Aufbaumodule

Auch bei den Aufbaumodulen ergeben sich einige Änderungen. Diese beschreiten den Weg, der von den Basismodulen vorgezeichnet ist. Leider muss man feststellen, dass an der einen oder anderen Stelle Redundanzen entstehen, da die generelle Tendenz, die Anforderungen schon für normalen Schutzbedarf zu verschärfen, den Raum nimmt, mit zusätzlichen Maßnahmen ein höheres Sicherheitsniveau zu erreichen. Es kommt daher stellenweise dazu, dass Maßnahmen in den Aufbaumodulen nun letztlich nur noch redundant sind. Für eine künftige Version der TR wäre zu prüfen, ob nicht eine zweistufige Einteilung in normalen beziehungsweise hohen und sehr hohen Schutzbedarf ausreichend wäre. Dies käme der Praxis entgegen. Denn dort wird häufig für alle gescannten Dokumente ein hohes Schutzniveau umgesetzt und Dokumente mit sehr hohem Schutzbedarf werden vom ersetzenden Scannen ausgenommen. Viele Änderungen in den Aufbaumodulen befassen sich ebenfalls mit Anforderungen an Kryptografie bzw. die kompromisslose Einführung von Signaturen und Siegeln. Offenbar soll den Anwendern hier die latente Neigung zum Verzicht auf Signaturen und Siegel ausgetrieben werden.

Aber auch einige organisatorisch geprägte Anforderungen wurden angepasst.

So wurde das Anforderungsniveau für den Zugriff auf sensible Papierdokumente auf „MUSS“ hochgestuft (ID A.AM.G.1). Dies trifft solche Scanstellen, die mangels Alternative in bestehende Räumlichkeiten integriert wurden und über keinen geeigneten Zutrittsschutz verfügen, zum Beispiel weil die weiteren Nutzungen der Räume Zutrittskontrollen nur umständlich ermöglichen. Letztlich geht die Maßnahme aber nicht mehr nennenswert über das Basismodul hinaus, nachdem dort die Anforderungen bereits verschärft wurden.

Weiterhin wird die Pflicht zur Auditierung als eigenständige Maßnahme im Bereich der Aufbaumodule genannt (ID A.AM.G.3), obgleich sie im Bereich der Basismodule mittlerweile als Muss-Anforderung vorgegeben ist (ID A.O.4). Hier hätte systematisch korrekt eigentlich eine Umformulierung dahingehend erfolgen müssen, dass in der Formulierung für das Aufbaumodul nur noch auf drei Jahre fest abgestellt wird. Noch besser wäre eine Streichung der Maßnahme gewesen.

Hinsichtlich des Integritätsschutzes für Dokumente mit mindestens hohem Schutzbedarf ergeben sich die umfangreichsten Änderungen. Statt fortgeschrittener Signaturen/Siegel sind nun qualifizierte Signaturen/Siegel zu nutzen. Zeitstempel sind nicht mehr grundsätzlich vorgesehen (ID A.AM.IN.H.1). Die Möglichkeit zur Nutzung alternativer Verfahren wurde gestrichen. Es sind die Leitlinie für digitale Signatur- / Siegel-, Zeitstempelformate sowie technische Beweisdaten (Evidence Record, LeitLeSig) einzuhalten. Auf diese hier einzugehen, würde den Rahmen sprengen. Zusammengefasst lässt sich sagen, dass durch den Verweis auf die Leitlinie individuelle Lösungen vermutlich nicht mehr möglich sind. Standardisiere Formate für Datenobjekte und Sicherungsdaten sind dementsprechend nun zwingend vorgeschrieben, statt der bisher bloßen Empfehlung hierzu.

Die separate Anforderung zur Auswahl kryptografischer Verfahren bleibt, in gewisser Dopplung zum bis hierhin Beschriebenen, weiterhin bestehen (ID A.AM.IN.H.3). Auch hier wird die Möglichkeit zur Nutzung alternativer Mechanismen gestrichen.

Für die Erzeugung elektronischer Signaturen und Siegel werden sogenannte „Vertrauensdienste” benötigt. Die Anforderungen an die Auswahl geeigneter Produkte werden nun auch auf die Auswahl geeigneter Vertrauensdienste angewandt und verweisen auf die eIDAS-VO und die LeitLeSig (ID A.AM.IN.H.4).

Zur langfristigen Datensicherung eingesetzte kryptografische Verfahren müssen nun regelmäßig evaluiert werden (ID A.AM.IN.H.5). Zulässig sind hierfür Verfahren nach TR-02102-1, TR-03116-4 oder SOGIS. Daneben weiterhin das bisher schon zulässige Verfahren nach ETSI TS 119 312. Für fortgeschrittene Signaturen/Siegel werden die Verfahren nach TR-02102-1 und TR-03116-4 als Option erwähnt. In der Praxis befassen sich Scan-Projektteams mit diesen Standards typischerweise nicht, sondern setzen voraus, dass die IT entsprechend eingerichtet ist. Zur Klärung dieser Frage ist dann die IT-Abteilung einzubinden.

Der Gedanke hinter der zusätzlichen Aufzählung all dieser Standards bleibt unklar, da diese mit dem ersten Satz der Anforderung, unabhängig vom Schutzniveau, ohnehin vorgegeben sind. Geeignete Sicherungsmaßnahmen nach dem Stand der Technik gemäß § 15 Vertrauensdienstegesetz werden durch eine Ergänzung auf Daten bezogen, die aus „regulatorischen oder sonstigen Gründen“ über längere Zeiträume aufbewahrt werden – „Sonstige“ bedeutet mithin alle entsprechenden Daten. Es bleibt bei dem Verweis auf die TR-03125, aber ergänzt um die ETSI TS 119 511. Der Nachweis über die Einhaltung des Standes der Technik kann durch den Einsatz eines entsprechend zertifizierten Produktes oder eines Bewahrungsdienstes sichergestellt werden. Die Einzelheiten der beweiswerterhaltenden Langzeitaufbewahrung stellen eine Materie für sich dar, deren Komplexität einer breiten Anwendung im Wege steht. Die Situation bleibt dieselbe: Ein wirklich großer Fixkostenblock steht einer vergleichsweise kleinen Zahl von Fällen gegenüber, in denen das Schutzniveau benötigt wird. Kunden mit langjähriger Erfahrung mit Gerichten zweifeln an, dass eine nach Jahren abgelaufene Signatur in der Praxis tatsächlich relevant sein könnte, wenn der Scanprozess davor nach hohen Standards wie der TR-RESISCAN erfolgt ist. Und als kosteneffiziente Maßnahme für möglicherweise betroffene Dokumente steht immer ein kopierendes Scannen im Raum. An dem Umstand, dass zahlreiche Anwenderinnen und Anwender der TR-RESISCAN aufgrund des immensen Aufwandes auf spezielle technische Maßnahmen für die langfristige Beweiswerterhaltung verzichten, wird sich daher möglicherweise nichts ändern.

Die „Erweiterte Qualitätssicherung“ (ID A.AM.IN.H.7) wird nun mit hohen Integritäts-anforderungen begründet. Bislang galt dies für die Verfügbarkeitsanforderungen. Gleiches gilt für die „Vollständige Sichtkontrolle“, die nun sehr hohen Integritätsanforderungen zugeordnet ist (ID A.AM.IN.SH.5) statt sehr hohen Verfügbarkeitsanforderungen. Verschärft wurde, dass die Forderung einer vollständigen Sichtkontrolle für hohen Schutzbedarf nun als Muss-Anforderung formuliert ist. Eine Fußnote zum Scannen von Personalakten in der Bundesverwaltung ist entfallen.

Auch bei der Neuauflage der TR bleiben die Formulierungen zur erweiterten Qualitätssicherung ein wenig unklar. Die Qualitätskontrolle soll durch vollständige Sichtkontrolle erfolgen. Bei hohem Durchsatz sind regelmäßige Stichproben zulässig, wobei die Kontrolldichte höher ausfallen muss als bei normalem Schutzbedarf. Das klingt zunächst sinnvoll, scheitert aber in der Praxis an der mangelnden Möglichkeit zur Beurteilung des Scanguts, weshalb regelmäßig unabhängig vom Schutzbedarf typischerweise die gleiche Kontrolldichte angewandt wird. Zusätzlich wird weiterhin gefordert, dass In regelmäßigen zeitlichen Abständen die Qualitätssicherung durch eine vollständige Sichtkontrolle erfolgen sollte. Bei einem Stichprobenverfahren liegt es in der Natur der Sache, dass zeitliche Abstände zwischen den Kontrollen liegen. Regelmäßig können diese Abstände jedoch prinzipienbedingt nicht sein. Jede Form der Regelmäßigkeit birgt die Gefahr, dass Probleme systematisch nicht erkannt werden, z. B. mangelnde Sorgsamkeit, wenn immer nur in der Schicht einer bestimmten Person geprüft wird. Insofern kann regelmäßig hier eigentlich nur heißen, dass phasenweise alle Scans eines bestimmten Zeitraums geprüft werden sollen.

Dieser für die Thematik zentrale Aspekt der Qualitätssicherung ist in sich nicht konsistent beschrieben. Hier könnte die TR durch eine klarere Formulierung optimiert werden.

Die Anforderungen bei Verwendung von qualifizierten elektronischen Signaturen und Siegeln (ID A.AM.IN.SH.2) werden nun nicht mehr auf Fälle eingeschränkt, bei denen die Verkehrsfähigkeit gefordert ist und in denen das Scanprodukt, der Transfervermerk oder die Index-, Meta- und Protokolldaten voraussichtlich als Beweismittel benötigt werden. Die Verwendung von Siegeln oder Signaturen und Zeitstempeln wird nun auf eine Muss-Anforderung hochgestuft. Alternative Verfahren sind nicht mehr vorgesehen. Damit werden die Änderungen nachgezeichnet, die bereits für hohen Schutzbedarf beschrieben wurden. Die Anforderungen gleichen sich hier also an. Unterschiede bestehen noch darin, dass zusätzlich Zeitstempel für sehr hohe Integritätsanforderungen explizit von der Formulierung eingeschlossen sind.

Netzwerke können zur besseren Absicherung gegen das Ausspähen von Daten oder Sabotage in einzelne Segmente unterteilt werden. Die TR RESISCAN empfiehlt dies bei erhöhtem Schutzbedarf. In der Anforderung zum eigenständigen Netzsegment (ID A.AM.IN.SH.3) wurde sprachlich ergänzt, dass ein Verbindungsaufbau zu anderen Netzsegmenten nur „von dem eigenständigen Netzsegment aus“ erfolgen darf. Auch hier stolpert man über eine Redundanz zu vorher genannten Maßnahmen (ID A.AM.IN.H.1).

Bei hohen Vertraulichkeitsanforderungen ergeben sich keine wesentlichen Neuerungen. Bei sehr hohen Vertraulichkeitsanforderungen wurde die Möglichkeit gestrichen, dass für Verschlusssachen die Anforderungen der Verschlusssachenanweisung statt der TR-RESISCAN umgesetzt werden. Die Anforderungen sind nun immer additiv umzusetzen (Vgl. Kapitel 4.3.5).

Widersprüchlich ist, dass in der Einleitung zu dem Unterkapitel zu sehr hohen Vertraulichkeitsanforderungen gefordert wird, die Maßnahmen dieses Kapitels zwingend zu berücksichtigen („MUSS“), die einzelnen Maßnahmen dann teilweise doch als Soll-Anforderungen formuliert werden.

Die einzige Neuerung in dem Bereich ist, dass das Löschen und Entsorgen von Datenträgern und Papierunterlagen zwingend entsprechend den Anforderungen nach BSI Grundschutz (M267) oder DIN66399 zu erfolgen hat (ID A.AM.VT.SH.2). Hierauf hätte man an dieser Stelle verzichten können, denn die Anforderung wurde schon in den prozessbezogenen Maßnahmen definiert.

In der Beschreibung zur verschlüsselten Datenübertragung wurden die Verweise auf andere technische Richtlinien aktualisiert (ID A.AM.VT.SH.4).

Bei sehr hohen Verfügbarkeitsanforderungen wird die Verwendung fehlertoleranter Übertragungsprotokolle nun zwingend gefordert statt nur empfohlen (ID A.AM.VF.H.1). Interessant ist, dass anstelle einer redundanten Datenhaltung nun eine redundante Auslegung des Scansystems gefordert wird. Damit wird nicht nur die Verfügbarkeit bereits gescannter Unterlagen umfasst, sondern die Ausfallsicherheit der Scanservices insgesamt. Diese Erweiterung fügt sich ein in die steigende Bedeutung des Business Continuity Management im IT-Grundschutz, verursacht aber ehebliche Zusatzkosten.

(ID:50507097)