NIS-2-Umsetzung Leitfaden zur Einführung einer Public-Key-Infrastructure-Lösung

Anbieter zum Thema

GISA GmbH

Governikus GmbH & Co. KG

xSuite Group GmbH

Mit NIS 2 (Network and Information Security Directive) legte die EU im Januar 2023 neue Cybersecurity-Mindeststandards fest. Moderne „Public Key Infrastructure (PKI) Service“-Angebote können hierzu einen effektiven Beitrag leisten, wie Tamer Kemeröz in seinem Gastbeitrag erläutert.

Die am 16. Januar 2023 in Kraft getretene Richtlinie NIS 2 muss bis Oktober 2024 in nationales Recht umgesetzt werden. Eine Folge ist die Überarbeitung des IT-Sicherheitsgesetzes sowie der KRITIS-Verordnung. Die Anpassung der Mindeststandards für das Risikomanagement der IT-Sicherheit oder der Meldepflichten ist damit nur eine Frage der Zeit. So wird die Implementierung des sogenannten „Stands der Technik“ in der Cybersicherheit eine zentrale Aufgabe auch der IT der öffentlichen Verwaltung.

Zentrale Anwendungsfälle der Gefahrenabwehr durch Zertifikate

Kern der IT-Sicherheit bei der Kommunikation von Menschen und Maschinen im Internet sind sichere Identitäten. Denn gibt sich ein Hacker glaubhaft als jemand anderes aus, so wird der Getäuschte den Angreifer ahnungslos ins Netz lassen. Eine PKI schafft Voraussetzungen für die eindeutige Identifikation der Akteure. Herzstück einer PKI sind Zertifikate, die von einer vertrauenswürdigen Zertifikatsstelle, der Certification Authority (CA) ausgestellt werden. Jeder Teilnehmer erhält von der PKI ein solches Zertifikat, wodurch das Netzwerk über einen Vertrauensanker verfügt.

Bei der Einführung zertifikatsbasierter Prozesse werden oftmals Anwendungsfälle isoliert betrachtet. Im übertragenen Sinne entspricht eine solche Schutzmaßnahme der gesicherten, verschlossenen Haustür, bei gleichzeitig offenen Fenstern und Kellertür. Folglich ist es wichtig, den Blick auf alle Verwaltungsprozesse zu richten. Nur dies gewährleistet eine umfassende Gefahrenabwehr. Zu den zentralen Anwendungsfällen, die mittels PKI abgesichert werden sollten, zählen Identitäts- und Zugriffsmanagement, Netzwerksicherheit, sichere E-Mail-Kommunikation, Absicherung von Webanwendungen und Diensten, Handling mobiler Geräte, digitale Signatur von Dokumenten und Code Signing.

Typische Einsatzszenarien

Digitale Zertifikate optimieren Authentifizierung und Sicherheit, erfordern über Passwörter hinaus noch den Besitz eines geheimen Wertes, der dem Zertifikat zugeordnet ist. Sie authentifizieren und autorisieren Benutzer und Geräte im Unternehmensnetzwerk, wie PCs, Laptops, Firewalls, Router oder Switches. Darüber hinaus werden sie in VPNs eingesetzt, um die Identität der Kommunikationspartner zu verifizieren und eine sichere, verschlüsselte Verbindung über öffentliche Netzwerke hinweg herzustellen. Dies ermöglicht Mitarbeitern etwa aus dem Home Office oder im Außeneinsatz den sicheren Zugriff auf Daten und sichert zudem die Verbindung zwischen Verwaltungsstandorten ab.

Fachkräfte für IT-Sicherheit

Cyber Campus NRW erhält Fördermittel des Landes

E-Mails wiederum sind Einfallstor für Angreifer. Zertifikate steigern deren Sicherheit, sei es intern, zwischen Behörden oder in der Kommunikation mit Bürgerinnen. Digital signierte E-Mails gewährleisten nicht nur Unveränderbarkeit und Authentizität der Nachricht, sondern gestatten auch die Verschlüsselung, der unautorisierte Zugriff wird abgewehrt. Hier bewähren sich Zertifikate von Anbietern öffentlicher Zertifizierungsstellen (Public CA), die in Ende-zu-Ende-Verschlüsselung oder zentralen E-Mail-Gateways eingesetzt werden. Webanwendungen und -dienste werden durch Public CAs abgesichert, weil so alle Internetnutzer deren Gültigkeit überprüfen können. Die PKI sichert bei Mobile Device-Management-Plattformen die Kommunikation unter den mobilen Geräten, über Apps und von Benutzern mit den verfügbaren Diensten ab.

Zentral für die Behördenkommunikation ist die Echtheit und Unversehrtheit ihrer Dokumente. Eine PKI automatisiert die Ausgabe der Zertifikate, sodass allen Beteiligten eines Vorgangs die Echtheit von Dokumenten garantiert werden kann. Beim so genannten Code Signing steigt die Sicherheit, Integrität und das Vertrauen in Softwareprodukte und Firmware durch eindeutige Identifizierung der Softwareherausgeber. Anwender sind damit sicher, dass die Software vom vertrauenswürdigen Lieferanten stammt und nicht verändert wurde.

Beratung und Anforderungsanalyse

Planung einer PKI und Definition der Anwendungen berücksichtigt an erster Stelle die Analyse der Situation und daraus resultierende Anforderungen. Ist bereits intern eine PKI im Einsatz und deckt sie Anwendungsfälle und Anforderungen ab? Kann sie weiter betrieben oder muss sie aufgrund mangelhafter Leistungsfähigkeit migriert werden? Dabei sollte auf Skalierbarkeit und Ausfallsicherheit geachtet werden – Stichwort Zukunftssicherheit.

Der nächste Blick gilt den verwendeten Zertifikaten, denn Anwendungsfälle setzen entweder auf private oder öffentliche Zertifikate. Last but not least ist zu klären, ob bestimmte Schnittstellen zum Einsatz kommen oder die Prozesse über Protokolle automatisiert werden können. Das ist etwa relevant, wenn es um Drucker, WLAN-Router oder bestimmte Server geht.

Ein weiterer Aspekt betrifft vorgegebene Regularien, die etwa den Einsatz von Hardware-Security-Modulen zur Schlüsselaufbewahrung vorschreiben oder Zertifizierungen der Rechenzentrumsinfrastruktur, in der die PKI betrieben wird. Schließlich speichert eine PKI personenbezogene und sicherheitsrelevante Daten.

Damit kommen Anforderungen aus den Bereichen Datenschutz und Datensicherheit ins Spiel. Vor allem bei der Auswahl eines Managed-PKI-Anbieters entscheiden Speicherort und Nachweis der Einhaltung aller relevanten Vorgaben zum Schutz der Daten. Bei einem Drittland außerhalb der EU muss die Übermittlung und Speicherung den Vorgaben zum Schutz der Daten, der DSGVO, entsprechen. Hier steht gerade die öffentliche Hand unter besonderer Beobachtung. Ein Managed-PKI-Dienstleister aus Deutschland oder der EU garantiert Anwendern die bewährten rechtlichen Rahmenbedingungen.

Aus Kostengründen sollten PKI-Systeme über ein „Certificate Lifecycle Management (CLM)“ verfügen. Das überwacht die Zertifikatsgültigkeit und ermöglicht die rechtzeitige Verlängerung der Laufzeiten automatisiert. So setzt ein CLM organisatorische Aspekte bei der Zertifikatsverwaltung einfach um. Dazu zählen die Zuweisung von Rollen und Rechten für die Verwaltung von Zertifikaten sowie die Konfiguration von Benachrichtigungen. Gerade wenn später Anpassungen der Prozesse und Organisationsstrukturen notwendig sind, empfiehlt sich ein flexibel konfigurierbares CLM-System, minimiert es doch Kosten und Zeitaufwand.

Abschließend sollte bei der Planung des operativen Betriebs der PKI geklärt werden, ob und in welchem Umfang PKI-Know-how vorhanden ist und wer die Umsetzung und Weiterentwicklung der Prozesse übernimmt. Denn auch hier müssen unter Umständen externe Beratungsleistungen in Anspruch genommen werden.

Managed PKI oder On Premise

Die Einführung einer PKI und insbesondere der Betrieb im eigenen Rechenzentrum ist eine anspruchsvolle, komplexe Aufgabe. Er empfiehlt sich, wenn spezielle Anwendungsfälle und Anforderungen mit individuellen Anpassungen umzusetzen sind. Je nach Einsatzzweck ist jedoch der Eigenbetrieb einer PKI aus regulatorischen Gründen nicht statthaft.

Als Alternative steht die Managed PKI bereit, die geringeren Aufwand bei Planung, Vorbereitung und operativem Betrieb benötigt. Managed PKIs stehen schneller bereit und Anwender werden von der Verantwortung entlastet, Konfigurationen, Backup-Konzepte, Ausfallsicherheit, Zugangskontrollen und Zugriffsrechte zu regeln und sicherzustellen. All dies übernimmt der Dienstleister, er stellt die Infrastruktur bereit und bietet Flexibilität bei neuen Anforderungen. Darüber hinaus werden Software- und Security-Updates sowie Anpassungen an wachsende Verschlüsselungsvorgaben vom Dienstleister übernommen und eine geschützte, möglicherweise zertifizierte Umgebung gewährleistet. Know-how zu PKI und IT-Security muss in der Verwaltung nicht extra aufgebaut werden.

IT-Sicherheit

Quelloffene Lösungen für mehr Cybersecurity

Eine qualifizierte Managed PKI wird exklusiv für den Nutzer eingerichtet und bildet die komplette Vertrauenskette von Root-CA über Sub-CA bis zu den Anwenderzertifikaten ab. Skalierbarkeit und Schutz der Schlüssel nach dem aktuellen Stand der Technik sind ebenfalls empfehlenswert. Ideal ist es, öffentliche Zertifikate über eine oder mehrere angebundene Public-CAs einzubeziehen, etwa für öffentliche E-Mail-Zertifikate, damit diese extern überprüfbar sind. Ein umfassendes CLM sollte in einem solchen Angebot nicht fehlen, um alle Aspekte effizient zu verwalten und zu sichern.

Die öffentliche Verwaltung samt ihrer Daten steht bei Angreifern besonders hoch im Kurs. Mit NIS 2 wird das Niveau der Sicherheitsinfrastruktur nochmalig gesteigert. Eine PKI, ob Managed Service oder on Premise, liefert einen zentralen Beitrag, Verwaltungsprozesse zu vereinfachen und das Sicherheitsniveau zu verbessern. Für Behörden, die eine PKI implementieren möchten, ist es ratsam, sich umfassend auf die Planung und Umsetzung vorzubereiten und sofern nötig professionelle Beratung in Anspruch zu nehmen.

(ID:50002312)