Ein neuer Stern am InfoSec Himmel wurde entdeckt, Experten nennen ihn „Authentizität“. In der NIS2 Richtlinie 2022/2555 wird neben den seit Jahren etablierten InfoSec Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit auch die Authentizität verpflichtend gefordert. Diese Neuerung erfordert von NIS2-betroffenen Unternehmen eine Erweiterung ihres Risikomanagements, insbesondere im Kontext der ISO 27001-Zertifizierung.
Was bedeutet “Authentizität” aber für die Informationssicherheit?
Es geht darum, dass Daten vor der Verarbeitung geprüft werden, ob diese von einer authentischen (gemäß Duden: „echt; den Tatsachen entsprechend und daher glaubwürdig“) Quelle stammen und diese unverändert sind. Gleichzeitig müssen Systeme auch sicherstellen, dass übermittelte Informationen und ausgelöste Aktionen zuverlässig von einem überprüfbaren Kommunikationspartner stammen und dieser Nachweis auch zu einem späteren Zeitpunkt prüfbar bleibt.
In der Praxis gelingt die Sicherstellung von Authentizität mit einer klassischen HTTP/TLS Verschlüsselung nicht, da beliebige Connected Devices eine verschlüsselte Verbindung aufbauen und bspw. sensible Sensordaten übermitteln können. Die Protokollierung der IP-Adresse des Senders als Identitätsmachweis ist ebenfalls unzureichend, da IP-Adressen sehr einfach gefälscht werden können.
Je nach Risikobewertung werden daher zukünftig im IoT-Umfeld übermittelte Daten mit einer kryptographischen Signatur unterzeichnen müssen, oder sich mit individuellen Passwörtern oder kryptografischen Zertifikaten an APIs authentisieren müssen. Egal ob mit individuellen Passwörtern je Endpoint oder sicheren Endpoint-Zertifikaten – diese Sicherheitsattribute müssen lese- und kopiergeschützt auf allen Endpoints abgelegt sein.
Hausausforderungen und Lösungsansätze
Ein wesentlicher Aspekt der Authentizität ist die Absicherung von IoT- und vernetzten Systemen. Hier greifen bisherige Methoden wie IP-Adress-Protokollierung oder TLS nicht ausreichend, da IP-Adressen gefälscht werden können und eine verschlüsselte Verbindung allein keine Aussage über die Echtheit des Senders trifft.
Lösungsansätze für eine verbesserte Authentizität umfassen:
- Kryptografische Signaturen für übermittelte Daten.
- Individuelle Zugangsdaten oder Zertifikate zur Authentifizierung an APIs.
- Fälschungssichere Speicherung von Sicherheitsattributen auf Endpoints.
Konkrete Auswirkung der Authentizitätsverpflichtung
Die Einführung von Authentizität als Schutzziel führt zu weitreichenden Anpassungen in der IT-Sicherheitsstrategie:
- Verpflichtende Authentifizierung von Personen und Endpoints: Beispielsweise durch Biometrie, Multi-Faktor-Authentisierung (MFA) oder Zertifikats-basierte Verfahren.
- Sicherstellung der Datenintegrität während der Übertragung: Etwas durch digitale Signaturen oder Ende-zu-Ende Verschlüsselung mit Client-Zertifikaten.
- Nachweisbare Authentizitätsprüfung: Beispielsweise durch eine Signaturvalidierung, bevor Daten oder Befehle akzeptiert werden.
- Protokollierung der Authentizitätsprüfung: Für eine spätere Nachvollziehbarkeit und Compliance-Erfüllung.
Schlussfolgerung
Mit der NIS2-Richtlinie rückt Authentizität als neues Schutzziel in den Mittelpunkt der Informationssicherheit. Unternehmen müssen ihre Sicherheitsarchitektur entsprechend anpassen, um sicherzustellen, dass Daten und Kommunikationspartner zweifelsfrei identifiziert werden können. Nur so kann ein hoher Schutzstandard aufrechterhalten und regulatorische Anforderungen erfüllt werden.
