IT-Security November/Dezember 2023

22 | IT SECURITY
Was Software „Made in Europe”
besonders sicher macht
SECURITY UND DATENSCHUTZ SIND MILLIARDENFRAGEN
Open Source-Lösung oder etablierter
Anbieter aus den USA? Oft sind es diese
beiden Alternativen, die bei der Auswahl
einer Software-Plattform für Digitalisierungsprojekte
zu Beginn in den
Raum gestellt werden. Beides hat seine
Vor- und Nachteile, denkt man beispielsweise
an Datenschutz, Nutzerkomfort
oder Update-Sicherheit. Eine
dritte, gleichwertige, wenn nicht sogar
bessere Alternative wird häufig aber
vergessen: Software „Made in Europe“.
Besonders bei Videokonferenzen sind
deren Vorteile enorm.
Amerikanische Software?
Aus Nutzersicht ist Software amerikanischer
Anbieter praktisch. Fast jeder
kennt sie und ist mit der Bedienung vertraut.
Die marktführenden Anbieter haben
dazu beigetragen, gewisse Standards
ihrer eigenen Produkte zu etablieren.
Aus Unternehmenssicht gestaltet
sich die Sache weniger einfach. Grundsätzlich
ist jedes Unternehmen daran
interessiert, durch gut funktionierende
und bekannte Tools für hohe Produktivität
zu sorgen. Spätestens seit der EU-
Datenschutzgrundverordnung (DSGVO)
aber sind Fragen des Datenschutzes für
die Auswahl von Software immer relevanter.
In Kombination mit der US-
Rechtslage wirft der Einsatz amerikanischer
Produkte komplexe Fragen auf.
Der Patriot Act etwa verpflichtet USamerikanische
IT-Unternehmen, Methoden
zur Datenerfassung oder Backdoors
einzubauen, die zum Zweck der nationalen
Sicherheit von US-Behörden genutzt
werden können. Allein das kann
mit Blick auf den Datenschutz zum Problem
werden, natürlich können diese
Schnittstellen aber auch als Angriffspunkt
für Cyberkriminelle dienen.
Auch der US-amerikanische Cloud Act
erlaubt es den amerikanischen Behörden,
die Herausgabe von Daten über
elektronische Kommunikation zu erzwingen.
Dies ist mit der DSGVO logischerweise
schwer vereinbar.
Open Source: Souveränität auf
Kosten von Sicherheit?
Aus solchen Überlegungen heraus und
zudem um nicht von einzelnen großen
IT-Konzernen abhängig zu sein, überlegen
viele Unternehmen, auf Open
Source Software zu setzen. Auch Staat
und Behörden sind an vielen Stellen an
einer „souveränen Lösung“ interessiert.
EINE SORGFÄLTIGE
SUCHE BEI DER AUS-
WAHL VON SOFTWARE
IST EINE INVESTITION,
DIE UNTERNEHMEN
IM ZWEIFELSFALL
MILLIONEN SPART.
Valentin Boussin, Country Manager
DACH, Tixeo, www.tixeo.com
Dennoch ist Open Source nicht frei von
Bedenken. Besonders problematisch ist
häufig die Frage der Sicherheit. Es ist einfacher,
eine Bank auszurauben, wenn
man die Baupläne kennt. Im Fall von
Open Source sind die Baupläne per Definition
frei verfügbar, mit Vor- und Nachteilen
für beide Seiten. Angreifer können
sie lesen, um Schwachstellen zu finden,
die Developer-Community kann sie nutzen,
um sie zu schließen. Der Mehrzahl
an Open Source-Projekten fehlt es aber
an klaren Commitments und Roadmaps
hinsichtlich Bugfixes und regelmäßigen
Updates. Unternehmen können es sich
nicht leisten, auf „Best Effort“-Lösungen
zu setzen, denn die Anzahl an Cyberangriffen
wächst und wächst. Die langfristige
Versorgung mit Sicherheitsupdates
ist ein absolutes Muss.
Auch mit unabhängigen und staatlichen
Sicherheits-Zertifizierungen hat Open
Source ein Problem: Meist gibt es keine,
da Open-Source-Projekte weder TOE
(Target of Evaluation) noch ST (Security
Target) definieren, die von einer anerkannten
Behörde getestet werden können.
Somit haben Nutzer solcher Software
keine Bescheinigung, dass diese gängige
Sicherheitsstandards gewährleistet.
Im Hinblick auf Open Source ist auch
der Cyber Resilience Act (CRA) von Bedeutung,
den die EU initiiert hat. Dieser
soll die Benutzer von Hard- und Software
besser schützen. Anbieter müssten
demnach für den gesamten Lebenszyklus
und alle Verwendungen ihrer Software
Sicherheitsupdates zur Verfügung
stellen und bestimmte Richtlinien erfül-
November/Dezember 2023 | www.it-daily.net