Regulatorik schafft Anforderungen, aber keine Sicherheit
Achelos
von Dr. Markus von Detten, Senior Consultant PKI, Achelos
Der Digital Operational Resilience Act (DORA) verändert den Blick auf IT-Sicherheit im Finanzsektor. Banken und Versicherungen müssen nachweisen, dass sie Risiken erkennen, Prozesse kontrollieren und auf Störungen reagieren können. Sie müssen ihre Prozesse kennen, wissen, wer und welche Systeme daran beteiligt sind und ihre Ausfallsicherheit gewährleisten. Der konkrete technische Weg dorthin bleibt jedoch offen. DORA definiert Anforderungen und Schutzziele, aber keine bestimmte Technologie.
Das ist bewusst so gestaltet: Sicherheitsmaßnahmen verändern sich schneller, als regulatorische Vorgaben angepasst werden können. Unternehmen müssen deshalb selbst bewerten, welche Systeme geschützt werden müssen, welche Risiken bestehen, eine Priorisierung vornehmen und beurteilen, welche Maßnahmen erforderlich sind und gleichzeitig dem geforderten Stand der Technik entsprechen.
Für Auditoren muss nachvollziehbar sein, warum bestimmte Sicherheitsmechanismen gewählt wurden, die technische Überprüfung ist vorgeschrieben.“
Unternehmen können sich für die Umsetzung zum Beispiel an Best Practices, anerkannten Standards wie ISO 27001 oder Empfehlungen des BSI bzw. branchenspezifischen Leitlinien orientieren.
Compliance vs. Resilienz
Achelos
Markus von Detten ist Senior Consultant & Team Lead bei Achelos (Website). Zuvor leitete er bei Janz Tec Systems Engineering und Softwareentwicklung und war Geschäftsführer der Thinkurity sowie Dozent für IT-Sicherheit und IT-Risikomanagement an der FHDW. Seine Schwerpunkte liegen in IT-Sicherheit, Public-Key-Infrastrukturen, Industrial Security und Softwaretechnik. Von Detten ist promovierter Informatiker und Diplom-Informatiker der Universität Paderborn; seine Promotion schloss er mit Auszeichnung ab.
Ein zentraler Baustein ist die Verwaltung kryptografischer Schlüssel. Viele Unternehmen verfügen bereits über eine Public-Key-Infrastruktur (PKI). In vielen Fällen ein gewachsenes System, das über Jahre entwickelt und zunächst dafür genutzt wurde, Zertifikate etwa für Webserver bereitzustellen. Entscheidend ist aber nicht nur, einen Schlüssel zu erzeugen, sondern auch zu kontrollieren, wo er gespeichert und abgelegt wird, wer darauf zugreifen darf, wie er wiederhergestellt werden kann und wie kryptografische Operationen ausgeführt werden.
Liegt ein privater Schlüssel beispielsweise auf einer Festplatte, entsteht ein grundlegendes Problem: Der Schutz hängt von der übergeordneten Sicherheit des Systems ab, auf dem er gespeichert ist. Ein kompromittiertes System kann die Vertrauensbasis weiterer Anwendungen gefährden. Außerdem kann in den seltensten Fällen nachvollzogen werden, wer wann auf den Schlüssel zugegriffen und ihn möglicherweise sogar kopiert hat.
Hier kommen Hardware Security Module (HSM) ins Spiel. DORA schreibt ihren Einsatz zwar nicht ausdrücklich vor, ohne HSM steht eine PKI aber auf tönernen Füßen. Unternehmen benötigen eine sichere Schlüsselverwaltung, um Schlüssel in einer geschützten Umgebung erzeugen, ablegen und verwenden zu können.
Ein HSM ermöglicht das: Das Schlüsselmaterial bleibt geschützt, während kryptografische Operationen über definierte Schnittstellen und APIs durchgeführt werden können.“
Je stärker Infrastrukturen wachsen und je mehr Systeme miteinander verbunden sind, desto wichtiger wird die zentrale Steuerung kryptografischer Assets: Auch Schlüssel für Cloud-Service- Accounts, APIs, Datenbanken oder andere technische Komponenten müssen kontrolliert verwaltet werden.
Zertifikate lassen sich nicht dauerhaft manuell verwalten
Solange die Anzahl überschaubar ist, können Unternehmen diese Assets manuell verwalten. In modernen Infrastrukturen mit zahlreichen Anwendungen, Geräten und Schnittstellen funktioniert das jedoch nicht mehr. Zusätzlich verkürzen neue Vorgaben des CA/Browser Forums die Gültigkeitsdauer für TLS-Server-Zertifikate schrittweise auf 47 Tage. Dadurch müssen Zertifikate künftig mehr als achtmal pro Jahr erneuert werden. Ein Aufwand, der ohne automatisierte Zertifikats- und Schlüsselverwaltung kaum noch beherrschbar ist.
Ein Certificate Lifecycle Management schafft hier die notwendige Transparenz und Governance und erlaubt die Automatisierung der Zertifikatserneuerung. Zertifikate müssen inventarisiert, Laufzeiten überwacht und Erneuerungen gesteuert werden. Außerdem müssen sie mit Zuständigkeiten verbunden sein. Wer ist verantwortlich? Wann muss reagiert werden? Welche Systeme sind betroffen?
Identitäten sind mehr als Benutzerkonten
In modernen IT-Umgebungen besitzen nicht nur Menschen digitale Identitäten. Auch Geräte, Server und Anwendungen müssen sich authentisieren. Netzwerkgeräte können über Gerätezertifikate der PKI eingebunden werden; ihr Zugriff muss kontrolliert werden. Gleichzeitig wächst die Zahl technischer Konten wie Service- und Cloud-Accounts oder Datenbanken.
Achelos
Unternehmen müssen wissen, welche Service-Accounts existieren, welche Berechtigungen sie besitzen und wer für sie verantwortlich ist. Eine Verbindung zwischen Identitäts- und Schlüsselmanagement schafft hier die Grundlage für mehr Kontrolle. Sie ermöglicht zentrale Protokollierung, nachvollziehbare Verantwortlichkeiten und ein strukturiertes Management von Zugangsdaten und Zertifikaten.
Auch hier ist der Lebenszyklus zentral: Identitäten müssen erstellt, genutzt, geändert und wieder entfernt werden können. Ohne definierte Prozesse entstehen über die Zeit unübersichtliche Strukturen, die schwer zu kontrollieren und noch schwerer zu auditieren sind.
Resilienz betrifft die Basis der IT-Infrastruktur
Eine redundante Architektur, deren wichtigste Komponenten zwei- oder dreifach vorgehalten werden, ist essenziell für Resilienz, so dass Prozesse auch im Störfall weiterlaufen können. Dabei geht es nicht nur um Anwendungen und Datenbanken, sondern auch um kritische Komponenten oder grundlegende IT-Services wie Identity Provider. Wenn dieser Dienst ausfällt, können sich Benutzer nicht mehr anmelden. Auch hier muss eine Redundanz oder ein Notfallaccount vorhanden sein, um nicht ausgesperrt zu werden.
Gerade ältere Infrastrukturkomponenten wie DNS wurden entwickelt, bevor heutige Anforderungen an Authentifizierung und Verschlüsselung entstanden. Alte Protokolle sind nicht abgesichert. Bei Diensten wie NTP muss deshalb geprüft werden, welche Schutzmechanismen möglich sind und wie diese Komponenten mit Authentifizierung ausgestattet, abgesichert und ausfallsicher gestaltet werden können.
Backup und Wiederherstellung müssen die gesamte Architektur berücksichtigen
Ein weiterer Punkt, der häufig unterschätzt wird:
Backups betreffen nicht nur Datenbanken und Fileserver.“
Auch sicherheitsrelevante Infrastruktur muss wiederherstellbar sein. Dazu gehören unter anderem PKI-Systeme, HSM-Umgebungen oder Passwortverwaltungssysteme. Wenn diese Komponenten nach einem Ausfall nicht verfügbar sind, kann dies den Wiederanlauf weiterer Systeme erheblich erschweren.
Ein wichtiger Ansatz ist dabei Infrastructure as Code. Statt Systeme nach einem Ausfall manuell aufzubauen und einzelne Konfigurationen erneut vorzunehmen, können definierte Beschreibungen genutzt werden, um Infrastruktur reproduzierbar bereitzustellen. Das reduziert die Abhängigkeit von Einzelwissen und schafft eine nachvollziehbare Grundlage für Wiederherstellung und Betrieb. Schon bei der Beschaffung einer neuen Lösung sollte daher geprüft werden, ob sie automatisiert deployt und konfiguriert werden kann.
Fazit: DORA ist nur der Rahmen
DORA gibt einen regulatorischen Rahmen vor, die technische Umsetzung bleibt Aufgabe der Unternehmen. Sie müssen verstehen:
Digitale Resilienz entsteht nicht durch eine einzelne Maßnahme und nicht durch das Abhaken einer Checkliste, sondern durch eine Architektur, in der Identitäten, Schlüssel, Zertifikate, Systeme und Prozesse zusammengeführt und verzahnt werden.“
Wer seine kryptografischen Assets kennt, Zertifikate automatisiert verwaltet, technische Identitäten kontrolliert und kritische Infrastruktur resilient gestaltet, schafft die Grundlage für eine Sicherheitsarchitektur, die auch unter realen Bedingungen funktioniert. Dr. Markus von Detten, Achelos
Sie finden diesen Artikel im Internet auf der Website:
https://itfm.link/249186
Schreiben Sie einen Kommentar