Anzeige

Paragraph

IT-Systeme in kritischen Infrastrukturen (KRITIS) sind nicht vor Cyberangriffen gefeit. Wie aus dem „Lagebericht der IT-Sicherheit in Deutschland 2020“ hervorgeht, stieg allein die Anzahl der Hackerattacken im Gesundheitsbereich mit Fokus auf Krankenhäuser von 11 Attacken in 2018 auf 43 Attacken in 2020.

Auch Angriffe im Energiesektor nahmen deutlich zu: In den vergangenen drei Jahren stieg die Anzahl der Angriffe von vier auf 26. Insgesamt mehr als 400 meldepflichtige IT-Sicherheitsvorfälle bei KRITIS-Betreibern wurden 2020 angezeigt – ein Anstieg von über 60 Prozent im Vergleich zum Vorjahr.

Die Bundesregierung hat erkannt, dass KRITIS-Betreiber Nachholbedarf haben und in der Folge das IT-Sicherheitsgesetz angepasst werden muss. „In der KRITIS fehlt es derzeit am Wesentlichen: Betreiber setzen auf alte Geräte, die zum Teil keine Updates mehr erhalten, eine fehlende Routine macht insbesondere multiple Angriffe erfolgreicher und Mitarbeiter werden nicht oder unzureichend geschult“, so Patrycja Schrenk, Geschäftsführerin der PSW GROUP, zu den hohen Zahlen. Verständlich, wenn hier nachgerüstet werden muss.

Doch obwohl noch im Entwurf, ist jetzt schon klar, dass das IT-Sicherheitsgesetz 2.0 sowohl Hersteller als auch Betreiber künftig verstärkt in die Pflicht nehmen wird. Der aktuell dritte Entwurf sorgt vor allem angesichts der Verhältnismäßigkeit diverser Passus für reichlich Diskussionsspielraum und erregt auch den Unmut der IT-Sicherheitsexperten der PSW GROUP: „Zum einen ignoriert das für das Gesetz zuständige Bundesministerium des Inneren offenbar Vorschläge von UP KRITIS, einer extra ins Leben gerufenen öffentlich-privaten Kooperation zwischen verschiedenen KRITIS-Betreibern, Verbänden und staatlichen Stellen, zur Neuauflage des IT-Sicherheitsgesetzes. Das ist ärgerlich und wenig zielführend. Vor allem aber sehe ich einige neue Sonderrechte des BSI als strittig und es fehlt mir insgesamt an Transparenz und Nachvollziehbarkeit von Bestimmungen“, kritisiert Schrenk.

So erhält das BSI mit dem IT-Sicherheitsgesetz 2.0 neue Befugnisse: Es darf hacken und muss Sicherheitslücken nicht zwangsläufig veröffentlichen. Um Betroffene von Sicherheitslücken oder –vorfällen zu benachrichtigen, bekommt das BSI darüber hinaus das Recht, Bestandsdaten wie Name oder Adresse bei Telekommunikationsanbietern abzufragen. Zudem darf die Behörde Informationen über ihr bekannte Sicherheitslücken oder Schadprogramme zurückhalten, wenn damit eine Weiterverbreitung oder rechtswidrige Ausnutzung verhindert werden kann oder weil sie gegenüber Dritten zur Vertraulichkeit verpflichtet ist. „Diesen Passus erachte ich als extrem strittig. Denn so können Geheimdienste und die Polizei Zero-Day-Exploits weiter für eigene Zwecke nutzen“, kritisiert Schrenk.

Weiter ermächtigt das IT-Sicherheitsgesetz 2.0 das BSI, freiwillige IT-Sicherheitskennzeichen einzuführen. Ein solches Kennzeichen besteht aus der Zusicherung eines Herstellers oder Diensteanbieters, dass sein Produkt bestimmte IT-Sicherheitsanforderungen erfüllt sowie aus einer Information des Bundesamtes über sicherheitsrelevante IT-Eigenschaften des Produktes. „Ein solches freiwilliges IT-Sicherheitskennzeichen klingt zunächst nicht schlecht. Es ist aber ein nationaler Alleingang, der die Wirksamkeit europäischer Bestimmungen beschädigen könnte. Neben einem erhöhten Aufwand für Unternehmen ist auch Verbrauchern nur bedingt geholfen, wenn eine immer größer werdende Zahl an Gütesiegeln eher Verwirrung stiftet“, meint Patrycja Schrenk.

Geplant ist zudem eine 12-monatige Speicherzeit für Protokolldaten: Kommunizieren Bürger und Verwaltungseinrichtungen oder Parlamentarier online miteinander, können vom BSI anfallende Protokolldaten inklusive persönlicher Nutzerinformationen wie IP-Adresse zwölf Monate lang gespeichert und ausgewertet werden. So darf das BSI interne Protokollierungsdaten aus allen Behörden als Aufzeichnung über die Art der IT-Nutzung zur Gefahrenabwehr für die bundesinterne Kommunikationstechnik verarbeiten. Trojaner wie Emotet oder komplexe Angriffe sollen so besser erkannt werden.

„Für den aktuellen Entwurf des IT-Sicherheitsgesetzes hätte ich mir eine bessere Evaluation des 2015 verabschiedeten Ursprungsgesetzes gewünscht. Zudem erinnern die Bußgeldregelungen stark an die der DSGVO. Eigene Überlegungen wären hier besser gewesen. Denn die DSGVO soll das Recht auf informationelle Selbstbestimmung des Bürgers sowie dessen Datenschutz stärken, das IT-Sicherheitsgesetz 2.0 die IT-Sicherheit der KRITIS-Betreiber. Beides mit demselben Maß zu bemessen, halte ich für unüberlegt“, kritisiert die IT-Sicherheitsexpertin.

Weitere Informationen finden Sie hier.

www.psw-group.de
 


Artikel zu diesem Thema

Corona-Impfstoff
Jan 28, 2021

Cyberangriffe im Gesundheitswesen wegen Corona-Impfstoff um 51 % gestiegen

Im Dezember letzten Jahres haben die Cybersecurity-Spezialisten von Imperva einen Anstieg…
Selbsttest
Jan 25, 2021

Selbsttest: Wie sicher ist Ihre kritische Infrastruktur?

Neben der Sicherheit auf der informationstechnischen Ebene unterschätzen viele…
KRITIS
Apr 03, 2020

IT-Schutz für kritische Infrastruktur dringend notwendig

Cyber-Security-Experte Avi Kravitz warnt vor zu lockerem Umgang mit IT-Security und…

Weitere Artikel

Ransomware

Lehren aus dem Ransomware-Angriff auf den Pipelinebetreiber Colonial

Die Folgen der Ransomware-Attacke auf den größten US-Pipelinebetreiber Colonial sind noch nicht ausgestanden. Die Benzinversorgung der US-amerikanischen Ostküste ist durch die Cyberattacke empfindlich gestört worden, die US-Regierung warnt derweil vor…
Hacker

Angst vor Cyber-Kriminellen? So können Sie sich schützen!

Mehr Angst vorm Hacker-Angriff als vor dem Einbruch in die eigene Wohnung: 39 Prozent der Internet-Nutzerinnen und -Nutzer fürchten sich mehr vor Kriminalität im Netz als in der analogen Welt.
Gesundheitswesen

Hohe Risiken für Patientendaten und medizinische Forschungsergebnisse

Der neue Datenrisiko-Report für den Gesundheitssektor von Varonis Systems zeigt ein enormes Ausmaß an Exposition interner und sensibler Dateien in Krankenhäusern, Biotech- und Pharmaunternehmen.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.