Cyber-Sicherheitsnetzwerk: : Bundesweiter Wirkbetrieb gestartet

Von Marcel Bachem und Angelika Jaschob, BSI

Die Gefahr für Privatpersonen und Unternehmen, Opfer eines Cyber-Angriffs zu werden, wächst stetig. In dem im BSI-Bericht „Die Lage der IT-Sicherheit in Deutschland 2022“ [2] betrachteten Zeitraum – Juni 2021 bis Mai 2022 – wurden rund 116,6 Millionen neue Varianten von Schadprogrammen entdeckt, durchschnittlich 319.000 pro Tag. Außerdem ist eine Zunahme von Spam- und Phishing-Mails sowie eine weiterhin große Anzahl aktiver Botnetze zu beobachten. Angriffe mit Ransomware stellen dabei eine der größten Cyber-Bedrohungen dar.

Gleichzeitig sind durch die stark fortschreitende Digitalisierung neben Großkonzernen zunehmend kleine und mittlere Unternehmen (KMU) gezwungen, ihre Prozesse und Geschäftsabläufe zu digitalisieren, um weiterhin wettbewerbsfähig zu bleiben.

Viele Unternehmen besitzen laut Erkenntnissen des BSI und einer Studie [1] des Bundesministeriums für Wirtschaft und Energie (BMWI, jetzt Bundesministerium für Wirtschaft und Klimaschutz – BMWK) auch im Jahr 2022 weder Kenntnisse über die allgemeine Cyber-Bedrohungslage noch über das eigene Risikoprofil. Es mangelt ihnen daher an einem Bewusstsein, mehr in ihre Sicherheit zu investieren. Diejenigen hingegen, die bereits ein Problembewusstsein entwickelt haben und IT-Personal einstellen möchten, erleben häufig, dass sie in einem Angebotsmarkt als potenzieller Arbeitgeber nicht gegen die Gehälter bei Großunternehmen oder IT-Dienstleistern bestehen können. Und diejenigen, die den Bereich IT/IT-Sicherheit an einen Dienstleister auslagern möchten, müssen häufig feststellen, dass es in ihrer Region entweder zu wenig qualifizierte Dienstleister gibt oder nur solche, die nicht zu ihrer eigenen Unternehmensgröße passen. Dies alles führt dazu, dass vermehrt auch KMU zum einen Opfer Cyber-Krimineller werden und zum anderen auf einen Vorfall nicht angemessen reagieren können.

Grundidee des CSN

Das BSI stärkt als die zentrale Cyber-Sicherheits-Behörde des Bundes für Staat, Wirtschaft und Gesellschaft sein reaktives Angebot für KMU, aber auch für Verbraucher:innen, durch das Netzwerk. Zielsetzung des BSI ist es, vorhandenes Wissen und verfügbare Fähigkeiten mit denjenigen zusammenzubringen, die diese akut benötigen. Das BSI übernimmt beim CSN die Rolle des Impulsgebers – es setzt zudem die Rahmenbedingungen für einheitliche Ausbildungsinhalte und definiert den Registrierungsprozess von Experten und Unternehmen.

Das CSN ist ein freiwilliger Zusammenschluss von qualifizierten Expert:inn:en, die sich bereit erklären, ihr individuelles Fachwissen zur Behebung von IT-Sicherheitsvorfällen zur Verfügung zu stellen und so mithelfen, die IT-Sicherheitslage in Deutschland zu verbessern. Sie unterstützen Betroffene dabei, IT-Sicherheitsvorfälle zu erkennen und zu analysieren, das Schadensausmaß zu begrenzen sowie weitere Schäden abzuwenden. Dabei können die Unterstützungsleistungen, die in der „Digitalen Rettungskette“ des CSN [3] beschrieben werden, je nach Vorfall und Zielgruppe unterschiedlich ausfallen.

Die „Digitale Rettungskette“ beginnt mit der Hilfe zur Selbsthilfe und führt über das CSN-Service-Center sowie die „Digitalen Ersthelfer“, Vorfall-Praktiker und Vorfall-Experten hin zum Einsatz von IT-Sicherheitsdienstleistern. Sie bildet den Kern des Netzwerks.

Durch einen regelmäßigen Erfahrungsaustausch werden Erkenntnisse bei der Vorfallbearbeitung unter allen Teilnehmer:innen geteilt, um so von den Synergieeffekten zu profitieren. Zusätzlich werden die bearbeiteten Vorfälle anonymisiert erfasst, analysiert sowie bewertet und danach einem Lagebild zugeführt. So können Empfehlungen und präventive Maßnahmen zielgerichtet erstellt und Qualifizierungs- sowie Unterstützungsmaßnahmen des CSNs optimiert werden.

Während der Pilotphase von Oktober 2021 bis September 2022 wurde das Angebot des Cyber-Sicherheitsnetzwerks zunächst in zwei Pilotregionen – dem Großraum Bonn sowie dem Saarland – beworben und erprobt. Unternehmen in diesen Regionen wurden zum Beispiel über die zuständigen Industrie- und Handelskammern (IHKs) aufgefordert, sich in die Pilotphase einzubringen.
Aktuell werden die in der Pilotphase bewährten Prozesse skaliert und Kapazitäten ausgebaut, sodass das CSN nun zu einem deutschlandweiten Netzwerk von Helfern und Experten wachsen kann. Heute stehen bereits über 200 „Digitale Ersthelfer“, Vorfall-Praktiker und Vorfall-Experten für die Unterstützung bei IT-Sicherheitsvorfällen bereit.

Nachhaltige Qualifizierung

Das beste Konzept nutzt nichts, wenn die ausführenden Personen nicht über notwendiges Wissen und erforderliche Fähigkeiten für die praktische Umsetzung verfügen. Deswegen legt das CSN einen bedeutenden Schwerpunkt auf den Bereich der nachhaltigen Qualifizierung der in der „Digitalen Rettungskette“ aktiven Helfer:innen. Diese besteht aus einem dreistufigen Qualifizierungssystem mit niedriger Einstiegshürde und aufeinander aufbauenden Weiterqualifikationen.

„Digitale Ersthelfer“ können alle interessierten und IT-affinen Personen werden. Die Grundvoraussetzung ist das Absolvieren eines Basiskurses [6], der auf dem „Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle für Digitale Ersthelfer“ [4] basiert und online direkt durch das CSN angeboten wird. Nach der Teilnahme und dem erfolgreichen Abschluss aller Module des Selbstlernkurses können sich die Absolvent:inn:en beim Cyber-Sicherheitsnetzwerk als „Digitale Ersthelfer“ registrieren lassen. Eine Liste aller registrierten „Digitalen Ersthelfer“ des CSN ist auf der Website veröffentlicht.

Aufgrund der Erfahrungen der Pilotphase wurde der Vorfall-Praktiker entwickelt, der mit Beginn des Wirkbetriebs in das CSN integriert wurde. Vorfall-Praktiker sind IT-Fachleute, die zum Beispiel in Unternehmen wie IT-Sicherheitsdienstleistern oder Computerfirmen arbeiten oder auch IT-System-Administratoren von Unternehmen sind. Für die Qualifikation zum Vorfall-Praktiker wird eine zweitägige Zusatzschulung angeboten, die mit einem halbtägigen Prüfungsworkshop abschließt. Der „Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle für Vorfall-Praktiker und Vorfall-Experten“ [5] sowie ein Curriculum [8] bilden den Rahmen für die Qualifikation. Für die Mitarbeit als Vorfall-Praktiker im CSN ist eine Registrierung erforderlich. Den gesamten Prozess auf dem Weg zum Vorfall-Praktiker hat das CSN in sechs Schritten zusammengefasst und online veröffentlicht (siehe Tab. 1 und [7]).

Die höchste Qualifikation für Personen ist der Vorfall-Experte: Vorfall-Experten sind in der Regel IT-Fachleute mit langjähriger Berufserfahrung, die sich zusätzlich im Rahmen einer Aufbauschulung für das CSN als Vorfall-Experte qualifizieren.

Dazu müssen sie an einer dreitägigen Aufbauschulung bei einem beim CSN registrierten IT-Schulungsanbieter teilnehmen. Diese Schulung basiert auf dem „Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle für Vorfall-Praktiker und Vorfall-Experten“ [5] sowie einem Curriculum [10]. Nach der Schulung schließt sich eine Personenzertifizierung durch die Zertifizierungsstelle des BSI an, die neben der Prüfung der Nachweise auch eine Kompetenzprüfung in Form einer schriftlichen Prüfung umfasst. Erst nach der erfolgreichen Zertifizierung ist es möglich, sich als Vorfall-Experte im Cyber-Sicherheitsnetzwerk registrieren zu lassen (vgl. [9]).

Beschäftigt ein IT-Sicherheitsdienstleister mindestens zwei Vorfall-Experten oder einen Vorfall-Experten und zwei Vorfall-Praktiker, so kann er sich für den Bereich Vorfallbearbeitung beim BSI zertifizieren lassen. Für diese Zertifizierung muss der Dienstleister neben den Kompetenznachweisen seines Personals durch die Personenzertifizierungen seiner Mitarbeiter:innen weitere Nachweise erbringen. Die Verfahrensbeschreibung „IT-Sicherheitsdienstleister-Zertifizierung: Programm Vorfallbearbeitung durch Vorfall-Experten“ stellt unter anderem die Anforderungen an IT-Sicherheitsdienstleister als Vorfallbearbeiter bereit.

Die Qualifikation der Vorfall-Praktiker und Vorfall-Experten erfolgt durch registrierte Schulungsanbieter. Schulungsanbieter können IT-/Informations-Sicherheits-Schulungsanbieter, Verbände oder Universitäten sein und „Digitale Ersthelfer“, Vorfall-Praktiker, Mitglieder, Studenten aber auch Mitarbeiter von Unternehmen qualifizieren. Aufgabe des Schulungsanbieters ist die eigenständige Konzeption und das Angebot von Schulungen und Prüfungen auf der Grundlage der Curricula des CSN. Die Organisation, Abwicklung und Durchführung der Schulungen obliegt ausschließlich den Schulungsanbietern. Das CSN veröffentlicht eine Liste aller registrierten Schulungsanbieter. Auf allen Ebenen, vom „Digitalen Ersthelfer“ bis zum Schulungsanbieter, sollen die Kapazitäten Schritt für Schritt ausgeweitet werden.

Regionale Angebote

Ein wichtiger Baustein für die Netzwerkarbeit sind die regionalen Foren. In den ersten Bundesländern haben sich bereits regionale Foren etabliert. Ihr Ziel ist neben dem Informationsaustausch vor allem die Bildung eines vertrauensvollen Raums für Gleichgesinnte, in welchem alle Teilnehmer:innen sich ohne wirtschaftliche, rechtliche und andere Zwänge auf Augenhöhe austauschen können.

Das regionale Forum soll insbesondere eine Anlaufstelle für „Digitale Ersthelfer“ sein, wo sie ihre Erfahrungen bei der Arbeit in der „Digitalen Rettungskette“ des Cyber-Sicherheitsnetzwerks teilen können und von erfahrenen Forenleitern Tipps und Empfehlungen erhalten. Vor allem sollen hier IT-Sicherheitsprobleme und Lösungsmöglichkeiten besprochen werden. Auch für die Evaluierung von Fällen und die Entwicklung von Best Practices bieten regionale Foren den passenden Rahmen.

Zusätzlich werden die regionalen Foren genutzt, um in sicherer Umgebung die Vorfallbearbeitung möglichst realitätsnah zu trainieren. Hierfür wurde der CSNTrainingskoffer entwickelt: Dieser umfasst verschiedene spielerische Ansätze zum Kennenlernen der „Digitalen Rettungskette“ sowie zum Üben von der Behandlung von IT-Sicherheitsvorfällen anhand von Szenarien. Alle Inhalte des Trainingskoffers stehen online zur Verfügung und sind so gestaltet, dass sie selbst ausgedruckt werden können – die Materialien dürfen und sollen auch von Unternehmen oder anderen Interessierten kostenfrei
für eigene Schulungsmaßnahmen verwendet werden. Derzeit wird unter intensiver Einbeziehung der CSNTeilnehmer:innen insbesondere der Trainingskoffer weiterentwickelt. Neben der Ergänzung bestehender Inhalte – zum Beispiel um neue Rollenspiele – soll dieser in Zukunft um ein Modul erweitert werden, welches das Spielprinzip „Escape-Room“ aufgreift. Hierfür wird auf die Erfahrungen und Ideen der Helfer:innen zurückgegriffen, welche jederzeit ihre Gedanken einbringen können.

Ausblick

Wie jedes neue Netzwerk kann auch das CSN mehr leisten, wenn es wächst. Daher liegt der Fokus derzeit auf der Skalierung der Prozesse, dem Ausbau des Helfernetzwerks sowie der Schulungsmöglichkeiten. Um Verbraucher:inne:n sowie KMU immer die bestmögliche Hilfe anbieten zu können, ohne gleichzeitig die Helfer:innen zu überlasten, ist eine große Zahl von engagierten Menschen notwendig. An einer Teilnahme Interessierte erhalten über die Website des BSI beziehungsweise direkt über www.cyber-sicherheitsnetzwerk. de weiterführende Informationen. Das CSN-Team freut sich über jede Neuregistrierung. Werden auch Sie Mitglied des CSN und werben Sie in Ihrem Umfeld für die „Digitale Rettungskette“! Das CSN-Team stellt auf Anfrage auch Informationsmaterialien kostenfrei zur Verfügung.

Literatur

[1] Christian Köhler, Charmaine Rickerson, Philip Steinkrüger, Ortwin Wohlrab, Steffen Kolb, Esther Kern, Tim Stuchtey, Alexander Szanto, IT-Dienstleister als Akteure zur Stärkung der IT-Sicherheit bei KMU in Deutschland, Studie im Auftrag des Bundesministeriums Für Wirtschaft und Energie, Februar 2021, www.bmwk.de/Redaktion/DE/Publikationen/Studien/it-dienstleister-als-akteure-zurstaerkung-der-it-sicherheit-bei-kmu-in-deutschland.html
[2] BSI, Die Lage der IT-Sicherheit in Deutschland 2022, Oktober 2022, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2022.html
[3] BSI, Die „Digitale Rettungskette“ des Cyber-Sicherheitsnetzwerks, Broschüre, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/CSN/230206_Digitale_Rettungskette.pdf?__blob=publicationFile&v=6
[4] BSI, Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle für Digitale Ersthelfer, Version 1.0, Juli 2021, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/CSN/210712_Leitfaden_Digitaler_Ersthelfer.html?nn=972160
[5] BSI, Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle für Vorfall-Praktiker und Vorfall-Experten, Version 2.0, Juni 2022, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/CSN/Leitfaden_VP_VE.pdf?__blob=publicationFile&v=20
[6] BSI, Basiskurs für die Qualifikation als Digitaler Ersthelfer, Onlinekurs, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-undEmpfehlungen/Cyber-Sicherheitsnetzwerk/Onlinekurs/Onlinekurs_node.html
[7] BSI, 6 Schritte zum Vorfall-Praktiker, Webseite, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/CyberSicherheitsnetzwerk/Qualifizierung/Vorfall_Praktiker/Sechs_Schritte_VP/Schritte_VP_node.html
[8] BSI, Curriculum zur Qualifikation von VorfallPraktikern, Juni 2022, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/CSN/220602_Curriculum_Qualifikation_Vorfall_Praktiker.pdf?__blob=publicationFile&v=3
[9] BSI, In 5 Schritten zum Vorfall-Experten, Webseite, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/CyberSicherheitsnetzwerk/Qualifizierung/Vorfall_Experten/Fuenf_Schritte_VE/Schritte_VE_node.html
[10] BSI, Curriculum zur Qualifikation von VorfallExperten, Juni 2022, www.bsi.bund.de/SharedDocs/
Downloads/DE/BSI/CSN/210122_Curriculum_Qualifikation_Vorfall_Experten.pdf?__blob=publicationFile&v=8
[11] BSI, Trainingskoffer, Möglichkeiten der Weiterbildung, Website, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber-Sicherheitsnetzwerk/Qualifizierung/Trainigskoffer/Trainingskoffer_node.html