Was sind IDS/IPS und Systeme zur Angriffserkennung?
IDS überwachen und melden mögliche Angriffe; IPS können zusätzlich eingreifen. Systeme zur Angriffserkennung nach dem BSIG sind technisch und organisatorisch eingebundene Prozesse mit gesetzlich bestimmten Merkmalen.
Der Normwortlaut
Betreiber kritischer Anlagen sind verpflichtet, für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, Systeme zur Angriffserkennung einzusetzen. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen. Dabei soll der Stand der Technik eingehalten werden. Der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen.
Amtliche Fundstelle: § 31 Absatz 2 BSIG. Die ersten beiden Sätze enthalten Verpflichtungen („sind verpflichtet“, „müssen“). Die folgenden Anforderungen sind Soll-Vorgaben („sollten“, „soll“); auch die Verhältnismäßigkeit des Aufwands ist als Soll-Vorgabe formuliert.
Wie unterscheiden sich IDS und IPS?
Technisch überwacht und analysiert ein Intrusion Detection System Ereignisse auf mögliche Sicherheitsvorfälle. Ein Intrusion Prevention System besitzt zusätzlich Präventionsfähigkeiten und kann versuchen, als schädlich eingestufte Aktivitäten zu stoppen. Das garantiert weder eine vollständige Erkennung noch eine fehlerfreie Blockierung.
Was bedeutet „System zur Angriffserkennung“ im BSIG?
Nach § 2 Nummer 41 BSIG handelt es sich um technisch und organisatorisch eingebundene Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme. Die Erkennung erfolgt durch den Abgleich verarbeiteter Daten mit Informationen und technischen Mustern, die auf Angriffe hindeuten. Das ist eine Legaldefinition und keine bestimmte Produktklasse. Die Aussage, welche Produkte oder Ausgestaltungen im Einzelfall genügen, wird hier nicht auf eine behauptete Behördenpraxis gestützt.
Für wen gilt die Einsatzpflicht nach § 31 Absatz 2 BSIG?
Sie gilt für Betreiber kritischer Anlagen und nur hinsichtlich der informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit ihrer kritischen Anlage maßgeblich sind. Nach § 2 Nummer 22 BSIG richtet sich der Begriff der kritischen Anlage nach dem KRITIS-Dachgesetz. Dort ist sie als eine für die Erbringung einer kritischen Dienstleistung erhebliche Anlage definiert; Betreiber ist, wer unter den gesetzlichen Voraussetzungen bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt. Außerhalb dieses persönlichen und sachlichen Bereichs begründet § 31 Absatz 2 BSIG keine allgemeine IDS/IPS-Einsatzpflicht.
Was löst die Pflicht aus?
Auslöser ist nicht erst ein erkannter Angriff. Entscheidend sind der Betrieb einer kritischen Anlage und der funktionsmaßgebliche Bezug der betroffenen IT-Systeme, Komponenten oder Prozesse. Die eingesetzten Systeme müssen danach geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten.
Welche Fristen und Schwellenwerte gelten?
§ 31 Absatz 2 BSIG enthält weder eine eigene Umsetzungsfrist noch einen numerischen IDS/IPS-Schwellenwert. Voraussetzungen oder Schwellen für die Einordnung einer Anlage als kritisch können sich aus anderen Regelungen ergeben; sie sind keine allgemeine Schwelle der Einsatzpflicht aus § 31 Absatz 2 BSIG.
Welche technischen Arten von IDS und IPS gibt es?
NIST SP 800-94 unterscheidet netzwerkbasierte, hostbasierte, funkbasierte und netzwerkverhaltensanalysierende IDPS. Ihre Wirksamkeit hängt unter anderem von Sensorabdeckung, Datenqualität, gepflegten Erkennungsregeln und einer organisierten Alarmbearbeitung ab. Diese Taxonomie stammt aus der Finalpublikation von 2007; sie ist weder eine gesetzliche Klassifikation noch eine Erfüllungsvermutung für das BSIG.
Welche Grenzen haben die Systeme?
Fehlende Sensorabdeckung oder Telemetrie kann Angriffe unsichtbar machen. Erkennungslogik kann Fehlalarme erzeugen oder Angriffe übersehen. IPS-Blockierungen können wegen Fehlklassifikationen legitimen Verkehr und den Betrieb beeinträchtigen. Solche technischen Grenzen schaffen keine gesetzliche Ausnahme von § 31 Absatz 2 BSIG.
Häufige Fehlannahmen
- „Jede Organisation muss ein IDS oder IPS einsetzen.“ Nein. Die besondere Pflicht aus § 31 Absatz 2 BSIG ist auf Betreiber kritischer Anlagen und deren funktionsmaßgebliche IT begrenzt.
- „Ein Produkt mit der Bezeichnung IDS erfüllt automatisch das BSIG.“ Nein. Maßgeblich sind die gesetzlichen Merkmale einschließlich organisatorischer Einbindung und des beschriebenen Datenabgleichs.
- „Die Pflicht beginnt erst nach einem Angriff.“ Nein. Sie knüpft an Betreiberstatus und Funktionsmaßgeblichkeit an.
- „Alle Sätze des § 31 Absatz 2 sind Muss-Vorgaben.“ Nein. Einsatz sowie kontinuierliche und automatische Erfassung und Auswertung sind verpflichtend; die weiteren Eigenschaften, der Stand der Technik und die Verhältnismäßigkeit sind als Soll-Vorgaben formuliert.
- „Ein IPS blockiert immer richtig.“ Nein. Fehlklassifikationen können legitimen Verkehr beeinträchtigen; Präventionsfunktionen müssen zum Betriebsrisiko passen.
Was die Geschäftsleitung tun sollte
- Dokumentieren lassen, welche IT-Systeme, Komponenten und Prozesse für die Funktionsfähigkeit einer betriebenen kritischen Anlage maßgeblich sind.
- Geeignete Datenquellen und Sensoren festlegen und nachweisen lassen, dass Betriebsparameter und -merkmale kontinuierlich und automatisch erfasst und ausgewertet werden.
- Alarmtriage, Zuständigkeiten und Eskalationswege organisieren sowie Erkennungsregeln regelmäßig pflegen lassen.
- IPS-Präventionsfunktionen vor der produktiven Aktivierung auf Fehlklassifikationen und Auswirkungen auf den Geschäftsbetrieb testen.
- Bei der Ausgestaltung Bedrohungsidentifikation, Vermeidung, Beseitigungsmaßnahmen, Stand der Technik und die gesetzliche Verhältnismäßigkeitsgrenze berücksichtigen.
Dies sind Praxisempfehlungen. § 31 Absatz 2 BSIG adressiert unmittelbar den Betreiber kritischer Anlagen und begründet keine zusätzliche, ausdrücklich an die Geschäftsleitung gerichtete Einzelpflicht.
Für die Geschäftsleitung
Zuerst ist belastbar festzustellen, ob eine kritische Anlage betrieben wird und welche IT dafür funktionsmaßgeblich ist. Für diesen Bereich sind Einsatz sowie kontinuierliche und automatische Datenerfassung und -auswertung nachzuweisen. Die Entscheidung über Sensorik, Alarmprozesse und Präventionsfunktionen sollte dokumentiert, risikobasiert getestet und unter Beachtung der Soll-Vorgaben sowie der Verhältnismäßigkeit fortlaufend überprüft werden.
Quellen
- BSIG, § 2 Nummern 22 und 41 – amtliche Begriffsbestimmungen.
- BSIG, § 31 Absatz 2 – amtlicher Wortlaut der besonderen Einsatz- und Betriebsanforderungen.
- KRITIS-Dachgesetz, § 2 Nummern 1 und 3 – amtliche Begriffe „Betreiber“ und „kritische Anlage“.
- NIST Special Publication 800-94 – autoritative technische Einordnung von IDPS, Finalpublikation 2007.
