US-Executive Order - Verbesserung der nationalen Cybersecurity

 Die US-Administration hat soeben eine präsidentielle Verordnung (Executive Order) veröffentlicht, in der ein Bündel der Cybersecurity Maßnahmen definiert ist. Nach den jüngsten Cyberangriffen gegen staatliche Organisationen und Provider der kritischen Infrastruktur will man rasch handeln. Die Administration Biden's meint, die Lage der Cybersecurity erfordert ganz einschneidende Maßnahmen. Der kleinen Verbesserungen reichen nicht mehr aus. Deswegen fordert die Verordnung eine Umsetzung der vorgeschlagenen Maßnahmen binnen sehr kurzen Zeitrahmen - viele der Punkte müssen schon in 60 oder 90 Tagen erledigt sein.

Im Kern der Verordnung steht eine moderne Cybersecurity-Strategie mit Zero-Trust-Architektur, Multifactor-Authenitifizierung, Daten-Verschlüsselung und einer angemessenen Cloud-Security. Die Verordnung konzentriert sich nicht nur auf die Bestimmung der notwendigen Sicherheitsmaßnahmen, sondern auch auf Methoden für regelmäßige Überprüfung der Einhaltung dieser Maßnahmen.

Ein anderer wichtiger Aspekt der Verordnung ist Sicherheit von Software Supply Chain. Auch hier sollen binnen kurzer Zeit Sicherheitsmaßnahmen für die Implementierung und auch Überprüfung der Software definiert und umgesetzt werden. Dazu gehören auch geeignete Tools für Code-Analyse und Suche nach Vulnerabilities.

Mit dieser Verordnung und im Rahmen dieser Verordnung ausgearbeiteten konkreten Vorgaben und Überprüfungsmethoden werden alle US-staatlichen Organisationen zur Implementierung dieser Maßnahmen verpflichtet. Auch die Lieferanten der Software-Produkte und Cloud-Services werden dann nachweisen müssen, dass ihre Produkte die Vorgaben erfüllen.

Diese Verordnung ist ein gewaltiges Packet von Maßnahmen, mit dem Ziel die Cybersecurity der Regierungsorganisationen zu modernisieren. Die konkrete Benennung der erforderlichen Maßnahmen und Umsetzungstermine zeigt die Entschlossenheit der Biden's Administration die längst notwendige Modernisierung endlich umzusetzen.

Ich denke, wir in Europa müssen sehr genau die Arbeiten an der Umsetzung dieser Verordnung beobachten. Es können dabei ganz neue, praktische Cybersecurity-Standards entstehen, die auch in Europa eingesetzt werden sollen.

https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/

NIST Cybersecurity Framework ist die Basis für Schutz der kritischen Infrastruktur in den USA

Government Accountability Office (GAO), US-Organisation welche für die Koordination der Maßnahmen zum Schutz der kritischen Infrastruktur verantwortlich ist, hat das NIST "Framework for Improving Critical Infrastructure Cybersecurity" als eine obligatorische Basis für die Umsetzung der Cybersecurity erklärt. 

Die Version 1.1 dieses Frameworks, publiziert am 16. April 2018, unterteilt alle erforderlichen Cybersecurity-Maßnahmen in 5 Haupt-Funktionen: Identify, Protect, Discover, Respond und Recover. Nur ein sinnvoller Einsatz aller diesen Funktionen kann eine ausreichende Cybersecurity garantieren.

• Critical Infrastructure Agencies Must Fully Adopt NIST Cyber Framework, GAO Says
• Cybersecurity Framework Version 1.1

MELANI, Swiss national Cert organisation, warns of the risk of ransomware

MELANI, Swiss national Cert organisation, just published warning about the risk of ransomware for medium and small companies. All the infection cases, which MELANI analysed, showed a lack of based IT Security.

Under the identified weaknesses are at two really catastrophic: lack of anti-virus software and not maintaining offline backups. And two which are sadly very common too: ineffective patch and life-cycle management and lack of network segmentation; and excessive user privileges.

Here is the list of weaknesses published by MELANI: lack of anti-virus software or ignoring or not taking seriously anti-virus warnings; poorly protected remote access procedures; ignoring or not taking seriously notifications from authorities; not maintaining offline backups; ineffective patch and life-cycle management; lack of network segmentation; and excessive user privileges.

Bad Guys veröffentlichen gestohlene Daten

Bad Guys hinter den Ransomware-Angriffen haben gerade eine neue Methode entdeckt, wie sie angegriffenen Unternehmen zur Zahlung eines Lösegeldes zwingen können. Offensichtlich zahlen viele Opfer des Ransomware-Angriffs das verlangte Lösegeld nicht. Solche Unternehmen haben eine Sicherung der Daten und versuchen, alle Daten wiederherzustellen, statt zu zahlen. Um das "Zahlungsmoral" der Opfer zu steigern, drohen Bad Guys jetzt mit Veröffentlichung der gestohlenen Daten. Die Gruppe hinter Maze Ransomware hat sogar eine Website dafür eingerichtet. Dort werden Namen der angegriffenen Unternehmen und auch gestohlene Daten exemplarisch publiziert.

Diese Methode stellt die Opfer der Ransom-Attacken vor neue Herausforderungen. Erstens, viele Unternehmen haben den Angriff verschwiegen. Andere Unternehmen haben zwar zugeben, angegriffen zu sein. Sie haben aber behauptet, dass trotz der Verschlüsselung der Daten durch Ransomware keine internen Daten gestohlen und kompromittiert wurden. Diese Behauptung war zwar nie besonders glaubwürdig. Eine Ransomware, welche unentdeckt in das interne Netzwerk eines Unternehmens eindringt, hat sicherlich auch die Möglichkeit zumindest einen Teil der Daten vor der Verschlüsselung zu stehlen. Es ist auch fraglich, ob angegriffene Unternehmen überhaupt fähig sind, festzustellen, ob und welche Daten gestohlenen worden sind. Die meisten Unternehmen haben nicht genug Log-Daten und Auswertungsmöglichkeiten, um solche Aussage fundiert zu machen. Es fehlte aber bis vor kurzem ein greifbarer Beweis, dass bei Ransomware-Angriffen auch Daten gestohlen werden. Die Veröffentlichung der gestohlenen Daten durch Maze Ransomware schafft hier Klarheit. 

Da es sich bei vielen gestohlenen Daten um personenbezogene Daten handelt, müssten die betroffenen Unternehmen solche Vorfälle immer an die zuständige Datenschutzbehörde (nicht nur innerhalb der EU) melden. Was viele angegriffenen Unternehmen bis vor kurzem nicht gemacht haben. Das kann hohe Strafen für Missachtung der DSGVO nach sich ziehen.

Patientendaten aus französischer Medizin-Cloud offen im Internet

Kaum ein Tag vergeht ohne einem Sicherheitsvorfall. Diesmal ist ein französisches Medizinunternehmen betroffen. Fast eine Million Dateien mit Patientendaten waren offen aus Internet erreichbar. Die Ursache war, wie so oft, eine falsche Konfiguration des Speichers in der Amazon-Cloud. 

Auch dieses Daten-Leak wäre leicht zu vermeiden. Man muss nur regelmäßig alle aus Internet erreichbaren Server scannen und überprüfen, ob sie richtig konfiguriert und keine Schwachstellen vorhanden sind. Das ist heutzutage eine absolut grundlegende Sicherheitsmaßnahme und es gibt unzählige Tools und Services dafür. Jedes Unternehmen, welches eigene (on-Prem und auch in der Cloud) Infrastruktur nicht scannt, handelt fahrlässig.

Dieser Sicherheitsvorfall hat aber einen zusätzlichen Aspekt. Bei den kompromittierten Daten handelt sich um Gesundheitsdaten. Solche Daten sind laut DSGVO als besondere Kategorie der personenbezogenen Daten eingestuft und erfordern damit einen besonderen Schutz. Auf jeden Fall ist ein Unternehmen, welches solche Daten verarbeitet und speichert, verpflichtet eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Im Rahmen einer DSFA muss man bestimmen, mit welchen Risiken die Verarbeitung dieser personenbezogenen Daten für die Rechte und Freiheiten der natürlichen Personen verbunden ist. Entsprechend dieser Risikoanalyse sind auch alle notwendigen Sicherheitsmaßnahmen zu ergreifen, um diese Risiken zu minimieren. Artikel 32 von DGVO schreibt etliche Sicherheitsmaßnahmen vor, darunter auch Verschlüsselung der Daten. Ich würde sehr gerne die Ergebnisse von DSFA für diesen Fall sehen.

Der Betreiber dieser Medizin-Cloud betont auf seiner Website, dass die Firma die höchsten Ansprüche wie DSGVO, HIPPA, ISO usw. einhält. Offensichtlich nicht ganz.

Wie Heise Online berichtet gibt das Unternehmen diesen Vorfall zu. Der CEO des Unternehmens relativiert aber die Kritikalität des Vorfalls:

In einer Mitteilung des Unternehmens auf der Webseite zur Datensicherheit gesteht der CEO des Unternehmens den Datenvorfall zwar ein, aber die Einlassungen erwecken nicht den Eindruck, dass man sich dort des Ernstes der Lage bewusst ist. So wird auf die sichere medizinische Cloud sowie ein sicheres Hosting (Personal Data Hosting) verwiesen. Die Anwendung sowie die Datenverwaltungspraxis sei 2018 von einer auf GDPR (die DSGVO) spezialisierten Anwaltskanzlei geprüft worden, um die Einhaltung der angeblich 2019 in Kraft getretenen Datenverordnung zu gewährleisten, so der CEO der Firma in seiner Einlassung.

Angesicht des Vorfalls ist die Frage völlig berechtigt, ob eine Überprüfung durch eine Anwaltskanzlei ausreichend für die Erfüllung der DSGVO ist. Auf jeden Fall muss solche juristische Überprüfung durch eine regelmäßige sicherheitstechnische Überprüfung ergänzt werden.

Aus für regelmäßigen Passwort-Wechsel

Endlich kommt auch BSI zu der Meinung, dass regelmäßiger Passwort-Wechsel die Sicherheit eher verschlechtert. NIST empfiehlt kein Passwort-Wechsel schon seit mehr als 2 Jahren. Stattdessen sollen Systemadministratoren ständig überprüfen, ob die Passwörter bereits kompromittiert sind. Nur dann sollten solche Passwörter gewechselt werden.

https://www-heise-de.cdn.ampproject.org/c/s/www.heise.de/amp/meldung/Passwoerter-BSI-verabschiedet-sich-vom-praeventiven-Passwort-Wechsel-4652481.html

Pentagon veröffentlicht Cybersecurity Maturity Model Certification

Pentagon hat gerade ein interessantes Konzept für Cybersecurity Maturity Model Certification präsentiert. Dieses Konzept ermöglicht eine präzise Einschätzung der Reifegrade der 17 definierten Cybersecurity Domänen. Die Einschätzung basiert auf dem klassischen 5-stufigen Maturity Model. Das Konzept beinhaltet in summe 171 Sicherheitsmaßnahmen ( als Practises in CMMC bezeichnet). Diese Sicherheitsmaßnahmen sind einzelnen Domänen und gleichzeitig den Reifegraden zugeordnet.

https://www.acq.osd.mil/cmmc/docs/CMMC_Model_Main_20200203.pdf

BSI veröffentlicht ein neuer Baustein für Software-Entwicklung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das IT-Grundschutz-Kompendium 2020 gerade veröffentlicht. Dieses Kompendium beschreibt auf 880 Seiten die IT-Grundschutz-Bausteine. 

„Im Fokus des IT-Grundschutz-Kompendiums stehen die sogenannten IT-Grundschutz-Bausteine. In diesen Texten wird jeweils ein Thema zu allen relevanten Sicherheitsaspekten beleuchtet. Im ersten Teil der IT-Grundschutz-Bausteine werden mögliche Gefährdungen erläutert, im Anschluss wichtige Sicherheitsanforderungen. Die IT-Grundschutz-Bausteine sind in zehn unterschiedliche Schichten aufgeteilt und reichen thematisch von Anwendungen (APP) über Industrielle IT (IND) bis hin zu Sicherheitsmanagement (ISMS).“

Die Struktur des Kompendiums ist in einer Mindmap sehr gut graphisch dargestellt.

Das Kompendium 2020 beinhaltet auch ein neuer Baustein - CON.8 Software-Entwicklung. Die Zielsetzung dieses Bausteines wird von BSI so definiert:

„...die Software-Entwicklung nimmt eine zentrale Rolle (in einer Institution) ein, indem aus den Anforderungen der Institution ein Programm-Code entwickelt bzw. angepasst wird. Hierbei ist es von essentieller Bedeutung, dass die Informationssicherheit über den gesamten Software-Entwicklungsprozess hinweg berücksichtigt wird, da nur auf diese Weise die Informationssicherheit der zu entwickelnden Software-Lösung und im Rahmen des Entwicklungsprojektes selbst gewährleistet werden kann.“

Der Baustein Software-Entwicklung beschreibt nur sehr allgemein sichere Rahmenbedingungen für sichere Software-Entwicklung. Der Gefährdungskatalog beschreibt die gängigen Gefahren in der Software-Entwicklung und die definierten Anforderungen helfen den Leiter der Software-Entwicklung alle notwendigen Regeln und Maßnahmen für sichere Entwicklung zu implementieren.

„Der Baustein stellt keine vollständige Anleitung oder generelle Vorgehensweise für die Entwicklung von Software dar, sondern er konzentriert sich auf die relevanten Aspekte der Informationssicherheit bei der Software-Entwicklung. Mit diesem Baustein wird der Baustein CON.5 Entwicklung und Einsatz von Individualsoftware um konkrete Aspekte zur Eigenentwicklung von Software erweitert. „

Es ist also ein typischer Management-Ansatz, welcher in der betrieblichen Praxis mit davon abgeleiteten technischen und organisatorischen Maßnahmen ergänzt werden muss. Die Liste der Anforderungen aus dem Baustein kann dabei als eine Checkliste dienen, um die Vollständigkeit der Umsetzung zu überprüfen.

Cyberattacke zwingt ein Unternehmen zum Konkurs

Unternehmen, die Opfer einer Cyber-Attacke wurden oder von Ramson befallen wurden, müssen nicht nur mit lang daurdenden Unterbrechungen des Betriebes und hohen Kosten der Abwehr und Behebung der Angriffsfolgen rechnen. Ein Angriff kann auch zum Schließen des Unternehmens führen. Diese für die Existenz eines Unternehmens gravierende Folgen berechtigten sehr wohl sinnvolle Investitionen in die präventiven und aufdeckenden Sicherheitsmaßnahmen. Für kleinere Unternehmen ist das Outsourcing der Security Prävention un Detection an einen professionellen Manage Security Service Anbieter wahrscheinlich die beste Lösung.

https://www.zdnet.com/article/company-shuts-down-because-of-ransomware-leaves-300-without-jobs-just-before-holidays/

Zero Trust ist einer der wichtigsten Prinzipien der modernen Sicherheit

Der im Artikel Dr. Datenleck (C‘T Ausgabe 25, 2019 - https://www.heise.de/select/ct/2019/25/1575649819093453) beschriebener Fall der Kompromittierung der hoch sensiblen Daten von ca 30.000 Patienten zeigt deutlich, wie wichtig die ständige Überprüfung der Sicherheitseinstellungen ist. Bei dem konkreten Fall handelt es sich um Daten der Patienten einer Arztpraxis, die für alle aus Internet eine zeit lang offen zugänglich waren. Der Server, auf dem die Daten gespeichert worden sind, sollte nur über Port 443 aus Internet erreichbar sein. Der Server war jedoch über Ports 440 bis 449 erreichbar. Damit war die SMB Schnittstelle des Servers offen aus Internet zugänglich. Nach dem Hinweis der Redaktion hat der zuständige IT-Techniker die Konfiguration des Routers korrigiert. Für die Arztpraxis und den IT-Techniker war somit der Fall erledigt. Die C‘T Redakteure haben nach einigen Tagen wiederholt die Einstellung überprüft und stellten fest, dass auf die Daten auf dem Server wieder jeder aus Internet zugreifen kann. Nach weiterer Recherche fand man heraus, dass das Problem auf einen Fehler in der Firmware des Routers zurückzuführen ist.

Dieser Fall ist typisch. Sehr oft werden präventive Sicherheitsmaßnahmen etabliert und im besten Fall gleich nach dem Aufsetzen nur einmal getestet. Man nimmt an, dass diese Maßnahmen dann immer richtig wirken. Das ist leider sehr oft nicht der Fall. Das zeigt der gerade beschriebene Vorfall sehr deutlich.

Was kann in solchen Fällen helfen? Was muss man tun, um das Risiko des Datenverlustes zu minimieren?

Man muss bei der Einrichtung der präventiven Maßnahmen immer das „Zero Trust“ Prinzip anwenden. Man muss also davon ausgehen, dass unter gewissen Umständen unsere Prävention versagt und nicht mehr richtig funktioniert. Man muss neben den präventiven Maßnahmen sofort auch entsprechende Überwachung einrichten. Ziel dieser Überwachung ist die ständige Überprüfung der Wirksamkeit der eingesetzten präventiven Kontrollen. In dem geschilderten Fall muss man zumindest ständig Portscans machen und alarmieren, falls unnötige offene Ports gefunden werden.

Ähnliche Situation betrifft auch zum Beispiel das Patching von Sicherheitsschwachstellen. Sehr viele Unternehmen patchen ihre IT-Systeme nur teilweise. Es werden Patches nur für bestimmte Software-Produkte (sehr oft nur Produkte von Microsoft, weil diese in SCCM voll integriert sind) eingespielt. Noch immer wird viel zu selten überprüft, ob alle diese Patches tatsächlich auf allen IT-Systemen des Unternehmens richtig installiert sind. Auch hier muss man das Prinzip „Zero Trust“ anwenden und mit einem Vulnerabilty Scanner alle IT-Systeme auf fehlende Sicherheitspatches überprüfen. Die Erkennung der Sicherheitsschwachstellen sollte erstens ständig „continuous“ erfolgen und mit einem Risiko Assessment verknüpft sein. Continuous Vulnerability Assessment ist ein Teil von CARTA (Continuous Adaptive Risk and Trust Assessment), einen modernen, von Gartner vorgestellten Konzept. Es ist eine der wichtigsten Sicherheitsmaßnahmen, welche CISO in nächster Zeit im Unternehmen umsetzen muss:

“If you can do only two things in 2019, implement an intelligent, CARTA-inspired approach to vulnerability management project and MFA for admins.” –Brian Reed, Gartner Analyst

Der geschilderte Verlust der Daten von 30.000 Patienten, zeigt deutlich wie wichtig die Befolgung des „Zero Trust“ Prinzip ist und mit welchen Konsequenzen Unternehmen zu rechnen haben - hohe Strafen für die Verletzung von DSGVO.

Cybersecurity im Digitalen Wandel – Die wichtigsten Bedrohungen, Trends und entscheidende Maßnahmen

Ein Interview, durchgeführt am 9 Februar 2017 

Inwieweit verändert sich durch den digitalen Wandel die Bedeutung von IT-Security?

Die zukünftige Rolle von IT-Security – und hier würde ich lieber über Information Security sprechen, weil eben die Sicherheit der Information entscheidend sein wird – hängt sehr stark von Veränderungen ab, die der digitale Wandel mit sich bringt und weiterbringen wird. Was wird sich grundsätzlich ändern? Ich denke es sind vor allem vier Aspekte: 1. Daten werden zum Hauptrohstoff der digitalen Wirtschaft, 2. alle Geschäftsprozesse werden weitgehend vollständig automatisch ablaufen, 3. zentrale Plattformen werden viele Geschäftsprozesse auf Basis von Big Data und künstlicher Intelligenz managen, 4. dezentrale Kommunikation basierend auf Blockchain-Technologie und IoT schafft autonome Peer2Peer Systeme, die viele Daten erfassen und austauschen werden, um autonome Entscheidungen zu treffen. Digitale Wirtschaft wird also massiv data-centric sein. Sogar in der Produktion der materiellen Güter wird das Wissen wie man produziert am wertvollsten sein. Unternehmen, die Daten und intelligente Analyse-Technologie zur Verfügung haben, werden zu den Gewinnern des digitalen Zeitalters zählen. Vielleicht – wobei das eher noch eine Vision ist – erleben wir eine Zeit, in der in den Bilanzen der Unternehmen statt dem “klassischen”, auf materiellen Werten basierenden Anlagevermögen die Position Datenvermögen auftauchen wird.

Die Automatisierung, die nicht nur die Menschen bei der Arbeit unterstützt, sondern sogar fast vollständig ersetzt, sehen wir schon jetzt in der Finanzbranche bei Daily Trading und anderen Finanzprozessen. Interessant ist, dass auch sehr viele Angriffe gegen unsere Unternehmen automatisch durchgeführt werden.

Daraus ergeben sich klare Anforderungen an Information Security von morgen: Schutz der wichtigen Daten des Unternehmens und Sicherstellung der einwandfreien Funktionsweise der automatisierten Geschäftsprozesse. Wenn ein Unternehmen es nicht schafft seine digitalen Werte vor Dieben und der Konkurrenz zu schützen, wird es bald Bankrott gehen.

Was müssen Unternehmen im Bereich IT-Security tun, um im digitalen Business erfolgreich zu sein?

Unternehmen müssen zunächst eine einfache, schnell anpassbare Strategie entwickeln. Eine solche Strategie berücksichtigt den Wert der Daten für das Unternehmen und die größten Gefahren und leitet daraus die erforderlichen und praktischen Sicherheitsmaßnahmen ab. Die Cybersecurity muss weitgehend automatisch erfolgen. Das ist die einzige Chance, automatische Angriffe rechtzeitig zu erkennen und abzuwehren. Unternehmen müssen auch überprüfen, ob sie über eine ausreichende Zahl an kompetenten Ressourcen verfügen und ob es nicht sinnvoller ist, diese Aufgabe an ein Managed Security Service zu übergeben.

Das ist besonders wichtig angesichts der rasanten Zunahme der Bedrohungen und der zunehmenden Stärke der Angriffe – z. B. ist die DDOS Angriffsstärke im Jahr 2016 von 300 Gbit per second auf 1,2 Terabit per second gestiegen, also um das Vierfache!

Was sind die wichtigsten Risiken, mit denen Unternehmen im Bereich Cybersecurity umgehen müssen?

Es gibt sehr viele Gefahren für jedes Unternehmen im Bereich Cybersecurity. Das Internet ermöglicht Angriffe gegen unsere Unternehmen von jedem Ort der Welt. Alle Internet-Nutzer der Welt können zumindest potentiell versuchen, Daten zu stehlen oder unsere Unternehmen zu infiltrieren. Je mehr Geschäft online stattfindet, umso mehr lockt es potentielle Angreifer. Die Angreifer wollen schnell Geld machen, sei es durch die Erpressung oder durch Verkauf oder Nutzung der gestohlenen Daten. Zur Zeit ist es auch ein relativ leicht “verdientes Geld”. Die Hauptrisiken sind derzeit aus meiner Sicht vor allem 1. Unterbrechung der wichtigen Geschäftsprozesse (DDOS mit Erpressung), 2. Malware-Infektion (Infiltration des Unternehmens mit diversen Absichten oder Ramsonware), 3. Online-Fraud, Betrug (CEO Fraud, Rechnungen mit gefälschten Bankkontodaten, …), 4. Datendiebstahl. Die Erpressungsversuche mit Ramsonware und DDOS sind aktuell sehr populär. Solche Angriffe kosten den Angreifer fast nichts, auf jeden Fall viel weniger als der Schaden, den sie anrichten. Angreifer nutzen hier die vorhandenen Botnetze und die Schwäche der Cybersecurity in vielen Unternehmen aber auch Anonymität, die z.B. Bitcoin-Zahlung garantiert.

Ich möchte hier auch auf das Problem des Identitätsdiebstahls hinweisen. Die Zahl der gestohlenen Identitäten ist erschreckend hoch und beträgt für das Jahr 2016 mehr als eine Milliarde. Jede dieser gestohlenen Identitäten kann (und wird in vielen Fällen bereits) für Angriffe gegen die Unternehmen genutzt werden.

Inwieweit verändert sich der rechtliche Rahmen?

Der Gesetzgeber ist in letzter Zeit sehr aktiv und sorgt mit diversen gesetzlichen Initiativen für mehr Sicherheit. Es ist eine klare Tendenz erkennbar, Schutz der Daten und Schutz gegen Cyber Kriminalität mit rechtlichen Maßnahmen zu verbessern. Hier kann man in erster Linie zwei Gesetze der EU erwähnen: Datenschutzgrundverordnung (EU-DSGV) und Network & Information Security (NIS). EU-DSGV betrifft alle Unternehmen, die personenbezogene Daten verarbeiten, also praktisch alle. Bis 25. Mai 2018 haben Unternehmen Zeit, sich auf das neue Gesetz vorzubereiten. EU-DSGV zwingt alle Unternehmen – unter Androhung extrem hohen Strafen – den Schutz der Daten natürlichen Personen zu garantieren.

Für NIS wird derzeit die österreichische Fassung unter dem Namen Cybersecurity Gesetz vorbereitet. Das Ziel ist hier, den Schutz kritischer Infrastruktur (also Infrastruktur, die für normales Funktionieren der Gesellschaft extrem wichtig ist) zu erhöhen. Provider der kritischen Infrastruktur, aber auch Unternehmen aus einigen anderen Branchen, die für Online-Wirtschaft wichtig sind, werden verpflichtet, ihre Netze gut zu schützen und im Falle eines Vorfalls die Behörde darüber zu informieren.

Man muss hier auch die vielen regulativen Sicherheitsvorgaben in diversen Branchen erwähnen, wie Telekommunikation, Energie oder Banken. Heutzutage sind Unternehmen zunehmend mit gesetzlichen oder regulativen Sicherheits-Vorgaben und Auflagen konfrontiert.

Die CISOs haben den Ruf, Innovationen zu verhindern, Arbeitsabläufe zu erschweren und sind generell eher lästig – Muss das so sein?

Nein, es muss nicht so sein.

Auf einer Seite besteht das Problem darin, dass viele Unternehmen noch nicht erkannt haben, wie wichtig die Daten und deren Verfügbarkeit für den Erfolg des Unternehmens sind. Der CISO sieht schon viele Gefahren kommend, die die anderen im Unternehmen derzeit ignorieren oder bagatellisieren. Trotz der vielen Angriffe, die fast täglich stattfinden, wollen sehr viele Unternehmen die Gefahr noch nicht wahrnehmen. Erst wenn Unternehmen merken, wie viel Geld dabei verloren gehen kann, beginnt das Umdenken. Anderseits erschweren sehr oft Sicherheitsmaßnahmen die Flexibilität der Arbeit. CISOs haben in der Vergangenheit auch zu oft versucht, alle möglichen Sicherheitsmaßnahmen zu etablieren, auch Maßnahmen, die schon etwas veraltet oder nachweislich wenig erfolgreich waren.

Wie kann man es also ändern? Die gute Cybersecurity-Strategie muss von dem ganzen Unternehmen und hier vor allem von den Geschäftsführern und Vorständen getragen werden. Jedes Unternehmen muss sich die Frage stellen, wie viel Sicherheit benötigt wird. Und ob es bereit ist, gewisse aus Sicherheit resultierende Einschränkungen im Kauf zu nehmen. Man darf dabei nicht vergessen, dass es keine 100%-ige Sicherheit gibt und Kosten mit dem Grad der Sicherheit steigen. Jedes Unternehmen sollte also aus der Business-Perspektive entscheiden, wie viel Sicherheit absolut notwendig und akzeptabel ist. Das verbleibende Risiko muss man dann akzeptieren. Wenn so eine Cybersecurity-Strategie von CISO mit dem Business gemeinsam ausgearbeitet wird, wird die Akzeptanz der sich daraus ergebenden Maßnahmen kein großes Thema sein.

Glenn Greenwald - Die globale Überwachung

Das Buch “Die globale Überwachung” von Glenn Greenwald habe ich in Zürich gekauft. Nach einer internationalen Konferenz blieb mir dort am Samstag etwas Zeit um in einer Buchhandlung bei der Heimstrasse, glaube ich, nach interessanten Büchern zu suchen. Dieses Buch lag neben einigen weiteren Bücher zu dem Thema Überwachung durch die NSA. Die Autoren der anderen Bücher waren jedoch nicht in den Fall Snowden und der Veröffentlichung seiner Informationen involviert. Sie sind die typischen Trittbrettfahrer, die auf das spannende Thema aufgesprungen sind und versuchen daraus Kapital zu schlagen. Glenn Greenwald ist aber der Journalist, dem Snowden vertraute, ihm seine Geschichte erzählte, NSA Dokumente übergab und ihn ersuchte, das ganze professionell für die Öffentlichkeit vorzubereiten und zu veröffentlichen. Das Buch versprach also einen Bericht aus erster Hand.

Warum entschloss sich Snowden für Greenwald? Greenwald ist ein ehemaliger Rechtsanwalt, der aber seit Jahren als ein unabhängiger Journalist arbeitet. Der in Brasilien lebende Greenwald setzt sich für die Bürgerrechte und für mehr Kontrolle der Behörden ein. Besonders stark tritt er gegen die scheinbare Argumentation der Regierung auf, dass nach dem 11 September der Kampf gegen die akute Bedrohung durch Terrorismus viel mehr Befugnisse für die Geheimdienste erfordert. Befugnisse, die eindeutig die bis jetzt geltenden bürgerlichen Rechten zum Schutz der Privatsphäre verletzen. Greenwald schrieb schon seit Jahren kritisch über die NSA. Greenwald ist tief davon überzeugt, dass eine unkontrollierte Ansammlung von Macht früher oder später zu missbräuchlichen Verwendung führt. Er schreibt - “Zu erwarten, dass die amerikanische Regierung unter vollständiger Geheimhaltung eine riesige Überwachungsmaschine unterhält, ohne ihren Verlockungen zu unterliegen, widerspricht einfach die Erfahrungen der Geschichte und der menschlichen Natur”. Dagegen gibt es nur ein gutes Mittel - Transparenz. Somit war Greenwald für Snowden genau der Mann, den er brauchte, um mit seinen Enthüllungen an die Öffentlichkeit zu gelangen.

Nachdem ich, wie schon gesagt, an diesem Samstag viel Zeit hatte, verbrachte ich einen schönen, sonnigen Nachmittag am Ufer des Zürcher See mit eben diesem Buch von Greenwald in der Hand. Im ersten Teil des Buches beschreibt Greenwald die Geschichte seines Treffens mit Snowden und die hektischen Gespräche und Vorbereitungen, die der Veröffentlichung vorausgegangen sind. Es ist ein Tatsachenbericht. Dieser Teil ist sehr gut und spannend geschrieben. Ich las es in einem Kaffeehaus direkt beim See, umgeben von Unmengen an Zürcher-Familien, die in großen Scharen mit Kindern, Omas und Hunden den wunderschönen, warmen Tag neben mir genossen. Ich las es fast ohne Unterbrechung und erlebte, Greenwald folgend, seine aufregenden Diskussionen mit Snowden in Hongkong.

Natürlich habe ich mich schon voriges Jahr intensiv mit dem Fall Snowden befasst. Seine Enthüllungen waren überall zu lesen und führten zu heftigen Diskussionen. Ich kannte die meisten Informationen schon auswendig, dachte jedoch, dass ein Bericht aus erster Hand, in dem die Fakten und Ereignisse in einer geordneten Struktur und authentisch durch den voll involvierten Zeugen dargelegt wurden, für mein besseres Verständnis dieses Falles und die sich daraus ergebenden Implikationen für uns als freie Gesellschaft und für jeden einzelnen von uns als potentielles Opfer der Überwachung nützlich sein wird. Am Rande dachte ich auch, dass Greenwalds Mut eine kleine Anerkennung von mir verdient hat und bezahlte gerne die 32 Schweizer Franken für dieses Buch.

Für mich gänzlich neu war die Darstellung der Gespräche Greenwalds mit der Redaktion des Guardian. Guardian war vom ersten Moment, als Greenwald die Zeitung kontaktierte und ihnen das Material angeboten hat, an einer Veröffentlichung interessiert. Guardian's Chefredakteurin erkannte jedoch sofort die Brisanz und Gefahr, die so eine Publikation mit sich bringt. Es folgten dann unzählige Beratungen mit Anwälten. Um den Vorwurf aus dem Weg zu gehen, die Veröffentlichung dieser Dokumente gefährde die nationale Sicherheit, wurde auch die Regierung und die NSA kurz vor der Publikation darüber informiert. Washington Post, die diese Informationen sogar vor dem Guardian angeboten bekam, wollte zuerst auf die Publikation verzichten. Washington Post wollte ihre regierungstreue Position nicht aufs Spiel setzen und wegen Landesverrats angeklagt werden. Erst als Washington Post über Guardians Publikationspläne erfuhr - und diese Information bekamen sie wahrscheinlich von einem hohen Regierungsbeamten! -, hat sie auch einen Artikel über PRISM veröffentlicht. Dass die Washington Post, neben Guardian, den Pulitzerpreis 2013 für mutigen Enthüllungsjournalismus bekam, scheint aus der Perspektive des Berichts von Greenwald nicht wirklich verdient zu sein.

Greenwald und Snowden ging das alles zu langsam. Sie wollten nicht warten. Snowden wollte unbedingt in die Öffentlichkeit gehen und seinen Namen als Informant bekannt geben, bevor die Regierung ihn entdecken und als Verräter gebrandmarkten konnte. Greenwald hat sogar überlegt, die Veröffentlichung ohne Guardian selbst durchzuführen. Ihm war jedoch klar, dass er ohne Schutz einer großen Zeitung mit ihren Anwälten, Kontakten und Möglichkeiten extrem schwer unter Beschuss geraten würde.

Ein zweiter interessanter Aspekt ist die Motivation von Greenwald und Snowden für so eine Tat. Was hat sie dazu bewegt? Vor allem für Snowden müsste es klar gewesen sein, dass er als Verräter das schlimmste zu befürchten hat. Es müsste für ihn klar gewesen sein, dass er kein normales Leben mehr führen wird können und mit großer Wahrscheinlichkeit im Gefängnis den Rest seines Lebens verbringen wird. Es ist auch sehr unwahrscheinlich, dass er glauben konnte, die Amerikaner werden ihn als Held feiern. Letztendlich, um die Gesetzesverletzungen anderer und die gängige, nicht bekannte Praxis der Überwachung und Bespitzelung einer breiten Öffentlichkeit bekannt zu machen, brach er selbst die geltenden Gesetze. Für Snowden ist Demokratie ein sehr wichtiges Gut. Er nahm Anleihen bei der römischen Republik, indem er den Codenamen Cincinnatus benutzte - Cincinnatus war ein römischer Bauer, der für kurze Zeit als Diktator Roms ernannt wurde und gleich nach dem Sieg über die Gegner Roms sein Amt niederlegte. Er zitierte auch gerne den berühmten Satz von Thomas Jefferson - “lasst uns daher in Fragen der Macht nicht mehr von Vertrauen auf den Menschen hören, sondern haltet ihn durch Ketten der Verfassung von Unheilstiftung ab”. Greenwald schreibt ausführlich über seine und Snowden's Motivation. Snowden hat über seine Tat offensichtlich lange vorher nachgedacht. Snowden selbst formulierte seine Beweggründe so - “wenn für einen Augenblick offengelegt wird, welches Konglomerat aus geheimen Absprachen, willkürlich gewährter Straffreiheit und überbordender Exekutivbefugnisse die Welt, die ich liebe, beherrscht, dann bin ich zufrieden.”

Greenwald schreibt sehr viel über Sicherheitsvorkehrungen, zu denen Snowden ihn verpflichtet hat. Snowden, gut wissend was möglich ist, wollte nicht abgehört werden. Er kommunizierte mit Greenwald nur über verschlüsselte Kanäle. Er weigerte sich Greenwald Informationen zu geben, solange er nicht die nötige Verschlüsselungssoftware installiert hat. In Summe wirken jedoch die von Greenwald beschriebenen Maßnahmen etwas punktuell und kindisch. Laura Poitras, die mit Greenwald gemeinsam gearbeitet hat und den ersten Kontakt zu Snowden hatte, übergab Greenwald im Taxi ein USB-Stick mit allen NSA Dokumenten. Das geschah noch in den USA, bevor sie gemeinsam nach Hongkong flogen, um dort Snowden zu treffen. War es nicht Leichtsinn? Bei einer Kontrolle am Flughafen hätte ja alles aufliegen können.

In Hongkong nahm Greenwald und Poitras Kontakt mit Snowden auf. Sie arbeiteten mit ihm gemeinsam an der Vorbereitung der Publikation. Gleichzeitig kontaktierte Greenwald etliche Redakteure des Guardian, um die Publikation in die Wege zu leiten. Viele Personen, Redakteure, Anwälte und zuletzt auch die Beamten der Regierung, haben über die geplante Veröffentlichung Bescheid gewusst. Das Material wurde laufend an mehreren Tagen veröffentlicht. Während dieser Zeit gab Greenwald den Fernsehstationen mehrere Interviews. Er traf sich auch täglich mit Snowden. Wäre es nicht ein leichtes Spiel für die mächtigste Spionageorganisation der Welt, die Identität Snowdens festzustellen, ihn als Verräter anzuklagen und eine Auslieferung in die USA zu beantragen? Damit hätten sie den Plan der Aufdecker durchkreuzt und die Wirkung der veröffentlichten Information stark gemildert - nach den ersten Publikationen beschäftigte sich die Öffentlichkeit ausschließlich nur mit den gesetzeswidrigen Taten der NSA, der Informant stand gar nicht im Vordergrund. War die NSA also tatsächlich derart massiv über die Enthüllungen überrascht und kannte die Identität des Informanten vor der Bekanntgabe durch den Guardian nicht? Es ist kaum vorstellbar oder diese Organisation ist doch nicht so mächtig wie wir das annehmen?

Ich kann allen Greenwald's Buch empfehlen. Es ist ein spannendes, gesellschaftspolitisches Thema, das sich wie ein guter Krimi liest. Über die Folgen der Enthüllungen Snowden's sollte jeder von uns nachdenken.