Download Die Lage der IT Sicherheit in Deutschland 2017 PDF

Die Lage der IT Sicherheit in Deutschland 2017
Name: Die Lage der IT Sicherheit in Deutschland 2017
Pages: 84
Year: 2017
Language: English
File Size: 2.71 MB
Downloads: 0
Page 3

DIE LAGE DER IT SICHERHEIT IN DEUTSCHLAND 2017 | 3 VORWORTE Vorwort Nichts ist so best ndig wie der Wandel. Auf wohl kaum etwas Anderes trifft Heraklits Erkenntnis so zu wie auf die Digitalisierung. Ihre Chancen f r unseren gesellschaftli chen, wissenschaftlichen und wirtschaftlichen Fortschritt sind immens. Die Risiken sind es ebenso und m ssen beherrschbar bleiben. Ein Blick zur ck zeigt: Die vergangenen Jahre waren von IT Si cherheitsvorf llen gepr gt wie nie zuvor. Trotz aller Anstrengungen waren sie an der Tagesordnung, oft schwer wiegend und selten auf Deutschland beschr nkt. Es traf Krankenh user in Gro britannien, Energieversorger in der Ukraine, einen der weltweit gr ten Logistiker, Banken, Pharmaunternehmen und Stahlproduzenten dies sind nur einige der Ziele der j ngsten Cyber Attacken. Cyber Kriminalit t, Cyber Spionage gegen ber Staat und Wirt schaft und provozierte Ausf lle Kritischer Infrastrukturen sind eine ernstzunehmende Bedrohung unserer Gesell schaft im 21. Jahrhundert. Richtig ist aber auch: Nie zuvor haben wir im Bereich der IT und Cyber Sicherheit so viel Recht gesetzt und soviel erreicht wie in den letzten Jahren. Nie zuvor waren wir auf internationaler Ebene an so vielen Kontakten und Aus tauschformaten zur IT und Cyber Sicherheit beteiligt. Mit der neuen Cyber Sicherheitsstrategie wurde ein strate gischer berbau f r alle Ma nahmen des Bundes auf dem Gebiet der Cyber Sicherheit geschaffen. Das BSI wurde zu dem ausgebaut, was es heute ist: eine weltweit einmalige Fachbeh rde. Der Blick in die Zukunft zeigt: Auf dem Erreichten d rfen wir uns nicht ausruhen. Die ho he Dynamik in der Ent wicklung der Informationstechnik l sst es auch nicht zu, dass moderne Wirtschaftsnationen auf dem Gebiet der Digitalisierung und IT Sicherheit stillstehen. Wir m ssen auch k nftig unsere rechtlichen, technischen und perso nellen M glichkeiten zur Gestaltung der Digitalisierung und zur Gew hrleistung weitreichender IT Sicherheit fortentwickeln. In diesen bewegten Zeiten verdient der Lagebericht des BSI zur IT Si cherheit in Deutschland 2017 besondere Aufmerk samkeit. Er ist mehr als eine Momentaufnahme, sondern eine fundierte wie verl ssliche Dokumentation, welchen Bedrohungen Deutschlands IT ausgesetzt ist und welche Herausforderungen sich uns stellen. Wer den BSI Bericht liest, wird auch feststellen: Die Mit arbeiter des BSI leisten Gro es auf einem Gebiet, das Milli onen Menschen betrifft und dessen ernste Probleme h u?g nur von wenigen Experten durchdrungen werden. Sie sind es, die die wichtigen Aufgaben der Pr vention und Detek tion und beim Schutz vor Cyber Angriffen erf llen und passende Antworten auch auf dr ngendste Herausforde rungen ?nden. Mit diesen anspruchsvollen Aufgaben ist das BSI eine tragende S ule unseres digitalen Deutschlands. Berlin, im August 2017 Dr. Thomas de Maizi re, MdB Bundesminister des Innern


Page 4

DIE LAGE DER IT SICHERHEIT IN DEUTSCHLAND 2017 | VORWORTE 4 Vorwort Leistungsf hige und sichere Kommunikationssysteme sind das zentrale Nervensystem der Gesellschaft im 21. Jahrhun dert. Sie sind essenziell f r eine funktionierende Wirtschaft und sorgen auch im privaten Umfeld f r Komfort und vielf ltige M glichkeiten. Sie schaffen die Bedingungen f r Mobilit t und Datenaustausch sowie f r Kapital , Waren und Dienstleistungstransfer. Sie sind Voraussetzung f r die Industrie 4.0, die Energiewende und den Betrieb Kritischer Infrastrukturen. In den letzten Monaten haben weltweite Angriffskampa gnen wie WannaCry und Petya / NotPetya sowie erfolgrei che Cyber Angriffe auf Unternehmen, auf demokratische Institutionen wie den Deutschen Bundestag oder die Parteien, auf Entscheidungstr ger in der Wirtschaft und nicht zuletzt auch auf die B rgerinnen und B rger sehr deutlich gemacht, wie gef hrdet unsere digitalisierte Wirtschaft und Gesellschaft ist. Die Sch den, die dabei f r die Gesellschaft entstehen, gehen in die Millionen. Mit jedem Vorfall wird deutlicher, wie abh ngig eine erfolg reiche Digitalisierung von der Cyber Sicherheit ist. Die Informationssicherheit in der Digitalisierung f r Staat, Wirtschaft und Gesellschaft zu gestalten und voranzu treiben, ist Aufgabe und Ziel der nationalen Cyber Sicher heitsbeh rde BSI. Das BSI genie t als Kompetenzzentrum f r Fragen der Cyber Sicherheit hohes Ansehen in allen Teilen der Gesell schaft. Im BSI sind alle Themen der Cyber Sicherheit ver eint: vom Schutz der Regierungsnetze und der Kritischen Infrastrukturen ber die Kryptographie, die Zerti?zierung und Standardsetzung, die Beratung von Bund, L ndern, Wirtschaft und B rgern bis hin zur Gestaltung der Digitali sierung in hochkomplexen Projekten wie der Energiewende oder dem autonomen Fahren. Diese B ndelung und Ver netzung von Cyber Sicherheits Expertise in einer Beh rde gibt dem BSI seine in Deutschland einzigartige Schlagkraft. Der Bericht zur Lage der IT Sicherheit in Deutschland be schreibt und analysiert die aktuelle IT Sicherheitslage, auch anhand konkreter Beispiele und Vorf lle. Daraus abgeleitet stellen wir die Angebote und L sungsans tze des BSI zur Verbesserung der IT Sicherheit in Deutschland vor. Das erste Kapitel geht gleicherma en auf die Gef hrdungs lage f r die Bundesverwaltung, die Wirtschaft insbeson dere die Kritischen Infrastrukturen und die Gesellschaft ein. Wir beschreiben die Ursachen von Cyber Angriffen und analysieren die verwendeten Angriffsmittel und methoden. Dabei zeigen wir auf, wie mit der zunehmenden Vernet zung ber Informations und Kommunikationstechno logie auch der Grad der Abh ngigkeit steigt. Wir alle sind immer st rker auf sichere Informationswege angewiesen, doch gleichzeitig steigt die Zahl der Angriffe auf das Netz. Cyber Kriminalit t, Cyber Spionage und Cyber Sabotage Kritischer Infrastrukturen stellen ernstzunehmende Bedro hungen dar. Daraus abgeleitet thematisiert der Lagebericht im zweiten Kapitel L sungsans tze zur Verbesserung der IT Sicherheit in Deutschland und stellt dabei auch die Angebote und Ma nahmen des BSI vor. Anhand vieler Beispiele wird deutlich, wie das BSI mit verschiedenen Akteuren aus Staat, Wirtschaft und Gesellschaft gemeinsam daran arbeitet, den Risiken wirksame und umsetzbare Sicherheitsma nahmen entgegenzusetzen. Das dritte Kapitel schlie lich bewertet die Sicherheitslage, leitet daraus Empfehlungen ab und gibt einen Ausblick auf die weitere Entwicklung. Die Erfahrung zeigt, dass angesichts der aufgezeigten Be drohungslage die Fortschritte zur Erh hung der Cyber Sicherheit meist Schritt f r Schritt erfolgen. Aber je breiter das Bewusstsein f r die Bedeutung der Informationssicher heit in der Digitalisierung f r alle Bereiche der Gesellschaft wird, desto gr er k nnen diese Schritte werden. Daran arbeiten wir. Arne Sch nbohm Pr sident des Bundesamts f r Sicherheit in der Informationstechnik (BSI)


Page 7

DIE LAGE DER IT SICHERHEIT IN DEUTSCHLAND 2017 | GEF HRDUNGSLAGE 7 1 Die Gef hrdungslage Im folgenden Kapitel wird die Gef hrdungslage der IT Sicherheit in Deutschland 2016 / 17 beschrieben, gegliedert in die drei Bereiche Bundesverwaltung, Kritische Infrastruk turen / Wirtschaft und Gesellschaft. Au erdem wird auf die Angriffsmethoden und mittel eingegangen und es wird anhand zahlreicher Beispiele erl utert, wie diese Angriffe das ffentliche Leben in einer digitalisierten Gesellschaft beeintr chtigen oder gef hrden k nnen. 1.1 Die Gef hr dungslage in der Bundesverwaltung Die Aus bung der verfassungsrechtlich garantierten Aufga ben der judikativen, legislativen und exekutiven Staatsge walten setzt einen sicheren und zuverl ssigen Betrieb der Informationssysteme des Staates voraus. Nur auf diese Weise sind eine l ckenlose und gegen Manipulationen jeglicher Art gesch tzte Kommunikation und eine f lschungssichere Dokumentation des Verwaltungshandelns garantiert. Das Vertrauen der B rger und Unternehmen in die Integrit t des digitalen Staates wird ersch ttert, wenn dieser seinen Aufga ben wegen funktionsunf higer Informationssysteme nicht mehr nachkommen kann. Die Informationssysteme in den Staatsgewalten sind dadurch zu kritischen Infrastrukturen f r das Gemeinwesen geworden. Erkenntnisse aus dem Schutz der Regierungsnetze Die Abwehr von Gefahren f r die IT des Bundes ist eine der Kernaufgaben des BSI. Insbesondere erf llt das BSI bereits seit seiner Gr ndung die Aufgabe, die Netze der Bundesver waltung zu sch tzen und tr gt heute die Gesamtverantwor tung f r das IT Sicherheitskonzept des Regierungsnetzes. Wichtigste Sicherheitsma nahmen f r das zentrale Regie rungsnetz sind eine durchg ngig verschl sselte Kommuni kation und eine robuste, redundante Architektur. Dar ber hinaus wird ein geregelter, vertrauensvoller Betrieb gew hr leistet. Zudem wird die sicherheitstechnische Aufstellung der Netze permanent verbessert sowie auch eine enge Anbin dung der Netze der L nder und Kommunen realisiert. F r den bestm glichen Schutz der Netze und IT Systeme hat das BSI ein mehrstu ges Sicherheitssystem etabliert. Es besteht neben kommerziellen Schutzprodukten auch aus individuell angepassten und entwickelten Ma nahmen. Sie werden kontinuierlich berpr ft, weiterentwickelt und an die dynamische Bedrohungslage angepasst. Durch die Kom bination verschiedener Abwehrma nahmen hat das BSI ein gutes Bild ber die IT Sicherheitslage der Regierungsnetze. 020112111009080706050403 12111009080706050403 0201 050403 2015 2016 2017 Abbildung 1 Schadprogramme, die am Netz bergang der Regierungsnetze durch AntiVirus Schutzma nahmen automatisiert ge?ltert wurden


Page 8

DIE LAGE DER IT SICHERHEIT IN DEUTSCHLAND 2017 | GEF HRDUNGSLAGE 8 Abwehr von Schadprogrammen Cyber Angriffe auf die Regierungsnetze Lnden t glich statt. Neben ungezielten Massenangriffen sind die Regierungs netze auch gezielten Angriffskampagnen ausgesetzt. Dabei z hlen E Mails mit Schadprogrammen zu den am h u gsten gez hlten Angriffen auf die Bundesverwaltung. Mittels automatisierter AntiVirus Schutzma nahmen wurden pro Monat durchschnittlich fast 52.000 solcher E Mails in Echtzeit abgefangen, bevor sie die Postf cher der Empf nger erreichten. Davon wurden monatlich im Durchschnitt rund 11.000 sch dliche E Mails nur aufgrund eigens erstellter AntiVirus Signaturen erfasst. Der erneute Anstieg dieser Zahlen um 18 Prozent im Vergleich zum Vorjahresbericht ist vor allem auf die massenhafte Verbrei tung von Ransomware im Jahr 2016 zur ckzuf hren, der auch au erhalb des Regierungsnetzes zu beobachten war. Die Angreifer verwendeten dazu h u g E Mail Anh nge mit in Archiven gepacktem JavaScript oder Makrocode in Of ce Dokumenten, um dann das eigentliche Schadpro gramm aus dem Internet nachzuladen. Seit Jahresbeginn hat sich die Lage diesbez glich sp rbar entspannt. Im 1.Halbjahr 2017 wurden OE ohne erkennbare Einbu en in der Schutzwirkung OE nur noch halb so viele E Mails mit Schadsoftware abgefangen wie im 2. Halbjahr 2016. Den automatisierten AntiVirus Schutzma nahmen nachgela gert betreibt das BSI ein eigenes System zur Detektion von Schadprogrammen, das f r die Bundesverwaltung zus tzli chen Schutz bietet. Gestaffelte Verteidigung Die verschiedenen Schutzma nahmen an den Netz ber g ngen und auf den Client Systemen k nnen nicht immer alle Angriffsversuche zuverl ssig abwehren. Daher werden im Regierungsnetz auch weitere Ma nahmen zur Detektion und Reaktion eingesetzt, die in solchen F llen greifen, diese An griffe verhindern oder deren negativen Effekte minimieren. So werden im Regierungsnetz ausgehende Netzverbindun gen auf Webseiten blockiert, die Schadprogramme verteilen. Ebenso werden Verbindungsversuche von bereits aktiven Schadprogrammen zu Kontrollservern unterbunden, die f r die Steuerung und den Datenabuss genutzt werden. Auf die se Weise k nnen bereits in zierte Systeme erkannt und ein unberechtigter Datenabuss verhindert werden. Idealerweise wird der Angriff aber bereits im Vorfeld verhindert, in dem zum Beispiel der Aufruf einer zur Schadprogrammver teilung oder zum Phishing genutzten Website verhindert werden kann. Mit dieser Methode wurden t glich rund 5.100 Verbin dungsversuche zu Schadcodeservern verhindert. Vereinzelt sind darunter auch lang laufende Watering Hole Angriffe, bei denen T ter mit Spionagehintergrund Schadcode auf Webseiten platzieren, die f r Regierungsmitarbeiter relevant sind. Der Schadcode wird dabei im Abstand von mehreren Monaten durch neue Varianten ausgetauscht. In weniger als 70 F llen mussten Bundesbeh rden aufgrund auff lliger Verbindungsversuche eines ihrer Systeme ber eine m gliche Schadprogramminfektion unterrichtet werden. Diese niedrige Zahl potenzieller Infektionen ist auch auf die engmaschigen E Mail Filter zur ckzuf hren, die als Reaktion auf Ransomware Kam pagnen wie Locky eingerichtet wurden. Abwehr von ungezielten Angriffen durch kommerzielle Schutzprodukte Optimierung der Detektion durch eigene Erkenntnisse und Signaturen Erkennung gezielter Angriffe durch Eigenentwicklung Qualit t der Erkennung steigt Quantit t der erkannten Ereignisse nimmt ab Abbildung 2 Gestufte Schutzma nahmen in den Regierungsnetzen gegen E Mail basierte Angriffe


Page 9

DIE LAGE DER IT SICHERHEIT IN DEUTSCHLAND 2017 | GEF HRDUNGSLAGE 9 Erkenntnisse aus der Informationssicherheitsberatung Die Ver nderung der beh rdlichen Arbeitsabl ufe durch die Digitalisierung ver ndert auch die Anforderungen an den Schutz der dort verarbeiteten Informationen. Sicherheits ma nahmen m ssen im Rahmen des etablierten Manage mentsystems f r Informationssicherheit (ISMS) perma nent an diese ver nderten Rahmenbedingungen angepasst werden, denn die schnell fortschreitende Digitalisierung der Beh rdenstrukturen wei auch ein Angreifer zu nutzen. Daneben kommen auch mit dem Internet der Dinge, der Industrie 4.0 beziehungsweise der Digitalisierung des tech nischen Umfelds neue Herausforderungen auf das ISMS in den Beh rden zu. Wenn IP basierte Embedded Systems wie etwa smarte Klimaanlagen mit dem Beh rdennetz vernetzt werden sollen, ergibt dies neue Risikopotenziale f r die In formationssicherheit, die durch eine geeignete Behandlung aufgefangen werden m ssen. Die Etablierung von zentralen IT Dienstleistern im Be reich des Bundes sowie die verst rkte Nutzung der Netze des Bundes stellt das ISMS in den Beh rden vor weitere Herausforderungen, die parallel zum Regelbetrieb und der Digitalisierung angegangen werden m ssen Zum einen m ssen die Beh rden ihre bisherigen hetero genen Netzstrukturen und Rechenzentren zu einem gemeinsamen Standard konsolidieren sowie an die neuen Gegebenheiten anpassen. Zum anderen muss in allen Schritten der Konsolidierung und der Anpassung die Informationssicherheit sicherge stellt werden. Ein weiterer, zunehmend wichtiger werdender Aspekt ist, dass Mitarbeiter an Abl ufen und L sungen interes siert sind, die sie aus dem Consumer Bereich kennen und wertsch tzen. Die Realisierung solcher L sungen f hrt zu vielf ltigen Anforderungen an das ISMS. Die Beh rden sind daher st rker als zuvor gefordert, Anforderungen an die Informationssicherheit in Einklang mit den Anforde rungen an "Usability zu bringen und f r die Sicherheits ma nahmen bei den Mitarbeitern Akzeptanz zu schaf fen. Au erdem muss die Ausbildung und Weiterbildung der IT Sicherheitsexperten in den Beh rden permanent vorangetrieben und ausgebaut werden, um den Angreifern auch in diesem Umfeld ebenb rtig begegnen zu k nnen. Erkenntnisse aus Meldungen aus der Bundesverwaltung Nach 4 Abs. 3 des Gesetzes ber das Bundesamt f r Sicher heit in der Informationstechnik (BSIG) sind die Bundesbe h rden verpyichtet, das BSI unverz glich bei erfolgten oder versuchten Angriffen zu unterrichten, die f r die Abwehr von IT Sicherheitsgefahren insbesondere auch bei anderen Beh rden relevant sind. Dies dient neben der Veranlassung von Sofort Ma nah men insbesondere auch der konsolidierten Langzeitanalyse der IT Sicherheitslage. Dabei wird gepr ft, ob und inwie weit vorhandene zentrale Schutzma nahmen wirksam und wirtschaftlich sind. Au erdem wird festgestellt, ob es einen Bedarf f r erweiterte Schutzma nahmen gibt. Auch wenn diese Meldungen aufgrund der sehr unter schiedlichen Bedrohungslage ber die Jahre unregelm ig verteilt sind, bilden sie doch einen zus tzlichen Indikator zur Bewertung der Bedrohungslage. ?? ??????? ?? ??? ?? Abbildung 3 Anzahl der SOFORT Meldungen nach 4 Abs. 3 BSIG


Page 10

DIE LAGE DER IT SICHERHEIT IN DEUTSCHLAND 2017 | GEF HRDUNGSLAGE 10 Auch 2017 blieb Ransomware die ma gebliche Quelle f r Schadprogramminfektionen. Verst rkt gemeldet wurden auch Angriffe auf Telefon und Videokonferenzanlagen. 1.2 Die Gef hr dungslage in der Wirtschaft Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung f r das Gemeinwesen. Ihre Systeme und Dienstleistungen, wie die Versorgung mit Wasser oder W rme, ihre Infrastruktur und Logistik sind immer st rker von einer reibungslos funktionierenden Informationstechnik abh ngig. Eine St rung, Beeintr chtigung oder gar ein Ausfall durch einen Cyber Angriff oder IT Sicherheitsvorfall kann zu nachhaltig wirkenden Versorgungsengp ssen, erheblichen St rungen der ffentlichen Sicherheit oder anderen dra matischen Folgen f hren. Erkenntnisse aus Meldungen nach dem IT Sicherheitsgesetz Das IT Sicherheitsgesetz trat im Juli 2015 in Kraft. Dabei wurden auch Meldepyichten f r Betreiber Kritischer Infrastrukturen bestimmt, welche zeitlich gestuft einge f hrt wurden. Sie bestehen seit Inkrafttreten des Gesetzes f r gem Atomgesetz, Energiewirtschaftsgesetz oder Telekommunikationsgesetz verpflichtete KRITIS Betreiber seit Inkrafttreten der BSI Kritisverordnung (03.05.2016) f r KRITIS Betreiber in den Sektoren Energie, Ern h rung, Informationstechnik und Telekommunikation sowie Wasser mit Inkrafttreten des zweiten Teils der BSI Kritisverord nung (30.06.2017) f r KRITIS Betreiber aus den Sektoren Finanz und Versicherungswesen, Gesundheit sowie Transport und Verkehr. Insgesamt sind seit Einf hrung der Meldepyicht bis 30. Juni 2017 34 Meldungen beim BSI eingegangen. Davon fallen 18kin den Sektor Informationstechnik und Telekommuni kation, elf in den Sektor Energie, drei in den Sektor Wasser und zwei in den Sektor Ern hrung. Aufgrund der eingegangenen Meldungen kann festgestellt werden, dass h u g menschliche Fehler wie beispielswei se falsche Kon gurationen zu einer IT St rung f hrten. Weitere h u ge Ursachen sind Hardwaredefekte oder fehlerhafte Software. Letzteres u erte sich in der Regel durch fehlerhafte Updates. Je nach Au au der Infrastruktur des Betreibers wirkten sich diese Defekte und St rungen teilweise bis auf die Verf gbarkeit der Kritischen Infrastruk tur aus. Staat und Verwaltung Energie Gesundheit IT und TK Transport und Verkehr Medien und Kultur Wasser Finanz und Versicherungs wesen Ern hrung Abbildung 4 Sieben der neun KRITIS Sektoren fallen unter die KRITIS Neuregelungen des IT Sicherheitsgesetzes F r den KRITIS Sektor Medien und Kultur hat der Bund keine Regelungskompetenz, Gleiches gilt f r die Landes und Kommunalbeh rden im Sektor Staat und Verwaltung. F r die im Sektor Staat und Verwaltung umfassten Bundesbeh rden gibt es bereits seit der BSIG Novellierung 2009 den jetzigen Neuregelungen vergleichbare P ichten. Gef hrdungsdifferenzierung nach Branchen Die hohe IT Durchdringung in den Kritischen Infrastruk turen geht mit einer hohen Abh ngigkeit von IT einher. Dadurch sind nicht nur die IT Systeme selbst Cyber Sicherheitsgef hrdungen ausgesetzt, sondern auch die Er bringung der jeweiligen kritischen Dienstleistungen. Diese Schadenspotenziale vervielf ltigen sich. So entsteht f r die Kritischen Infrastrukturen bei gleicher Bedrohungs lage wie f r andere Unternehmen ein besonders hohes Schadenspotenzial. Zus tzlich kommen bei der Dienstleistungserbringung in den KRITIS Sektoren IT Systeme zum Einsatz, die nicht mit herk mmlicher B ro oder Rechenzentrums IT vergleichbar sind. Zum Beispiel werden in den KRITIS Sek toren Transport und Verkehrfi, Ern hrungfi, Wasserfi und Energiefi viele Spezialsysteme und industrielle Steuerungs systeme eingesetzt. In der Regel erfordern diese Systeme


Tags: Download Die Lage der IT Sicherheit in Deutschland 2017 PDF, Die Lage der IT Sicherheit in Deutschland 2017 free pdf download, Die Lage der IT Sicherheit in Deutschland 2017 Pdf online download, Die Lage der IT Sicherheit in Deutschland 2017 2017 download, Die Lage der IT Sicherheit in Deutschland 2017.pdf, Die Lage der IT Sicherheit in Deutschland 2017 read online.
About | Contact | DMCA | Terms | Privacy | Mobile Specifications
Copyright 2021 FilePdf