Die Gesellschaft braucht die Wirtschaft, die Wirtschaft die Finanzbranche und die Finanzbranche die IT. Ohne Informationstechnik geht nichts (mehr). Der Wirtschaftskreislauf kommt zum Erliegen. Vor allem die Kernprozesse der IT werden daher aufwändig geschützt und überwacht. Aber setzt ein Security-Check hier an den richtigen Stellen an? Werden möglichst alle Eventualitäten berücksichtigt? Welche Risiken das komplexe Zusammenspiel zwischen IT-Welt und den klassischen Geschäftsprozessen einer Bank birgt, kann nun mittels Modellbildung und neuartigen Simulationen aufgezeigt werden.

Es sind Ereignisse, die die Grundfeste einer Bank nicht wirklich erschüttern können, trotzdem aber Signalwirkung haben: Im September 2015 fielen sämtliche Bankautomaten der Sparkassen-Gruppe in Baden-Württemberg, der Rheinland-Pfalz, dem Saarland, Bremen und dem Rheinland aus. Geld abzuheben war über mehrere Stunden nicht möglich. Genau wie der Abruf der Kontoauszüge. Gleichzeitig waren Filialen für ihre Kunden auch nicht telefonisch erreichbar. Und zwar all diejenigen, die über das Voice-over-IP-System kommunizierten, das im selben Rechenzentrum gehostet wurde wie die Services der Geldautomaten.

Obwohl die beiden Ereignisse unterschiedliche, voneinander unabhängige IT-Dienste betreffen, hatten sie dennoch eine gemeinsame Ursache: Beim Rechenzentrumsdienstleister trat ein Problem mit dem Routing der Datenpakete auf, das zu einem Ausfall der Basiskommunikation führte. Gleichzeitig im primären wie im Spiegelrechenzentrum. »Das Beispiel zeigt, wie durch Abhängigkeiten in der IT-Infrastruktur eine Kaskade von Störungen entlang der Geschäftsprozesse entstehen kann, die schlussendlich zum Ausfall mehrerer als unabhängig voneinander geplanter Dienste führen kann«, erklärt Dr. Jürgen Großmann vom Fraunhofer-Institut für Offene Kommunikationssysteme FOKUS. Die beiden Ereignisse hatten selbst im Zusammenwirken zum Glück nur ein geringes Schadenspotenzial. Der Vorfall aber belege die grundsätzliche Gefahr, bisher unerkannter Abhängigkeiten sowohl zwischen den vielfältigen IT-Systemen untereinander als auch im Zusammenspiel mit den klassischen Geschäftsprozessen in der Zentrale und den Niederlassungen einer Bank. »Das zeigt uns zwei Dinge«, erklärt Großmann. «Zum einen können einzelne Störungen in der IT-Infrastruktur oder die Folgen eines Cyber-Angriffs weit mehr Schaden anrichten als bislang vermutet. Und zum anderen können die Beeinträchtigung der Kommunikationsinfrastruktur auch die Behebung des Schadens deutlich erschweren.« Wären bei solchen Störungskaskaden Systeme der Kernprozesse einer Bank, wie Geldtransfer, Kontenverwaltung oder Aktien- und Kreditgeschäfte beteiligt, würden die Schadenspotenziale also schnell erhebliche Ausmaße annehmen.

Komplexe Verzahnung transparent machen

Noch ist das Risikomanagement der Banken nur unzureichend dazu in der Lage, die verdeckten Abhängigkeiten ihrer IT-Infrastrukturen zu berücksichtigen. Aktuelle Maßnahmen zum Schutz von Sicherheit und Zuverlässigkeit der IT-Systeme sind in der Regel auf einzelne funktionale Bereiche der Geschäfts- und IT-Welt (sogenannte »funktionale Silos«) fokussiert. »Was derzeit schlicht noch fehlt, sind Methoden und Werkzeuge, die es ermöglichen die Komplexität über die gesamte IT-Infrastruktur und entlang der gesamten Wertschöpfungsprozesse einer Bank auf Abhängigkeiten hin analysieren zu können«, betont Großmann.

Das vom Bundesministerium für Bildung und Forschung geförderte Projekt »PREVENT« hat sich daher zum Ziel gesetzt, ein Framework aufzubauen, das die Abhängigkeiten zwischen IT- und Geschäftsprozessen transparent machen kann und die daraus sich ergebenden Risiken bewertbar macht. Unter wissenschaftlicher Leitung von Fraunhofer FOKUS arbeiten die Projektpartner Wincor Nixdorf, xiv-consult und die Unicredit Bank an Verfahren, mit denen sich gezielt die sicherheitskritischen Verknüpfungen in einem Modell abbilden lassen. Basis dafür ist eine einheitliche Formalsprache, in die sich die technischen Gegebenheiten von IT-Infrastruktur und IT-Betrieb ebenso übersetzen lassen, wie die organisatorischen Abläufe der einzelnen Geschäftsprozesse.

Vom Risikomodell zum Risikomanagement

Die Abbildung von Gesamtorganisation und Prozessvielfalt in einer gemeinsamen Modellierungsumgebung schafft die Grundlage zur Erstellung von Lagebildern zur Risikosituation. Die Analysetools von PREVENT beschränken sich dabei nicht auf die Auswertung des Ist-Zustands. Sie berücksichtigen auch den Input von speziellen echtzeitfähigen Risikoindikatoren. »Solche Indikatoren spiegeln zum Beispiel den aktuellen Systemstatus wider. Oder sie zeigen die aktuelle Gefährdungssituation innerhalb des eigenen Systems und im Internet«, sagt Großmann. Die kontinuierlich erstellten Risikolagebilder geben dem Management schließlich das notwendige Wissen an die Hand, um im Risikomanagement Entscheidungen auf der Grundlage situationsgerechter Bewertungen treffen zu können.

Risiken vorausschauend bewältigen

Das laufende Monitoring der Risiken lässt sich zudem für die Gefahrenfrüherkennung nutzen. Bei Überschreiten gewisser Schwellenwerte in den Lagebildern können so präventiv Gegenmaßnahmen eingeleitet werden. Zusätzlich entwickeln die Projektpartner eine Simulationsumgebung, die nahtlos an die Modelle der Risikoermittlung angebunden ist. Ereignisse wie der Routingfehler im obigen Schadensbeispiel können so in der konkreten Modellumgebung eines Rechenzentrums simuliert werden. Im Rahmen der Simulationen lassen sich entsprechende Maßnahmen zur Risikovermeidung vorab testen oder Strategien zur Verringerung der Folgen bestimmter Risiken entwickeln. »Durch Simulation verschiedener Angriffsszenarien lassen sich zudem unterschiedliche Netzwerkarchitekturen auf ihre Widerstandsfähigkeit gegenüber Cyber-Angriffen testen«, so Großmann.

Die erste Hälfte des noch bis Ende 2017 laufenden Projekts nutzten die Partner zur Entwicklung der grundlegenden Modellbildung und Simulationsverfahren. Aktuell werden diese in Werkzeuge überführt. Mit den lauffähigen Softwareprototypen startet danach eine erste Evaluierungsphase und weitere Verbesserungsprozesse. (stw)

Keine Kommentare vorhanden

Das Kommentarfeld darf nicht leer sein
Bitte einen Namen angeben
Bitte valide E-Mail-Adresse angeben
Sicherheits-Check:
Drei + = 7
Bitte Zahl eintragen!
image description
Experte
Alle anzeigen
Dr.-Ing. Jürgen Großmann
  • Fraunhofer-Institut für Offene Kommunikationssysteme FOKUS
Weitere Artikel
Alle anzeigen
Normal oder anomal, das ist hier die Frage
Die Suche im digitalen Heuhaufen
Produktion blind vernetzt
Stellenangebote
Alle anzeigen