Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Bericht zur Lage der IT-Sicherheit in Deutschland 2016 veröffentlicht. Bundesinnenminister Dr. Thomas de Maizière und BSI-Präsident Arne Schönbohm stellten den Bericht in Berlin der Öffentlichkeit vor. Der Bericht zur Lage der IT-Sicherheit in Deutschland beschreibt und analysiert die aktuelle IT-Sicherheitslage, die Ursachen von Cyber-Angriffen sowie die verwendeten Angriffsmittel und -methoden. Daraus abgeleitet zeigt der Lagebericht Lösungsansätze des BSI zur Verbesserung der IT-Sicherheit in Deutschland auf.

Der Lagebericht des BSI verdeutlicht eine neue Qualität der Gefährdung: Die zunehmende Digitalisierung und Vernetzung durch Entwicklungen wie dem Internet der Dinge, Industrie 4.0 oder Smart Everything bieten Cyber-Angreifern fast täglich neue Angriffsflächen und weitreichende Möglichkeiten, Informationen auszuspähen, Geschäfts- und Verwaltungsprozesse zu sabotieren oder sich anderweitig auf Kosten Dritter kriminell zu bereichern. Angreifer verfügen über leistungsfähige und flexibel einsetzbare Angriffsmittel und -methoden. So werden täglich rund 380.000 neue Schadprogrammvarianten entdeckt, die Anzahl von Spam-Nachrichten mit Schadsoftware im Anhang ist explosionsartig um 1.270 Prozent angestiegen. Gleichzeitig verlieren bisherige klassische Abwehrmaßnahmen weiter an Wirksamkeit. Im Fokus der Angriffe stehen Unternehmen und Kritische Infrastrukturen ebenso wie Verwaltung, Forschungseinrichtungen und Bürger. Die Ransomware-Angriffe im Frühjahr 2016 haben deutlich gemacht, welche Konsequenzen diese Entwicklungen haben und wie verwundbar eine digitalisierte Gesellschaft ist.

Mobile Einsatzteams zur Abwehr von Cyber-Angriffen

Aus diesem Grund wird das BSI seine Unterstützungsangebote für Staat, Wirtschaft und Gesellschaft weiter ausbauen. Zur Verbesserung der Reaktionsfähigkeit des BSI bei besonderen IT-Sicherheitslagen werden beispielsweise Mobile Incident Response Teams (MIRT) eingerichtet, die betroffene Stellen vor Ort bei der Abwehr von Cyber-Angriffen unterstützen können. Zudem bringt sich das BSI verstärkt in den großen Digitalisierungsprojekten in Deutschland ein. Das BSI leistet seinen Beitrag zum Gelingen der Energiewende durch die Erarbeitung von Sicherheitskriterien für die Infrastruktur der intelligenten Stromzähler. Das BSI unterstützt bei der Erarbeitung der Sicherheitsaspekte einer Verkehrsinfrastruktur, die Grundlage für autonome oder hochautomatisierte Fahrzeuge ist. Darüber hinaus hat das BSI die wesentlichen Sicherheitsanker der elektronischen Gesundheitskarte und der dazu notwendigen Systeme mitgestaltet und zertiziert.

Cyber-Sicherheit ist Voraussetzung für erfolgreiche Digitalisierung

Hierzu erklärt Arne Schönbohm, Präsident des BSI: „“Die durch die Digitalisierung angestoßenen Entwicklungen sind durchgreifend und werden Deutschland verändern. Der Lagebericht des BSI macht deutlich, dass sich die Frage der Sicherheit der eingesetzten Informationstechnik nicht mehr nur nebenbei stellt. Sie stellt sich auch nicht länger nur einem eingeweihten Kreis der IT-Spezialisten. Vielmehr ist die Cyber-Sicherheit wesentliche Voraussetzung für das Gelingen der Digitalisierung in Deutschland. Wir arbeiten mit verschiedenen Akteuren aus Staat, Wirtschaft und Gesellschaft gemeinsam daran, den Risiken wirksame und umsetzbare Sicherheitsmaßnahmen entgegenzusetzen.““

So hat sich die 2012 vom BSI gegründete Allianz für Cyber-Sicherheit mit mehr als 2.000 Teilnehmern und über 100 Partnern zur größten nationalen Kooperationsplattform entwickelt, die IT-Anwendern in der Wirtschaft umfangreiche Informationen und Empfehlungen zur Prävention, Detektion und Reaktion auf Cyber-Angriffe zur Verfügung stellt und so in einem kooperativen Ansatz zur Verbesserung der Cyber-Sicherheit in Deutschland beiträgt.
Mehr Informationen sind im „Bericht zur Lage der IT-Sicherheit in Deutschland 2016“ verfügbar, der auf der Webseite des BSI zum Download zur Verfügung steht.

Von Anfang an stand Privacy Shield, das Datenschutzabkommen zwischen der EU und den USA, in der Kritik. Nun hat Digital Rights Ireland beim Gericht der Europäischen Union eine Klage eingereicht.

Nachdem der Europäische Gerichtshof vor einem Jahr das Safe Harbor-Abkommen gekippt hatte, das den Schutz personenbezogener Daten bei der Übermittlung von der EU in die USA regelte, wurde mit Privacy Shield schnell ein Nachfolger aufgesetzt. Zu schnell, hatten Kritiker bemängelt – im Prinzip sei es nur ein neuer Name, am unzureichenden Datenschutz habe sich nichts geändert. Diese Auffassung vertritt auch Digital Rights Ireland, das Reuters zufolge eine Nichtigkeitsklage beim Gericht der Europäischen Union (EuG) eingereicht hat, um das Abkommen zu kippen. Die irischen Datenschützer zweifeln an, dass mit Privacy Shield tatsächlich adäquate Mechanismen implementiert wurden, die eine Speicherung und Verarbeitung der Daten von EU-Bürgern in den USA nach europäischen Normen sicherstellen.

Reuters zufolge kann es ein Jahr oder länger dauern, bis das Gericht über die Klage entschieden hat. Zudem sei noch gar nicht sicher, ob sie überhaupt zulässig ist. Insidern zufolge muss zunächst geklärt werden, ob Digital Rights Ireland überhaupt von Privacy Shield betroffen ist und gegen das Abkommen vorgehen kann. Allerdings mussten die Datenschützer rasch handeln, da mit der Veröffentlichung im Amtsblatte am 1. August dieses Jahres die zweimonatige Frist für solche Nichtigkeitsklagen zu laufen begann.

Mehr als 500 Unternehmen haben sich bereits für Privacy Shield registriert, darunter praktisch alle wichtigen Cloud-Anbieter und Internet-Konzerne wie Amazon, Facebook, Google, Microsoft und Salesforce.

Die  Europäische  Kommission  hat  einen  Leitfaden  zum  Privacy-Shield veröffentlicht. Diesen können Interessierte auch in der deutschen Übersetzung abrufen.

Der Leitfaden gibt nicht nur Antworten auf die Frage „Was ist der EU-US-Datenschutzschild und warum brauchen wir ihn?“, sondern gibt auch eine Erklärung zu der Frage, wie genau denn der Schutzschild überhaupt funktioniert.

Für  Betroffene  besonders  interessant  dürften  die  Ausführungen  sein,  welche  Verpflichtungen,  die  dem  Datenschutzschild  angeschlossenen  Unternehmen  haben  und  welche  Rechte  im  Zusammenhang  mit  der  Verwendung  personenbezogenen  Daten  der  Betroffenen bestehen.

Quelle: Europäische Kommission

Zum Datenschutzbeauftragten können jedoch nicht Personen bestellt werden, die daneben im Unternehmen noch solche Aufgaben wahrnehmen, die zu Interessenkonflikten mit den Aufgaben eines Datenschutzbeauftragten führen können. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in einem solchen Fall eine Geldbuße gegen ein Unternehmen ausgesprochen.

Unternehmen und andere Stellen müssen einen Datenschutzbeauftragten bestellen, wenn bei ihnen mindestens zehn Personen mit der automatisierten Verarbeitung  personenbezogener Daten befasst sind. Zahlreiche Unternehmen erfüllen diese  Voraussetzungen. Das Gesetz stellt es Unternehmen und anderen Stellen frei, ob die Funktion des Datenschutzbeauftragten an eine externe Person vergeben wird („externer Datenschutzbeauftragter“) oder aber durch einen Mitarbeiter („interner Datenschutzbeauftragter“) erfüllt wird. Wird ein Mitarbeiter zum Datenschutzbeauftragten  bestellt, so darf er jedoch daneben  nicht  noch  für solche Aufgaben  zuständig sein,  die die Gefahr von Interessenkonflikten mit seiner Funktion als Datenschutzbeauftragter mit sich bringen können.

Eine solche Interessenkollision lag nach Auffassung des BayLDA im Falle eines Datenschutzbeauftragten eines bayerischen Unternehmens vor, der die Position des „IT-Managers“ des Unternehmens bekleidete. Eine  derart exponierte Position im Hinblick auf die Datenverarbeitungsprozesse im Unternehmen ist in aller Regel unvereinbar mit den Aufgaben eines Datenschutzbeauftragten. Dies liefe letztlich auf eine Datenschutzkontrolle eines der maßgeblichen zu kontrollierenden Funktionsträger im Unternehmen durch sich selbst hinaus. Eine solche Selbstkontrolle widerspricht der Funktion eines Datenschutzbeauftragten, der gerade eine unabhängige Instanz sein soll, die im Unternehmen auf die Einhaltung des Datenschutzes hinwirkt. Diese Aufgabe kann der Datenschutzbeauftragte nicht erfüllen, wenn er gleichzeitig maßgebliche operative Verantwortung für Datenverarbeitungsprozesse besitzt.

Das BayLDA hatte das Unternehmen auf diesen Umstand hingewiesen und zur Bestellung eines Datenschutzbeauftragten aufgefordert, der keiner derartigen Interessenkollision unterliegt. Das Unternehmen kündigte zwar wiederholt an, im Zuge von Umstrukturierungen auch die Funktion des Datenschutzbeauftragten neu zu bekleiden. Es versäumte es jedoch über Monate, dem BayLDA den Nachweis für die Bestellung eines geeigneten Datenschutzbeauftragten vorzulegen. Vor  diesem  Hintergrund hat  das  BayLDA  gegen  das  Unternehmen  eine Geldbuße festgesetzt, die inzwischen bestandskräftig ist.

„Der betriebliche Datenschutzbeauftragte ist ein Erfolgsmodell und  ein  sehr  wichtiges  Element der  Datenschutzorganisation in Deutschland. Die Funktion des Datenschutzbeauftragten kann aber nicht durch eine Person wahrgenommen werden, die daneben im Unternehmen noch Aufgaben innehat, die in einem Spannungsverhältnis mit einer  unabhängigen,  effektiven  internen  Aufsicht  über  den  Datenschutz  stehen. Unternehmen,  die  gesetzlich  zur Bestellung  eines  Datenschutzbeauftragten  verpflichtet  sind, können daher  nur  eine  solche Person  zum  Datenschutzbeauftragten  bestellen,  die  in der  Lage  ist,  diese  Aufgabe  frei  von  sachfremden  Zwängen  auszuüben.  Und wenn sie das trotz wiederholter Aufforderung nicht machen, müssen sie notfalls mit Bußgeld dazu gezwungen werden.“, betont Thomas Kranig, der Präsident des BayLDA.

Quelle: https://www.lda.bayern.de/media/pm2016_08.pdf

Bürgerinnen und Bürger europaweit durch unterschiedliche Aktionen für einen sicherheitsbewussten Umgang mit dem Internet zu sensibilisieren, ist das Ziel des European Cyber Security Month (ECSM). Aus diesem Anlass informiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Oktober zu vier verschiedenen Themenschwerpunkten aus dem Bereich der IT- und Internetsicherheit. Den Auftakt macht die Aktionswoche „Sicher online bezahlen“.

Mit dem orts- und zeitunabhängigen Einkauf im Internet ist das Leben von Millionen von Menschen einfacher und bequemer geworden. Ein sicherheitsrelevanter Aspekt dabei ist die Bezahlung. Viele gängige Methoden zur Bezahlung in Online-Shops erfordern die Übermittlung sensibler Informationen wie Kreditkarten- oder Kontodaten. Diese sollten stets verschlüsselt übertragen werden. Verbraucherinnen und Verbraucher erkennen dies an dem Kürzel „https“ und einem kleinen Vorhängeschloss-Symbol in der Adresszeile des Browsers. Es bedeutet, dass der Anbieter der Internetseite nach der Überprüfung durch eine unabhängige Stelle ein gültiges Zertifikat vorweisen kann, das seine Identität bestätigt. Ein besonders hohes Maß an Verlässlichkeit bieten sogenannte Extended-Validation-Zertifikate (EV-Zertifikat), da Antragsteller dafür erweiterte Sicherheitskriterien erfüllen müssen. Zu erkennen ist ein EV-Zertifikat meist an einer grün gefärbten Adresszeile im Browser.

Alternativ können Online-Shopper auf Online-Bezahldienste zurückgreifen. Dort werden die Kontodaten einmalig hinterlegt. Beim Bezahlvorgang wird der Kunde dann vom Internet-Shop auf die gesicherte Seite des Dienstleisters oder die Umgebung der kontoführenden Bank weitergeleitet, wo die Zahlung ausgeführt wird. Eine Weitergabe von sensiblen Kontodaten über das Internet an Dritte ist dadurch nicht notwendig.

Doppelter Nachweis beim Bezahlen

Um dem Missbrauch gestohlener Konto- oder Kreditkartendaten vorzubeugen, existieren Verfahren mit Zwei-Faktor-Authentifizierung. Dabei genügt es nicht, beim Bezahlvorgang lediglich die notwendigen Konto- oder Karteninformationen einzugeben. Vielmehr muss der Nutzer in einer der Kategorien Wissen, Besitz oder Inhärenz den Nachweis erbringen, dass er tatsächlich der rechtmäßige Besitzer des Kontos oder der Bezahlkarte ist. Zu den möglichen Authentifizierungswegen gehören ein Passwort (Wissen), eine beim Bezahlvorgang an das Handy geschickte TAN (Besitz) oder die Übertragung des gescannten Fingerabdrucks (Inhärenz). Dieser Nachweis macht die Kreditkarten- und EC-Karten-Zahlung im Internet sicherer und hilft dabei, Schäden durch Betrugsfälle zu reduzieren.

Weitere Informationen zum Thema sowie ein passendes Video sind abrufbar unter: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/sicher_online_bezahlen_05102016.html

Über den ECSM

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt und koordiniert im Oktober den European Cyber Security Month (ECSM) in Deutschland. Unter dem Motto „Ins Internet – mit Sicherheit“ informiert das BSI während des Aktionsmonats über die alltäglichen Gefährdungen in der Cyber-Welt und sensibilisiert Bürgerinnen und Bürger sowie Organisationen für einen umsichtigen und verantwortungsbewussten Umgang mit dem Internet. Neben dem BSI mit seinen Aktivitäten beteiligen sich über 50 weitere Partner mit eigenen Aktionen am ECSM.

Quelle: BSI Pressemitteilung