BSI-Bericht: Gefährdungslage im KRITIS-Bereich

Besuchen Sie uns auf der it-sa 2024!

BSI-Bericht: „Gefährdungslage im KRITIS-Bereich weiterhin auf hohem Niveau“

SECURITY INSIGHTS | 26 Oktober 2020

KRITIS-Betreiber sehen sich sektorübergreifend vor allem DDoS- und Ransomware-Angriffen ausgesetzt. Komplexe DDoS-Attacken auf Banken verursachten Störungen im Zahlungsverkehr. Für die erfolgreiche Abwehr sind Schutzmaßnahmen auf allen relevanten Ebenen nötig.

Haupteingang des Bundesamt für Sicherheit in der Informationstechnik (BSI)

Die Zahl der gemeldeten Sicherheitsvorfälle im Bereich Kritische Infrastrukturen (KRITIS) hat sich deutlich erhöht. Insgesamt wurde das Bundesamt für Sicherheit in der Informationstechnik (BSI) zwischen Juni 2019 und Mai 2020 von KRITIS-Betreibern über 419 Vorfälle informiert. Das sind zwei Drittel mehr als im Vorjahr (252 Meldungen) und fast dreimal so viele wie 2018 (145 Meldungen). Damit liegt die Gefährdungslage im KRITIS-Bereich weiterhin auf hohem Niveau, wie das BSI in seinem jüngsten Lagebericht festhält. Insgesamt bezeichnet die Behörde die Lage der IT-Sicherheit in Deutschland als „angespannt“.

Die meisten KRITIS-Meldungen entfielen im Berichtszeitraum auf den Sektor Gesundheit (134), gefolgt von Informationstechnik und Telekommunikation (75), Energie (73) sowie Finanzen und Versicherungen (65). Weitere Meldungen erhielt das BSI aus den Sektoren Transport und Verkehr (56), Ernährung (9) und Wasser (7).

Vermehrt DDoS-Angriffe auf Finanzsektor

Der Ausfall von IT-Infrastrukturen war laut BSI der häufigste Grund für gemeldete Vorfälle. Zu den Ausfallursachen zählten technisches Versagen, organisatorische Probleme, Störungen externer Dienste, Anwendungs- beziehungsweise Konfigurationsfehler und Cyberangriffe. Bei Letzteren standen sektorübergreifend Distributed-Denial-of-Service-Attacken (DDoS) und Ransomware-Angriffe im Vordergrund.

Beispielsweise führten im ersten Quartal 2020 DDoS-Angriffe auf IT-Infrastrukturen und Online-Dienste von Banken zu Störungen im Zahlungsverkehr. „Es kam an mehreren Tagen zu gezielten Angriffen, in deren Verlauf wechselnde bzw. weiterentwickelte Angriffsmuster zu verzeichnen waren“, heißt es im BSI-Lagebericht. Maßnahmen zur DDoS-Mitigation hätten anfangs nur eine eingeschränkte Wirkung gezeigt. Erst durch Hinzunahme weiterer Maßnahmen, unter anderem gegen Angriffe auf der Netzwerk- und Anwendungsebene sei eine erfolgreiche Abwehr möglich gewesen.

Umfassende DDoS-Abwehr nur mit Layer-7-Schutz

Diese Beobachtungen decken sich mit unseren Erfahrungen: Angreifer kombinieren während einer DDoS-Attacke häufig mehrere Methoden, um Systemressourcen oder Netzwerkbandbreiten zu überlasten. Um möglichst alle Angriffe erfolgreich erkennen und abwehren zu können, sind DDoS-Schutzlösungen erforderlich, die den Traffic nicht nur auf der Vermittlungs- und Transportschicht (Layer 3 und 4) filtern, sondern auch auf der Anwendungsebene (Layer 7). Denn Attacken auf Layer 7 werden von Schutzsystemen für Layer 3 und 4 nicht bemerkt, weil diese beispielsweise keinen Unterschied zwischen einer schädlichen HTTP-Anfrage und einem validen Download erkennen.

Funktionsweise wie DDoS Angriffe abgewehrt werden

In der Praxis zeigt sich, dass der Layer-7-Schutz oft vernachlässigt wird, wenn ein Schutz auf Layer 3 (IP) und 4 (TCP/UDP) besteht. Vor allem Angriffe, die auf das Abgreifen vertraulicher Daten abzielen, lassen sich jedoch nur durch einen ganzheitlichen Layer-7-Schutz erkennen und abwehren.

Laut BSI-Gesetz sind KRITIS-Betreiber verpflichtet, angemessene Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit informationstechnischer Systeme, Komponenten und Prozesse nach dem „Stand der Technik“ zu treffen. Das schließt umfassenden DDoS-Schutz auf allen relevanten Ebenen mit ein. Myra DDoS Website Protection und Myra DDoS BGP Protection gemeinsam bieten diesen Komplettschutz.

Myra DDoS Protection schützt vollautomatisiert

Der Myra DDoS Schutz sichert Internetseiten, Web-Applikationen und APIs auf Layer 7 vollumfänglich und ab dem ersten Zugriff. Dank hundertprozentiger Traffic-Sichtbarkeit ermöglicht Myra ein intelligentes Load-Balancing sowie Site Failover mit hoher Zuverlässigkeit und minimalen Antwortzeiten.

Die Myra DDoS BGP Protection schützt IT-Infrastrukturen vor volumetrischen Angriffen auf der Vermittlungs- und Transportschicht (Layer 3 und 4). Über das automatische Flow-Monitoring sind detaillierte Traffic-Analysen möglich. Die Umschaltung von betroffenen Netzen erfolgt im Angriffsfall vollautomatisch.