Cyber-Sicherheit: Kein geschützter Raum

Cyber-Sicherheit Cyber-Angriffe führen zu schwerwiegenden IT-Ausfällen in Kommunen, Krankenhäusern und Unternehmen. Sie verursachen zum Teil erheblichen wirtschaftlichen Schäden und bedrohen existenzgefährdend Produktionsprozesse, Dienstleistungsangebote und Kunden. Der Bericht zur Lage der IT-Sicherheit in Deutschland 2021* macht deutlich: Die erfolgreiche Digitalisierung ist auf Grund der zunehmenden Vernetzung, einer Vielzahl gravierender Schwachstellen in IT-Produkten sowie der Weiterentwicklung und Professionalisierung von Angriffsmethoden zunehmend gefährdet.

BSI-Präsident Arne Schönbohm sagte dazu: „Im Bereich der Informationssicherheit haben wir – zumindest in Teilbereichen – Alarmstufe Rot. Der neue Lagebericht des BSI zeigt deutlich wie nie: Informationssicherheit ist die Voraussetzung für eine erfolgreiche und nachhaltige Digitalisierung."

Am Beispiel von erfolgreichen Ransomware-Angriffen werde deutlich, wie extrem sich mangelnde Informationssicherheit auswirken kann: So musste sich ein Krankenhaus für 13 Tage von der Notfallversorgung abmelden. Immer öfter sind auch ganze Lieferketten von derartigen Angriffen beeinträchtigt, mit Folgen nicht nur für die Opfer, sondern auch für deren Kunden oder für andere unbeteiligte Dritte.


Das BSI beobachtet zudem die Weiterentwicklung von kriminellen Methoden. So wird bei Ransomware-Angriffen neben der Forderung nach einem Lösegeld immer öfter auch damit gedroht, zuvor gestohlene Daten zu veröffentlichen. Mit dieser Schweigegelderpressung erhöhen Cyber-Kriminelle den Druck auf Betroffene. Auch DDoS-Angriffe haben im Berichtszeitraum deutlich zugenommen. Sie werden dazu eingesetzt, digital Schutzgeld zu erpressen.


Im Februar 2021 hat das BSI den höchsten jemals gemessenen Wert an neuen Schadprogramm-Varianten notiert. Pro Tag kamen durchschnittlich 553.000 neue Varianten hinzu. Insgesamt wurden im Berichtszeitraum 144 Millionen neue Schadprogramm-Varianten gezählt, ein Plus von 22 Prozent gegenüber dem Vorjahreszeitraum.


Auch die Qualität und die Verbreitung vieler gravierender Schwachstellen in IT-Produkten gibt Anlass zur Sorge. So wurde eine gravierende Schwachstelle in Microsoft-Exchange auf 98% aller geprüften Systeme festgestellt. Das BSI hatte darauf mit einer Warnung der Stufe Rot reagiert und öffentlich und gezielt die Betroffenen zum Handeln aufgerufen.
Als Konsequenz aus der Bedrohungslage fordert das BSI, der Informationssicherheit einen höheren Stellenwert beizumessen. Im Rahmen von Digitalisierungsprojekten sollte die Cyber-Sicherheit fest verankert werden sowie die gesamte Lieferkette umfassen.


In dem Bericht wird auf die Sicherheit von Medizinprodukten eingegangen. Das Projekt „ManiMed – Manipulation von Medizinprodukten" hat von Anfang 2019 bis Dezember 2020 versucht, die Cyber-Sicherheitslage von aktuell auf dem deutschen Markt verfügbaren vernetzten Medizinprodukten durch tiefgehende IT-sicherheitstechnische Untersuchungen möglichst realistisch abzubilden. Insgesamt wurden dabei mehr als 150 Schwachstellen in zehn Produkten aus fünf Kategorien (implantierbare Herzschrittmacher, Defibrillatoren und deren Zubehör, Insulinpumpen, Beatmungsgeräte, Patientenmonitore und Infusionspumpen) sowie der jeweils zugehörigen Infrastruktur gefunden. Die meisten Schwachstellen betrafen das Zubehör, beziehungsweise die Infrastrukturkomponenten, nicht das Medizinprodukt selbst.


Am 12. April 2021 wurde das Projekt eMergent gestartet, um die Digitalisierung im Rettungsdienst zu analysieren. Hier liegt der Fokus auf bodengebundenen, mobilen Medizinprodukten und Dokumentationssystemen, die nicht auf eine geschützte Infrastruktur zugreifen können.


Der Report widmet sich auch eHealth und Telematik-Infrastruktur: „Im Nachweis der Sicherheit von Anwendungen der Telematik-Infrastruktur ist ein Umdenken erforderlich." Die auf den Konnektor auch heute noch angewendeten Zertifizierungs- verfahren (wie die aktuellen Produkttypversion-4-Zertifizie- rungen) würden sich auf Smartphone-Anwendungen, wie das Frontend der Versicherten, nur eingeschränkt anwenden lassen. Durch eine Vielzahl an Betriebssystemversionen und eng getaktete Updates sowohl der Apps als auch der Betriebssysteme würden die etablierten Prüfmechanismen vor großen Hürden stehen. Das BSI hat deshalb die „Prüfvorschrift Frontend des Versicherten - elektronische Patientenakte" vorgelegt, indem ein maßgeschneidertes alternatives Prüfverfahren definiert wurde.


 

Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI), „Bericht zur Lage der IT-Sicherheit in Deutschland 2021“; Foto: Cover Bericht; PM 19-2021-1


powered by webEdition CMS