BSI

Benjamin Hilbricht und Oliver Voß schreibt in »C3A-Katalog: Die BSI-Kriterien für souveräne Clouds« für tagesspiegel.de Strategische Souveränität: Der Cloud-Anbieter muss EU- oder deutschem Recht unterliegen. Deutsche oder EU-Behörden müssen eine effektive Kontrolle vornehmen können. Wenn sich ein amerikanischer, chinesischer oder sonstiger Nicht-EU-Akteur in einen Cloud-Anbieter einkauft oder ihn übernimmt, muss das Unternehmen drei Monate im Voraus seine Kunden davor warnen. Rechtliche Souveränität: Einmal im Jahr muss der Cloud-Anbieter Nicht-EU-Gesetze identifizieren, die sich auf sein Geschäft auswirken, und eine Risikoanalyse vornehmen. Ein Beispiel wäre der US Cloud Act. Außerdem enthält der Abschnitt ein Kriterium für den Verteidigungsfall. Als souverän gelten Cloud-Anbieter, die Wissen, Fähigkeiten und Personal vorhalten, sodass der Staat die Cloud-Services im Verteidigungsfall selbst steuern kann. Datensouveränität: Dieser Punkt ist sehr umfangreich. Hier spezifizieren Kriterien, ob und wie viel Kontrolle die Kunden über die Metadaten und Daten haben und wo diese gespeichert werden. Es wird verlangt, dass der Cloud-Anbieter ein externes Management für kryptografische Schlüssel zulässt. Dadurch würde gewährleistet, dass er Kundendaten nicht selbst entschlüsseln kann. Auch die Möglichkeit, die Nutzeridentitäten außerhalb der Cloud zu managen, gilt als Muss. Betriebssouveränität: Auch dieser Punkt ist sehr umfangreich. Unter anderem finden sich hier die eingangs erwähnten Kriterien, dass die Rechenzentren 90 Tage lang ohne jegliche Verbindung zu Nicht-EU-Staaten laufen können müssen. „Wir müssen die Kabel zu den US-Backbones physisch rausziehen können und trotzdem muss ein Rechenzentrum in Europa betriebsfähig bleiben“, sagt BSI-Vize Caspers. Lieferketten: Hier müssen souveräne Unternehmen ihre Abhängigkeiten in Software, Hardware und Diensten inventarisieren und am besten einen dokumentierten Prozess für den Problemfall vorhalten. Technologische Souveränität: Hier verlangt das Bundesamt, dass es ein Backup des Quellcodes auf einem Speicher in der EU gibt. Der Code darf nicht älter sein als 24 Stunden und muss dokumentiert sein. Cloud-Anbieter, die in Deutschland tätig sein wollen, müssen für den Notfall eine Strategie vorhalten, wie sie ihre Dienste weiter liefern können. Zusätzlich können sie nachweisen, dass sie eigene Leute haben, die die Entwicklung und Wartung der Dienste übernehmen können, falls die Lieferung aus dem EU-Ausland abbricht. Der Artikel ist auch über das oben genannte Zitat hinaus interessant. Den C3A-Katalog kann man hier einsehen.

Das Bundesamt für Sicherheit schreibt in »SBOM: Internationale Behörden veröffentlichen gemeinsames Zielbild« auf bsi.bund.de Mit dem Cyber Resilience Act (CRA) werden SBOMs als eine Grundlage für die Behandlung von Schwachstellen in Produkten mit digitalen Elementen auf dem europäischen Markt verpflichtend vorgeschrieben. Um den Umgang mit SBOMs bereits heute einfacher zu gestalten, hat das BSI die Technische Richtlinie TR-03183-2 mit formellen und fachlichen Vorgaben zu SBOM als Handreichung veröffentlicht. In der TR-03183-2 werden zum Beispiel notwendige Datenfelder, der Umfang und die möglichen Formate definiert. ...

Tagesspiegel Background schreibt in »BSI-Chefin Plattner: EU-Markt für digitale Souveränität stärken« „Je mehr vertrauenswürdige Produkte verfügbar sind, desto souveräner können wir entscheiden – und desto sicherer wird die digitale Zukunft“, sagt Plattner nun. Deshalb arbeite das BSI eng mit nationalen, europäischen wie internationalen Herstellern und Open-Source-Communities zusammen. Frau Plattner wechselt ihre Position spürbar oft. Das hinterlässt kein klares Bild. Denn völlige Unabhängigkeit lässt sich kurzfristig ohnehin nicht erreichen. Unsere Abhängigkeiten sind das Ergebnis von Jahrzehnten und sie verschwinden nicht in wenigen Jahren. Das eigentliche Problem liegt weniger in der Beschaffung von Chips, Software oder Hardware, sondern darin, dass Deutschland und Europa beim Aufbau von eigenem Know-how viel zu lange gezögert haben. Hier fehlen uns Fachkräfte, Erfahrung und Strukturen, die man nicht von heute auf morgen nachholen kann. ...

Falk Steiner schreibt in »Cybersicherheit: “Es geht um die Wurst”« für heise.de Daher müssten vor allem die neuen EU-Regelwerke NIS2 und Cyber Resilience Act, die sie als Zwillinge begreife, praktisch mit Leben gefüllt werden. Unternehmen würden mit modernen Methoden wie konsequenter Nutzung einer Software Bill of Materials (BOM) deutliche Verbesserungen bei der IT-Sicherheit erzielen. “Wie viele Hersteller wissen denn wirklich, welche Libraries in welchen Versionen in ihren Produkten verbaut sind?”, fragt Plattner mit Blick auf Software-Lieferketten. ...

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zahlreiche Sicherheitslücken in den Open-Source-Projekten Mastodon und Matrix aufgedeckt. Diese aktive Mitarbeit durch kontinuierliche Prüfung der Sicherheit in Open-Source-Projekten finde ich äußerst begrüßenswert. Stefan Krempl schreibt in »BSI deckt schwerwiegende Sicherheitslücken in Matrix und Mastodon auf« für heise.de.