Kritische Infrastrukturen im Visier: Hacker könnten Wasserversorgung kappen

„BSI-KritisV“ sollte dringend umgesetzt werden, um Zugriffe zu überwachen und zu beschränken

[datensicherheit.de, 21.07.2016] Matthias Schulte-Huxel, „CSO“ für das Berliner ARM-System „8MAN“ (Access Rights Management), warnt vor folgendem filmreifen Szenario: Hacker könnten bei höchster Sommerhitze die Wasserversorgung in Großstädten manipulieren – mit dramatischen Folgen. Denn jedes Wasserwerk sei heute ein computergesteuertes IT-System und dementsprechend anfällig gegen einen gezielten digitalen Angriff. „Richtlinien zur Compliance sind hier überlebenswichtig“, betont Schulte-Huxel.

Externe wie interne Zugriffe auf Kritis überwachen!

Mit der Kritis-Verordnung (BSI-KritisV) liegt laut Schulte-Huxel ein erster Entwurf des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Schaffung einer Verordnung vor, mit der die Verantwortlichkeiten klar geregelt seien: Das „Access Rights Management“ (ARM) sei „wesentlicher Bestandteil zur Absicherung kritischer Infrastrukturen“.
Neben dem Feind von außen müsse auch der interne Zugriff kontrolliert werden. Konkret: „Wer hat auf welche Systeme Zugriff, wie kann das überwacht werden – und was passiert im Fall eines Angriffs?“.

„Access Rights Management“ zur Erfüllung der Nachweispflicht

Unbefugte Zugriffe auf Daten seien eine gefährliche Quelle für unkalkulierbare Risiken. Bei Infrastrukturen, deren Funktion unmittelbar mit dem staatlichen Gemeinwesen verbunden ist, zögen Ausfälle oder Beeinträchtigungen erhebliche Störungen der öffentlichen Sicherheit und Gesundheit nach sich. Nur eine interne ARM-Lösung könne hierbei den Nachweis führen, wer zu welcher Zeit Zugriff gehabt hat. Ebenso könne ggf. bewiesen werden, dass ein Zugriff nicht möglich war.
„Zur Zeit ist Fakt, dass jeder Mitarbeiter in einer solchen Infrastruktur einen Satz elektronischer Schlüssel für unkontrollierbar viele Türen hat“, warnt Schulte-Huxel. Mit denen könne er sich Zugang zu Systemteilen verschaffen, die nicht unmittelbar mit seiner Aufgabe verbunden seien. Zudem werde der „Fingerabdruck“, der beim Zugriff der Mitarbeiter auf Daten, die sie eigentlich nicht benötigten, entstehe, bisher nicht analysiert.

Berechtigungsmanagement als Schutz für Unternehmen und Mitarbeiter

Eine ARM-Lösung wie z.B. „8MAN“ mache quasi auf Knopfdruck ersichtlich, wer welche Berechtigungen im Unternehmen hat. Diese Funktion erstrecke sich auf sämtliche digitale Systeme und umfasse auch Hintertüren wie Gruppenzugehörigkeiten. Damit schütze das sogenannte „Need-to-know-Prinzip“ nicht nur das Unternehmen, sondern im Fall der Fälle auch den einzelnen Mitarbeiter.
Berechtigungen könnten ebenso leicht verändert werden, jeder Eingriff werde dabei protokolliert. Über einfache Nutzerschnittstellen könnten jedoch auch Fachabteilungen individuell Rechte vergeben; ein Vieraugen-Prinzip und volle Protokollierung sicherten den Prozess ab.