Verschlussachen in der Cloud Vom Perimeter zur Datenzentrik

Anbieter zum Thema

secunet Security Networks AG

SysEleven GmbH

Ein neuer BSI-Leitfaden definiert konkrete Anforderungen für Cloud-Lösungen im Geheimschutzkontext. Damit steht der Bundesverwaltung ein technologischer Richtungswechsel ins Haus.

Das Bundesamt für Sicherheit in der Informationstechnik hat einen Leitfaden veröffentlicht, der eine jahrelange Definitionslücke innerhalb der Verwaltungsdigitalisierung schließt. Erstmalig existieren nun verbindliche Vorgaben für den Einsatz von Cloud-Technologien bei der Verarbeitung von Verschlusssachen des Grades VS-NfD (Verschlusssache – Nur für den Dienstgebrauch). Das Dokument richtet sich gleichermaßen an Bedarfsträger, Betreiber, Hersteller sowie Cloud Service Provider (CSP) und bildet die technische Grundlage für richtungsweisende Neugestaltungen innerhalb der IT-Architektur der öffentlichen Verwaltung.

Cloud Computing trifft auf Geheimschutzrecht

Die Verschlusssachenanweisung des Bundes regelt seit Jahrzehnten den materiellen Geheimschutz für Bundesbehörden sowie unmittelbare öffentlich-rechtliche Einrichtungen. Der Paragraph 50 VSA fordert für VS-IT eine Freigabe vor der Nutzung, bei der die Einhaltung der BSI-Standards zur Informationssicherheit nachzuweisen ist. Was bislang fehlte, war eine konkrete Übersetzung dieser Anforderungen auf Cloud-Architekturen, die sich durch Eigenschaften wie Multi-Tenancy, Ressourcen-Pooling und On-Demand-Skalierbarkeit massiv von klassischer IT unterscheiden.

Der neue Leitfaden basiert auf der ISO/IEC 22123-1. Darin ist Cloud Computing als „Paradigma, das einen netzwerkbasierten Zugang zu einem skalierbaren und elastischen Reservoir gemeinsam nutzbarer physischer oder virtueller Ressourcen nach dem Selbstbedienungsprinzip und mit bedarfsgerechter Administration ermöglicht“, definiert. Sechs Schlüsselmerkmale – allgemeiner Netzwerkzugang, messbare Dienste, Mandantenfähigkeit, Selbstbedienung, Elastizität und Ressourcen-Pooling – stellen die bestehenden Geheimschutzkonzepte vor Herausforderungen.

Acht Szenarien: Von Private bis Public Cloud

Das BSI differenziert in seinem neuen Leitfaden zwischen verschiedenen Bereitstellungsmodellen und definiert für jedes Szenario spezifische Freigabeanforderungen. Bei Private Clouds im eigenen Rechenzentrum bleibt der Status quo weitgehend erhalten. Insofern die Cloud-Infrastruktur innerhalb eines bereits freigegebenen VS-IT-Systems aufgebaut wird, bedarf dies keiner erneuten Freigabe. Die initiale Einrichtung gilt jedoch als geheimschutzrelevante Änderung und muss vom Geheimschutzbeauftragten bewertet werden, insbesondere hinsichtlich möglicher Änderungen am Perimeter.

Komplexer wird es beim zweiten Szenario, bei dem ein Dienstleister der Bundesverwaltung die Cloud-Infrastruktur in seinen eigenen Rechenzentren betreibt. Hier fordert das BSI drei parallel laufende Freigabeprozesse.

• Der Dienstleister verantwortet die Plattformfreigabe nach § 50 Absatz 4 VSA,

• die Nutzerbehörde ihre Hausnetzfreigabe,

• und die zuständige Dienststelle muss eine Gesamtfreigabe nach § 50 Absatz 5 VSA erklären, in der das Zusammenspiel aller Komponenten dargelegt wird.

Die Verbindung zur Cloud muss dabei entweder über freigegebene Netze erfolgen oder durch IT-Sicherheitsprodukte mit Zulassungsaussage abgesichert sein. Typischerweise wird das mittels VPN-Verbindungen gelöst.

Szenario drei führt privatrechtliche Cloud Service Provider ein und markiert damit einen „kritischen Daten-Übergang“. Da die Cloud-Infrastruktur weiterhin exklusiv für eine der VSA unterliegende Nutzerbehörde bereitgestellt wird, gelten für deren Infrastruktur ebenfalls die VSA-Vorgaben. Der privatrechtliche Provider ist laut des Leitfadens vertraglich auf deren Einhaltung zu verpflichten. Andernfalls würden die Regelungen des Geheimschutzhandbuchs der Wirtschaft greifen, das für VS-IT keine Freigabe, sondern lediglich eine Selbstakkreditierung vorsieht. Die Nutzerbehörde trägt nach § 50 Absatz 6 VSA neben der Hausnetz- und Gesamtfreigabe auch die Verantwortung für die Plattformfreigabe. Entscheidend ist dabei die vertragliche Vereinbarung, dass alle Netzübergänge zum Betreibernetz oder zum Internet durch zugelassene IT-Sicherheitsprodukte abgesichert sind und alle unerlaubten Verbindungen unterbunden werden.

(ID:50698319)