Als Hilfestellung können Sie die von uns erstellte Vorlage herunterladen. Klicken Sie auf „Vorlage anfordern“ und tragen Sie Ihre E-Mail Adresse ein. Mit Klick auf „absenden“ werden Ihre Angaben übertragen und Sie erhalten von uns einen Download-Link auf die angegebene Adresse zugeschickt.

Der Beitrag Datenschutz – Vorlage Bearbeitungsverzeichnis erschien zuerst auf aucoma.

Es ist eine Horrorvorstellung: die Lichter gehen aus, die Bildschirme werden schwarz, Trame und Trolleybusse stehen still, Maschinen hören auf zu arbeiten, langsam springt die Notbeleuchtung an.

Das Bundesamt für Bevölkerungsschutz (BABS) geht davon aus, dass eine «Strommangellage» – also eine Unterversorgung mit Strom während mehreren Wochen – eine der grössten Gefahren für die Schweiz ist. In den Risikoanalysen des BABS ist die Häufigkeit einer Strommangellage mit alle 30 bis 100 Jahre ausgewiesen. Auch der Ausfall der Stromversorgung (Blackout) ist mit dieser Häufigkeit aber mit einem tieferen monetarisierten Schaden ausgewiesen.

Verschiedene Beispiele aus dem In- und Ausland zeigen, dass die Gefahr trotz den geschätzten Eintrittswahrscheinlichkeiten von «alle 30 bis 100 Jahre» real ist:

• In den Jahren 2017 und 2019 gab es in der Zürcher Innenstadt je einen Stromausfall, bei welchem es unter anderem am Hauptbahnhof dunkel war und Trams in der Stadt still standen.
• Im Winter 2016/2017 waren viele AKWs in Frankreich nicht am Netz. Auf den trockenen Dezember folgte eine grosse Kältewelle im Januar. Dadurch leerten sich die Speicherseen sehr rasch und erreichten historische Füllstand-Tiefstwerte. Nur dank direkten Massnahmen konnte eine Strommangellage in der Schweiz abgewendet werden.
• Im Winter 2015/2016 konnte eine Strommangellage nur knapp abgewendet werden. Es standen die beiden Reaktoren des AKW Beznau still, die Produktion der Laufwasserkraftwerke war auf Grund des trockenen Sommers unterdurchschnittlich, die Stauseen hatten einen unterdurchschnittlichen Füllstand und der importierte Strom konnte nicht auf die richtige Ebene transformiert werden.
• Im Dezember 2015 kam es in der Ukraine zu einem mehrstündigen Blackout auf Grund von einer Cyber-Attacke.
• Im November 2006 gab es in Europa einen grösseren Stromausfall da zwei Hochspannungsleitungen in Deutschland für die Ausfahrt von einem Kreuzfahrtschiff abgeschaltet wurden. In der Folge waren mehrere Millionen Haushalte bis zu 120 Minuten ohne Strom.

Relevante Szenarien

Unternehmen können drei verschiedenen Szenarien unterscheiden, in welchen sie von einer Unterversorgung mit Strom betroffen wären:

1. Ein Stromausfall tritt auf Grund eins lokalen Ereignisses (z.B. wenn ein Bagger beim Umbau ein Kabel der Stromeinspeisung aufreisst) ein. Diese Stromausfälle sind regional beschränkt und können i.d.R. vom lokalen Energieversorger in kurzer Zeit zumindest mit einem Provisorium gelöst werden.
2. In einer Strommangellage kann über längere Zeit der Strombedarf nicht mit dem Stromangebot gedeckt werden. Je nach Schweregrad erlässt der Bund in einer Strommangellage Appelle zur Stromeinsparung, eine Kontingentierung oder zyklische Stromabschaltungen. Bei den zyklischen Stromabschaltungen sind von der Organisation für Stromversorgung in ausserordentlichen Lagen (OSTRAL) des Verband Schweizerischer Elektrizitätsunternehmen (VSE) 2 Stufen vorbereitet. In der Stufe 1 ist ein Zyklus von 4 Stunden Unterbruch und 8 Stunden Versorgung vorgesehen. In der Stufe 2 ist nach den 4 Stunden Unterbruch nur 4 Stunden Versorgung für jedes der Teilgebiete geplant.
3. Bricht die Stromversorgung in einem Netz komplett zusammen, spricht man von einem «Blackout». In einem Blackout-Szenario muss nicht nur ein unmittelbarer Stromausfall, sondern auch ein Ausfall von kritischer Infrastruktur und eine längere Phase der Wiederherstellung vom Normalzustand angenommen werden.

Vorsorge

Mit einem systematischen Vorgehen (Abbildung 2) können sich Unternehmen effektiv und effizient auf die drei Szenarien Stromausfall, Strommangellage und Blackout vorbereiten und sich mit den Partnern und Behörden abstimmen, um im Ereignisfall einen Existenz-bedrohenden Schaden abzuwenden. Jedes Unternehmen muss dabei die Relevanz der Vorsorge für die drei Szenarien bestimmen. Die Relevanz kann sich auch nach Geschäftsbereich oder Standort unterscheiden.

Abhängigkeiten vom Strom

Strom ist in den meisten Unternehmen schon lange ein essenzieller Energieträger. Die Bedeutung von Strom hat in den letzten Jahren durch die zunehmende Digitalisierung und Automatisierung aber auch durch die Förderung der Elektromobilität noch viel stärker zugenommen.

Die konkrete Abhängigkeit vom Strom ist Branchen- und Unternehmensabhängig. Im Rahmen der Business Impact Analyse muss deshalb identifiziert werden:

• Welche Geschäftsprozesse müssen zwingend weitergeführt werden, damit keine grossen Schäden entstehen?
• Welche der in den Geschäftsprozessen eingesetzten Ressourcen (z.B. Gebäude, Maschinen, IT-Systeme) sind zwingend auf Strom angewiesen?
• Was wären die Auswirkungen auf diese Ressourcen und die Geschäftsprozesse bei zyklischen Stromabschaltungen oder bei Stromausfällen unterschiedlicher Länge (z.B. 1 Stunde, einen Tag, zwei Tage)? Gibt es kurzfristig alternative Lösungen, um die Prozesse weiterzuführen?
• Wie lange dürfen die Geschäftsprozesse und die dafür eingesetzten Ressourcen ausfallen?
• Gibt es Prozesse, die nur in bestimmten Tages- oder Jahreszeiten auf Strom angewiesen sind (z.B. Heizung im Winter, Kühlung im Sommer)?

Die folgenden Beispiele typischer Ressourcen in einem Unternehmen zeigen, wie tiefgreifend die Abhängigkeit von Strom innerhalb eines Unternehmens ist:

• Web-Portale und Onlineshops
• IT-Systeme
• Telefone, Drucker und Faxgeräte
• Kassensysteme und Tresore
• Beleuchtung, Lüftung und Gebäudesteuerung
• Überwachungs- und Zutrittsschutzsysteme
• Lagerbewirtschaftung (z.B. Hochregallager, Elektrostapler, Verteilanlangen)
• Kühllager und -schränke
• Anlagen- und Produktionssteuerung
• Maschinen mit Elektroantrieb
• Labor- und Analysegeräte
• Tankstellen auf dem Firmengelände

Bei einem längerdauernden Blackout müssen die Unternehmen zudem mit Kettenreaktionen rechnen, welche sie vor weitere Herausforderungen stellen. Dies können z.B. sein:

• Ausfall Festnetz und Mobiltelefonie
• Ausfall Radio und Fernseher
• Ausfall Treibstoffversorgung
• Ausfall öffentlicher Verkehr, Strassenverkehr, Luftverkehr
• Ausfall Wasserversorgung und Abwasserentsorgung
• Stark eingeschränkte medizinische Versorgung
• Ausfall von Mitarbeitern (keine Anreisemöglichkeit, Familie)

Vorsorge-Strategien

Für die Bewältigung der drei Szenarien Stromausfall, einer Strommangellage oder einem Blackout können Unternehmen verschiedene Strategien festlegen. Die Wahl der Strategie wird u.a. dadurch beeinflusst wie zeitkritisch die Geschäftsprozesse sind und über wie viele Standorte das Unternehmen verfügt.

Als generelle Strategien für einen Stromausfall stehen folgende Optionen zur Verfügung:

1. Weiterführung der kritischen Geschäftsprozesse mit unterbrechungsfreier Stromversorgung (USV), Notstromaggregaten, batteriebetriebenen oder alternativen Systemen.
2. Verlagerung der Geschäftstätigkeit auf diejenigen Standorte, welche noch mit Strom versorgt sind.
3. Temporäre Einstellung des Betriebs.

Als Vorbereitung auf eine Kontingentierung des Stroms im Szenario Strommangellage sieht die OSTRAL vor, dass sich Grossverbraucher (Jahresverbrauch > 100 MWh), welche an mehreren Standorten tätig sind, als Multisite-Verbraucher anmelden können. Bei einer Kontingentierung des Stroms wird so der Gesamtverbrauch des Unternehmens kontingentiert und nicht der einzelne Standort. Dies ermöglicht eine Strategie, in welcher einige Standorte normal betrieben und andere geschlossen werden.

Bei der Wahl der Strategie für zyklische Stromabschaltungen muss darauf geachtet werden, dass IT-Systeme und Produktionsanlagen eine gewisse Dauer für den Wiederanlauf, die Rüstzeit und die Reinigung in Anspruch nehmen und auch die Zulieferer nicht im gewohnten Rahmen lieferfähig sind. Bei zyklischen Stromabschaltungen muss deshalb genau geprüft werden, wie während den angekündigten Netzabschaltungen eine priorisierte und reduzierte Produktion mit einer Notstromversorgung oder angepasstem Personaleinsätzen und Lagerbeständen aufrechterhalten werden kann.

Im Blackout-Szenario müssen neben dem unmittelbaren Stromausfall (Phase 1) auch Strategien für die Phase 2 (Ausfall von kritischen Infrastrukturen, Personal und wichtigen Zulieferer) und die Phase 3 (Wiederherstellung des Normalzustands mit beschränkter Versorgung) vorbereitet werden. Diese Strategien sind unternehmensspezifisch und können z.B. die Themen Kommunikation, Versorgung mit Betriebsstoffvorräten, Transport von Waren und Personen, Wasserversorgung, Abwasserentsorgung beinhalten.

Umsetzung

Im Rahmen einer Gap-Analyse sollte das Unternehmen ermitteln, welche der Strategien sich mit den bereits implementierten Massnahmen umsetzen lassen und wo noch Lücken bestehen. Aus den Lücken müssen konkrete Massnahmen abgeleitet werden, welche nach Aspekten der Wirtschaftlichkeit bewertet werden. Für die gewählten Massnahmen wird eine Umsetzungsplanung erstellt.

Bei der Umsetzung werden insbesondere folgende Massnahmen benötigt:

• Umsetzung von technischen Massnahmen, welche die Notstromversorgung oder einen Betrieb mit reduziertem Strombedarf ermöglichen.
• Erarbeitung von Business-Continuity- bzw. Notfallplänen, welche den Notbetrieb für die kritischen Prozesse des Unternehmens während einer Strommangellage und einem Blackout gemäss der gewählten Strategie beschreiben.
• Etablierung von einem Krisen- bzw. Notfallmanagement-Team, welches die Bewältigung der Strommangellage oder des Blackouts führt.
• Erarbeitung von Checklisten und Hilfsmittel für Mitarbeiter, damit sie bei einem Stromausfall die notwendigen Sofortmassnahmen einleiten können.
• Schulung der Organisation für die relevanten Szenarien.

Diese Massnahmen sollen möglichst in die bestehenden Strukturen des Business Continuity Managements und des Krisen- und Notfallmanagements integriert werden.

Testen und üben

Nach dem Motto «Nur was getestet ist, funktioniert» muss auch die Vorsorge für Stromausfall, Strommangellage und Blackout getestet und geübt werden. Mit einem aufbauenden Programm aus diskussions-basierten Überprüfungen (Walkthroughs, Table-Top-Übungen), technischen Tests und Simulationen kann das Unternehmen rasch Sicherheit gewinnen, dass die gewählten Strategien und die umgesetzten Massnahmen wirksam sind.

Fazit

Die Versorgung mit Strom ist überlebenswichtig für die Unternehmen. Stromausfall, Strommangellage und Blackouts können diese in ihrer Existenz bedrohen. Deshalb ist es von fundamentaler Wichtigkeit, sich frühzeitig Gedanken zu möglichen Ausnahmeszenarien zu machen, konkrete Strategien und Massnahmen zu erarbeiten und diese ausführlich und strukturiert zu testen. Mit einer guten Vorsorge können sich die Unternehmen gegenüber ihren Mitbewerbern einen strategischen Wiederherstellungsvorteil sichern.

Der Beitrag Überleben bei Strommangellage und Blackout erschien zuerst auf aucoma.

Die Zusammenarbeit und Kommunikation mit Kolleginnen und Kollegen musste im Eiltempo, meist mit SaaS Lösungen wie Teams oder Zoom und irgendwie sicher realisiert werden. Der Datenaustausch mit Dritten wird nach wie vor nach bestem Wissen und Gewissen bewerkstelligt. Kritische IT-Infrastruktur, ob im Data Center oder in der Cloud, sowie industrielle Anlagen werden von ausserhalb der gewohnten Arbeitsplatz-Umgebung betrieben, gesteuert, überwacht und gewartet. Jede Branche ist zudem mit zusätzlichen, sehr branchenspezifischen Bedürfnissen des Fernzugriffs konfrontiert über welche man vor Corona nicht nachdenken wollte oder auch aus regulatorischen Gründen nicht nachdenken durfte. Nachfolgend diskutieren wir aber nicht die Digitalisierung an sich, sondern die Informations- und Cybersicherheit ausserhalb der gewohnten Büroräumlichkeiten und dabei insbesondere der Fernzugriff auf IT-Assets und Daten.

In der Schweiz ist der verschlüsselte Fernzugriff mit starker Authentisierung in die IT- und OT-Umgebungen der Organisation via VPN oder Remote Desktop ein weit verbreiteter Standard. Branchen, wie beispielweise die Energiewirtschaft mit ihren vielen dezentralen Standorten und Anlagen, machten sich schon lange vor Corona Gedanken, wie sie die Arbeiten aus der Ferne effizient und sicher erledigen können. Auch in der mittlerweile weit verbreitet genutzten Cloud gehört der Fernzugriff quasi zur Standardfunktion. Ein gemeinsames Verständnis des Grundschutzes fehlt aber noch – letztlich auch, weil vermeintlich die Benutzerfreundlichkeit unter den Sicherheitsmassnahmen leide.

So ist es auch nicht verwunderlich, dass sich der relativ neue Schweizer IKT Minimalstandard, welcher auf dem NIST Cyber Security Framework basiert, noch etwas zurückhaltend zum Thema äussert. Folgendes wird empfohlen:

• Schaffen Sie die Möglichkeit, Fernzugriffe für Anwender zu ermöglichen (1.6.1)
• Etablieren Sie Prozesse zur Verwaltung der Fernzugriffe (PR.AC-3)
• Stellen Sie sicher, dass Unterhaltsarbeiten an Ihren Systemen die über Fernzugriffe erfolgen aufgezeichnet und dokumentiert werden. Stellen Sie sicher, dass kein unautorisierter Zugriff möglich ist (PR.MA-2)

Bereits etwas deutlicher in seiner Empfehlung ist MELANI im Halbjahresbericht 2019/2: Mehrfach-Authentisierung für das AD und insbesondere für den Fernzugriff ist eine Notwendigkeit.

Es scheint nun eine gute Gelegenheit die in die Jahre gekommenen oder unter dem Zeitdruck des Lockdowns realisierten Fernzugriffsdienste betreffend Sicherheit zu überprüfen und zu verbessern. Verwenden sie dazu folgende Checkliste:

1. Alle Fernzugriffsdienste ins Rechenzentrum, direkt in die Cloud oder auf eine Anlage müssen inventarisiert, beschrieben und deren Kritikalität beurteilt werden, um zu wissen was geschützt werden muss.
2. Die verschlüsselten Fernzugriffsverbindung müssen auf einer vertrauenswürdigen Fernzugriffs-Komponente terminieren z.B. Remote Access Gateway, Cloud Access Gateway, Jump-Server, Daten- oder API Gateway, nicht jedoch direkt auf dem Zielsystem.
3. Die Fernzugriffsdienste müssen mit genügend Kapazität ausgestattet und redundant mit einer Funktion für den Lastenausgleicht ausgelegt sein. Ebenfalls sind Massnahmen zum Schutz gegen Denial-of-Service Attacke zu prüfen.
4. Die Fernzugriffsdienste müssen immer über die aktuellen Sicherheitspatches verfügen und die Konfiguration muss nach dem Stand der Technik gewählt werden (z.B. CIS Benchmarks zur sicheren Konfiguration oder BSI Empfehlungen zum Verschlüsslungsstandard). Zudem sind die Empfehlungen der Hersteller oder Dienstleiter zwingend zu berücksichtigen. Dabei darf nicht vergessen werden, die herstellerspezifischen Standard-User und -Passwörter zu deaktivieren oder zu ändern. Die jeweiligen sicherheitstechnischen Massnahmen müssen dokumentiert sein.
5. Die über den Fernzugriff erreichbaren Assets der Organisation müssen hinreichend segmentiert sein.
6. Für die Vergabe und Pflege der Fernzugriffs-Rechte muss ein Prozess etabliert sein.
7. Die Benutzerinnen und Benutzer müssen sich immer über einen persönlichen Account mit mindesten einer Zwei-Faktor-Authentisierung anmelden. Je nach Kritikalität der Daten und Funktionen muss gar eine höhere Authentisierungsstufe gewählt werden. Beim Zugriff auf kritische IT-Assets und heikle Daten sollten zudem nur vertrauenswürdigen und sichere Endgeräte erlaubt werden (siehe nächster Abschnitt).
8. Daten sind grundsätzlich zentral zu halten, deshalb ist die Übertragung der Daten nur wo notwendig zu erlauben. Wenn Daten übertragen werden müssen diese einerseits auf Schadsoftware überprüft und anderseits sollte das übertragene Datenvolumen überwacht werden.
9. Sämtliche Fernzugriffe müssen zentral aufgezeichnet werden und verdächtige Aktivitäten müssen kontrolliert werden. Remote Wartung und Remote Support aus der Ferne dürfen nur mit expliziter Bestätigung durch die Verantwortlichen auf den jeweiligen Assets möglich sein.
10. Bestimmte Funktionen des Fernzugriff müssen auch in einem Not- oder Krisenfall zur Verfügung stehen. Daher muss im Notfallhandbuch beschrieben werden unter welchen Voraussetzungen die Funktionen zur Verfügung stehen. Handkehrum muss darin auch der Umgang mit einem möglichen Ausfall oder Einschränkung der Fernzugriffsdienste z.B. durch eine Denial-of-Service-Attacke beschrieben werden.

Aber nicht nur die zentrale Fernzugriffsdienste müssen gesichert werden. Unsichere Endgeräte, welche diese Fernzugriffsdienste nutzen, können ein Restrisiko für die zentralen IT-Assets und Daten darstellen. Auch müssen Daten teilweise auf den Endgeräten bearbeitet oder gar darauf gespeichert werden. Darum sollte bei den Endgeräten folgendes überprüft werden:

• Grundsätzlich sollte die Festplatte aller Geräte verschlüsselt und der Zugriff mindestens mittels PIN/Passwort geschützt sein.
• Im Falle das kritische Assets ausgeführt oder heikle Daten gespeichert werden, muss das Endgerät mit einer Device Management Lösung geschützt werden. Dies um Sicherheitskontrollen wie PIN-Schutz sicherzustellen aber auch, um die Endgeräte betreffend Sicherheitspatches und Virensignaturen auf dem aktuellsten Stand zu halten. Ebenfalls sollte eine Form von Endpoint Detection Lösung auf dem Gerät installiert sein, um verdächtige Aktivitäten zu erkennen.
• Den Benutzerinnen und Benutzer sollten benutzerfreundliche, sichere und kontrollierte Datenaustauschmöglichen zur Verfügung gestellt werden, weil ansonsten die Gefahr gross ist, dass sie sich selber in irgendeiner Form behelfen und Daten dabei verloren gehen (Data Leakage).
• Weiter sollte es möglich sein Daten auf dem Endgerät aus der Ferne zu löschen.
• Mit Endgeräten von Dienstleistern müssen die definierten Vorgaben dazu entsprechend vertraglich verbindlich festgelegt werden.

An dieser Stelle sei nochmals erwähnt, dass das Sicherheitsrisiko umso kleiner ist, je weniger Daten (z.B. mit einem Remote-Desktop) und je weniger Funktionen (z.B. mit Jump-Host) direkt auf den Endgeräten zur Verfügung gestellten werden. Bei SaaS (z.B. bei Office 365), muss dies bei der Konfiguration berücksichtig werden, so dass Daten nicht standardmässig lokal gespeichert werden.

Wie fast immer sind für die Sicherheit aber nicht nur die Technik und Prozesse massgebend. Beim Fernzugriff spielt der Faktor Mensch eine entscheidende Rolle. Denn den abgesicherten Büroräumlichkeiten weichen quasi offenen Arbeitsräumlichkeiten. Für diese neu gewonnene Freiheit sollen sich bei den Mitarbeiterinnen und Mitarbeiter daher nicht nur Rituale an der heimischen Kaffeemaschine durchsetzen. Jeder Angestellte muss sich seiner Verantwortung bewusst sein:

• Den Computer am Arbeitsplatz zu Hause bei nicht-Benutzung sperren;
• Daten wenn immer möglich am zentralen Ort bearbeiten und speichern;
• Ausdrucke und Papier auf ein Minimum beschränken;
• Authentisierungsmittel mit gesundem Menschenverstand vor Diebstahl schützen;
• Besondere Aufmerksamkeit bei Supportanfragen via Telefon oder E-Mail walten lassen;
• Zu Hause ein sicheres Wireless LAN einrichten;
• Für geschäftliche Tätigkeiten nur geschäftliche Applikationen und Services benutzen.

Vertrauen Sie auf die Eigenverantwortung ihrer Mitarbeitenden aber vergessen Sie nicht, Ihre Benutzerinnen und Benutzer auf die Aspekte hinreichend zu schulen und ihnen die entsprechenden benutzerfreundliche IT-Mittel zur Verfügung zu stellen. Denn die meisten Fehler passieren durch Unwissenheit.

Der Beitrag Checkliste für den sicheren Fernzugriff – Operational und Cyber Resilience ausserhalb der gewohnten Büroräumlichkeiten erschien zuerst auf aucoma.