Connect with us

Datenschutz & Sicherheit

Douglas Adams würde NIS2 lieben


Vom viel zu früh verstorbenen Science-Fiction-Autor Douglas Adams stammt das Zitat: „Ich liebe Deadlines. Ich mag dieses Rauschen, das sie im Vorbeiflug erzeugen.“ Tausende deutsche Unternehmen hatten wohl eher die Rauschunterdrückung aktiviert, als am 6. März 2026 die Registrierungsfrist für NIS2-Einrichtungen verstrichen ist: Bis zu diesem Datum, drei Monate nach Inkrafttreten des zugrundeliegenden Gesetzes, sollten sich alle „wichtigen“ und „besonders wichtigen“ Einrichtungen beim gemeinsamen Portal der Bundesämter für Sicherheit in der Informationstechnik (BSI) und für Bevölkerungsschutz und Katastrophenhilfe (BBK) angemeldet haben. Etwa 11.500 Behörden, Unternehmen und andere kritische Einrichtungen sind jetzt registriert – von der Feststellung einer lückenlosen Pflichterfüllung der ungefähr 30.000 zu registrierenden Unternehmen ist man also weit entfernt.

Weiterlesen nach der Anzeige


Ulrich Plate

Ulrich Plate

Ulrich Plate ist Berater für Informationssicherheit bei der nGENn GmbH und Leiter der Kompetenzgruppe Kritische Infrastruktur des Verbands der Internetwirtschaft eco e. V.

Woran mag es liegen, dass so wenige bisher die Registrierung geschafft haben? Ist das Verfahren zur Registrierung vielleicht zu kompliziert? Das zumindest hört man gelegentlich von denen, die es schon versucht haben, im Ablauf aber stecken geblieben sind. Bei der Einrichtung des für die Teilnahme an der BSI-Plattform erforderlichen Unternehmenskontos wird schon zu Beginn der Nachweis einer Vertretungsberechtigung verlangt – logisch, aber dazu muss zunächst ein ELSTER-Organisationszertifikat beantragt werden, das per Post ans Unternehmen versandt wird. Kein Problem, aber sicher zeitaufwändiger, als viele es sich vorgestellt haben. Dabei hat die Behörde sich sogar besonders viel Mühe gegeben, den Weg in die Registrierung zu ebnen: Eine Schritt-für-Schritt-Anleitung, die das BSI am Portaleingang bereitstellt, lässt kaum Fragen offen.

Wenn dann der Zugang zum Portal erfolgreich eingerichtet ist, verlangt die Registrierung allerdings auch Angaben, die vielleicht nicht sofort zur Hand sind – der öffentliche IP-Adressraum zum Beispiel, der zu den obligatorischen Basisinformationen für jedes registrierte Unternehmen gehört. Sinn der Sache ist es, dem BSI ein Monitoring von ungewöhnlichem Datenverkehr und auch Portscans zu ermöglichen, um unabhängig von der firmeninternen Überwachung des Netzwerks von der Behörde Warnhinweise über potenzielle Vorfälle zu erhalten. Für Anbieter digitaler Dienste sind diese Angaben auch auf die IP-Adressen in ihrem Kundensegment auszudehnen, nicht nur auf den Adressraum der eigenen Einrichtung.

Auch wenn die Registrierung selbst also nicht ganz trivial ist, sind es bei vielen Unternehmen gar nicht die formalen Voraussetzungen, die sie an einer termingerechten Anmeldung hindern. Woran es offensichtlich mangelt, ist eher die Erkenntnis – oder Anerkennung – der eigenen Betroffenheit. Aus zahllosen Gesprächen mit Geschäftsführungen, IT-Leitungen und anderen Entscheidungsträgern ist bekannt, dass viele immer noch verunsichert sind, welche Kriterien bezüglich der NIS2-Relevanz ihrer spezifischen Geschäftstätigkeit gelten. Und nicht nur das: Selbst größere Unternehmensgruppen unterschätzen, dass beispielsweise eine separate Konzerngesellschaft mit den ausgelagerten IT-Diensten für die übrigen Gruppenunternehmen auch für sich allein betrachtet unter die Regulierung fallen kann. Hierbei handelt es sich nämlich um einen sogenannten Managed Services Provider, sofern die Schwellen der Mitarbeiteranzahl oder Umsätze überschritten sind.

Tatsächlich gibt es Grenzfälle, bei denen es ohne Rechtsgutachten kaum gelingt, die wichtigste Frage zu beantworten: Sind wir als Unternehmen im Anwendungsbereich des Gesetzes oder nicht? Wenn im verarbeitenden Gewerbe etwa unklar bleibt, ob die in der NIS2-Richtlinie der EU aufgeführten – und im deutschen BSI-Gesetz Wort für Wort identischen – Produkt- und Dienstleistungskategorien den eigenen Betrieb zutreffend beschreiben, ist eine gewisse Ratlosigkeit verständlich. Unter diesen Bedingungen aber auf die Registrierung zu verzichten oder erst einmal abzuwarten, ist nicht zu empfehlen.

Weiterlesen nach der Anzeige

Umgekehrt gibt es auch Unternehmen, die sich freiwillig und vorsorglich registriert haben – trotz begründeter Zweifel, ob sie überhaupt dazu verpflichtet wären. Auf diese Weise entgehen sie jedenfalls eventuellen Bußgeldern, die schon bei unterlassener Registrierung bis zu einer halben Million Euro betragen können. Unwahrscheinlich, dass die Behörde gleich zu Beginn der neuen Regulierung massenhaft Ordnungswidrigkeiten ahnden wird, aber die Einhaltung geltender Gesetze einfach solange zu verweigern, bis dann wirklich Sanktionen drohen, wäre doch mehr als heikel.

Grundsätzlich ist die Bereitschaft zur Umsetzung von Maßnahmen zur Stärkung der Informationssicherheit aber vorhanden, auch wenn sie Geld kosten. Seit dem Beginn des russischen Angriffskriegs auf die Ukraine sind auch in Deutschland die Investitionen in die Cybersicherheit rasant gestiegen. Folgt man Umfrageergebnissen, wie sie zum Beispiel der Bitkom-Verband oder Schwarz Digit Research zusammengetragen haben, ist der Anteil der IT-Sicherheitsausgaben mittlerweile doppelt so hoch wie damals. Prozentual zum Gesamtbetrag der IT-Budgets in den befragten Unternehmen lagen sie 2022 im Schnitt noch bei neun, heute 18 Prozent. 41 Prozent der Unternehmen liegen sogar über der magischen „Cyber-Quote“, die der ehemalige BSI-Präsident Arne Schönbohm vor Jahren als Richtschnur für – O-Ton – „jedes Digitalisierungsprojekt“ verkündete: Zwanzig Prozent der Ausgaben sollten demnach mindestens für die Cybersicherheit bereitgestellt werden.

Wenn trotz dieser auskömmlichen Investitionsbereitschaft immer noch viele Unternehmen angeben, sie seien noch nicht so weit, ist die Zurückhaltung nicht leicht zu rechtfertigen. Vom Zeitpunkt der Verabschiedung der europäischen Cybersicherheitsrichtlinie im Dezember 2022 bis zum Inkrafttreten des deutschen Umsetzungsgesetzes im Dezember 2025 hätte es genügend Gelegenheit gegeben, sich mit den Auswirkungen auf das eigene Unternehmen zu beschäftigen. Welche Sektoren und Unternehmenskennzahlen Grundlage für die Zuerkennung des Status als NIS2-Verpflichteten sind, worin diese Pflichten im Einzelnen bestehen und welche konkreten Maßnahmen als Mindestsicherheitsanforderungen im Raum stehen, das alles ist seit mehr als drei Jahren bekannt.

Im Bereich der gleichzeitig mit der NIS2 und der Partnerrichtlinie CER in Kraft getretenen EU-Verordnung für den Finanzsektor, genannt DORA, zeigte sich schon Anfang 2025, dass die Umsetzung sehr viel schneller vonstatten geht, wenn regulierte Institutionen von ihrer Aufsichtsbehörde hart in die Pflicht genommen werden. Seit über einem Jahr sind alle relevanten IT-Dienstleister der Banken und anderer Finanzinstitute gegenüber der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) benannt und mit Angaben über die Umsetzung von Cyber-Risikomaßnahmen versehen. Zur mittlerweile flächendeckenden Compliance im Sinne dieser Regulierung hat sicher beigetragen, dass die BaFin ihre Aufsichtsfunktionen im Bedarfsfall oder bei begründetem Verdacht der Nicht-Umsetzung wichtiger Maßnahmen auf die Zulieferer ausdehnen kann. Ein Besuch der Aufseher kann also auch beim ausgelagerten, unabhängigen IT-Betrieb erfolgen, nicht nur bei der Bank, für die er tätig ist.

Wenn wenigstens die Registrierung dann endlich erfolgt ist, wird es für viele der 30.000 direkt regulierten, aber auch die schätzungsweise 70.000 nur mittelbar von den Vorschriften aus der NIS2 betroffenen Einrichtungen höchste Zeit, sich mit der Implementierung der technischen und organisatorischen Compliance zu beschäftigen. Der berühmte Katalog der zehn Mindestsicherheitsanforderungen aus § 30 (2) BSI-Gesetz enthält keine radikalen Neuerungen oder unzumutbare Auflagen für die Informationssicherheit der Unternehmen – das meiste davon ist seit Jahren als geübte Praxis in vielen IT-Abteilungen und den übrigen Organisationseinheiten längst der Normalfall. Von ein paar expliziten Zusätzen wie Multi-Faktor-Authentisierung oder Notfallkommunikation abgesehen, basiert die Zehn-Punkte-Liste der vorgeschriebenen Risikomanagementmaßnahmen ganz überwiegend auf internationalen Standards. Das steht zwar nicht explizit in Richtlinie oder Gesetz, weil kommerzielle Normen nicht unmittelbar Gegenstand der Gesetzgebung sein dürfen. De facto sind aber drei Viertel der in den zehn Punkten zusammengefassten Vorgaben identisch mit dem Informationssicherheitsmanagementsystem aus ISO 27001 – auch als Basis des BSI IT-Grundschutz-Kompendiums, das dieselbe Norm anders umsetzt.

Allen, die noch zögern, die Vorgaben zur Registrierungs- und Meldepflicht und zur Umsetzung der Cybersicherheitsmaßnahmen zu erfüllen, kann man nur daran erinnern, dass die Einhaltung von Gesetzen zum Wesenskern jeder unternehmerischen Tätigkeit gehört. Wer die NIS2 ignoriert oder ihre Umsetzung im eigenen Unternehmen verschleppt, kann rechtlich und materiell in größte Probleme geraten.


(fo)



Source link

Datenschutz & Sicherheit

Widerstand gegen Aushöhlung der Informationsfreiheit und Datenschutzabbau


Die Landesregierung plant aktuell, das Datenschutzgesetz und das Informationsfreiheitsgesetz Berlins umzubauen. Dazu hat sich nun die Berliner Datenschutzbeauftragte Meike Kamp positioniert und kritisiert das Vorhaben.

Kamp sieht zwar grundsätzlichen Überarbeitungsbedarf bei beiden Gesetzen und stellte auch mehrfach gegenüber dem Berliner Senat dazu zahlreiche Änderungsvorschläge vor. Sie warb dabei auch für die Einführung eines modernen Transparenzgesetzes, um das angejahrte Informationsfreiheitsgesetz abzulösen. Allerdings seien ihre Vorschläge „größtenteils nicht aufgegriffen“ worden.

Sie bemängelt nun, dass die Änderungen bei der Informationsfreiheit nicht das eigentlich von der Regierung im Koalitionsvertrag versprochene Mehr an Transparenz brächten, sondern „das Gegenteil“. In einer Stellungnahme (pdf) kritisiert sie auch Schwächen beim Datenschutzgesetz (BlnDSG). Es fehle ihr weiter an Durchsetzungsbefugnissen.

Stellungnahmen

Nicht nur lesen, lachen, löschen, wir berichten über Stellungnahmen sogar. Unterstütze unsere Arbeit!

Im Ausschuss für Digitalisierung und Datenschutz steht das Thema heute auf der Tagesordnung. Kamp wird ihre Stellungnahme dort vorstellen.

Update, 14.18 Uhr: Der Tagesordnungpunkt wurde auf den 23. März vertagt.

Kein Gegengewicht mehr

Dass Kamps Vorschläge für die Überarbeitung des BlnDSG zu großen Teilen nicht aufgegriffen wurden, ist keine Kleinigkeit. Ihre Behörde hat die sachliche Expertise, die offenbar für den Gesetzentwurf zuweilen fehlte. Denn einige ihrer Änderungsvorschläge seien schlicht „europarechtlich geboten“. Mit Blick auf die EU-Datenschutzgrundverordnung (DSGVO) schreibt Kamp: „Es handelt sich dabei nicht um datenschutzpolitische Forderungen“, sondern vielmehr um notwendige Rechtsanpassungen, um Rechtssicherheit herzustellen und Zuständigkeiten zu klären.

Eine Person mit mittellangen Haaren und Brille blickt lächelnd in die Kamera
Die Berliner Datenschutzbeauftragte Meike Kamp. – Alle Rechte vorbehalten Berliner Beauftragte für Datenschutz und Informationsfreiheit

Dass im Rahmen der geplanten gesetzlichen Änderungen, die eine ganze Reihe von weiteren Gesetzen betreffen, zu wenig auf europarechtliche Vorgaben geachtet wurde, kritisiert Kamp auch noch bei der Videoüberwachung. Hier plant die Landesregierung, auf eine Kennzeichnung zu verzichten, wenn es sich um Kameras bei kritischer Infrastruktur handelt.

Das aber ist nach der DSGVO nicht rechtens. „Es wird in keinem Fall möglich sein, pauschal auf Kennzeichnungen zu verzichten“, sagt Kamp. Das ergebe sich „unmittelbar aus der europäischen Datenschutz-Grundverordnung“. Mit nationalen Gesetzen könne das „nur in sehr restriktivem Maße eingeschränkt werden“.

In ihrer Stellungnahme weist Kamp auch auf „mangelnde Durchsetzungsbefugnisse“ ihrer Behörde hin. Es fehle im öffentlichen Bereich an „Möglichkeiten, Anordnungen zu vollstrecken oder Geldbußen zu verhängen“. Auch hier werden „europarechtliche Vorgaben“ missachtet, die aus der JI-Richtlinie der EU entstehen: Es fehle ihrer Behörde weiter „die Befugnis, verpflichtende Anordnungen zu treffen“.

Das sei problematisch, weil die Berliner Datenschützerin bei den gerade beschlossenen neuen Befugnissen der Polizei kein Gegengewicht sein könne. Das soll sie als unabhängige Datenschutzkontrollinstanz aber eigentlich sein, da viele dieser Überwachungsbefugnisse enorm weit in Grundrechte eingreifen und heimlich stattfinden, etwa beim Einsatz von Staatstrojanern oder bei Palantir-artiger Datenanalyse. Dagegen können sich Betroffene mangels Kenntnis nur schwer zur Wehr setzen. Um den nur schwer möglichen individuellen Rechtsschutz zu kompensieren, soll die Behörde solche Maßnahmen prüfen.

Kamp schreibt, dass „die Einbindung meiner Behörde bei neuen Befugnissen der Polizei, etwa zur Prüfung besonderer Protokollierungspflichten bei eingriffsintensiven verdeckten Datenerhebungsmaßnahmen, automatisierter Datenanalyse oder Datenübermittlungen an Drittstaaten […] nicht den beabsichtigten kompensatorischen Effekt entfalten“ könne.

Es droht eine Abkehr von der Transparenz

Neben den datenschutzrechtlichen Mängeln ist die zeitgleich geplante die Änderung des inzwischen 24 Jahre alten Berliner Informationsfreiheitsgesetzes (IFG) zu einem Politikum geworden. Denn es besteht ein möglicher Zusammenhang zwischen der IFG-Änderung und der Berliner „Fördermittelaffäre“. Der könnte darin begründet sein, dass mit dem Gesetz erlangte Informationen in diesem Skandal eine bedeutende Rolle gespielt haben.

Denn das IFG bietet einen rechtlichen Anspruch auf Zugang zu behördlichen Informationen, die herausgegeben werden mussten. Allerdings existieren viele Ausnahmen, die dieses Recht wieder einschränken. Und die Landesregierung will nun noch weitere pauschale und umfangreiche Ausschlüsse in das Gesetz einbauen, die solchen Informationsfluss wie in der Aufdeckung der Fördermittelaffäre stoppen würde.

Ein parlamentarischer Untersuchungsausschuss mit dem Namen „Fördergeld“ versucht seit Januar 2026 herauszufinden, ob Berlins Kultursenatorin Sarah Wedl-Wilson (parteilos) und ihr CDU-Amtsvorgänger Joe Chialo bei Fördermitteln zur Antisemitismus-Bekämpfung die haushaltsrechtlichen Vorschriften ignoriert und die Gelder zu freihändig vergeben haben. Es geht um 2,6 Millionen Euro. Die Akten, auf denen die Vorwürfe in der Fördermittelaffäre basieren, hat „Frag den Staat“ mit einer IFG-Anfrage an die Öffentlichkeit gebracht.

„Frag den Staat“ fordert mit einem Zusammenschluss von 38 zivilgesellschaftlichen Organisationen von der Berliner Landesregierung, die Aushöhlung des IFG zu stoppen. Wenn Informationsrechte in einer Zeit eingeschränkt würden, in der das Vertrauen in staatliche Institutionen sinkt, sei das „ein fatales Signal“.

Auch Kamp kritisiert die IFG-Änderungen: „Im Bereich der Informationsfreiheit droht mit vielen neuen Ausnahmetatbeständen eine Abkehr von der Transparenz öffentlicher Stellen in Berlin.“ Die Berliner Verwaltung dürfe nicht „wieder zu einer Kultur des Amtsgeheimnisses“ zurückkehren.


Offenlegung: Die Kampagne gegen Einschränkungen des IFG wird auch vom Chaos Computer Club unterstützt. Die Autorin ist ehrenamtlich Sprecherin des CCC.



Source link

Weiterlesen

Datenschutz & Sicherheit

Was das Wahlergebnis in Baden-Württemberg sicherheitspolitisch bedeutet


Bei der Baden-Württemberg-Wahl am Sonntag nahmen sich Grüne und CDU nicht viel. Um die 30 Prozent erreichten beide, die Grünen einen Hauch mehr. Eine stabile Mehrheit, um das Land weiter grün-schwarz zu regieren, andere reale Optionen fehlen. Sicherheitspolitisch heißt das: Jetzt wird vollzogen, was sich bereits ankündigte.

Denn in Sicherheitsfragen liegen Grüne und CDU wie beim Wahlergebnis eng beieinander. Beide Spitzenkandidaten, Cem Özdemir von den Grünen und Manuel Hagel von der CDU, wollen Palantir-artige Datenanalysen. Nur will Özdemir aufgrund ethischer Bedenken nicht die Original-Software aus den USA nutzen, sondern lieber mit Partnern aus Europa eine Alternative entwickeln. Am besten sogar eine regionale. Özdemir sagte, er sei mit verschiedenen Unternehmern aus Baden-Württemberg im Gespräch, „die alle sagen: Wir können das.“

Beim Thema Videoüberwachung herrscht noch deutlichere Einigkeit. Beide wollen die Videoüberwachung massiv ausweiten, dahinter soll ein System laufen, das prüft, ob die Abgebildeten sich auffällig benehmen. Bislang gibt es in Baden-Württemberg ein Gesetz, das die Videoüberwachung des öffentlichen Raums einschränkt. Sie ist nur erlaubt, wenn an diesem Ort besonders viel Kriminalität stattfindet. Dieses Gesetz ist beiden Kandidaten ein Dorn im Auge.

Schon lange gibt es Bestrebungen, dieses Gesetz aufzuweichen. Die Idee ist, Videoüberwachung – und damit auch KI-gestützte Videoüberwachung – nicht nur an tatsächlichen Kriminalitätsschwerpunkten zuzulassen, sondern auch an „strukturellen“. Was ein struktureller Kriminalitätsschwerpunkt ist, entscheidet dann die Polizei.

Entgrenzung der Videoüberwachung

Es sieht so aus, als stamme die Idee der Entgrenzung der Videoüberwachung aus Mannheim. Dort wird seit 2018 KI-gestützte Verhaltenserkennung getestet und trainiert. Allerdings gab es dazu nie genug Kriminalität, so dass die Polizei mit Schaukämpfen nachhelfen musste – und die Versuche, weitere Areale in die Überwachung einzubeziehen, scheiterten an der Gesetzesgrundlage.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Vermutlich arbeiten der heutige Mannheimer Oberbürgermeister Christian Specht und Baden-Württembergs Innenminister Thomas Strobl deshalb seit 2019 daran, das Gesetz aufzuweichen. 2023 stellte ein Referent der Stadt Mannheim ihr Konzept auf dem Städtetag vor. Demnach sollen auch Orte videoüberwacht werden können, an denen die Kriminalität sinkt.

Vor wenigen Tagen hat sich der Grünen-Spitzenkandidat Cem Özdemir in der Wahlarena des Mannheimer Morgens dieser Vision angeschlossen: „Da gibt’s in Mannheim ja mit der intelligenten Kamera, finde ich, ein gutes Modell. Allerdings hat mir Ihre Polizeipräsidentin auch gesagt, das darf dann nicht dazu führen, wenn die Kriminalitätsbelastung dank der Kamera zurückgeht, dass man sie dann abbauen muss. Das ist natürlich ein Treppenwitz, das würde ich gerne ändern.“

„Wo sie es für notwendig halten“

Wenn jetzt also auch der Grüne für eine Entgrenzung der Videoüberwachung ist, steht der Koalition diesbezüglich nichts mehr im Weg. Manuel Hagel von der CDU will schon länger, dass Kommunen „überall dort, wo sie es für notwendig halten, KI-gestützte Videoüberwachung einsetzen können“.

Die Videoüberwachung rund um Areale im städtischen Besitz haben die bisherigen und wohl auch künftigen Koalitionäre dieses Jahr ebenfalls entgrenzt – mit Hilfe des neuen Datenschutzgesetzes. Özdemir-Kumpel Boris Palmer, Tübingens Oberbürgermeister, beruft sich bei der Videoüberwachung seiner Stadt bereits darauf.

Es wird in Baden-Württemberg eine Wende geben, die jahrelang vorbereitet wurde. Eine Wende von der verdachtsabhängigen Überwachung zur anlasslosen. Die Videoüberwachung muss dann nicht mehr mit Zahlen untermauert werden. Es geht dann fast wie in Hessen bei der Legitimierung von Videoüberwachung nicht mehr um tatsächliche Straftaten, sondern eher um ein Gefühl.



Source link

Weiterlesen

Datenschutz & Sicherheit

Bezahlen ohne Google: Neues Konsortium will Custom-ROM-Hürden beseitigen


Sicher mit einem Android-Smartphone bezahlen, ganz ohne Google-Dienste: Das ist der Plan, den das neu gegründete Industriekonsortium unter Führung der deutschen Volla Systeme GmbH entwickelt. Es handelt sich dabei um eine quelloffene Alternative zu Google Play Integrity. Diese proprietäre Schnittstelle entscheidet auf Android-Smartphones mit Google-Play-Diensten darüber, ob Banking-, Behörden- oder Wallet-Apps auf einem Smartphone laufen dürfen.

Weiterlesen nach der Anzeige

Hindernisse und Tipps beim Bezahlen mit einem Android-Smartphone ohne offizielle Google-Dienste hat c’t in einem umfangreichen Artikel beleuchtet. Einige der genannten Probleme will das europäische Industriekonsortium nun beheben. Dafür entwickelt die Gruppe, der neben Volla auch Murena, die das gehärtete Custom-ROM /e/OS entwickeln, Iodé aus Frankreich und Apostrophy (Punkt) aus der Schweiz angehören, ein sogenanntes „UnifiedAttestation“ für Google-freie mobile Betriebssysteme, überwiegend auf Basis des Android Open Source Projects (AOSP).

Laut Volla haben zudem ein europäischer und ein führender Hersteller aus Asien sowie Europäische Stiftungen wie die deutsche UBports-Stiftung Interesse zur Unterstützung angemeldet. Überdies würden Entwickler und Herausgeber staatlicher Apps aus Skandinavien prüfen, das neue Verfahren als „First Mover“ einzusetzen.

Lesen Sie auch

„Mit UnifiedAttestation schaffen wir ein transparentes und vertrauenswürdiges Verfahren für die Sicherheitsprüfung, auf das Entwickler und Herausgeber von Apps gleichermaßen vertrauen können. Damit beseitigen wir die letzte Hürde für die Verwendung alternativer mobiler Betriebssysteme“, sagt Dr. Jörg Wurzer, Geschäftsführer der Volla Systeme GmbH und Initiator des Konsortiums. Ziel sei es, sich von der Kontrolle eines einzelnen US-Konzerns zu befreien – hin zu mehr digitaler Souveränität, heißt es.

Weiterlesen nach der Anzeige

Volla erläutert in seiner Ankündigung, dass Google mit Play Integrity App-Entwicklern eine Schnittstelle bereitstellt, die prüft, ob eine App auf einem Gerät mit bestimmten Sicherheitsanforderungen ausgeführt wird. Dies betrifft vor allem Anwendungen aus „sensiblen Bereichen wie Identitätsnachweis, Banking oder digitale Wallets – einschließlich Apps von Regierungen und öffentlichen Verwaltungen“.

Das Unternehmen kritisiert, dass die Zertifizierung ausschließlich für Googles eigenes, proprietäres „Stock Android“ angeboten wird, nicht jedoch für Android-Versionen ohne Google-Dienste wie etwa /e/OS oder ähnliche Custom-ROMs. „Da dieses eng mit Google-Diensten und Google-Rechenzentren verflochten ist, entsteht ein strukturelles Abhängigkeitsverhältnis – und für alternative Betriebssysteme ein faktisches Ausschlusskriterium“, so das Unternehmen.

Aus Sicht des Konsortiums ergebe sich daraus zudem ein „sicherheitstechnisches Paradox“, denn „die Prüfung der Vertrauenswürdigkeit erfolgt durch genau jene Instanz, deren Ökosystem gleichzeitig vermieden werden soll“.

Die Alternative zu Google Play Integrity in Form der UnifiedAttestation soll dem Plan des Konsortiums zufolge modular aufgebaut und quelloffen entwickelt werden. Ähnlich wie Googles frei verwendbares AOSP (Android Open Source Project) soll es mit einer liberalen Apache-2.0-Lizenz veröffentlicht werden.


UnifiedAttestation: Frau bezahlt mit Smartphone im Supermarkt

UnifiedAttestation: Frau bezahlt mit Smartphone im Supermarkt

(Bild: Volla)

Weiter erklärt das Konsortium, dass UnifiedAttestation aus drei zentralen Elementen bestehen soll. Zum einen soll es ein „Betriebssystem-Dienst“ sein, der mit wenigen Zeilen Code in Apps integriert werden kann. Apps könnten darüber eine Anfrage stellen, ob das jeweilige Betriebssystem definierte Sicherheitsanforderungen erfülle. Zudem soll ein Validierungsdienst dezentral betrieben werden. Dieser prüfe dann, ob das Zertifikat eines Betriebssystems auf dem jeweiligen Gerät gültig ist. Das dritte Element ist eine offene Test-Suite. Diese soll zur „Prüfung und Zertifizierung eines Betriebssystems für ein konkretes Gerätemodell“ dienen.

Geplant sei darüber hinaus ein Peer-Review-Verfahren, mit dem die Mitglieder des Konsortiums ihre Betriebssysteme sowie Smartphone- oder Tablet-Modelle gegenseitig prüfen und zertifizieren. „Dadurch soll Transparenz geschaffen und Vertrauen durch Nachvollziehbarkeit ersetzt werden“.

„Wir wollen Vertrauen nicht zentralisieren, sondern transparent und öffentlich überprüfbar organisieren. Wenn Unternehmen die Produkte der Konkurrenz prüfen, können wir jenes Vertrauen stärken“, erklärt Dr. Wurzer. Ziel des Konsortiums ist es zudem, die neue Industrieinitiative als offenes Kooperationsformat unter dem Dach der Eclipse Foundation, der größten Open-Source-Foundation in Europa, zu etablieren. Erste Gespräche dazu hätten bereits begonnen.


(afl)



Source link

Weiterlesen

Beliebt