[datensicherheit.de, 07.03.2024] Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seinen Mindeststandard für Webbrowser nun auch auf solche für mobile Plattformen ausgedehnt. „Webbrowser dienen als zentrale Software, um sich im Internet zu bewegen. Dabei verarbeiten sie auch Daten aus nicht vertrauenswürdigen Quellen, die schädlichen Code enthalten. Rechner, Handys und Tablets können sich so unbemerkt infizieren.“ Gleichzeitig nähmen die Funktionen und Schnittstellen von Webbrowsern stetig zu. Damit böten sie auch eine zunehmende Angriffsfläche für Cyber-Kriminelle. Die dynamische Entwicklung von Software-Produkten, die fortschreitende mobile Nutzung und die zentrale Rolle von Webbrowsern mache daher die Berücksichtigung aktueller Sicherheitsanforderungen notwendig.

Mindeststandard für Webbrowser in der neuen Version 3.0 veröffentlicht

Das BSI hat nun dazu den Mindeststandard für Webbrowser in der neuen Version 3.0 veröffentlicht. Für die Cyber-Nation Deutschland sei es wichtig, Cyber-Sicherheit aktiv zu gestalten. „Darum legen wir mit dem Mindeststandard die Anforderungen fest, die Webbrowser erfüllen müssen, um in der Bundesverwaltung eingesetzt zu werden – jetzt auch mobil!“, erläutert BSI-Präsidentin Claudia Plattner. Mit ihren Standards formulierten sie unter Beteiligung Dritter den Stand der Technik übersichtlich, einheitlich, praxisrelevant, unterstützend und zielgruppengerecht. Sie könnten also auch außerhalb der Bundesverwaltung als Maßstab dienen. „Damit erhöhen wir automatisch die Cyber-Resilienz in Deutschland.“

Wesentlich erweitert gegenüber der Vorgängerversion habe sich der Anwendungsbereich: Die neue Version gelte erstmals auch für Webbrowser auf mobilen Plattformen („mobile Browser“) der Bundesverwaltung. Der Mindeststandard enthalte entsprechende Hinweise und Ergänzungen, welche die technischen Besonderheiten mobiler Betriebssysteme berücksichtigten. So seien die Anforderungen sowohl auf Arbeitsplatzrechnern als auch auf mobilen Plattformen anwendbar.

Grundsätzlich kann jeder Webbrowser zum Einsatz kommen, der den Mindeststandard erfüllt

Zusammen mit dem Mindeststandard habe das BSI auch die zugehörige Browser-Abgleichstabelle aktualisiert. Diese diene als Arbeitshilfe für Anwender in der Bundesverwaltung. Diese beschreibe für die dort am häufigsten eingesetzten Webbrowser die Umsetzung der Mindeststandard-Anforderungen. Grundsätzlich könne aber jeder Webbrowser zum Einsatz kommen – „mit dem der Mindeststandard erfüllt werden kann“.

Der erstmals 2017 nach § 8 Abs. 1 BSIG veröffentlichte Mindeststandard für sichere Webbrowser richtet sich laut BSI in erster Linie an IT-Verantwortliche, IT-Betriebspersonal und Informationssicherheitsbeauftragte der Bundesverwaltung. Er könne aber auch Ländern, Kommunen sowie der Wirtschaft und Verbrauchern als Orientierung dienen. Weitere Mindeststandards, etwa für die Nutzung externer „Cloud“-Dienste oder das Mobile-Device-Management, sind auf der BSI-Website veröffentlicht. Das BSI hat nach eigenen Angaben einen Newsletter eingerichtet, „der über alle neuen Entwicklungen im Bereich der Mindeststandards informiert“.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik
Mindeststandard des BSI für Webbrowser

Bundesamt für Sicherheit in der Informationstechnik
Mindeststandards des BSI nach § 8 Abs. 1 Satz 1 BSIG

[datensicherheit.de, 08.10.2013] Im Rahmen der IT-Fachmesse it-sa in Nürnberg hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Mindeststandard für den Einsatz einer Transportverschlüsselung mittels des TLS-Protokolls veröffentlicht. Demnach wird in der Bundesverwaltung das Protokoll TLS 1.2 in Kombination mit Perfect Forward Secrecy (PFS) als Mindeststandard auf beiden Seiten der Kommunikationsbeziehung vorgegeben. Zudem muss dies durch eine geeignete, dem Schutzbedarf entsprechende, Konfiguration ergänzt werden. Der Mindeststandard kann neben Einrichtungen der Bundesverwaltung auch Unternehmen, Webseitenbetreiber und andere Institutionen dabei unterstützen, das eigene IT-Sicherheitsniveau sowie das ihrer Kunden und Partner zu erhöhen. Dabei ist der Mindeststandard als Handlungsempfehlungen zu verstehen, um sicher über das Internet kommunizieren zu können. Das BSI empfiehlt Anwendern aufgrund der dynamischen IT-Bedrohungslage einen raschen und möglichst flächendeckenden Umstieg auf TLS 1.2.

Das TLS-Protokoll (Transport Layer Security) dient der Sicherstellung von Vertraulichkeit, Authentizität und Integrität bei der Übertragung von Daten in unsicheren Netzwerken. So kommt die TLS-gesicherte Übertragung im Internet (mittels HTTPS) bei zahlreichen Anwendungen wie Homebanking, eCommerce oder eGovernment zum Einsatz und soll gewährleisten, dass sensible Informationen wie Zugangsdaten, PINs oder Passwörter sicher übertragen werden können.

Vom Mindeststandard zur Verwaltungsvorschrift

Gemäß § 8 Absatz 1 des BSI-Gesetzes hat das BSI die Befugnis, allgemeine technische Mindeststandards für die Sicherung der Informationstechnik des Bundes festzulegen. Der Mindeststandard beschreibt die zu erfüllenden sicherheitstechnischen Anforderungen an eine Produkt- bzw. Dienstleistungskategorie oder Methoden, um einen angemessenen Mindestschutz gegen IT-Sicherheitsbedrohungen zu erreichen. Mindeststandards stellen zunächst unverbindliche Empfehlungen dar. Nach Zustimmung des IT-Rats kann das Bundesministerium des Innern die im Mindeststandard formulierten Anforderungen ganz oder teilweise als allgemeine Verwaltungsvorschrift erlassen und dadurch für die Bundesverwaltung für verbindlich erklären.
Darüber hinaus kann auch der IT-Planungsrat die Mindeststandards des BSI als gemeinsame Standards für den Datenaustausch zwischen Bund und den Ländern festlegen.

Schutzbedarf individuell analysieren

Eine Migration zu TLS 1.2 umfasst in der Regel nicht nur Software-, sondern auch Hardware-Produkte und kann kosten- und zeitintensiv sein. Daher rät das BSI, bis zur Umstellung zusätzliche Schutzmaßnahmen umzusetzen. So kann TLS 1.0 in bestehenden Anwendungen übergangsweise weiter eingesetzt werden, sofern geeignete Schutzmaßnahmen gegen bereits bekannte Angriffe gegen das SSL/TLS-Protokoll (z.B. BEAST, CRIME) ergriffen werden. Zudem sollten während der Übergangsphase alternative Maßnahmen zum Schutz der Vertraulichkeit der Kommunikation getroffen werden. So sollte sich beispielsweise der TLS-Server in einer gesicherten Umgebung befinden, damit kein Angreifer Zugriff auf den geheimen Schlüssel erlangen kann.