wesentliche Rolle zu. Denn man wird nicht immer alle Risiken vollständig kompensieren können. Gerade bei verbleibenden (Rest-) Risiken muss immer eindeutig sein WER das Risiko trägt und WIE damit umgegangen wird. Insofern ist es notwendig einen standardisierten und wirkungsvollen Risikomanagement-Prozess etabliert zu haben. Und diesen auch zu nutzen!

Typische Fragen betreffen beispielsweise in diesem Zusammenhang oft:

• das Rollen- und Berechtigungskonzept, welches die Grundlage für die Nutzung und den Betrieb einer Lösung darstellt. Sind alle notwendigen Rollen (Administratoren, Nutzer, Auditoren, ...) vorgesehen und durchgängig implementiert?
• die Schnittstellen: Hier ist zu bewerten ob ein Sicherheitsgefälle und welcher Schutzbedarf besteht. IoT-Geräte sind oft direkt mit dem Internet verbunden, um Monitoring sowie Fernwartung zu ermöglichen. Das bedeutet dass diese Zugänge der IoT-Geräte gemäß dem Stand der Technik abgesichert sein müssen (z.B. sichere Authentisierung), als auch mit sicheren Passworten vorbelegt sein ("Security by Default").
• das Patchmanagement, z.B. über welchen sicheren Mechanismus können remote Softwareupdates bereitgestellt werden?
• Für welchen Zeitraum sollen Updates bereitgestellt werden? Der verantwortungsvolle Hersteller zeichnet sich dadurch aus, dass er für seine IoT-Geräte über einen im Vorfeld festgelegten (möglichst langen) Zeitraum Software-Updates bereitstellt. Nur mit Updates kann auf neue Bedrohungen durch Hacker reagiert und ein hohes Niveau an Datenschutz und Datensicherheit über längere Zeit gehalten werden.
• die kryptografischen Algorithmen, die für die geplante Nutzungsdauer des IoT-Devices dem Stand der Technik entsprechen müssen oder aber über den oben beschriebenen Patchmechanismus im Bedarfsfall angepasst werden können (siehe: https://ubdg.de/trends/was-hat-sha1-mit-ihrem-isms-zu-tun).
• das Gesamtkonzept: Ist dieses schlüssig und berücksichtigt in allen Bereichen (z.B. in der Infrastruktur, der Middleware, dem Content, den Frameworks, etc. ) die Aspekte der Informationssicherheit.

Sicherer Betrieb: Risikomanagement leben und weiterentwickeln
Wenn dann die Prozesse und IoT-Devices betrieben und genutzt werden ist ein Informationssicherheitsmanagementsystem (ISMS) erforderlich, welches dazu dient die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.
So, oder ähnlich kann man das an unzähligen Stellen in der Literatur nachlesen. Daher möchte ich hier nicht erneut das Thema ISMS in der Tiefe aufgreifen. Zu diesem Thema habe ich in der Vergangenheit bereits einige Blog-Artikel veröffentlicht.
Leider wird in der Praxis oft übersehen, das besagtes ISMS bereits von Anfang an (in den Phasen Planung, Konzeption und Umsetzung) erforderlich ist und nicht erst in der Betriebsphase!

Mir geht es in diesem Beitrag um einige Aspekte, die gerade im Zusammenhang mit dem Betrieb von IoT-Devices gar nicht oft genug gesagt werden können.

Wie bereits schon in der Entwicklungsphase festgestellt, ist die Update-Fähigkeit ein wesentliches Merkmal von IoT-Devices. Die Geräte müssen über eine gemäß dem Stand der Technik abgesicherten Schnittstelle (remote) updatefähig und managebar sein. So das die Betreiber-Organisation Updates verteilen kann, um damit neu bekannt gewordene Schwachstellen schließen zu können.

Und auch hier ist wieder der Risikomanagement-Prozess der Betreiber-Organisation wichtig. Als Betreiber muss man zeitnah bewerten, in welchem Maß und in welcher Form man von Softwareschwachstellen betroffen ist.
Häufig ergibt sich daraus ein gestaffeltes Verfahren. So das zeitnah die unmittelbar gefährdeten, zum Beispiel direkt aus dem Internet oder von Fremdnetzen aus erreichbaren Devices gepatcht werden, und in einem zweiten zeitlich nachgelagerten Schritt die Masse der restlichen Devices. Oder aber man platziert ergänzende Maßnahmen im Umfeld der betroffenen Devices, um die Ausnutzung von Schwachstellen zu verhindern, wenn noch keine Patches des Herstellers zur Verfügung stehen oder man diese erst in der eigenen Umgebung testen muss.

Die Betreiber-Organisation kann bei diesem Vorgang viel lernen über den Hersteller der jeweiligen IoT-Devices. Denn der Umgang des Herstellers mit dem Sachverhalt lässt sofort Rückschlüsse auf die Qualität und Güte von Entwicklungs- und Betriebsprozessen des Herstellers zu.
Somit kann diese Information in den Beschaffungsprozess der Betreiber miteinfließen, und ein zukünftiges Entscheidungskriterium sein, keine Komponenten von Herstellern zu kaufen, die ihrer Verpflichtung nicht mit der erforderlichen Qualität und Geschwindigkeit nachkommen.

Die Betreiber und Anwender müssen zukünftig umdenken: Ein erforderliches Security-Update bedeutet nicht, dass etwa das gerade gekaufte Gerät schon defekt ist. Es bedeutet vielmehr, dass der Hersteller verantwortungsvoll handelt und eine neu identifizierte Schwachstelle schließt.

Voraussetzungen für ADV

Wie schon gesagt, gelten strenge Vorgaben für die ADV. Der § 28 DSVGO legt strenge Qualitätsvorgaben an die Datensicherheit und den Datenschutz bei den Cloud-Dienstleistern fest. Danach ist eine Auftragsverarbeitung durch den Cloud-Dienstleister nur dann zulässig, wenn er hinreichend Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen (TOM) so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt.
Die Anforderungen werden noch strenger, wenn besonders schutzwürdige personenbezoge Daten (Art. 9 DSGVO) in der Cloud gespeichert werden sollen. Hier besteht ein sog. Speicherungsverbot unter Erlaubnisvorbehalt. Die Speicherung solcher Daten ist nur möglich wenn ein besonders hoher Sicherheitsstandard eingehalten wird. Es muss sich bei den Verarbeitern um Fachpersonal handeln, das besonderen Geheimhaltungspflichten unterliegt (Art. 9 Abs. 3 DSGVO).
Durch dieses Vorgehen wird ein risikobasierter Ansatz mit dem Ziel verfolgt, dass der erforderliche Schutzbedarf der personenbezogenen Daten dem jeweiligen Risiko der Datenverarbeitung angemessen sein muss. Lange Rede, kurzer Sinn: Umso sensiblere personenbezogene Daten (z.B. Angaben zu ethnischer Herkunft, Religionszugehörigkeit, politische Meinung, Gesundheitsdaten) gespeichert werden sollen, umso höher sind die Anforderungen an die Datenverarbeitung.

Kann der Dienstleister das was er verspricht?
Der Auftraggeber hat die Pflicht sich vor der Auftragsvergabe über die technischen und organisatorischen Sicherheitsmaßnahmen (TOM) bei den Cloud-Anbietern zu informieren und die Angemessenheit dieser zu kontrollieren. Dabei ist es auch relevant, ob der Cloud-Dienstleister Subunternehmen oder andere Auftragsdatenverarbeiter einsetzt.
Und dabei sind wir bei einem grundsätzlichen Problem des Auftraggebers angekommen, was auch bereits vor der DSGVO bestanden hat. Denn der Auftraggeber kann sich in der Regel gar kein genaues Bild von den tatsächlich beim Cloud-Dienstleister vorherrschenden technischen und organisatorischen Maßnahmen (TOM) machen.
Als Ausweg aus diesem Dilemma sieht die DSGVO eine verstärkte Nutzung von geeigneten Zertifikaten vor. Diese Zertifikate können dann beispielsweise detaillierte Nachweise zu den technischen und organisatorischen Sicherheitsvorkehrungen (TOM) der Cloud-Dienstleister ersetzen.

Wo werden die Daten gespeichert?
Ein weiterer Punkt ist der geografische Ort an dem die Datenspeicherung stattfindet. Der Auftraggeber muss sich darüber informieren, ob der Cloud-Dienstleister die Daten auf Server außerhalb der EU speichern will und ob in diesem Fall sichergestellt ist, dass an diesen Standorten ein vergleichbares Datenschutzniveau wie in der EU eingehalten wird. Eine Orientierung könnte dieses Kurzpapier bieten.

Lösch-Ansprüche der Nutzer
Cloud-Dienste müssen zukünftig die mit der DSGVO deutlich erweiterten Lösch-Ansprüche der Nutzer umsetzen. In Art. 17 DSGVO wird vorgegeben, dass personenbezogene Daten unverzüglich gelöscht werden müssen, wenn der Zweck für ihre Speicherung entfallen ist, der Betroffene seine Einwilligung zur Speicherung widerruft oder die Nutzung ohnehin schon rechtswidrig war. Ausnahmen von dieser Löschpflicht gibt es nur in Ausnahmefällen.
Um erweiterten Lösch-Ansprüche der Nutzer Umzusetzen, ist es erforderlich entsprechende Löschkonzepte zu entwickelt bzw. vorhandene anzupassen. Idealerweise sollten dabei die bereits vorhandenen Löschkonzepte des ISMS genutzt werden, die die technische Umsetzung konkretisieren.

Datenübertragbarkeit
Eine weitere Herausforderung ist zukünftig das neue Recht auf Datenübertragbarkeit (Art. 20 DSGVO). Danach haben Auftraggeber einen Anspruch darauf, die sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format abzurufen und diese Daten zu anderen Anbietern übertragen können.
Die notwendigen Verfahren zur einfachen Umsetzung dieser Vorschriften, speziell zur einfachen Portierung der Daten zu anderen Diensten, müssen allerdings erst noch entwickelt werden.

Meldepflichten bei Datenpannen und –diebstahl
Bereits jetzt mussten Aufsichtsbehörden und Betroffene bei Datenpannen und Datendiebstahl informiert werden, sofern es sich um sehr sensible Daten (z.B. Kontodaten, Gesundheitsdaten) handelt und schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen drohten.
Zukünftig darf nach Art. 33 und 34 DSGVO eine Benachrichtigung nur noch unterbleiben, wenn die Datenpanne voraussichtlich nicht zu einem Risiko für die Betroffenen führen kann. Besteht dagegen ein hohes Risiko für deren Rechte und Freiheiten, müssen die Betroffenen informiert werden. Es gibt klare Vorgaben zu dieser Benachrichtigung. Bei den Aufsichtsbehörden muss die Meldung unverzüglich, möglichst innerhalb von 72 Stunden, erfolgen. Bei schweren Datenpannen sind auch die Betroffenen in einer klaren und einfachen Sprache zu informieren.
Grundlage für die Vorgehensweise zur Umsetzung könnte das Abstützen auf Ihrem bereits (eigentlich) vorhandenen Prozess zur Behandlung vermuteter Sicherheitsvorfälle des ISMS sein. Dieser würde unter anderem Meldewege und Verantwortlichkeiten schon mal beschreiben. Man müsste lediglich Anpassungen bei Meldewegen, Definitionen und Schutzzielen machen.

Und nun?
Die dargestellten Themen zeigen die Punkte auf, an denen schon vor dem Wirksamwerden der DSGVO bereits bestehende Verträge mit Cloud-Dienstleistern geprüft und gegebenenfalls angepasst werden sollten, bzw. beim Abschluss neuer Verträge noch genauer darauf geachtet werden sollte, ob der Cloud-Dienstleister die an ihn gestellten Forderungen erfüllen und nachweisen kann.
Orientieren kann man sich an zahlreichen im Netz verfügbaren Vorlagen von Musterverträgen zur ADV, wie beispielsweise der Vorlage des BITKOM.
Und wenn wir gerade schon dabei sind: Falls es sich um ein geändertes oder neues Verfahren handelt, sollte man in jedem Fall rechtzeitig auch an die Datenschutzfolgenabschätzung denken. Die in diesem Zusammenhang ebenfalls einen nicht unerheblichen Aufwand bereiten kann. Aber dazu mehr in einem der folgenden Blogartikel.

Aber trotz aller Urlaubsstimmung sollte man ein paar grundsätzliche Dinge beim Surfen über fremde WLANs beachten, die natürlich nicht nur während des Urlaubs berücksichtigt werden sollten.

Bedenken Sie immer: Der Namen seines WLANs kann ein Betreiber völlig frei wählen. Daher passiert es immer wieder, dass Betrüger WLANs errichten, diesen dann einen vertrauenswürdigen oder bekannten Namen geben (z.B. Telekom, ICE, Free Wifi, ...), und dann darauf warten, dass sich Geräte einbuchen. So können sie zum einen die Zugangsdaten abgreifen, die Ihr Gerät für WLANs mit dem entsprechenden Namen abgespeichert hat.
Zum anderen können die Betrüger den gesamten Datenverkehr mitlesen. Da sich aber auch verschlüsselte Verbindungen vortäuschen lassen, sollten Sie in öffentlichen WLANs auch SSL-gesicherten Websites (https) ein „gesundes Misstrauen“ entgegen bringen (siehe die Links unten). Oder zum Beispiel ein Virtual Private Network (VPN) nutzen, dessen Betreiber Sie vertrauen, der vom WLAN-Betreiber unabhängig ist und der die augenscheinliche Sachkunde besitzt, das VPN auch sicher zu betreiben.

Also Vorsicht bei der Anmeldung an Diensten wie Ihrem Web-Mailer, Homebanking oder auch Facebook. Denn die Anmeldung und Authentifizierung erfolgt mit Ihren eingegebenen Anmeldedaten. Werden diese wie oben beschrieben ausgespäht, kann sich der Betrüger mit Ihrer Identität an den jeweiligen Diensten anmelden und in Ihrem Namen handeln, was für Sie im Einzelfall sehr ernste und unangenehme Folgen haben kann.

Sicherer, aber oft auch mit nicht unerheblichen Kosten verbunden, ist es eine UMTS- oder LTE-Verbindung zu verwenden. Daher könnte es eine Strategie sein, vertraulichen Datenverkehr , wenn sich dieser nicht vermeiden lässt, via UMTS oder LTE abzuwickeln. Und das WLAN „nur noch“ zum Surfen oder zum Abrufen der Reisewettervorhersage zu nutzen.

Aber auch beim Surfen über WLAN lauern Gefahren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die wesentlichen Sicherheitshinweise zur WLAN-Nutzung hier zusammengefasst:

• Schalten Sie die WLAN-Funktion nur ein, wenn Sie diese benötigen.
• Deaktivieren Sie nach Möglichkeit die automatische Anmeldung an bekannten Hotspots.
• Rufen Sie vertrauliche Daten über ein fremdes WLAN-Netz am besten nicht ab.
• Aktiviren und nutzen Sie in jedem Fall eine Firewall ihres Gerätes
• Deaktivieren Sie die Datei- und Verzeichnisfreigaben.
• Nutzen sie vom WLAN unabhängige verschlüsselte Verbindungen (SSL, VPN)

Nützlich in diesem Zusammenhang sind beispielsweise auch kostenlose Browser-Erweiterungen, die eine Nutzung von https-Verbindungen vereinfachen:

• httpseverywhere sorgt dafür, dass wenn möglich alle aufgerufenen Seiten verschlüsselt sind.
• Calomel SSL Validation dient zur Überprüfung der Zertifikate