Smart Cities und IT-Security für den öffentlichen Sektor

IKT-Systeme für Smart Cities entstehen oft im Rahmen von hochkomplexen Projekten, die die Anforderungen verschiedener Stakeholder berücksichtigen und auf eine systematische Art und Weise die geforderte digitale Infrastruktur umsetzen. Im Rahmen solcher Projekte wird neben der konkreten Implementierung auch der spätere Betrieb konzipiert und aufgebaut. Die Durchführung solcher Projekte wird immer unter der Berücksichtigung verschiedener Randbedingungen und Aspekte betrachtet, wie in Abb. 1 dargestellt [1]. Dabei wird die Qualität immer als Funktion des Umfanges, der Kosten und der Zeit für die Durchführung eines Projektes wahrgenommen. Diese verschiedenen Dimensionen werden auch als die "Zwänge" des Projektmanagements bezeichnet. Jedoch sollte das magische Dreieck-Modell nicht als Grundlage für die Messung des Projekterfolgs verwendet werden. Das liegt daran, dass das Modell aus  Abb. 1 wesentliche Dimensionen des Erfolgs unberücksichtigt lässt, z. B. die Interessen der Stakeholder und die Zufriedenheit der Benutzer.

Das Dreieck-Modell des Projektmanagements ist eine exzellente Veranschaulichung der wesentlichen Aspekte, die die Qualität eines Projektes einschränken, und die das Potential haben, Schwachstellen in der IKT-Infrastruktur einer Smart City zu hinterlassen, die anschließend als Angriffsvektoren ausgenutzt werden können. Dabei wird klar dargestellt, dass Verschiebungen in einer Dimension Anpassungen in den anderen zwei Dimensionen erfordern, damit die Qualität des Gesamtsystems nicht eingeschränkt wird. Zum Beispiel kann ein Projekt schnell abgeschlossen werden, wenn man gleichzeitig die verfügbaren Ressourcen und damit unweigerlich das Budget erhöht. Eine anderweitige Anpassung oder das Auslassen einer Anpassung würden zu einer Beeinträchtigung der Systemqualität führen. In so einem Fall besteht die Gefahr, versehentlich Schwachstellen in der Smart-City-IKT-Infrastruktur einzubauen, die später über verschiedene Wege ausgenutzt werden können, um die IKT einer Stadt oder Kommune zu kompromittieren. Genau mit diesen Aspekten befassen sich die folgenden Kapitel.

Als nächstes wollen wir kurz die wesentlichen Dimensionen vorstellen, die den Begriff der Cybersicherheit bestimmen. Abb. 2 versucht, die wichtigsten Aspekte in diesem Kontext plakativ darzustellen. Dabei können wir beobachten, dass Cybersicherheit in der Literatur als die kombinierte Betrachtung von der Integrität, Vertraulichkeit und Verfügbarkeit eines IKT-Systems definiert wird. Die englische Übersetzung dieser Begriffe wird als die CIA-Triade bezeichnet und steht für Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit). Um unser Verständnis des Konzepts der Cybersicherheit zu vervollständigen, betrachten wir noch den Datenschutz-Begriff.

• Vertraulichkeit – Vertraulichkeit bedeutet, dass die Daten und Informationen nur an die beabsichtigten Empfänger/Konsumenten geliefert bzw. zur Verfügung gestellt werden [2].
• Integrität – Die Integrität ist die Eigenschaft eines IKT-Systems, die zu übertragenden bzw. zu speichernden Daten und Informationen an die richtigen Konsumenten bereitzustellen, ohne dass diese Daten/Informationen zwischendurch manipuliert wurden. Insbesondere soll die Integrität der Daten/Informationen immer nachweisbar sein [2].
• Verfügbarkeit – Die Verfügbarkeit als Eigenschaft bezieht sich auf Daten/Informationen sowie IKT-Systeme und fordert, dass diese immer für die beabsichtigten Empfänger/Konsumenten/Nutzer verfügbar sind [2].
• Datenschutz – Der Begriff Datenschutz bezieht sich auf die Zurückhaltung der über eine Person gesammelten Informationen/Daten sowie auf die Regulierung und Steuerung des Zuganges zu dieser Ansammlung von Informationen/Daten. Alle personenbezogenen Aufzeichnungen – wie z. B. Bankkonten oder Gesundheitsdaten – fallen in diese Kategorie [3].

Herausforderungen für IT-Sicherheit und Datenschutz im öffentlichen Sektor

Im folgenden Abschnitt werden die Herausforderungen, die im Kontext von IT-Sicherheit und Datenschutz für den öffentlichen Sektor am relevantesten sind, präsentiert und eingehend beleuchtet. Typischerweise lassen sich diese Herausforderungen in die drei Hauptkategorien Sicherheitsrisiken, Mangel an geschultem Personal und Bedenken zum Datenschutz klassifizieren.

Sicherheitsrisiken

Unsichere Software kann unseren Finanz-, Gesundheits- oder Energiedomänen und anderen kritischen Infrastrukturen wie Smart Cities schaden. Da Software immer komplexer und vernetzter wird, nimmt dabei auch die Schwierigkeit, Anwendungssicherheit zu erreichen, exponentiell zu. Das schnelle Tempo moderner Softwareentwicklungsprozesse macht es erforderlich, die häufigsten Risiken schnell und präzise zu entdecken und zu beheben. Genau aus diesem Grund hat das Open Web Application Security Project (OWASP) die zehn kritischsten Sicherheitsrisiken für Webanwendungen erstellt und veröffentlicht [4]. OWASP ist eine gemeinnützige Stiftung, die sich für die Verbesserung der Sicherheit von Software einsetzt. Die Top 10 wurden auf Basis einer umfassenden Umfrage im Jahr 2017 aufbereitet. Auch wenn das ursprüngliche Ziel des OWASP-Top-10-Projekts lediglich darin bestand, das Bewusstsein von Entwicklern und Managern über Sicherheitsrisiken zu schärfen, hat es sich zum De-facto-Standard für Anwendungssicherheit entwickelt. Daher werden diese Sicherheitsrisiken auch in den folgenden Absätzen konkretisiert.

A1:2017-Injection: Injektionsfehler, wie beispielsweise SQL-, NoSQL-, OS- und LDAP-Injektion, treten dann auf, wenn nicht vertrauenswürdige Daten als Teil eines Befehls oder einer Abfrage an einen Interpreter gesendet werden, welche dieser dann auch verarbeitet. Die manipulierten Daten eines Angreifers könnten den Interpreter bspw. dazu verleiten, unbeabsichtigte Befehle auszuführen oder sogar auf Daten ohne entsprechende Berechtigung zuzugreifen.

A2:2017-Fehler in der Authentifizierung: Anwendungsfunktionen im Kontext der Authentifizierung und Sitzungsverwaltung sind leider häufig fehlerhaft implementiert, so dass Angreifer bspw. Passwörter, Schlüssel oder Sitzungstokens kompromittieren oder andere Implementierungsfehler ausnutzen können, um andere Benutzer vorübergehend oder sogar dauerhaft zu imitieren.

A3:2017-Verlust der Vertraulichkeit sensibler Daten: Es kann vorkommen, dass Webanwendungen und APIs sensible Daten wie Finanz-, Gesundheits- und personenbezogene Daten nicht richtig schützen. Angreifer können dann solche schwach geschützten Daten stehlen oder verändern, um bspw. Kreditkartenbetrug, Identitätsdiebstahl oder andere Verbrechen durchzuführen.

A4:2017-XML External Entities (XXE): Viele ältere oder schlecht konfigurierte XML-Prozessoren werten externe Entity-Referenzen innerhalb von XML-Dokumenten aus. Externe Entitäten können dazu verwendet werden, interne Dateien über den Datei-URI-Handler, interne Dateifreigaben, internes Port-Scanning, Remotecode-Ausführung und Denial-of-Service-Angriffe durchzuführen.

A5:2017-Fehler in der Zugriffskontrolle: Beschränkungen bezüglich der Berechtigungen authentifizierter Benutzer werden oft nicht richtig durchgesetzt. Angreifer können diese Schwachstellen ausnutzen, um bspw. auf nicht autorisierte Funktionen oder Daten zuzugreifen, z. B. um Konten anderer Benutzer anzuzeigen oder Daten anderer Benutzer zu verändern.

A6:2017-Sicherheitsrelevante Fehlkonfiguration: Sicherheitstechnische Fehlkonfiguration ist eines der am häufigsten auftretenden Probleme. Dies ist oft eine Folge von unsicheren Standardkonfigurationen, unvollständigen oder Ad-hoc-Konfigurationen sowie falsch konfigurierten HTTP-Headern. Ein weiteres verwandtes Problem ist durch Fehlermeldungen gegeben, die zu ausführlich sind und sensible Informationen/Daten preisgeben. Alle Betriebssysteme, Frameworks, Bibliotheken und Anwendungen müssen demnach nicht nur sicher konfiguriert sein, sondern auch aktuell gehalten werden.

A7:2017-Cross-Site Scripting (XSS): XSS-Fehler treten immer dann auf, wenn eine Anwendung nicht vertrauenswürdige Daten ohne ordnungsgemäße Validierung oder Escaping in eine neue Webseite einfügt, oder eine bestehende Webseite mit vom Benutzer bereitgestellten Daten unter Verwendung einer Browser-API aktualisiert. XSS ermöglicht es Angreifern, Skripte im Browser des Opfers auszuführen, die Benutzersitzungen zu kapern oder den Benutzer auf bösartige Websites umzuleiten.

A8:2017-Unsichere Deserialisierung: Eine unsichere Deserialisierung – d. h. das Einlesen eines Objektes aus einem Format, das zur Abspeicherung oder Übertragung genutzt wird – führt häufig zu Remote-Code-Ausführung. Selbst wenn Deserialisierungsfehler nicht zu Remotecode-Ausführung führen, können sie für Angriffe wie Replay-Angriffe, Injektionsangriffe und Angriffe zur Erweiterung von Privilegien genutzt werden.

A9:2017-Nutzung von Komponenten mit bekannten Schwachstellen: Komponenten, wie z. B. Bibliotheken, Frameworks und andere Software-Module, laufen häufig mit denselben Rechten wie die Anwendung. Wenn jedoch eine anfällige Komponente ausgenutzt wird, kann ein solcher Angriff schwerwiegende Datenverluste oder sogar eine Serverübernahme ermöglichen. Anwendungen und APIs, die Komponenten mit bekannten Schwachstellen verwenden, können die Anwendungsabwehr untergraben und verschiedene Angriffe und Auswirkungen ermöglichen.

A10:2017-Unzureichendes Logging und Monitoring: Unzureichendes Logging und Monitoring, gepaart mit fehlender oder ineffektiver Integration mit einer Incident Response, ermöglicht es Angreifern, weitere Systeme anzugreifen oder auf andere Systeme auszuweichen und Daten zu manipulieren. Die meisten Studien zu Sicherheitsverletzungen zeigen, dass die Zeit bis zur Entdeckung einer Sicherheitsverletzung mehr als 200 Tage beträgt und in der Regel durch externe Parteien und nicht durch interne Prozesse oder Überwachung entdeckt wird.

Neben diesen Sicherheitsrisiken gibt es noch weitere Angriffsvektoren wie beispielsweise kompromittierte oder schwache Anmeldedaten, Böswillige Insider/Mitarbeiter, fehlende oder schlechte Verschlüsselung, Ransomware, Phishing, (Verteilter) Denial-of-Service (DDoS), Trojaner, Man-in-the-Middle-Angriffe, Social-Engineering-Angriffe, et cetera. All diese Angriffsvektoren im Detail zu erklären, würde hier zu weit führen. Zusammenfassend ist jedoch festzuhalten, dass Webanwendungen sowie Datenplattformen innerhalb von Smart Cities diversen Sicherheitsrisiken ausgesetzt sind, welche auch bereits ausgenutzt werden.

Maßnahme #3 – Sicherheitsgrundlagen behandeln

Die wesentlichen Sicherheitsgrundlagen sind in Abb. 3 abgebildet und werden im Folgenden kurz erläutert.

Pünktliche Software-Updates: Die gesamte in einer Smart City verwendete Software sollte auf dem neuesten Stand gehalten werden. Es sollte mindestens einen Systemadministrator geben, dessen Aufgabe es ist, dafür zu sorgen, dass die gesamte Software auf dem neuesten Stand ist, damit Angreifer keine bekannten Sicherheitslücken ausnutzen können. Alle Firewalls und Antivirenprogramme sollten regelmäßig aktualisiert werden.

Sichere Kennwörter und Richtlinien durchsetzen: Es können grundlegende Sicherheitsmaßnahmen ergriffen werden, um häufige Sicherheitsfallen zu vermeiden. Benutzer sollten ihre Standardpasswörter regelmäßig aktualisieren, damit sie eindeutig und komplex sind. Passwortrichtlinien sollten durchgesetzt werden, um sicherzustellen, dass die Passwörter sicher sind. Die Einrichtung von Security Operations Centers könnte ebenfalls hilfreich sein, um die Sicherheit zu überwachen, Schwachstellen zu entschärfen und auf Angriffe zu reagieren.

Ordnungsgemäße Betriebsverfahren: Wie bereits erwähnt, bestehen Smart Cities aus einer Fülle von Geräten, die oft von unterschiedlichen Herstellern stammen. Daher ist es aufgrund der Komplexität einer Smart City schwierig, den Überblick über alle Komponenten zu behalten, was zu einem komplexeren Patch-Management führt. Ein sinnvolles Sicherheits-Framework beinhaltet automatische Überprüfungen auf Software-Updates und Sicherheits-Patches (siehe pünktliche Software-Updates) sowie regelmäßige Datensicherungen.
Darüber hinaus ist einer der wichtigsten Schritte zum Schutz einer Smart City der Einsatz von Firewalls. Die Bestimmung der Art des Datenverkehrs, der die Firewall passieren darf, ist eine der wichtigsten Möglichkeiten, ein Netzwerk vor potentiellen Angriffen zu schützen. Eine Firewall und deren korrekte Einrichtung ist eine der besten Möglichkeiten, die Sicherheit rund um Smart Cities und die dazugehörigen Infrastrukturen zu verbessern.

Starke Zugangskontrollen: Unnötige Systeme bzw. alle Systeme, welche derzeit nicht verwendet werden, sollten deaktiviert werden. Außerdem sollten auch ungenutzte Fernverwaltungsfunktionen und Ports deaktiviert werden, damit Angreifer nicht darauf zugreifen können. Weiterhin sollten Netzwerkaktivitäten regelmäßig gescannt und verdächtiger Internetverkehr mit Hilfe von Security Incident und Event Management Tools überwacht werden, um Angriffe frühzeitig zu erkennen.

Maßnahme #4 – Personal ausbilden

Eine weitere wichtige Maßnahme, um Smart Cities und die entsprechende Infrastruktur zu sichern, besteht darin, nur geschultes (und zertifiziertes) Personal für die Entwicklung, Konstruktion und Wartung der Infrastruktur einzusetzen. Ein weiterer wichtiger Punkt, der ebenfalls zu beachten ist, ist, dass zwar Personal im Bereich der Informationstechnologie ausgebildet ist, dies aber nicht zwangsläufig bedeutet, dass sich dieses mit Sicherheitsaspekten auskennt. Smart Cities und die dazugehörigen Netzwerke sowie Infrastrukturen sind sehr komplexe Gebilde. Für den Schutz einer Smart City vor Sicherheitsangriffen ist es daher von enormer Bedeutung, ein Team oder zumindest eine Person zu haben, welche in der Absicherung dieser geschult ist.

Maßnahme #5 – Datenschutz respektieren und geeignete Prozesse einrichten

Im Rahmen des Datenschutzes lassen sich fünf übergeordnete Aspekte identifizieren, die bei der Umsetzung von datengetriebenen Anwendungsfällen konsequent beachtet werden sollten [5]:

Datenschutz-Programm-Management: Institutionen, Praktiken und Verfahren etablieren, um sicherzustellen, dass die Rechenschaftspflicht aufrechterhalten wird, und Ressourcen bereitstellen, um die organisatorische Nutzung der Daten von Einzelpersonen zu überwachen, zu steuern und zu prüfen.

Transparenz und Zustimmung: Gemeinschaften engagieren und Einzelpersonen darüber informieren, wie und warum ihre persönlichen Daten gesammelt und verwendet werden, und – wo möglich – Wahlmöglichkeiten zur Teilnahme anbieten.

Lokale Speicherung: Daten auf einem Gerät verarbeiten und nur Analysen oder aggregierte Ergebnisse in die Cloud senden, anstatt personenbezogene Rohdaten zu übertragen.

Datenminimierung: Die Erfassung personenbezogener Daten soll auf das für die Erfüllung eines Zweckes Notwendigste und direkt Relevanteste reduziert werden.

Lieferanten-Management: Sorgfältige Auswahl und Überwachung von Anbietern, regelmäßige Überwachung und Prüfung ihrer Sicherheits- und Datenschutzpraktiken sowie vertraglicher Schutz personenbezogener Daten.

De-Identifikation: Personenbezogene Daten, die gesammelt, verwendet, archiviert und an andere Organisationen weitergegeben werden, nicht identifizierbar machen. Methoden wie k-anonymity, l-diversity oder t-closeness verwenden.