IRIS 2020 - Hessel/Rebmann: IT-Sicherheit in der Justiz – Wege aus einer drohenden Krise

IT-Sicherheit in der Justiz – Wege aus einer
drohenden Krise
Ass. iur. Stefan Hessel
Associate im Team Datenschutz & Cybersecurity bei reuschlaw Legal Consultants in Saarbrücken &
Geschäftsführer der Defendo GbR – Hessel, Rebmann & Vogelgesang
Andreas Rebmann, M.A.
Wissenschaftlicher Mitarbeiter, Professur für Rechtsinformatik, Universität des Saarlandes &
Geschäftsführer der Defendo GbR – Hessel, Rebmann & Vogelgesang

28.02.2020 Hessel / Rebmann – IRIS 2020 2
Digitalisierung der Justiz
●
Elektronische Kommunikation
●
E-Akte
●
Strukturierter Parteivortrag
●
Legal Tech
➔
Umfassende Verlagerung von
(analogen) Prozessen in die digitale
Welt

Veränderte Ausgangslage
●
Steigende Menge digital verfügbarer
Daten
‒ Zentralisierte Infrastrukturen
‒ Durchsuchbarkeit
‒ Kopierbarkeit
●
Globale Erreichbarkeit über das Internet
‒ Kommunikationsvorgänge
‒ Zugriff auf Daten

Neue Bedrohungen
●
Justiz als Beifang von Cybercrime-Kampagnen
(z.B. Ransomware, Emotet, etc.)
●
Beispiel: Angriff auf das Kammergericht
Berlin Herbst 2019

Neue Bedrohungen
●
Zunahme zielgerichteter Angriffe
●
Veränderung des Kosten-Nutzen-Risikos
(„Es gibt mehr zu holen“)
●
Geringere Hemmschwelle bei
Cybercrime
●
Größere Tätergruppe (weltweite
Angriffe)

Terrorismus
Sprengstoffanschlag gegen die JVA Weiterstadt durch die RAF am 27. März 1993 (Quelle: t-
online.de)

„Cyber-Jihad“
●
Islamistische Terrorgruppen verfügen über
entsprechendes Know-how
‒ April 2015: Hack des Sender TV 5 Monde
‒ Juni 2017: Behördenwebseiten in Ohio und
Maryland
●
Mögliche Anlässe für Angriffe auf die deutsche
Justiz
‒ Verfahren gegen Gefährder, Rückkehrer oder
sonstige Anhänger der islamistischen Szene

„Texas Prison Hack“
●
Kevin Mitnick: Die Kunst des
Einbruchs
●
Zwei Häftlinge mit Interesse für
Computer
●
Nicht inventarisierte Computerteile
i.V.m. Social Engineering
●
Verlegung von Ethernet und
Telefonkabeln im Gefängnis
●
Internetzugriff über den Rechner
des Anstaltsleiters und die Modem-
Einwahldaten eines Wärters

Digitale Gefangenenbefreiung
●
April 2015: Mittels
illegalem Mobiltelefon
Webseite und E-
Mailadresse aus der
Zelle heraus eingerichtet
●
E-Mail des Court Service
mit Anordnung den
Gefangenen auf Kaution
freizulassen
●
Freilassung nach 3 Tagen Neil Moore, Quelle: Metropolitan Police
●
Variante: IT-Angriff mit dem Ziel die Freilassung von
Gefangenen zu erreichen

Der Anruf des „Haftrichters“
Quelle: Wall Street Journal, 30.08.2019
Quelle: Vice, 09.03.2018

Entwendung von Akten(teilen)
●
Wirtschaftliche Motivation:
‒ Erlangung von Informationen i.S.v. § 16
GeschGehG oder vergleichbaren Informationen
→ z.B. Wirtschaftsspionage, Insidergeschäfte,
etc.
‒ Erlangung von sonstigen Informationen → z.B.
Boulevardpresse
●
Politische Motivation:
‒ August 2018: „Chemnitz-Leak“: Innentäter
veröffentlicht Haftbefehl

Angriffsmethoden
●
Alles denkbar von
Dumpster Diving bis
zu hochtechnisierten
Angriffen mit
Schadsoftware
●
Es ist mit einem
weitreichenden
Einsatz gegen die
Justiz zu rechnen!
One man’s trash is the enemy’s treasure (Quelle:
(U.S. Air Force photo by Staff Sgt. Nesha Humes)

BSI Lagebericht 2019
●
APTs: persistenter Netzwerkzugriff
●
Botnetze (auch als crime-as-a-service) →
DDoS-Angriffe
●
Angriffe auf Kryptografie (Hardware,
Implementierungsfehler, veraltete Standards,
etc.)
●
Ransomware
●
Social Engineering (insb. Phishing)
●
Weitere Angriffe

Anmerkung zur Schadenshöhe
●
Vielzahl von Risiken ist
inakzeptabel → hoher Schaden
●
Vertrauen in die Sicherheit der
Justiz ist essentiell für den
Rechtsstaat
●
Selbst kleine Vorfälle können
dieses Vertrauen erschüttern

Risikomatrix

IT-Sicherheit als justizielle Verantwortung
●
DSGVO für die Justiz voll anwendbar
‒ Allerdings eigene Aufsicht
●
Zugleich verfassungsrechtliche
Verpflichtung durch
Justizgewährungsanspruch als
institutionelle Garantie
(Mindestmaß an IT-Sicherheit)

Aktueller Stand
●
Bisher: Starke Fokussierung auf Sicherheit von
Anwendungen (z.B. e-Akte-Lösung)
●
Zur Bewältigung des entstehenden Risikos jedoch
umfassende IT-Sicherheitskultur unter Berücksichtigung
der Gewährleistung von Funktionsabläufen notwendig
●
Defizit vor allem bei:
‒ „Begleitprozessen“ (z.B. Schulung des Personals bzgl.
Grundregeln der IT-Sicherheit, Verschlüsselung von
Dienstgeräten, etc.)
‒ Vermeintlich analogen Prozessen (z.B. Absicherung von
Gebäudeeingängen, Auskünfte am Telefon, etc.)
‒ Ausbildungsbereich (z.B. Referendare)

Lösungswege
●
Grundverständnis schaffen
●
IT-Sicherheit als Prozess begreifen (ISMS)
●
Kommunikation von IT-Sicherheit
●
Gesetzliche Regelung:
‒ IT-Sicherheitsgesetz für die Justiz
‒ Überprüfung bzw. Aufgabe der
datenschutzrechtlichen Selbstkontrolle?

Kontakt
reuschlaw.de | legalinf.de/rebmann legalinf.de/rebmann
stefan.hessel@reuschlaw.de
andreas.rebmann@uni-saarland.de
@stefan_hessel | legalinf.de/rebmann @andirebmann

IRIS 2020 - Hessel/Rebmann: IT-Sicherheit in der Justiz – Wege aus einer drohenden Krise

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie IRIS 2020 - Hessel/Rebmann: IT-Sicherheit in der Justiz – Wege aus einer drohenden Krise

Ähnlich wie IRIS 2020 - Hessel/Rebmann: IT-Sicherheit in der Justiz – Wege aus einer drohenden Krise (8)

IRIS 2020 - Hessel/Rebmann: IT-Sicherheit in der Justiz – Wege aus einer drohenden Krise