Stimmen vom BSI-Kongress

Hier sei ein Umdenken erforderlich: „Nicht nur bei den Nutzern, sondern auch bereits bei der Entwicklung von IT-Produkten.“ Anwender müssten darauf vertrauen können, dass „Prozesse sicher gestaltet sind und aufgedeckte Sicherheitslücken schnellstmöglich geschlossen werden“ – IT-Sicherheit müsse von Anfang an mitgedacht und über den gesamten Lebenszyklus erhalten werden. De Maizière forderte: „Leicht gemachte Sicherheit muss ein Kriterium für gute IT-Sicherheit sein.“

IT-Sicherheits-Gesetz

Auch der Staat trage im Sinne seiner Schutz- und Gewährleistungsfunktion Mitverantwortung für das Internet als Infrastruktur, betonte der Innenminister. Hier gehe man mit dem anstehenden IT-Sicherheitsgesetz einen wichtigen Schritt. Dabei sei jedoch ein Wechselspiel von Betreibern und Behörden essenziell: „Melden und warnen, Standards und Sicherungsmaßnahmen entwickeln – dies alles geht nur gemeinsam.“

Dieser kooperative Ansatz zeige sich auch darin, dass im Gesetz Durchsetzungsbefugnisse zwar vorgesehen seien, dies aber maßvoll: Man gehe damit einen neuen Weg, weg vom „typischen Regulierungshandwerk mit imperativen behördlichen Vorgaben“. De Maizière plädierte überdies dafür, auch außerhalb des gesetzlichen Rahmens im praktischen Alltag neue Zusammenarbeitsformen zu suchen, bei denen „jede Stelle ihre Fähigkeiten einbringen kann“.

Safety meets Security

Prof. Dr.-Ing. Peter Liggesmeyer hat als Präsident der Gesellschaft für Informatik (GI) und Leiter des Fraunhofer-Instituts für experimentelles Software-Engineering (IESE) eine Keynote über „Umfassende Sicherheit: Safety meets Security“ gehalten. Betrachte man den Sicherheitsbegriff anhand der Frage „Wer bedroht wen?“, so behandele die Daten-/IT-Sicherheit (Security) Gefährdungen durch Menschen für Geräte – die Betriebs-/Funktionssicherheit (Safety) den umgekehrten Fall. Darüber hinaus gebe es zivile/ militärische Sicherheit (Menschen vs. Menschen) und Sicherheitsintegrität (Geräte vs. Geräte).

Unglücklicherweise ließen sich diese vier Bereiche heute nicht mehr sauber voneinander trennen. „Wir werden die Fähigkeit erwerben müssen, das zusammenzuführen und ein globales Optimum von Safety und Security zu finden“, betonte Liggesmeyer. Beide Seiten zeigten zudem noch Defizite: So müsse einerseits eine heute übliche manuelle Safety-Zertifizierung statischer Systeme zur Entwicklungszeit durch eine autonome Zertifizierung dynamischer Systeme zur Laufzeit ersetzt werden.

Und in Sachen Security warnte Liggesmeyer: „Datenzugriffsschutz allein ist Schnee von gestern.“ Heute gebe es zwei Extreme: die Freigabe von Daten „ohne Rücksicht auf Verluste“ oder eben ihr (zumindest angestrebtes) „100%-ig sicheres Wegschließen“. Gefragt sei aber vielmehr eine Datennutzungskontrolle, die einen Mittelweg ermöglicht, also eine Freigabe mit definierten Grenzen – und dazu passende technische Lösungen, die eine Einhaltung der Verpflichtungen erzwingt oder zumindest vor Verletzungen warnt.

Big Data

Die Verknüpfung und Analyse von Daten könne großen Nutzen stiften, berge aber auch Gefahren und rufe bei vielen erhebliche Sorgen hervor, was man ernst nehmen müsse, betonte Mittelbach: „Wir brauchen die Zustimmung zur digitalen Gesellschaft von Anfang an. Andernfalls wird es schwierig, die Potenziale von Big Data und einer digitalen Wirtschaft – gerade auch zum Vorteil von Anwender und Verbraucher – nutzen zu können.“ Dazu brauche man sowohl akzeptierte Regeln als auch Vertrauen.

Eigentum sei zwar die Grundlage unseres marktwirtschaftlichen Systems, doch zukünftig werden sich Daten nicht mehr durch die klassischen Eigentumsmechanismen sowie Patente und Normen schützen lassen, meint Mittelbach: „Wissen ist Macht“ heiße es schon seit der Aufklärung – „heute erkennen wir, dass auch von Daten eine gewaltige Macht ausgeht – diese muss gestaltet werden! ... Sich zu verschließen, durch Datensparsamkeit oder durch straffe staatliche Kontrolle, ist aber nicht zielführend. Der ZVEI tritt dafür ein, das Teilen von Daten als Chance zu verstehen.“

Dass wir heute – global und in allen Branchen – einen epochalen Wendepunkt erleben, unterstrich Martina Koederitz, Vorsitzende der Geschäftsführung der IBM Deutschland: „Ich glaube, noch nie hat ein Phänomen so tiefgreifend in unser Leben eingegriffen, in unsere Wirtschaft, in die Art und Weise, wie wir ... als Menschen miteinander agieren – aber auch noch nie hat eine Veränderung so viel Anpassungs- und Veränderungsbereitschaft und -willen von den Menschen gefordert.“ Nur eine sichere Basis könne in der breiten Gesellschaft für Akzeptanz sorgen.

Security als Enabler

„Sicherheit ist das Fundament für alle Neuerungen, an denen wir zusammen arbeiten. Und meines Erachtens wurde das Thema Sicherheit viel zu lange kümmerlich oder weniger wichtig behandelt – ja sogar als Bremsklotz des Fortschritts gesehen,“ kommentierte Koederitz. Doch genau das Gegenteil sei der Fall: Nur unter Berücksichtigung einer „integrierten Sicherheit von Anfang an“ ließen sich die Digitalisierung „und damit auch unser Geschäftserfolg“ beschleunigen.

Hierzu müssten wir alle ein „horizontales, vernetztes Sicherheits- Denken“ entwickeln – alleine werde die Aufgabe für niemanden zu bewältigen sein. Das Jahr 2015 sieht Koederitz als „Tipping-Point“: „In der Diskussion ist Eile geboten, damit wir die Innovationskraft, die wir hier haben, nicht beschädigen, ... die Angst vor dem Neuen drehen, Verantwortlichkeiten übernehmen, um die Zukunft für uns und die nächsten Generationen zu gestalten.“

Dr. Hartmut Isselhorst, Leiter der Abteilung Cyber-Sicherheit im BSI, beschrieb einen „Cyberteufelskreis“, in dem eine zunehmende IT-Durchdringung für steigende Angreifbarkeit und Gewinnaussichten für Kriminelle sorgen, während auf der Seite von Betreibern und Benutzern häufig digitale Sorg- oder Hilflosigkeit herrschten. Zu Malware kommentierte er: „Wir haben uns zwar daran gewöhnt, aber wir haben die Lage nicht im Griff.“

Als Ausweg skizzierte Isselhorst eine Kombination von Einschränkungen für die Täter: Deren Risiko müsse erhöht, ihre Gewinnerwartung und Aktionsfreiräume geschmälert werden. Dies erfordere unter anderem Sicherheit in der Breite und eine schnellere Detektion von Angriffen.

Grundschutz von morgen

Hierzu mit dem IT-Grundschutz (ITGS) eine Hilfestellung zu geben, bedeute neue Anforderungen, denen sich das BSI in einem bereits laufenden Modernisierungsprozess stelle. So müsse und wolle man etwa „schneller reale Gefährdungen adaptieren und Empfehlungen bereitstellen – idealerweise im monatlichen Rhythmus“, berichtete Isselhorst. Um zukünftig auch kleinere Unternehmen zu erreichen, müsse der Grundschutz „in den Vorgehensweisen, im Aufwand, der zu betreiben ist, und auch im Schutzbedarf“ skalierbarer werden.

Konkret sei eine dreistufige Maßnahmenkategorisierung vorgesehen: Neben den bislang üblichen, klassischen Basismaßnahmen soll es dann Hochschutz- und Erstmaßnahmen geben. Analog dazu sind drei Vorgehensweisen intendiert: Neben ein klassisches ISMS treten ein „Kronjuwelen“-Ansatz für den Hochschutzbedarf und ein „Quick- Win“-Prinzip für KMU.

Beim Baustein-Aufbau will das BSI durch eine Trennung der Empfehlungen für CISOs von konkreten Maßnahmen „Luft rausnehmen“: Essenzielles für das Sicherheit-Management soll künftig im eigentlichen Baustein auf 10 Seiten passen – inklusive einer Referenzierung aller Dokumente, die das Amt im entsprechenden Kontext anbietet. Die Umsetzungshinweise für Administratoren enthält dann ein unabhängiger Text, der „beliebig umfangreich“ werden könne.