Sichere Identitäten Entscheidungen aus Brüssel entwickeln PKI zum Massenmarkt

Anbieter zum Thema

Materna Information & Communications SE

xSuite Group GmbH

mgm technology partners GmbH

Mit NIS2, CRA und DORA definiert die EU einen verbindlichen Stand der Technik bei der IT-Sicherheit. Angesichts dessen kommt die öffentliche Verwaltung nicht umhin, sich mit Public-Key-Infrastrukturen, Certificate Lifecycle Management und quantensicherer Verschlüsselung auseinanderzusetzen.

Das Tempo bei den Anforderungen an die IT-Sicherheit nimmt zu – und zwar teilweise schneller, als diese umgesetzt werden können. Die zweite Network and Information Security Directive (NIS2), der Cyber Resilience Act (CRA) sowie der Digital Operational Resilience Act (DORA) steigern nicht nur die Anforderungen an die Informationssicherheit für Organisationen und Einrichtungen der kritischen Infrastruktur (KRITIS). Vielmehr verfolgt Brüssel auch das Ziel, einen europäischen Rechtsrahmen zu entwickeln, der verbindlich definiert, was Bestandteil des sogenannten „Stands der Technik“ bei der Absicherung digitaler Infrastrukturen ist.

KI für Sicherheit, Sicherheit für KI

KI-Governance für KRITIS-Betreiber

Aus der aktuellen Entwicklung der geopolitischen Lage erwächst zudem die Erkenntnis, dass es bei der Umsetzung nicht nur um vertrauenswürdige digitale Identitäten geht, sondern ebenso um den Schutz der dazugehörigen privaten Schlüssel und Daten – also um die Fähigkeit, kryptografische Prozesse dauerhaft unter eigener Kontrolle zu betreiben. Oder um es mit den Worten von Nicolas Guillou, Richter am Internationalen Gerichtshof in Den Haag zu sagen, „eine digitale Zeitreise in die 1990er“ zu vermeiden.

Integraler und zentraler Baustein dabei ist der zuverlässige Einsatz einer Public Key Infrastructure (PKI) und eines benutzerfreundlichen Certificate Lifecycle Managements (CLM). Für Staat und Verwaltung sind die neuen Anforderungskataloge dementsprechend weitaus mehr als ein rein technisches Thema. Sie erfordern vor dem Hintergrund der aktuellen Entwicklung zudem die strategische Auseinandersetzung mit den Themenfeldern Sicherheit und Souveränität.

Mit einem CLM das Management von Zertifikaten automatisieren

PKI-Technologien sind seit Jahrzehnten ein bewährter Standard, doch mittlerweile wächst ihr Anwendungsfeld rasant. Zertifikate sichern heute in der öffentlichen Verwaltung nicht mehr nur Webserver und öffentliche Dienste oder virtuelle private Netzwerke (VPN), sondern signieren und verschlüsseln E-Mails, identifizieren Nutzer und Geräte, signieren rechtsverbindlich Dokumente digital oder sichern und authentifizieren in komplexen, hybriden IT-Umgebungen die interne Kommunikation. Mit der zunehmenden Vernetzung steigt folglich die Zahl der Zertifikate exponentiell – und mit ihr die daraus wachsenden Anforderungen an deren Verwaltung.

Die Laufzeit öffentlicher TLS-Zertifikate beträgt gegenwärtig maximal 398 Tage, also etwas mehr als 13 Monate. Das Certificate Authority Browser Forum (CA/B Forum) möchte diese Laufzeiten weiter verkürzen: zunächst auf 90 bis 60 Tage, die Zielmarke liegt sogar bei weniger als 50 Tagen. Eine Folge dieser Entwicklung: Ein steigender Druck, die Zertifikatsverwaltung zu optimieren und vor allem die zukünftig regelmäßige und häufigere Erneuerung der Zertifikate zu automatisieren. Parallel dazu beeinflusst dies auch die empfohlenen Laufzeiten für private Zertifikate.

Kürzere Laufzeiten und häufige Erneuerungen machen folglich ein automatisiertes CLM, das beide Zertifikatsformate, öffentliche und private, im Blick behält, unverzichtbar. Denn ein CLM erleichtert die Einführung, Überwachung und den reibungslosen Betrieb aller Prozesse rund um die Zertifikate erheblich. Das Ergebnis: Es verhindert teure Ausfallzeiten durch unbeabsichtigt abgelaufene Zertifikate oder die nicht gegebene Erreichbarkeit von Heim- und Remote-Mitarbeitenden.

Gerade für kleinere Organisationen oder eigenständige kommunale Betriebe stellt das gegebenenfalls eine strukturelle Herausforderung dar. Der Aufbau einer eigenen PKI mit CLM erfordert Fachwissen und dauerhafte Pflege inklusive des erforderlichen und oftmals händeringend gesuchten Fachpersonals. Zwar nutzen viele Organisationen die auf Windows-Systeme ausgelegte Microsoft-PKI, doch die meisten Anwender vermissen ein benutzerfreundliches CLM, das die automatische Ausstellung, Verlängerung und Sperrung von Zertifikaten über Systeme und Plattformen hinweg herstellerunabhängig abbildet. Damit steigt zugleich das Risiko von Betriebsausfällen durch abgelaufene Zertifikate. Schließlich ist der Imageschaden inklusive, wenn Bürgerinnen Online-Dienste nicht mehr in Anspruch nehmen können oder ein automatisierter Datenaustausch zwischen den Behörden unmöglich wird.

Gleichzeitig steigt aufgrund der geopolitischen Entwicklung die Erwartung, dass kryptografische Schlüssel und Identitätsdaten unter europäischer Kontrolle bleiben müssen. Der Bericht des eingangs genannten Guillou, dessen Konten bei US-Unternehmen sofort geschlossen wurden, dessen Online-Buchungen direkt storniert werden, selbst wenn es etwa um Hotels in Frankreich geht oder für den eine Teilnahme am E-Commerce praktisch nicht mehr möglich ist, ist Warnung genug. Die Balance zwischen Datensouveränität, Sicherheit und betrieblichem Aufwand wird damit zum entscheidenden Erfolgsfaktor.

Kryptografie im Wandel – rechtzeitiges Handeln zählt

In diesem Zusammenhang ist es jedoch von enormer Bedeutung, über die aktuellen regulatorischen Anforderungen hinaus zu blicken und kommende technologische Veränderungen mit einzubeziehen. Denn nach NIS2, CRA und DORA steht die nächste technologische Zäsur bevor – der Fortschritt der Quantencomputer, der das heutige kryptografische Verfahren langfristig in Frage stellen wird. So warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI), leistungsfähige Quantencomputer könnten bereits im kommenden Jahrzehnt Realität werden.

Das hat zur Folge, dass Daten, die heute verschlüsselt übertragen oder gespeichert werden, wohl von leistungsfähigen Quantencomputern in naher Zukunft entschlüsselt werden. Um die langfristige Sicherheit der IT-Architektur und der Prozesse zu gewährleisten, sollte daher frühzeitig auf quantensichere Algorithmen umgestellt werden. Dann verliert auch das bekannte Prinzip „Harvest now, decrypt later“ ihren Schrecken. Verwaltungen, die sich schon jetzt mit den richtigen Technologien vorbereiten, können ihre sensiblen Informationen durch den Einsatz quantenresistenter Algorithmen bereits heute zukunftssicher und wirksam vor etwaigen Zugriffen schützen.

NIS-2-Umsetzung

Leitfaden zur Einführung einer Public-Key-Infrastructure-Lösung

Dabei hat sich in der Praxis die Einführung hybrider Verschlüsselungsverfahren mit ihrem pragmatischen Ansatz bewährt: einer Kombination aus klassischen und quantensicheren Algorithmen. Dadurch lassen sich bestehende Systeme schrittweise absichern, ohne sofortige Komplettmigrationen durchführen zu müssen. Verwaltungen und Organisationen, die sich rechtzeitig auf diesen Wandel vorbereiten, sichern sich eine widerstandsfähige und zukunftssichere Infrastruktur. Entsprechende Lösungen etwa für Browser, Mailprogramme oder Web-Server sind am Markt bereits verfügbar.

Zertifikate für Compliance und Handlungsfreiheit

Zertifikate sind längst kein reines IT-Thema mehr, sondern die Grundlage digitaler Vertrauensbildung. Ihre sichere und souveräne Verwaltung entscheidet zunehmend über Leistungsfähigkeit, Compliance und Handlungsfreiheit. Europäische Hersteller können dabei auf ihre Standortvorteile zählen, sofern sie Cybersicherheitslösungen entwickeln, die sich einfach anwenden und in bestehende Prozesse integrieren lassen. Staatliche Verwaltungen und Organisationen haben jetzt die Chance, auf Lösungen zu setzen, die Datensouveränität, Anwenderfreundlichkeit und Nachhaltigkeit vereinen und damit langfristig digitale Unabhängigkeit sichern.

Kurzinterview mit dem Autor

Herr Ruf, Sie fordern mit Blick auf PKI und CLM nicht nur eine technische, sondern vielmehr eine strategische Auseinandersetzung mit den Themenfeldern Sicherheit und Souveränität. Können Sie das präzisieren?

Ruf: Gerade Software aus dem Bereich IT-Sicherheit erhält eine höhere Bedeutung beim Thema Datensouveränität. Haben Sie keinen Zugriff mehr auf Ihre Schlüssel und Ihre Identitäten, dann wird die Vertraulichkeit der kompletten Softwareinfrastruktur in Frage gestellt. Das gilt insbesondere im Bereich kritischer Infrastrukturen. Auf der it-sa wurden wir deshalb mehrfach danach gefragt, ob die MTG, und folglich auch unsere Produkte, ein deutscher Anbieter ist.

Mit Blick auf die zunehmende Vernetzung zwischen Behörden und automatisiertem Datenaustausch: Welche Herausforderungen ergeben sich, wenn verschiedene Verwaltungsebenen oder Kommunen mit unterschiedlichen PKI- und CLM-Lösungen arbeiten? Braucht es Standards oder technische Vorgaben für die Interoperabilität - und wenn ja, auf welcher Ebene sollten diese definiert werden?

Ruf: Es gibt heute schon Standards auf internationaler, europäischer und deutscher Ebene für digitale Zertifikate. Internationale Standards wie X.509 definieren die konkrete technische Ausprägung eines digitalen Zertifikats, das ist der gemeinsame Nenner für alle Zertifikate. Weitere Standards definieren dann vor allem die Prozesse rund um die Ausstellung von öffentlichen und privaten digitalen Zertifikaten (CA Browser Forum, ETSI, BSI), die unterschiedliche Szenarien ansprechen. Halten sich Behörden an diese Standards, stellt die Interoperabilität kein Problem dar. In Zukunft sollten wir jedoch aus Sicht der Datensouveränität stärker europäische Standards bevorzugen, da es auf internationaler Ebene Lücken gibt.

Wäre es nicht vielleicht sinnvoller, die Governance im föderalen System einer höheren Ebene, sprich den Ländern zu übertragen? Welche Vor- und Nachteile sehen Sie bei den verschiedenen Betriebsmodellen – insbesondere im Spannungsfeld zwischen lokaler Autonomie und effizienter Zentralisierung?

Ruf: Der Betrieb einer PKI setzt spezielles Know-How voraus, eine Zentralisierung ergibt an dieser Stelle durchaus Sinn. Der Trend zur Konsolidierung des PKI-Managements ist bei großen Industrieunternehmen und Konzernen zu beobachten, die die Vorteile einer zentralen Bündelung der Kompetenz erkannt haben. Die Zusammenführung des spezifischen Know-Hows an einer Stelle maximiert Qualität und Sicherheit des PKI-Betriebs, da Spezialisten sich voll auf die Kernaufgabe konzentrieren können. Zudem werden die Gesamtbetriebskosten optimiert. Anstatt in jeder Organisationseinheit eigene PKI-Experten vorhalten oder externe Dienstleister beauftragen zu müssen, profitiert die gesamte Organisation von einem geteilten, effizienten und hochsicheren Service. Dann sollte die PKI-Lösung aber auch in der Lage sein, verschiedene Anwendungsszenarien und Organisationseinheiten oder Mandanten flexibel abzubilden und zu unterstützen: Damit hätten lokale Einheiten oder Fachbereiche weiterhin die Flexibilität, die Ausstellung und Verwaltung ihrer Zertifikate für konkrete Anwendungsfälle selbst zu steuern und zu entscheiden, welche Dienste oder Prozesse eine PKI-Absicherung benötigen. Dies schafft eine Balance zwischen zentralisierter Effizienz und dezentraler Anwendungsnähe und fördert somit die Akzeptanz und den effektiven Einsatz der PKI.

Welche Monitoring- und Alerting-Mechanismen sollte ein CLM bei ablaufenden Zertifikaten bieten und wie weit sollte Automatisierung bei einer Erneuerung gehen, sprich: gibt es Szenarien, in denen manuelle Freigaben sinnvoll bleiben?

Ruf: Monitoring und Alerting sollten zum einen in der PKI- und CLM-Software an der grafischen Benutzerschnittstelle sichtbar sein, aber auch die einfache Integration in andere Systeme ermöglichen. Beispiele für die Integration hierfür können sein: E-Mail, MS Teams oder das Simple Mail Transfer Protocol (SMTP). So können vorhandene Monitoring Systeme weiter benutzt werden und die mit der PKI verbundenen Anwendungsfälle abdecken. Manuelle Freigaben können bei besonders sensiblen Zertifikaten, wie CA-Zertifikate (Certificate Authority) oder bei zentralen Komponenten etwa einer Firewall eine sinnvolle Ergänzung sein, allerdings sollte man wo immer es möglich ist auf automatisierte Prozesse setzen. Schließlich leistet das einen signifikanten Beitrag zur Reduzierung der Fehlerwahrscheinlichkeit.

Jürgen Ruf ist Geschäftsführer der MTG AG. Das Interview führte Stephan Augsten.

Der Autor
Jürgen Ruf ist Vorstandsvorsitzender der MTG AG.

Bildquelle: MTG AG

(ID:50662232)