Von der Zettelwirtschaft zur digitalen Meisterschaft Die öffentliche Hand zwischen Sicherheit und Usability

Anbieter zum Thema

Detecon International GmbH

Fsas Technologies GmbH

Hyland Software Germany GmbH

Cloudgermany.de GmbH

Die Corona-Pandemie hat die Defizite der digitalen Transformation im öffentlichen Sektor deutlich zu Tage befördert. Träge analoge (manuelle) Prozesse und geschlossene Bürgerämter in Zeiten des Lockdowns haben gezeigt, wie notwendig es ist, die Digitalisierung der öffentlichen Hand voranzutreiben.

Cloud Computing kann dabei helfen, indem IT-Dienstleistungen on Demand, schnell, passgenau, kostengünstig und mit minimalem Verwaltungsaufwand bereitgestellt werden. Gleichzeitig lassen sich Widerstands- und Leistungsfähigkeit mit einer klaren IT-Sicherheitsstrategie so austarieren, dass sensible Informationen stets geschützt sind. Damit können Cloud-Technologien einen wichtigen Beitrag dazu leisten, die digitale Transformation in Deutschland zu beschleunigen.

Obgleich der Ausbau einer entsprechenden Infrastruktur in vielen Branchen bereits an Tempo gewinnt, werden Cloud-Technologien in öffentlichen Institutionen bisher nur sehr zögerlich und heterogen genutzt. Ein Positionspapier der 16 Bundesländer aus dem vergangenen Jahr soll dies nun ändern. Die Länder fordern den Bund darin dazu auf, das Thema Cloud-Lösungen in öffentlichen Verwaltungen zu forcieren. Ein Grund für den Vorstoß: Ein verstärkter Sicherheitsbedarf. Denn öffentliche Einrichtungen sind ein beliebtes Ziel von Cyber-Kriminellen.

Öffentliche Verwaltungen als beliebtes Ziel von Cyberattacken

Ob öffentliche Verwaltung oder Privatwirtschaft – die Hindernisse und die Herausforderungen sind dieselben. Der größte Unterschied besteht in den Security-Ressourcen, die jeweils zur Verfügung stehen. Während Ämter wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder auch das Bundeskriminalamt (BKA) die Expertise sowie die finanziellen Mittel besitzen, sieht es bei Kommunen gänzlich anders aus.

Dabei sind öffentliche Institutionen ein besonders interessantes und lohnendes Angriffsziel. Denn ist die öffentlich Daseinsvorsorge betroffen, können die Folgen verheerend sein. Ausgefallene Ampeln im Straßenverkehr, Krankenhäuser, die nur noch mittels eines Notstromaggregats laufen – die vorstellbaren Szenarien sind erschreckend und vielfältig.

Ganz aktuell hat die Bundesinnenministerin angekündigt, in Abstimmung mit Kabinettskollegen durch eine neue Cybersicherheitsagenda genau diese Strukturen anzupassen und die äußere wie innere Sicherheit insgesamt zu betrachten. Die Cybersicherheitsagenda der nächsten Jahre soll präzisiert und erhebliche Mittel dazu bereitgestellt werden. Das Ziel: Strukturen verändern, angemessene Fähigkeiten der Gefahrenabwehr schaffen und Cybercrime aktiv bekämpfen.

Was ist zu schützen?

Mit fortschreitender digitaler Transformation auch in der öffentlichen Verwaltung nimmt die „Cloudification“ zu. Angemessener Schutz der digitalen Infrastruktur auch bei Einsatz des Cloud-Computings bedeutet weiterhin, dass jeder für die angemessene IT-Sicherheit zuständig ist, wenn er IT betreibt oder – ausgelagert – für sich betreiben lässt.

Auch der Datenschutz ist weiterhin sehr relevant für den Weg in die Cloud. Öffentliche Institutionen arbeiten in einem Umfang mit personenbezogenen Daten, wie man ihn sonst nur von Big-Data-Unternehmen der freien Wirtschaft kennt: Sie sammeln und verarbeiten sowohl Kontaktdaten als auch sensible Informationen, die Aufschluss über Wohnort, Beruf, Einkommen und Familienstand von Personen geben. Einige Informationen, wie Ausweis- oder Identifikationsnummern, haben zudem kein „Verfallsdatum“ und können nicht gesperrt werden.

Die DSGVO regelt explizit die Datenverarbeitung im Rahmen öffentlich-hoheitlicher Aufgaben, zieht aber auch die Grenzen bei der Drittstaatenübermittlung. Auch hier ist nicht „nur“ der Einzelfall der Betroffenen bei einer Datenpanne, sondern die Gesamtsicht des Landes und der Bundesrepublik zu erwägen. Cloud Security ist damit ein Must-have zur Aufrechterhaltung unserer Wettbewerbsfähigkeit durch Effizienz im IT-Betrieb der Wirtschaft sowie der öffentlichen Verwaltung – und gleichzeitig ein Beitrag zum Schutz unserer Kritischen Infrastrukturen.

Wie anfällig die Kritische Infrastruktur für Hackerangriffe speziell im Energiesektor ist, bezifferte die Bundesregierung, als sie im vergangenen Herbst auf eine kleine Anfrage der FDP antwortete. So erfasste das BSI kontinuierlich mehr erfolgreiche Cyberattacken – vier im Jahr 2018, über zehn in 2019 und 26 bis November 2020. Spätestens seit der Invasion Russlands in der Ukraine ist die Gefahr auch für Europa weiter gestiegen. Kraftwerke und Netze stehen exemplarisch für das mögliche Schadenspotenzial, das sich massiv auf Wirtschaft und Gesellschaft auswirken würde.

Erhebliche Reduzierung von Kosten und Komplexität

Da kommunale Einrichtungen und Behörden der öffentlichen Sicherheit oft begrenzte Budgets zur Verfügung haben, arbeiten viele von ihnen nach wie vor mit veralteter Software und unzeitgemäßen IT-Infrastrukturen. Das kann Sicherheitslücken zusätzlich begünstigen. Die übergreifende Umsetzung von Cyber-Sicherheitsmaßnahmen erscheint daher sehr herausfordernd. Doch die gute Nachricht ist: In der Zwischenzeit wurden erhebliche technologische Fortschritte erzielt, sodass Kosten und Komplexität durch die Cloudification öffentlicher Institutionen erheblich reduziert und die Sicherheit der Daten gewährleistet werden können.

Rechtliche Vorgaben, papierbasierte Prozesse und verkrustete Strukturen erschweren die digitale Transformation in der öffentlichen Verwaltung. Wer darf Zugang zu welchen Daten haben und wer ist für was zuständig? Natürlich stellen sich auch Unternehmen diese Fragen, aber gerade in Behörden, die mit sensiblen Daten zu tun haben, können sie zur großen Herausforderung werden.

Moderne Cloud-Lösungen sind gut geeignet, Anwendungen und Daten mit erhöhtem Schutzbedarf sicher zu speichern. Zudem ermöglichen sie eine einfachere behördenübergreifende Zusammenarbeit, indem der Zugriff auf Daten auf Basis der Schutzprinzipien von „Need to know“ oder sogar „Need to use“ gestattet wird. Die kooperierenden Stellen, die ihre eigenen Daten teilen, übernehmen die Kontrolle darüber, was genau sie aus ihren Systemen den Empfängern zur Verfügung stellen. So wird sichergestellt, dass die Daten gefiltert und anonymisiert sind. Der Ansatz, eine Vielzahl von Akteuren mit entsprechenden Einschränkungen zuzulassen, garantiert Sicherheit auf mehreren Ebenen.

Mithilfe der Cloud kann die Verwaltung eine Kollaboration nach den Sicherheitsbestimmungen der jeweiligen Behörde und über die Silos hinweg aufbauen. Um Dienstleistungen auch über das Internet anbieten zu können, muss sie ihre Prozesse anpassen und neue Regeln für ein intelligentes Dokumentenmanagement entwickeln. Nur so kann sie mit den gesellschaftlichen Veränderungen tatsächlich Schritt halten und den Erwartungen der Bürgerinnen und Bürger nach schnellen Antwortzeiten und ortsunabhängigen 24/7-Standardprozessen entsprechen.

Neben den technischen Hürden ist der Faktor Mensch entscheidend, denn die beste Technologie hilft nichts, wenn Nutzer sich ihrer nicht bedienen. Die Mitarbeitenden müssen entsprechend geschult werden und es braucht das passende Mindset, damit die Digitalisierung gelingen kann.

Nicht nur fordern, sondern tun!

Im Wettstreit der Systeme räumen wir in Europa im Vergleich zu den datengetriebenen USA und dem technologisch führenden China, dem individuellen Datenschutz den weitaus höchsten Wert ein. Daher verläuft die Implementierung von Cloud-Prozessen in den USA oder China vergleichsweise schnell und reibungslos, während Europa sich mit guten Vorsätzen, aber eher komplexen Lösungen und Regularien und dem Aufbau eigener Alternativen, wie bei Gaia-X, beschäftigt.

In Europa rücken vor allem Fragen nach der Erfassung und Nutzung der Daten in den Vordergrund. So landet man schnell bei Diskussionen um Videoüberwachung, Vorratsdatenspeicherung und Co. Die dahinterstehende Grundfrage ist eine sehr wichtige und lautet: Welche dieser Daten sind von öffentlichem Interesse und können im Kontext der Cloudification genutzt werden? Erste Anhaltspunkte dafür liefert der Kriterienkatalog Cloud Computing C5 des BSI, der Mindestanforderungen an ein sicheres Cloud Computing spezifiziert und sich in erster Linie an professionelle Cloud-Anbieter, deren Prüfer und Kunden richtet.

Hier steht die Grundrechtsabwägung von Freiheit und Sicherheit gegenüber Effizienz und Usability in der Cloud, deren Aushandlung essenziell für die Demokratien (in Europa) ist. Trotzdem ist es wichtig, endlich weg von überdimensionierten Anforderungsdokumenten hin zu den echten Anwendungsfällen zu kommen. Denn die Nutzung der Cloud bietet ein großes Potenzial bei der Digitalisierung öffentlicher Institutionen und damit auch zur schnellen und flexiblen Skalierung von staatlichen Dienstleistungen. Diese sollten genutzt werden, um die Digitalisierung voranzutreiben, anstatt darauf zu warten, dass ein Cyberangriff nicht mehr nur einzelne Kommunen, sondern etwa unsere gesamte Energieversorgung lahmlegt.

(ID:48544184)