Insights 24.01.2024 Cybersicherheit und Strategie Souveräne Clouds und IT-Sicherheit: Cyber Security in der Cloud-Ära Wie können wir Vertrauen in die Sicherheit kritischer digitaler Infrastrukturen und souveräner Clouds entwickeln? Und wodurch kann dieses Vertrauen letztendlich gerechtfertigt sein? Eine geostrategisch-technische Analyse zur Cybersicherheit in der Cloud-Ära. In der neuen Arbeitswelt gilt für die IT Security mehr denn je: velocity is king. Schließlich verkürzen auch die Angreifer ihre Zyklen bei der Entwicklung neuer Methoden und Tools. Michael Barth , Abteilungsleiter Strategy bei genua GmbH Geostrategische Perspektiven und Cyberraum Michael Barth, Abteilungsleiter Strategy von Michael Barth Die Welt ist unsicherer geworden. Statt einer Blockkonfrontation wie im Kalten Krieg agieren heute verschiedene Akteure an unterschiedlichen Fronten mit teilweise flexibel wechselnden Allianzen. Durch die Anerkennung von Cyber als weiterer Organisationsbereich neben Heer, Marine und Luftwaffe haben nahezu alle Armeen dieser Welt durch schlüssiges Handeln dokumentiert, wie entscheidend eine Überlegenheit auch im Informationsraum ist – für die eigene Information und Führungsfähigkeit, aber auch, um die Infrastruktur und Verteidigungsfähigkeit des Gegners zu stören. Eine neue Ära für die IT-Sicherheit IT-Sicherheit mag früher ein Nischenthema gewesen sein, das begrenzten Schaden verursachen konnte. Heute ist sie eine Frage digitaler Souveränität und damit der nationalen Sicherheit. Eine empfindliche Störung ziviler Informationsinfrastruktur für Kraftwerke, Energienetze, Krankenhäuser, Pipelines, Flughäfen oder Bahnlinien ist militärisch automatisch von hohem Interesse. Nicht zuletzt im Ukrainekrieg und an den vorangegangenen Hackerangriffen auf zivile Infrastrukturen wird dies deutlich. Angriffe zu militärischen Zwecken können unbeabsichtigt und schnell auf zivile Strukturen übergreifen. Gleichzeitig bietet der Operationsraum der Cyberdomäne Möglichkeiten der Manipulation und Beeinträchtigung von Infrastrukturen, die unter der Schwelle zum bewaffneten Konflikt liegen. Somit ist das Risiko einer Eskalation für staatliche Akteure geringer als in anderen Bereichen der Auseinandersetzung. Sie sind damit ein bevorzugtes Mittel der Wahl. Es ist also folgerichtig, dass die EU mit ihrer Gesetzgebung im Cyberbereich diese Lücken so weit wie möglich schließen will, um dem Prinzip der Daseinsvorsorge gerecht zu werden. Hervorzuheben sind vor allem die NIS-2-Richtlinie und der Cyber Resilience Act. Dabei kann nicht mehr davon ausgegangen werden, dass sich Sicherheit rein mit technischen Mitteln durchsetzen lässt. Vielmehr zielen Instrumente wie ISMS, ISO 27001 und IT-Grundschutz nach BSI darauf ab, Angriffsoberflächen zu reduzieren, organisationale Strukturen zu härten sowie ein vorausschauendes Risikomanagement samt Plänen für den Ernstfall zu etablieren. Deutschland und Europa setzen Standards für die Cybersicherheit Wie auf technischer Ebene gilt auch politisch Defense in Depth, also das Prinzip der zusätzlichen Sicherheitsmechanismen, sollte der erste fehlschlagen. Deutschland und Europa setzen hier Standards. Neben NIS 2.0, Cyber Resilience Act und AI Act auf europäischer Ebene ist dies national etwa der Cloudstandard BSI C5. Was oft als Verbotspolitik gebrandmarkt wird, hat eine Vielzahl guter Effekte. Ebenso wie bei der DSGVO hat auch C5 dazu geführt, dass multinationale Konzerne wie Amazon, Google oder Microsoft sich an europäische Regularien halten. Der europäische Wirtschaftsraum ist in seinem Bruttoinlandsprodukt den USA mehr als ebenbürtig. Hier unterschätzt sich Europa oft und wirkt wegen der vielfältigen Stimmen in Rat und Kommission nicht so homogen wie die USA. Dort wird per Presidential Order auch mal ein recht konkretes Paradigma wie Zero Trust für die Bundesbehörden verordnet. Souveräne Schüsseltechnologien für vertrauenswürdige souveräne Clouds In den letzten Jahren beobachten wir nicht nur die steigende Relevanz von Zero Trust für eine souveräne Informationsverarbeitung, sondern auch den Wunsch, behördliche Informationsverarbeitung mittels Cloudtechnologien zu konsolidieren, wie es die Wirtschaft seit Längerem tut. Das vorsichtige Abwarten der öffentlichen Hand ist verständlich: Anders als die freie Wirtschaft ist der Staat mit der allzu spontanen Anwendung der Trial-and-Error-Methode schlecht beraten, da mit den Auswirkungen länger umgegangen werden muss. Auch das Vergaberecht ist in seiner derzeitigen Ausprägung nur bedingt geeignet, Verträge mit unsicherem Ausgang in Sachen Technologie zu realisieren. Gleichzeitig stellen sich Nischenbereiche wie die mit Verschlusssachenbearbeitung betrauten Behörden die Frage, ob und wie sie von den Versprechen der Cloudnutzung profitieren können. Dabei muss klar sein, dass die Anforderungen an die Sicherheitseigenschaften höher sein werden als für klassische Verwaltungsaufgaben. Denn es geht qua Definition um die Verarbeitung von Informationen, die im Falle eines Missbrauchs für den Bestand der Bundesrepublik Deutschland mindestens nachteilig sein können. Deshalb erscheint es naheliegend, dass zentrale Funktionen wie der Zugang zu Clouddiensten oder auch die Trennung von Mandanten und Informationen in der Cloud für die Nutzung im Verschlusssachenkontext zusätzlich durch vertrauenswürdige Dienste gehärtet werden müssen. Diese Vertrauensanker wären in diesem Sinne also unverzichtbare Schlüsseltechnologien, deren Nutzung durch staatliche Nutzer eingefordert werden sollten, um weiterhin Kontrolle über die kritischen Daten zu behalten. Technische Perspektiven zu IT-Sicherheit und souveräner Cloud Alexander von Gernler, Leiter Research and Innovation von Alexander von Gernler Lange Zeit galt: „Die Cloud ist eigentlich nur jemand anderes Rechner“. Sprich, wenn ich den Cloud-Betreibern nicht vertrauen kann, sollte ich die Cloud nicht für Berechnungen und Anwendungen nutzen. Das reine Speichern von Daten wäre zwar unbedenklich, solange diese ordentlich verschlüsselt werden. Als entfernte Dateiablage spielt die Cloud allerdings praktisch keine ihrer Vorteile aus. Was ich nicht unter physischer Kontrolle habe, kann ich technisch kaum sichern. Bereits einige Zeit vor der Cloud begann deshalb das Zeitalter der Service Level Agreements und der Security by Contract. Es wurde darauf vertraut, dass die Diensteanbieter sich nicht durch schlampigen Umgang mit den Daten das Geschäft ruinieren würden. Vom Perimeter zu Zero Trust Analog zur Cloudbewegung haben sich in den vergangenen Jahren auch die Netze weiterentwickelt. Vom früheren Perimeter-Paradigma (gut innen, böse außen) ging es über Mikrosegmentierung (Firewalls zwischen einzelnen Teilen des Netzes), Intrusion and Exfiltration Detection und Software Defined Networking bis hin zu der Annahme von Zero Trust, dass lokale Netze eigentlich ohnehin als irrelevant oder kompromittiert anzusehen sind. Fand früher eine Filterung von Daten auf Paketebene und anhand von technischen Merkmalen (IP-Adresse, Port) statt, so wurden die Filterkriterien entlang der ISO/OSI-Schichten nach oben immer mächtiger. In heutigen Zero-Trust-Setups ist das wichtigste Kriterium die Identität der User. Alle anderen Kriterien können zusätzlich zu einem Defense-in-Depth-Ansatz beitragen. Eine in der Praxis immer noch unrealisierte Hoffnung ist, auf verschlüsselten Daten zu rechnen, Stichwort Homomorphe Verschlüsselung. Spätestens bei komplizierteren Rechenoperationen stößt dies schnell an seine Grenzen. Die bekannten Verfahren skalieren schlecht in Zeit und Rechenaufwand. Viele wurden bisher zu wenig verwendet, um echtes Vertrauen entwickeln zu können. In der neuen Arbeitswelt gilt für die IT Security mehr denn je: velocity is king. Schließlich verkürzen auch die Angreifer ihre Zyklen bei der Entwicklung neuer Methoden und Tools. Alexander von Gernler , Leiter Research and Innovation bei genua GmbH Hoffnungsträger Confidential Computing Vor Kurzem trat ein vielversprechender Kandidat auf die Bühne: Confidential Computing. Dabei werden Spezialfeatures gängiger Prozessoren (z.B. AMD oder Intel) genutzt, um den Hauptspeicher einer Enklave komplett verschlüsselt zu haben und nur beim Laden von Daten in die CPU zu entschlüsseln. Dies kann kryptografisch von außen verifiziert werden, ähnlich wie bei Measured Boot im Trusted Computing. Auf diese Weise muss nicht mehr dem Cloud-Provider vertraut werden, sondern nur noch dem Prozessorhersteller. Das ist insofern akzeptabel, da diesen bereits zuvor vertraut werden musste. Auch bietet eine manipulierte CPU erheblich schlechtere Angriffsmöglichkeiten als ein manipulierter Cloud Stack. Confidential Computing leidet derzeit noch an messbaren Einbußen bei der Performance. Außerdem ist die Frage nach der finalen Architektur offen. Wichtig ist darüber hinaus ein kompatibles Framework, mit dem verlässlich und skalierbar abgeprüft werden kann, ob sich die gewünschten Virtuellen Maschinen oder Kubernetes-Pods wirklich in einer sicheren Enklave befinden. Drei Forderungen an die Sicherheit souveräner Clouds Wenn wir nun den Blick auf eine sichere und souveräne behördliche Informationsverarbeitung richten – auch für Verschlusssachen – egal ob in der privaten oder einer öffentlichen Cloud, welche Forderungen sollten wir insgesamt stellen? Erstens: Confidential Computing sollte funktionierend, erprobt und performant zur Verfügung stehen. Zweitens: Die Verarbeitung der Daten sollte nicht nach Gusto erfolgen, sondern nach einem Plan der relevanten Behörde, des Bundesamt für Sicherheit in der Informationstechnik. Drittens: Wir brauchen im Sinne der Versorgungssicherheit dringend einen funktionierenden Markt nationaler Provider und souveräner Cloud-Lösungen. Zur Verfügung stehende proprietäre Lösungen wie zum Beispiel das von Delos beabsichtigte m365 im nationalen Rechenzentrum benötigen im Sinne der Überprüfbarkeit die Möglichkeit von Einsichtnahme durch BSI und Benutzer. Und ganz grundlegend sollten wir nicht hinter die bereits bestehenden Standards wie etwa BSI C5 zurückfallen. Dieser Beitrag ist in gekürzter Fassung auch in der Ausgabe 1/2024 der Fachzeitschrift ix erschienen. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Cloud Security Artikel teilen Zurück zur Übersicht

Insights 03.01.2024 Forschung für eine zukunftsfähige Cloud „Made in Germany“ VerSeCloud: Der Weg zu einer vertrauenswürdigen, sicheren Cloud Wie kann eine sichere, vertrauenswürdige und dazu zukunftsfähige Cloud aussehen? Eine Lösung will das Forschungsprojekt VerSeCloud liefern. Mittels eines Mikrokernel, formalen Beweismethoden und strikt durchgesetzter Trennung zwischen Kundenanwendungen entwickeln die Konsortialpartner, die Kernkonzept GmbH, die genua GmbH, die Universität Potsdam sowie die Technische Universität München Grundlagen für eine hochsichere Cloud-Infrastruktur. von Nicolas Frinker, Software Engineer bei genua Software Engineer Nicolas Frinker (2. v. r.) im "Team VerSeCloud" Der Projektsteckbrief Verbundkoordinator: Kernkonzept GmbH, Dresden Partner genua GmbH, Universität Potsdam, Technische Universität München Laufzeit: 04/2021 - 03/2024 Projektseite des BMBF zu VerSeCloud Virtualisierung als Basis für Cloudlösungen ist in der heutigen IT-Infrastruktur zu einem zentralen Baustein geworden. Die damit einhergehende Abstraktion existierender physischer Ressourcen in eine virtuelle Umgebung erlaubt deren flexible, skalierbare und kosteneffiziente Nutzung. Sensible Daten und Anwendungen erfordern jedoch ein hohes Maß an Datensicherheit und Vertrauenswürdigkeit, die von aktuellen Virtualisierungslösungen nicht geboten werden können: Aktuelle Lösungen sind aufgrund ihrer zugrunde liegenden Betriebssysteme komplex und umfangreich und lassen sich damit kaum auf verlässliche Sicherheit prüfen. Eine Zulassung oder Zertifizierung ist so nur mit sehr großem Aufwand überhaupt denkbar. Im Forschungsprojekt VerSeCloud arbeiten wir zusammen mit unseren Projektpartnern, der Kernkonzept GmbH aus Dresden, der Universität Potsdam und derTechnischen Universität München, an einer zukunftsfähigen, verlässlichen und sicheren Virtualisierungslösung auch für sicherheitskritische Cloudanwendungen. In der neuen Arbeitswelt gilt für die IT Security mehr denn je: velocity is king. Schließlich verkürzen auch die Angreifer ihre Zyklen bei der Entwicklung neuer Methoden und Tools. Nicolas Frinker , Software Engineer bei genua GmbH Cloudanwendungen: Schlank und verifizierbar Auf Basis des L4Re-Mikrokernels entwickeln wir einen, dank Intel Vt-x performanten und flexiblen Hypervisor, der Linux und OpenBSD unmodifiziert ausführen kann. Mittels Nested Virtualization werden auch weitere Betriebssysteme wie MS Windows lauffähig. Durch die Mikrokernel-Basis bleibt dabei die Codebasis schlank und nachvollziehbar. Der mit Systemrechten laufende L4Re-Mikrokernel ist dabei nur für die grundlegendsten Aufgaben wie die Separation der Anwendungen zuständig. Alle anderen Aufgaben werden ausgelagert und nur mit eingeschränkten Zugriffsrechten ausgeführt. Mit dieser Architektur bleiben die sicherheitsrelevanten Komponenten schlank und verifizierbar und eignen sich so auch für tiefergehende Reviews, z. B. in einem Zulassungsprozess. Neben der soliden und sicheren technischen Basis werden im Forschungsprojekt VerSeCloud formale Methoden eingesetzt, um Sicherheitseigenschaften des Mikrokernels und der Treiber mathematisch zu beweisen. Mithilfe eines abstrakten Modells des L4Re-Mikrokernels wird ein erwarteter Zustand definiert, der dann durch eine sehr große Zahl automatisch generierter Tests mit dem tatsächlichen Zustand in der Implementierung verglichen wird. Für die Treiber werden im Projekt insbesondere Netzwerktreiber näher betrachtet, gemeinsame Eigenschaften ermittelt und diese in das Beweissystem Coq überführt. Dort kann deren Korrektheit bewiesen und Code synthetisiert werden, der dann Teile des Treibers mit bewiesenermaßen korrektem Code ersetzen kann. Dieser Einsatz von formalen Methoden erhöht die Sicherheit signifikant. Vier Fragen an Nicolas Frinker Ist umfassende IT-Security und Datenschutz in einer Cloudumgebung, in der mit vielen verschiedenen Geräten und auch mobil auf Daten zugegriffen wird, überhaupt möglich? Nicolas Frinker: IT-Security und Datenschutz in einer Cloudumgebung hängen von zwei Faktoren ab: Dem Anbieter und der eingesetzten Technik bzw. Software. Die eingesetzte Technik muss sicherstellen, dass Kunden in der Cloudumgebung sicher und zuverlässig voneinander separiert werden. Der vertrauenswürdige Anbieter wiederum muss sicherstellen, dass diese Technik auch konsequent eingesetzt wird. Trifft beides zusammen, sind Kundenanwendungen und -daten gut geschützt. Was wären mögliche Anwendungsszenarien? Nicolas Frinker: Die aktuell großen Cloud-Anbieter sitzen meist in den USA und genießen nicht unbedingt das Vertrauen vieler deutscher Firmen. Diesen fehlt somit der vertrauenswürdige Anbieter und auch die eingesetzte Software fällt immer wieder durch Sicherheitsprobleme auf. Um den fehlenden, vertrauenswürdigen Cloud-Anbieter zu ersetzen, greifen viele Firmen auf selbstgehostete Clouds zurück, sogenannte Private Clouds. Dabei steht das Rechenzentrum "im eigenen Keller" und wird exklusiv von dieser jeweiligen Firma genutzt, sodass auch keine softwarebasierte Separation von mehreren Kunden mehr notwendig ist. Damit ist diese Lösung zwar sicher, gleichzeitig verliert man aber die wesentlichen Vorteile einer Public Cloud wie Skalierbarkeit und Kosteneffizienz. Hier kann VerSeCloud die Grundlagen für eine vielversprechende Zukunft bieten: Eine Cloudumgebung auf Basis der in VerSeCloud erforschten Software mit ihren formal bewiesenen Sicherheitseigenschaften bietet die notwendige, sichere technische Basis, auf der sich mehrere Kunden die gleiche Cloudumgebung teilen können, ohne dabei um ihre Separation von anderen Kunden fürchten zu müssen. Wird diese Software dann auch noch von einem vertrauenswürdigen Cloudanbieter betrieben, sind Sicherheit und Datenschutz kosteneffizient und skalierbar möglich! Wie ist das Projekt im Team aufgeteilt? Nicolas Frinker: Im Wesentlichen forschen Kernkonzept und genua zusammen daran, den neuen Hypervisor zu verbessern, während Kernkonzept zusammen mit der Universität Potsdam mittels formaler Verifikation Sicherheitseigenschaften zu beweisen versucht. Meine Hauptaufgabe besteht darin, OpenBSD neben Linux als weiteres Gastsystem auf dem neuen Hypervisor lauffähig zu machen. Welche Fortschritte wurden bereits gemacht? Nicolas Frinker: Der neue Hypervisor ist mittlerweile ordentlich gereift und kann Linux und OpenBSD als Gastsysteme ausführen. Auch an der formalen Methoden-Front gibt es schon jede Menge Forschritte: So wurde beispielsweise ein kompletter, einfacher Treiber für L4Re aus dem Beweissystem Coq heraus synthetisiert. Weiterführende Links [1] Zur Projektseite des Bundesministeriums für Bildung und Forschung (BMBF). Das Projekt wird im Rahmen von "KMU-innovativ" des BMBF gefördert. [2] Lesen Sie mehr zu aktuellen und bereits abgeschlossene Forschungsprojekten der genua . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Cloud Security Forschung Artikel teilen Zurück zur Übersicht

Interviews 26.06.2018 Experten-Interview: RFC 8391 – ein Meilenstein zum Schutz vor Quantencomputern Im Forschungsprojekt squareUP brachten unsere Forscher zusammen mit der TU Darmstadt ein Post-Quantum-Signaturverfahren zur Praxisreife und schrieben in Kooperation mit weiteren Universitäten einen sogenannten Internet-Draft. Dieser wurde jetzt als RFC 8391 veröffentlicht und ist damit das erste universell anerkannte standardisierte Verfahren für digitale Signaturen, die den Berechnungsmöglichkeiten von Quantencomputern standhalten. Schutz vor Quantencomputern Darüber sprechen wir mit Stefan-Lukas Gazdag, Research Engineer in der Forschungsabteilung bei genua und einer der RFC-Autoren. Warum ist es so außergewöhnlich, dass Forscher von genua an einem Request for Comments (RFC) mitgearbeitet haben? Stefan-Lukas Gazdag: Der Weg von der Idee zu einem Dokument bis zur Veröffentlichung eines RFC ist, wie bei vielen Standardisierungsbemühungen, mitunter sehr langwierig. Doch um ein Verfahren in der Praxis verwenden zu können, ist dies unumgänglich, denn ein Entwickler muss bei der Umsetzung über eine Referenz verfügen, auf die er sich beziehen kann. Mit dem reinen Schreiben ist es nicht getan. Zu einem Entwurf für einen solchen RFC gibt es zahllose, teils sogar konträre Meinungen und Wünsche unterschiedlicher Personen und Organisationen. Viele Experten lesen und bewerten das Dokument. Das ist äußerst hilfreich und auch notwendig, da das beschriebene Verfahren viel Aufmerksamkeit erhält und etwaige Unstimmigkeiten im Dokument leichter gefunden werden. Doch all dies ist sehr zeit- und damit kostenintensiv. In unserem Fall hat sich der Prozess über drei Jahre gezogen. Dankenswerterweise wurde ein Teil unserer Bemühungen sogar über ein Forschungsprojekt durch das Bayerische Staatsministerium für Wirtschaft und Medien, Energie und Technologie (StMWi) gefördert. Das Umfeld von Internet Engineering Task Force (IETF) und Internet Research Task Force (IRTF), den Organisationen hinter den RFCs, ist vor allem von Großkonzernen und Universitäten geprägt. Dass eine vergleichsweise kleine, deutsche Sicherheitsfirma an einem RFC mitarbeitet, um ein Verfahren für die Öffentlichkeit nutzbar zu machen, ist daher durchaus nicht alltäglich. genua veröffentlicht für zahlreiche Produkte bereits jetzt quantenresistente Signaturen und gehört damit zu den ersten IT-Sicherheitsunternehmen, die diese Verfahrensart zur Absicherung ihrer Updates einsetzen. Könnte man sagen, dass wir die sichersten Software-Updates der Welt verwenden? Stefan-Lukas Gazdag: Superlative sind natürlich mit Vorsicht zu genießen, doch wir unterschreiben unsere Software-Updates natürlich jetzt schon mit digitalen Signaturen, die nach aktuellem Stand der Wissenschaft sicher sind. Durch die Kombination dieser klassischen Verfahren mit einem bereits heute einsatzfähigen, quantenresistenten Verfahren können wir mit bestem Gewissen den Gefahren der kommenden Jahre entgegentreten. Für unsere Kunden heißt dies, dass sie für Produkte wie unsere Firewall-Systeme genuscreen und genugate selbst dann noch Software-Updates gefahrlos einspielen können, wenn etwa ein feindlich gesinnter Geheimdienst über einen großen Quantencomputer verfügen sollte. Einige Organisationen arbeiten bereits an leistungsfähigen Quantencomputern und melden respektable Erfolge. Richtig produktiv einsetzbar scheinen diese aber noch nicht zu sein. Wie kann man eigentlich sicher sein, dass die Software-Updates wirklich quantenresistent sind? Stefan-Lukas Gazdag: Dazu müssen wir klären, warum die verschiedenen kryptografische Verfahren überhaupt sicher sind. Es gibt unterschiedliche Ansätze, um die Sicherheit kryptographischer Verfahren zu beschreiben. Ein noch immer wichtiges Merkmal sind die besten, bekannten Angriffe. Zusätzlich versucht man heutzutage zumeist, für spezifische Verfahren mathematische Beweise zu führen, doch das ist ein sehr schwieriges Unterfangen. Denn selbst dann, wenn ein Verfahren in einem Beweismodell als sicher gilt, kann es dennoch Angriffe geben, die etwa von dem speziellen Modell nicht abgedeckt sind. Eine oft genutzte Betrachtungsweise zielt auf ganze Verfahrensarten ab und nicht auf konkrete Algorithmen, ist also generisch. Alle Angriffe, die die Kryptogemeinschaft auf das von uns verwendete Verfahren kennt, sind beherrschbar, insbesondere auch die generischen. Dies gilt sowohl für alle klassischen als auch von Quantencomputern unterstützten Attacken. Doch absolute Sicherheit gibt es hier leider nicht, denn es könnte jeden Tag das eine Genie aufstehen, das plötzlich die Idee hat, wie ein erfolgreicher, nicht-generischer Angriff aussieht. Dabei muss man nochmal betonen, dass dies für die klassischen Möglichkeiten genauso gilt wie für neue Quantenalgorithmen. Doch hinzu kommt, dass wir ausschließlich ein recht gut verstandenes und intensiv untersuchtes Primitiv, also einen kryptografischen Basisbaustein verwenden, der u. a. für sämtliche in der Praxis relevanten Signaturverfahren wichtig ist. Sollte dieser geknackt werden, steht die ganze Krypto-Welt vor einem großen Problem. Sichere Software-Updates sind zweifellos ein wichtiger Meilenstein. Aber werden wir auch in der Lage sein, verschlüsselte Kommunikation vor Angriffen durch Quantencomputer zu schützen? Stefan-Lukas Gazdag: Die Absicherung unserer Updates war nur der erste Schritt. Wir arbeiten derzeit daran, sichere Kommunikation über das Internet z. B. durch Virtual Private Networks mithilfe quantenresistenter Verfahren zu ermöglichen. Dies ist allerdings ein komplexeres Thema, an dem die ganze Community rund um die Post-Quantum Cryptography derzeit arbeitet. Danke für das Gespräch. Das Projekt wurde aufseiten der TU Darmstadt von der Deutschen Forschungsgemeinschaft (DFG) und aufseiten von genua vom Bayerischen Staatsministerium für Wirtschaft und Medien, Energie und Technologie (StMWi) gefördert. Als Projektträger für genua fungierte VDI/VDE-IT. Weiterführende Links [1] Zur Projektseite von SquareUP [2] Neues Forschungsprojekt QuaSiModO gestartet [3] Fachartikel: Achtung Kryptocrasher: Schritt für Schritt zur quantensicheren Kryptografie [4] Lesen Sie mehr zu aktuellen und bereits abgeschlossene Forschungsprojekten der genua . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Forschung Artikel teilen Zurück zur Übersicht

Interviews 02.09.2019 Fünf Antworten zu cognitix Threat Defender Im Mai 2019 übernahm genua das IT Security Start-up cognitix, das jetzt als eigene Abteilung von genua am Standort Leipzig cognitix Threat Defender weiterentwickelt. Die Lösung, die Data Analytics und Threat Intelligence auf einzigartige Weise kombiniert, ist inzwischen Bestandteil des IT-Sicherheitsportfolios von genua. Im Gespräch mit Arnold Krille, Entwicklungsleiter von cognitix Threat Defender, erfahren wir mehr über die innovative IT-Sicherheitslösung, die Data Analytics und Threat Intelligence verbindet. cognitix Threat Defender Warum passt cognitix Threat Defender perfekt zum Lösungsportfolio von genua? Arnold Krille: Die Produkte von genua decken sehr erfolgreich viele Bereiche der IT-Sicherheit ab. Sie werden dort eingesetzt, wo ein Netzwerk oder Netzwerksegment vor unerwünschtem Zugriff von außen zu schützen ist oder wo ein vertrauenswürdiger Zugriff von außen kontrolliert zugelassen werden soll. Mit cognitix Threat Defender konzentrieren wir uns ergänzend zum bestehenden Portfolio von genua auf die Sicherheit innerhalb der jeweiligen Netzwerksegmente – und das auf eine völlig neue Art mit Data Analytics und Threat Intelligence. Darüber hinaus ergeben sich aus der Entwicklung von cognitix Threat Defender weitere vielversprechende Möglichkeiten der Zusammenarbeit auf Produktebene. Arnold Krille leitet die Produktentwicklung von cognitix Threat Defender bei genua. cognitix Threat Defender kombiniert verschiedene Schutzfunktionen – welche sind das und wie greifen sie ineinander? Arnold Krille: Zunächst einmal arbeitet cognitix Threat Defender auf Layer 2 des OSI-Schichtenmodells, einem Layer, auf dem bisher nur wenige Schutzfunktionen existierten. Damit sieht cognitix Threat Defender den gesamten Verkehr im Netzwerk und damit das vollständige Verhalten der Geräte. Diese Informationen kann er mit modelliertem Verhalten abgleichen und passend reagieren. Das bezeichnen wir auch als Korrelation, weil hier ganz unterschiedliche Netzwerkströme auch über größere Zeiträume hinweg zusammenspielen können, wir also die Sprache für Policies um ein Tracking von Informationen über die Zeit hinweg erweitert haben. Natürlich bieten wir auch viele Informationen über den Kontext des Netzwerkverkehrs an: Layer-7-Klassifikation, Geo-Lokation, Asset-Erkennung, IDS und Threat-Intelligence-Indikatoren sowie Benutzer – Stichwort „Active Directory-Integration“. Alle diese Informationen sind natürlich in einem Reporting und im externen Logging verfügbar und werden selbstverständlich bezüglich Regeln und Verhaltensmodellierung berücksichtigt. Am ehesten könnte man cognitix Threat Defender noch als ‚Intrusion Detection System on Steroids‘ bezeichnen. Arnold Krille , Produktentwicklung cognitix Threat Defender bei genua. Wie unterscheidet sich cognitix Threat Defender von Lösungen, die unter der Bezeichnung Intrusion Detection oder Intrusion-Prevention-System gehandelt werden? Arnold Krille : Intrusion Detection oder Intrusion-Prevention-Systeme liefern einem schon ein gewisses Gefühl für die Bedrohungen im Netzwerk. Das ist allerdings nur der Fall, wenn das IDS an einem Mirror Port am Switch auch den gesamten Traffic im Netz sieht. Meistens ist ein IDS/IPS ja ein Modul auf der Firewall und erkennt damit nur die Bedrohungen bzw. Muster, die über eine Netzwerkgrenze hinweg auftreten. cognitix Threat Defender ist viel mehr als ein IDS oder IPS. Am ehesten könnte man ihn noch als „Intrusion Detection System on Steroids“ bezeichnen. Das IDS sucht für gewöhnlich nur nach Mustern in einem Datenstrom. Mit cognitix Threat Defender suchen wir im Netzwerk nach Mustern im Verhalten der Netzwerkgeräte. Die Ergebnisse des IDS sind da nur ein Teil der Information und in Kombination mit dem restlichen Kontext und der Policy Engine dienen die IDS-Hits nur als ein Merkmal, das durch weitere Informationen und Verhalten verifiziert wird. Damit lassen sich Überreaktionen bei False Positives effektiv vorbeugen, aber auch ganz neue Zusammenhänge entdecken. Was ist der größte Nutzen für Organisationen, die cognitix Threat Defender einsetzen? Arnold Krille: Ein ganz wesentlicher Nutzen, der sich in allen Aspekten immer durchzieht, ist der Gewinn an Transparenz des eigenen Netzwerks. Fehlkonfigurationen, Angriffe im Netzwerk, bewusstes oder unbewusstes Fehlverhalten sowie sonstige „schwarze Flecken“ werden durch verschiedenste Analysemethoden sichtbar. Auf diese Ereignisse und Bedrohungen dann angemessen zu reagieren ist der Bonus, den man auch erst zu schätzen weiß, wenn man überhaupt den Überblick über das eigene Netzwerk gewonnen hat. Was sind die nächsten Meilensteine in der Entwicklung von cognitix Threat Defender? Arnold Krille: Neben der kontinuierlichen Verbesserung von Schutzfunktionen und Bedienbarkeit beschäftigt uns als Nächstes das Zusammenspiel: Wir werden dafür sorgen, dass sich eine Reihe von cognitix Threat Defendern in einer Organisation so administrieren lässt wie ein einzelnes System. Ziel ist es, den Schutz des gesamten Netzwerks so einfach wie möglich zu gestalten. Diese verschiedenen cognitix Threat Defender tauschen dann natürlich Informationen über den Kontext aus. Auch die weiteren Produkte von genua sollen dabei miteingebunden werden. So können sich beispielsweise die High Resistance Firewall genugate und cognitix Threat Defender im Verhalten ergänzen und bei der Administration zusammengefasst werden. Außerdem wollen wir dem Administrator nicht nur den Überblick über das Netzwerk der Organisation geben, sondern auch bei der Erkennung, Bewertung und richtigen Reaktion auf Bedrohungen Hilfestellung bieten. Mit den passenden Assistenzsystemen, Datenanalysen und Lernverfahren machen wir so Administratoren das Leben leichter. Danke für das Gespräch. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Angriffserkennung Netzwerksicherheit Artikel teilen Weiterführende Links IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Interviews 03.12.2019 RTL2: Hohe Anforderungen an VPN-Performance Stellen Medienunternehmen besondere Anforderungen an die IT-Sicherheit, was sind die aktuellen Herausforderungen? RTL2 ist ein langjähriger Kunde von genua – ein Interview mit Reinhard Görtner, Leiter IT & CIO bei RTL2. RTL2 VPN-Performance Welche besonderen Anforderungen stellen Sie als Medienunternehmen an die Absicherung Ihrer IT? Reinhard Görtner: Zum einen ist die Absicherung der IT für uns wie in jedem anderen Unternehmen die Grundlage für einen reibungslosen Geschäftsbetrieb. Zum anderen stehen wir als Medienunternehmen besonders im Rampenlicht, sodass wir einen erhöhten Sicherheitsbedarf haben. Dazu kommen noch die durch hochauflösende Videos bedingten großen Datenmengen, deren Durchsatz durch Sicherheitslösungen nicht ausgebremst werden darf. Haben sich Ihre Anforderungen in der IT Security im Lauf der Jahre geändert? Wenn ja, wie? Reinhard Görtner: Früher lag der Fokus unserer Sicherheitsanforderungen auf dem Schutz des internen Netzes vor unbefugten Zugriffen von außen. Heute müssen wir davon ausgehen, dass der Perimeter-Schutz nur eine der Komponenten unserer Sicherheitsstrategie ist. Hinzugekommen ist außerdem die Öffnung unseres Netzwerks in Richtung unserer Außenstellen und Partner in der ganzen Welt. Reinhard Görtner, Leiter & CIO bei RTL2 Ist es für Sie wichtig, IT-Sicherheitslösungen „Made in Germany“ einzusetzen? Reinhard Görtner: Wir schätzen es sehr, dass wir mit genua einen Partner haben, der seine Produkte in Deutschland entwickelt und im „Fall der Fälle“ durch den Standort im Großraum München im Notfall schnell vor Ort reagieren kann. Seit 1998 setzen Sie die High Resistance Firewall genugate von genua ein und gehören damit zu den Kunden der ersten Stunde. Wie hat sich die Firewall im Einsatz bewährt? Reinhard Görtner: Allein die Tatsache, dass uns seit 1998 kein Vorfall bekannt ist, bei dem unsere Firewall genugate von einem Angreifer überwunden worden wäre, zeigt, dass sich die Lösung bewährt hat. Was schätzen Sie besonders an der Firewall genugate? Reinhard Görtner: Große Pluspunkte sind die hohe Verfügbarkeit und die Möglichkeit, unseren darüber laufenden Datenverkehr komplett kontrollieren zu können. Zur Anbindung neuer Unternehmensstandorte haben Sie sich für die Firewall & VPN-Appliance genuscreen entschieden. Warum haben Sie diese Systeme von genua ausgewählt? Reinhard Görtner: Wir haben mit genuscreen bereits seit vielen Jahren gute Erfahrungen beim verschlüsselten Datenaustausch via VPN (Virtual Private Network) mit unseren Partnern gemacht. Da erschien es uns nur logisch, die Anbindung neuer Standorte mit bewährter Technologie anzugehen. Müssen Ihre VPN-Systeme besonders hohe Performance-Anforderungen erfüllen? Reinhard Görtner: Als Medienunternehmen arbeiten wir gerade im Videoumfeld mit großen Datenmengen. Daher haben wir durchaus hohe Anforderungen an die Performance unserer VPN-Systeme. Zur zentralen Verwaltung nutzen Sie die Management Station genucenter. Welche Aufgaben erledigen Sie damit, wie bewerten Sie die Management Station? Reinhard Görtner: Bislang haben wir die Management Station genucenter nicht selbst genutzt, da genua das bisher für uns übernommen hat. Dies wird sich mit der Installation der neuen Komponenten ändern. Um die Administration der Sicherheitslösungen kümmert sich der Support von genua. Welche Erfahrungen haben Sie mit diesem Service gemacht? Reinhard Görtner: Die Administration unserer Systeme durch den genua-Support läuft sehr gut. Anfragen werden zeitnah mit großer Kompetenz bearbeitet. Welche Herausforderungen sehen Sie für sich in Zukunft in der IT-Security? Reinhard Görtner: Die performante und sichere Anbindung neuer Standorte und Partner ist neben der passenden Reaktion auf zukünftige Bedrohungslagen eine der großen Herausforderungen der Zukunft. Danke für das Gespräch. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Firewalls & Gateways Netzwerksicherheit VPN Artikel teilen Weiterführende Links VPN Sicherheitslösungen Unsere VPN-Lösungen werden in Deutschland hergestellt und arbeiten mit den stärksten Verschlüsselungsalgorithmen. Zudem bieten wir VS-NfD-zugelassene Lösungen an. High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Central Management Station genucenter Komfortable und effiziente Administration von IT-Sicherheitslösungen Zurück zur Übersicht

Interviews 29.06.2019 genua macht’s möglich: Neben dem Job studieren und promovieren Im Mai 2019 beendete unser Kollege Andreas Fießler sein Promotionsverfahren an der Berliner Humboldt-Universität. Wir sprechen mit ihm über Studium, Job und Forschung bei genua und wie er es geschafft hat, seine berufliche und akademische Karriere erfolgreich zu verbinden. Neben dem Studium promovieren Wie ist Dein Interesse für IT und IT-Sicherheit entstanden? Andreas Fießler: Mir ging es schon immer eher darum, Hintergründe und Funktionsweisen zu verstehen, als die Dinge einfach nur anzuwenden. IT-Sicherheit ist entsprechend schon deswegen ein interessantes Thema, weil sie viel kreatives „Out of the Box“-Denken erfordert. Trotz der steilen Lernkurve beim Berufseinstieg eröffnen sich mit steigendem Wissensstand immer mehr neue Aspekte – es wird also nie langweilig. Welche Kenntnisse hast Du Dir schon vor Deiner Berufslaufbahn angeeignet? Andreas Fießler: Durch einschlägige Hobbys im Bereich von IT und Elektronik hatte ich mit vielen relevanten Bereichen schon Kontakt und verfügte über entsprechende Vorkenntnisse. Hast Du Dich beim Einstieg ins Berufsleben bewusst für ein mittelständisches Unternehmen entschieden? Andreas Fießler: Zunächst einmal hat mich die Branche interessiert. Dass dann die Wahl auf ein mittelständisches Unternehmen wie genua gefallen ist, war sicher förderlich für meine weitere Laufbahn. Gerade in Bezug auf meinen Wunsch, berufsbegleitend zu studieren und zu promovieren, hat sich hier viel Gestaltungsspielraum geboten. In welchem Bereich bist Du gestartet und wie hat sich Dein Tätigkeitsfeld seitdem entwickelt? Andreas Fießler: Seit dem Masterstudium bin ich in der Forschung tätig. Durch den eher explorativen Charakter der Aufgaben konnte ich mich mit vielen Technologien beschäftigen, wodurch sich letztlich auch die Schwerpunkte meiner späteren Forschungsprojekte ergeben haben. Studium & Promotion: Möglichkeiten und Freiräume sind bei genua gegeben. Andreas Fießler , IT-Sicherheitsforscher bei genua Gib uns bitte einen kurzen Überblick: Wie hat sich Dein Dissertationsthema ergeben und wie kannst Du die Ergebnisse konkret nutzbar machen? Andreas Fießler, IT-Sicherheitsforscher bei genua Andreas Fießler: Die Möglichkeit meiner Promotion ergab sich während eines Forschungsprojekts, das ich nach meinem Masterabschluss bei genua zusammen mit der HU Berlin begonnen hatte. Ich setze mir gerne persönliche Ziele und die Themen aus dem Projekt boten genügend Potenzial, zusätzlich auch eine Dissertation daraus abzuleiten. Diese Freiheit und der Blick über den Tellerrand wären aus einer reinen Produktentwicklung heraus deutlich schwieriger gewesen. Damals starteten wir das Forschungsprojekt HardFIRE mit dem Ziel, neue Ansätze für hochperformante Firewalls auf rekonfigurierbaren Schaltkreisen zu entwickeln. Ein neuartiges, hybrides Firewall-Konzept wurde dann auch Schwerpunktthema meiner Dissertation – begleitet von verschiedenen weiteren Themen, die sich auf dem Weg dorthin ergaben. Das gewonnene Wissen und die Erfahrungen aus Projekt und Promotion werden jetzt genutzt, um bei unseren Produkten signifikante Performance-Steigerungen zu erzielen. Wie erfolgreich gelingt es genua aus Deiner Sicht, ambitionierte Kolleginnen und Kollegen zu fördern? Andreas Fießler: Die verschiedenen Möglichkeiten und Freiräume sind bei genua gegeben und werden – Eigeninitiative vorausgesetzt – auch genutzt. Ich konnte pro Woche jeweils einen Tag vollständig für die Promotion nutzen, bspw. für die Monografie. Ganz ohne Abend- und Wochenendschichten ist es natürlich trotzdem nicht gegangen. Hilfreich war für mich der stets mögliche Austausch mit Kollegen sowohl zu Fachthemen als auch zur generellen Unterstützung. Am besten gelangt man natürlich ans Ziel, wenn man seine eigenen Ideen mitbringt, für die man sich dann auch lange genug begeistern kann. Danke für das Gespräch! Informationen von genua zu Ausbildung und Studium finden Sie in unserem Karriere-Bereich . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Artikel teilen Zurück zur Übersicht

Interviews 14.11.2019 Neues Forschungsprojekt QuaSiModO gestartet Schon bald sollen Quantencomputer hochkomplexe Rechenaufgaben extrem schnell lösen. Damit stellen sie bereits heute eine Bedrohung für die aktuellen Verschlüsselungsalgorithmen dar. Forschungsprojekt Quasimodo Im Forschungsprojekt QuaSiModO (Quanten-Sichere VPN-Module und -Operationsmodi) werden neuartige quantenresistente Algorithmen untersucht, getestet und in VPN-Standards sowie VPN-Implementationen umgesetzt. genua ist Verbundkoordinator und durch Stefan-Lukas Gazdag im Projekt vertreten. Im Interview beantwortet der Kryptografie-Experte Fragen zu den Forschungsinhalten. genua hat das Thema „Folgen des Quantencomputers für die IT-Sicherheit“ schon früh erkannt. Warum? Stefan-Lukas Gazdag: Als Anbieter von Lösungen für IT-Hochsicherheit verfolgen wir neue Entwicklungen in der Netzwerktechnik und Netzwerksicherheit genau. Vor etwa zehn Jahren sind wir zum ersten Mal auf den Begriff der „Post-Quantum-Kryptografie“ gestoßen. Damals haben wir begonnen, uns auf die Bedrohung durch große Quantencomputer vorzubereiten. Der erste Schritt war das Forschungsprojekt squareUP, bei dem wir quantenresistente Signaturen für Software-Updates zur Praxisreife gebracht haben. Kann QuaSiModO auf das Forschungsprojekt squareUP aufbauen? Wo liegen die Unterschiede? Stefan-Lukas Gazdag : squareUP brachte uns wichtige Erkenntnisse zur Nutzung quantenresistenter Verfahren in der Praxis, allerdings mit Fokus auf digitale Signaturen und die Anwendung von Software-Updates. Bei QuaSiModO geht es um die Absicherung der Kommunikationsprotokolle mit geeigneten Schlüsselaustauschverfahren. Diese ist deutlich komplexer, der Austausch mit einer quantenresistenten Alternative entsprechend diffizil. Das Forschungsprojekt QuaSiModO ebnet den Weg zum Praxiseinsatz quantenresistenter Verschlüsselung. Stefan-Lukas Gazdag , Kryptografie-Experte bei genua Bei QuaSiModO wirken verschiedene Forschungspartner mit. Wie sieht die Zusammenarbeit konkret aus? Stefan-Lukas Gazdag : Mit ADVA und genua arbeiten zwei Spezialisten für sichere Kommunikation an ähnlichen, aber dennoch verschiedenen Problemstellungen auf unterschiedlichen Netzwerkebenen. Die Ludwig-Maximilians-Universität München unterstützt beide Partner organisatorisch und hinsichtlich verschiedener Aspekte wie der Bewertung kryptografischer Verfahren oder Sicherheitsbeweise. Fraunhofer AISEC stellt in diesem Konsortium den Advocatus Diaboli, untersucht also die Ergebnisse kritisch auf Angriffsmöglichkeiten. Was sind die Forschungsziele bis zum Projektende im Jahr 2022? Stefan-Lukas Gazdag: Insbesondere soll das Projekt bei der Erweiterung existierender Protokolle helfen. Wir wollen mögliche Lösungen im Detail untersuchen und so die Standardisierungsgremien mit Analysen und Vorschlägen bei einer Entscheidungsfindung unterstützen. Wichtige Aspekte dabei sind die Praktikabilität der Lösungsansätze und die Sicherheit in der Praxis. Danke für das Gespräch . Das Projekt QuaSiModO wird vom Bundesministerium für Bildung und Forschung gefördert. Weiterführende Links [1] Zur BMBF-Projektseite von QuaSIModO [2] Zur Projektseite von QuaSiModO [3] Fachartikel: Achtung Kryptocrasher: Schritt für Schritt zur quantensicheren Kryptografie [4] Lesen Sie mehr zu aktuellen und bereits abgeschlossene Forschungsprojekten der genua . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Forschung Artikel teilen Zurück zur Übersicht

Interviews 15.10.2019 Geprüfte IT-Sicherheit: Erste Firewalls mit BSI-Zulassung Wenn Behörden oder die Bundeswehr vertrauliche Daten verarbeiten, benötigen die dazu eingesetzten IT-Sicherheitslösungen eine offizielle Erlaubnis: Die Produkte müssen das Zulassungsverfahren für VS-NfD beim Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgreich durchlaufen haben. IT-Sicherheit BSI-Zulassung Dabei unterzieht das BSI – in der Rolle eines unabhängigen Dritten – Hersteller und Produkte einer gründlichen Prüfung. Bei Anwendern genießen Produkte mit einer BSI-Zulassung daher hohes Vertrauen. Geregelt wird der Geheimschutz in der Verwaltungsvorschrift VSA (Verschlusssachenanweisung des Bundesministeriums des Innern). Bisher betraf die Zulassung die VPN-Funktionen. Im August 2019 wurde die Zulassung erstmals auch für die Firewall-Funktionen unserer IT-Sicherheitslösungen genuscreen und genucard ausgesprochen. Wir fragen Dr. Dirk Husfeld, bei genua zuständig für Zertifizierung und Zulassung, welche Bedeutung die erweiterte Zulassung hat. Warum werden seit Kurzem auch die Firewall-Funktionen dem BSI-Zulassungsverfahren unterzogen? Dr. Dirk Husfeld: Das geht auf die Neufassung der VSA zurück, die im August 2018 publiziert wurde. Sie enthält neben der Kryptografie jetzt zehn weitere IT-Sicherheitsfunktionen, die eine Zulassung des betreffenden Produktes durch das BSI notwendig machen. Davon sind auch und gerade für Firewalls die Funktionen „Informationsflusskontrolle“ und „Netzwerktrennung“ von Bedeutung. Welches Ziel verfolgt die Zulassung zusätzlicher Produktfunktionen? Dr. Dirk Husfeld: Es geht schlicht um mehr Sicherheit. Nicht nur die Vertraulichkeit und Integrität verschlüsselter Daten wird geprüft, sondern auch der Schutz gegen Ausspähung und Sabotage interner Netze sowie Aspekte der Verfügbarkeit wichtiger Funktionen und die Protokollierung, auf deren Basis Cyber-Angriffe analysiert werden können. Die Implementierung der Produkte von genua musste dafür nicht angepasst werden, diese erfüllten bereits die aktuellen Anforderungen. Dr. Dirk Husfeld , Zertifizierung und Zulassung, genua GmbH Entsprachen die Firewall-Komponenten unserer Produkte bereits den Zulassungsanforderungen oder mussten sie noch angepasst werden? Dr. Dirk Husfeld: Die Implementierung der Produkte von genua musste dafür nicht angepasst werden, diese erfüllten bereits die aktuellen Anforderungen. Lediglich die Dokumentation gegenüber dem BSI musste erweitert werden, um die Erfüllung der neuen Anforderungen nachzuweisen. Was die Zukunft betrifft: Die Zeit steht nicht still, Anforderungen an die IT-Sicherheit ändern sich. Die Entwicklung der Produkte von genua geht weiter und wird dies auch zukünftig berücksichtigen. Oft wird die BSI-Zulassung mit einer BSI-Zertifizierung verwechselt. Wo liegt der Unterschied? Dr. Dirk Husfeld: Der wichtigste Unterschied für den Anwender: Im Rahmen einer BSI-Zertifizierung nach den Common Criteria definiert der Hersteller selbst, welche IT-Sicherheitseigenschaften sein Produkt auszeichnen. Der Kunde entscheidet dann, ob diese zu seinen Anforderungen passen. Bei einer Zulassung kennt das BSI das Anwendungsfeld und bestimmt, welche Eigenschaften das Produkt besitzen muss. Der Nachweisprozess, in dem festgestellt wird, ob das Produkt die behaupteten bzw. geforderten Eigenschaften tatsächlich besitzt, ist dann wieder vergleichbar. Danke für das Gespräch! Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Firewalls & Gateways Geheimschutz Öffentlicher Sektor Artikel teilen Weiterführende Links Firewall & VPN-Appliance genuscreen Zuverlässiger Schutz für Datentransfers und Netze High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Interviews 14.07.2025 Abhängigkeit reduzieren Digitale Souveränität in Deutschland und Europa Die Welt ist im Wandel: Die westliche Wertegemeinschaft verliert ihren Kompass, Vertrauen wird auf die Probe gestellt, bislang bewährte Partnerschaften stehen in Frage. In diesem Spannungsfeld gewinnt die eigene Souveränität an Bedeutung. Der Behörden Spiegel sprach mit Michael Barth, Abteilungsleiter Strategy bei genua GmbH, darüber, wie Deutschland und Europa ihre digitale Souveränität verbessern können – und welche Rolle heimische IT-Sicherheitsanbieter dabei spielen. Michael Barth, Abteilungsleiter Strategy bei genua GmbH: „Sowohl die Bundesrepublik Deutschland als auch die Europäische Union haben sich technologische Souveränität zur Steigerung der Wettbewerbsfähigkeit zum Ziel gesetzt.“ Behörden Spiegel: Aktuelle sicherheitspolitische Entwicklungen unterstreichen die steigende Bedeutung von digitaler Souveränität. Wie gut sind Deutschland und die Europäische Union hier aufgestellt? Michael Barth: Deutschland und die EU stehen vor Herausforderungen, um digitale Souveränität zu erreichen. Eine davon ist die zum Teil große Abhängigkeit von außereuropäischen Technologieanbietern zum Beispiel bei Prozessoren, Betriebssystemen und Cloud-Diensten. Mehrere Studien und auch die jüngsten kleinen Anfragen im Bundestag unterstreichen das. Doch es gibt Möglichkeiten, unmittelbar die eigene digitale Souveränität zu verbessern. Etwa, indem Behörden, KRITIS-Unternehmen und die geheimschutzbetreute Industrie für ihre digitale Sicherheit verstärkt Produkte heimischer IT-Security-Hersteller einsetzen. Anbieter wie die genua GmbH liefern Schlüsseltechnologien, die in Deutschland nach höchsten Qualitätsstandards entwickelt werden und über Zulassungen des Bundesamts für Sicherheit in der Informationstechnik verfügen. Damit lassen sich IT-Netzwerke auch dann zuverlässig absichern, wenn man bei einigen Technologien notgedrungen auf außereuropäische Anbieter zurückgreifen muss. Behörden Spiegel: Prozessoren, Betriebssysteme, Cloud-Dienste oder Kommunikationsinfrastrukturen: Ist es angesichts der Dominanz ausländischer Anbieter in diesen Bereichen überhaupt möglich, digitale Souveränität zu erreichen? Barth: Ja – allerdings führt eher ein Marathon als ein Sprint zum Ziel. Die Europäische Union bietet als großer Binnenmarkt mit einheitlicher Regulierung enorme Chancen, eigene Lösungen zu entwickeln und die Abhängigkeit von außereuropäischen Anbietern zu verringern. Ein Beispiel ist Gaia-X, also der Aufbau einer souveränen Dateninfrastruktur für Europa. Sowohl die Bundesrepublik Deutschland als auch die Europäische Union haben sich technologische Souveränität zur Steigerung der Wettbewerbsfähigkeit zum Ziel gesetzt. Vor dem Hintergrund der aktuellen sicherheitspolitischen Entwicklungen gilt es jetzt, von der Bekenntnispolitik zur Umsetzung zu kommen. Wichtig ist, im Blick zu behalten, was eine realistische Definition von digitaler Souveränität umfasst. Digitale Technologien – Hardware und Software – beruhen auf internationalen Standards. Die Herausbildung unterschiedlicher Technologiestacks, wie sie derzeit zwischen den USA und China stattfindet, widerspricht diesem Grundgedanken und kommt einer digitalen Abkopplung gleich – damit sind Risiken verbunden. Hier muss Europa seinen eigenen Weg finden, wenn wir in Punkto Digitalentwicklungen nicht weiter ins Hintertreffen geraten wollen. Dieser Weg wird nicht der einer europäischen Abkopplung sein. Europa kann auch selbst Standards setzen, sollte dies aber im Einklang mit der globalen IT-Entwicklung tun. Das bietet auch Chancen für größere Absatzmärkte. Zum Thema Dominanz: Es muss uns als Europa gelingen, partnerschaftlich im Austausch mit anderen Technologieregionen zu stehen, auch um von internationaler Innovation zu profitieren. Dazu müssen wir in der Lage sein, auf Augenhöhe mit anderen Nationen zu sprechen. Voraussetzung dafür ist eine Industriepolitik, die technologische Souveränität als sicherheitspolitisches Asset betrachtet. Dieser Weg wird nicht der einer europäischen Abkopplung sein. Europa kann auch selbst Standards setzen, sollte dies aber im Einklang mit der globalen IT-Entwicklung tun. Michael Barth , Abteilungsleiter Strategy bei genua GmbH Behörden Spiegel: Was muss geschehen, damit Deutschland und die EU mehr Unabhängigkeit im digitalen Raum erlangen? Strengere Regulierungen bzw. Vorschriften? Barth: Regulierungen wie NIS2 oder der CRA sind ein Mittel der Wahl seitens der Europäischen Union, um die Standards insgesamt anzuheben. Gleichzeitig wäre es eine Überlegung wert, wie wir bei den hohen Summen, die beispielsweise die öffentliche Verwaltung investiert, in der Beschaffung den Stellenwert von Vertrauenswürdigkeit, Verfügbarkeit und auch den Sekundärnutzen von Investitionen in nationale und europäische Innovationsfähigkeit zur Bewertung von Angeboten heranziehen könnten. Im Bereich des Geheimschutzes bietet das europäische Vergaberecht schon heute die Möglichkeit, den Kreis der Anbieter einzuschränken, was sich mit Blick auf aktuelle Entwicklungen auch durchaus als sinnvoll erweist. Gerade in solch sensiblen Bereichen sollte keine Abhängigkeit von potenziell nicht zu kontrollierenden Akteuren bestehen. Behörden Spiegel: Gibt es Schlüsseltechnologien, die auf mehr digitale Souveränität von Behörden und Unternehmen einzahlen? Und wie zukunftssicher sind diese? Barth: Ohne Frage zählen vertrauenswürdige IT-Sicherheitsprodukte zu den Schlüsselprodukten für mehr digitale Souveränität. Hier ist es wichtig, am Puls der Zeit zu bleiben. genua evaluiert daher mit seiner Forschungs- und Innovationsabteilung neuste Technologietrends und setzt sie sinnvoll in seinen Produkten ein. Anwender können so sicher sein, auch für zukünftige Herausforderungen gerüstet zu sein. Ein Beispiel dafür sind quantenresistente Schlüsselübertragungsverfahren in unseren Produkten, mit denen Nutzer bereits heute gegen Angriffe mit Quantencomputern von morgen gewappnet sind. Darüber hinaus trägt genua der hohen Nachfrage nach Cloud-Services Rechnung und entwickelt zunehmend virtualisierte Produkte, die virtuelle IT-Infrastrukturen auch in Cloud-Umgebungen absichern können. Auch die virtualisierten Produkte erfüllen höchste Anforderungen: So hat unsere genugate Virtual als erste und bislang einzige virtualisierte Firewall eine Zulassung des BSI erhalten. Künstliche Intelligenz ist eine weitere wichtige Technologie, die verstärkt in IT-Security-Produkten zum Einsatz kommt. Behörden Spiegel: Wie können die IT-Sicherheitsprodukte der genua GmbH Behörden dabei unterstützen, ihre digitale Souveränität zu verbessern? Barth: genua liefert mit BSI-zugelassenen Lösungen für VPN, Firewalling und Zero Trust Access eine solide, zuverlässige Basis für hochsichere Behördennetze. Als Unternehmen der Bundesdruckerei-Gruppe ist genua dem Staat verpflichtet und es erfolgt keine Einflussnahme durch Drittstaaten. genuas IT-Sicherheitslösungen werden in Deutschland nach höchsten Standards und etablierten Richtlinien wie Security by Design entwickelt, in Deutschland gefertigt und von Deutschland aus supportet. Dadurch sind wir als genua ein wichtiger Baustein für mehr digitale Souveränität bei Behörden. Der Beitrag ist im Original erschienen in: Behörden Spiegel , Ausgabe v. 25.03.2025 Mehr zum Thema Interview: Cyberresilienzgesetz ‒ darauf müssen Hersteller und Zulieferer achten Fachartikel: Mehr Sicherheit in der Software-Lieferkette Sind Sie bereit für NIS 2? Security by Design: Die Zukunft der Sicherheit Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Cyber Resilienz Artikel teilen Weiterführende Links IT-Sicherheitslösungen Zurück zur Übersicht

Interviews 27.02.2025 Telearbeit und externe Dienstleister in Behörden Sichere Arbeitsumgebungen in Behörden: Lösungen für Telearbeit und externe Dienstleister Dominik Kammerloher erklärt im "Behörden Spiegel" die Herausforderungen der digitalen Transformation für Behörden und wie eine Zero-Trust-Lösung wie genusphere den sicheren Fernzugriff auf Anwendungen und Daten ermöglicht. Die öffentliche Verwaltung muss ihre Arbeitsprozesse und -plätze an die Anforderungen der digitalen Transformation anpassen Die Arbeitsumgebung für Behörden hat sich in den letzten Jahren stark verändert. Durch die vermehrte Telearbeit und den Einsatz externer Dienstleister müssen Behörden sicherstellen, dass ihre IT-Systeme auch von außen zugänglich sind. Dies erhöht jedoch das Risiko von Cyber-Angriffen. Laut Dominik Kammerloher, Abteilungsleiter Strategy bei genua GmbH, müssen Behörden daher ihre IT-Sicherheitsarchitektur anpassen, um sicherzustellen, dass ihre Systeme und Daten geschützt sind. Eine Möglichkeit, dies zu erreichen, ist die Implementierung von Zero Trust Application Access (ZTAA). Diese Technologie ermöglicht es, Remote-Anwendern einen kontrollierten und identitätsbasierten Zugriff auf Ressourcen innerhalb des Netzwerks einer Organisation zu gewähren. ZTAA-Lösungen wie genusphere von genua setzen auf ein feingranulares Berechtigungsmanagement und ermöglichen es, Verbindungen zwischen Usern und Anwendungen anhand von Rollen und Geschäftsrichtlinien herzustellen. Der On-Premise-Betrieb einer solchen Lösung bietet Behörden die Möglichkeit, ihre Daten unter ihrer Kontrolle zu halten und nicht von externen Anbietern abhängig zu sein. ZTAA-Lösungen können auch mit VPN-Lösungen kombiniert werden, um den Zugriff auf IT-Systeme noch besser abzusichern. Durch die Implementierung von ZTAA können Behörden ihre IT-Sicherheit verbessern und ihre Daten vor Cyber-Angriffen schützen. Auszug aus dem Interview: Domink Kammerloher, Abteilungsleiter Strategy, genua GmbH Behörden Spiegel: Wie hat sich das Arbeitsumfeld für Behörden in den letzten Jahren verändert und welchen Einfluss hat das auf die IT-Sicherheitsarchitektur? Dominik Kammerloher : Auch Behörden sind direkt von den Entwicklungen der letzten Jahre betroffen. Auf der einen Seite nutzen viele Mitarbeitende ganz oder teilweise Telearbeitsangebote, sind also beispielsweise vom Homeoffice oder von unterwegs aus tätig. Auf der anderen Seite sehen wir, dass Behörden verstärkt mit externen Dienstleistern kooperieren und Services auslagern, die sie möglicherweise früher selbst bereitgestellt haben – oder neu implementieren. Das bedeutet, dass die Organisationen Remote-Zugriffsmöglichkeiten von außen auf Ressourcen in ihren Netzwerken bereitstellen müssen – und sich somit stärker im digitalen Raum exponieren. Das ist nicht ohne Risiko: Wenn der Zugang unzureichend abgesichert ist, können unter Umständen Cyberkriminelle, ausländische Dienste und deren Sympathisanten über diese Schwachstelle ins Netzwerk eindringen, sich lateral darin vorarbeiten und letztlich großen Schaden anrichten. Diesen potenziellen Angriffsvektor gilt es also auszuschalten. Hinzu kommt: Auch Behörden wollen zunehmend von den Vorteilen moderner Cloud-Umgebungen profitieren. Etwa, um Services bedarfsgerecht skalieren und so letztlich kosteneffizient nutzen zu können. All dies erhöht die Anforderungen an die IT-Sicherheitsarchitekturen. Behörden Spiegel: Welche Anforderungen stellen moderne Arbeitsumgebungen, User und Anwendungen an solche Remote-Zugriffslösungen? Kammerloher : Wichtig ist, dass die Lösungen einfach zu administrieren sind und für Endanwender möglichst transparent funktionieren. Am besten sollte der berechtigte Zugriff auf eine Anwendung ohne eine weitere Nutzeraktion möglich sein – also etwa ohne erneutes Anmelden und Authentifizieren für den Aufbau einer Remote-Verbindung. Darüber hinaus sollten die Lösungen auf möglichst vielen Endgeräten funktionieren. Denn auch das ist heute Realität: Remote-Anwender nutzen längst nicht mehr nur einen stationären Desktop-PC für ihre Tätigkeiten, sondern ein ganzes Spektrum von Geräten – vom Notebook über Tablets bis zum Smartphone. [...] Lesen Sie im vollständigen Interview mehr zu: Zero Trust Application Access und sicheren Verbindungen Ungesicherten Remote-Zugriffen und unzureichender Authentifizierung Sicheren IoT-Geräte durch regelmäßige Updates und sicheren Protokollen Das vollständige Interview ist im Januar 2025 im Behörden Spiegel erschienen. Zum Interview Mehr zum Thema New Work in Behörden: "Wir sorgen ganzheitlich für eine sichere VS-NfD-Infrastruktur" VS-NfD-Lösungen für hochsicheres und flexibles Arbeiten Remote Work in Behörden: "Vorreiter im VS-NfD-Umfeld konzentrieren sich auf drei Ziele" Das Zero Trust-Sicherheitsmodell – Schutz ohne Vertrauensvorschuss Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Mobiles Arbeiten Netzwerksicherheit Öffentlicher Sektor VPN Artikel teilen Weiterführende Links VPN Software Client genuconnect Hochsichere Anbindung von Windows Devices an interne Netze bis VS-NfD Zero Trust Application Access genusphere Sicherer, browserbasierter Zugriff auf freigegebene Applikationen Zurück zur Übersicht

Interviews 23.02.2022 Remote Work in Behörden „Vorreiter im VS-NfD-Umfeld konzentrieren sich auf drei Ziele“ Der Wechsel in den Remote-Betrieb erweist sich im VS-NfD-Umfeld als besondere „Feuerprobe“ für die IT-Organisation. Neben der Abwehr massiver Cyber-Attacken sind Defizite in der IT Governance und den Cyber-Security-Architekturen zu beheben. Arnold Krille, Abteilungsleiter Product Development cognitix bei genua, nennt Handlungsprioritäten. Foto: Arnold Krille, KI-Experte bei genua Herr Krille, wo sollten IT-Verantwortliche im VS-NfD -Umfeld ansetzen, um die mobilen Ökosysteme ihrer Organisation schnell und effektiv zu schützen? Arnold Krille: "Netzwerk" und "Nutzer" sind entscheidende Handlungsdimensionen. Beim Thema Netzwerk geht es darum, einen Überblick über die Infrastrukturen und Technologien zu gewinnen, der sowohl den Ist- als auch den Vergleich zum Soll-Zustand widerspiegelt. Ein zentrales Thema ist dabei die Anbindung der Nutzer über das Internet: Können dazu zentrale Services von einem Bundesdienstleister genutzt werden? Oder muss man selbst dafür sorgen? Im zweiten Fall ist zwar mehr Flexibilität möglich, aber auch von einem höheren Absicherungsaufwand auszugehen. Denn jede Anbindung an das Internet garantiert, ins Visier von Angreifern zu geraten. Neben der Funktionalität und Performance der Anschlussleistungen ist daher immer die technische Sicherheit zu berücksichtigen: Wie wählt man sich ein? Wie wird das System selbst vor Angriffen geschützt? Wie werden Einbrüche in die Infrastruktur verhindert? Zumal wir in der Regel von mehreren hundert oder mehr Nutzern sprechen, die ins Home Office wechseln oder VS-sichere Mobile Devices benötigen. Das ist schon rein organisatorisch ein gewaltiger Aufwand. Zusätzlich müssen rechtliche Rahmenbedingungen bei der Umsetzung beachtet werden – häufig existiert aber noch gar keine IT-Governance für den Remote-Ausbau. Was sorgt Ihrer Erfahrung nach in dieser Situation für Struktur und Klarheit? Arnold Krille: Hier kommt die Perspektive des Nutzers ins Spiel: Welche Devices, Programme, Zugänge benötigt er in welcher Gütequalität? Zum Beispiel sind bei einigen Remote-Lösungen im Öffentlichen Sektor Videokonferenzen noch immer nicht möglich. Für den Anwender sind sie aber wie alles, was Kollaboration und Austausch erleichtert, essenziell. Von diesem Bedarf her gedacht ist es schon mal etwas einfacher, die passenden, VS-konformen Endgeräte und Programme zu finden und zu überprüfen, ob die funktionalen mit den regulatorischen Anforderungen wie dem IT-Grundschutz übereinstimmen. Und sobald das erreicht ist, benötigen die Nutzer schon wieder ganz andere Dinge … Arnold Krille: Richtig, aber das sollte ja für die IT nichts Neues mehr sein. Schon in den Jahren vor der Pandemie galt „Velocity is king“, also PS auf die Straße zu bringen bei der Planung und Umsetzung von IT-Projekten in Taktung zu den Innovationszyklen der Geräte- und Softwarehersteller. Aber wie es so treffend heißt, bei den Zielsetzungen sicher, benutzbar und schnell eingeführt lassen sich immer nur zwei davon zugleich erreichen. Bei Usability und Sicherheit lief es also häufig auf eine Entweder-oder-Entscheidung hinaus: ein hochsicheres und schnell eingeführtes, dafür aber schwer bedienbares System – oder eben eine schnell implementierte, nutzerfreundliche Lösung mit hohem Risiko. „Velocity is king“ verschärft sich nun auch insofern, dass die Angreifer ebenfalls nach diesem Prinzip arbeiten und ihre Innovationszyklen verkürzen. Während der Pandemie ließ sich deutlich die „Industrialisierung“ von Cyber-Kriminalität beobachten – professionelle Hacker entwickeln immer ausgefeiltere Methoden und Tools, die auch semi-professionelle Akteure zu erfolgreichen Angriffen befähigen können. In der neuen Arbeitswelt gilt für die IT Security mehr denn je: velocity is king. Schließlich verkürzen auch die Angreifer ihre Zyklen bei der Entwicklung neuer Methoden und Tools. Arnold Krille Wie gehen Vorreiter im VS-NfD-Umfeld mit dieser Situation um? Arnold Krille: Sie konzentrieren sich auf die Umsetzung von drei Zielen: Erstens, die Mitarbeiter im Home Office oder mobil nach unterschiedlichen Sicherheitsszenarien an die internen Netze anbinden. Zweitens, dabei eine Security zu schaffen, die dem Anwender keine Steine in den Weg legt. Und drittens, das Ganze einfach skalierbar zu gestalten, so dass je nach Situation ein Großteil der Belegschaft schnell ins Home Office und wieder zurück an die Standorte wechseln kann. Vor allem aber unterschätzen sie nicht die Risiken, die jedes einzelne Home Office mit sich bringt. Es ist eben nicht damit getan, ein VPN (Virtual Private Network) einzurichten und mit Basics abzusichern. Denn die physischen Absicherungen, die am Standort zusätzlich schützen – gesicherte Serverräume, abschließbare Bürotüren, im Eingangsbereich Kameras, zuweilen sogar Pförtner – fallen schließlich im Home Office komplett weg. Organisationen mit einem hohen IT-Security-Reifegrad verstehen sich zuweilen als „virtuelle Behörde“ mit nicht fünf, sondern eben fünfhundert oder mehr Standorten. Und entsprechend intensivieren sie den Schutz der Zugänge in das Behördennetz vom Home Office ihrer Mitarbeiter aus, aber auch von allen Stufen der Kommunikation innerhalb des Behördennetzwerks. Organisationen mit hohem IT-Security-Reifegrad verstehen sich als ‚virtuelle Behörde‘. Jedes Home Office wird wie jeder Standort nach höchsten Maßstäben geschützt. Arnold Krille Welche Vorgaben des IT-Grundschutzes sind für ein VS-NfD-konformes Remote-Working zu berücksichtigen? Arnold Krille: Unabhängig vom Remote-Arbeiten gibt der IT-Grundschutz vor, mindestens an den neuralgischen Punkten in den Organisationsnetzen mit einer Anomalie- oder Angriffserkennung genauer hinzuschauen. Mit dem Wechsel der Mitarbeiter in den Remote-Betrieb wird nun der VPN-Knoten zu eben einem solchen Punkt. Nicht nur, weil dieser von außen angreifbar ist. Sondern auch, da sich die Arbeitsabläufe und die Kommunikation innerhalb der Behörde verändern und nun über diese Punkte stattfinden. Es geht also sowohl um die Absicherung der Technologie- als auch der Prozessinfrastruktur. Das macht die Situation zusätzlich brisant. Denn diese Kombination ist eine komplett neue Herausforderung für die IT, die sich in keiner Richtlinie mustergültig abbilden lässt. Mit welchen Maßnahmen helfen Systeme zur Anomalie- bzw. Angriffserkennung weiter? Arnold Krille: Das hängt vom Angriffsszenario ab. Ein klassisches Beispiel ist die E-Mail von einem vermeintlich bekannten Absender mit einem infizierten Attachement. Klickt der Nutzer das Attachment an, gewährt er dem Angreifer quasi einen internen Zugriff auf Ressourcen, was erst mal überhaupt nicht formal restriktiv behandelt wird. Wenn eine solche Infektion dann beginnt, um sich zu greifen, braucht es in der Regel Tage, Wochen und Monate, bis der Angriff erkannt wird. Genau dort setzen Detektion-Maßnahmen an. Der cognitix Threat Defender könnte hier schon im ersten Schritt eingreifen, also die Anomalie erkennen, einen IT-Sicherheitsverantwortlichen darauf hinweisen oder Abwehrmaßnahmen einleiten. Dabei lässt sich die Reaktion auf das Kommunikationsverhaltens des Endnutzers so modellieren, dass der Administrator rechtzeitig informiert wird und passende Maßnahmen einleiten kann, ihm aber nicht durch Fehlalarme bei der Arbeit Hindernisse in den Weg gelegt werden. Wir empfehlen hierbei, ein vernünftiges Niveau an Prävention nach Stand der Technik der Organisation anzustreben – aber auch zu berücksichtigen, dass es keine hundertprozentige Sicherheit gibt. Inwiefern unterscheidet sich der cognitix Threat Defender von IDS-Systemen? Arnold Krille: Ein Grundproblem von IDS-Systemen ist, dass sie durch das Rauschen im Netzwerk und die Vielfalt und Qualität der Erkennungsregeln so viele Anomalien erkennen, dass man mehr Personalstellen dafür braucht, um sie zu bedienen. Das liegt unter anderem auch daran, dass meist nur auf bestimmte Patterns in einzelnen Datenströmen geschaut werden kann. Es geht heutzutage aber weniger darum zu sagen: "Erkenne alles, was verdächtig sein könnte". Sondern darum, verdächtige Einzelsignale mit dem gesamten Verhalten von Geräten zu korrelieren und eine gewisse Line of Defence, also individuelle Schwellwerte zu definieren, bei denen man tätig werden will. Und eben hier kommt der cognitix Threat Defender ins Spiel. Erkennt das Tool zum Beispiel, dass eine Signatur für den neuesten Windows Exploit und den chinesischen Hackern auf einen Linux-Server auftrifft, muss es niemanden alarmieren. Mit cognitix Thread Defender lässt sich definieren, ab wann ein abnormales Verhalten wirklich als bedenklich einzustufen ist. Arnold Krille Wenn aber 20 Clients hintereinander dieses Paket bekommen haben und dann plötzlich anfangen, unerwarteten Datenverkehr auszuspucken, ist das etwas, wozu es einen Alarm auslöst. Das ist der Charme der Lösung: Einerseits werden Treshholds definiert, ab wann ein abnormales Verhalten wirklich als bedenklich einzustufen ist. Andererseits hilft die „Last Line of Defense“ immens. Etwa, wenn man feststellt, dass ein Nutzer am Freitagabend beginnt, Kommunikation zu allen Servern zu etablieren. Und dann plötzlich anfängt, am Wochenende auf Dienste zuzugreifen, die er nie vorher benutzt hat. Da wird es sich entweder um einen sehr engagierten Mitarbeiter handeln – oder doch eher um einen unerwünschten Gast im System. Was geschieht im Falle eines Angriffes? Arnold Krille: Zuerst einmal gilt es zu verifizieren, um was es sich bei einer solchen Anomalie überhaupt handelt. Dazu braucht der Administrator einen möglichst vollständigen Überblick über die Situation. Mit den richtigen Einblicken und dem passenden Kontext kann dann entschieden werden, ob es sich um einen Angriff, eine Störung der Betriebsabläufe oder nur um ungewöhnliches, aber legitimes Verhalten eines Mitarbeiters handelt. Währenddessen kann der cognitx Threat Defender schon erste Reaktionen einleiten. Je nach Risikoverständnis der Organisation können das erste Isolationsmaßnahmen sein, wobei das betroffene Gerät in seiner Kommunikation eingeschränkt bis gänzlich isoliert wird. Es kann aber auch eine abgestufte Reaktion sein. In diesem Fall sind geschäftskritische Vorgänge weiterhin vollständig erlaubt. Aber die sonstige Kommunikation wird gedrosselt und somit ein potenzieller Angreifer in seinem Vorgehen gebremst, ohne dass es sich negativ auf die Geschäftsprozesse auswirkt. Dieses Vorgehen verschafft Mensch und Maschine Zeit, um weitere Informationen zu sammeln, die Anomalie mit Kontextinformationen zu verifizieren und in Ruhe die richtige Reaktion zu planen. Damit verhindert man frühzeitige Geschäftsunterbrechungen durch False Positives – aber auch, dass die Angreifer realisieren, dass sie bereits entdeckt wurden. Es ist häufig besser, den Angreifer noch etwas beobachten zu können um nachzuvollziehen, was er tut, was er getan hat und was sein mutmaßliches Ziel ist. Denn je besser sich die Motivation eines Angreifers nachvollziehen lässt, desto besser kann die Reaktion auf den Angriff erfolgen, sowohl bei der Bekämpfung des Angreifers, als auch nach dessen Entfernung aus dem Netzwerk bei der Wiederherstellung des ordentlichen Geschäftsbetriebes. Mehr zum Thema Mobile VS-NfD-Kommunikation: Mit AI Cyberangriffe von innen und außen abwehren Remote Work für VS-NfD: „Wir sorgen ganzheitlich für eine sichere Infrastruktur“ Risiko Remote Work: IT-Sicherheit im Home Office Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor Geheimschutz Mobiles Arbeiten Home Office Artikel teilen Weiterführende Links VPN Software Client genuconnect Hochsichere Anbindung von Windows Devices an interne Netze bis VS-NfD IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Interviews 04.06.2021 Industrielle Kommunikation So sicher ist OPC UA aus Sicht von IT-Security-Experten Wie bewerten IT-Security-Experten die Vernetzung von Maschinen und Anlagen mit OPC UA? Eignet sich OPC UA auch für kritische Infrastrukturen (KRITIS) und sensible Anlagensegmente? Steve Schoner, Produkt Marketing Manager und Markus Maier, Product Owner für Industrieprodukte bei genua, erklären, wie die Industrie den Zielkonflikt zwischen Digitalisierung und Safety lösen kann. Markus Maier, Product Owner für Industrial-Security-Lösungen, genua GmbH Markus, Steve, warum ist das Thema OPC UA für die Industrie 4.0 so wichtig? Markus Maier: OPC UA ist das Industrieprotokoll der Zukunft, zumindest für den deutschen und europäischen Markt. Als offener, plattformunabhängiger Kommunikationsstandard ist er unabhängig von der Übertragungsschicht, ob TCP IP oder echtzeitfähige Protokolle wie TSN. Und er funktioniert auf kleinen Controllern ebenso wie auf Enterprise Servern. Das gilt nicht nur für den Informationsaustausch, sondern auch für Dienste, die Geräte bereitstellen. Damit ist standardisiert, wie Geräte miteinander kommunizieren. Steve Schoner: Industrie 4.0 und Digitalisierung erfordern eine starke Vernetzung und OPC UA ermöglicht genau das. Statt proprietäre herstellerspezifische Protokolle über industrielle Netzgrenzen hinweg umzuwandeln und sich damit beschäftigen zu müssen, wie Daten in Netzwerken oder Anwendungsschichten ausgetauscht werden, kann mit OPC UA ein einziges Protokoll verwendet werden, vom Sensor bis in die Cloud. Ich kann mit OPC UA einen Großteil der horizontalen und vertikalen Ebenen abbilden. Wir von genua begreifen uns als unabhängige IT-Security-Experten. Deshalb unterstützen wir OPC UA als ein führendes Standardprotokoll. Mit OPC UA ist der Kunde nicht auf einen Anbieter festgelegt, den er an einem Ebenenübergang in der Automatisierungspyramide wählen muss. Er kann auf beliebige Diensteanbieter zurückgreifen. Könnt ihr ein Beispiel für Dienste nennen, die in der Industrie 4.0 typischerweise eingebunden werden? Markus Maier: Zum einen sind das klassische Netzwerkdienste, z. B. für die Gerätediagnose. Es gibt auch gerätespezifische Gruppen, so genannte Companion Specifications, mittels derer z.B. standardisiert wird, welche Dienste ein Roboter anbietet. Hersteller bestimmter Geräte- oder Maschinenkategorien schließen sich dafür zusammen und entwickeln eigene Erweiterungen des OPC-UA-Standards. Video: OPC UA sicher implementieren Im Video erklärt Product Owner Markus Maier, welche Sicherheitsmechanismen OPC UA mitbringt und zeigt, wie sich OPC UA sicher einsetzen lässt. Welche grundlegenden Fragen stellen sich aus Sicht der IT Security, wenn ein sicheres Netzwerk für die Industrie 4.0 aufgebaut werden soll? Steve Schoner: Zunächst sollte man sich im Klaren sein, welche Assets sich im Netz befinden, das vielleicht im Laufe der Jahre organisch gewachsen ist und nicht immer umfassend dokumentiert wurde. Um diese Frage zu beantworten, kann unser cognitix Threat Defender helfen, indem er per Asset Detection bzw. Asset Tracking analysiert, welche Sender und Empfänger miteinander kommunizieren. Weiter wichtige Fragen sind: Wie soll das Netz strukturiert werden? Wie kann man sicher vernetzen? Will man überhaupt alles miteinander vernetzen? Wie bewertet Ihr als IT-Security-Experten die Vernetzung von Maschinen und Anlagen mit OPC UA? Ist das in erster Linie nützlich oder riskant? Markus Maier: Unter dem Aspekt der Vernetzung und Digitalisierung ist der Standard für die Industrie auf jeden Fall nützlich. Das Thema Sicherheit spielt natürlich eine elementare Rolle. IT Security ist Teil des OPC UA-Standards, hierfür wurde eigens ein Security Layer spezifiziert. Dieser legt Mechanismen fest, wie sich Dienste oder Geräte authentifizieren, Daten verschlüsselt werden und deren Authentifizierung gewährleistet ist. Er ermöglicht zudem abgesicherte Sitzungen zwischen einem OPC UA Client und Server und bietet Auditierungsdienste an, im Sinne von "Wann hat welches Gerät bzw. welcher Client, Server oder User bestimmte Dienste in Anspruch genommen". OPC UA definiert außerdem ein Informationsmodell, wie auf Daten strukturiert zugegriffen werden kann, z. B. auf Maschinendaten, Maschinenzustände oder Alarme. Hierfür existiert ein eigenes Datenmodell vorhanden. Somit ist auch die Interpretation der Daten standardisiert. Steve Schoner, Produkt Marketing Manager, genua GmbH Steve Schoner: Das OPC UA-Protokoll gewährleistet damit in der Tat Sicherheit. Es definiert einheitliche Schnittstellen, wie man auf Daten und Anwendungen zugreift. Markus Maier: Man muss aber auch sehen, dass man von der Sicherheit der Implementierung des OPC-UA-Protokolls oder Stacks abhängig ist. Mit dem jeweiligen Stack handelt man sich auch dessen Schwachstellen ein. Wer diese Risiken ausschließen will, sollte über ergänzende Sicherheitslösungen wie unsere hochsichere cyber-diode nachdenken. Sie erlaubt per sé nur eine unidirektionale Kommunikation, z. B. um Daten aus sensiblen Industrieanlagen in aus IT-Security-Sicht unsichere Umgebungen wie das Internet oder eine Cloud auszuleiten. Selbst wenn der OPC UA Stack aufgrund von Schwachstellen kompromittiert wird, schlägt sich das nicht auf die Integrität der Industrieanlage nieder. Angreifer haben in keinem Fall Zugriff auf die Maschinen oder Anlagen. Wir liefern zudem einen verschlüsselten Datenkanal via IPsec aus dem Geheimschutz mit, unabhängig von der OPC UA-Verschlüsselung. Heißt das, dass OPC UA zwar die Kommunikation in industriellen Netzwerken deutlich vereinfacht, aber mit Blick auf die IT-Sicherheit das Risiko für eine Kompromittierung erhöht? Markus Maier: So kann man das nicht sagen. Der OPC UA-Standard adressiert durchaus den Aspekt der IT Security und hat wie bereits erläutert einen integrierten Security Layer zur Authentifizierung und Verschlüsselung im Design berücksichtigt. Das Problem ist, dass der Anwender von der Implementierung des OPC UA Stacks des jeweiligen Herstellers abhängig ist. Dieses schwer abzuschätzende Sicherheitsrisiko lässt sich durch unsere Lösungen sehr gut abfangen, z. B. mittels Netzwerksegmentierung oder einer strikten Netztrennung zwischen sensiblen und unsicheren Bereichen. Mit der Industrial Firewall genuwall stehen Kunden Segmentierung, Authentifizierung und Autorisierung zur Verfügung, um zu prüfen, ob ein Nutzer oder eine Maschine autorisiert ist, einen bestimmten OPC UA-Serverdienst zu nutzen. Und die Datendiode cyber-diode trennt hochkritische Netzwerke, in denen Standard-Firewalls keinen ausreichenden Schutz bieten, strikt ab. Sie bietet einen zuverlässigen Kommunikationskanal ins Internet, ohne sich von außen angreifbar zu machen. genua ist IT-Security-Spezialist. Welche Expertise kann das Unternehmen für die Industrie 4.0 beitragen? Steve Schoner: Wenn alles mit allem vernetzt ist, stellt sich die Frage, wie man einzelne Segmente wirkungsvoll absichert. Das ist der Bereich, in dem genua seine Expertise hat. Unsere Lösungen sichern Domänen- und Segmentübergänge. Was unsere Produkte von denen anderer IT-Security-Anbieter unterscheidet, ist, dass wir nicht nur Stateful Firewalls anbieten, sondern auch einen OPC UA-Applikationsfilter haben, der Berechtigungslagen abfragt, z. B. ob jemand eine Nachricht an ein bestimmtes Zielsystem schicken darf. Wir können Netzwerksegmentierung nicht nur auf TCP/IP Level wie klassische Firewalls sondern auch auf Anwendungsebene. Darüber hinaus ermöglichen wir auch Edge Computing, d. h. die Datenvorverarbeitung und Analyse auf einer sicheren Plattform mit flexiblen Docker-Apps im eigenen Netz, bevor diese zur weiteren Verarbeitung vertikal ausgeleitet werden. Warum OPC UA? Open Platform Communications Unified Architecture , kurz OPC UA , ist ein hersteller- und plattformunabhängiger Standard für die industrielle Kommunikation im Kontext von Industrie 4.0. Er ermöglicht den Zugriff auf Daten und Anwendungen in vertikaler Richtung, also von Maschinen oder Feldgeräten bis in die Cloud, sowie auf horizontaler Ebene, von Maschine zu Maschine (M2M). Der offene Kommunikationsstandard ist unabhängig vom Betriebssystem, von der Anwendung und der Programmsprache. Das erlaubt eine gesicherte Kommunikation direkt im Protokoll und ohne zusätzliche Hardware. Die Bandbreite erstreckt sich von auf Geräten, Maschinen oder Anlagen integrierten OPC-UA-Komponenten bis hin zu Enterprise Servern. OPC UA integriert zudem Sicherheitsmechanismen zur Verschlüsselung, Signierung und Authentifizierung. Damit bietet OPC UA gute Voraussetzungen für die erfolgreiche Vernetzung und Digitalisierung der Industrie. Wem gehört OPC UA? Der hersteller- und plattformunabhängige Standard wurde von der 1996 gegründeten OPC Foundation entwickelt. Die OPC Foundation ist eine globale gemeinnützige Organisation mit mehr als 450 Mitgliedern aus allen Industriebereichen, darunter seit Kurzem auch genua. Sie arbeitet eng mit Anwendern und Herstellern zusammen, um den offenen Standard OPC UA laufend weiterzuentwickeln und an die Marktbedürfnisse anzupassen. Wie sicher ist OPC UA? Durch die Vernetzung von Geräten, Maschinen und Anlagen ergeben sich grundsätzliche Sicherheitsrisiken. Daher wurde der Aspekt der IT-Security als Teil des OPC UA-Standards mitgedacht. Ein integrierter Security Layer zur Authentifizierung und Verschlüsselung ist im Design berücksichtigt. In der Praxis ist der Anwender allerdings von der Qualität der Implementierung des jeweiligen Herstellers abhängig. Für sensible Anlagen und Netzsegmente können daher ergänzende Sicherheitslösungen sinnvoll sein. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Industrie 4.0 Artikel teilen Weiterführende Links Industrial Firewall genuwall Starker Schutz für Produktionsnetze Datendiode cyber-diode Hochsicheres Industrial Monitoring Zurück zur Übersicht

Interviews 07.04.2020 Das Ziel ist Kryptoagilität Quantencomputer könnten bereits in einigen Jahren praxistauglich sein. Für die Sicherheitsmechanismen derzeitiger Kryptoverfahren ist das ein ernstzunehmendes Risikoszenario. Denn ein wirksamer Schutz digitaler Infrastrukturen vor der neuartigen Rechenfähigkeit von Quantenchips ist nur dann möglich, wenn die IT Security mit dieser Entwicklung Schritt hält. Kryptoagilität Für Orientierung sorgen die Handlungsempfehlungen „Migration zu Post-Quanten-Kryptografie“ des Bundesamts für Sicherheit in der Informationstechnik (BSI). genua hat den darin beschriebenen Standard für Hash-basierte Signaturen mitentwickelt und selbst bereits vollständig umgesetzt. Welche Aspekte für die IT-Sicherheit bei Behörden und Unternehmen besonders wichtig sind, schildert Alexander von Gernler, Forschungsleiter bei genua, im Interview. Herr von Gernler, das BSI sieht akuten Handlungsbedarf für kryptografische Anwendungen, die Informationen mit langen Geheimhaltungsfristen und hohem Schutzbedarf verarbeiten. Was bedeutet das konkret für Unternehmen oder Behörden? Alexander von Gernler: Zuerst einmal bedeutet es, das Thema richtig einzuordnen – und zwar als Weckruf. Jetzt ist der richtige Zeitpunkt, die Kryptoverfahren zu überprüfen, die in der eigenen Institution verwendet werden. Allerdings entwickeln bzw. wenden die wenigsten Unternehmen dieses spezielle technologische Know-how in Eigenregie an. Meist geht es ja darum, die eingesetzte Software auf Post-Quanten-Sicherheit zu überprüfen. Was wiederum in der Regel bedeutet, den beauftragten IT-Dienstleister oder -Hersteller zu dem Thema zu befragen. Alexander von Gernler, Forschungsleiter genua GmbH Wichtig ist hierbei eine Zusicherung, dass der Dienstleister die Handlungsempfehlungen des BSI kennt und dass seine Produkte in dieser Hinsicht Post-Quanten-sicher sind. Ist dies nicht der Fall, sollte man den Dienstleister auf eine Frist verpflichten, innerhalb derer mit der Konformität zu rechnen ist. Nicht alle Punkte der Handlungsempfehlung können heute bereits umgesetzt werden, da noch bestimmte Untersuchungen ausstehen. Aber bei den heute schon möglichen Punkten sollte es keine Ausreden geben. Welcher Zeitraum ist realistisch? Vielen Unternehmen wird diese Einschätzung schwerfallen, gerade wenn Quantencomputer als eine technologische Option, aber nicht als Gewissheit wahrgenommen werden ... Alexander von Gernler: Natürlich kann sich nicht jedes Unternehmen mit dem Thema beschäftigen. Aber spätestens ab dem Punkt, an dem die IT-Sicherheit dem kritischen Blick eines professionellen Compliance- und Risikomanagements standhalten muss, wird die Auseinandersetzung mit Post-Quanten-Kryptografie unumgänglich. Behörden und Unternehmen mit hohem Schutzbedarf sind hier die Vorreiter. Dort sollte die Konformitätsfrist für Dienstleister für die heute möglichen Maßnahmen nicht länger als sechs bis acht Monate betragen. Aber auch viele andere Unternehmen überprüfen ihre Dienstleister hierzu bereits explizit. Das ist zumindest die Beobachtung unseres Forscherteams, welches sich seit Jahren intensiv mit Post-Quanten-Kryptografie beschäftigt und dadurch entsprechend eng mit den relevanten IT-Sicherheitsexperten und Kryptologen – sowohl in Deutschland als auch international – vernetzt ist. Gibt es Ansatzpunkte, die Sie bei dieser Überprüfung besonders empfehlen? Alexander von Gernler: Zuerst einmal halte ich alle Empfehlungen des BSI für geeignet. Sie sind der Situation vollkommen angemessen und decken sich mit unseren eigenen Erkenntnissen aus zwei Forschungsprojekten. Über das BSI-Paper hinaus betrachtet sollten sich IT-Sicherheitsexperten auch mit dem Thema „Post-Quanten-VPN“ befassen. Wir bearbeiten das beispielsweise als Forschungsprojekt mit dem Titel „QuaSiModO“ (Quanten-Sichere VPN-Module und -Operationsmodi). Worum geht es in diesem Projekt? Alexander von Gernler: Wir wollen als erster deutscher Hersteller ein voll funktionsfähiges und gegen Quantencomputer-Angriffe abgesichertes VPN in Produktionsqualität und mit ausreichender Leistung anbieten. Exakt das verlangen auch unsere Kunden im Hochsicherheitsumfeld von uns. Im Forschungsprojekt untersuchen und testen wir daher neuartige, quantenresistente Algorithmen und setzen diese in VPN-Standards sowie VPN-Implementationen um, entwickeln also umfassende Schutzmechanismen gegen das Angriffspotenzial von Quantencomputern. Denn diese können die Einzelbausteine heutiger Kryptoverfahren unterschiedlich stark beschädigen: zwar lässt sich die derzeit genutzte symmetrische Verschlüsselung durch die Verwendung längerer Schlüssel noch retten, die heutige Public-Key-Kryptografie und die heutigen Schlüsselaustauschverfahren jedoch nicht. Zum Bau einer VPN-Lösung, wie sie auch genua anbietet, benötigt man jedoch alle drei Bausteine in einem funktionierenden und Quanten-resistenten Zustand. Das klingt nach einer spannenden Schnittstelle zwischen Forschung und Praxis – welche besondere Entwicklung beobachten Sie dort aktuell? Alexander von Gernler: Es gibt einen gemeinsamen Leitstern: Das Ziel ist Kryptoagilität. Hier geht es erneut um die zu Anfang geschilderte Notwendigkeit, Dienstleister in die Pflicht zu nehmen, die Prozesskette in der IT Security genau zu verstehen und frühzeitig eine Resilienz zu entwickeln, die im Krisenfall schützt. Entdeckt etwa die Fachcommunity, dass ein Kryptoverfahren unsicher ist, sollte der Dienstleister beim Update einen reibungslosen Übergang in puncto Funktionalität gewährleisten. Ein gutes Beispiel aus unserer Forschung sind die Feldlängen in den heutigen Internet-Protokollen: An vielen Stellen ist genau so viel Platz gelassen worden, dass man die Schlüssel heutiger Verfahren wie RSA oder Diffie-Hellman dort gut unterbringen kann. Die deutlich aufwendigeren Post-Quanten-Verfahren brauchen aber mehr Platz und passen dort nicht so einfach hinein. Wir werden also im Forschungsprojekt auch ein paar Vorschläge entwickeln müssen, Protokoll-Standards an die neue Situation anzupassen. So etwas ist aufwendig, benötigt Zeit und erfordert außerdem Expertise. Glücklicherweise haben wir bei genua damit schon vor Längerem angefangen. Besteht hier ebenfalls ein Bezug zu den Handlungsempfehlungen des BSI? Alexander von Gernler: Ja – ein weiterer wichtiger Punkt sind sichere Firmware Updates mittels sogenannter Hash-basierter Signaturen. genua hat den vom BSI in den Handlungsempfehlungen zitierten Standard XMSS (RFC 8391) selbst mit entwickelt und als Hersteller bereits voll umgesetzt. Wann immer Sie also auf einem Produkt von genua ein Update einspielen, können Sie sicher sein, dass es auch von einem Angreifer mit einem Quantencomputer nicht manipuliert hätte werden können. Und wenn Sie als unser Kunde von der Umstellung, die wir schon vor einiger Zeit durchgeführt haben, gar nichts mitbekommen haben – genau das macht eben auch Kryptoagilität aus! Auf genau diese Beweglichkeit hin trimmen wir unsere Produkte ganz bewusst. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Cyber Resilienz Artikel teilen Zurück zur Übersicht

Interviews 08.02.2022 New Work in Behörden „Wir sorgen ganzheitlich für eine sichere VS-NfD-Infrastruktur“ Praktikable und zugleich hochsichere Remote-Arbeitsumgebungen für als VS-NfD eingestufte Kommunikation aufzubauen, stellt eine besonders anspruchsvolle Aufgabe dar. Woran IT-Verantwortliche denken müssen, wie sie die neue Komplexität beherrschen und wie sich sichere, stabile Infrastrukturen effizient aufbauen lassen, erklärt Dominik Kammerloher, Strategic Sales Manager bei genua. Remote Work für VS-NfD: „Das Ziel ist eine schlüsselfertige, hochperformante IT-Security-Infrastruktur.“ Herr Kammerloher, vor welchen Herausforderungen stehen IT-Sicherheitsverantwortliche im VS-NfD-Umfeld derzeit? Dominik Kammerloher: An erster Stelle sehe ich die hohen Bedarfe in den Organisationen hinsichtlich Home Office und Telearbeit. Vor der COVID-19-Pandemie war das Arbeiten von unterwegs oder daheim bei Behörden und im Geheimschutzbereich eher eine Ausnahme. Insofern besteht nach wie vor ein enormer Aufholbedarf, für mehrere hundert oder gar tausend Mitarbeiter Remote-Kapazitäten zu schaffen. An dieser Stelle wird häufig die zweite große Herausforderung spürbar, der Ressourcenengpass in den Teams. Aber es gibt einen dritten Punkt, der häufig zu spät berücksichtigt wird: über die IT-Perspektive hinaus die vielfältigen Anforderungen auf organisatorischer, technologischer und rechtlicher Ebene im Blick zu haben, die das „ Remote Work “ mit sich bringt. Und ihre Zusammenhänge zu verstehen. Zwar können Technologien zum Beispiel bei der Überwachung der Infrastrukturen für Entlastung sorgen. Das darf aber nicht losgelöst von anderen Sicherheitsaspekten vorangetrieben werden. Wie verändert dieser Perspektivenwechsel den Aufgabenbereich der IT Security? Dominik Kammerloher: Ein gutes Beispiel ist der dienstliche Laptop, der bislang für den Einsatz in unterschiedlichen Standorten, aber nicht für das Home Office vorgesehen war. Jeglicher Austausch mit der Dienststelle, sei es über Videokonferenzen, E-Mail oder interne Arbeitsprogramme, muss die VS-NfD-Sicherheitskriterien erfüllen. Bereits hier stellen sich eine Menge neuer, wichtiger Fragen: Sollte man die Geräte nachrüsten? Oder besser gleich neue Hardware einkaufen, da nun ohnehin viele Mitarbeiter für die Arbeit im Home-Office-Einsatz neu ausgerüstet werden müssen? Wie erweitert man das Netzwerk der Organisation technisch so, dass es den geschützten Zugriff einer drei- oder vierstelligen Zahl neuer Geräte abbilden kann? Entspricht die VPN-Verbindung im Home Office der Mitarbeiter den rechtlichen Vorgaben der Behörde? Remote Work erfordert von der IT Security, technologische Lösungswege auf organisationale und rechtliche Rahmenbedingungen abzustimmen. Dominik Kammerloher Dabei haben wir noch gar nicht über die Mitarbeiter selbst gesprochen, deren Arbeitsabläufe sich erheblich verändern. Dies wirft weitere sicherheitsrelevante Fragen auf: Was geschieht mit dem Laptop nach Dienstschluss? Wie funktionieren User-Support und Softwareupdates per Fernzugriff der IT-Abteilung? Für die IT und IT Security verschärft sich das genannte Kapazitätsproblem damit natürlich zusätzlich. Außerdem sind rechtliche Vorgaben wie der IT-Grundschutz und VS-NfD-Richtlinien zu beachten … Dominik Kammerloher: So ist es. Allerdings sind diese als Orientierungsrahmen zu verstehen, um aktiv zu werden. Sie enthalten keinen Blueprint für das ideale mobile VS-NfD-System. Dessen Gestaltung hängt auch vom technologischen und prozessualen Reifegrade der Organisation ab. Erschwerend kommt hinzu, dass die gesetzlichen Vorgaben nicht immer deckungsgleich sind. Zum Beispiel unterscheiden sich die Vorgaben des Bundes für seine eigenen Behörden von denen, die ein Land seinen Behörden zum VS-Schutz macht. Im Falle geheimschutzbetreuter Unternehmen können Wirtschaftsministerien mit zusätzlichen eigenen Vorgaben eine weitere Rolle spielen. Als adäquate IT-Security-Technologie hat das BSI übrigens schon vor längerer Zeit den Einsatz von Detection-Systemen empfohlen. Aber einerseits sind diese Systeme rein technisch sehr komplex strukturiert und daher schwierig zu implementieren. Und andererseits ist nicht klar, wie die Behörde bzw. die IT-Verantwortlichen konkret vorgehen müssten. Neben dem IT-Grundschutz gibt es schließlich noch eine Zulassungsanforderung und Anschlusspflichten für die Regierungsnetze. Die Menge der Vorgaben kann die Entwicklung einer IT-Sicherheitsstrategie für Remote Work eher erschweren als unterstützen. Wie sollte man mit dieser Situation umgehen? Dominik Kammerloher: „Slice the elephant“ – die Komplexität in kleine Teilprobleme zu zerlegen und somit Schritt für Schritt aufzulösen, ist unserer Erfahrung nach fast immer die richtige Vorgehensweise. Also z.B. je Prozess, System, Verantwortlichkeit herunterbrechen: Was ist die konkrete Konsequenz der Verordnung oder des Gesetzes in der praktischen Umsetzung? Etwa eben beim Einsatz der Dienstlaptops im Home Office. Das hilft, um als Grundlage ein eigenes Bild zu skizzieren, in welchen Handlungsfeldern man mit welcher Priorität aktiv werden sollte. Hier wird man recht schnell feststellen, dass es wie gesagt nicht nur um IT-Lösungen geht, sondern zusätzliche Expertise zu Compliance-, Risk-, Prozess- und weiteren sicherheitsrelevanten Themen notwendig ist. Dazu braucht man Partner, die diese Themengebiete inhaltlich beherrschen. Nur so lässt sich letztendlich eine schlüsselfertige, bedarfsgerechte Lösung entwickeln. Slice the elephant! Wer die Komplexität rechtlicher Vorgaben in kleine Teilprobleme zerlegt erkennt schneller, was mit welcher Priorität zu tun ist, um die Vorgaben zu erfüllen. Dominik Kammerloher Inwiefern unterstützt genua dabei, sichere und stabile VS-NfD-Arbeitsprozesse im Remote Work aufzubauen? Dominik Kammerloher: Wir sorgen ganzheitlich für eine sichere Infrastruktur. Das bedeutet, dass wir eben nicht nur IT Security Tools liefern, sondern unsere Kunden dabei unterstützen, ein sicheres Telearbeit Service System nach ihrer individuellen Anforderungslage zu konzipieren und zu realisieren. Unser Anspruch ist, eine schlüsselfertige, hochperformante Infrastruktur zu übergegeben. Die hohe Leistungsfähigkeit hat für uns sowohl beim Schutz der Daten als auch bei der Anwendungsfreundlichkeit der Security Tools oberste Priorität. Dabei bringen wir neben technologischer Expertise – zum Beispiel zum Netzwerkaufbau und VPN Verschlüsselung – unsere Erfahrungen aus vielen VS-NfD-Projekten bei staatlichen Institutionen und Unternehmen im Geheimschutzbereich mit ein, wie Compliance-Anforderungen rechtssicher erfüllt werden. Mehr zum Thema Mobile VS-NfD-Kommunikation: Mit AI Cyberangriffe von innen und außen abwehren Risiko Remote Work: IT-Sicherheit im Home Office Bundeswehr: Infrastruktur für VS-NfD-Kommunikation Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Home Office Mobiles Arbeiten Öffentlicher Sektor Artikel teilen Weiterführende Links VPN Software Client genuconnect Hochsichere Anbindung von Windows Devices an interne Netze bis VS-NfD ECOS SecureBootStick SX Flexible Lösung für VS-NfD-konformes Arbeiten im Home Office Zurück zur Übersicht

Interviews 31.05.2021 Angriff per Mail: Sicherheitslücke in MS Exchange Anfang März wurde eine Sicherheitslücke im E-Mail-Dienst MS Exchange Server bekannt. Nach einer Warnung von Microsoft sorgten sich zunächst US-Organisationen. In Deutschland informierte inzwischen das Bundesamt für Sicherheit in der Informationstechnik (BSI) über die Risiken. Das Problem: Mail-Systeme von Unternehmen und Behörden sind durch Cyberkriminelle angreifbar. Bei den betroffenen Anwendern besteht erhöhte Gefahr, dass unbefugt auf gespeicherte Daten wie E-Mails, Adressbücher und Kalender zugegriffen wird. Über die technischen Hintergründe sprachen wir mit Steffen Ullrich, IT-Sicherheitsexperte bei genua. Steffen Ullrich arbeitet als IT-Sicherheitsforscher bei der genua GmbH Wir erleben gerade eine große Aufmerksamkeit für einen bestimmten E-Mail-Dienst. Können sich Anwender anderer Systeme sicher fühlen oder handelt es sich um ein generelles Problem, das mit jedem Mail-System auftreten kann? Steffen Ullrich: Das aktuelle Problem ist beschränkt auf Microsoft Exchange Server-Installationen, bei denen das Web Interface direkt zum Internet und damit Richtung Angreifer exponiert ist. Dieses Web Interface stellt den Zugang zu den Exchange-Diensten wie Mail und Kalender für den Browser bereit, aber auch für Applikationen wie MS Outlook. Das Sicherheitsproblem besteht darin, dass durch diesen Web-Zugang die interne Infrastruktur von MS Exchange ohne Authentisierung erreichbar und kompromittierbar ist. In der Vergangenheit traten durchaus ähnlich kritische Probleme mit anderen Mail-Systemen auf. Beispielsweise gab es 2019 einen Bug im Mail-Server Exim , bei dem ebenfalls ein Angreifer ohne Authentisierung in der Lage war, Code mit Systemrechten auf dem Mail Server auszuführen. Aber auch für MS Exchange ist dieses nicht die erste kritische Lücke. In den letzten Jahren wurden schon mehrere hochkritische Sicherheitslücken im Produkt bekannt. Und auch das aktuelle Problem scheint wohl nicht die letzte Lücke in MS Exchange für dieses Jahr zu sein. So hat die NSA gerade weitere kritische Lücken an Microsoft gemeldet . Wie lassen sich die aktuelle Sicherheitslücke und die Folgen technisch beschreiben? Steffen Ullrich: Es sind gleichzeitig mehrere Sicherheitslücken bekannt worden. Die wesentliche – „ProxyLogon“ – ermöglicht es einem nicht authentisierten Angreifer, die Authentisierung im Web Interface zu umgehen und Aktionen in der internen Infrastruktur von MS Exchange auszuführen. Das erlaubt ihm z. B. den Zugriff auf die gespeicherte Mail. Über die weiteren bekanntgewordenen Sicherheitslücken kann der Angreifer dann die komplette interne Infrastruktur des MS Exchange übernehmen. Da diese typischerweise mit dem internen Netz eng gekoppelt ist, kann der Angreifer auf weitere interne Ziele zugreifen. Entsprechend ist auch die Empfehlung, nicht nur zu patchen, sondern die interne Infrastruktur auf eine potentielle Kompromittierung hin zu untersuchen. Wodurch wird die Sicherheitslücke konkret verursacht? Steffen Ullrich: Die Umgehung der Authentisierung in ProxyLogon ist möglich, weil der Web Server für das Web Interface die Eingabedaten nicht ausreichend verifiziert. Insbesondere werden vom Client, also vom Angreifer, geschickte Daten unter der Annahme durchgelassen, dass es die gleichen und unveränderten Daten sind, die vorher vom internen Server über den Web Server zum Client geschickt wurden. Letztlich handelt es sich also um eine unzureichende Validierung von Eingabedaten und einen unzureichenden Schutz von server-generierten Daten gegen Manipulationen im Client. Beides sind leider recht typische Probleme für Web-Applikationen, obwohl dafür prinzipiell bewährte Schutzmaßnahmen existieren. Kann der Einsatz von IT-Security-Maßnahmen Abhilfe schaffen? Steffen Ullrich: Der Idealfall wäre die Nutzung proaktiver Lösungen, welche Angriffe direkt abwehren. Unglücklicherweise setzen diese aber im Allgemeinen voraus, dass die Details des Angriffs bereits bekannt sind, um darauf aufbauend passende Regeln für eine Web Applikation Firewall (WAF), eine Firewall oder ein Intrusion Detection System (IDS) zu implementieren. Diese Regeln sind dazu dann oftmals auch noch spezifisch für einen bestimmten bekannten Exploit und lassen sich durch Modifikationen des Angriffs umgehen. Proaktiv kann man aber die Angriffsfläche reduzieren, indem man MS Exchange gar nicht erst direkt aus dem Internet erreichbar macht. Ein üblicher Weg ist es, den Zugriff von außen sowohl auf die interne Firmeninfrastruktur im Allgemeinen als auch auf das MS Exchange im Speziellen nur über ein VPN zu ermöglichen. Damit muss ein Angreifer eine initiale Hürde der Authentisierung am VPN erst einmal überwinden. Allerdings sollte man auch beim VPN auf die Sicherheit achten. So wurden 2019 mehrere hochkritische Sicherheitslücken in bekannten und viel benutzten VPN-Lösungen von Palo Alto Networks , Fortinet und Pulse Secure gefunden, ironischerweise von der selben Firma DEVCORE, die jetzt die Lücken in MS Exchange gefunden hat. genua bietet VPN durch Lösungen wie genuscreen , enucard und genuconnect an. Diese sind extern evaluiert worden und z. B. für VS-NfD und NATO RESTRICTED zugelassen. Proaktiv kann man ebenfalls die Infrastruktur von MS Exchange vom Rest des Netzes segmentieren und so die Auswirkungen einer erfolgreichen Kompromittierung von MS Exchange auf das interne Netz begrenzen. Mittels genuscreen lässt sich eine Separation auf Portebene vornehmen, wie es von Microsoft in Network ports for clients and mail flow in Exchange beschrieben ist. Mit cognitix Threat Defender sind darüber hinaus eine granulare Mikrosegmentiertung auf Applikationsebene auch innerhalb eines Netzsegments, ein leistungsfähiges Monitoring sowie die Einbeziehung von IOC (Indicator of Compromise, z. B. IP-Adressen bekannter Angreifer oder bekannte Malware Tools) und IDS-Signaturen möglich. Das erlaubt nicht nur eine detailliertere Separation, sondern auch die unmittelbare Reaktion auf durch IOC und IDS-Regeln erkannte Gefahren. Und das mit einem transparenten Einsatz als Bridge, d. h. ohne Rekonfiguration der eigenen Netzinfrastruktur. Lässt sich das Sicherheitsproblem anderweitig vermeiden? Gibt es sichere Alternativen? Steffen Ullrich: Wir müssen uns bewusster werden und akzeptieren, dass die in sensitiven Netzen genutzte Software nicht immer den Sicherheitsbedürfnissen genügt. Im besten Fall können wir bei Sicherheitsproblemen diese Software nicht oder nicht vollständig nutzen. Im schlimmsten Fall wurde durch das Sicherheitsproblem die komplette Infrastruktur kompromittiert. Anwender kommen dann nicht mehr an ihre eigenen Daten heran, sensitive Daten sind veröffentlicht oder es wurden gar Dritte in Mitleidenschaft gezogen. Ransomware nutzt bereits massiv die aktuelle MS Exchange-Lücke als Einfallstor aus und vor nur wenigen Monaten wurde die Infiltration sensitiver und auch staatlicher Infrastrukturen über die kompromittierte Netzwerk-Management-Software Solarwinds bekannt. Vielen sind auch noch die Auswirkungen von WannaCry und NotPetya in Erinnerung. Der Einsatz und Umgang mit Software muss daher in ein Risikomanagement einbezogen werden. Das kann bedeuten, eine Software aus Sicherheitsgründen nicht einzusetzen. Oder es kann bedeuten, einfach nur zu hoffen, dass nichts passiert. Man kann auch gezielt versuchen, den möglichen Schaden zu begrenzen, z. B. durch eine explizite Beschränkung der Software auf das erwartete Verhalten oder durch extensives Monitoring des internen Netzes, um einen potentiellen Angreifer aufgrund seines ungewöhnlichen Verhaltens zu entdecken. Als Technologien können dabei eine granulare proaktive Mikrosegmentierung verbunden mit Monitoring helfen. Durch eine frühzeitige und evtl. automatisierte Reaktion auf erkannte Gefahren können diese Risiken besser beherrscht werden – so wie es durch den cognitix Threat Defender ermöglicht wird. Danke für das Gespräch! Bildquelle: © rzoze19 – stock.adobe.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Artikel teilen Weiterführende Links IT-Sicherheitslösungen Zurück zur Übersicht

Interviews 13.08.2020 Nachgefragt: Was bringt der IT-Grundschutz des BSI? Der IT-Grundschutz des BSI ist ein bewährtes Instrument, um das Niveau der Informationssicherheit in Behörden und Unternehmen zu erhöhen. Ziel ist es, dass Verantwortliche für Informationssicherheit in Organisationen jeder Größenordnung das Sicherheitsniveau realistisch einschätzen und die notwendigen Maßnahmen zur Absicherung umsetzen können. Darüber sprechen wir mit Thomas Bonhoeffer, der als zertifizierter Grundschutz-Berater bei genua tätig ist. IT-Grundschutzberatung Welche Qualifikation muss man mitbringen, um beim BSI als zertifizierter Grundschutz-Berater geführt zu werden? Thomas Bonhoeffer: Zuallererst einmal Erfahrung. Neben einer langjährigen beruflichen Tätigkeit im Bereich Informationssicherheit ist umfangreiche Erfahrung in Beratungsprojekten mit dem Ziel der vollständigen Einführung eines Informationssicherheitssystems (ISMS) nach IT-Grundschutz Voraussetzung. Dann natürlich Fachkompetenz, die durch eine Prüfung beim BSI nachgewiesen wird. Als IT-Grundschutzberater führt man Unternehmen und Behörden zum Aufbau eines ISMS bis hin zu einer etwaigen Unternehmenszertifizierung. Daher überwacht das BSI das Kompetenzlevel auch fortlaufend. Zu dem anspruchsvollen Thema IT-Sicherheit gibt es am Markt zahlreiche Beratungsangebote. Wie ist die Beratung nach IT-Grundschutz des BSI grundsätzlich einzuordnen? Thomas Bonhoeffer: Im Gegensatz zu vielen mehr oder weniger "selbstgestrickten" Sicherheitsberatungen stellt der moderne IT-Grundschutz eine anerkannte, methodische und umfassende Vorgehensweise dar, um Informationssicherheit in Unternehmen zu etablieren. Dabei folgt er dem international anerkannten Standard ISO 27000 , weshalb ja auch eine Zertifizierung nach ISO 27000 auf IT-Grundschutz-Basis möglich ist. Eine Beratung nach IT-Grundschutz zeichnet sich vor allem durch ihren ganzheitlichen Ansatz aus. Sie fokussiert sich nicht auf die Technik und versucht auch nicht, nur eine "Momentaufnahme" des Sicherheitsniveaus zu erstellen und anschließend Lücken zu stopfen. Die Beratung setzt vielmehr einen Prozess in Gang, der ein gewünschtes Sicherheitsniveau nachhaltig gewährleistet. Für welche Organisationen ist eine Beratung nach IT-Grundschutz des BSI besonders empfehlenswert? Thomas Bonhoeffer: Dem Grundschutz wurde in der Vergangenheit oft nachgesagt, er sei bürokratisch, umständlich und sowieso nur für Behörden interessant. Das mag in gewissen Bereichen zugetroffen haben. Das hat sich aber mit der Modernisierung geändert. Der Grundschutz ist sehr viel flexibler geworden. Damit ist er vom Handwerksbetrieb bis zum Internetprovider passgenau anwendbar. Ich würde sagen, ein methodisches Herangehen an das Thema Informationssicherheit ist für jede Organisation, die mehr als drei Mitarbeiter und vier IT-Systeme umfasst, sinnvoll. Das muss nicht der IT-Grundschutz sein – aber er ist eine gute und anerkannte Möglichkeit. Und der neue Grundschutz bietet gerade für kleine und mittlere Unternehmen mit der sogenannten "Basisabsicherung" eine einfache Einstiegsvariante, um mit relativ geringem Aufwand das eigene Sicherheitsniveau zu erhöhen. Daneben gibt es natürlich Regularien, die den IT-Grundschutz zwingend und vollständig vorschreiben. Bundesbehörden müssen den Grundschutz in der Regel umsetzen, und die Betreiber kritischer Infrastrukturen müssen "die Einhaltung von IT-Sicherheit nach dem Stand der Technik" regelmäßig gegenüber dem BSI nachweisen. Wie ist die grundsätzliche Vorgehensweise der BSI-Methodik? Thomas Bonhoeffer: Die grundsätzliche Vorgehensweise ist im BSI Standard 200-1 festgelegt und füllt 180 Seiten. Ich muss daher schon ein klein wenig ausholen, selbst wenn ich das Konzept auch nur grob skizziere und mich auf die Erstellung des Sicherheitskonzepts beschränke. Im Zentrum der Betrachtung steht das gewünschte Sicherheitsniveau der Geschäftsprozesse der Organisation. In einer sogenannten Strukturanalyse wird die technische, infrastrukturelle und teilweise organisatorische Struktur der Organisation erfasst und im Rahmen eines "vereinfachten Netzplans" als eine Art technisches Modell der Organisation dargestellt. Ausgehend von den Geschäftsprozessen kann nun für jeden dieser Bestandteile der Schutzbedarf ermittelt werden. Im Rahmen der sogenannten Modellierung werden anhand des vereinfachten Netzplans die Bausteine aus dem IT-Grundschutzkompendium bestimmt, die für diese Organisation zutreffend sind. Diese Bausteine enthalten Anforderungen, und im sogenannten Grundschutzcheck (GSC) wird geprüft, ob es zu den Anforderungen bereits umgesetzte Maßnahmen gibt oder ob hier noch Handlungsbedarf besteht. Für Bestandteile – der Grundschutz spricht hier von "Zielobjekten", für die ein hoher oder gar sehr hoher Schutzbedarf ermittelt wurde, reichen diese Anforderungen unter Umständen nicht aus, daher muss hier zusätzlich eine Risikoanalyse durchgeführt werden. Wie profitieren Organisationen von diesem Vorgehen? Thomas Bonhoeffer: Nach der erstmaligen Erstellung eines Sicherheitskonzepts liegt ein Modell der Organisation vor, das die Kritikalität der Systeme und unterstützenden Prozesse für die Geschäftstätigkeit darstellt und die getroffenen Maßnahmen zur Absicherung dokumentiert. Damit können die Auswirkungen struktureller Veränderungen auf das Sicherheitsniveau schnell erkannt und entsprechend behandelt werden. Und im Gegensatz zu anderen Verfahren ist die relativ aufwändige Risikoanalyse nur dort durchzuführen, wo ein hoher Schutzbedarf besteht, für den Rest reicht eben der "Grundschutz". Wie können sich Kunden, die sich für eine Beratung nach IT-Grundschutz interessieren, am besten informieren? Thomas Bonhoeffer: Alle zertifizierten Grundschutzberater werden mit ihrer Firmenadresse auf den Webseiten des BSI gelistet. Als ersten Schritt empfehle ich, mit der jeweiligen Firma ein telefonisches Beratungsgespräch zu vereinbaren, bei dem man dann schon eine Reihe von Fragen klären kann. Bevor man sich für eine Beratung entscheidet, sollte man auf jeden Fall im Rahmen eines Workshops zusammen mit dem IT-Grundschutzberater die verschiedene Möglichkeiten der Beratung, die Rahmenbedingungen und die Zielvorstellungen klären – der neue Grundschutz ist flexibel und die Möglichkeiten der Beratung sind es ebenso. Weiterführende Links: [1] IT-Grundschutz – Informationsseite des BSI Bildquelle: © Andrey Popov – stock.adobe.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Artikel teilen Weiterführende Links IT Security Consulting Kompetenz für Ihre IT-Sicherheit: So schützen Sie mit IT Security Consulting von genua die Netze, Systeme und Daten sowie den Geschäftserfolg Ihrer Organisation. Zurück zur Übersicht