Die Bedeutung von PAM für die KRITIS-Sicherheit

Kritische Infrastrukturen (KRITIS) rücken nicht zuletzt seit der Ukraine-Krise immer mehr in den Vordergrund. Zu den KRITIS zählen Stromversorgung, Wasser- und Abwasserversorgung, Telekommunikation, Verkehrssysteme, Gesundheitswesen oder  Finanzdienstleistungen.

Die Funktionsfähigkeit dieser Einrichtungen ist von entscheidender Bedeutung. In den letzten Jahren haben jedoch die Bedrohungen für kritische Infrastrukturen dramatisch zugenommen. Cyberangriffe sind zu einer der größten Gefahren geworden. Diese Angriffe reichen von Ransomware-Angriffen auf Energieunternehmen bis hin zu gezielten Angriffen auf Krankenhäuser.

Aktuelle Herausforderungen für Kritische Infrastrukturen:

Zum einen stellt die steigende Anzahl und Komplexität von Cyberangriffen eine erhebliche Bedrohung dar. Diese Angriffe reichen von Ransomware-Angriffen auf Energieunternehmen bis hin zu gezielten Angriffen auf Krankenhäuser. Um die Sicherheit kritischer Infrastrukturen zu gewährleisten, haben Regierungen weltweit Regularien eingeführt. Diese erfordern eine robuste Sicherheitsstruktur und den Schutz privilegierter Zugänge. Die Einhaltung dieser Regularien sind zum Teil komplex und zeitaufwändig. Ein weiterer Schmerz für die IT-Abteilungen also. Enige kritische Infrastrukturen verwenden dazu noch veraltete Technologie, die anfälliger für Angriffe ist. Die Modernisierung dieser Systeme ist eine kontinuierliche Aufgabe und stellt sich ebenfalls als schwierig dar, denn die Technologien entwickeln sich rasant weiter – auf welchen Hersteller kann man sich denn eigentlich verlassen. Insbesondere wenn er eine neue Technik anwendet, die vielleicht interessant wäre, aber das komplette Supportsystem des Herstellers noch auf wackligen Füßen steht. Last but not least kommt der menschliche Faktor hinzu: Insider-Bedrohungen, die von internen Mitarbeitern ausgehen, sind eine wachsende Sorge. Unbeabsichtigte oder absichtliche Handlungen können erheblichen Schaden anrichten. Hier braucht es regelmäßige Schulungskonzepte, die nicht nur durchgeführt, sondern auch permanent überwacht werden sollten.

Alles in allem scheinen die Herausforderungen immer komplexer zu werden, erfordern entsprechenden Ressourcen- sowie Kostenaufwand.

Neue Regularien machen ein Umdenken notwendig

Deutschland hat eine entscheidende Rolle bei der Sicherung kritischer Infrastrukturen (KRITIS) durch das IT-Sicherheitsgesetz (IT-SIG) und seine Fortsetzung, das IT-Sicherheitsgesetz 2.0 (IT-SIG 2.0), übernommen. Diese Gesetze zielen darauf ab, die Cybersicherheit von KRITIS-Organisationen in Deutschland zu stärken. Im Fokus stehen Sektoren wie Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser und Ernährung sowie Finanz- und Versicherungsdienstleistungen.

IT-Sicherheitsgesetz 2.0 (IT-SIG 2.0):

Das IT-Sicherheitsgesetz 2.0 ist eine Fortsetzung des ursprünglichen IT-Sicherheitsgesetzes und bringt wichtige Neuerungen mit sich:

1. Erweiterter Anwendungsbereich: Das IT-SIG 2.0 erweitert den Anwendungsbereich auf weitere Sektoren und subkritische Infrastrukturen. Dies bedeutet, dass mehr Organisationen in Deutschland als KRITIS-Organisationen betrachtet werden und den gesetzlichen Anforderungen gerecht werden müssen.
2. Höhere Sicherheitsanforderungen: Das Gesetz legt höhere Sicherheitsanforderungen für KRITIS-Betreiber fest, einschließlich verpflichtender Sicherheitsmaßnahmen und -prozesse. Diese sollen dazu beitragen, die Widerstandsfähigkeit gegenüber Cyberangriffen zu erhöhen.
3. Meldung von Sicherheitsvorfällen: KRITIS-Betreiber müssen erhebliche Sicherheitsvorfälle und Störungen der Informationstechnik den Behörden melden. Dies dient der schnellen Reaktion und der Ermittlung von Sicherheitsverletzungen.
4. Zusammenarbeit mit dem BSI: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt eine zentrale Rolle bei der Umsetzung des IT-SIG 2.0. Das BSI unterstützt die KRITIS-Betreiber bei der Umsetzung der Sicherheitsmaßnahmen und überwacht die Einhaltung der gesetzlichen Anforderungen.

KRITIS 2.0:

Unter KRITIS 2.0 versteht man die zweite Phase der Umsetzung des IT-Sicherheitsgesetzes 2.0, bei der die regulatorische Überwachung und die Anforderungen an die Cybersicherheit von KRITIS-Organisationen verschärft werden. Hier sind einige Schlüsselaspekte von KRITIS 2.0:

1. Sicherheitsanforderungen: KRITIS-Organisationen müssen spezifische Sicherheitsmaßnahmen und -prozesse einführen, um ihre Systeme und Daten vor Cyberangriffen zu schützen. Hierzu gehören auch Privileged Access Management (PAM)-Lösungen, um den Zugriff auf kritische Systeme zu beschränken und zu überwachen.
2. Meldepflicht: KRITIS-Organisationen sind verpflichtet, Sicherheitsvorfälle, die den Betrieb beeinträchtigen könnten, dem BSI zu melden. Dies ermöglicht eine schnelle Reaktion auf Sicherheitsbedrohungen.
3. Überprüfung und Audit: Das BSI überprüft regelmäßig die Sicherheitsmaßnahmen der KRITIS-Organisationen und führt Sicherheitsaudits durch, um die Einhaltung der gesetzlichen Anforderungen sicherzustellen.

Das IT-Sicherheitsgesetz 2.0 und KRITIS 2.0 sind bedeutende Schritte, um die Cybersicherheit von kritischen Infrastrukturen in Deutschland zu erhöhen. Sie betonen die Bedeutung von PAM-Lösungen und anderen Sicherheitsmaßnahmen, um den Schutz vor Cyberangriffen zu gewährleisten und die Widerstandsfähigkeit von KRITIS-Organisationen zu stärken. Unternehmen und Organisationen, die kritische Infrastrukturen betreiben, müssen sich aktiv mit diesen Gesetzen auseinandersetzen und sicherstellen, dass sie den gesetzlichen Anforderungen entsprechen, um die Sicherheit und Stabilität dieser lebenswichtigen Systeme zu gewährleisten.

Die Rolle von Privileged Access Management (PAM):

Die detaillierte Kontrolle über den Systemzugang zur IT von KRITIS ist daher von essentieller Bedeutung. Privileged Access Management (PAM) ist eine Sicherheitslösung, die den Zugriff auf privilegierte Konten und Systeme innerhalb einer Organisation verwaltet und kontrolliert. Dies schließt auch Administratoren ein, die beispielsweise von extern auf kritische Systeme zugreifen.

Die konkreten Vorteile von PAM für kritische Infrastrukturen sind:

• Begrenzung des Zugriffs: PAM-Lösungen stellen sicher, dass nur autorisierte Personen Zugriff auf sensible Systeme haben. Dies minimiert das Risiko von Insider-Bedrohungen.
• Überwachung und Audit: PAM ermöglicht eine detaillierte Überwachung aller privilegierten Aktivitäten, um verdächtige Aktivitäten frühzeitig zu erkennen und zu untersuchen.
• Passwort-Management: PAM bietet sichere Methoden zur Verwaltung von Passwörtern und schützt vor schwachen oder gestohlenen Zugangsdaten.
• Compliance: PAM-Lösungen helfen bei der Einhaltung von regulatorischen Anforderungen, indem sie protokollieren und nachweisen, wer auf welche Systeme zugegriffen hat.

Fazit:

Zusammenfassend spielen Zugangsschutz und Privileged Access Management eine zentrale Rolle bei der Sicherheit von kritischen Infrastrukturen. Sie helfen, unbefugte Zugriffe zu verhindern, die Angriffsfläche zu minimieren, die Überwachung zu verbessern, Insider-Bedrohungen zu reduzieren und die Einhaltung von Vorschriften sicherzustellen. Indem PAM-Lösungen den Zugriff auf sensible Systeme begrenzen, die Überwachung verbessern, Passwörter sicher verwalten und Compliance unterstützen, können Betreiber kritischer Infrastrukturen den sich ständig ändernden Bedrohungen besser begegnen. Eine ganzheitliche PAM-Strategie ist ein entscheidender Schritt in Richtung einer sichereren und widerstandsfähigeren Zukunft. Es ist an der Zeit, die Lebensadern unserer Gesellschaft zu schützen und sicherzustellen, dass sie auch in einer digitalen Welt sicher und stabil bleiben.