VS-NfD-konform mobil arbeiten
Stramm sitzender IT-Sicherheitsgurt für mobiles Arbeiten
Mobiles Arbeiten ist praktisch und zeitgemäß, birgt aber vermehrt Risiken, weil Cyberangriffe auch von staatlichen Akteuren zunehmen. Der Gesetzgeber stellt daher hohe Anforderungen an die IT-Security beim Umgang mit Infos, die als »Verschlusssache – Nur für den Dienstgebrauch« eingestuft sind.
Die Reise in Richtung Cyber-Resilienz hat sich zu einer wilden Fahrt für IT-Abteilungen entwickelt. Immer ausgefeiltere, oft KI-gestützte Phishing-Attacken, erpresserische Ransomware, die Unternehmen und ihre Kunden in Geiselhaft nimmt, und viele weitere Bedrohungen wollen sicher umkurvt werden. Um dabei nicht aus der Kurve zu fliegen, müssen die IT-Sicherheitsgurte stramm sitzen. Wer hingegen digital ohne oder nur mit schwacher Absicherung unterwegs ist, riskiert viel.
Der Austausch vertraulicher Daten über externe Netzwerke, Echtzeitinformationen aus entfernten Anlagen oder die effiziente Fernwartung eines Experten – mit jeder neu hinzugewonnenen Freiheit erwächst die Notwendigkeit, auch Technik zur Abwehr von Cyberangriffen durch Kriminelle, staatlich gesteuerte Wettbewerber und immer häufiger auch feindliche gesinnte Staaten aufzubauen.
Das gilt vor allem für das Thema mobile Arbeitsplätze. Denn hier lauern deutlich mehr Gefahren als in der besser zu schützenden IT-Infrastruktur im Unternehmen. Die Liste der Bedrohungen unterwegs ist lang und reicht vom Zugang zu öffentlichen und gegebenenfalls schlecht gesicherten Netzwerken über die auch unbeabsichtigte Nutzung privater Clouds bis hin zum Verlust des mobilen Geräts, in dem möglicherweise ungesicherte E-Mails, Zugänge, Dokumente oder gespeicherte Passwörter auf Datendiebe warten.
Je nach Anforderung erfolgt die Anbindung des mobilen VS-NfD-Arbeitsplatzes direkt über die P-A-P-Struktur oder – leistungsfähiger und flexibler – über ein separates VPN-Gateway und einen zusätzlichen Paketfilter.
Verschärfte Anforderungen an Cybersicherheit
Mit dem Ausrufen der »Zeitenwende« in Deutschland wurde das Ruder des Verteidigungsetats in einer 180°-Wende vom bisherigen Schrumpfhaushalt zum zentralen Investitionsfeld herumgerissen. Immer mehr Industriebetriebe agieren seitdem verstärkt in der Produktion von Rüstungsgütern, was zusätzliche Herausforderungen bei der Absicherung ihrer IT-Infrastruktur mit sich bringt.
Zwar navigieren viele Fertigungsbetriebe, Maschinenlieferanten oder Instandhalter mit ihren Betriebsgeheimnissen bereits achtsam durch den IT-Alltag voller Compliance-Kurven und gepatchten Exploit-Schlaglöchern. Doch beim Thema Produktion von Waffen, Munition und anderen industriellen Rüstungsgütern sind spezielle Schutzmechanismen notwendig und sogar vorgeschrieben. Aus guten Gründen: Zum einen stehen solche Betriebe weiter oben auf der Liste potenzieller Angreifer, zum anderen haben sicherheitsrelevante Vorfälle Konsequenzen weit über den betroffenen Betrieb hinaus.
Unternehmen und ihre Mitarbeiter, die in der Produktionskette militärischer Güter eingebunden sind und mit »geheimhaltungsbedürftigen Tatsachen, Gegenständen oder Erkenntnissen« umgehen, müssen gesonderte Maßnahmen ergreifen. Mit der Einstufung von Informationen und Daten als »Verschlusssache – Nur für den Dienstgebrauch« (VS-NfD) laut Verschlusssachenanweisung (VSA) des Bundesinnenministeriums geht die Verantwortung für den vorschriftgemäßen Umgang mit diesen Unterlagen einher. Zusammen mit der Anlage 4 des VS-NfD-Merkblatts zum Geheimschutzhandbuch des Bundeswirtschaftsministeriums ergeben sich neue Compliance-Anforderungen für die Betriebe.
Die genusecure-Suite nutzt die Hardware des Laptops inklusive Grafikkarte voll aus, so dass auch ressourcenhungrige Applikationen flüssig laufen.
Beispielsweise vererben sich die Auflagen entlang der Lieferkette: Verschafft der VS-NfD-Auftragnehmer seinen Zulieferern oder Dienstleistern Zugangsmöglichkeit zu Verschlusssachen, müssen auch diese Personen zur Umsetzung der Maßnahmen laut Merkblatt verpflichtet werden. Die Richtlinien besagen, dass VS-NfD immer dann relevant wird, wenn Mitarbeitende im Rahmen von Lieferung, Wartung, Fernzugriff oder Service nicht nur mit der Maschine selbst, sondern mit entsprechend eingestuften Informationen oder Systemen in Berührung kommen können. Entscheidend ist dabei nicht, ob sie diese Informationen aktiv bearbeiten sollen, sondern ob ihnen Zugang – oder auch nur eine Zugangsmöglichkeit – zu VS-NfD eröffnet wird. Ab diesem Punkt müssen sie als VS-NfD-Auftragnehmer oder -Unterauftragnehmer eingebunden, verpflichtet und organisatorisch kontrolliert werden.
Konsequenzen der Einstufung »VS-NfD« für die IT-Sicherheit
Das Merkblatt schreibt technische und strukturelle Maßnahmen vor und nennt Verhaltensregeln wie Belehren und Einweisen von Personen über den Umgang und mögliche Konsequenzen eines Fehlverhaltens. Eine der wichtigsten Grundregeln dabei ist der Grundsatz: »Kenntnis nur, wenn nötig«. Keine Person darf über eine Verschlusssache umfassender oder eher unterrichtet werden, als dies aus Gründen der Aufgabenerfüllung notwendig ist. Das gilt auch für IT-Mitarbeitende mit Datenbankzugriff. Hinzu kommt, dass die VS-NfD-Vorschriften bereits in der Ausschreibungsphase eines Projekts gelten. Das heißt: Treffen Ausschreibungsunterlagen eines öffentlichen Auftraggebers ein, können Teile dieser Informationen bereits als VS-NfD eingestuft sein.
| P-A-P-Struktur: Sandwich für sicheren Datenverkehr |
|---|
Sobald die Informationen digital verarbeitet werden, sind neben den allgemeinen Schutzmaßnahmen weitere geeignete Vorkehrungen zu treffen. Das Merkblatt nennt hier unter anderem IT-Sicherheitsprodukte, die über eine Zulassung des BSI (Bundesamt für Sicherheit in der Informationstechnik) verfügen. Zudem verlangt es folgende technische und organisatorische Maßnahmen zum Schutz der VS-NfD in IT-Systemen: Bei allen für VS-NfD freigegebenen Netzsegmenten, die nicht abgeschottet betrieben werden, ist eine Umsetzung gemäß IT-Grundschutz gefordert und der Einsatz einer P-A-P-Firewall-Struktur (Paketfilter – Application Layer Gateway – Paketfilter) Pflicht.
Darüber hinaus gilt die Nutzung zugelassener Firewall-Systeme als geeignete Geheimschutzmaßnahme. Im IT-Grundschutz wird im Falle dieses erhöhten Schutzbedarfs zudem der Einsatz einer Firewall mit Zertifizierung nach CC EAL 4 oder höher empfohlen.
BSI-zugelassene Lösungen für VS-NfD-konformes mobiles Arbeiten
Das BSI verlangt, als Verschlusssache eingestufte Dokumente ausschließlich in einem für VS-NfD freigegebenen Netz zu bearbeiten und zu speichern. Je nach Aspekten wie Firmengröße, Budget oder Nutzungshäufigkeit lassen sich die mobilen Arbeitsplätze jedoch unterschiedlich ans Unternehmensnetz anbinden. Die Basislösung kommt ohne P-A-P-Struktur im Heimnetz aus. Sie besteht aus einem abschließbaren Rack mit einem (File-)Server für VS-NfD-Dateien sowie einem zugelassenen VPN-Gateway. In dieser kleinsten Variante besteht kein Übergang des VS-NfD-Netzes in ein unsicheres Netz. Der Zugriff auf den Server erfolgt ausschließlich über eine zugelassene verschlüsselte VPN-Verbindung, die am VPN-Gateway terminiert.
Hardware für eine P-A-P-Struktur: die Firewall & VPN-Appliance genuscreen M und die High Resistance Firewall genugate M.
Besteht ein Übergang zwischen dem VS-NfD-Netz und einem nicht für VS-NfD freigegebenen Netz (z.B. Firmen-LAN oder Internet), schreibt das BSI zwingend eine P-A-P-Struktur vor (siehe Kasten). Mit ihr erhält ein mobiles Endgerät Zugriff auf Netzwerke außerhalb des VS-NfD-Netzes. Dabei kann der äußere Paketfilter neben seiner Funktion als Firewall auch als VPN-Gegenstelle für den VPN-Client des mobilen Mitarbeitenden agieren, sofern der Paketfilter für den Einsatz als VPN-Gateway zugelassen ist. Dieser Aufbau erfordert keine separate VPN-Komponente, und die bestehende P-A-P-Struktur wird für die Anbindung mobiler VS-NfD-Arbeitsplätze mitgenutzt.
| genua GmbH: Sichere digitale VS-NfD-Kommunikation |
|---|
Zukunftssichere performante IT-Lösung für VS-NfD
Für mehr Leistung ist die Nutzung eines zusätzlichen VPN-Gateways zwecks Lastverteilung sinnvoll, etwa wenn mehrere Mitarbeitende mit Mobilgeräten Zugriff auf VS-NfD erhalten. Diese VPN-Gegenstelle wird am Netzübergang in einer demilitarisierten Zone (DMZ) platziert und leitet den Datenverkehr zu einem internen Paketfilter im VS-NfD-Netz weiter. Die Kombination aus VS-NfD-konformer Netzarchitektur und VS-NfD-konformen Arbeitsplätzen stellt sicher, dass die vertraulichen Dokumente die VS-NfD-Domäne nie verlassen.
Diese Beispiele zeigen, wie unterschiedlich die Herangehensweise an eine zeitgemäße und zugleich sichere mobile Arbeitsweise im VS-NfD-Umfeld sein kann. Um die passende Netzwerkarchitektur für den jeweiligen Anwendungsfall zu definieren, bietet sich zunächst ein Beratungsgespräch an. Hier wird als Basis eine gründliche Risikoanalyse erstellt, bevor im individuellen Gespräch organisatorische und technische Vorgaben besprochen und gemeinsam die Segmentierung und die Zugriffsmethode geplant werden. Auf diese Weise entsteht eine VS-NfD-konforme IT-Infrastruktur, die sich flexibel an die Anforderungen des Unternehmens anpasst. Am Ende werden nicht nur die behördlichen Vorgaben bezüglich Sicherheit eingehalten und wertvolle Betriebsgeheimnisse abgesichert, sondern es entsteht auch das gute Gefühl, sicher angeschnallt durch die kurvenreiche Cyber-Landschaft zu navigieren.