28 Nov 2023 | Cybersicherheit, Gesetzgebung und Compliance |
Tausende Unternehmen müssen die Cybersicherheit ihrer Kommunikation erhöhen
Die Richtlinie zur Netzwerk- und Informationssicherheit 2 (NIS2) wird bis Ende 2024 tausende Unternehmen innerhalb Deutschlands betreffen. Angesichts zunehmender Cyberbedrohungen will die europäische Kommission mit NIS2 das Cybersicherheits-Niveau im europäischen Raum erhöhen. Die Richtlinie wirkt sich auch auf die Video-Kommunikation betroffener Unternehmen aus. Bei vielen Unternehmen kann ein Umstieg nötig sein – Ratsam ist er sowieso.
Die Unternehmen, die NIS2 unterliegen, sind künftig verpflichtet, ihre Video- und Textkommunikation durch technische Maßnahmen vor Cyberangriffen zu schützen. Für Unternehmen aus hoch kritischen Sektoren gilt weiterhin, dass sie Videokonferenz-Lösungen einsetzen müssen, die von der jeweiligen nationalen Sicherheitsbehörde zertifiziert sind. Mit Blick auf jährliche Schäden in Milliardenhöhe durch Industriespionage und Cyberangriffe ist dies nicht nur für Unternehmen, die unter NIS2 fallen, ein empfehlenswerter Schritt.
NIS2 betrifft tausende Unternehmen mit sensiblen Daten
NIS2 verschärft die Anforderungen der Richtlinie NIS1 aus dem Jahr 2016 an Cyber-Security deutlich und weitet die Anwendung auf weitere Sektoren aus. Betroffen sind alle privatwirtschaftlichen oder öffentlichen Unternehmen mit mehr als 50 Mitarbeitern oder einem Umsatz von mehr als 10 Millionen Euro in 18 Sektoren. Diese werden in zwei Kategorien unterteilt: Zum einen „hoch kritische Sektoren“ wie Energie und öffentliche Verwaltungen, die für das Funktionieren von Gesellschaften unentbehrlich sind. Und weiterhin „kritische Sektoren“ wie Postdienste und Forschung, deren Ausfallen ernste, aber weniger gravierende Folgen verglichen mit dem Ausfallen der hoch kritischen Sektoren hätte. NIS2 fordert von Unternehmen in allen 18 Sektoren erhöhten Schutz vor Cyber-Angriffen in ihren Netzwerken und Informationssystemen.
Weitere Verpflichtungen aus der Richtlinie sind unter anderem die interne Schulung von Führungskräften, Managern und Mitarbeitern zum Thema Cybersicherheit sowie die unverzügliche Meldung von Sicherheitsvorfällen an die jeweilige nationale Cybersicherheitsbehörde.
Ende-zu-Ende-Verschlüsselung erhöht die Sicherheit der Online-Kommunikation signifikant
NIS2 wird viele Unternehmen zu neuen Tools für ihre Kommunikation und Kollaboration zwingen. Gerade bei Videokonferenzen gibt es bei zahlreichen Anbietern Ungewissheiten hinsichtlich Datenschutz und Sicherheitslevel. Für letzteres essenziell ist eine echte Ende-zu-Ende-Verschlüsselung, auch bei Konferenzen mit mehreren Teilnehmern. Die einzige Videokonferenz-Technologie, die gegenwärtig für ihre Ende-zu-Ende-Verschlüsselung CSPN-zertifiziert ist, ist die von Tixeo. Die CSPN-Zertifizierung wird von der französischen ANSSI vergeben und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) als gleichwertig zu einem Zertifikat nach der Beschleunigten Sicherheitszertifizierung (BSZ) anerkannt. Merkmal der Verschlüsselung von Tixeo ist, dass die Verschlüsselungsschlüssel des Gesprächs einzig auf den Geräten der Nutzer gespeichert werden. Es findet kein Entschlüsseln der Kommunikation beim Passieren der in Europa gehosteten Sever statt. Somit sind Gespräche in dem Ausmaß geschützt, das NIS2 verlangt.
6 Aug 2024 | Bedrohungen und Schwachstellen, Cybersicherheit |
Die Olympischen und Paralympischen Spiele 2024 finden aufgrund der Terrorgefahr, aber auch aufgrund von Cyberrisiken unter strengen Sicherheitsvorkehrungen statt. Fokus auf die wichtigsten Cyberbedrohungen für Veranstaltung und Organisationen.
Wie ist der Stand der Cyberbedrohungen?
Vor dem Hintergrund der derzeit angespannten geopolitischen Lage haben die Cyberbedrohungen in den letzten Monaten zugenommen.
Die Olympischen Spiele 2024 werden aufgrund ihrer weltweiten Bedeutung unweigerlich die Aufmerksamkeit cyberkrimineller Gruppen auf die französische Hauptstadt lenken. Frankreich ist nach 100 Jahren erneut Gastgeber der Olympischen und Paralympischen Spiele: Es werden 13 Millionen Zuschauer und mindestens 15 000 Athleten erwartet. Auch wenn sich das Land und alle Beteiligten seit vielen Jahren darauf vorbereiten, sind die Spiele durch die vernetzten Systeme und heterogenen Cybersicherheitsniveaus der Organisationen ein Hochrisiko-Ereignis. Die französische Behörde für Informationssicherheit ANSSI hat übrigens ein Budget von 17 Millionen Euro bereitgestellt, um die Cybersicherheitskapazitäten während dieser Spiele zu erhöhen.
Die IT-Sicherheit der Informationssysteme und der Netzwerke von Unternehmen und öffentlichen Verwaltungen ebenso wie deren Vorbereitung auf eine Bewältigung potenzieller Krisen ist angesichts dieser Cyberbedrohungen von grundlegender Bedeutung.
Die größten Cyberbedrohungen während der Olympischen Spiele 2024
Ransomware und Diebstahl sensibler Daten
In Frankreich ist die Zahl der Ransomware-Angriffe im Jahr 2023 im Vergleich zu 2022 um 30 % gestiegen, wie aus dem jüngsten IT-Sicherheitslagebericht der hervorgeht. Im März dieses Jahres zeigte das letzte Barometer von Cybermalveillance.gouv.fr sogar an, dass sie inzwischen eine der größten Cyberbedrohungen darstellen.
Zur Erinnerung: Bei Ransomware werden alle Daten (über eine Schadsoftware) auf einem Gerät verschlüsselt und gesperrt. Für die Entschlüsselung wird ein Lösegeld gefordert. Vor der Zahlung von Lösegeld wird jedoch grundsätzlich gewarnt, da dies keine Garantie für die Freigabe der Daten ist.
Ransomware führt in der Regel zu großen Datenlecks: Während der Olympischen Spiele kann diese Art von Angriff Unternehmen treffen, deren Tätigkeit direkt an die Veranstaltung gekoppelt sind (Transportunternehmen, Hotels, Ticketanbieter …).
Kommunikationsspionage
Mit Blick auf die Olympischen Spiele 2024 in Paris ist auch Wachsamkeit gegenüber Spionageangriffen geboten. Bei den Olympischen Spielen 2008 in Peking war die Operation “Shady Rat”
gegen das Internationale Olympische Komitee (IOC) gerichtet und hatte Regierungsdaten offengelegt.
Bei den Spielen in Rio, 8 Jahre später, hatte die Cyberkriminellengruppe Fancy Bear auf die Dateien der Welt-Anti-Doping-Agentur zugegriffen und private Gesundheitsdaten von Athleten verbreitet.
In den Organisationen kann insbesondere mit der inzwischen bei Olympischen Spielen üblichen Telearbeit die Online-Kommunikation zum Ziel staatlicher Cyberspionage werden. Die Motivation kann vielfältig sein: Hinter dem Diebstahl strategischer Informationen oder persönlicher Daten steckt in der Regel eine Gewinnabsicht bzw. eine gewollte Destabilisierung.
Um dem Image Frankreichs bei den Olympischen Spielen zu schaden, arbeiten Cyberkriminelle oder Hacktivisten auch mit Desinformation.
In einer kürzlich veröffentlichten Mitteilung wies der französische Inlandsgeheimdienst DGSI darauf hin, dass in diesem Zeitraum häufig Einmischungsoperationen und “Verunglimpfungen der Olympischen Spiele 2024” durch den russischen Geheimdienst beobachtet werden. Diese erfolgen online in den sozialen Netzwerken und können beispielsweise durch böswilliges Eindringen in sensible Videokonferenzen auch Organisationen treffen.
Auch die Übermedialisierung der Sicherheitsrisiken im Zusammenhang mit den Olympischen Spielen 2024, einschließlich Spekulationen über eine mögliche Absage, ist eine Form der Desinformation, die letztendlich dem Image und dem Ablauf der Veranstaltung schaden kann.
DDoS-Angriffe und Ausnutzung von Sicherheitslücken
Denial-of-Service-Attacken (DDoS) gehören trotz ihrer begrenzten Auswirkungen zu weit verbreiteten Cyberrisiken. Sie sollen die Bereitstellung von Diensten verhindern, indem sie durch eine zu große Anzahl von Anfragen (z. B. an eine Website) eine Überlastung erzeugen. Häufig sind der Finanz- und Industriesektor, aber auch die öffentliche Verwaltung davon betroffen. Erst vor kurzem, im März 2024, wurden französische Ministerien Ziel eines solchen Angriffs, so dass mehrere Regierungsseiten vorübergehend nicht erreichbar waren.
Im Zusammenhang mit den Olympischen Spielen könnten DDoS-Angriffe auf strategisch wichtige Plattformen und Webseiten, z. B. für die Übertragung der Wettkämpfe oder den Kartenverkauf, oder auf sensible Organisationen gestartet werden. Im Jahr 2021 beobachtete man während der Olympischen Spiele in Tokio einem Anstieg solcher Cyber-Angriffe auf kritische Infrastrukturen, wodurch die Kontinuität der öffentlichen Dienstleistungen beeinträchtigt wurde.
Auch Sicherheitslücken in Anwendungen sind eine Möglichkeit für Cyberkriminelle, die Veranstaltung zu destabilisieren. Dies können z. B. Apps für den öffentlichen Nahverkehr sein, die für die Veranstaltung genutzt werden.
Frequenzverschleierung
Die Olympischen Spiele 2024 erfordern einen umfangreichen Netzausbau, um den Bedarf an Datenübertragung zu decken. Wie Pierre-Louis de Guillebon, Generaldirektor von Orange Events und Leiter des Orange-Projekts der Olympischen Spiele in Paris 2024, in Le Monde Informatique erklärt, entspricht das Volumen der während der Olympischen Spiele ausgetauschten Daten dem „40fachen des Datenvolumens einer WM“.
Diese Netzwerkeinrichtungen unterliegen selbstverständlich einem verstärkten Schutz vor Bedrohungen durch Frequenzstörungen. Böswillige Akteure könnten Fernsehübertragungen oder wichtige Kommunikationswege der Sicherheitsdienste vor Ort behindern wollen.
Überlastung von FTTH-Netzwerken
Schließlich gibt es eine weitere Cyberbedrohung, die eher struktureller und interner Natur ist. Zahlreiche französische KKMU nutzen das während der Olympischen Spiele 2024 besonders stark belastete FTTH-Netz. Es wird also zu einer massiven Beanspruchung des Internets kommen, insbesondere während der Bürozeiten, so dass eine Überlastung der Netze sehr wahrscheinlich ist. Hiervor hat vor allem Celeste gewarnt. Es könnte zu Computerausfällen und Unterbrechungen der Dienste kommen. Die Folgen wären vielfältig und würden die Kontinuität der öffentlichen Dienste sowie die Produktivität der Unternehmen beeinträchtigen.
Hier also noch einmal der Hinweis, dass sich Unternehmen jeder Größe auf solche Situationen vorbereiten müssen. Dies ist insbesondere möglich durch die Bereitstellung von Notfallkommunikationsmitteln, damit die Teams vor Ort die Krise bewältigen und sich zwecks Aufrechterhaltung der Geschäftsabläufe weiter verständigen können.
Die Bedeutung von Cyber-Resilienz in Unternehmen
Mit seinem Übungskit „JOP massifié” möchte das ANSSI Unternehmen bei ihrer Vorbereitung auf die Cyberrisiken der Olympischen Spiele 2024 unterstützen. So können sie potenzielle Krisen entsprechend ihres Tätigkeitsbereichs und ihrer Verbindung zu dem Ereignis simulieren.
Solche Simulationen und Sensibilisierungen sind unerlässlich, um die Cyber-Resilienz der Organisationen zu gewährleisten.
Entdecken Sie Tixeo für Business Continuity
24 Jan 2024 | Nachrichten und Trends |
Wenn Informationen über die wissenschaftlichen und technologischen Aktivitäten einer Nation abgegriffen werden, gefährdet dies ihre Stabilität und Wettbewerbsfähigkeit. Auf dem letzten Gipfeltreffen der Fives Eyes wurde darauf hingewiesen, dass der Schutz des wissenschaftlichen und technischen Potenzials der Nationen maximale Cybersicherheitsmaßnahmen erfordert.
Definition des wissenschaftlichen und technischen Potenzials
Das wissenschaftliche und technische Potenzial der Nation besteht aus „der Gesamtheit der materiellen und immateriellen Güter, die der grundlegenden und angewandten wissenschaftlichen Tätigkeit für die technologische Entwicklung der französischen Nation eigen sind“. Mit anderen Worten: Es handelt sich um hochstrategisches Wissen und Know-how sowie sensible Technologien, die in öffentlichen und privaten Einrichtungen im Staatsgebiet produziert und entwickelt werden. Sowohl ihr Zugang als auch ihr Schutz sind somit formal geregelt.
Erste Schutzmaßnahme: die PPST
Seit 2011 gibt es in Frankreich den „Schutz des wissenschaftlichen und technischen Potenzials“ (Protection du Potentiel Scientifique et Technique, abgekürzt PPST). Diese interministerielle Sicherheitsregelung ist auf sechs verschiedene Ministerien verteilt und wird vom Generalsekretariat für Verteidigung und nationale Sicherheit (SGDSN) geleitet:
- Landwirtschaftsministerium
- Verteidigungsministerium
- Ministerium für nachhaltige Entwicklung
- Wirtschafts- und Finanzministerium
- Gesundheitsministerium
- Ministerium für Hochschulen, Forschung und Innovation
Sie soll verhindern, dass sensible Informationen nach außen dringen oder versucht wird, diese abzugreifen. Hierfür werden unter anderem Zonen mit restriktiven Regelungen (ZRR) geschaffen. In diesen Zonen wird der physische oder virtuelle Zugang zu sensiblen Informationen streng kontrolliert. Dazu gehören z. B. Forschungs- oder Produktionsstandorte, die für das Land von großem Interesse sind.
Der PPST ergänzt andere Sicherheitssysteme. So zum Beispiel das System zum Schutz von Betreiber wesentlicher Dienste (OIV) oder der Geheimhaltung der Landesverteidigung.
Wenn Informationen über das technische und wissenschaftliche Potenzial der Nation abgegriffen werden, können sie für destabilisierende oder kriminelle Zwecke missbraucht werden. Die Risiken werden in vier Kategorien eingeteilt:
- Beeinträchtigung der wirtschaftlichen Interessen der Nation
- Aufbau von militärischen Arsenalen
- Weiterverbreitung von Massenvernichtungswaffen
- Terrorismus
Betroffene Branchen
Damit sind verschiedene wissenschaftliche und technische Bereiche vom PPST betroffen:
- Biologie,
- Medizin,
- Gesundheit,
- Chemie,
- Mathematik,
- Physik,
- Agrar- und Umweltwissenschaften,
- Geo-, Weltall- und Weltraumwissenschaften,
- Informations- und Kommunikationswissenschaften sowie -technologien,
- Ingenieurwissenschaften usw.
Deshalb müssen Forschungslabore, Unternehmen und Universitäten beschützt werden, so dass ihre Daten nicht abgefangen werden können.
Wissenschaftliches und technisches Potenzial vor Cyberspionage schützen
Der Zugang zu ZRR kann physisch, aber auch virtuell sein. Aus diesem Grund ist die Sicherheit von Informationssystemen eine große Herausforderung, um das wissenschaftliche und technische Potenzial vor Cyberspionage zu bewahren.
Ein System für restriktive Informationen leitet restriktive Informationen weiter. Es handelt sich hierbei um sensible Informationen, deren Verbreitung eines oder mehrere der oben genannten Risiken mit sich bringen würde. Ihr Zugang stellt daher einen virtuellen Zugang zu einer RR-Zone dar. Anzumerken ist, dass das System für restriktive Informationen der interministeriellen Anweisung Nr. 901 über den Schutz der Geheimhaltung und der Landesverteidigung unterliegt.
In dem vom ANSSI veröffentlichten Leitfaden zum digitalen Schutz des wissenschaftlichen und technischen Potenzials der Nation findet sich eine Liste von Sicherheitsmaßnahmen. Diese müssen von Organisationen mit einem System für restriktive Informationen umgesetzt werden. Dazu gehört die Einführung einer Sicherheitspolitik für Informationssysteme, in der alle bewährten Praktiken und Verfahren im Bereich der IT-Sicherheit aufgelistet sind. Sie müssen von den Mitarbeitern und anderen Interessengruppen eingehalten werden.
Das System für restriktive Informationen umfasst nämlich alle Arten von elektronischen Medien und Geräten wie Laptops, USB-Sticks oder Server. Daher wird vorausgesetzt, dass Nutzer parallel dazu für Cybersicherheit sensibilisiert werden.
- Kommunikationsverschlüsselung
- Verschlüsselung der Festplatten von Arbeitsplatzrechnern
- Zugangskontrolle
Für sichere Arbeitsplätze sorgen
Arbeitsplatzrechner enthalten eine Reihe sensibler Informationen, die geschützt werden müssen. Die ANSSI erinnert mit ihrem Leitfaden daran, wie wichtig es ist, alle Daten auf einem Endgerät zu löschen, bevor die Hardware neu zugewiesen wird. Ebenso ist es von entscheidender Bedeutung, die Zugriffsrechte auf Informationssysteme zu löschen, sobald die Beschäftigungsdauer eines Nutzers endet.
Technologie zur Ende-zu-Ende-Verschlüsselung von Kommunikationen verwenden
Die in Unternehmen eingesetzten Kommunikationsmittel müssen höchsten Sicherheitsansprüchen genügen, insbesondere in Einrichtungen in RR-Zonen. Zum einen muss die genutzte Lösung Secure by Design sein und somit von der Konzeption bis zum Einsatz in der Organisation eine Reihe von Sicherheitskriterien erfüllen. Auf diese Weise wirkt sich die Lösung deutlich weniger oder gar nicht auf die Sicherheit des Unternehmensnetzwerks aus. Andererseits ist die über Online-Messenger oder Videokonferenzen durchgeführte Kommunikation das Ziel von Computer- und Industriespionage. Nur eine Technologie zur Ende-zur-Ende-Verschlüsselung von Audio-, Video- und Datenkommunikationsströmen kann verhindern, dass ihre Daten abgegriffen werden.
Im Falle eines Angriffs schnellstmöglich reagieren
Bei einer Cyber-Krise ist eine sichere Notfall-Kommunikationslösung ebenfalls unerlässlich, um die Geschäftskontinuität der Einrichtung zu gewährleisten. Sie soll den Mitarbeitern ermöglichen, ihren Austausch über einen Kommunikationskanal „Out-of-Band” fortzusetzen, d. h. über einen anderen als den üblicherweise genutzten.
Die sichere Videokonferenz-Software von Tixeo ist die Antwort auf diesen Bedarf. Mit seiner soliden Ende-zu-Ende-Verschlüsselungstechnologie und der äußerst sicheren Bereitstellung als On-Premise-Version unterstützt es Einrichtungen bei ihrem Krisenmanagement und ihrer Cyber-Resilienz.
Erster Gipfel der Five Eyes zu diesem Thema im Jahr 2023
Am 16. und 17. Oktober 2023 fand zum ersten Mal ein Gipfeltreffen der Five Eyes zum Thema „Schutz des wissenschaftlichen und technischen Potenzials der Nation” statt.
Während diesem Treffen warnten die fünf Länder der Koalition (USA, Großbritannien, Kanada, Australien und Neuseeland) vor den Bedrohungen für Innovation und Forschung. Im Besonderen wurde die chinesische Regierung als Hauptgefahr für die Innovation und die Interessen der Nationen ins Visier genommen. „Die chinesische Regierung betreibt den nachhaltigsten und ausgefeiltesten Diebstahl geistigen Eigentums sowie den Erwerb von Fachwissen, der in der Geschichte der Menschheit beispiellos ist”, erklärte Mike Burgess, Generaldirektor des australischen Geheimdienstes. Die aus China stammende Industriespionage verzeichnet einen noch nie dagewesenen Anstieg. „Die Bereiche künstliche Intelligenz, Quantencomputer und synthetische Biologie sind laut hochrangigen Verantwortlichen derzeit besonders im Visier“. Das bedeutet eine Zunahme der staatlich motivierten Cyberspionage, von der auch die europäischen Länder nicht verschont bleiben.
Das Dokument Fünf Grundsätze zur Sicherung von Forschung und Innovation wurde im Anschluss an den Gipfel veröffentlicht. Es enthält eine Reihe von Empfehlungen, um den Schutz des wissenschaftlichen und technischen Potenzials zu maximieren. Dazu gehören die Kenntnis und das Management von Cyberrisiken, der Schutz der Arbeitsumgebung und die Sensibilisierung der Mitarbeiter oder die Sicherung von Partnerschaften, Lieferanten sowie Dienstleistern.
