Vom Blauen Planeten in die Weiten des Weltalls: Die neue Richtlinie “Informationssicherheit für Weltraumsysteme” (BSI-TR-03184) ist da. Was sagt zur sichere Konfiguration von IT-Systemen? Welche Maßnahmen werden gefordert?
Wie es zu der “Weltall-Richtlinie für IT-Sicherheit” kam
Warum beschäftigt sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit Weltraumtechnik? Dafür gibt es mehrere Gründe.
Zum einen ist Deutschland schon viele Jahrzehnte im All aktiv. Und wie es scheint, werden deutsche Unternehmen und Organisationen ihr Engagement im Orbit und darüber hinaus intensivieren. Zum anderen hat eine europaweit gültige Informationssicherheitsrichtlinie damit zu tun: NIS-2.
NIS-2 wurde im Dezember 2022 im Amtsblatt L333 der EU veröffentlicht. Daraus ergaben sich unter anderem diese Folgen:
-
- NIS-2 trat am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft. Damit ist die Richtlinie seit Januar 2023 gültig.
- Die EU Mitgliedstaaten müssen die Richtlinie innerhalb von 21 Monaten nach Inkrafttreten in nationales Recht umsetzen – also bis 2025.
- Die Umsetzung der europaweiten NIS-2-Richtlinie erfolgt in Deutschland im sogenannten “NIS2UmsuCG“, auch bekannt als “NIS2 Umsetzungsgesetz”.
- Der Weltraum wird in der NIS-2-Richtlinie als sogenannter “kritischer Sektor” definiert. Daher unterstützt das BSI diesen Bereich mit einer Anforderungsdokumentation.
Was bietet die technische Richtlinie für Weltraumsysteme?
Das BSI arbeitet seit einiger Zeit an Sicherheitsrichtlinien für die Raumfahrt. Beispielsweise wurde Mitte 2022 das “IT-Grundschutzprofil für Weltrauminfrastrukturen” veröffentlicht.
Ende Mai 2023, ganz konkret: am 31.05.2023, gab das Bundesamt ein neues Dokument heraus. Dieses trägt den Titel “Technische Richtlinie BSI TR-03184 Informationssicherheit für Weltraumsysteme“.
Wie kam es dazu? Das BSI schreibt dazu:
“[…] wurden in zahlreichen Workshops Analysen durchgeführt, Risiken identifiziert und Best Practices gesammelt, mit dem Ergebnis einer umfangreichen Tabelle, die für verschiedene Prozesse identifizierten Gefährdungen Bewältigungsmechanismen zuordnet.”
Das Ziel des Dokumentes ist klar:
“[…] soll durch die Hinweise, Kriterien und Methoden dieser Technischen Richtlinie das Bewusstsein für die Informationssicherheit und dessen mannigfaltige Ausprägungen bei den Verantwortlichen in diesem Bereich auf ein hohes Maß sensibilisiert werden.”
Was beinhaltet die neue technische Richtlinie für Weltraumsysteme?
Neben vielen Hinweisen und Anmerkungen verknüpft die Richtlinie zwei zentrale Dinge miteinander:
-
- Gefährdungen und
- Bewältigungsmaßnahmen
Nicht erst seit der Aktualisierung der ISO 27001:2022 ist das Thema “Härtung” aka “sichere Systemkonfiguration” (engl. “system hardening”) eine wichtige präventive und inzwischen auch normativ geforderte technische IT-Maßnahme.
Auch im Weltraum spielt das Thema “Configuration Management” – und damit die Systemhärtung – eine tragende Rolle. In der Richtlinie BSI TR-03184 gibt es zum Beispiel die Maßnahme “BM18 – Definition und Umsetzung eines Konfigurations-Managements”. Dort heißt es:
“Überwachung der Konfiguration und des Konfigurationswechsels von Geräten mittels z.B. Lebenszeitdatenblätter, Versionskontrolle zum Informationserhalt (insbesondere Kryptogeräte).”
In der Referenztabelle wirkt diese Maßnahme ganz konkret auf verschiedene Gefährdungen und mitigiert das daraus resultierende Riskiopotential. Es werden ein paar Beispiele genannt. Die aus unserer Sicht ganz wichtigen Punkte haben wir fett markiert:
-
- G01 – Verlust/Veränderung von Informationen
- G07 – Logische Kompromittierung vernetzter Geräte
- G09 – Ausnutzung von Schwachstellen der Anwendungssysteme
- G10 – Diebstahl von Anmeldeinformationen
- G14 – Ausfall der Telekommunikationsverbindungen
- G17 – Fernspionage / Lauschangriff
- G18 – Offenlegen von Informationen
- G22 – Sabotage mittels Hard-/Software
- G25 – Fehlfunktion einer Software
- G26 – Verletzung der Instandhaltung von Informationssystemen
- G28 – Nutzung nicht-autorisierter Software
- G30 – Verfälschung von Daten
- G31 – Bedienungsfehler
- G32 – Ausfall / Fehlfunktion von Geräten
- G36 – Vortäuschen von Umweltereignissen /- alarmen
- G37 – Zerstörung / Beschädigung von Satelliten
- G42 – Veränderung von Parametern
Sprich: Das BSI hat Anforderungen definiert, um die diversen Gefährdungen für IT-Systeme wirkungsvoll zu verringern. Dabei spielt die sichere Konfiguration von Systemen und Komponenten eine wichtige Rolle.
Dabei werden selbstverständlich die drei klassischen Schutzziele der Informationssicherheit in der CIA-Triade bedacht:
-
- Vertraulichkeit – (“Confidentiality”)
- Integrität – (“Integrity”)
- Verfügbarkeit – (“Availability”)
Wie oft müssen die Weltraum-Systeme gehärtet werden?
Wie in vielen anderen Security-Frameworks bereits gefordert, ist die prozessuale Integration sowie die Kontrolle bzw. das Monitoring entscheidend. Gerade bei sicherheitsrelevanten Einstellungen reicht das einmalige Konfigurieren nicht aus. Aus Unternehmens- und Business-Sicht ist es essentiell, eine Änderung von Konfigurationseinstellungen so schnell wie möglich mitzubekommen.
Das berücksichtigt auch das NIST in seiner Publikation zum Thema “Secure Configuration Management”. Die Integration der Systemhärtung in Prozesse sowie die Kontrolle von Änderungen und das Monitoring stellen wichtige Kernbestandteile dar.
Auch das BSI übernimmt diese Sichtweise in seine neue “Weltraumfahrt-Richtlinie “. Hier steht ganz konkret:
“Das Konfigurationsmanagement stellt sicher, dass die aktuellen Konfigurationen der Systeme dokumentiert werden. Die Konfigurationen werden hierbei überwacht und Konfigurationswechsel bzw. -änderungen dokumentiert. Die dokumentierte Konfiguration unterstützt auch die
Wiederherstellung von Systemen, z.B. beim Einspielen von Backups.”
Wie erkennt man den Status der Systemhärtung?
Wie lässt sich überprüfen, ob die Systeme, die in der (deutschen) Weltraumfahrt zum Einsatz kommen, gemäß den Vorgaben “sicher” sind? Ganz einfach: Mit einem Tool wie dem AuditTAP.
Das kostenlose AuditTAP überprüft komplette Betriebssysteme oder einzelne Anwendungen, ob sie nach aktuellen und erprobten Standards konfiguriert wurden.
Die Ergebnisse sind eine gute Grundlage, um die Härtung der IT-Systeme fortwährend und nachhaltig voranzutreiben. Um die Prozesse zu vereinfachen, empfiehlt sich eine automatisierte Systemhärtung inklusive Monitoring. Das ist zum Beispiel mit dem Enforce Administrator möglich.
Fazit
Die Absicherung von Systemen ist keine rein irdische Herausforderung mehr. Mit der wachsenden Bedeutung der Weltraumfahrt stößt die Systemhärtung in neue Bereiche vor – eventuell auch dahin, “where no man has gone before”. 🖖
Haben Sie Fragen zur sicheren Konfiguration von IT-Systemen? Oder benötigen Sie Unterstützung bei der (automatisierten) Systemhärtung? Dann melden Sie sich ganz unverbindlich bei uns.
P.S.: Vielen Dank an die KI von Adobe Firefly für das tolle Aufmacherbild!