Jahrbuch »Innovativer Staat« 2016

II. – Staat und Innovation
Mit Hilfe dieser Lösungen ist schon mit wenig Aufwand ein guter
Grundschutz möglich, der einen Großteil der ungezielten Angriffe
abwehrt. Eine besondere Beachtung erfordern moderne intelligente
Attacken, die so genannten Advanced Persistent Threats
(APTs). Da diese etwa zu 50 Prozent auf die Mitarbeiter zielen, die
über scheinbar persönliche Mails zum Anklicken von schädlichen
E-Mail-Anhängen verleitet werden, ist eine Sicherheitsschulung
notwendig. Da trotzdem menschliche Fehler passieren können,
sollte ein umfangreicher Zugangsschutz auf sensible Systeme
installiert werden, der eine strenge Identifizierung und Zwei-Faktor-Authentifizierung,
unter anderem mit starken Passwörtern,
erfordert. Letztlich können einzelne Mitarbeiter sogar absichtlich
geheime Informationen aus den Netzwerken ziehen, um sie zu
verkaufen oder die Behörde zu schädigen. Daher sollten interne
Netzwerküberwachungssysteme eingerichtet werden, die auf
verdächtige Aktivitäten hinweisen.
Aktuelle Herausforderungen
Der Sicherheitsansatz darf jedoch nicht auf das Netzwerk beschränkt
bleiben. Denn Behörden bieten im Zuge des E-Government
immer mehr Online-Services sowie mobile Apps für
Bürger an, aber auch für Partner und die eigenen Mitarbeiter.
So können über entsprechende Anwendungen und Geräte
ebenfalls Schadprogramme in das Netzwerk eindringen. Zum
Beispiel lassen sich bei gestohlenen Smartphones zum Teil über
die Spracherkennung ganz einfach Name und Adresse des Besitzers
abfragen. Daher müssen neben dem eigenen Netzwerk
auch Online- und Mobile-Anwendungen geprüft werden. Dies
gelingt am besten mit Sicherheitsservices aus der Cloud, die
unabhängig von Netzwerkgrenzen funktionieren.
Die eigentliche Herausforderung ist dabei weniger technischer,
sondern eher organisatorischer Natur. Denn die IT-Sicherheitsbeauftragten
müssen für Cloud und Mobile oft erst das nötige
Bewusstsein entwickeln. Da aufgrund des IT-Sicherheitsgesetzes
aber nun Vorfälle an das BSI berichtet werden müssen,
dürfte sich die Aufmerksamkeit in Zukunft erhöhen. Zudem
kann das Nationale Cyber-Abwehrzentrum bei der Prävention,
Information und Frühwarnung vor aktuellen IT-Angriffen helfen.
Ebenfalls organisatorisch ist die Kostenproblematik zu sehen.
Aufgrund begrenzter Budgets für die IT-Sicherheit wird meist
nach der kostengünstigsten Lösung gesucht. Der Denkansatz
„Sicherheit bringt nichts, sondern kostet nur“ führt jedoch auf
den falschen Weg. Denn schließlich sind für das eigene Zuhause
auch ein solides Türschloss sowie eine Hausratsversicherung
nötig. Diese Sicherheitslösungen bieten eine Abfederung im
Ernstfall, im Falle der IT: die Information, was geschehen ist,
und eine Lösung des Problems. Zudem sind die technischen und
organisatorischen Prozesse permanent zu prüfen und auf neue
Entwicklungen anzupassen. Sie sollten mindestens einmal im
Jahr gemäß ITIL analysiert und wie bei einer Feuerwehrübung
ausprobiert werden, um Schwachstellen aufzudecken.
Um diese Anforderungen zu erfüllen, müssen IT-Sicherheitsverantwortliche
in Behörden und Institutionen entsprechend
aus- und weitergebildet werden. Dabei sollte der Bund organisatorisch
und finanziell unterstützen, damit auch kleine Behörden
in weniger gut ausgestatteten Ländern dies umsetzen
können. Ein flächendeckender Schutz durch Standards und
verpflichtende Maßnahmen erhöht nämlich das Sicherheitsniveau
insgesamt. Mögliche Lücken sollten dabei durch die
Unterstützung bewährter Sicherheitsdienstleister aus dem
privaten Sektor geschlossen werden. Schließlich verändern sich
die Anforderungen und Maßnahmen aufgrund von technologischer
Entwicklung, umfassender Digitalisierung und dem
Internet der Dinge rasant.
Fazit
Heute stellt sich nicht mehr die Frage, ob man angegriffen wird,
sondern nur noch wann. Den Tag X können Organisationen
aber selbst durch grundlegende Schutzmaßnahmen mit wenig
Aufwand vermeiden. Denn Angreifer suchen häufig nach
dem einfachsten Weg, um an Daten zu kommen. Je höher die
Behörden den Aufwand dafür machen, desto besser sind sie
geschützt. Dabei können Institutionen zwar die Durchführung
von Maßnahmen, aber nicht die Verantwortung an IT-Dienstleister
abgeben. Denn schließlich ist auch nicht die Hausverwaltung
für das Schließen von Fenstern und Türen verantwortlich.
Checkliste für mehr Sicherheit
> > Automatische Aktualisierung von Betriebssystemen, Anwendungen
und Sicherheitslösungen auf allen PCs, Mobilgeräten
und Servern
> > Installation von Schutzlösungen für alle mit dem Netzwerk
verbundenen Geräte wie Drucker, Telefone, Konferenzsysteme,
medizinische Geräte, etc.
> > Schutz des Netzwerks nach außen durch Firewall, Angriffserkennung,
Internet-Filter, etc.
> > Verschlüsselung personenbezogener und anderer sensibler
Daten
> > Regelmäßiger Backup von wichtigen Dateien und Sicherung
außerhalb des Netzwerks
> > Zugangsschutz auf sensible Systeme mit strenger Identifizierung
und Zwei-Faktor-Authentifizierung, unter anderem
mit starken Passwörtern
> > Interne Netzwerküberwachungssysteme zur Aufdeckung
verdächtiger Aktivitäten
> > Prüfung von Online- und Mobile-Anwendungen mit Hilfe von
Cloud-basierten Sicherheitsservices
> > Sicherheitsschulungen für Mitarbeiter und Weiterbildung
von Sicherheitsverantwortlichen
> > Einbindung von IT-Dienstleistern aus dem privaten Bereich
Bitdefender GmbH
Lohbachstraße 12
58239 Schwerte
Tel.: +49 2304 / 945 160
Fax: +49 2304 / 945 169
E-Mail: mrohr@bitdefender.de
Web: www.bitdefender.de/
business
83