Positionspapier der Fokusgruppe "Transparente, einfache und performante Ende-zu-Ende-Sicherheit für die Regierungs- und Bürgerkommunikation. Digitale Souveränität"

1. TRANSPARENTE, EINFACHE UND
PERFORMANTE ENDE-ZU-ENDE-SICHERHEIT
FÜR DIE REGIERUNGS- UND
BÜRGERKOMMUNIKATION.
DIGITALE SOUVERÄNITÄT.
Nationaler IT-Gipfel / Plattform 5

2. Prinzipien der analogen Welt auf die
digitalisierte Welt übertragen!
Sicherheit beim Geldtransport
o Fahrer in einem speziell geschützten Fahrzeug
o Kein zugriff auf den Inhalt von Geldkassetten
Sicherheit im Rechenzentrum
o Administratoren im gesicherten Gebäude, Racks
sind mehr oder weniger gut geschützt
o Administratoren haben Zugriff auf die Systeme
(insbes. über Netzwerke) und damit auf die Daten
Ein neuartiges Sicherheitskonzept bedeutet, jeden Zugriff (logisch oder physisch) durch
Rechenzentrums-Angestellte aufgrund technischer Restriktionen zu verhindern.
10. November 2015Federführer: Rupert Lehner, FUJITSU 2

3. Der Schaden ist beträchtlich!
51 Milliarden Schäden durch Wirtschaftsspionage pro Jahr
61% der Spionage- und Sabotageakte betreffen
mittelständische Unternehmen
Dramatische Imageschäden
Quelle: BITKOM – Presseinformation 16. April 2015 (http://www.bitkom.org/de/presse/8477_82074.aspx)
10. November 2015Federführer: Rupert Lehner, FUJITSU 3

4. Erwartungen von Wirtschaft und Bürgern!
 Verwaltungsdienstleistungen sollen:
 einfach
 schnell
 ortsunabhängig
 wirtschaftlich und vertrauensbasiert sowie
 Infrastruktur-unabhängig bereitgestellt werden
10. November 2015Federführer: Rupert Lehner, FUJITSU 4

5.  Das Spannungsverhältnis aus dem Wunsch nach Sicherheit auf der einen
Seite und dem Bedürfnis, Anwendungen einfach, komfortabel und schnell
nutzen zu wollen, muss ausbalanciert werden.
 IT-Sicherheit muss konzeptionell neuartig aus Sicht der Anwender und von
Ende zu Ende betrachtet werden.
Das ist notwendig!
10. November 2015Federführer: Rupert Lehner, FUJITSU 5

6.  Sichere Anwendungsumgebungen für digitalisierte
Verwaltungsdienstleistungen zu schaffen, die auf bestehenden
Infrastrukturen aufsetzen.
 Abgestufte Sicherheitsniveaus flexibel gewährleisten.
 Bei besonders schutzwürdigen Daten und Prozessen ein
Höchstmaß an Sicherheit gewährleisten, ohne merkbare Abstriche
bei Bedienkomfort und Performance zu machen.
Kernziele eines neuartigen
IT-Sicherheitskonzepts!
10. November 2015Federführer: Rupert Lehner, FUJITSU 6

7. Zugriff auf kritische Daten
Admins können auf sensible Daten
unbemerkt zugreifen
Daten werden
abgefangen
Ausgehende Daten können
abgefangen, mitgelesen und
manipuliert werden
Hackerangriffe
Durch nicht durchgängiges
Monitoring werden
Hackerangriffe erleichtert; Logs
können verfälscht werden
Physikalischer Zugriff
auf Systeme durch unzureichend
gesicherte Zugriffsprozesse
Remote Zugriff
Übernahme und Steuerung der
Systeme durch Fernzugriff
Bildschirminhalte
können mitgelesen werden
Webcam und Mikrofon
(intern/extern)
können aktiviert und gesteuert werden
(Raumüberwachung möglich) Externe HDD, USB
können Viren und Backdoors
unbemerkt installieren
Maus- und
Tastatureingaben
können mitgelesen werden
Hauptspeicher
speichert Daten unverschlüsselt
Interne Datenträger
(HDD, SSD, DVD)
sind trotz Verschlüsselung lesbar
BIOS, OS, Treiber,
Anwendung
Können Backdoors enthalten
Kommunikation
(Internet/LAN/WAN)
Aktive/passive Netzwerkomponen-
ten können Backdoors enthalten
ExtranetIntranet CloudInternet
Angriffspunkte Ende zu Ende:
Endgerät - Übertragung - Rechenzentrum
10. November 2015Federführer: Rupert Lehner, FUJITSU 7

8. Empfehlungen der Fokusgruppe!
 Ein neuartiges IT-Sicherheitskonzept entwickeln und implementieren.
 Die Möglichkeiten des ressortübergreifenden Forschungsrahmenprogramms
der Bundesregierung zur IT-Sicherheit in dieser Richtung nutzen.
 Informations- und Aufklärungsarbeit intensivieren.
 IT-Sicherheit und digitalisierte Verwaltungsprozesse gegenüber Bürgern und
Wirtschaft verständlich vermitteln.
10. November 2015Federführer: Rupert Lehner, FUJITSU 8

9. Flexibel verschieden hohe Sicherheits-level
implementieren!
 Forschung und Entwicklung, E-Health, Hoheitliche Aufgaben,
Verkehrssteuerung, Zulassung von Arzneimitteln, Einwohner-Meldedaten,
Smart Grid: HOHE SICHERHEIT
 Einzelne Bürgerdienste, wie Ausleihe und Verlängerung Stadtbücherei, KFZ-
Zulassung, Hochschulverwaltungs-IT: MITTLERE SICHERHEIT
 Nutzung sozialer Netzwerke, Allgemeine Informationsan-gebote:
GRUNDSICHERHEIT
10. November 2015Federführer: Rupert Lehner, FUJITSU 10

10. Elemente eines Ende-zu-Ende Ansatzes!
 Sichere, einfache Authentifizierung
 Erweiterte Endgeräte-Sicherheit
 Sicherer Programmablauf im Rechenzentrum
 Datenverarbeitung ohne Entschlüsselung
 Neue Sicherheitskonzepte für das Rechenzentrum („Stealth Data Center“)
10. November 2015Federführer: Rupert Lehner, FUJITSU 11

11. T R A N S PA R E N T E, E I N FAC H E U N D P E R FO R M A N T E E N D E -
Z U - E N D E - S I C H E R H E I T F Ü R D I E R EG I E R U N G S - U N D
B Ü RG E R KO M M U N I K AT I O N .
Digitale Souveränität
10. November 2015Federführer: Rupert Lehner, FUJITSU 12