KRITIS - Kritische Infrastrukturen verstehen und schützen

Die zunehmende Abhängigkeit von vernetzten Systemen macht Gesellschaft, Wirtschaft und Staat besonders verwundbar gegenüber Störungen, die kaskadierende Effekte auslösen können. Großflächige Stromausfälle dienen als anschauliches Beispiel: Trotz geringer Eintrittswahrscheinlichkeit wären die Folgen kaum kontrollierbar, bestenfalls abmilderbar. Daraus leitet sich die zentrale Forderung ab, die Resilienz kritischer Infrastrukturen (KRITIS) kurz- und mittelfristig systematisch zu erhöhen. In Deutschland ist KRITIS eng an regulatorische Vorgaben gekoppelt, eingebettet in EU-Initiativen (EPCIP, Richtlinie 2008/114/EC, NIS-Richtlinie) und nationale Gesetze (BSIG, IT-Sicherheitsgesetz, BSI-KritisV). Kritische Infrastrukturen werden konzeptionell in neun Sektoren und 29 Branchen gegliedert; Betreiber müssen u. a. Kontaktwege sicherstellen, erhebliche IT-Störungen melden, Maßnahmen nach „Stand der Technik“ umsetzen und diese alle zwei Jahre nachweisen, auch über Zertifizierungen oder Audits.

Branchenspezifische Anforderungen werden über B3S-Dokumente (Branchenspezifische Sicherheitsstandards) konkretisiert, die vom BSI genehmigt werden und typische Inhalte wie Schutzziele, Bedrohungslage, Risikomanagement und Prüfbarkeit abdecken. Anhand der Sektoren Energie, Ernährung/Wasser, Transport, Gesundheitswesen sowie Finanzen/Versicherungen wird gezeigt, wie stark IT zum operativen Rückgrat geworden ist: von Netzsteuerung, Lieferketten und Verkehrslenkung bis zu Patientenmanagement und digitalen Finanzprodukten. Ein DB-Szenario illustriert, wie privilegierte Zugriffe, Konfigurationsänderungen und Überwachung/Genehmigung zentral sind, um menschliche Fehler und Missbrauch zu reduzieren. Als Kernanforderung wird ein ISMS nach DIN ISO/IEC 27001 hervorgehoben, ergänzt durch Threat Intelligence/SOC-Fähigkeiten sowie eng integriertes Identity & Access Management und Privileged Access Management, um kompromittierte privilegierte Konten, technische Identitäten und Cloud-/DevOps-Zugriffe kontrollierbar, auditierbar und resilient zu machen.

• 2010 erschien ein Bericht des Büros für Technikfolgen-Abschätzung beim Deutschen Bundestag zusammen mit dem KIT zur Gefährdung durch großräumige Stromausfälle.
• Die Studie bewertete Stromausfälle als Beispiel für „kaskadierende Schadenseffekte“ und sah die Folgen als bestenfalls milderbar.
• 2006 initiierte die EU das Europäische Programm zum Schutz kritischer Infrastrukturen (EPCIP).
• 2008 wurde die EU-Richtlinie 2008/114/EC zur Identifizierung kritischer europäischer Infrastrukturen erlassen.
• 2016 wurde die NIS-Richtlinie als wichtiger Baustein der EU-weiten Cybersicherheitsgesetzgebung etabliert.
• In Deutschland legen BSIG und das IT-Sicherheitsgesetz zentrale Grundlagen für KRITIS-Anforderungen; die BSI-KritisV wurde 2016 ergänzt.
• Neun Sektoren und 29 Branchen gelten derzeit als kritische Infrastrukturen.
• Betreiber kritischer Infrastrukturen müssen erhebliche IT-Störungen melden und alle zwei Jahre einen Nachweis gegenüber dem BSI erbringen.
• Ein gemeinsamer Bericht von Lloyd’s Insurance und dem Centre for Risk Studies der University of Cambridge schätzte die Auswirkungen eines Cyberangriffs auf das US-Energienetz auf 243 Mrd. USD; die extremste Version lag bei über 1 Billion USD.
• B3S-Dokumente müssen vom BSI genehmigt werden und sind nicht in allen Branchen verfügbar.

• „Kritikalität ist der relative Grad, in dem eine Infrastruktur im Hinblick auf die Folgen, die eine Störung oder Fehlfunktion für die Versorgungssicherheit wichtiger Güter und Dienstleistungen für die Gesellschaft hat, wichtig ist.“
• „Kritische Infrastrukturen (KRITIS) sind Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden“.
• „IT-Sicherheit und Cyber-Resilienz können als der gemeinsame Nenner aller Sektoren angesehen werden.“
• „IT-Sicherheit ist ein „Schwächstes-Glied-Szenario“: Der Verteidiger muss viele verschiedene Systeme und Komponenten schützen, während der Angreifer nur eine - oder wenige - Schwachstellen identifizieren muss“
• „Die isolierte Umsetzung einzelner Maßnahmen (Antivirensoftware, Firewalls, etc.) wird als unzureichend erachtet.“
• „Die Ursache für die meisten dokumentierten Angriffe sind kompromittierte privilegierte Benutzerkonten.“
• „Jeder Zugriff auf Managementkonsolen muss als privilegiert betrachtet werden.“
• „API-Schlüssel dürfen niemals direkt zugänglich sein und müssen daher in einem sicheren digitalen Tresor geschützt werden“
• „Die Aufrechterhaltung der Funktionsfähigkeit einer kritischen Infrastruktur steht daher im Mittelpunkt aller Angriffsszenarien, von absichtlichen Angriffen bis hin zum versehentlichen Missbrauch.“
• „Das Beste, was Sie mit Ihrer eigenen IT machen können, ist, nicht darauf zu warten, dass die gesetzlichen Regelungen nach dem ersten kritischen Vorfall in Kraft treten.“