Arbeitsergebnisse

Mit kritischen ITK-Systemen bewusst umgehen: ein Lösungsansatz des Arbeitskreis KRITIS (Gesellschaft für Informatik)

Autoren: Kirsten Messer-Schmidt, Dirk Rösler, Christopher Ruppricht,  Dr. Heinrich Seebauer, Dr. Steffen Wendzel

Die Informations- und Kommunikationstechnologie (ITK) verdient mit zunehmender gesellschaftlicher Durchdringung eine veränderte Aufmerksamkeit. Mit dem  steigenden Automatisierungs- und Digitalisierungsgrad aller Lebensbereiche kommt der Funktionsfähigkeit von ITK-Infrastrukturen eine neue  Bedeutung zu: ITK wird in immer mehr Kontexten zur kritischen Infrastruktur.

Auf den ersten Blick scheint vieles unverändert: Strom kommt aus der Steckdose, Kommunikation erfolgt über Telefon, Kranke werden im Krankenhaus behandelt und Bargeld erhält man bei der Bank. Doch hinter dieser traditionellen und vertrauten Oberfläche haben sich die Prozesse, die Technik, die Informationstechnologie, also die gesamte Erbringung der Dienstleistung erheblich verändert. ITK automatisiert in allen Lebensbereichen einfache bis hoch komplexe Abläufe und dies über klassische Systemgrenzen wie Fachgebiete, Unternehmen oder Ländergrenzen hinaus. 

Durch die Verschiebung von Systemgrenzen und die Entstehung neuer Systeme entstehen Möglichkeiten für die Automatisierung mit deutlich positiven Effekten: traditionelle Prozesse werden effizienter, Kommunikation wird schneller und einfacher und der hohe Vernetzungsgrad erlaubt es uns, selbstbestimmter zu leben. Die ITK macht viele Prozesse überhaupt erst technisch realisierbar oder wirtschaftlich sinnvoll.

Gleichzeitig entstehen aber auch noch ungewohnte Interaktionen, vielfältige Verflechtungen und Abhängigkeiten, denen mit den bekannten Methoden der ITK-Planung, Entwicklung und des ITK-Betriebs nur unzureichend begegnet werden kann. Risiken erwachsen etwa aus folgenden Faktoren:

1. Komplexität durch eng vernetzte Systeme, die selbst von Fachleuten nicht mehr durchschaut und geordnet werden kann. Belastbare Risikoanalyse und Folgenabschätzung werden schwieriger oder sogar unmöglich, da sie in der Praxis kaum alle Schnittstellen aller miteinander kommunizierenden Systeme im Blick haben können. Beispiele für schwer analysierbare ITK-Komplexität finden sich in vielen großen und mittelgroßen Unternehmen, die im Laufe der Zeit durch Firmenzukäufe und Fusionen gewachsen sind. Einzelne Unternehmensteile betreiben jeweils eigene IT-Systeme, die teilweise integriert wurden oder auch nur lose koexistieren. Interne Prozesse werden an externe Dienstleister ausgelagert, was die Zahl der Schnittstellen weiter erhöht.
    
2. Konflikte zwischen der enormen Innovationsgeschwindigkeit der ITK und der vorhandenen überkommenen Technologie: „Versteinerte“ Systeme, die auf Basis schwer wartbarer und veralteter Technologien betrieben werden, aber aus unterschiedlichen Gründen nicht abgelöst werden können, müssen mit neueren Technologien kommunizieren, um neue Anforderungen zu bedienen. Die Expertise für diese Altsysteme nimmt ab, Ersatzhardware kann nur noch schwer oder gar nicht beschafft werden, der Betrieb ist kompliziert und störungsanfällig.
     
3. Impliziter Zwang, technische Entwicklungen mitzugehen, die nicht unbedingt eine Verbesserung darstellen, um wirtschaftlich überlebensfähig zu bleiben, z.B. die Umstellung von Windows XP auf neuere Windows-Versionen, Auslagerung von ITK-Dienstleistungen, meistens inklusive Offshoring (z. B. Nutzung von Cloud-Diensten internationaler Anbieter).
    
4. Mangel an Anreizen für Unternehmen (in nicht-regulierten Bereichen), sich intensiver mit den Risiken zu beschäftigen, die aus dem Einsatz von ITK entstehen können und deren Wirkung über die Grenzen des Unternehmens hinausgehen, und damit gesellschaftlich relevant sind.
    
5. Mangel an Unterstützung für Unternehmen bei der Bewertung ihrer ITK-Infrastruktur bezogen auf deren gesellschaftliche Relevanz und mögliche Kritikalität.
    
6. Allzu optimistische Einschätzung der Verlässlichkeit von IT-Systemen, bedingt durch die menschliche Neigung, nicht direkt wahrnehmbare Aspekte und Risiken auszublenden und die eigene Reaktionsfähigkeit und die Handlungsmöglichkeiten in Gefahrensituationen zu überschätzen.

Die rasante technische Entwicklung einerseits und die häufig fehlende Kenntnis um den Wirkungs- und Kritikalitätsgrad eingesetzter Informations- und Kommunikationstechnologie andererseits führen zu einer neuen Risikodimension: Störungen und Ausfälle von ITK-Systemen pflanzen sich über Unternehmensgrenzen hinweg fort und können für unsere Gesellschaft existenzgefährdende Schäden verursachen. Ein Beispiel hierfür wären die Auswirkungen einer sich aggressiv ausbreitenden Schadsoftware über Systemgrenzen hinweg, die die Erbringung kritischer Dienste beeinträchtigt oder unterbricht.

Im Arbeitskreis KRITIS der GI-Fachgruppe „Management für Informationssicherheit“  haben sich engagierte Vertreter aus Wirtschaft, Beratung, Behörden und Forschungsinstituten zusammengefunden, um Methoden und Verfahren zu entwickeln, die IT-Entscheidern, Technologen und Fachabteilungen bei der Identifikation kritischer Systeme und der Einschätzung von ITK-Kritikalität helfen sollen. Schwerpunktmäßig beschäftigt sich der Arbeitskreis derzeit mit der Konzeption eines Vorgehensmodells für die Planung, die Entwicklung und den Betrieb kritischer Informations- und Kommunikationstechnologie (mit dem Fokus auf KMU).

Aufgrund der Komplexität des Themas sind Vernetzung und Austausch mit anderen Gremien, Arbeitskreisen, betroffenen Unternehmen oder sonstigen Interessensvertretern im KRITIS-Umfeld jederzeit herzlich willkommen. Wenn Sie Interesse an der Arbeit des AK KRITIS haben oder an unsere Fachdiskussion teilnehmen möchten, nehmen Sie bitte Kontakt auf über info-ak-kritis@secmgt.de.