Kategorie: BSI IT-Grundschutz

Der BSI IT-Grundschutz ist ein Rahmenwerk, das vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland entwickelt wurde, um Organisationen eine methodische Anleitung zur Erreichung eines angemessenen und angemessenen Sicherheitsniveaus für ihre Informationstechnologie zu bieten. Dieses Konzept ist darauf ausgerichtet, Unternehmen und Behörden dabei zu unterstützen, ihre IT-Systeme systematisch und nachvollziehbar zu sichern.

Der IT-Grundschutz umfasst eine Reihe von Standards und Katalogen, die Schutzmaßnahmen für typische Bedrohungen gegenüber IT-Systemen in verschiedenen Anwendungsszenarien beschreiben. Hier sind die wesentlichen Aspekte des BSI IT-Grundschutzes zusammengefasst:

Standardisierte Vorgehensweise: Der IT-Grundschutz bietet eine strukturierte Methode, um Sicherheitsmaßnahmen systematisch zu planen, zu implementieren, zu überprüfen und zu verbessern.
IT-Grundschutz-Kataloge: Diese Kataloge enthalten Empfehlungen und Maßnahmen für die Sicherheit von IT-Systemen, Anwendungen und Netzwerken. Sie decken eine breite Palette von Sicherheitsaspekten ab, einschließlich organisatorischer, personeller, infrastruktureller und technischer Maßnahmen.
IT-Grundschutz-Profile: Unternehmen können IT-Grundschutz-Profile nutzen, um branchenspezifische Sicherheitsanforderungen zu erfüllen. Diese Profile bieten angepasste Empfehlungen, die auf die spezifischen Bedürfnisse und Risiken bestimmter Branchen oder Organisationstypen zugeschnitten sind.
Zertifizierung: Organisationen können eine Zertifizierung nach BSI IT-Grundschutz anstreben, um zu demonstrieren, dass ihre IT-Sicherheit den Standards des BSI entspricht. Dies stärkt das Vertrauen bei Kunden, Partnern und Aufsichtsbehörden.
Kompatibilität mit anderen Standards: Der IT-Grundschutz ist kompatibel mit international anerkannten Standards wie ISO/IEC 27001. Organisationen, die bereits nach ISO 27001 zertifiziert sind, können ihre Sicherheitsmaßnahmen mit dem IT-Grundschutz weiter vertiefen.

Der BSI IT-Grundschutz bietet somit einen umfassenden und praxisorientierten Ansatz, um die Informationssicherheit in Organisationen zu stärken und zu einem effektiven Risikomanagement beizutragen.

Cyber Security Bericht 2024 – Handlungsempfehlung nach BSI IT-Grundschutz

Handlungsempfhelung nach BSI IT-Grundschutz. Matrix aus Datenschutz und Informationssicherheit mit IT-Grundschutz Bausteinen des BSI.

Die Cyber-Sicherheitslandschaft hat sich im Jahr 2024 weiter rasant entwickelt, angetrieben durch technologische Fortschritte, verstärkte Digitalisierung und die zunehmende Raffinesse von Bedrohungsakteuren. Dieser Bericht bietet eine detaillierte Analyse der wichtigsten Trends, bedeutenden Vorfälle, aufkommenden Bedrohungen und strategischen Empfehlungen zur Verbesserung der Cyber-Resilienz.Wichtige Trends

KI und maschinelles Lernen in der Cyberabwehr

Weit verbreitete Nutzung von KI und maschinellem Lernen zur Bedrohungserkennung und -abwehr.KI-gestützte Werkzeuge reduzieren die Zeit zur Erkennung und Reaktion auf Cyber-Bedrohungen erheblich.Zunehmender Einsatz von KI durch Bedrohungsakteure zur Entwicklung ausgefeilterer Angriffsmethoden.

Zero Trust Architektur

Wachsende Implementierung von Zero Trust-Modellen in Unternehmen.Betonung auf der Überprüfung jedes Benutzers und Geräts, das auf Ressourcen zugreifen möchte.Verbesserung der Sicherheitslage durch Reduzierung der Angriffsfläche.

Entwicklung von Ransomware

Ransomware-Angriffe werden gezielter und zerstörerischer.Anstieg von doppelten Erpressungstaktiken, bei denen Daten sowohl verschlüsselt als auch mit der Veröffentlichung gedroht wird.Verstärkte Zusammenarbeit zwischen Regierungen und Privatsektor zur Bekämpfung von Ransomware.

Herausforderungen der Cloud-Sicherheit

Anstieg der Cloud-Nutzung führt zu neuen Sicherheitsherausforderungen.Fehlkonfigurationen und mangelnde Transparenz bleiben primäre Sicherheitsbedenken.Verbesserte Cloud-Sicherheitswerkzeuge und Best Practices sind entscheidend zum Schutz von Daten.

Angriffe auf Lieferketten

Deutlicher Anstieg von Angriffen auf Lieferketten, die verschiedene Branchen betreffen.Betonung auf der Sicherung der Lieferkette und Drittanbieter.Entwicklung von Rahmenwerken und Richtlinien zur Minderung von Lieferkettenrisiken.Bedeutende Vorfälle

SolarWinds-Lieferkettenangriff

Betraf tausende Organisationen, einschließlich Regierungsbehörden und Privatunternehmen.Verdeutlichte die Schwachstellen in Softwarelieferketten.Führte zu erhöhter behördlicher Überwachung und der Entwicklung neuer Sicherheitsrahmenwerke.

Ransomware-Angriff auf Colonial Pipeline

Störte die Treibstoffversorgung im Osten der Vereinigten Staaten.Zeigte die Auswirkungen von Cyberangriffen auf kritische Infrastrukturen.Beschleunigte Bemühungen zur Verbesserung der Sicherheit kritischer Sektoren.

Exploits von Microsoft Exchange Server

Weitverbreitete Ausnutzung von Schwachstellen in Microsoft Exchange Server.Betraf tausende Organisationen weltweit.Führte zu schnellen Patch- und Minderungsefforts.Aufkommende Bedrohungen

Quantencomputing

Möglichkeit, aktuelle Verschlüsselungsstandards zu brechen.Dringender Bedarf an quantenresistenten kryptografischen Algorithmen.Laufende Forschung und Entwicklung, um potenziellen Quantenbedrohungen voraus zu sein.

IoT-Schwachstellen

Vermehrung von IoT-Geräten führt zu erhöhten Angriffsflächen.Mangel an standardisierten Sicherheitsmaßnahmen für IoT-Geräte.Wichtigkeit der Implementierung robuster Sicherheitsprotokolle und Überwachung für IoT-Umgebungen.

Deepfake-Technologie

Einsatz von Deepfake-Technologie für Social Engineering und Desinformationskampagnen.Herausforderung bei der Erkennung und Minderung von Deepfake-Inhalten.Entwicklung fortschrittlicher Erkennungstools und öffentlicher Aufklärungskampagnen.Strategische Empfehlungen

Proaktive Cyber-Sicherheitsmaßnahmen ergreifen

Wechsel von reaktiven zu proaktiven Sicherheitsmaßnahmen.Regelmäßige Bedrohungssuche und Penetrationstests.Kontinuierliche Überwachung und Planung der Incident Response.

Zusammenarbeit und Informationsaustausch verbessern

Stärkung der Zusammenarbeit zwischen öffentlichem und privatem Sektor.Förderung des Informationsaustauschs durch Industriegruppen und Bedrohungsinformationsplattformen.Aufbau von Partnerschaften zur Bekämpfung globaler Cyberbedrohungen.

In Cyber-Sicherheitsschulungen und -bewusstsein investieren

Regelmäßige Schulungsprogramme für Mitarbeiter zu Cyberhygiene.Fokus auf Aufklärungskampagnen zur Verhinderung von Social Engineering-Angriffen.Investition in die Weiterbildung der Cyber-Sicherheitsbelegschaft.

Zero Trust-Sicherheitsmodelle implementieren

Einführung von Zero Trust-Prinzipien zur Überprüfung jeder Zugriffsanfrage.Mikrosegmentierung zur Begrenzung der lateralen Bewegung innerhalb von Netzwerken.Kontinuierliche Bewertung und Anpassung der Sicherheitsrichtlinien.

Sicherheit der Lieferkette stärken
Gründliche Bewertung von Drittanbietern.Implementierung strenger Sicherheitsanforderungen für Lieferkettenpartner.Regelmäßige Überprüfung und Aktualisierung der Sicherheitspraktiken in der Lieferkette.Fazit

Die Cyber-Sicherheitslandschaft im Jahr 2024 bietet sowohl erhebliche Herausforderungen als auch Chancen. Organisationen müssen fortschrittliche Technologien einführen, die Zusammenarbeit verbessern und proaktive Sicherheitsmaßnahmen priorisieren, um den sich entwickelnden Bedrohungen voraus zu sein. Durch die Umsetzung der in diesem Bericht aufgeführten strategischen Empfehlungen können Organisationen ihre Cyber-Resilienz stärken und ihre digitalen Vermögenswerte in einer zunehmend komplexen Bedrohungsumgebung schützen.

Dieser Bericht dient als umfassender Leitfaden zum Verständnis des aktuellen Stands der Cyber-Sicherheit und bietet umsetzbare Einblicke zur Verbesserung der Sicherheitsmaßnahmen im Jahr 2024 und darüber hinaus.

Diese Matrix ordnet die relevanten IT-Grundschutz Bausteine des BSI den wichtigen Trends, bedeutenden Vorfällen, aufkommenden Bedrohungen und strategischen Empfehlungen im Bereich Datenschutz und Informationssicherheit zu.

Übersicht der Matrix

Thema	IT-Grundschutz Baustein	Anwendung	Empfehlungen
KI und maschinelles Lernen in der Cyberabwehr
– Weit verbreitete Nutzung von KI	CON.5 KI in der IT-Sicherheit	Einsatz von KI-basierten Lösungen zur automatisierten Bedrohungserkennung und -abwehr.	Regelmäßige Evaluierung und Anpassung der KI-Modelle, Integration von KI in bestehende Sicherheitsinfrastrukturen.
– Reduzierung der Erkennungszeit	OPS.1 Betrieb	Verbesserung der Reaktionszeiten durch den Einsatz von KI-gestützten Monitoring-Tools.	Implementierung und kontinuierliche Optimierung von KI-gestützten Überwachungs- und Reaktionssystemen.
– Einsatz von KI durch Bedrohungsakteure	ORP.1 Organisation	Anpassung der organisatorischen Sicherheitsmaßnahmen zur Abwehr von KI-unterstützten Angriffen.	Schulung des Personals zur Erkennung und Abwehr von KI-gestützten Angriffen, Implementierung von Gegenmaßnahmen.
Zero Trust Architektur
– Implementierung von Zero Trust-Modellen	ISMS.1 Managementsysteme	Einführung und Pflege eines Zero Trust-Sicherheitsmodells zur Minimierung der Angriffsfläche.	Regelmäßige Überprüfung und Anpassung der Zero Trust-Richtlinien, Schulung der Mitarbeiter zur Umsetzung von Zero Trust.
– Überprüfung jedes Benutzers und Geräts	DER.2 Netzwerksicherheit	Implementierung von strikten Authentifizierungs- und Autorisierungsverfahren für alle Netzwerkzugriffe.	Einsatz von Multi-Faktor-Authentifizierung, kontinuierliche Überwachung und Analyse des Netzwerkverkehrs.
– Verbesserung der Sicherheitslage	APP.3 Zugangskontrollen für Anwendungen	Sicherstellung der strikten Zugangskontrollen für alle Anwendungen und Systeme.	Regelmäßige Aktualisierung der Zugriffsrechte, Implementierung von Rollen- und Rechtekonzepten.
Entwicklung von Ransomware
– Gezielt und zerstörerisch	OPS.2 Datensicherung und -wiederherstellung	Entwicklung und Umsetzung robuster Datensicherungs- und Wiederherstellungsprozesse zur Minderung von Ransomware-Schäden.	Regelmäßige Backups und Tests der Wiederherstellungsprozesse, Schulung der Mitarbeiter zur Erkennung von Ransomware-Angriffen.
– Doppelte Erpressungstaktiken	DER.3 Datenverschlüsselung	Implementierung umfassender Verschlüsselungsstrategien für gespeicherte und übertragene Daten.	Einsatz starker Verschlüsselungsalgorithmen, regelmäßige Überprüfung und Aktualisierung der Verschlüsselungsrichtlinien.
– Zusammenarbeit zwischen Regierungen und Privatsektor	ORP.4 Protokollierung	Förderung der Zusammenarbeit durch den Austausch von Bedrohungsinformationen und Sicherheitsvorfällen.	Teilnahme an Informationsaustauschplattformen, regelmäßige Berichte und Audits zur Sicherheitslage.
Herausforderungen der Cloud-Sicherheit
– Neue Sicherheitsherausforderungen	CON.7 Cloud-Sicherheit	Einführung von Sicherheitsrichtlinien und -verfahren speziell für Cloud-Umgebungen.	Regelmäßige Überprüfung der Cloud-Sicherheitskonfigurationen, Einsatz von Cloud-spezifischen Sicherheitslösungen.
– Fehlkonfigurationen und mangelnde Transparenz	ORP.5 Sicherheitsvorfälle und -probleme	Einführung von Maßnahmen zur Erkennung und Behebung von Fehlkonfigurationen in Cloud-Umgebungen.	Implementierung von Cloud-Monitoring-Tools, regelmäßige Sicherheitsüberprüfungen und Penetrationstests.
– Verbesserte Cloud-Sicherheitswerkzeuge	APP.6 Cloud-Anwendungen	Nutzung und Integration spezialisierter Sicherheitswerkzeuge für Cloud-Anwendungen.	Einsatz von Cloud-Access-Security-Brokers (CASBs), kontinuierliche Schulung und Sensibilisierung der Mitarbeiter.
Angriffe auf Lieferketten
– Anstieg von Angriffen	ORP.6 Sicherheitsmanagement für Lieferanten	Entwicklung und Umsetzung von Sicherheitsstrategien zur Sicherung der Lieferkette.	Durchführung regelmäßiger Sicherheitsbewertungen von Lieferanten, Implementierung von Sicherheitsanforderungen für Drittanbieter.
– Sicherung der Lieferkette und Drittanbieter	DER.1 Datenträger und Dokumente	Implementierung von Maßnahmen zur sicheren Handhabung und Lagerung von Datenträgern und Dokumenten entlang der Lieferkette.	Etablierung von Sicherheitsrichtlinien für Lieferanten, regelmäßige Audits und Inspektionen.
– Entwicklung von Rahmenwerken	ORP.1 Organisation	Entwicklung und Implementierung von Sicherheitsrahmenwerken und Richtlinien für die Lieferkette.	Zusammenarbeit mit Branchenverbänden und Regulierungsbehörden zur Entwicklung einheitlicher Standards.
Bedeutende Vorfälle
– SolarWinds-Lieferkettenangriff	OPS.1 Betrieb	Verstärkte Sicherheitsüberprüfungen und -maßnahmen für alle Lieferkettenkomponenten.	Durchführung regelmäßiger Penetrationstests und Sicherheitsaudits, Verbesserung der Überwachungs- und Reaktionsfähigkeiten.
– Ransomware-Angriff auf Colonial Pipeline	OPS.2 Datensicherung und -wiederherstellung	Entwicklung und Implementierung von robusten Backup- und Wiederherstellungsprozessen, um Auswirkungen von Ransomware zu minimieren.	Regelmäßige Tests der Wiederherstellungsprozesse, Schulungen zur Erkennung von Ransomware.
– Exploits von Microsoft Exchange Server	APP.5 Schwachstellenmanagement	Implementierung eines umfassenden Schwachstellenmanagementprozesses zur schnellen Identifizierung und Behebung von Sicherheitslücken.	Regelmäßige Patch- und Update-Management-Prozesse, kontinuierliche Überwachung und Bedrohungsanalyse.
Aufkommende Bedrohungen
– Quantencomputing	CON.6 Kryptografie	Entwicklung und Implementierung von quantenresistenten kryptografischen Algorithmen.	Laufende Forschung und Entwicklung, kontinuierliche Anpassung der Kryptografiestrategien.
– IoT-Schwachstellen	CON.8 IoT-Sicherheit	Einführung von Sicherheitsmaßnahmen speziell für IoT-Umgebungen.	Implementierung von Sicherheitsprotokollen für IoT-Geräte, kontinuierliche Überwachung und Aktualisierung der IoT-Sicherheitsstrategien.
– Deepfake-Technologie	ORP.2 Risikoanalyse und -management	Entwicklung von Strategien und Maßnahmen zur Erkennung und Abwehr von Deepfake-Angriffen.	Nutzung von fortschrittlichen Erkennungstools, Sensibilisierung und Schulung zur Erkennung von Deepfake-Inhalten.
Strategische Empfehlungen
– Proaktive Cyber-Sicherheitsmaßnahmen	ISMS.1 Managementsysteme	Implementierung eines proaktiven Informationssicherheitsmanagementsystems (ISMS) zur kontinuierlichen Überwachung und Verbesserung der Sicherheitslage.	Regelmäßige Risikoanalysen und Bedrohungssuche, Etablierung und regelmäßige Aktualisierung von Sicherheitsrichtlinien.
– Zusammenarbeit und Informationsaustausch	ORP.1 Organisation	Förderung der Zusammenarbeit zwischen öffentlichem und privatem Sektor zur Stärkung der Cyberabwehr.	Teilnahme an Informationsaustauschplattformen, regelmäßige Berichte und Audits zur Sicherheitslage.
– Schulungen und Bewusstsein	ORP.4 Protokollierung	Durchführung regelmäßiger Schulungsprogramme zur Steigerung des Sicherheitsbewusstseins und der Cyberhygiene.	Regelmäßige Sensibilisierungskampagnen, Schulung der Mitarbeiter zur Erkennung und Abwehr von Cyber-Bedrohungen.
– Zero Trust-Sicherheitsmodelle	ISMS.1 Managementsysteme	Implementierung und Pflege eines Zero Trust-Sicherheitsmodells zur Minimierung der Angriffsfläche.	Regelmäßige Überprüfung und Anpassung der Zero Trust-Richtlinien, Schulung der Mitarbeiter zur Umsetzung von Zero Trust.
– Sicherheit der Lieferkette	ORP.6 Sicherheitsmanagement für Lieferanten	Entwicklung und Umsetzung von Sicherheitsstrategien zur Sicherung der Lieferkette.	Durchführung regelmäßiger Sicherheitsbewertungen von Lieferanten, Implementierung von Sicherheitsanforderungen für Drittanbieter.

Diese Matrix bietet eine umfassende Übersicht über die Integration von Datenschutz- und Informationssicherheitsmaßnahmen anhand der IT-Grundschutz Bausteine des BSI. Die detaillierten Anwendungen und Empfehlungen helfen dabei, ein hohes Maß an Sicherheit und Datenschutz in Organisationen zu gewährleisten.

24. Juni 2024

BSI und ZF entwickeln Sicherheits-Check für Künstliche Intelligenz im Automobil
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Technologieunternehmen ZF haben in den vergangen zwölf Monaten im gemeinsamen Projekt AIMobilityAuditPrep Konzepte und Methoden zur Prüfung der IT-Sicherheit von KI-Systemen in Kraftfahrzeugen erarbeitet.

Basierend auf wissenschaftlichen Erkenntnissen und bestehenden Standards wurden 50 technisch relevante Anforderungen an KI-Systeme zusammengestellt, eine erweiterbare Testumgebung für KI-Systeme entwickelt sowie die grundsätzliche Machbarkeit und praktische Umsetzbarkeit der Tests anhand ausgewählter Anwendungsfälle in einer Simulation demonstriert.

Mit dem Folgeprojekt AIMobilityAudit soll die praktische Umsetzung von Sicherheits-Checks für KI beim automatisierten Fahren vorangetrieben werden. Dabei werden konkrete Prüfkriterien und Handlungsempfehlungen erarbeitet, die künftig u.a. in die Entwicklung von Sicherheitstests für Kraftfahrzeuge einfließen sollen. Bis September 2024 wird das AI Lab von ZF das Projekt in Zusammenarbeit mit dem BSI als Auftraggeber umsetzen. Als weiterer Projektpartner ist die TÜV Informationstechnik GmbH (TÜVIT) eingebunden, ein auf IT-Sicherheit spezialisiertes Unternehmen der TÜV NORD GROUP.

Photo by Tara Winstead on Pexels.com

Aufbauend auf den Ergebnissen des Vorprojekts sollen im nun gestarteten Projekt AIMobilityAudit die Erprobung und Weiterentwicklung von Anforderungen, Methoden und Werkzeugen gezielt an zwei Use Cases durchgeführt werden. Ziel ist es, auf Basis der gewonnenen Erkenntnisse eine modulare technische Richtlinie zu erstellen. Die Arbeiten an der technischen Richtlinie sollen im kommenden Jahr aufgenommen werden. Sie kann dann beispielsweise als Grundlage für eine internationale Standardisierung bzw. Abstimmung, u.a. auf Ebene des UNECE World Forum for Harmonization of Vehicle Regulations, genutzt werden.

„Künstliche Intelligenz ist eine Schlüsseltechnologie für hochautomatisiertes Fahren“, sagt Dr. Georg Schneider, Leiter des ZF AI Labs am Standort Saarbrücken. „Um die enormen Chancen nutzen zu können, müssen wir uns auch sorgfältig mit den möglichen Risiken auseinandersetzen. Unser Anliegen bei ZF ist es, den Einsatz von künstlicher Intelligenz für die Mobilität der Zukunft nachvollziehbar, sicher und in jeder Beziehung vertrauenswürdig zu gestalten.“

“IT-Sicherheit als Grundvoraussetzung für eine vertrauenswürdige Digitalisierung muss auch für den Einsatz von KIhinreichend garantiert werden. Aktuell sind hierfür benötigte Informationen, Methoden und praktisch einsetzbare Werkzeuge jedoch nicht hinreichend verfügbar. Das BSI hat als Thought Leader im Bereich IT-Sicherheit einerseits die Aufgabe, die Risiken des Einsatzes dieser neuen Technologie und deren Absicherungsmöglichkeiten frühzeitig zu untersuchen, und andererseits als Dienstleister von Behörden, Gesellschaft und Industrie die Aufgabe, frühzeitig an der Übertragung von Forschungsergebnissen in die Praxis und an der Erstellung von Handlungsempfehlungen und Richtlinien mitzuwirken. Hierfür essentiell ist ein enger Austausch mit Forschung, Industrie und Behörden, wie im vorliegenden gemeinsamen Projekt mit ZF und TÜVIT für das automatisierte Fahren“, betont Arndt von Twickel, Projektleiter im BSI.

Quelle: BSI
15. Dezember 2022
BSI-Lagebericht 2022: Gefährdungslage im Cyber-Raum hoch wie nie
Die Gründe für die hohe Bedrohungslage sind anhaltende Aktivitäten im Bereich der Cyber-Kriminalität, Cyber-Angriffe im Kontext des russischen Angriffs auf die Ukraine und auch in vielen Fällen eine unzureichende Produktqualität von IT- und Software-Produkten.

Bundesinnenministerin Nancy Faeser: „Die seit dem russischen Angriffskrieg auf die Ukraine anhaltend erhöhte Cyber-Bedrohungslage erfordert eine strategische Neuaufstellung und deutliche Investitionen in unsere Cyber-Sicherheit. Die Cyber-Sicherheitsagenda des BMI bildet die für uns wesentlichen Ziele und Maßnahmen ab. Hier wollen wir als BMI noch in dieser Legislaturperiode wesentliche Fortschritte erreichen und die Cyber-Sicherheit auf ein neues Level heben. Die Modernisierung unserer Cyber-Sicherheitsarchitektur mit dem Ausbau des BSI zur Zentralstelle, der weitere Ausbau und die Erneuerung von Netzen und IT-Systemen der Verwaltung, die Stärkung der Sicherheitsbehörden zur Verfolgung von Cyber-Crime sowie die Verbesserung der Abwehrfähigkeiten gegen Cyber-Angriffe sind wichtige und notwendige Schritte für eine eng verzahnte föderale Cyber-Abwehr und eine effektive und effiziente Aufstellung im Cyber-Raum.“

Jede Schwachstelle in Soft- oder Hardware-Produkten ist ein potenzielles Einfallstor für Angreifer und gefährdet die Informationssicherheit in Verwaltung, Wirtschaft und Gesellschaft. Im Jahr 2021 wurden über 20.000 Schwachstellen in Software-Produkten registriert. Das entspricht einem Zuwachs von 10 % gegenüber dem Vorjahr.

Vizepräsident des BSI, Dr. Gerhard Schabhüser: „Die Bedrohungslage im Cyber-Raum ist angespannt, dynamisch und vielfältig und damit so hoch wie nie. In einer digitalisierten Welt hängt das Wohlergehen der Bevölkerung stärker als jemals zuvor davon ab, wie gut wir uns gegen IT-Sicherheitsvorfälle gerüstet haben. Jedes Computersystem, das nicht gehackt werden kann, jede digitale Dienstleistung, die nicht gestört werden kann, ist ein elementarer Beitrag zu einer funktionierenden digital vernetzten Gesellschaft. Mit den richtigen Maßnahmen können wir der Bedrohungslage begegnen. Wir dürfen beim Thema Cyber-Sicherheit keinen Deut nachlassen.“

Ransomware-Angriffe, also Cyber-Angriffe auf Unternehmen, Universitäten und Behörden, mit dem Ziel, Lösegeld zu erpressen, gilt aktuell als größte Bedrohung im Cyber-Bereich. So ist es im Berichtszeitraum zu mehreren Ransomware-Vorfällen gekommen bei denen Kommunen in Deutschland angegriffen wurden. Zum ersten Mal in der deutschen Geschichte wurde in Folge eines Cyber-Angriffs von der betroffenen Kommune der Katastrophenfall ausgerufen.

Cyber-Sicherheit ist ein wesentlicher Aspekt der Daseinsvorsorge und dient unmittelbar dem Schutz von Bürgerinnen und Bürger.

Der Bericht zur Lage der IT-Sicherheit in Deutschland 2022 steht hier zur Verfügung.
26. Oktober 2022
BSI bestätigt Sicherheitseigenschaften von iPhone und iPad
Smartphones und Tablets sind zentrale Elemente der Digitalisierung.

Den Sicherheitseigenschaften dieser Produkte kommt daher eine besondere Bedeutung für einen sicheren digitalen Alltag zu. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat daher die allgemeinen Sicherheitseigenschaften und die Möglichkeiten zur sicheren Nutzung der Geräte und insbesondere der Betriebssysteme iOS und iPadOS untersucht. Die Prüfung bestätigt die Wirksamkeit der eingebetteten Sicherheitsfunktionen und kommt zu dem Ergebnis, dass die in handelsüblichen iPhones und iPads integrierten Applikationen für E-Mail, Kalender und Kontakte auch bei der Verarbeitung von Verschlusssachen der Kategorie „Nur für den Dienstgebrauch“ eine Ergänzung des bestehenden Portfolios sicherer mobiler Lösungen darstellen.

Arne Schönbohm: „Eine sichere Digitalisierung gelingt dann besonders gut, wenn bei der Entwicklung von IT-Produkten Informationssicherheit von Anfang an mitgedacht wird. Wir betrachten das vorliegende Prüfungsergebnis zur Plattformsicherheit der iOS- und iPadOS-Geräte als wichtigen Meilenstein. Die Freigabe von handelsüblichen Produkten für die Verarbeitung von Informationen mit besonderen Schutzbedarf ist ein Novum, aus dem sich zukünftig schnell und kostengünstig maßgeschneiderte mobile Lösungen für eine sichere Digitalisierung ableiten lassen.“

Ein maßgeblicher Faktor für die Sicherheit von iPhones und iPads ist das auf diesen Geräten installierte Apple-Betriebssystem iOS bzw. iPadOS. Apple hat einer unabhängigen Begutachtung zentraler Sicherheitsfunktionen des Betriebssystems zugestimmt und dafür eng mit dem BSI zusammengearbeitet. Die Prüfung durch das BSI erfolgte in Anlehnung an die Standards und die Methodik der international anerkannten Common Criteria.

Das nun vorliegende Prüfungsergebnis bestätigt die Wirksamkeit der in iOS und iPadOS-eingebetteten Sicherheitsmechanismen. Dies schließt auch die vom Hersteller vorinstallierten Anwendungen (sogenannte First-Party-Apps) für die Funktionen E-Mail, Kalender und Kontakte ein. Das BSI konnte aus diesem Prüfungsergebnis eine Freigabe der handelsüblichen iPhones und iPads für den staatlichen Einsatz durch die Behörden des Bundes ableiten. Dies betrifft auch die Verarbeitung von Verschlusssachen der Kategorie „Nur für den Dienstgebrauch“ (VS-NfD). Dazu sind Vorgaben des BSI hinsichtlich des Nutzerverhaltens, der sicheren Anbindung an Infrastrukturen durch ein Virtual Private Network (VPN) und der Verwendung eines Mobile Device Management Systems (MDM) einzuhalten.
Anknüpfend an dieses Ergebnis hat das BSI mit Apple eine Fortführung dieser Zusammenarbeit vereinbart. Zukünftige Versionen von iOS und iPadOS werden nun regelmäßig einer Prüfung durch das BSI unterzogen. Darüber hinaus ist mit Blick auf Sicherheit im Bereich der mobilen IT ebenfalls eine verstärkte Kooperation zwischen Apple und dem BSI geplant. Erste Folgeentwicklungen für den Einsatz im behördlichen Bereich sollen noch im Jahr 2022 abgeschlossen werden.

Quelle:BSI
5. Oktober 2022
BSI führt Zertifizierung für 5G-Komponenten ein
5G -Das Bundesamt für Sicherheit in der Informationstechnik (BSI) startet zum 1. Juli 2022 ein neues Zertifizierungsprogramm für Komponenten der 5G-Telekommunikationsnetze.

Das Zertifizierungsprogramm nach dem Schema „Network Equipment Security Assurance Scheme Cybersecurity Certification Scheme – German Implementation“ (NESAS CCS-GI) richtet sich vorrangig an Hersteller von 5G-Mobilfunkkomponenten. Sie können somit die IT-Sicherheitseigenschaften ihrer 5G-Produkte unabhängig überprüfen lassen und der im Telekommunikationsgesetz (TKG) enthaltenen Zertifizierungspflicht für kritische Komponenten in 5G-Netzen nachkommen.

Dazu sagt BSI-Präsident Arne Schönbohm:
„Mit dem neuen Zertifizierungsschema für 5G-Komponenten steht jetzt ein entscheidender Beitrag für die Sicherheit der 5G-Kommunikationsnetze zur Verfügung. Die Zertifizierung ermöglicht eine schnelle und zuverlässige IT-Sicherheitsaussage für die geprüften Produkte. Dies kommt unmittelbar den Anwenderinnen und Anwendern zugute und erhöht die Cyber-Sicherheit in Deutschland.“

5G – Die aufeinander aufbauenden Prüfschritte und zugehörigen Prüfkriterien tragen dazu bei, die IT-Sicherheitsleistung moderner Mobilfunkkomponenten zu beurteilen. Durch die Adaption bestehender Bewertungsschemas und die Mitwirkung in internationalen Gremien können die nationalen Bedarfe an zertifizierten Komponenten ebenso berücksichtigt werden wie die Bedarfe von global agierenden Herstellern. NESAS CCS-GI ergänzt damit das schon bestehende Portfolio des BSI mit der Zertifizierung nach Common Criteria, der Zertifizierung nach Technischen Richtlinien und der Beschleunigten Sicherheitszertifizierung.

Das nationale Schema dient auch als Vorbild für ein zukünftiges europäisches Zertifizierungsschema nach der Verordnung (EU) 2019/881 (Cybersecurity Act (CSA)). Das BSI gestaltet mit seinen Erfahrungen und Erkenntnissen aktiv das zukünftige europäische 5G-Zertifizierungssschema (EU5G) in den internationalen Arbeitsgruppen des CSA mit und treibt so die sichere Digitalisierung in Europa voran.

Ab dem Start des Programms können sich Prüfstellen anerkennen lassen. Weitere Informationen zur Anerkennung als NESAS CCS-GI Prüfstelle stehen auf der Website des BSI zur Verfügung.

Quelle: BSI
5. Juli 2022
BSI erteilt erste IT-Sicherheitskennzeichen für Breitbandrouter
IT-Sicherheitskennzeichen – Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die ersten 20 IT-Sicherheitskennzeichen in der Produktkategorie „Breitbandrouter“ erteilt. BSI-Präsident Arne Schönbohm übergab die Kennzeichen am BSI-Standort in Freital an den Chief Technology Officer der Lancom Systems GmbH, Christian Schallenberg.

Mit dem IT-Sicherheitskennzeichen werden Sicherheitseigenschaften von IT-Produkten transparent gemacht und Verbraucherinnen und Verbrauchern Orientierung ermöglicht.

Arne Schönbohm, Präsident des BSI:
„Breitbandrouter sind leistungsstarke integrierte Systeme, sie sind das Herzstück vieler Netzwerke. Als Schnittstelle zwischen dem Internet und Heim- oder Unternehmensnetzwerken kommt ihnen bei der Cyber-Sicherheit eine besondere Bedeutung zu. In einem unsicheren Zustand können sie Angreifern als Einfallstor und Ausgangspunkt für weitere Cyber-Angriffe dienen. Ein sicherer Router hingegen erfüllt die Funktion eines Schutzschildes nach innen und außen. Ich freue mich deshalb besonders, dass wir nun erstmals das IT-Sicherheitskennzeichen des BSI für ein solches Produkt erteilen können. Damit leisten wir einen Beitrag zu mehr Transparenz auf dem IT-Verbrauchermarkt.“

Photo by Paul Seling on Pexels.com

IT-Sicherheitskennzeichen – Den jüngst erteilten IT-Sicherheitskennzeichen liegt die vom BSI entwickelte Technische Richtlinie BSI TR-03148 zu Grunde, die konkrete Anforderungen an die Schnittstellen und Funktionalitäten eines Breitbandrouters formuliert. Sie gewährleistet bei korrekter Umsetzung eine zuverlässige Basisabsicherung dieser Geräte.

Lancom ist der erste Hersteller von Breitbandroutern auf dem deutschen Verbrauchermarkt, der mit dem IT-Sicherheitskennzeichen sein Versprechen in die IT-Sicherheit ihrer Router gegenüber Verbraucherinnen und Verbrauchern transparent macht. Es handelt sich dabei um eine Selbstverpflichtung, in deren Rahmen erklärt wird, dass die gekennzeichneten Produkte den Anforderungen des BSI an sichere Breitbandrouter entsprechen. Das BSI prüft über die Laufzeit der erteilten Kennzeichen stichprobenartig und anlassbezogen, ob die zugesicherten Produkteigenschaften eingehalten werden.

Die übergebenen IT-Sicherheitskennzeichen verfügen jeweils über einen individuellen Kurzlink und QR-Code, der zu einer produktspezifischen Informationsseite im Online-Angebot des BSI führen. Auf dieser Webseite können sich Verbraucherinnen und Verbraucher über die vom Hersteller zugesicherten Produkteigenschaften sowie aktuelle Sicherheitsinformationen zum gekennzeichneten Produkt informieren. Beispielsweise sichert Lancom zu, die gekennzeichneten Produkte mindestens über die Laufzeit des Kennzeichens mit sicherheitsrelevanten Updates zu versorgen, eventuell auftretende Schwachstellen zu beheben und den Stand der Behebung an das BSI zu melden. Mit dem IT-Sicherheitskennzeichen schafft das BSI Orientierung auf dem IT-Verbrauchermarkt und trägt zu einer informierten Kaufentscheidung beim Einkauf von IT-Produkten bei.

Mehr Informationen zum IT-Sicherheitskennzeichen gibt es unter www.bsi.bund.de/IT-SIK.

Quelle: BSI
27. Mai 2022
BSI warnt vor Einsatz der Virenschutzsoftware des Unternehmens Kaspersky
IT-Sicherheit – Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nach §7 BSI-Gesetz vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky. Das BSI empfiehlt, Anwendungen aus dem Portfolio von Virenschutzsoftware des Unternehmens Kaspersky durch alternative Produkte zu ersetzen.

Antivirensoftware, einschließlich der damit verbundenen echtzeitfähigen Clouddienste, verfügt über weitreichende Systemberechtigungen und muss systembedingt (zumindest für Aktualisierungen) eine dauerhafte, verschlüsselte und nicht prüfbare Verbindung zu Servern des Herstellers unterhalten. Daher ist Vertrauen in die Zuverlässigkeit und den Eigenschutz eines Herstellers sowie seiner authentischen Handlungsfähigkeit entscheidend für den sicheren Einsatz solcher Systeme. Wenn Zweifel an der Zuverlässigkeit des Herstellers bestehen, birgt Virenschutzsoftware ein besonderes Risiko für eine zu schützende IT-Infrastruktur.

IT-Sicherheit – Das Vorgehen militärischer und/oder nachrichtendienstlicher Kräfte in Russland sowie die im Zuge des aktuellen kriegerischen Konflikts von russischer Seite ausgesprochenen Drohungen gegen die EU, die NATO und die Bundesrepublik Deutschland sind mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs verbunden. Ein russischer IT-Hersteller kann selbst offensive Operationen durchführen, gegen seinen Willen gezwungen werden, Zielsysteme anzugreifen, oder selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden.

Alle Nutzerinnen und Nutzer der Virenschutzsoftware können von solchen Operationen betroffen sein. Unternehmen und Behörden mit besonderen Sicherheitsinteressen und Betreiber Kritischer Infrastrukturen sind in besonderem Maße gefährdet. Sie haben die Möglichkeit, sich vom BSI oder von den zuständigen Verfassungsschutzbehörden beraten zu lassen.

Unternehmen und andere Organisationen sollten den Austausch wesentlicher Bestandteile ihrer IT-Sicherheitsinfrastruktur sorgfältig planen und umsetzen. Würden IT-Sicherheitsprodukte und insbesondere Virenschutzsoftware ohne Vorbereitung abgeschaltet, wäre man Angriffen aus dem Internet möglicherweise schutzlos ausgeliefert. Der Umstieg auf andere Produkte ist mit vorübergehenden Komfort-, Funktions- und Sicherheitseinbußen verbunden. Das BSI empfiehlt, eine individuelle Bewertung und Abwägung der aktuellen Situation vorzunehmen und dazu gegebenenfalls vom BSI zertifizierte IT-Sicherheitsdienstleister hinzuzuziehen.

Quelle: BSI
15. März 2022
BSI empfiehlt Unternehmen, Organisationen und Behörden ihre Sicherheitsmaßnahmen zu erhöhen.

IT-Sicherheit – In Anbetracht der Situation in der Ukraine bewertet das Bundesamt für Sicherheit in der Informationstechnik (BSI) fortwährend die Lage mit Bezug zur Informationssicherheit.

Weiterhin erkennt das BSI eine abstrakt erhöhte Bedrohungslage für Deutschland. Für das BSI ist aber aktuell keine akute unmittelbare Gefährdung der Informationssicherheit in Deutschland im Zusammenhang mit der Situation in der Ukraine ersichtlich. Diese Bewertung kann sich nach Einschätzung des BSI jederzeit ändern.

IT-Sicherheit

IT-Sicherheit – Das BSI ruft daher weiterhin Unternehmen, Organisationen und Behörden dazu auf, ihre IT-Sicherheitsmaßnahmen zu erhöhen. Weitere Informationen stellt das BSI auf seinen Webseiten und im Rahmen Allianz für Cyber-Sicherheit bereit.

IT-Sicherheit – Seit Beginn des russischen Angriffs auf die Ukraine ist es in Deutschland zu wenigen unzusammenhängenden IT-Sicherheitsvorfällen gekommen, die aber nur vereinzelt Auswirkungen hatten.

Weiterhin berichten mehrere Medien zu erhöhten Aktivitäten von sogenannten Trollen, bspw. in den Kommentarspalten ihrer Webseiten oder in den zugehörigen Social-Media-Auftritten.

IT-Sicherhiet, erste Phishing-Mails mit Bezug zum Ukraine-Krieg sind nun auch auf Deutsch im Umlauf. Dabei treten Vorschussbetrügereien auf, bei denen die Mail-Empfänger z.B. gebeten werden, vermeintlichen Opfern des Krieges Geld für die Flucht zu überweisen. Daneben ist auch klassisches Phishing, das mit reißerischer Berichterstattung die Mail-Empfänger zum Klicken zum Beispiel auf einen „Weiterlesen“-Button verleiten soll. Auch Scam-Mails, die betrügerische Spendenaufrufe verbreiten, sind in Umlauf. Bei den aktuellen Phishing-Mails wird demnach der Krieg gegen die Ukraine zu kriminellen Zwecken genutzt. Nach Einschätzung des BSI dürfte das Aufkommen an Phishing-Mails auch im deutschsprachigen Raum weiter zunehmen.

Das BSI weist zudem darauf hin, dass Angriffe auf IT-Systeme wie das Hacking von Webseiten oder die Beteiligung an DDoS-Angriffen verboten sind und ein erhebliches Gefährdungspotential aufweisen. Gründe hierfür sind u.a. nicht vorhersehbare Folgewirkungen von Cyber-Angriffen jeder Art, etwa bezüglich bestehender Abhängigkeiten der angegriffenen Systeme. Darüber hinaus sind Vergeltungsmaßnahmen genauso denkbar wie mögliche Phishing-Versuche im Zusammenhang mit Beteiligungsaufrufen.

Das BSI als die Cyber-Sicherheitsbehörde des Bundes steht fortwährend in engem Austausch mit dem Bundesministerium des Innern und für Heimat sowie zahlreichen nationalen und internationalen Partnerbehörden.

Quelle: BSI

14. März 2022
IT – Security | BSI warnt vor Einsatz von iOS-App „Mail“
It Security – Die iOS-App „Mail“ ist auf allen iOS-Versionen rückwirkend bis iOS 6 von zwei schwerwiegenden Sicherheitslücken betroffen. Angreifern ist es dadurch möglich, durch das Senden einer E-Mail das betreffende iPhone oder iPad zu kompromittieren. Damit ist potentiell das Lesen, Verändern und Löschen von E-Mails möglich. Ob darüber hinaus weitere schädliche Aktivitäten für erfolgreiche Angreifer möglich sind, ist Gegenstand weiterer Prüfungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt diese Schwachstellen als sehr kritisch ein. Für die insgesamt zwei Schwachstellen stehen bislang keine Patches zur Verfügung. Medienberichten zufolge werden die Schwachstellen bereits aktiv ausgenutzt. So lange keine entsprechenden Patches zur Verfügung stehen, sollten Anwender die App „Mail“ unter Apple iOS deinstallieren oder alternativ die mit dieser App verknüpften Accounts deaktivieren.

Dazu BSI-Präsident Arne Schönbohm:

„Das BSI schätzt diese Schwachstellen als besonders kritisch ein. Sie ermöglicht es den Angreifern, weite Teile der Mail-Kommunikation auf den betroffenen Geräten zu manipulieren. Es steht zudem aktuell kein Patch zur Verfügung. Damit sind Tausende iPhones und iPads von Privatpersonen, Unternehmen und Behörden akut gefährdet. Wir sind im Austausch mit Apple und haben das Unternehmen aufgefordert, hier schnellstmöglich eine Lösung zur Sicherheit ihrer Produkte zu schaffen.“

Die Möglichkeiten zur Ausnutzung der Schwachstellen unterscheidet sich je nach iOS-Version. Während bei iOS 13 das reine Empfangen einer schädlichen Mail ausreicht, um die Schwachstelle auszulösen, muss die Mail ab iOS 12 abwärts auch durch die Nutzerinnen und Nutzer geöffnet werden.

Das BSI empfiehlt:
- Löschen der App „Mail“ oder Abschaltung der Synchronisation
- Nach Umsetzung von Punkt 1 kann zum Abrufen und Lesen von E-Mails bis auf weiteres auf andere Apps oder Webmail zurückgegriffen werden
- Das von Apple angekündigte iOS-Update sollte schnellstmöglich eingespielt werden, sobald es zur Verfügung steht
BSI für Bürger: iOS-App „Mail“: so schützen Sie E-Mails und Geräte

Quelle: BSI

Internet Security – BSI zertifiziert technische Sicherheitseinrichtungen für Kassensysteme
16. Mai 2020
BSI-Infopaket: Sicher vernetzt in Corona-Zeiten

Physical Distancing schränkt das öffentliche und private Leben ein

Gerade in einer solchen Ausnahmesituation können digitale Lösungen vom Onlinekurs für Studierende über die Infoportale von Unternehmen bis hin zur Hausaufgabenhilfe per Videochat helfen, die Einschränkungen zumindest abzumildern. Doch wie sicher sind Videotelefonie, Streaming-Dienste und – vielleicht am wichtigsten – das eigene Heimnetzwerk? Orientierung bietet hier das Bundesamt für Sicherheit in der Informationstechnik (BSI).

„Die Corona-Pandemie ist eine große Herausforderung für uns alle, durch die sich jedoch viele Menschen digitale Möglichkeiten zuhause neu erschließen. Kriminelle versuchen, diese Situation durch Cyber-Angriffe für sich auszunutzen. Damit es später kein böses Erwachen gibt, sollten Verbraucherinnen und Verbraucher sich bestmöglich schützen. Das BSI hilft ihnen dabei. Durch unsere IT-Expertinnen und -Experten können wir verlässliche und geprüfte Informationen geben, auf die sich Verbraucherinnen und Verbraucher auch in diesen Zeiten verlassen können“, so Arne Schönbohm, Präsident des BSI. „Gerade jetzt, wo nicht die Enkelin kurz vorbeikommen kann, um eine neue App einzurichten oder der gute Freund, der die Update-Probleme fixen kann, geben wir den Menschen im Rahmen des Digitalen Verbraucherschutzes praxisnahe Hilfestellungen“, so Schönbohm weiter.

Auf einer Überblicksseite hat das BSI stets aktualisierte Hinweise und Informationen rund um das Thema „Sicher vernetzt“ zusammengestellt. Aktuelle Themen sind etwa Videotelefonie (Trotz Corona die Enkel sehen – Videotelefonie leicht gemacht), kontaktloses Bezahlen (Sich selbst und andere schützen: Kontaktlos bezahlen) und Digitales Lernen (Tipps für Eltern – Sicher digital lernen).

Das BSI engagiert sich im Kontext von Corona derzeit an vielerlei Stellen. So unterstützt das BSI die Entwicklung einer Corona-App, indem die App Penetrationstests unterzogen wird und die Hersteller Unterstützung bei dem zu erstellenden Sicherheitskonzept erhalten.

Quelle:BSI

Cyber Sicherheit – BSI führt IT-Grundschutz-Testat nach Basis-Absicherung ein

9. April 2020