Die Bedrohung aus dem Cyber-Raum für die Bundeswehr bleibt konkret

Cyber durchdringt bereits heute alle Bereiche der Bundeswehr. Hochkomplexe Waffensysteme kommen heute nicht mehr ohne digitale Sensorik, Netzwerke und Entscheidungen unterstützende Computersysteme aus. So ist es verständlich, dass auch die Bundeswehr täglich der Gefahr von komplexen Cyberoperationen durch Kriminelle, Aktivisten und staatliche Akteure ausgesetzt ist. Insgesamt hat die Bundeswehr 2017 rund zwei Millionen unberechtigte oder schadhafte Zugriffsversuche erkannt und abgewehrt.

Rund 8.000 Ereignisse der Gefahrenstufe „hoch“

„Der weit überwiegende Teil dieser Ereignisse geht von automatisierten, massenhaften Vorgängen aus, die sich nicht gezielt gegen die Bundeswehr oder ihre Angehörigen richten“, so Oberstleutnant Guido Schulte, Stellvertreter des Chief Information Security Officer der Bundeswehr (CISOBw). Insgesamt sind jedoch rund 8.000 Ereignisse der Gefahrenstufe „hoch“ zuzuordnen. „Hoch bedeutet hier für uns, dass – falls die Abwehr durch präventiv umgesetzte ITInformationstechnik-Sicherheitsmaßnahmen wie zum Beispiel eine Firewall, Virenschutz oder andere Überwachungstechnik nicht funktioniert hätte – wahrscheinlich ein Schaden eingetreten wäre“, so Schulte weiter.  Wie viele der erkannten Zugriffsversuche jeweils zu einem „Angriff“ gehören, kann in der Regel nicht festgestellt werden. „Wir erkennen bloß die Einschläge der Geschosse; ob sie vom gleichen Akteur ausgehen oder von einem anderen, bleibt im Dunkeln“, erklärt Schulte Aufgrund der meist nicht machbaren Attribuierung, also der Zuordnung einer Aktion zu einem Akteur, sind Aussagen über eine Anzahl von „Angriffen“ also nicht sachgerecht möglich.

„Counting Threats is as hard as Countering Threats”

Zahlen sind gut – und gleichzeitig gefährlich. Gut, weil Zahlen Veränderungen messbar machen. Gefährlich, weil Zahlen nicht sagen, warum es eine Veränderung gegeben hat. Die eingesetzten Sicherheitssysteme sollen ein Eindringen und Schaden verhindern, nicht leicht verständliche Zahlen liefern. Daher macht auch ein Vergleich von Zahlen beispielsweise von Jahr zu Jahr keinen Sinn, um die Frage zu beatworten: „Hat es wirklich mehr versuchte Einwirkungen auf unsere Netze gegeben, oder liegt die Veränderung der Zahlen an einer geänderten Konfiguration unserer Sicherheitssensorik?“, sagt Schulte. „Aufgrund der Dynamik in der Schadsoftware-Bedrohung wird die Konfiguration von Sicherheitsgeräten und -Software durch die Hersteller zum Teil mehrfach täglich geändert – immer mit Auswirkungen darauf, was wir als Messergebnisse erhalten.“ Erhöhte Zahlen bedeuten also nicht zwingend, dass die Bundeswehr einer höheren Anzahl von „Angriffen“ ausgesetzt ist – erhöhte Zahlen können auch an einer erhöhten Anzahl an Sicherheitssensorik, an anderen Messstellen in den Netzen oder an verbesserter Konfiguration liegen.

Reaktion auf steigende Cyber-Bedrohungen

Cybersicherheit

Cybersicherheit in Gefahr: Institutionen, Firmen und Personen sind gegen Angriffe im Cyber- und Informationsraum (CIRCyber- und Informationsraum) verwundbarer geworden. Daher gilt: Deutschland wird auch im Internet verteidigt.

Um sich vor Cyber-Angriffen besser zu schützen, hat die Bundeswehr mit der Aufstellung des Organisationsbereiches CIRCyber- und Informationsraum und der damit verbundenen Konzentration von Personal, Fähigkeiten und Kompetenzen reagiert. Dabei greift der Organisationsbereich Cyber- und Informationsraum auf eine seit mehreren Jahren gute und ausgeprägte ITInformationstechnik-Sicherheitsorganisation zurück. Mit der Bündelung der Aufgaben und der Weiterentwicklung erfährt die Aufgabe Cyber- Sicherheit jedoch eine deutliche Aufwertung. Neben den ITInformationstechnik-Sicherheitsbeauftragten der militärischen und zivilen Dienststellen und für die einzelnen Projekte ist das Zentrum für Cyber-Sicherheit der Bundeswehr künftig die zentrale Dienststelle zur Gewährleistung eines umfassenden Schutzes der Interessen, ITInformationstechnik-Services und ITInformationstechnik-Systeme der Bundeswehr im Cyber- und Informationsraum. Das Zentrum für Cyber-Sicherheit der Bundeswehr wird deshalb noch weiter deutlich aufwachsen.

Vielfache Übungen

Es gilt aber auch die Abläufe bei Cyberangriffen und Kommunikationsbeziehungen innerhalb der Bundeswehr und der NATONorth Atlantic Treaty Organization regelmäßig gemeinsam zu trainieren und zu hinterfragen. „Unter anderem trainieren wir dies auf der jährlichen NATONorth Atlantic Treaty Organization-Übung Cyber Coalition, auf der in einem fiktiven Szenario ein Gegner mittels anspruchsvoller und ausgeklügelter Cyber-Angriffe versucht, einen NATONorth Atlantic Treaty Organization-Einsatz zu gefährden.“, so Schulte. „Aber auch innerhalb der Bundeswehr findet eine Überprüfung der Informationssicherheit – zum Beispiel durch Schwachstellenanalysen, Penetration Testing und Red Teaming – regelmäßig statt.“ Mit solchen Überprüfungen soll der Informationssicherheitsprozess, der ITInformationstechnik-Betrieb und die Reaktionsfähigkeit auf ITInformationstechnik-Sicherheitsvorkommnisse in Bundeswehr und BWI verbessert werden.

Das NATONorth Atlantic Treaty Organization Cooperative Cyber Defence Centre of Exellence (CCDCoE) versteht unter Red Teaming einen kontrolliert mit eigenen Kräften durchgeführten „real nachgebildeten Angriff“ auf ein definiertes, sich im operativen Betrieb oder im Übungsbetrieb befindliches ITInformationstechnik-System beziehungsweise System mit ITInformationstechnik-Anteil. Hierbei wird versucht, die im Rahmen der ITInformationstechnik-Sicherheit getroffenen Maßnahmen in der Regel ohne Kenntnis der Einsatz- beziehungsweise Betriebsverantwortlichen zu überwinden, um Schwachstellen, zum Beispiel konzeptioneller, technischer oder organisatorischer Natur, zu identifizieren. In Zusammenhang mit Red Teaming fällt häufig der Begriff „Penetrationstest“. Der Unterschied zwischen einem Penetrationstest und einem Angriff durch ein Red Team liegt darin, dass ein Penetrationstest mit internem Wissen zum System möglichst viele Wege von außen in das System aufzudecken. Beim Red Teaming liegt das Ziel hingegen darin, ohne internes Wissen (wie ein wirklicher Angreifer) möglichst tief in die ITInformationstechnik-Infrastruktur einzudringen. Dazu reicht oftmals das gezielte Ausnutzen einer einzigen Schwachstelle aus, um Zugriff auf das System zu erlangen und von dort aus den Angriff fortzusetzen.