Download Die Lage der IT-Sicherheit in Deutschland 2016 PDF

TitleDie Lage der IT-Sicherheit in Deutschland 2016
LanguageEnglish
File Size2.7 MB
Total Pages68
Table of Contents
                            Die Lage der IT-Sicherheit in Deutschland 2016
	Vorwort – Dr. Thomas de Maizière
	Vorwort – Arne Schönbohm
	Inhaltsverzeichnis
	1 Gefährdungslage
		1.1 Ursachen und Rahmenbedingungen
			1.1.1 Cloud Computing
			1.1.2 Software-Schwachstellen
			1.1.3 Hardware: Schwachstellen in Sicherheitselementen
			1.1.4 Hardware: Schwachstelle Breitband-Router
			1.1.5 Kryptografie
			1.1.6 Mobilkommunikation
			1.1.7 Standardsetzung
			1.1.8 Internet-Infrastruktur
		1.2 Angriffsmethoden und -mittel
			1.2.1 Schadsoftware
			1.2.2 Ransomware
			1.2.3 Social Engineering
			1.2.4 Advanced Persistent Threats
			1.2.5 Spam
			1.2.6 Botnetze
			1.2.7 DDoS
			1.2.8 Drive-by-Exploits und Exploit-Kits
			1.2.9 Identitätsdiebstahl
			1.2.10 Seitenkanalangriffe
	2 Gefährdungslage der Bundesverwaltung
		2.1 Abwehr von Angriffen auf die Regierungsnetze
			2.1.1 Prävention, Detektion und Reaktion
		2.2 Erkenntnisse aus Meldungen aus der Bundesverwaltung
		2.3 Erkenntnisse aus der IT-Sicherheitsberatung des BSI
	3 Gefährdungslage KRITIS
		3.1 Überblick
			3.1.1 Erkenntnisse aus Meldungen nach IT-Sicherheitsgesetz
		3.2 Erkenntnisse aus dem UP KRITIS
	4 Cyber-Sicherheit gestalten
		4.1 IT-Sicherheit für Staat und Verwaltung
			4.1.1 IT-Konsolidierung des Bundes
			4.1.2 Schutz der Regierungsnetze/Schutz  der Bundesverwaltung
			4.1.3 Cyber-Abwehrzentrum
			4.1.4 CERT-Bund und nationales IT-Lagezentrum
			4.1.5 Sichere Mobilkommunikation
			4.1.6 Zulassung
		4.2 IT-Sicherheit für die Wirtschaft
			4.2.1  UP KRITIS und IT-Sicherheitsgesetz
			4.2.2 Allianz für Cyber-Sicherheit
			4.2.3 Erhöhung der Cyber-Sicherheit im Internet
			4.2.4 Industrie 4.0: BSI-Studie zum Kommunikationsstandard OPC UA
			4.2.5 Novellierung IT-Grundschutz: Etablierte Informationssicherheit heute und in Zukunft
			4.2.6 Zertifizierung: Vertrauen schaffen, IT-Sicherheit gestalten
		4.3 IT-Sicherheit für die Gesellschaft
			4.3.1 BSI bietet Plattform für gesellschaftlichen Diskurs
			4.3.2 Die Bürger-Services des BSI
			4.3.3 Kooperativ für mehr IT-Sicherheit
			4.3.4 Verschlüsselung schafft Vertrauen
			4.3.5 Flächendeckend sicherer E-Mail-Transport
	5 Gesamtbewertung und Fazit
	6 Glossar
	Impressum
                        
Document Text Contents
Page 1

Die Lage der IT-Sicherheit
in Deutschland 2016
Die Lage der IT-Sicherheit
in Deutschland 2016

Page 34

34

DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2016 | GEFÄHRDUNGSLAGE DER BUNDESVERWALTUNG



-

-

-

-
-

-

-
-

-

-

-

Abbildung 11: Gestufte Schutzmaßnahmen in den Regierungsnetzen gegen E-Mail-basierte Angriffe

2.2 Erkenntnisse aus Meldungen
aus der Bundesverwaltung

Behörden der Bundesverwaltung müssen nach § 4
BSI-Gesetz gravierende Sicherheitsvorfälle unver
züglich und weniger kritische Vorfälle monatlich
an das Lagezentrum des BSI übermitteln. Nicht
alle Behörden der Bundesverwaltung sind an das
Regierungsnetz mit seinen zentralen Schutzkom
ponenten angeschlossen.

Bis Ende Juni 2016 wurden in der Bundesver
waltung von kommerziellen Schutzprodukten
rund 200 Schadsoftware-Infektionen pro Monat
erkannt. Die Anzahl der auf den Endsystemen
erfolgreich abgewehrten Schadprogramme lag im
selben Zeitraum bei knapp 95.000 pro Monat.

Die Entwicklung der vergangenen Jahre zeigt
Abbildung 12.

Die massiv verbreiteten Ransomware-Schadpro
gramme, die in vielen Organisationen zu Infekti
onen geführt haben, sind in den Bundesbehörden
kaum bis zu den Endsystemen durchgedrungen.
Die Mailserver der Regierungsnetze  ltern ver
dächtige Anhänge heraus. Darüber hinaus erstellt
das BSI aus beobachteten Schadprogramm-Kam
pagnen selbst Antiviren-Signaturen, die kurz
fristig im Regierungsnetz aktiviert werden. Pro
Monat wurden durchschnittlich 44.000 Schadpro
gramme aus dem Mailverkehr ge ltert.

Das BSI verzeichnete in den letzten Jahren stetig
steigende Zahlen bei den gemeldeten Denial
of-Service (DoS)-Angriffen auf einzelne Webseiten
der Bundesbehörden. Im Zeitraum von 2010 bis
Mitte 2016 hat sich die Zahl der Angriffe, bei de
nen die jeweils betroffene Behörde unverzüglich
um Unterstützung des BSI bittet, vervierfacht.

Abbildung 12 : Schadsoftware-Infektionen und abgewehrte Schadprogramme

Page 35

35

DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2016 | GEFÄHRDUNGSLAGE DER BUNDESVERWALTUNG

2.3 Erkenntnisse aus der
IT-Sicherheitsberatung des BSI

Die IT-Sicherheitsberatung des BSI ist die Anlauf
stelle für Behörden zu allen Fragen der IT-Si
cherheit. Aufgrund enger Behördenkontakte und
der Mitarbeit in Arbeitsgremien erhält das Team
der Sicherheitsberatung einen kontinuierlichen
Einblick in die Lage der Informationssicherheit
vor Ort. Kontaktstellen sind die IT-Sicherheitsbe
auftragten (IT-SiBes) der Behörden, mit denen das
BSI ef ziente Abläufe bei der Beratung und Unter
stützung zu Fragen der IT-Sicherheit etabliert hat.

-
-

-

-

Die Verantwortlichen für IT-Sicherheit stehen vor
besonderen Problemen, wenn Technik, Funktio
nen und Nutzerverhalten aus dem Consumer-Be
reich unverändert in den Arbeitsplatz übertragen
werden. Eine sichere Umsetzung wird zudem
erschwert, wenn persönliche Sonderlösungen
beansprucht werden – wie spezielle Produkte
oder „Bring Your Own Device“ – obwohl in der
IT-Sicherheitsstrategie für eine Organisation an
dere Lösungen  ächendeckend vorgesehen sind.
Die Medienberichte über IT-Sicherheitsvorfälle
und erfolgreiche Angriffe scheinen zur Sensibili
sierung der Nutzer beizutragen, das Bewusstsein
für die Notwendigkeit von mehr Sicherheitsmaß
nahmen ist gestiegen. Es ist jedoch auch weiterhin
eine elementare Herausforderung, auf die Umset-
zung dieser Sicherheitsmaßnahmen hinzuwirken
und dabei Einsicht und Akzeptanz zu schaffen.

-
-

-

-

-

Technik im Umbruch

Aus betriebswirtschaftlichen und administrativen
Gründen werden Möglichkeiten der Konsolidie
rung und Virtualisierung diskutiert und neue
Konzepte erstellt. Ganze Technikbereiche be n
den sich im Umbruch. Bei Audits und Revisionen
werden Sicherheitslücken besonders in verbrei
teten Monokulturen von Betriebssystemen und
Anwendungssoftware mit nachlässiger Kon gura
tion entdeckt. In vielen Behörden sind historisch
gewachsene Netzstrukturen entstanden, die durch
den Zusammenschluss von Netzen oder aufgrund
sicherheitstechnischer Analysen von Netzwerk
übergängen nun konsolidiert werden müssen.
Der Zeitpunkt für eine Neukonzeptionierung
ist besonders geeignet, wenn eine Vielzahl von
Standardlösungen wie Betriebssysteme, Firewalls
oder Produkte des Virenschutzes aufgrund von
Alterung oder wegen Auslaufen des Supports
ausgetauscht werden. Über die Beschaffung neuer
Hard- und Software hinaus müssen dabei die
Sicherheitskonzepte angepasst werden.

-

-

-

-

-

Informationssicherheitsmanagement (ISMS)

Historisch bedingt setzt sich Informationssicher
heit häu g aus einer Sammlung von Einzelmaß
nahmen zusammen. In vielen Organisationen
fehlt derzeit noch ein strukturiertes ISMS mit
ausreichendem Personal und klar geregelten
Aufgaben und Kompetenzen. Ein elementares
Problemfeld bildet nach wie vor die Schatten-IT,
denn bei Sicherheitsvorfällen sind es häu g nicht
intern geprüfte und freigegebene Geräte, die von
den Angreifern erfolgreich als Einfallstor genutzt
werden. Zahlreiche Behörden können die Kritika
lität ihrer IT-gestützten Geschäftsprozesse nicht
konkret angeben, etablierte Verfahren zur Analyse
und Dokumentation werden selten angewendet.
Unzureichend dokumentierte Prozesse können
in akuten Sicherheitslagen fatale Folgen für eine
gesamte Organisation haben.

-
-

-

IT-Sicherheitsbeauftragte

Es ist notwendig, dass IT-Sicherheitsteams ihrer
verantwortungsvollen Aufgabe entsprechend mit
genügend Personal ausgestattet werden. Finanzi
elle Entscheidungen über Ressourcen werden im
mer noch häu g zugunsten von Technik anstatt
von Personal getroffen. Zur Abwehr von Angriffen
reichen technische Maßnahmen jedoch allein
nicht aus. Dem technischen Fortschritt aufseiten
der Angreifer muss mit ebenso gut ausgebildeten
IT-Sicherheitsexperten begegnet werden.

-
-

Fazit

Die Informationssicherheit in Behörden kann
weiter verbessert werden, wenn das Personal sich
in IT-Sicherheitsteams mit den IT-Risiken und
zunehmender Komplexität kontinuierlich aus
einandersetzt. Dazu gehört eine den Aufgaben
angemessene personelle, technische und orga
nisatorische Ausstattung. Eine Lösung bietet die
„Arbeitshilfe zur Feststellung des Aufwandes und
zur Planung des personellen Ressourceneinsat
zes für IT-Sicherheitsteams“ des BSI, die auf der
BSI-Webseite zur Verfügung steht.

-

-

-

Page 67

67

Page 68

68

Impressum

Herausgeber

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Bezugsquelle

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Godesberger Allee 185–189

53175 Bonn

E-Mail

[email protected]

Telefon

+49 (0) 22899 9582-0

Telefax

+49 (0) 22899 9582-5400

Stand

Oktober 2016

Druck

Druck- und Verlagshaus Zarbock Frankfurt am Main

Texte und Redaktion

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Bildnachweis

alle Bilder: iStock.com/jm1366

Gra ken

BSI

Artikelnummer

BSI-LB16/505

Diese Broschüre ist Teil der Öffentlichkeitsarbeit des BSI.

Sie wird kostenlos abgegeben und ist nicht zum Verkauf bestimmt.

www.bsi.bund.de

Impressum

Herausgeber

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Bezugsquelle

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Godesberger Allee 185–189

53175 Bonn

E-Mail

[email protected]

Telefon

+49 (0) 22899 9582-0

Telefax

+49 (0) 22899 9582-5400

Stand

Oktober 2016

Druck

Druck- und Verlagshaus Zarbock Frankfurt am Main

Texte und Redaktion

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Bildnachweis

alle Bilder: iStock.com/jm1366

Gra ken

BSI

Artikelnummer

BSI-LB16/505

Diese Broschüre ist Teil der Öffentlichkeitsarbeit des BSI.

Sie wird kostenlos abgegeben und ist nicht zum Verkauf bestimmt.

www.bsi.bund.de

mailto:[email protected]
http://www.bsi.bund.de

Similer Documents