Anwendungsbereiche von Digital Identities:
Physische Identitäten digital repräsentieren – und schützen
Mit der aktuellen Weiterentwicklung der europäischen Verordnung über elektronische Identifizierung und Vertrauensdienste (eIDAS) kann europaweit eine anerkannte und sichere digitale Identität kommen. Digitale Identitäten sind dabei schon lange gang und gäbe – vom E‑Mail-Account, über Social Media bis zu digitalen Behördengängen: Die Nutzung digitaler Dienste erfordert einen Identitätsnachweis. Die dafür nötige Identifikation und Authentifizierung ist abhängig vom dafür genutzten Dienst an verschiedene Schutzniveaus gekoppelt. Unternehmen, die Dienste anbieten wollen, für die digitale Identitäten notwendig sind – für Mitarbeiter, Partner und Kunden – müssen die Voraussetzungen kennen.
Eine digitale Identität stellt die digitale Repräsentation einer physischen Identität dar. Letztere kann ein Mensch sein, aber auch eine Institution, eine Maschine oder ein Server. Im Gesundheitswesen können z. B. Praxen, Krankenhäuser oder Apotheken eine digitale Identität erhalten. Sie stellt in diesem Kontext eine Sammlung von Attributen in elektronischer Form dar, die eine natürliche oder juristische Person charakterisieren – das können Name, Adresse und Geburtsdatum sein, aber auch Benutzername oder Emailadresse. Eine digitale ID muss eindeutig sein, da sie sonst nicht zuordenbar ist; der Prozess der ursprünglichen Identifizierung wird ins Digitale übertragen– für die Erst-Identifikation benötigt es eine Registrierung; die Wiedererkennung erfolgt durch die Authentifizierung. Aus gesellschaftlicher Perspektive gibt es drei Formen von Identitäten: Echte, selbstkonstruierte und anonyme, wobei Letztere zum Beispiel auf Social Media eine teilweise kontroverse Rolle spielen.
Einsatzmöglichkeiten digitaler Identitäten
Digitale Identitäten sind als Grundlage bzw. digitale Repräsentation für digitale Dienste und Prozesse notwendig. Sie kommen überall dort zum Einsatz, wo digitale Dienste angeboten werden und personalisiert sind, was die Erhebung, Speicherung und Verarbeitung von Daten erfordert. Digitale Dienste haben diverse Ausprägungen – vom Social-Media-Benutzerkonto, über Online-Accounts im E‑Commerce, bis hin zum Online-Banking oder digitalen Behördengängen über eGovernment-Angebote. Wie beim Personalausweis kann der Anwendungsbereich einer digitalen Identität über eine reine Identifikation hinausgehen und zum Beispiel eine Altersprüfung möglich sein.
Die zunehmende Digitalisierung erschließt weitere Einsatzmöglichkeiten einer digitalen Identität: Die europäische eIDAS (Verordnung über elektronische Identifizierung und Vertrauensdienste) schafft hier einheitliche Rahmenbedingungen für die Nutzung elektronischer Identifizierungsmittel und Vertrauensdienste über Grenzen hinweg. 2020 wurde die Überarbeitung der eIDAS-Richtlinie gestartet, sie ist derzeit noch nicht abgeschlossen. Ziel ist es, europaweit ein sicheres EU-Identity-Wallet anzubieten. Die eID ist damit das virtuelle Pendant eines Ausweises. Sie soll eine Identifikation und Authentifizierung ermöglichen, eine Überprüfung der Gültigkeit durch Dritte sowie die sichere Speicherung und Darstellung der Identitäten. Außerdem soll sie es erlauben, qualifizierte elektronische Signaturen zu generieren. Dieses digitale Pendant zur Unterschrift erlaubt auf digitaler Ebene rechtsgültige Vertragsabschlüsse.
Die eIDAS gibt auch vor, dass die EU-Mitgliedstaaten den Bürgern die digitale Identität zur Verfügung stellen müssen; auch die vorgesehene Akzeptanzpflicht kann dazu beitragen, dass andere digitale Identitäten wegfallen. Einkäufe im Ausland oder die Abholung eines Mietwagens könnten damit vereinfacht werden, da die digitale Identität Prozesse effizienter macht. Denn digitale Dienste sind im Vergleich zu analogen Prozessen mit einer Kostenreduktion verbunden; der User profitiert stark von einer einfacheren und bequemeren Handhabung, etwa, wenn sich Behördengänge von zu Hause aus erledigen lassen.
Anders als bei digitalen Identitäten über Google oder Facebook kann durch die Behörden sichergestellt werden, dass der Datenschutz nach DSGVO eingehalten wird. Im Gesundheitswesen sollen digitale Identitäten auf dem Smartphone perspektivisch die elektronische Gesundheitskarte ablösen – aktuell kann dies aber noch nicht realisiert werden.
Sicherheit und Schutz des Users
Ein mögliches Angriffsszenario, das digitale Identitäten in besonderem Maße betrifft, ist der Diebstahl in Form von Impersonation bzw. Identitätsdiebstahl. Das Schadenspotenzial reicht dabei von Hasskommentaren auf Social Media bis zum Zugriff und Missbrauch von persönlichen Daten etwa bei Bankgeschäften oder vertraulichen Gesundheitsdaten. Während der analoge Personalausweis den Missbrauch durch Diebe wegen des darauf abgebildeten Fotos limitiert, sieht der Fall online anders aus. Die digitale Identität muss also besonders geschützt werden. Schutzmaßnahmen können zum Beispiel sichere Passwörter sein oder eine Zweifaktor-Authentifizierung, wie sie bereits im Online-Banking zum Beispiel mit Passwort einerseits und zusätzlicher TAN-Generierung auf einem externen Gerät andererseits stattfindet. Der Hardwaretoken in Smartcards stellt als zertifizierte Ausführung ein Höchstmaß an Sicherheit dar.
Standardisierte Vertrauensniveaus
Das Sicherheitsniveau hängt vom Einsatzzweck der digitalen Identität ab und wird in der Durchführungsverordnung (EU) 2015/1502 geregelt. So liegen zum Beispiel im Online-Banking oder im Gesundheitsbereich besonders sensible, personenbezogene Daten vor, die eines hohen Schutzniveaus bedürfen. Die Verordnung definiert drei standardisierte Vertrauensniveaus: niedrig, substantiell und hoch. Ein niedriger Schutzbedarf entspricht einer Ein-Faktor-Authentifizierung, wie sie in Social Networks oder Foren geläufig ist. Substanziell wird der Schutz durch die bereits genannte Zwei-Faktor-Authentifizierung. Ein hoher Schutz, wenn etwa Gesundheitsdaten betroffen sind, muss allerdings noch stärker abgesichert sein, zum Beispiel mit einem Pass samt Foto und biometrischen Merkmalen. So können Identifizierungen über Video-Ident- oder Post-Identverfahren erfolgen.
Je höher das Sicherheitsniveau, desto komplizierter gestaltet sich allerdings dessen technische Umsetzung. So bringen hochpreisige Smartphones zertifizierte Sicherheitskomponenten mit – während in günstigeren Endgeräten jedoch minderwertigere biometrische Sensoren verbaut werden, die leicht manipulier- oder überbrückbar sind. Sie verfügen also über keine geschützten Speicherbereiche. Smartcards in Gesundheitskarten können dagegen mit ihren Chip-Prozessoren kryptografisches Schlüsselmaterial verwenden und speichern. Damit stellen die dahinterliegenden Infrastrukturen die Echtheit sicher.
Das Zukunftspotenzial digitaler Identitäten
Die Digitalisierung nimmt zu, all ihre Dienste erfordern eine digitale Identität und diese sind bereits weit verbreitet: Im Schnitt hat jeder Bürger 90 digitale Identitäten. Dabei können digitale und analoge Welt verschmelzen, etwa, wenn Zutrittskontrollen in Unternehmen digitalisiert sind und den Nachweis einer digitalen Identität erfordern, oder wenn in Arztpraxen die Gesundheitskarte als ID eingelesen wird. Hier werden Medienbrüche als Hemmnis wahrgenommen, etwa wenn Papierdokumente als Scans bei Krankenkassen eingereicht werden sollen. Digitale Identitäten und die damit mögliche Zuordnung machen die Digitalisierung solcher Prozesse überhaupt erst möglich. Im Bereich eHealth können Ärzte so z. B. Rechnungen und Rezepte digital signieren und versenden.
Unternehmen wiederum können digitale Identitäten in der Breite für Kunden und Mitarbeiter, Endkunden oder Partner nutzen. Damit kann zum Beispiel die Urlaubsbeantragung über ein Portal erfolgen. Nicht zu vernachlässigen sind auch denkbare Anwendungsmöglichkeiten für die Kundenbindung: Denn über digitale Dienste, die Kunden nutzen, lassen sich nicht zuletzt Informationen über deren Verhalten gewinnen – um damit das eigene Angebot besser zuschneiden und optimieren zu können. Dabei müssen sich Unternehmen der verschiedenen Sicherheitsniveaus allerdings zwingend bewusst sein. Nutzerfreundlichkeit ist zwar wichtig – ebenso aber auch der digitale Schutz vor Identitäts- und Datenraub. Ist dieser nicht gewährleistet, können gravierende Auswirkungen die Folgen sein. Ein Beratungsunternehmen wie die SRC GmbH kann hier helfen, Lösungen – kostenpflichtige wie open source – zu beleuchten, Zertifizierungen zu prüfen und die Konformität und damit Rechtssicherheit sicherzustellen.
Fazit
Ohne digitale Identitäten läuft im Internet nichts – digitale Dienste erfordern initial eine Identifikation des Users und für die Weiternutzung eine Authentifizierung zum Beispiel über Passwörter mit zusätzlicher TAN-Generierung im Rahmen von Multifaktor-Verfahren. Von der Art des Dienstes und der dabei genutzten Daten hängen die Erfordernisse an die Sicherheit ab, die über drei Niveaus sichergestellt wird. Unternehmen, die digitale Dienste nutzen wollen, müssen deswegen die Voraussetzungen kennen um die Anwendungspotenziale für Kunden, Partner oder Lieferanten zu nutzen.
___________________________________________________
Autor: Nico Martens, Berater SRC Security Research & Consulting GmbH
Weitere Informationen: https://src-gmbh.de/
Pressekontakt:
Patrick Schulze
WORDFINDER GmbH & CO. KG
Lornsenstraße 128–130
22869 Schenefeld
Tel. +49 (0) 40 840 55 92–18
ps@wordfinderpr.com
www.wordfinderpr.com
Die Bedeutung von Penetrationstests für die Sicherheit von Unternehmen16. April 2024 - 8:48
SRC und die DAkkS-Akkreditierung nach ISO/IEC EN 17025: Ein wichtiger Schritt in Richtung EUCC 31. Januar 2024 - 12:23
SRC ist dem Bundesverband IT Sicherheit (TeleTrusT) angeschlossen4. Januar 2024 - 11:22
Wie sicher ist die elektronische Patientenakte?
Nach der Digitalisierungsstrategie des Bundesministeriums für Gesundheit erhalten zukünftig alle gesetzlich Versicherten, die nicht aktiv widersprechen, eine elektronische Patientenakte. Wer kann dann auf die persönlichen Patientendaten zugreifen und wie gut sind die Daten gegen unberechtigten Zugriff geschützt?
Anfang März 2023 hat Bundesgesundheitsminister Prof. Karl Lauterbach in einer Pressekonferenz die neue Digitalisierungsstrategie des Bundesministeriums für Gesundheit (BMG) vorgestellt. Ein zentrales Thema der Digitalisierungsstrategie ist die elektronische Patientenakte (ePA). Diese wird den 73 Millionen gesetzlich Versicherten seit Januar 2021 auf Wunsch (Opt-In) durch die Krankenkassen bereitgestellt. Laut Karl Lauterbach haben bis heute allerdings weniger als ein Prozent der gesetzlich Versicherten eine ePA beantragt. Dies hat sich offenbar schon länger angedeutet, denn bereits im Koalitionsvertrag von November 2021 wurde vereinbart, die Einführung der ePA zu beschleunigen und allen Versicherten, die nicht aktiv widersprechen, eine ePA zur Verfügung zu stellen (Opt-Out). Im Rahmen der Digitalisierungsstrategie erfolgt nun die Umsetzung. Das BMG hat bereits zwei neue Gesetze angekündigt: das Digitalgesetz und das Gesundheitsdatennutzungsgesetz (GDNG). Damit sollen bis zum Jahr 2025 80 Prozent der gesetzlich Versicherten über eine ePA verfügen und die Patientendaten pseudonymisiert für die Forschung nutzbar werden.
Für die Versicherten bedeutet dies, eine Entscheidung treffen zu müssen. Keine ePA zu beantragen war einfach und bequem, aber sollte der Einrichtung jetzt widersprochen werden? Wie sind die persönlichen Patientendaten in einer ePA geschützt? Wer kann auf die Patientendaten zugreifen? Dieser Artikel vermittelt Hintergrundinformationen zur Funktionsweise der ePA und über den Schutz der in der ePA gespeicherten Patientendaten.
Die elektronische Patientenakte
Die elektronische Patientenakte ist im Wesentlichen ein sicherer cloudbasierter Dokumentenspeicher mit einem komplexen Berechtigungssystem. Versicherte können ihre Patientendaten jederzeit einsehen und die Berechtigung für den Zugriff durch Ärzte oder andere Personen selber steuern. Dies wird durch das Zusammenspiel verschiedener Komponenten erreicht:
Verschlüsselung der Akteninhalte
Die in der ePA gespeicherten Patientendaten sind personenbezogene Gesundheitsdaten gemäß Artikel 9 Datenschutzgrundverordnung (DSGVO) und somit besonders schützenswert. Der Schutz wird durch zahlreiche Maßnahmen umgesetzt. Besondere Relevanz hat die Verschlüsselung der Akteninhalte. Beim potenziellen Zugriff auf Akteninhalte durch eine unberechtigte Person erhält diese nur verschlüsselte Daten. Das Gesamt-Verschlüsselungsverfahren setzt sich aus mehreren Verschlüsselungen mit unterschiedlichen Schlüsseln zusammen:
Der Zugriff auf und die Entschlüsselung von Patientendaten aus der ePA läuft wie folgt ab: eine berechtigte Person, zum Beispiel der oder die Versicherte, authentisiert sich über das ePA-FdV gegenüber dem ePA-Aktensystem und den Schlüsselgenerierungsdiensten. Von den Schlüsselgenerierungsdiensten erhält das ePA-FdV die individuellen Berechtigtenschlüssel 1 und 2, vom ePA Aktensystem erhält das ePA-FdV den Akten- und Kontextschlüssel in verschlüsselter Form. Mithilfe der Berechtigtenschlüssel werden Akten- und Kontextschlüssel im Zwiebelschalenprinzip entschlüsselt. Der Kontextschlüssel wird im Klartext über ein speziell gesichertes Protokoll an das ePA-Aktensystem übertragen. Im ePA-Aktensystem gibt es eine sogenannte Vertrauenswürdige Ausführungsumgebung, die technisch Zugriffe des Betreibers verhindert und damit sicherstellt, dass der Betreiber keine Akteninhalte einsehen kann. In dieser Vertrauenswürdigen Ausführungsumgebung wird der sogenannte Aktenkontext mit dem Kontextschlüssel entschlüsselt. Es handelt sich um Metadaten, die zum Beispiel eine Inhaltsangabe der in der ePA gespeicherten Dokumente enthält. Über den Aktenkontext kann am ePA-FdV das gewünschte Dokument ausgewählt und auf das Endgerät geladen werden. Dort wird das Dokument zunächst mit dem Aktenschlüssel entschlüsselt. Das Ergebnis ist ein Dokumentenschlüssel und das damit verschlüsselte Dokument. Mit dem Dokumentenschlüssel wird das Dokument entschlüsselt und liegt letztlich im Klartext vor. Wird das Dokument außerhalb des ePA-FdV gespeichert, kann die Sicherheit nicht mehr durch die ePA gewährleistet werden.
Berechtigungsmanagement
Gibt eine versicherte Person einer anderen Person (zum Beispiel einem Arzt) die Berechtigung, auf Akteninhalte zuzugreifen, werden der Akten- und Kontextschlüssel mit Berechtigtenschlüsseln dieser anderen Person verschlüsselt und im Aktensystem für den Abruf durch diese gespeichert. Nicht berechtigte Personen, wie der Betreiber des ePA-Aktensystems, sind somit kryptografisch vom Aktenzugriff ausgeschlossen. Ist eine Person generell berechtigt und es liegen die notwendigen Schlüssel vor, kann der Zugriff weiterhin auf Dokumenten-Ebene eingeschränkt werden. So können Versicherte für jedes Dokument einzeln festlegen, wer darauf zugreifen darf.
Fazit
Die ePA setzt verschiedene Sicherheitsmechanismen für den Schutz der Patientendaten um. Für den Zugriff müssen sich Versicherte grundsätzlich authentisieren. Für die Entschlüsselung der Inhalte müssen weiterhin verschiedene Schlüssel zusammengebracht werden. Die Sicherheit der Verschlüsselung liegt maßgeblich in den Berechtigtenschlüsseln. Aus diesem Grund gibt es hiervon zwei, die von unabhängigen Schlüsselgenerierungsdiensten bereitgestellt werden. So ist sichergestellt, dass immer verschiedene Instanzen bei der Entschlüsselung involviert sind. Weder der Betreiber des Aktensystems, noch die Betreiber der Schlüsselgenerierungsdienste sind technisch dazu in der Lage, Akteninhalte zu entschlüsseln. Die Berechtigung zum Zugriff auf Akteninhalte wird durch die Versicherten selbst gesteuert. Nur berechtigte Personen können die notwendigen kryptografischen Schlüssel entschlüsseln, alle anderen sind kryptografisch ausgeschlossen. Die Berechtigung zum Zugriff kann feingranular für jedes Dokument einzeln vergeben werden.
Vor einem unberechtigten Zugriff sind die Patientendaten in der ePA gut geschützt. Für die Berechtigungssteuerung und die Sicherheit heruntergeladener Patientendaten sind die Versicherten selbst verantwortlich. Datensouveränität erfordert Eigenverantwortung.
Autor: Nico Martens, Berater SRC Security Research & Consulting GmbH
Basiswissen IT-Grundlagen und ‑Sicherheitsmaßnahmen für Nicht-Informatiker
Das folgende Intensivseminar vermittelt IT-Basiswissen und grundlegende IT-Sicherheitsmaßnahmen und richtet sich speziell an Nicht-InformatikerInnen in Kreditinstituten:
„Basiswissen IT-Grundlagen und ‑Sicherheitsmaßnahmen für Nicht-Informatiker“
am Montag, 20. November 2023, 09:30 bis 17:00 Uhr in Köln
Die erfahrenen Referenten erläutern IT-Begriffe und ‑Grundlagen, z. B. zum Thema Netzwerke, Kommunikationsmedien und ‑protokolle. Vorgestellt werden außerdem die grundlegenden IT-Sicherheitsmaßnahmen in Netzen / im Rechenzentrum, vom Thema Backup, über Virtualisierung bis hin zur Benutzerverwaltung.
Ein weiteres Modul widmet sich speziell den Themen Verschlüsselung (symmetrische und asymmetrische Verfahren, Key Management), Signatur, Authentikation (z. B. Multi-Faktor-Authentisierung gemäß PSD2) und Integritätssicherung. Sie erhalten außerdem einen Überblick über neue Technologien und Trends (Big Data, Cloud, Künstliche Intelligenz, Besonderheiten im mobilen Arbeiten / Homeoffice) und diskutieren die Anforderungen an die Sicherheit.
Es referieren:
Florian Schumann | SRC Security, Research & Consulting GmbH
Der Referent Florian Schumann ist IT-Leiter bei der SRC Security Research & Consulting GmbH. In dieser Position verantwortet er die kontinuierliche Weiterentwicklung der IT. Außerdem ist er Berater für Informationssicherheit und qualifizierter Prüfer gem. § 8 (a) BSIG für kritische Infrastrukturen.
Vincent Becker | SRC Security, Research & Consulting GmbH
Ihre Fragen beantwortet gern Frau Andrea van Kessel (Tel. 0221/5490–161) vom bank-verlag.
Wir freuen uns auf Ihre Teilnahme!
Basiswissen IT-Grundlagen und ‑Sicherheitsmaßnahmen für Nicht-Informatiker
am Montag, 20. November 2023, 09:30 bis 17:00 Uhr
Zertifikatslehrgang „Informationssicherheitsbeauftragte (ISB) für Kreditinstitute” – 21. bis 24. November 2023
Mit den „Bankaufsichtlichen Anforderungen an die IT“, die zum 16. August 2021 novelliert wurden, hat die BaFin ihre Anforderungen an die Funktion des Informationssicherheitsbeauftragten konkretisiert: Diese steuern den Informationssicherheitsprozess, unterstützen die Geschäftsleitung bei der Festlegung der Informationssicherheitsleitlinie und erstellen Informationssicherheitsrichtlinien. Darüber hinaus sind sie Ansprechpartner für alle Fragen der Informationssicherheit – intern und für Dritte.
Nach der großen Resonanz und dem erfolgreichen Abschluss von nunmehr elf Zertifikatslehrgängen seit 2017 freuen wir uns, Ihnen einen neuen Termin anbieten zu können:
Der viertägige Zertifikatslehrgang
Informationssicherheitsbeauftragte/r (ISB) für Kreditinstitute
vom 21. bis 24. November 2023 in Köln
unterstützt Sie als (künftige) Informationssicherheitsbeauftragte oder Stellvertreter bei der Erfüllung Ihrer Aufgaben. Sie erhalten einen umfassenden Einblick in die Aufgaben und Kompetenzen des Informationssicherheitsbeauftragten, das Thema Informationssicherheitsmanagement und die diesbezüglichen Risiken sowie alle relevanten gesetzlichen/regulatorischen Anforderungen. Weitere Schwerpunkte sind die Themen Incident- und Notfallmanagement sowie die Standards ISO 27001 und BSI IT-Grundschutz. Exkurse aus der Bankpraxis runden die Veranstaltung ab.
Es referieren:
Dr. Anna-Lisa Kofahl | SRC Security Research & Consulting GmbH
Heinrich Lottmann | TARGOBANK AG
Alexandros Manakos | Apollon Security GmbH
Dagmar Schoppe | SRC Security Research & Consulting GmbH
Als Teilnehmer des Lehrgangs haben Sie die Möglichkeit, das Zertifikat „Informationssicherheitsbeauftragte/r für Kreditinstitute“ zu erwerben. Voraussetzung ist die Teilnahme an allen Modulen sowie das Bestehen der webbasierten Abschlussprüfung (Multiple Choice) am 27. November. Es fallen keine zusätzlichen Prüfungsgebühren an.
Profitieren Sie bei einer Anmeldung bis spätestens 24. September 2023 von unserem Frühbucherrabatt!
Der Lehrgang setzt Grundlagenwissen zum Thema IT und IT-Sicherheitsmaßnahmen voraus, welches jedoch im Vorfeld in einem eintägigen Seminar erworben werden kann:
Optional: Intensivseminar „Basiswissen IT-Grundlagen und ‑Sicherheitsmaßnahmen für Nicht-Informatiker“ am 20. November 2023
Es referieren:
Florian Schumann | SRC Security Research & Consulting GmbH
Vincent Becker | SRC Security Research & Consulting GmbH
Vermittelt werden hier IT-Begriffe und ‑Grundlagen; vorgestellt werden außerdem die grundlegenden IT-Sicherheitsmaßnahmen in Netzen / im Rechenzentrum. Ein weiteres Modul widmet sich speziell den Themen Verschlüsselung, Signatur, Authentikation und Integritätssicherung. Sie bekommen außerdem einen Überblick über neue Technologien und Trends (z. B. Big Data, Cloud, Künstliche Intelligenz).
„Das Seminar war sehr gut! Es hat mir Spaß gemacht und sehr gefallen.“
„Danke für die Organisation und die individuelle Ausgestaltung des Lehrgangs – eine professionelle Durchführung und gleichzeitig viel Austausch und Eingehen auf individuelle Anforderungen ist in virtuellen Zeiten eine große Herausforderung.“
„Sehr angenehmer Mix aus Theorie, Regulatorik und Praxis“
„Vielen Dank, sehr gut geleitete und begleitete Schulung“
Ihre Fragen zum Lehrgang und zum IT-Grundlagen-Seminar beantwortet gern Frau Andrea van Kessel (Tel. 0221/5490–161)
Wir freuen uns auf Ihre Teilnahme!
Information Security Management Systeme (ISMS) – Mythen, Missverständnisse und Irrtümer
Es gibt einige Mythen, Missverständnisse und Irrtümer rund um Information Security Management Systeme (ISMS), die zu falschen Annahmen oder unzureichenden Implementierungen führen können.
In unserem aktuellen Blogartikel möchten wir einige davon kurz vorstellen:
Mythos Nr. 1: ISMS ist nur für große Unternehmen
Es ist ein verbreiteter Irrtum, dass ein ISMS nur etwas für große Unternehmen ist. Tatsächlich können Organisationen jeder Größe von einem ISMS profitieren, da es dabei hilft, sich Bedrohungen bewusst zu werden, Risiken zu minimieren und Konformitätsanforderungen zu erfüllen. Unabhängig von der Größe der Organisation unterstützt ein effektives ISMS dabei, Informationssicherheit in allen Aspekten des Geschäftsbetriebs zu berücksichtigen, was letztlich zur Stärkung des allgemeinen Geschäftserfolgs und zur Förderung des Vertrauens beiträgt.
Mythos Nr. 2: ISMS ist nur eine technische Angelegenheit
Es besteht oft das Missverständnis, dass ein ISMS ausschließlich technische Maßnahmen umfasst. Primär stehen aber Informationen und Prozesse im Fokus. Über diese kommen dann sowohl die technischen als auch weitere organisatorische Aspekte, wie z.B. Richtlinien, Verfahren, Schulungen und Awareness-Programme, in die Betrachtung. Mit anderen Worten, ein effektives ISMS erfordert einen ganzheitlichen Ansatz, der Menschen, Prozesse und Technologie einbezieht, um die Sicherheit der Informationen in der Organisation zu gewährleisten und zu verbessern.
Mythos Nr. 3: Ein ISMS ist eine einmalige Aufgabe
Ein ISMS ist nicht bloß eine einmalige Aufgabe. Es wird zwar manchmal angenommen, dass ein ISMS einmal implementiert und dann nebenbei betrieben werden kann, doch in Wirklichkeit ist es ein kontinuierlicher Prozess, der ständige Überwachung, Überprüfung und Verbesserung erfordert, um mit sich ändernden Bedrohungen und Geschäftsanforderungen Schritt zu halten. Dieser Prozess fördert eine dauerhafte Kultur der Informationssicherheit in der Organisation, die auf proaktive Risikominderung und ständige Anpassung an neue Sicherheitsherausforderungen ausgerichtet ist.
Mythos Nr. 4: Konformität garantiert Sicherheit
Konformität mit Normen wie ISO 27001 bedeutet nicht automatisch, dass eine Organisation vollständig geschützt ist. Ein ISMS sollte als kontinuierlicher Verbesserungsprozess betrachtet werden, der über die bloße Einhaltung von Vorschriften hinausgeht. Es geht darum, ein Bewusstsein für Informationssicherheit in der gesamten Organisation zu schaffen, die Fähigkeit zur Reaktion auf sich ändernde Bedrohungen zu verbessern und letztlich eine nachhaltige Sicherheitskultur zu etablieren.
Mythos Nr. 5: ISMS dient nur Marketingzwecken
Auch wenn die Vertriebs- und Marketingabteilung dem sicher nicht widersprechen wird, so hilft ein wirksames ISMS vorrangig dabei, dass Organisationen, Risiken mindern, Konformitätsanforderungen erfüllen und Vertrauen bei Kunden und Partnern aufgebaut wird. Insgesamt fördert ein solches System eine sicherheitsbewusste Kultur und verbessert die Geschäftspraktiken.
Hätten Sie’s gewusst?
Indem diese Mythen, Missverständnisse und Irrtümer aufgeklärt werden, können Organisationen ein besseres Verständnis dafür entwickeln, wie ein ISMS effektiv implementiert und genutzt werden kann, um ihre Informationen zu schützen und den Geschäftserfolg zu fördern.
Wir von der SRC Security Research & Consulting GmbH können Sie aktiv in dem Prozess von der Beratung bin hin zur Zertifizierung unterstützen, sprechen Sie uns dazu gerne an.
Kontakt:
Christoph Sesterhenn
E‑Mail
CC:2022 – Ein Überblick
Neue Version der Common Criteria erschienen
Im November 2022 ist eine neue Version der Common Criteria erschienen, die inoffiziell als „CC 4.0“ bezeichnet wird, jedoch offiziell CC:2022 heißt. Wir wollen Ihnen mit diesem Überblick dazu einige erste Informationen geben, damit Sie die Möglichkeit haben, sich auf den Übergang zu dieser neuen Version vorzubereiten.
Zunächst einige Hinweise zu den Rahmenbedingungen der neuen CC-Version: Die CC:2022 ist wie die Vorgänger einerseits als ISO-Standard erschienen, als ISO/IEC 15408:2022, andererseits auch kostenfrei hier auf der Seite des CCRA zu erhalten. Die entsprechende Mitteilung des BSI dazu findet sich unter dem Link hier.
Auf der Seite des CCRA findet sich auch die Übergangsregelung, die kurz gesagt folgendes enthält:
• Bis 30.06.2024 können noch Evaluierungen nach der bisherigen CC Version 3.1 begonnen werden.
• Re-Evaluierungen, Re-Assessments und Maintenance von nach CC 3.1 zertifizierten Produkten sind innerhalb von zwei Jahren nach Zertifikatserteilung noch möglich.
• In Evaluierungen nach CC:2022 dürfen PPs, die nach CC 3.1 geschrieben wurden, noch bis 31.12.2027 verwendet werden.
Hinweis: Vom BSI kam schon die Signalisierung, dass sich diese Übergangsregelung nochmal ändern wird. Darüber hinaus wird es dann auch in Kürze eine detailliertere Transition Policy geben.
Zu den inhaltlichen Änderungen in der CC:2022
Die Änderungen der CC bestehen im wesentlichen darin, dass es künftig mehr Variantenreichtum in der ST-Erstellung und der Durchführung der Evaluierung auf verschiedenen Ebenen geben wird, sie ist aber inhaltlich „abwärtskompatibel“ zur CC 3.1, d.h., wer Evaluierungen im selben Stil wie bisher durchführen will, soll dies im wesentlichen tun können. Im letzteren Fall muss an einigen Stellen des ST der Text etwas angepasst werden, so muss wegen der größeren Zahl an Optionen die Beschreibung des „Conformance Claim“ etwas umfangreicher sein.
Wir fassen hier die wichtigsten Änderungen zusammen (ohne Anspruch auf Vollständigkeit und Präzision)
• Die CC besteht künftig aus 5 statt wie bisher 3 Teilen. Die Erweiterung wurde vorgenommen, weil es sowohl bei der Auswahl der Evaluierungsmethoden (Teil 4) als auch bei sogenannten „Packages“ (Teil 5) nun mehr Varianten gibt als bisher.
• Die CEM besteht wie bisher aus einem Dokument.
• Einige SFRs, die bisher häufig als „extended“ (also selbstdefinierte) Komponenten genutzt wurden, wurden offiziell in die CC aufgenommen. Dies betrifft insbesondere solche zu Zufallszahlen.
• Eine neue Wahlmöglichkeit ist wie folgt: Bisher beruht das Evaluatorurteil am Ende auf einer Schwachstellenanalyse anhand eines definierten Angriffspotentials, wozu der Evaluator möglicherweise Penetrationstests neu definiert. Dieser bisherige Weg wird zur Abgrenzung auch „Attack-based approach“ genannt. In Zukunft soll es neben dieser Vorgehensweise auch eine Variante einer Evaluierung geben, für die eine Menge von Tests fest vorab definiert wird, gegen die jeder TOE geprüft wird. Dies heißt dann „Specification based approach“.
• Die Kompositionsevaluierung, wie sie in der Chipkartenwelt seit langem üblich ist, wurde nun auch offiziell in die CC aufgenommen (bisher war sie durch SOGIS/JIL, also die europäischen CC-Schemata definiert).
• Der „Multi-assurance-approach“ erlaubt es künftig, für verschiedene Teile eines Produktes verschiedene Assurance-Komponenten (also z.B. verschiedene Angriffsstärken) zu definieren. (Auch dies wurde in einzelnen PPs schon in der Vergangenheit modelliert.)
• Das „Package“-Konzept wurde erweitert. • Statt der bisherigen „low assurance“ STs (die kaum genutzt wurden) soll es künftig sogenannte „direct rationale“ STs geben, bei denen SFRs nicht auf Sicherheitsziele sondern unmittelbar auf die „Security Problem Definition“ (also Threats etc.) zurückgeführt werden.
• Die mögliche „Conformance“ zu einem PP kann neben den bisherigen Varianten „demonstrable“ und „strict“ nun auch „exact“ sein. Letzteres bedeutet, dass ein Produkt genau die Sicherheitsanforderungen eines PP erfüllt, nicht aber eventuelle zusätzliche (was bei strict und demonstrable erlaubt ist). Dies wurde als Erweiterung der CC auch bisher schon verwendet, etwa in vielen PPs aus den USA.
• Der oben genannte „specification based approach“ ist primär vorgesehen für das Verwenden eines PPs zusmman mit den Conformance claim „exact“. D.h. ein PP legt sowohl genau fest, was die Funktionalität eines Produktes ist, als auch alle Tests, die vom Evaluator dazu durchgeführt werden. (Anmerkung: Dies ist eine in den USA heute schon oft verwendete Vorgehensweise.)
• Noch einmal der Hinweis auf die „Abwärtskompatibilität“: Wenn man keine der neuen Features benötigt, kann man wie bisher nach einer der bekannten EAL-Stufen evaluieren lassen und muss dann an den Herstellerdokumenten (außer dem Conformance Claim im ST) nichts wesentliches ändern.
Neben diesen genannten Änderungen gibt es noch einige weitere, die die Beschreibung von Evaluatortätigkeiten betreffen, aber nichts Grundlegendes für den Hersteller ändern.
Bitte wenden Sie sich bei Rückfragen und Diskussionsbedarf gern an Ihre Ansprechpartner bei SRC.
___________________________________________________
Sicherheit von Medizinprodukten gemäß BfArM: IT-Sicherheit ist die zweite Säule neben der Produktsicherheit
Mit der neuen EU-MDR rücken die aus der immer stärker vernetzter Technologie resultierenden Risiken stärker in den regulatorischen Fokus: Die IT-Sicherheit in zulassungspflichtigen Produkten oder Anwendungen nimmt an Bedeutung zu – bei Entwicklung, Herstellung und im Betrieb dieser Produkte sind die sich ergebenden Risiken zu berücksichtigen. Auf die Hersteller von Medizinprodukten kommen neue Herausforderungen zu. Sie müssen sich darauf einstellen, dass die IT-Sicherheit der hergestellten Produkte auch im Zulassungsprozess stärker berücksichtigt wird. Randolf Skerka hat dieses Thema in einem bei medizin & technik veröffentlichten Artikel dargestellt.
Beim Zulassungsprozess für Medizinprodukte stand bisher die Produktsicherheit im Mittelpunkt. Das ändert sich nun. Die europäische Verordnung über Medizinprodukte, (EU) 2017/745 (MDR), ersetzt die Richtlinien über Medizinprodukte (93/42/EWG, MDD) und aktive implantierbare Medizinprodukte (90/385/EWG, AIMDD). Ihre Novellierung wurde durch die zunehmende Digitalisierung notwendig – Medizintechnik und ‑produkte funktionieren nicht mehr autonom, sondern innerhalb vernetzter Systeme, was sie prinzipiell angreifbar macht. Damit sind das Risiko von Personenschäden und die IT-Sicherheit in den Fokus gerückt. Denn Medizinprodukte nehmen direkten Einfluss auf den Körper des Patienten – seien es etwa Infusionspumpen oder bildgebende Verfahren wie Röntgen oder Computertomographien. Hersteller sind nun in der Pflicht, potenzielle Risiken auszuschalten beziehungsweise zu minimieren. Hinzu kommt, dass sich das Sicherheitsniveau eines auf den Markt gebrachten, vernetzten Medizinprodukts im Laufe der Zeit verändert – etwa, wenn neue Sicherheitslücken entstehen. Auch dies bringt neue Anforderungen an den Zulassungsprozess mit sich.
Neue Anforderungen an Diga als Medizinprodukt
Für die Hersteller ist der notwendige Perspektivwechsel hin zu Cybersicherheit eine Herausforderungen: Denn bisher lag ihr Fokus darauf gewünschte Funktionen sicherzustellen. Dabei ging man oft vom Best Case aus. Die IT-Sicherheit nimmt aber die gegenteilige Perspektive ein: Die Verhinderung unerwünschter Funktionen und damit die Fragestellung, wie Technologie manipuliert werden kann. Hinzu kommt, dass zu Medizinprodukten nun auch digitale Gesundheitsanwendungen (Diga), beispielsweise Apps auf Rezept, gehören. Auch diese wirken sich indirekt auf die Gesundheit der Nutzer aus – sei es bei Erinnerungsfunktionen zur Einnahme von Medikamenten oder beim Vorhalten von Blutdruckangaben. Der Nutzer verlässt sich auf die Korrektheit der Informationen – und der Hersteller muss diese gewährleisten können.
Software ist damit nicht mehr nur Bestandteil eines Medizinprodukts, sondern wird selbst zu einem. Die MDR deckt diese neue Realität nun ab; ihre Anforderungen sind, wie üblich, aber nicht konkret. Unter anderem ist es die Aufgabe der für die Prüfung der Produkte zuständigen Benannten Stellen – in der Regel privatwirtschaftliche Unternehmen wie TÜV oder Dekra – diese zu konkretisieren.
Bei Problemen ist das BfArm zuständig
Anders als bei der Zulassung von Arzneimitteln ist das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) nicht in das Inverkehrbringen von Medizinprodukten involviert. Die Voraussetzung dafür stellt das CE-Kennzeichen dar, dessen Erteilung an gewisse Kriterien gebunden ist. Hier übernehmen wieder die benannten Stellen. Anders liegen die Zuständigkeiten für Produkte, die bereits am Markt sind: Für die zentrale Erfassung, Auswertung und Bewertung der bei Anwendung oder Verwendung auftretenden Risiken und für die Koordinierung der zu ergreifenden Maßnahmen bei Problemen von Medizinprodukten ist das BfArM zuständig. In der Euromed-Datenbank werden diese zentral gesammelt und an die Betreiber weitergeben. Ergeben sich Erkenntnisse über Auswirkungen auf die Patientensicherheit bei Medizinprodukten, müssen diese eskaliert und behoben werden. In der Regel werden die Produktverantwortlichen bzw. Betreiber von den Herstellern informiert.
Ein IT-Sicherheitskonzept wird notwendig
Für die Zulassung müssen Hersteller nachweisen, dass sie in der Lage sind, sichere Produkte zu entwickeln – das beginnt mit Security by Design, das späteren Schwachstellen im Betrieb vorbeugt und Secure Coding. Außerdem muss das Produkt in der späteren Anwendung für den Zulassungszeitraum sicher sein – das umfasst vor allem das Schwachstellenmanagement. Neue Hersteller, die medizinische Produkte auf den Markt bringen wollen, müssen an die Hand genommen werden, um den Zulassungsprozess und seine Rahmenbedingungen zu verstehen; etablierte benötigen fachliche beziehungsweise inhaltlich Unterstützung für den Bereich der IT-Sicherheit und den Aufbau neuer Prozesse.
Ein Partner wie die SRC GmbH kann im Sicherheitsprozess, bei der Erstellung und dem Ausbau des IT-Sicherheitskonzepts unterstützen: Dieses muss gemäß dem Questionnaire IT Security for Medical Devices der IG-NB erstellt werden. Zunächst erfolgt dabei die Schutzbedarfsfeststellung. Dem schließen sich eine Bedrohungsanalyse und eine Risikoanalyse mit geeigneten Maßnahmen zur Vermeidung von Gefährdungen für Patienten, Anwender und Dritte an. Schwachstellen und ihr Schadpotenzial werden bewertet. Außerdem muss das Sicherheitskonzept dauerhaft in einer kontinuierlichen Auseinandersetzung oder ereignisbasiert aktualisiert werden, um den gesamten Lebenszyklus eines Produkts abzudecken. In den isolierten Systemen früherer Zeit war die IT nach der Markteinführung dagegen keinen Änderungen mehr unterworfen.
Der formale Zulassungsprozess ist das Kerngeschäft des Bonner Unternehmens. Man kennt hier zum einen die Probleme der Hersteller, versteht aber auch die Denkweise der prüfenden, beziehungsweise der benannten Stelle, und kann als Vermittler auftreten. Die Priorität der Hersteller liegt meist auf einer Verkürzung der Zulassungszeit auf ein Minimum und damit auf einer schnellen Time to Market. Das gelingt mit einem Partner schneller. SRC weiß, was die einzureichenden Dokumente beinhalten müssen, kann ihre Eignung prüfen, darüber die notwendige Qualität und den Reifegrad sicherstellen und Rückfragen vermeiden.
IT-Sicherheit fürs Medizinprodukt
Das Gesundheitswesen ist ein komplexes System zur Krankenversorgung und Gesunderhaltung. Es ist geprägt von einem überdurchschnittlich hohen Bedarf an Information, Dokumentation und Kommunikation. Gleichzeitig besteht ein außerordentlich ausgeprägter Anspruch an die Integrität und Vertraulichkeit der Daten, so wie die Verfügbarkeit medizinischer Versorgungsprozesse.
Mit der Neufassung der MDR rückt bei der Zulassung von Medizinprodukten die IT-Sicherheit in den Fokus. Hersteller müssen diese während der Entwicklung und später dauerhaft beim Einsatz im Feld sicherstellen können und damit die Patientensicherheit gewährleisten. Notwendig wird dafür ein IT-Sicherheitskonzept mit Bestandteilen wie Risiko- und Schwachstellenmanagement – eine Daueraufgabe, da neue Risiken kontinuierlich bewertet werden müssen. Für Hersteller ist das mit dem Aufbau neuer Kompetenzen verbunden – hier kann ein externer Partner unterstützen.
Die SRC Security Research & Consulting GmbH aus Bonn bündelt aktuelles Know-how der Informationstechnologie und ihrer Sicherheit. Entstanden aus der Kreditwirtschaft stellt die IT-Sicherheitsexperte SRC ein zentrales Bindeglied zwischen Forschung und Produkten beziehungsweise Dienstleistungen dar.
Dieser Artikel ist bei Medizin und Technik am 21. Februar erschienen.
Digitale Identitäten im Gesundheitswesen – Ein Überblick
Digitale Identitäten im Gesundheitswesen – Ein Überblick
Digitale Identitäten können verschiedenste Ausprägungen haben. Alle haben ihre Berechtigung und alle haben ihre Vor- und Nachteile. Die einen sind besonders komfortabel in der Nutzung, andere sind besonders sicher, wieder andere besonders innovativ. Welche Ausprägung ist für das deutsche Gesundheitswesen die beste Wahl? Gibt es überhaupt die eine Lösung? Aktuell existieren verschiedene Ausprägungen und zukünftig kommt noch eine weitere hinzu.
Digitale Identitäten sind Voraussetzung für die Nutzung digitaler personalisierter Dienste. So auch im Gesundheitswesen. Wer zum Beispiel eine elektronische Patientenakte (ePA) nutzt, möchte in dieser vermutlich seine eigenen Gesundheitsdaten wiederfinden und nicht die Daten einer anderen Person. Noch weniger ist es gewünscht, dass die eigene Patientenakte unberechtigt von anderen Personen eingesehen werden kann. Damit das ePA-Aktensystem den Zugriff auf die Akten korrekt steuern kann, müssen diese einer Identität zugeordnet sein, einer digitalen Identität des Versicherten.
Für die Gestaltung der digitalen Identitäten im Gesundheitswesen ist die gematik GmbH zuständig. Diese wurde bereits im Jahr 2005 auf gesetzlicher Basis (vgl. SGB V) gegründet und erhielt in diesem Zuge die Aufgabe der Etablierung der Telematikinfrastruktur (TI) für die sichere digitale Vernetzung der Akteure des Gesundheitswesens.
Zurzeit existieren verschiedene Ausprägungen digitaler Identitäten in der TI. Am weitesten verbreitet ist die digitale Identität in Form eines kryptografischen Schlüssels in Verbindung mit einem Zertifikat aus der Public Key Infrastruktur (PKI) der TI, welcher auf einer personenbezogenen Smartcard gespeichert ist. Im Fachportal der gematik findet man unter dem Titel „Smartcards in der TI“ eine gute Übersicht, über die in der TI verwendeten Smartcards.
Smartcards in der TI
Die wohl bekannteste Smartcard in diesem Kontext ist die elektronische Gesundheitskarte (eGK), die in Deutschland alle gesetzlich Versicherten von ihrer Krankenkasse bekommen. Die eGK dient dem Versicherten zum einen als Krankenversicherungsnachweis, zum anderen kann sie vom Versicherten zur Authentisierung gegenüber der Fachdienste der TI wie der ePA oder dem elektronischen Rezept (E‑Rezept) verwendet werden.
Neben der eGK existieren in der TI noch weitere Smartcards wie der Heilberufsausweis (HBA), der die digitale Identität eines Leistungserbringers (z. B. Arzt) speichert, die SMC‑B, die als Institutionskarte die digitale Identität einer Leistungserbringerinstitution (z.B. Arztpraxis) speichert sowie gerätespezifische Smartcards für den Konnektor (gSMC‑K) oder eHealth-Terminals (gSMC-KT).
Mit der ePA kam der erste Fachdienst in die TI, auf den der Versicherte von seinem eigenen Endgerät aus über das Internet zugreifen konnte. Die in der Akte gespeicherten Patientendaten gehören zu den besonders schützenswerten personenbezogenen Daten nach Artikel 9 der DSGVO. Die Sensitivität dieser Daten erfordert einen entsprechend hohen Zugriffsschutz. Hierzu gehört auch das Vertrauensniveau der Authentifizierung des Nutzers. Um das notwendige Vertrauensniveau bei der Authentifizierung des Versicherten zu erreichen, wurde die Authentifizierung mittels der eGK spezifiziert. Hierbei nutzt der Versicherte sein persönliches Endgerät und sein ePA Frontend des Versicherten (ePA FdV). Während der Authentifizierung sendet das Aktensystem in einem Challenge-Response-Protokoll eine Zufallszahl. Der Versicherte hält seine NFC-fähige eGK an sein NFC-fähiges Endgerät und signiert mit dem Schlüsselmaterial auf der eGK die Zufallszahl. Die Signatur kann vom Aktensystem verifiziert werden und stellt den Nachweis der erfolgreichen Authentifizierung dar. Dieser Prozess setzt neben einem kompatiblen Endgerät eine NFC-fähige eGK und die Kenntnis der PIN voraus. Die Verwendung eines zusätzlichen Hardware-Tokens wie einer Smartcard stellt außerdem bis heute eine Hürde bei der Nutzung dar. Um diesem Umstand vorbeugend zu begegnen, hat die gematik bereits zur Einführung der ePA auch die sogenannte Alternative Versichertenidentität eingeführt.
Die Alternative Versichertenidentität
Die Alternative Versichertenidentität (al.vi) verlagert die Signatur der Zufallszahl im Challenge-Response-Verfahren zwischen Aktensystem und Frontend von der eGK zu einem Signaturdienst. Beim Signaturdienst ist für jeden Nutzer ein eigener Signaturschlüssel gespeichert, dessen Signaturen wiederum über ein Zertifikat aus dem Vertrauensraum der TI verifizierbar sind. Um den Signaturschlüssel zu verwenden, muss der Nutzer sich beim Signaturdienst authentisieren. Hierbei können beliebige Authentifizierungsverfahren verwendet werden, die das Vertrauensniveau von mindestens substanziell gemäß eIDAS-VO erfüllen. Somit können auch Verfahren ohne zusätzliche Hardware verwendet werden. Der Signaturdienst hat gegenüber der eGK den sicherheitstechnischen Nachteil, dass der Versicherte den Signaturschlüssel nicht mehr unmittelbar unter seiner Kontrolle hat.
Der Identity Provider-Dienst
Mit der Einführung des E‑Rezepts setzte die gematik erstmals auf das Modell eines Identity Provider-Dienstes (IDP-Dienst), der heute auch zentraler IDP oder Smartcard-IDP genannt wird. Die Idee dahinter ist, die Funktionalität der Nutzer-Authentifizierung vom Fachdienst zu lösen und diese vom IDP-Dienst durchführen zu lassen. Der IDP-Dienst stellt dem Fachdienst dann auf Basis von OpenID Connect eine Authentifizierungsbestätigung bereit. Auf diese Weise erfüllt jeder Dienst seinen fachlichen Zweck. Außerdem kann der IDP-Dienst zumindest in der Theorie auch die Authentifizierung der Nutzer für weitere Fachdienste, etwa für die ePA übernehmen. Die Funktionalität der Authentisierung muss somit nicht für jeden Fachdienst neu spezifiziert und implementiert werden und der Nutzer kann seine bestehende Registrierung beim IDP-Dienst wiederverwenden. Da für die Authentifizierung beim IDP-Dienst wiederum die eGK verwendet werden muss, liegt hier die gleiche digitale Identität zugrunde wie zuvor bei der ePA. Zwar kann der Nutzer, je nach Eigenschaften seines Endgeräts nach initialer Identifizierung auch biometrische Verfahren für die Authentisierung nutzen, muss sich (außer bei wenigen geeigneten Endgeräten) aber zum Erhalt des Sicherheitsniveaus regelmäßig auch mit der eGK authentisieren.
Fasttrack
Um dem Versicherten einen ähnlich komfortablen Zugang zum E‑Rezept wie zur ePA zu ermöglichen, wurde die Lösung Fasttrack entwickelt. Hierbei wird der IDP-Dienst mit dem Signaturdienst der ePA gekoppelt, so dass eine Authentifizierung über die al.vi möglich wird. Voraussetzung für die Nutzung ist aber, dass der Versicherte über eine ePA verfügt und die al.vi eingerichtet hat.
Föderiertes Identitätsmanagement
Ende 2020 veröffentlichte die gematik das Whitepaper Arena für digitale Medizin und kündigte darin unter anderem die TI 2.0 an. In diesem Zusammenhang wurde ein weiteres Modell für digitale Identität vorgestellt, das föderierte Identitätsmanagement.
Beim föderierten Identitätsmanagement gibt es nicht mehr einen zentralen IDP-Dienst, sondern eine Menge von sogenannten sektoralen Identity Providern (sektorale IDP), die in einer Föderation organisiert sind. Mitunter wird auch von dezentralen IDPs gesprochen. Die Grundlage bildet, wie schon beim zentralen IDP, wieder OpenID Connect. Dies gilt gleichermaßen für die Föderation, welcher der OpenID Connect Federation Standard zugrunde liegt. Die sektoralen IDPs sollen von den Krankenkassen bereitgestellt werden. Die Idee: jede Krankenkasse verwaltet die digitalen Identitäten ihrer Versicherten, führt die Authentifizierung der Versicherten durch und bestätigt diese gegenüber den Fachdiensten in der TI und zukünftigen TI 2.0. Das föderierte Identitätsmanagement soll dabei die Vorgaben aus § 291 SGB V umsetzen, wonach die gesetzlichen Krankenversicherungen ihren Versicherten ab 01.01.2023 auf Verlangen eine digitale Identität zur Verfügung stellen müssen. Da die finalen Spezifikationen zum föderierten Identitätsmanagement Mitte Dezember 2022 noch nicht veröffentlicht sind, wird die tatsächliche Einführung dieser digitalen Identitäten aber wohl noch etwas dauern.
Fazit
In der TI gibt es aktuell verschiedene Ausprägungen von digitalen Identitäten. Mit der Einführung der TI 2.0 könnte das föderierte Identitätsmanagement die anderen Ausprägungen verdrängen. Dies scheint auch der Gesetzgeber zu planen. So heißt es im Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz (DVPM), dass „die digitalen Identitäten in gleicher Weise wie die elektronische Gesundheitskarte zur Authentisierung des Versicherten im Gesundheitswesen und als Versicherungsnachweis“ dienen sollen. Nach Stand der aktuell veröffentlichten Entwürfe der Spezifikationen spielt die eGK zur Authentisierung des Versicherten aber auch im föderierten Identitätsmanagement weiterhin eine Rolle. Vorerst werden wohl alle beschriebenen Ausprägungen digitaler Identitäten ihre Relevanz für eine funktionierende TI und einem zunehmend digitalen Gesundheitswesen behalten.
___________________________________________________
Autor: Nico Martens, Berater SRC Security Research & Consulting GmbH
Weitere Informationen: https://src-gmbh.de/
Pressekontakt:
Patrick Schulze
WORDFINDER GmbH & CO. KG
Lornsenstraße 128–130
22869 Schenefeld
Tel. +49 (0) 40 840 55 92–18
ps@wordfinderpr.com
www.wordfinderpr.com
Anwendungsbereiche von Digital Identities: Physische Identitäten digital repräsentieren – und schützen
Anwendungsbereiche von Digital Identities:
Physische Identitäten digital repräsentieren – und schützen
Mit der aktuellen Weiterentwicklung der europäischen Verordnung über elektronische Identifizierung und Vertrauensdienste (eIDAS) kann europaweit eine anerkannte und sichere digitale Identität kommen. Digitale Identitäten sind dabei schon lange gang und gäbe – vom E‑Mail-Account, über Social Media bis zu digitalen Behördengängen: Die Nutzung digitaler Dienste erfordert einen Identitätsnachweis. Die dafür nötige Identifikation und Authentifizierung ist abhängig vom dafür genutzten Dienst an verschiedene Schutzniveaus gekoppelt. Unternehmen, die Dienste anbieten wollen, für die digitale Identitäten notwendig sind – für Mitarbeiter, Partner und Kunden – müssen die Voraussetzungen kennen.
Eine digitale Identität stellt die digitale Repräsentation einer physischen Identität dar. Letztere kann ein Mensch sein, aber auch eine Institution, eine Maschine oder ein Server. Im Gesundheitswesen können z. B. Praxen, Krankenhäuser oder Apotheken eine digitale Identität erhalten. Sie stellt in diesem Kontext eine Sammlung von Attributen in elektronischer Form dar, die eine natürliche oder juristische Person charakterisieren – das können Name, Adresse und Geburtsdatum sein, aber auch Benutzername oder Emailadresse. Eine digitale ID muss eindeutig sein, da sie sonst nicht zuordenbar ist; der Prozess der ursprünglichen Identifizierung wird ins Digitale übertragen– für die Erst-Identifikation benötigt es eine Registrierung; die Wiedererkennung erfolgt durch die Authentifizierung. Aus gesellschaftlicher Perspektive gibt es drei Formen von Identitäten: Echte, selbstkonstruierte und anonyme, wobei Letztere zum Beispiel auf Social Media eine teilweise kontroverse Rolle spielen.
Einsatzmöglichkeiten digitaler Identitäten
Digitale Identitäten sind als Grundlage bzw. digitale Repräsentation für digitale Dienste und Prozesse notwendig. Sie kommen überall dort zum Einsatz, wo digitale Dienste angeboten werden und personalisiert sind, was die Erhebung, Speicherung und Verarbeitung von Daten erfordert. Digitale Dienste haben diverse Ausprägungen – vom Social-Media-Benutzerkonto, über Online-Accounts im E‑Commerce, bis hin zum Online-Banking oder digitalen Behördengängen über eGovernment-Angebote. Wie beim Personalausweis kann der Anwendungsbereich einer digitalen Identität über eine reine Identifikation hinausgehen und zum Beispiel eine Altersprüfung möglich sein.
Die zunehmende Digitalisierung erschließt weitere Einsatzmöglichkeiten einer digitalen Identität: Die europäische eIDAS (Verordnung über elektronische Identifizierung und Vertrauensdienste) schafft hier einheitliche Rahmenbedingungen für die Nutzung elektronischer Identifizierungsmittel und Vertrauensdienste über Grenzen hinweg. 2020 wurde die Überarbeitung der eIDAS-Richtlinie gestartet, sie ist derzeit noch nicht abgeschlossen. Ziel ist es, europaweit ein sicheres EU-Identity-Wallet anzubieten. Die eID ist damit das virtuelle Pendant eines Ausweises. Sie soll eine Identifikation und Authentifizierung ermöglichen, eine Überprüfung der Gültigkeit durch Dritte sowie die sichere Speicherung und Darstellung der Identitäten. Außerdem soll sie es erlauben, qualifizierte elektronische Signaturen zu generieren. Dieses digitale Pendant zur Unterschrift erlaubt auf digitaler Ebene rechtsgültige Vertragsabschlüsse.
Die eIDAS gibt auch vor, dass die EU-Mitgliedstaaten den Bürgern die digitale Identität zur Verfügung stellen müssen; auch die vorgesehene Akzeptanzpflicht kann dazu beitragen, dass andere digitale Identitäten wegfallen. Einkäufe im Ausland oder die Abholung eines Mietwagens könnten damit vereinfacht werden, da die digitale Identität Prozesse effizienter macht. Denn digitale Dienste sind im Vergleich zu analogen Prozessen mit einer Kostenreduktion verbunden; der User profitiert stark von einer einfacheren und bequemeren Handhabung, etwa, wenn sich Behördengänge von zu Hause aus erledigen lassen.
Anders als bei digitalen Identitäten über Google oder Facebook kann durch die Behörden sichergestellt werden, dass der Datenschutz nach DSGVO eingehalten wird. Im Gesundheitswesen sollen digitale Identitäten auf dem Smartphone perspektivisch die elektronische Gesundheitskarte ablösen – aktuell kann dies aber noch nicht realisiert werden.
Sicherheit und Schutz des Users
Ein mögliches Angriffsszenario, das digitale Identitäten in besonderem Maße betrifft, ist der Diebstahl in Form von Impersonation bzw. Identitätsdiebstahl. Das Schadenspotenzial reicht dabei von Hasskommentaren auf Social Media bis zum Zugriff und Missbrauch von persönlichen Daten etwa bei Bankgeschäften oder vertraulichen Gesundheitsdaten. Während der analoge Personalausweis den Missbrauch durch Diebe wegen des darauf abgebildeten Fotos limitiert, sieht der Fall online anders aus. Die digitale Identität muss also besonders geschützt werden. Schutzmaßnahmen können zum Beispiel sichere Passwörter sein oder eine Zweifaktor-Authentifizierung, wie sie bereits im Online-Banking zum Beispiel mit Passwort einerseits und zusätzlicher TAN-Generierung auf einem externen Gerät andererseits stattfindet. Der Hardwaretoken in Smartcards stellt als zertifizierte Ausführung ein Höchstmaß an Sicherheit dar.
Standardisierte Vertrauensniveaus
Das Sicherheitsniveau hängt vom Einsatzzweck der digitalen Identität ab und wird in der Durchführungsverordnung (EU) 2015/1502 geregelt. So liegen zum Beispiel im Online-Banking oder im Gesundheitsbereich besonders sensible, personenbezogene Daten vor, die eines hohen Schutzniveaus bedürfen. Die Verordnung definiert drei standardisierte Vertrauensniveaus: niedrig, substantiell und hoch. Ein niedriger Schutzbedarf entspricht einer Ein-Faktor-Authentifizierung, wie sie in Social Networks oder Foren geläufig ist. Substanziell wird der Schutz durch die bereits genannte Zwei-Faktor-Authentifizierung. Ein hoher Schutz, wenn etwa Gesundheitsdaten betroffen sind, muss allerdings noch stärker abgesichert sein, zum Beispiel mit einem Pass samt Foto und biometrischen Merkmalen. So können Identifizierungen über Video-Ident- oder Post-Identverfahren erfolgen.
Je höher das Sicherheitsniveau, desto komplizierter gestaltet sich allerdings dessen technische Umsetzung. So bringen hochpreisige Smartphones zertifizierte Sicherheitskomponenten mit – während in günstigeren Endgeräten jedoch minderwertigere biometrische Sensoren verbaut werden, die leicht manipulier- oder überbrückbar sind. Sie verfügen also über keine geschützten Speicherbereiche. Smartcards in Gesundheitskarten können dagegen mit ihren Chip-Prozessoren kryptografisches Schlüsselmaterial verwenden und speichern. Damit stellen die dahinterliegenden Infrastrukturen die Echtheit sicher.
Das Zukunftspotenzial digitaler Identitäten
Die Digitalisierung nimmt zu, all ihre Dienste erfordern eine digitale Identität und diese sind bereits weit verbreitet: Im Schnitt hat jeder Bürger 90 digitale Identitäten. Dabei können digitale und analoge Welt verschmelzen, etwa, wenn Zutrittskontrollen in Unternehmen digitalisiert sind und den Nachweis einer digitalen Identität erfordern, oder wenn in Arztpraxen die Gesundheitskarte als ID eingelesen wird. Hier werden Medienbrüche als Hemmnis wahrgenommen, etwa wenn Papierdokumente als Scans bei Krankenkassen eingereicht werden sollen. Digitale Identitäten und die damit mögliche Zuordnung machen die Digitalisierung solcher Prozesse überhaupt erst möglich. Im Bereich eHealth können Ärzte so z. B. Rechnungen und Rezepte digital signieren und versenden.
Unternehmen wiederum können digitale Identitäten in der Breite für Kunden und Mitarbeiter, Endkunden oder Partner nutzen. Damit kann zum Beispiel die Urlaubsbeantragung über ein Portal erfolgen. Nicht zu vernachlässigen sind auch denkbare Anwendungsmöglichkeiten für die Kundenbindung: Denn über digitale Dienste, die Kunden nutzen, lassen sich nicht zuletzt Informationen über deren Verhalten gewinnen – um damit das eigene Angebot besser zuschneiden und optimieren zu können. Dabei müssen sich Unternehmen der verschiedenen Sicherheitsniveaus allerdings zwingend bewusst sein. Nutzerfreundlichkeit ist zwar wichtig – ebenso aber auch der digitale Schutz vor Identitäts- und Datenraub. Ist dieser nicht gewährleistet, können gravierende Auswirkungen die Folgen sein. Ein Beratungsunternehmen wie die SRC GmbH kann hier helfen, Lösungen – kostenpflichtige wie open source – zu beleuchten, Zertifizierungen zu prüfen und die Konformität und damit Rechtssicherheit sicherzustellen.
Fazit
Ohne digitale Identitäten läuft im Internet nichts – digitale Dienste erfordern initial eine Identifikation des Users und für die Weiternutzung eine Authentifizierung zum Beispiel über Passwörter mit zusätzlicher TAN-Generierung im Rahmen von Multifaktor-Verfahren. Von der Art des Dienstes und der dabei genutzten Daten hängen die Erfordernisse an die Sicherheit ab, die über drei Niveaus sichergestellt wird. Unternehmen, die digitale Dienste nutzen wollen, müssen deswegen die Voraussetzungen kennen um die Anwendungspotenziale für Kunden, Partner oder Lieferanten zu nutzen.
___________________________________________________
Autor: Nico Martens, Berater SRC Security Research & Consulting GmbH
Weitere Informationen: https://src-gmbh.de/
Pressekontakt:
Patrick Schulze
WORDFINDER GmbH & CO. KG
Lornsenstraße 128–130
22869 Schenefeld
Tel. +49 (0) 40 840 55 92–18
ps@wordfinderpr.com
www.wordfinderpr.com
Teilgutachten zur Betriebsumgebung von fiskaly signCloud-TSE Instanzen
Seit 2020 ist der Einsatz von zertifizierten Technischen Sicherheitseinrichtungen (TSE) zur Absicherung von Aufzeichnungen in Registrierkassen in Deutschland gesetzlich vorgeschrieben. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Sicherheitsanforderungen an Technischen Sicherheitseinrichtungen veröffentlicht und prüft die Einhaltung dieser zertifizierungsrelevanten Aspekte und Vorgaben durch die TSE-Hersteller. Die Einhaltung der Sicherheitsanforderungen werden durch anerkannte Prüfstellen des BSI bewertet. Bei positivem Prüfungsergebnis zertifiziert das BSI auf Grundlage des Prüfberichts die TSE eines Herstellers.
Nach erteilter Zertifizierung der TSE, muss für die Finanzbehörden zusätzlich nachgewiesen werden, dass der Betrieb einer TSE beim Steuerpflichtigen so erfolgt, dass der zertifizierte Zustand erhalten bleibt.
SRC hat als eine beim BSI anerkannte Prüfstelle das Produkt fiskaly sign Cloud TSE (Version 1.2.0 – 1.0.5) der fiskaly untersucht und das BSI hat hierfür die entsprechenden Zertifikate erteilt. Darüber hinaus hat SRC den Betrieb der fiskaly TSE näher beleuchtet. Die Anforderungen an den Betrieb wurden in intensiver gemeinsamer Zusammenarbeit mit fiskaly analysiert und geprüft. Die Überprüfung der Einhaltung zur Aufrechterhaltung des zertifizierten Zustands konnte für alle von fiskaly im Markt befindlichen o.g. TSE-Versionen durchgeführt werden.
Die Ergebnisse der Prüfung lassen sich in den nachfolgenden Punkten zusammenfassen:
Details sind dem ausführlichen Untersuchungsbericht der SRC zu entnehmen.
Über fiskaly
fiskaly entwickelt innovative SaaS-Infrastruktur und bietet sichere Cloud-Lösungen rund um den Kassenbeleg für Kassenanbieter- und händler in Österreich und Deutschland. Im Bereich der Fiskalisierung betreibt das Unternehmen ein marktführendes Produkt im deutschen Markt, unsere zertifizierte TSE wird bundesweit in einer halben Million Registrierkassen eingesetzt. Mit dem digitalen Kassenbon wurde vor Kurzem ein neues Geschäftssegment eröffnet, die Erschließung neuer europäischer Märkte ist für Ende dieses Jahres geplant.
Gegründet wurde fiskaly 2019 in Wien. Mehr als 50 MitarbeiterInnen in den Büros in Wien, Frankfurt und Berlin tragen zum Erfolg des Unternehmens bei.
fiskaly.com
SRC wird Teil des GEAR (Global Executive Assessor Roundtable)!
PCI SSC und SRC
Das Payment Card Industry Security Standards Council (PCI SSC) ist ein globales Forum, welches Informationssicherheitsstandards für sichere Zahlungen entwickelt und deren Anwendung vorantreibt. Es ist verantwortlich für 15 weltweit anerkannte und verbreitete Standards zur Absicherung von elektronischen Zahlverfahren – von der Zahlkartenproduktion und ‑herausgabe über die Zahlung am Point of Interest oder in Web & App bis hin zur Abwicklung der Zahlungen im Hintergrund. SRC prüft die Nutzung der Informationssicherheitsstandards seit Gründung des PCI SSC im Rahmen entsprechender Audits und Produktprüfungen.
Das PCI SSC legt Wert auf den Austausch zwischen verschiedenen Stakeholdern und nutzt dafür verschiedene Gremien und Aktivitäten. SRC hat sich bisher im Rahmen von Special Interest Groups und Task Forces sowie durch die Teilnahme an Community Meetings und Request for Comment-Phasen beteiligt.
Global Executive Assessor Roundtable
Das PCI SSC gibt seit 2018 im Global Executive Assessor Roundtable (GEAR) erfahrenen Audit-Unternehmen die Möglichkeit, seine obere Führungsebene zu beraten.
Wir freuen uns, dass unser Unternehmen dieses Jahr mit ausgewählt wurde, im Rahmen dieser verantwortungsvollen Mitgliedschaft eine der Schnittstellen zwischen der Führung des PCI SSC selbst und der Führung der Auditierungsgesellschaften zu bekleiden. Hierdurch können wir unsere jahrelange Erfahrung zukünftig auf direktem Wege einbringen.
Die Ernennung gilt für die kommenden zwei Jahre und gibt uns die Möglichkeit, an der Weiterentwicklung von Vorgaben für Audit-Verfahren, neue Schulungsprogramme und Qualifikationsanforderungen zukünftiger Auditierender einflussgebend mitzuwirken. Weitere Aufgabenbereiche der GEAR sind unter anderem, Möglichkeiten zu finden, das Engagement von Auditierenden in aufstrebenden und neuen Märkten zu fördern, und die Fähigkeiten und Fertigkeiten von Auditierenden im Sinne eines Mehrwerts für Zahlungsverkehrs-Unternehmen zu optimieren.
Wir sind stolz, in diesen Kreis aufgenommen worden zu sein, und sehen darin eine Anerkennung unserer bisherigen Leistung und Relevanz auf dem Markt der Zahlungsverkehrssicherheit. Zugleich sind wir uns unserer Verantwortung bewusst, die Stellvertretung für eine große Gemeinschaft an Auditierungsgesellschaften wahrzunehmen, und nehmen dies als zusätzlichen Ansporn für die Zukunft.
Link zum GEAR: https://www.pcisecuritystandards.org/about_us/global_executive_assessor_roundtable/