Hohes Risiko trifft auf hohe Compliance-Anforderungen : Sicherer Dokumentenaustausch in KRITIS-Unternehmen
KRITIS-Unternehmen stehen derzeit vor einer Reihe von Herausforderungen: Sie müssen Meldepflichten gegenüber dem BSI einhalten, ihre Lieferketten absichern, Legacy-Systeme modernisieren und dabei digitale Souveränität wahren – und das alles vor dem Hintergrund einer unverändert hohen Cyberbedrohungslage. Eine zentrale Aufgabe ist dabei, den Dokumentenaustausch sicher und rechtsgültig umzusetzen. Hierfür hat Ferrari electronic aus Berlin den Standard Next Generation Document Exchange (NGDX) entwickelt.
E-Mail-Kommunikation gilt in der IT-Sicherheitsforschung seit Jahren als das mit Abstand häufigste Einfallstor für Cyberangriffe, und Betreiber kritischer Infrastrukturen (KRITIS) sind ein bevorzugtes Ziel. Phishing-Kampagnen und Business E-Mail Compromise richten sich gezielt gegen Energieversorger, Krankenhäuser, Wasserwerke und die Finanzinfrastruktur, weil ein erfolgreicher Angriff Auswirkungen auf den Alltag der meisten Menschen hat.
Ein manipulierter Anhang oder gefälschter Absender genügt oft, um in ein besonders schützenswertes Netzwerk einzudringen – daraus ergibt sich die Notwendigkeit dedizierter, vom E-Mail-Verkehr getrennter Übertragungswege für sensible Dokumente, etwa signierte und verschlüsselte Kanäle mit definierten Absenderidentitäten.
Hinzu kommt, dass KRITIS-Betreiber durch das NIS-2-Umsetzungsgesetz und das KRITIS-Dachgesetz unter hohem Druck stehen, Nachweis- und Meldepflichten einzuhalten – etwa die Meldung erheblicher Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb enger Fristen. Gleichzeitig läuft ein Großteil des Dokumentenaustauschs mit Aufsichtsbehörden, Zulieferern und Prüfstellen noch über Kanäle, die diesen Anforderungen strukturell nicht genügen: unverschlüsselte E-Mail, klassisches Fax, manuelle PDF-Verteilung.
Nachweispflicht statt Vertraulichkeit allein
Während viele Unternehmen Vertraulichkeit als zentrales Sicherheitsziel für ausreichend befinden, verschiebt sich der Fokus bei KRITIS-Betreibern in Richtung Nachvollziehbarkeit. Aufsichtsbehörden, Prüfstellen und im Schadensfall auch Gerichte verlangen belastbare Nachweise darüber, wann welches Dokument an wen übermittelt wurde, ob es verändert wurde und ob der Empfang bestätigt ist. Das geht über reine Transportverschlüsselung hinaus und verlangt lückenlose Protokollierung, digitale Signaturen und rechtsverbindliche Zustellnachweise – unter dem Stichwort Non-Repudiation, etwa bei den engen BSI-Meldefristen, wo der Nachweis der fristgerechten Übermittlung selbst Teil der Compliance ist.
Das Gesundheitswesen beispielsweise ist voll von Medienbrüchen: Prozesse, die aus analogen Zeiten stammen, bleiben aus historischen und organisatorischen Gründen unverändert. Das Klischee, wonach Digitalisierung automatisch analoge Prozesse ablöst, trifft nicht überall zu. Für die Zukunft ist die Frage wichtiger, wie sich Legacykanäle in moderne, prüfbare IT-Landschaften integrieren lassen, die Übertragungen verschlüsseln, protokollieren und in Dokumentenmanagement-Systeme einbinden. Damit stellt sich zugleich die Frage der digitalen Souveränität, da die Entscheidung zwischen Cloud- und On-Premisesbetrieb relevant wird, insbesondere, wenn auf Cloud-Services aus dem außereuropäischen Ausland gesetzt wird.
Bei KRITIS-Betreibern ist die Frage, wo und durch wen Daten verarbeitet werden, anders zu bewerten als bei Unternehmen und Organisationen, die nicht unter KRITIS fallen. Zur wirtschaftlichen kommt eine sicherheitspolitische Dimension hinzu: Die Abhängigkeit von außereuropäischen Cloud-Anbietern wird als Risiko für die nationale Handlungsfähigkeit diskutiert, besonders im Zusammenhang mit extraterritorialer Gesetzgebung wie dem US-Cloud-Act, der ausländischen Behörden potenziell Zugriff auf Daten europäischer Kunden ermöglicht. Die Erwartungshaltung der Öffentlichkeit und der Aufsichtsbehörden wächst, dass KRITIS-Betreiber die komplette Kontrolle über die eigene Datenverarbeitung nachweisen können, statt sie teilweise oder gar vollständig auszulagern.
Risiko Lieferkette
NIS-2 erweitert die Verantwortung von KRITIS-Betreibern explizit auf ihre Lieferketten, sodass ein Betreiber mittelbar auch für die Sicherheit der Kommunikation mit Zulieferern, Wartungsdienstleistern und Partnerunternehmen einzustehen hat. Dokumentenaustausch findet über Unternehmensgrenzen hinweg statt, oft mit Partnern unterschiedlicher Sicherheitsreife. Hier laufen die zuvor behandelten Aspekte zusammen: Ein sicherer Dokumentenaustausch, der an der Schnittstelle zu Dritten bricht, greift regulatorisch wie sicherheitstechnisch zu kurz.
NGDX für den rechtssicheren Dokumentenaustausch
Genau für diese Anforderungen hat das Unternehmen den Standard NGDX entwickelt, der auf aktuellen Standards der Internationalen Fernmeldeunion (ITU) für sichere Telekommunikation basiert. NGDX überträgt Dokumente als digitale PDF-Dateien im Original. Die Technologie basiert auf einem Ende-zu-Ende-Prinzip: Dokumente werden direkt zwischen Sender und Empfänger ausgetauscht, ohne dass zentrale Instanzen wie Cloud Speicher oder E-Mail-Server zwischengeschaltet werden. Nach erfolgreicher Übermittlung erhält der Absender eine qualifizierte Sendebestätigung, die als rechtsgültiger Nachweis dient – passend zur beschriebenen Nachweispflicht. Ergänzt wird das durch ein hybrides Verschlüsselungskonzept auf Basis aktueller SSL/TLS-Zertifikate sowie ein Hash-Verfahren, das bei jedem Dokument wie ein digitaler Fingerabdruck wirkt: Bereits minimale Änderungen machen Manipulationen sofort erkennbar.
OfficeMaster Suite für sicheres Messaging
Daten verdienen mehr als gute Absichten, sie verdienen sichere Prozesse. Die OfficeMaster Suite bietet vertrauliche Geschäftskommunikation, nahtlos integriert – unabhängig, kontrollierbar und zuverlässig.
NGDX ist Teil der OfficeMaster Suite von Ferrari electronic, die als Unified-Messaging-Lösung auch Fax, Voicemail und SMS/RCS umfasst und sich über Schnittstellen direkt in Branchenanwendungen integrieren lässt, etwa in Krankenhausinformationssysteme.
Ein besonderer Fokus bei der Entwicklung der OfficeMaster Suite 9 lag darauf, die Voicemail-Komponente zu überarbeiten. Sie verfügt in der neuen Version 9 über eine browserbasierte Bedienoberfläche sowie die neue Funktion OfficeMaster SpeechAI.
Damit werden Sprachnachrichten in Text umgewandelt, sodass sie im Schriftformat gelesen werden können. Das ist in vielen Situationen wie im Gesundheitswesen, in der Logistik oder bei Einrichtungen der öffentlichen Hand von Vorteil, wenn Sprachnachrichten etwa in einem öffentlichen Raum nicht abgehört werden sollen. Verschriftlichte Sprachinhalte können zudem durchsuchbar weitergeleitet, archiviert und in Businessprocess- und Dokumentenmanagement-Systemen bereitgestellt werden. Für maximale Datenhoheit läuft die künstliche Intelligenz (KI) dazu im lokalen Netzwerk, damit alle Informationen in der geschützten IT-Umgebung bleiben. Die digitale Souveränität des Anwenders ist damit jederzeit gewährleistet.
Über die Anbindung an aktuelle Microsoft- oder HCL-Domino-Infrastrukturen kann die sichere Kommunikation über die eigene Organisation hinaus bis zu Aufsichtsbehörden und Zulieferern im Verbund erweitert werden, wie es NIS-2 für Lieferketten verlangt.
Fazit
Die skizzierten Anforderungen sind heute technisch adressierbar. KRITIS-Unternehmen können ihre Kommunikation um rechtssichere Komponenten für den hochsicheren Dokumentenaustausch erweitern – mit einer Dokumentenaustauschlösung aus Deutschland, digitale Souveränität inklusive.