Cybersicherheit und Technologierisiken im öffentlichen Sektor

Warum das für den öffentlichen Wert zählt

Wenn die Systeme eines Krankenhauses von einer Angreiferin verschlüsselt werden, können Klinikerinnen Medikationsgeschichten nicht sehen, Krankenwagen werden umgeleitet, und Operationen werden abgesagt. Wenn die Steuerungssysteme eines Wasserversorgungsunternehmens kompromittiert werden, steht als öffentlicher Wert nicht ein Serverausfall auf dem Spiel, sondern die Sicherheit von Trinkwasser. Wenn die Datenbank einer Leistungsbehörde durchbrochen wird, sind die am stärksten Exponierten oft die Menschen, die am wenigsten fähig sind, die Konsequenzen zu absorbieren: eine verzögerte Zahlung, eine gestohlene Identität, eine Familie, die dem Staat, der ihr Unterstützung schuldet, nicht beweisen kann, wer sie ist. Computersicherheit, gewöhnlich Cybersicherheit genannt, ist die Praxis, Computersysteme, Netzwerke, und Daten vor unautorisiertem Zugriff, Störung, oder Schaden zu schützen. In öffentlichen Institutionen sitzt diese Praxis direkt auf dem Weg zwischen dem Staat und der ihm dienenden Bürgerin.

Deshalb rahmt dieses Thema Cyberrisiko als öffentliche-Wert-Frage, nicht nur als technische. Legitimität und Unterstützung hängen davon ab, dass Bürgerinnen und Bürger glauben, den ihre Daten haltenden und ihre wesentlichen Dienste betreibenden Institutionen könne zugetraut werden, beide sicher zu halten (siehe Thema 1.2 — Das strategische Dreieck: Legitimität, Wert und Kapazität). Ein einzelner gut publizierter Durchbruch kann diesem Vertrauen dauerhaften Schaden zufügen, auf dieselbe Weise, wie es ein schlecht gehandhabter Notfall tut, weil Bürgerinnen und Bürger Institutionen danach beurteilen, wie sie sich unter Angriff verhalten, ebenso sehr wie danach, wie sie im Alltag leisten (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement, das Cybervorfälle als eine Kategorie innerhalb der breiteren Disziplin der Resilienz behandelt). Cybersicherheit ist auch untrennbar von Daten-Governance: eine Institution kann nicht schützen, wovon sie nicht weiß, dass sie es hält, und die Interoperabilität und Offenheit, die öffentlichen Wert aus Daten schaffen, erweitern auch die Oberfläche, die eine Angreiferin ausnutzen kann (siehe Thema 5.4 — Daten, Interoperabilität, und offene Daten im öffentlichen Sektor).

Das Ressourcierungsproblem ist akut und spezifisch für den öffentlichen und sozialen Sektor. Große nationale Behörden haben zunehmend dedizierte Sicherheitsteams und Unternehmensbudgets; der eine kleine Stadt bedienende Wasserverband, der regionale Krankenhausverbund, und die lokale gemeinnützige Organisation, die ein Schutzhaus für häusliche Gewalt betreibt, haben das typischerweise nicht, trotz Daten zu halten, deren Sensibilität die jeder Bank erreicht oder übersteigt. Angreiferinnen wissen das. Unterversorgte öffentliche Stellen sind kein Grenzfall in diesem Thema; sie sind nah an seinem Zentrum, weil die mediane öffentliche Institution, die diesem Risiko heute gegenübersteht, kein nationales Ministerium ist, sondern eine kleine Kommunalverwaltung, ein regionales Versorgungsunternehmen, oder eine Wohltätigkeitsorganisation mit einer Handvoll Informationstechnologiepersonal und ohne jede Sicherheitsspezialistin.

Schließlich ist dies ein lebendiges und sich verschlimmerndes Problem, kein hypothetisches. Ransomware-Kampagnen zielen zunehmend auf Kommunalverwaltungen, Krankenhäuser, Schulen, und Sozialsektor-Organisationen, genau weil sie sensible Daten, wesentliche Dienste, niedrige Ausfalltoleranz, und vergleichsweise schwache Verteidigung kombinieren – eine Kombination, die sie wahrscheinlicher zahlend und unwahrscheinlicher macht, den Angriff überhaupt verhindert zu haben. Cybersicherheit als spezialisierte Ergänzung statt als Governance-Ebene-öffentliche-Wert-Verpflichtung zu behandeln, ist für diese Klasse Organisation nah an einer Einladung.

Kernkonzepte

Kritische Infrastruktur ist der Satz von Systemen und Vermögenswerten – Energie, Wasser, Verkehr, Gesundheitswesen, Finanzen, Kommunikation –, so wesentlich, dass ihre Unfähigkeit oder Zerstörung einen schwächenden Effekt auf Sicherheit, Wirtschaft, oder öffentliches Vertrauen hätte. Schutz kritischer Infrastruktur ist die Disziplin, diese Systeme gegen physische und digitale Bedrohungen gleichermaßen zu sichern; er zählt hier, weil viele der folgenreichsten öffentliche-Sektor-Cybervorfälle keine Angriffe auf abstrakte Daten sind, sondern Angriffe auf die operative Technologie, die physische Infrastruktur am Laufen hält, getrennt von der Informationstechnologie, die Aufzeichnungen führt und Transaktionen verarbeitet.

Eine Bedrohungsakteurin ist jede Einzelperson, Gruppe, oder jeder Staat, die versuchen mag, ein System zu kompromittieren; im öffentlichen Sektor reichen diese von finanziell motivierten kriminellen Gruppen bis zu staatlich gesponserten Akteurinnen, die Spionage oder Störung verfolgen, und dieselbe Institution mag beiden gleichzeitig mit sehr unterschiedlichen Zielen gegenüberstehen. Ransomware ist bösartige Software, die die Daten oder Systeme einer Organisation verschlüsselt und Bezahlung für ihre Freigabe verlangt; sie ist genau deshalb zur dominanten Bedrohung für öffentliche Stellen geworden, weil wesentliche Dienste keine anhaltende Ausfallzeit tolerieren können, was den Zahlungsdruck erhöht. Phishing ist eine Form von Social Engineering, in der Angreiferinnen Personal täuschen, Anmeldedaten preiszugeben oder Malware zu installieren, typischerweise durch täuschende E-Mail, und bleibt die häufigste Weise, wie eine Angreiferin zuerst Fuß fasst, weil sie Menschen statt Technologie anvisiert.

Eine Datenschutzverletzung ist der unautorisierte Zugriff auf, die Offenlegung von, oder der Verlust von Information, ob durch einen externen Angriff, eine Insiderin, oder einfachen menschlichen Fehler wie eine falsch konfigurierte, dem Internet offen gelassene Datenbank. Ein Lieferkettenangriff kompromittiert eine Organisation indirekt, eine weniger sichere Lieferantin, Softwareanbieterin, oder Managed-Service-Anbieterin anvisierend, der die Zielorganisation vertraut; diese sind besonders gefährlich für den öffentlichen Sektor, weil so viele öffentliche Stellen dieselbe Handvoll Softwareanbieterinnen teilen, was bedeutet, dass eine Anbieterinkompromittierung gleichzeitig in Hunderte Institutionen kaskadieren kann.

Cyber-Hygiene ist der Satz routinemäßiger Praktiken – Software prompt patchen, starke Authentifizierung durchsetzen, begrenzen, wer worauf zugreifen kann, Daten sichern und die Wiederherstellung dieser Sicherungen testen –, die die große Mehrheit erfolgreicher Angriffe verhindern, ohne exotische Werkzeuge zu erfordern. Die meisten Durchbrüche nutzen bekannte, ungepatchte Schwachstellen oder schwache Anmeldedaten aus statt neuartiger Techniken, sodass die Lücke zwischen der tatsächlichen Cyber-Hygiene einer Organisation und ihrer erklärten Politik üblicherweise ein besserer Prädiktor ihres Risikos ist als die Ausgeklügeltheit der Bedrohungen, die sie in ihrem Risikoregister benennt.

Die Zero-Trust-Architektur ist ein Sicherheitsgestaltungsprinzip, das hält, dass keiner Nutzerin oder keinem Gerät standardmäßig vertraut werden sollte, selbst innerhalb des eigenen Netzwerks einer Organisation, und dass jede Zugriffsanfrage verifiziert werden muss, unabhängig davon, woher sie stammt. Sie ist einflussreich in Leitlinien des öffentlichen Sektors geworden, weil sie besser zu passt, wie moderne Regierungsarbeit tatsächlich geschieht – Personal, Vertragspartnerinnen, und Bürgerinnen, die von vielen Geräten und Orten auf Dienste zugreifen – als ein älteres Modell, das allem bereits innerhalb des Perimeters vertraute.

Sicherheitsvorfallmanagement, üblicherweise Incident Response genannt, ist der organisierte Prozess, einen Sicherheitsvorfall zu erkennen, einzudämmen, zu beseitigen, und sich von ihm zu erholen, gefolgt von einer Überprüfung, was ihn ermöglichte. Eine Offenlegungspflicht ist eine rechtliche oder regulatorische Pflicht, betroffene Einzelpersonen, Regulierungsbehörden, oder die Öffentlichkeit zu benachrichtigen, wenn persönliche Daten oder kritische Dienste kompromittiert wurden, innerhalb einer spezifizierten Zeit und zu einem spezifizierten Standard, nach der Logik, dass Bürgerinnen und Bürger und Aufsichtsstellen ein Recht haben zu wissen, wenn ihre Daten oder ihre wesentlichen Dienste gefährdet wurden, und dass rechtzeitige Offenlegung Menschen erlaubt, sich selbst zu schützen.

Bewährte Praktiken

1. Behandeln Sie Cybersicherheit als Verantwortung des Leitungsgremiums, nicht als delegierte technische Funktion. Vorstände, Räte, und Exekutivteams sollten regelmäßige, klarsprachige Briefings zu Cyberrisiko erhalten und das Budget dafür direkt genehmigen, statt es innerhalb einer breiteren Informationstechnologie-Haushaltszeile zu verhandeln, wo es das Leichteste zu Kürzende ist.
2. Inventarisieren Sie, was Sie halten und was davon abhängt, bevor Sie entscheiden, wie Sie es schützen. Eine Organisation kann Daten oder Systeme, die sie nicht kartiert hat, nicht sichern; ein aktuelles Vermögenswert- und Dateninventar, kreuzreferenziert gegen die andernorts behandelte Interoperabilitäts- und Daten-Governance-Arbeit (siehe Thema 5.4 — Daten, Interoperabilität, und offene Daten im öffentlichen Sektor), ist die Voraussetzung für jede andere Praxis auf dieser Liste.
3. Wenden Sie die Grundlagen überall an, bevor Sie für irgendetwas Fortgeschrittenes ausgeben. Patch-Management, Multi-Faktor-Authentifizierung, getestete Sicherungen, und Least-Privilege-Zugriffskontrolle stoppen die überwältigende Mehrheit echter Angriffe; eine öffentliche Stelle ohne diese sollte nicht Bedrohungsinformationsabonnements oder maßgeschneiderte Überwachungswerkzeuge priorisieren.
4. Übernehmen Sie ein anerkanntes Rahmenwerk statt eines maßgeschneiderten zu erfinden. Rahmenwerke wie das Cybersecurity Framework des National Institute of Standards and Technology geben ein geteiltes Vokabular und eine Struktur – identifizieren, schützen, erkennen, reagieren, sich erholen –, die eine kleine Organisation in vereinfachter Form übernehmen kann und eine große vollständig, ohne grundlegende Taxonomie neu zu erfinden.
5. Bündeln Sie Ressourcen über kleine Organisationen hinweg, statt dass jede allein kauft. Ein geteilter Sicherheitsbetriebsdienst, ein regionaler Cyber-Vorfall-Reaktionspool, oder ein sektorweiter Beschaffungsrahmen kann einer Gruppe kleiner Kommunalverwaltungen oder gemeinnütziger Organisationen Schutz geben, den sich keine von ihnen individuell leisten könnte – die einzige direkteste Antwort auf das Unterressourcierungsproblem, um das sich dieses Thema dreht.
6. Schreiben Sie den Vorfallreaktionsplan vor dem Vorfall, und üben Sie ihn. Ein zum ersten Mal während eines laufenden Angriffs entworfener Plan ist ein schlecht entworfener Plan, unter Panik, von Menschen, die nie getestet haben, ob er tatsächlich funktioniert; ein mindestens jährlich geübter Plan verwandelt eine chaotische erste Stunde in eine geübte Sequenz bekannter Schritte (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement für die breitere Disziplin, auf die dies zurückgreift).
7. Entscheiden Sie die Offenlegungs- und Zahlungspolitik im Voraus, nicht während des Vorfalls. Ob die Organisation erwägen wird, ein Lösegeld zu zahlen, wer die Autorität hat, diese Entscheidung zu treffen, und wie und wann betroffene Menschen informiert werden, sollte vom Vorstand genehmigte Politik sein, keine improvisierte Entscheidung unter dem Druck einer laufenden Erpressungsforderung.
8. Segmentieren Sie Netzwerke, sodass eine Kompromittierung nicht zu jeder Kompromittierung wird. Operative Technologie, die physische Infrastruktur kontrolliert, getrennt von allgemeiner Büro-Informationstechnologie zu halten, und hochsensible Systeme von weniger sensiblen zu trennen, begrenzt, wie weit eine durch einen schwachen Punkt eindringende Angreiferin reisen kann.
9. Managen Sie Dritt- und Lieferkettenrisiko ebenso streng wie internes Risiko. Verlangen Sie Sicherheitszusicherungen, Prüfungsrechtsklauseln, und Vorfallbenachrichtigungspflichten in Verträgen mit Softwareanbieterinnen und Managed-Service-Anbieterinnen, da ein wachsender Anteil bedeutender öffentliche-Sektor-Vorfälle von einer vertrauten Lieferantin ausgeht statt von einem direkten Angriff.
10. Investieren Sie in Menschen, nicht nur Werkzeuge. Regelmäßige, realistische Ausbildung – einschließlich simulierter Phishing-Übungen – reduziert messbar erfolgreiche Social-Engineering-Angriffe, und selbst ein oder zwei qualifizierte Sicherheitsbeschäftigte in einer kleinen Organisation zu behalten, ist üblicherweise mehr wert als eine gleichwertige Ausgabe für zusätzliche Softwarelizenzen.
11. Berichten Sie Vorfälle ehrlich und nutzen Sie Beinaheunfälle als kostenlose Lehren. Eine Kultur, die Personal für das Melden eines vermuteten Durchbruchs bestraft, garantiert, dass der nächste spät oder gar nicht gemeldet wird; die Organisationen, die sich am schnellsten verbessern, sind die, die jeden Beinaheunfall als Lernevidenz behandeln, statt als Grund für Schuldzuweisung.
12. Bauen Sie Cyber-Resilienz in Beschaffungs- und Zuschussbedingungen ein, nicht nur in interne Politik. Fördergeberinnen und Auftraggeberinnen können ein Basisniveau von Sicherheitspraxis von den von ihnen finanzierten oder beauftragten Organisationen verlangen, die Reichweite guter Praxis auf kleinere Erbringungspartnerinnen ausdehnend, die sonst keinen externen Druck hätten, darin zu investieren (siehe Thema 3.7 — Öffentliche Beschaffung und Leistungsvergabe).

Fragen zur Diskussion mit Ihrem Team

Wissen wir, welche Daten und Systeme wir tatsächlich halten, und welche davon jemandem schaden würden, wenn sie kompromittiert würden? Viele Organisationen entdecken den wahren Umfang ihrer Datenbestände erst während einer Durchbruchsuntersuchung, was der schlimmstmögliche Zeitpunkt ist, es zu lernen. Gehen Sie Ihre wichtigen Dienste durch und fragen Sie für jeden, welche persönliche oder operativ sensible Daten er berührt und was einer echten Person geschähe, wenn diese Daten gestohlen, verändert, oder unverfügbar gemacht würden. Falls die ehrliche Antwort ist „wir sind uns nicht sicher", ist diese Unsicherheit selbst der Befund, und sie zu schließen ist der erste Punkt auf Ihrer Agenda. Diese Frage zählt am meisten für Organisationen, die durch Akquisition, Fusion, oder angehäufte Altsysteme gewachsen sind, wo institutionelles Gedächtnis dessen, was existiert, sich verdünnt hat.

Wenn wir morgen von Ransomware getroffen würden, könnten wir ohne zu zahlen aus einer Sicherung wiederherstellen? Der Wert einer Sicherung ist nicht, dass sie existiert, sondern dass sie getestet wurde, tatsächlich schnell genug wiederherzustellen, von einer Version aktuell genug, um zu zählen. Fragen Sie, wann Sicherungen zuletzt mit einer echten Wiederherstellungsübung getestet wurden, nicht nur einem Abschlussprotokoll, und wie lange eine vollständige Wiederherstellung dauern würde, gegen wie lange Ihre Organisation einen Ausfall tolerieren kann. Falls diese Zahlen nicht übereinstimmen, haben Sie eine Ressourcierungsentscheidung jetzt zu treffen, nicht während eines Vorfalls. Dies ist auch der Moment, um zu diskutieren, ob Sicherungen selbst vom Netzwerk isoliert sind, das eine Angreiferin, die Ihre Hauptsysteme erreicht, auch erreichen könnte.

Wer hat die Autorität zu entscheiden, ob wir ein Lösegeld zahlen, und haben wir das je diskutiert, bevor wir danach gefragt wurden? Dies ist eine der folgenreichsten Entscheidungen, denen sich ein Exekutivteam gegenübersehen kann, oft innerhalb von Stunden und mit unvollständiger Information darüber verlangt, was die Angreiferin tatsächlich hat. Den Prozess, die autorisierenden Personen, und die Prinzipien im Voraus zu entscheiden – selbst wenn die endgültige Entscheidung immer noch von den Spezifika des Vorfalls abhängt – verhindert eine unter Erpressungsdruck improvisierte Entscheidung. Diskutieren Sie, was das Recht Ihres Rechtsraums und die Bedingungen Ihrer Fördergeberinnen zu Lösegeldzahlung sagen, und wen Sie benachrichtigen müssten.

Sind unsere kleinsten Partnerinnen und Lieferantinnen ein größeres Risiko für uns als wir für uns selbst? Eine gut gesicherte zentrale Organisation kann dennoch durch eine schlecht gesicherte Lieferantin, Vertragspartnerin, oder Erbringungspartnerin mit legitimem Zugang zu ihren Systemen oder Daten kompromittiert werden. Kartieren Sie die Dritten, die Ihre Systeme erreichen oder Ihre Daten halten können, und seien Sie ehrlich darüber, wie viel Zusicherung Sie tatsächlich über ihre Sicherheitspraktiken haben, gegenüber wie viel Zusicherung Sie annehmen zu haben. Entscheiden Sie, welchen Mindeststandard Sie künftig von ihnen verlangen werden, und wie Sie ihn verifizieren werden, statt einfach um eine schriftliche Zusicherung zu bitten.

Würden wir wissen, dass wir durchbrochen wurden, und wie schnell? Manche der schädlichsten Vorfälle sind nicht die, die schnell geschehen, sondern die, die monatelang unentdeckt bleiben, während eine Angreiferin still erkundet, Privilegien eskaliert, und Daten exfiltriert hat. Diskutieren Sie, wie Sie heute tatsächlich ungewöhnliche Aktivität entdecken würden, wer danach schaut, und ob diese Überwachung außerhalb der Bürozeiten läuft, da viele Angriffe absichtlich nachts oder über ein Feiertagswochenende gestartet werden, wenn die Reaktion am langsamsten ist. Falls Entdeckung vollständig davon abhängt, dass eine Bürgerin oder eine Partnerorganisation Ihnen sagt, dass etwas falsch ist, ist das eine kritische Lücke.

Versteht unser Vorstand oder Leitungsgremium dieses Risiko gut genug, um es zu regieren, oder haben wir dieses Urteil still an das Informationstechnologieteam ausgelagert? Cyberrisikoentscheidungen beinhalten echte Kompromisse zwischen Kosten, Dienstkontinuität, und Bürgerschutz, die richtig Sache des Leitungsgremiums sind, keine delegierte technische Angelegenheit, durch die man nickt. Diskutieren Sie, wie Cyberrisiko derzeit Ihrem Vorstand oder Rat berichtet wird, ob es in einer Sprache ist, nach der eine Nichtspezialistin tatsächlich handeln kann, und ob das Budget dafür mit derselben Strenge entschieden wird wie jedes andere wichtige Risiko. Falls Ihr Leitungsgremium derzeit nicht die drei größten Cyberrisiken Ihrer Organisation in seinen eigenen Worten erklären könnte, ist das die zuerst zu schließende Lücke.

In der Praxis: ein Beispiel für öffentlichen Wert

Eine mittelgroße regionale Nahverkehrsbehörde – fiktiv, illustrativ für ein Muster statt ein Bericht über eine reale Organisation – betrieb alternde Fahrplan- und Zahlungssysteme, die ein Jahrzehnt lang stückweise gepatcht statt modernisiert worden waren. Ihr Informationstechnologieteam bestand aus drei Personen, verantwortlich für alles von Helpdesk-Tickets bis Netzwerksicherheit, und Cybersicherheit hatte nie eine eigene Haushaltszeile gehabt; sie lebte innerhalb einer allgemeinen „Systemwartungs"-Zuweisung, die jahrelang real nicht gewachsen war.

Eine Angreiferin erhielt Zugang durch eine an eine Finanzbeamtin gesendete Phishing-E-Mail, eine gefälschte Rechnung einer Lieferantin nutzend, die die Behörde tatsächlich nutzte. Einmal drinnen, verbrachte die Angreiferin sechs Wochen damit, still durch das Netzwerk zu ziehen, bevor sie Ransomware einsetzte, die das Fahrplansystem, die Fahrpreis-Zahlungsplattform, und die Sicherungen der Behörde verschlüsselte, die nie vom Hauptnetzwerk isoliert worden waren. Busse liefen am ersten Tag noch auf dem Gedächtnis der Fahrerinnen ihrer Routen, aber Fahrpreise konnten nicht elektronisch erhoben werden, Echtzeitinformationsbildschirme wurden dunkel, und die Finanzsysteme der Behörde waren für die Gehaltsabrechnung unnutzbar.

Das Exekutivteam stand der Lösegeldentscheidung ohne vorab vereinbarte Politik gegenüber: niemand hatte im Voraus entschieden, wer die Autorität hatte, eine Zahlung zu genehmigen, wie die rechtliche Position war, oder was sie Fahrgästen sagen würden. Wiederherstellung aus einer Sicherung war keine Option, weil die Sicherungen zusammen mit allem anderen verschlüsselt worden waren. Nach neun Tagen Störung, teilweiser Dienstwiederherstellung, und einer Zahlung, die der Vorstand der Behörde später als die am wenigsten schlechte damals verfügbare Option beschrieb, beauftragte die Behörde eine unabhängige Überprüfung.

Die Befunde der Überprüfung waren unglamourös und vollständig konsistent mit dem in diesem Thema beschriebenen Muster: keine Multi-Faktor-Authentifizierung an Finanzsystemen, keine Netzwerksegmentierung zwischen Bürosystemen und Zahlungsinfrastruktur, keine getestete Sicherungswiederherstellung seit über zwei Jahren, und überhaupt keine Vorstandsebene-Sichtbarkeit auf Cyberrisiko vor dem Vorfall. Die Reaktion der Behörde war ebenso unglamourös – ein gestaffelter Plan, die Grundlagen zu beheben, eine geteilte Sicherheitsüberwachungsvereinbarung mit zwei benachbarten Nahverkehrsbehörden, um die Kosten für Spezialabdeckung zu teilen, die sich keine von ihnen allein leisten konnte, und ein stehender Tagesordnungspunkt zu Cyberrisiko im Vorstand. Nichts davon war teuer nach den Standards eines großen Informationstechnologieprogramms; all das war jahrelang übersprungen worden, weil es nie klar jemandes zugewiesene Aufgabe gewesen war, darauf zu bestehen.

Vier Sektorperspektiven

Kommunalverwaltung

Kommunalverwaltungen sitzen an einer unbequemen Kreuzung: sie halten hochsensible Daten – Sozialpflegeaufzeichnungen, Wohn- und Leistungsinformation, Wählerregister – und betreiben Dienste, auf die Bürgerinnen und Bürger nicht leicht verzichten können, haben aber typischerweise die kleinsten Sicherheitsbudgets und das wenigste Spezialistenpersonal jeder Regierungsebene. Ein großes nationales Ministerium kann ein internes Sicherheitsbetriebszentrum bauen; ein kleiner Bezirksrat kann das üblicherweise nicht, was geteilte Dienste, regionale Bündelung, und nationale Unterstützungsprogramme zum praktischen Weg zu angemessenem Schutz macht statt zu einer optionalen Zusatzleistung. Lokale gewählte Amtsträgerinnen sind auch oft am wenigsten ausgestattet, jeder Regierungsebene, um ein technisches Risikobriefing zu hinterfragen, was klarsprachige Berichterstattung an gewählte Mitglieder zu einer eigentümlichen Governance-Herausforderung auf dieser Ebene macht.

Nationale Regierung

Nationale Regierungen haben generell die Ressourcen, dedizierte Cybersicherheitsbehörden und nationale Rahmenwerke zu bauen – Stellen wie das britische National Cyber Security Centre oder die US-amerikanische Cybersecurity and Infrastructure Security Agency existieren, um Standards zu setzen, Reaktion zu koordinieren, und weniger ressourcierte öffentliche Stellen innerhalb ihres Rechtsraums zu unterstützen. Die eigentümliche Herausforderung auf nationaler Ebene betrifft weniger grundlegende Hygiene und mehr staatlich gesponserte und hochfähige Bedrohungsakteurinnen, die Wechselseitigkeit kritischer nationaler Infrastruktur über Sektoren und private Betreiberinnen hinweg, und die diplomatischen und rechtlichen Dimensionen von Zuschreibung und Reaktion, die selten auf lokaler oder organisatorischer Ebene auftreten.

Sozialer Sektor und gemeinnützige Organisationen

Gemeinnützige Organisationen und NGOs halten oft einige der sensibelsten Daten jedes Sektors – Gesundheitsaufzeichnungen, Aufzeichnungen von Überlebenden von Gewalt oder Verfolgung, Flüchtlings- und Asylfallarbeit –, während sie auf den dünnsten Sicherheitsbudgets jedes Organisationstyps in diesem Buch operieren, weil Fördergeberinnen selten Geld für Sicherheit zweckbinden und Zuschussbedingungen sie selten verlangen. Viele Sozialsektor-Organisationen hängen auch von Freiwilligen und hoher Personalfluktuation ab, was konsistente Sicherheitsausbildung und Zugriffskontrolle schwerer aufrechtzuerhalten macht als in einer stabilen, professionell besetzten Organisation; ein Sicherheitsvorfall kann für eine kleine Wohltätigkeitsorganisation existenzbedrohend sein, auf eine Weise, wie es für ein Regierungsressort selten ist, weil Reputationsschaden und Verlust von Spenderinnenvertrauen die Organisation rundweg beenden können (siehe Thema 3.8 — Sozialer Sektor und Management gemeinnütziger Organisationen).

Multilaterale und internationale Organisationen

Multilaterale und internationale Stellen operieren über Rechtsräume mit unterschiedlichen Offenlegungsgesetzen, unterschiedlichen Definitionen kritischer Infrastruktur, und unterschiedlichen Niveaus nationaler Cyberfähigkeit hinweg, was Koordination selbst zu einem eigentümlichen Problem macht: die eigenen Systeme einer internationalen Stelle mögen gut geschützt sein, während ihre nationalen Mitgliedsbehörden enorm variieren, und eine Stelle wie die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung oder die Agentur der Europäischen Union für Cybersicherheit spielt ebenso sehr eine standardsetzende und kapazitätsaufbauende Rolle wie eine operative. Die multilaterale Linse ist auch, wo grenzüberschreitende Vorfallreaktion und Informationsteilungsvereinbarungen am meisten zählen, da ein in der Infrastruktur eines Landes beginnender Angriff innerhalb von Stunden in die eines anderen kaskadieren kann, schneller, als die meisten internationalen Koordinationsmechanismen gebaut sind, sich zu bewegen.

Häufige Fehlermuster

Sicherheitstheater ohne operative Substanz. Eine Organisation übernimmt ein beeindruckend aussehendes Politikdokument, ein Compliance-Zertifikat, oder ein einzelnes teures Werkzeug, und behandelt die Box als abgehakt, während grundlegende Hygiene – Patchen, Multi-Faktor-Authentifizierung, getestete Sicherungen – uneinheitlich bleibt. Dies kostet echtes Geld für den Anschein von Sicherheit statt Sicherheit selbst, und es wird oft erst als Theater entdeckt, nachdem ein Vorfall die Lücke zwischen Politik und Praxis offenbart.

Das unbesessene Risiko. Cybersicherheit wird als Aufgabe von jemand anderem angenommen – dem Informationstechnologieteam, einer Anbieterin, einer Regulierungsbehörde –, und keine einzelne rechenschaftspflichtige Besitzerin existiert auf Leitungsgremiumsebene. Dies produziert ein Risiko, das überall diskutiert und nirgends entschieden wird, und es ist genau das Muster, das Organisationen unfähig lässt, grundlegende Fragen zu ihrer eigenen Exponierung zu beantworten, wenn gefragt.

Unterinvestition, gerechtfertigt durch Abwesenheit eines früheren Vorfalls. Weil ein gut geführtes Sicherheitsprogramm kein sichtbares Ereignis produziert, wenn es gelingt, ist es leicht, es in einer knappen Haushaltsrunde zugunsten von etwas mit sichtbarem Ausstoß zu entfinanzieren, und die bisherige Abwesenheit eines Durchbruchs wird als Beweis angemessenen Schutzes verwechselt statt als noch nicht getestete Evidenz. Dies spiegelt dieselbe Haushaltslogik, die Resilienzinvestition breiter untergräbt (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement).

Altsysteme, über ihre unterstützbare Lebensdauer hinaus laufend gehalten. Öffentliche Stellen betreiben häufig Software oder Hardware lange, nachdem eine Anbieterin aufgehört hat, Sicherheitspatches dafür herauszugeben, weil Ersatz teuer, störend, oder politisch unpopulär ist, und das System „immer noch funktioniert". Ein ungepatchtes, nicht unterstütztes System ist keine Altsystem-Unannehmlichkeit; es ist eine offene Tür, die eine Angreiferin nichts kostet zu durchschreiten.

Schuldzuweisungserste Vorfallkultur. Wenn Personal, das einen vermuteten Durchbruch oder Fehler meldet, diszipliniert statt unterstützt wird, werden zukünftige Vorfälle spät, minimiert, oder gar nicht gemeldet, und die Organisation verliert das Frühwarnsignal, das rechtzeitige Meldung liefert. Dieses Versagensmuster verstärkt jedes andere auf dieser Liste, weil keine der obigen Korrekturen funktioniert, wenn die Organisation ihre eigenen Probleme nicht ehrlich sehen kann.

Reifegradmodell

Liste zur Überprüfung

• Eine benannte Person oder ein Ausschuss auf Leitungsgremiumsebene besitzt Cyberrisiko und berichtet regelmäßig darüber, in klarer Sprache.
• Ein aktuelles Inventar existiert, welche Daten und Systeme die Organisation hält, und welche am sensibelsten oder für einen Dienst am kritischsten sind.
• Multi-Faktor-Authentifizierung wird auf allen Systemen durchgesetzt, die sensible Daten halten oder kritische Dienste kontrollieren.
• Sicherungen werden regelmäßig erstellt, isoliert vom Hauptnetzwerk gespeichert, und Wiederherstellung wurde innerhalb der letzten zwölf Monate getestet.
• Software und Systeme werden auf definiertem Zeitplan gepatcht, und jedes nicht mehr patchbare System hat einen dokumentierten Plan zum Ersatz oder zur Isolation.
• Ein schriftlicher Vorfallreaktionsplan existiert, benennt, wer Autorität für Schlüsselentscheidungen hat, und wurde im letzten Jahr durch eine realistische Übung geprobt.
• Eine vom Vorstand genehmigte Politik existiert zu Lösegeldzahlung und dazu, wie und wann betroffene Menschen, Regulierungsbehörden, und die Öffentlichkeit benachrichtigt werden.
• Verträge mit Softwareanbieterinnen und Managed-Service-Anbieterinnen schließen Sicherheitszusicherungen und Vorfallbenachrichtigungspflichten ein.
• Personal erhält regelmäßige, realistische Sicherheitsausbildung, einschließlich simulierter Phishing-Übungen.
• Das Melden eines vermuteten Vorfalls oder Beinaheunfalls wird als geschätzte Information behandelt, nicht als Grund für Schuldzuweisung.
• Geteilte oder gebündelte Sicherheitsvereinbarungen wurden mit Peer-Organisationen ähnlicher Größe und ähnlichen Budgets erkundet.
• Cyberrisiko erscheint explizit in der breiteren Krisen- und Resilienzplanung der Organisation, nicht als getrennter, unverbundener Plan.

Hauptquellen

Dieses Thema stützt sich auf das Cybersecurity Framework des National Institute of Standards and Technology als führendes strukturiertes Rahmenwerk zur Organisation von Cybersicherheitspraxis; die veröffentlichte Mission und Leitlinien der Agentur der Europäischen Union für Cybersicherheit zur Erreichung eines gemeinsamen Cybersicherheitsniveaus über die Europäische Union hinweg; die Digitale-Sicherheit-Politikarbeit der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung, die digitale Sicherheit als wirtschaftliches und soziales Risikomanagementthema rahmt statt als rein technisches; und die von nationalen Cybersicherheitsbehörden wie dem britischen National Cyber Security Centre und der US-amerikanischen Cybersecurity and Infrastructure Security Agency veröffentlichten operativen Leitlinien, die beide kostenlose, spezifisch auf unterressourcierte öffentliche Stellen ausgerichtete Leitlinien bereitstellen.

Referenzen

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about