Aktuelles, Branche - geschrieben von am Mittwoch, April 6, 2016 23:49 - 2 Kommentare

Neue Backdoor-Klausel nimmt IT-Systemanbieter in die Pflicht

Clavister gibt Unbedenklichkeitserklärung zu eigenen Produkten ab

[datensicherheit.de, 06.04.2016] Nicht erst seit dem NSA-Abhörskandal seien „Backdoors“ ein geflügelter Begriff in der IT-Branche. Auch Deutschland reagiere jetzt auf diese meist von Regierungsseite initiierten Hintertüren in Security-Hardware – Bund, Länder und Kommunen seien ab sofort dazu verpflichtet, ausschließlich auf IT-Dienstleister zurückzugreifen, die nachweislich keine „Backdoors“ in ihrem Betriebssystem haben. Thomas Gross, „Channel Account Manager“ bei Clavister geht in einer aktuellen Stellungnahme der Frage nach, ob es solche Anbieter überhaupt noch gibt.

Industriespionage von staatlicher Seite

Seit dem „PRISM“-Vorfall im Jahr 2013 fühlten sich Unternehmen vermehrt überwacht und ausgenutzt. Unwissentlich vertrauten sie auf Security-Anbieter, die „Backdoors“ (unauthorised code) in die Betriebssysteme ihrer Lösungen einbauten, dazu gedrängt von Regierungsseite mit dem Ziel, dass Geheimdienste sich über die undichte Hardware Zugriff auf die Unternehmenssysteme verschaffen und Informationen letztlich zum Schutz besagter Firmen hätten sammeln sollen, so Gross. Doch die eigentlich guten Absichten hätten sich ins Gegenteil verkehrt.
Die abgehörten Unternehmen prangerten Geheimdienste wie NSA oder BND an, denn es sei somit „Industriespionage von staatlicher Stelle“ betrieben worden. Zudem hätten Hacker die „Backdoors“ unbemerkt für IT-Angriffe genutzt.

Neue Ergänzende Vertragsbedingungen

Die Folgen dieses Skandals seien bis heute zu spüren. Daher habe der Kooperationsausschuss ADV Bund/Länder/Kommunaler Bereich (KoopA ADV) in Abstimmung mit dem Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. (BITKOM) kürzlich neue „Ergänzende Vertragsbedingungen“ (EVB-IT) für die Beschaffung von IT-Hardware beschlossen. Kernpunkt sei eine „No backdoors“-Klausel“, die verpflichtend von Bundesbehörden, Ländern und Kommunen eingehalten werden müsse. Kurzum: Alle gekauften Sicherheitslösungen müssten zu 100 Prozent frei von „Backdoors“ sein!
Damit dürften nur noch Hardware-Produkte beschafft werden, für die vom IT-Dienstleister bzw. Hardware-Hersteller eine entsprechende Gewährleistung übernommen werde, betont Gross.

Clavister setzt auf Eigenentwicklung

Aus diesen Gründen habe Clavister schon immer eine eigene Software sowie Betriebssysteme entwickelt – in Europa, genauer gesagt in Schweden. Nie habe man „Backdoors“ in die Lösungen eingebaut und werde dies auch nie tun, versichert Gross. So könne man den Kunden seit 2003 schriftlich bestätigen, dass dank kompletter Eigenentwicklung 100-prozentig zu gewährleisten sei, „frei von Hintertüren zu sein“.



2 Kommentare

Sie können Kommentare zu diesem Eintrag über den RSS-2.0-Feed verfolgen. Sie können einen Kommentar hinterlassen oder einen Trackback von Ihrer Website hierher setzen.

admin
Apr 8, 2016 4:35

…neue ergänzende vertragsbedingungen? lächerlich, da nicht realisierbar, gerade auf seiten der hardware!

Prof. Dr. Hartmut Pohl
Apr 17, 2016 9:36

Das ist aber noch lange nicht ausreichend: Die einfache Forderung der Öffentlichen Hand auf Hintertüren-Freiheit hilft hier natürlich überhaupt nicht weiter.

Unverzichtbar ist eine technische Überprüfung der Software (und auch Hardware!) wie sie z.B. die ISO 27034 vorgibt mit (1) Security Requirements Analyse, (2) Threat Modeling der Sicherheitsarchitektur, (3) Static Source Code Analysis des Quellcodes, (4) Penetration Testing und Dynamic Analysis – Fuzzing des ausführbaren Codes sowie insbesondere eine Konformitätsprüfung (!) auf Übereinstimmung von Code und Dokumentation:

Leistet das Produkt vielleicht mehr als dokumentiert ist? Und auch die Behauptung der Hersteller, ‚meine Entwickler tun das nicht‘ ist wirkungslos, wenn z.B. Open Source Suiten ungeprüft eingesetzt werden!

Insgesamt aber schon eine gute Marketingaktion und fachlich ein allererster Schritt in die richtige Richtung.

Kommentieren

Kommentar

Current ye@r *

Schulungsangebot

mITSM ISO 27001 Zertfifizierungs Audit

Partner

ZIM-BB
fit4sec

Gefragte Themen


Datenschutzhinweis